丁丁的亂寫空間

設定 Powershell 命令別名 (alias)

Thu, 13 Aug 2026 16:00:00 GMT

設定 Powershell 命令別名 (alias)

每次開啟 PowerShell 或終端機等 shell 環境時，都會執行一組腳本文件，用於初始化 session 可用的功能。在標準的 Ubuntu 發行版中，.bashrc 檔案就是其中之一。將別名指令加入 .bashrc 檔案中，即可讓開發者使用該別名。

Windows 同樣也有相同類似的設定

echo $profile

這時會印出你的 profile 路徑，你可以使用記事本或者 IDE 開啟編輯他

或者使用以下命令直接新增 alias 進 profile 中

echo "Set-Alias alias cmdlet" >> $profile

例如我要讓 ll 變成 ls 的別名 ( Linux 中 ls -al 的簡寫)

echo "Set-Alias ll ls" >> $profile

重開終端機後驗證看看是否有正確套用

Tailscale 與 Emby 實戰

Thu, 13 Aug 2026 16:00:00 GMT

Tailscale 與 Emby 實戰

照著 Tailscale 筆記安裝好 tailscale 並新增 Machines 後，這邊用 Emby 做為範例來讓 Emby 服務可以有一個網址可以訪問

到 Dashboard 中的 Services > Advertised > Add service

新增 Service 之後如下圖，接著要到 Emby 所在的主機建立設定

這邊範例 tailscale 是使用 docker compose 啟動的所以操作會在 container 中進行操作然後再 docker compose 有加入 extra_hosts 設定，所以會用 host.docker.internal

在 container 中執行

tailscale serve --service=svc:emby-test --https=443 http://host.docker.internal:8096

接著就要到 Dashboard 允許指定 Machine

接著就可以連線到 tailscale 網路後訪問這個網址 <service 名稱>.<Tailnet DNS name> 就可以正常訪問到服務

如果要移除資源可以到 container 中輸入

tailscale serve clear svc:emby-test

接著如果 Emby 有設定特定 IP range 才能訪問的要加入 tailscale net 的 IP range 把 100.64.0.0/10, fd7a:115c:a1e0::/48 加入到允許清單中

這樣就可以正常訪問 Emby 了

Tailscale 筆記

Tue, 11 Aug 2026 16:00:00 GMT

Tailscale 筆記

前言

想從外面連回家裡的 NAS、路由器管理頁、或是那台跑著一堆服務的小主機，傳統做法是在路由器上開通訊埠轉發 (Port forwarding)、自架 OpenVPN 或 WireGuard，然後跟浮動 IP、NAT、防火牆規則搏鬥半天。

Tailscale 把這件事變成「裝一個軟體、登入、結束」。它底層就是 WireGuard，但把最麻煩的金鑰交換、NAT 穿透、裝置探索全部自動化了。你不需要開任何對外通訊埠，裝置之間會自己想辦法直連。

這篇是我的設定筆記，涵蓋安裝、常用指令、子網路由 (Subnet Router)、出口節點 (Exit Node)、Tailscale SSH、MagicDNS、Tailscale Services，以及 Docker 部署方式。

核心概念

先把名詞搞清楚，後面看設定會順很多。

名詞	意思
Tailnet	你的私有網路，一個帳號一個 tailnet，所有裝置都在裡面
節點 (Node)	加入 tailnet 的裝置，每台會拿到一個 `100.x.y.z` 的固定 IP
控制平面 (Control Plane)	Tailscale 的協調伺服器，負責交換公鑰與裝置清單。不處理你的流量
DERP	中繼伺服器。直連失敗時流量走這裡，仍然是端對端加密
子網路由 (Subnet Router)	讓一台節點代理整個內網網段，其他裝置不用每台都裝 Tailscale
出口節點 (Exit Node)	把所有對外流量都導到某個節點出去，等同傳統 VPN 的用法
MagicDNS	自動幫每台節點配一個名字，直接用 `hostname` 連線
Service	與裝置解耦的具名服務，有自己的虛擬 IP (TailVIP) 與 MagicDNS 名稱
ACL / Tailnet Policy File	存取控制規則，用 JSON 描述誰能連到誰

控制平面只負責交換金鑰與裝置資訊，實際流量是節點之間直接走 WireGuard 加密隧道。就算 Tailscale 的伺服器被入侵，對方也解不開你的流量內容。不放心的話可以自架 Headscale 取代控制平面。

安裝

Linux

主流發行版（Ubuntu、Debian、RHEL、CentOS、Fedora、Raspberry Pi OS、Amazon Linux、openSUSE、Oracle Linux）直接用官方腳本：

curl -fsSL https://tailscale.com/install.sh | sh

安裝參考: Install Tailscale on Linux

裝完啟動並登入：

sudo tailscale up

終端機會印出一個授權網址，用瀏覽器開啟並登入即可。裝置隨即出現在後台的 Machines 頁面。

確認狀態：

tailscale ip        # 看自己的 tailnet IP
tailscale status    # 看所有節點與連線方式

tailscale status 的輸出裡要特別注意最後一欄：direct 代表 P2P 直連，relay "xxx" 代表流量正在走 DERP 中繼。

其他平台

平台	安裝方式
Windows	官方 `.exe` / `winget`
macOS	App Store 版或獨立版 `.pkg`
iOS / iPadOS	App Store
Android	Google Play
Synology / QNAP	官方套件（Synology 需從 Tailscale 官網下載 `.spk`）
OPNsense / pfSense	內建套件庫

macOS 有兩種版本：App Store 版跟獨立版 (Standalone)。獨立版才支援出口節點與子網路由等進階功能，App Store 版功能受 sandbox 限制。要當 Exit Node 的話請裝獨立版。

常用指令

tailscale status              # 節點清單與連線狀態
tailscale ip -4               # 只看 IPv4
tailscale ping <node>         # 測試對某節點的連線路徑（會顯示 direct 還是 relay）
tailscale netcheck            # 檢查本機 NAT 型態與各 DERP 延遲
tailscale down                # 斷線但保留登入狀態
tailscale up                  # 重新連線
tailscale logout              # 登出並從 tailnet 移除
tailscale file cp <file> <node>:  # 傳檔案到另一台節點
tailscale bugreport           # 產生診斷識別碼，回報問題時用

tailscale ping 跟系統的 ping 不一樣。它會沿著 WireGuard 路徑測試，並告訴你這條連線是直連還是走中繼，排查速度問題的第一個工具就是它。

set 與 up 的差別

新版 Tailscale 把「修改設定」跟「連線」拆開了：

tailscale up：連線。加上旗標時會重設未指定的設定
tailscale set：只改指定的那一項設定，其他保持不動

所以要調整既有節點的設定，用 tailscale set 比較安全，不會意外把之前的旗標清掉。

子網路由 (Subnet Router)

情境：家裡有一台伺服器、一台 NAS、一台路由器、幾台 IoT 裝置。不可能每台都裝 Tailscale（IoT 裝置根本裝不了），這時候就在其中一台 Linux 機器上開子網路由，讓它代理整個 192.168.1.0/24。

1. 開啟 IP 轉送

這步很容易忘，忘了就是「設定看起來都對但連不通」。

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

沒有 /etc/sysctl.d/ 目錄的系統，寫進 /etc/sysctl.conf 再 sudo sysctl -p /etc/sysctl.conf。

2. 宣告路由

sudo tailscale set --advertise-routes=192.168.1.0/24

多個網段用逗號分隔：--advertise-routes=192.168.1.0/24,10.0.0.0/16。

3. 在後台核准路由

宣告完不會馬上生效。到後台 Machines 頁面，該節點會出現 subnets 標記，點進去 → Subnets → Edit → 勾選要核准的路由 → Save。

想跳過手動核准，在 Policy File 裡設 autoApprovers：

{
  "autoApprovers": {
    "routes": {
      "192.168.1.0/24": ["autogroup:admin"]
    }
  }
}

4. 用戶端接受路由

Linux 用戶端預設不接受子網路由，要手動開：

sudo tailscale set --accept-routes

Windows、macOS、iOS、Android 會自動探索路由，不用額外設定。

5. 設定存取控制

Policy File 裡授權誰可以連進這個網段：

{
  "grants": [{
    "src": ["group:dev"],
    "dst": ["192.168.1.0/24"],
    "ip": ["*:*"]
  }]
}

保留來源 IP

預設子網路由會做 SNAT，內網機器看到的來源 IP 是子網路由那台。想保留原始來源 IP：

sudo tailscale up --snat-subnet-routes=false

代價是內網那些機器需要有一條回到 100.64.0.0/10 的路由，否則封包出不去。通常要在路由器上加靜態路由。

子網路由那台機器如果關機，整個網段就都連不到了。重要環境建議開兩台做高可用：兩台宣告相同的路由並都核准，Tailscale 會自動容錯切換。

出口節點 (Exit Node)

子網路由是「連進特定網段」，出口節點是「所有對外流量都從那台出去」，等於傳統 VPN 的用法。適合在外面用公共 Wi-Fi 時把流量繞回家裡。

宣告為出口節點

前提一樣要先開 IP 轉送（見上一節）。

sudo tailscale set --advertise-exit-node

然後到後台該節點的設定裡核准 exit node。用 firewalld 的系統要額外允許 masquerade：

sudo firewall-cmd --permanent --add-masquerade

使用出口節點

sudo tailscale set --exit-node=<節點名稱或IP>

問題來了：一旦啟用出口節點，連本地區域網路都會被導走，家裡的印表機就找不到了。要保留本地存取：

sudo tailscale set --exit-node=<節點名稱或IP> --exit-node-allow-lan-access=true

關閉：

sudo tailscale set --exit-node=

Policy File 需要授權 autogroup:internet：

{
  "grants": [{
    "src": ["group:dev"],
    "dst": ["autogroup:internet"],
    "ip": ["*:*"]
  }]
}

每台裝置都必須主動選擇要使用出口節點，不會被強制套用。這是刻意的設計——避免管理員一改設定就把所有人的流量全部繞道。

MagicDNS

啟用後每台節點自動獲得 <hostname>.<tailnet-name>.ts.net 的名字，同一個 tailnet 內直接用 hostname 就能連，不用背 100.x.y.z。

後台 DNS 頁面 → 勾選 Enable MagicDNS。

Linux 用戶端要接受 DNS 設定：

sudo tailscale set --accept-dns

改主機名稱：

sudo tailscale set --hostname=nas

MagicDNS 會接管 /etc/resolv.conf。跟本機已經在跑的 DNS 服務（Pi-hole、AdGuard Home、dnsmasq、systemd-resolved 的某些設定）容易打架。

如果那台機器本身就是你的 DNS 伺服器，建議關掉該節點的 --accept-dns，改在後台 DNS 頁面把它設成 tailnet 的 Global nameserver——這樣所有節點都能用你的 Pi-hole 過廣告。

Tailscale SSH

Tailscale 可以接管 port 22，用 tailnet 身分驗證取代 SSH 金鑰。好處是不用再手動散發公鑰、離職成員的存取權在後台一鍵撤銷。

目標主機上啟用：

sudo tailscale set --ssh

Policy File 加上 ssh 區塊（沒有這段的話連不上）：

{
  "ssh": [{
    "action": "accept",
    "src": ["autogroup:member"],
    "dst": ["autogroup:self"],
    "users": ["autogroup:nonroot", "root"]
  }]
}

連線就跟平常一樣：

ssh nas
ssh ubuntu@nas

action 除了 accept 還可以設 check，會要求連線者先在瀏覽器完成一次身分再驗證，適合用在生產環境的機器上。

啟用 Tailscale SSH 後，從 tailnet 進來的 22 埠流量會被 tailscaled 攔截，不再交給 sshd。設定 ACL 之前先確認你還有另一條進入路徑（本機終端機、實體存取、或走非 tailnet IP 的 SSH），不然 ACL 寫錯就把自己鎖在門外了。

Serve 與 Funnel

Serve：把本機服務用 HTTPS 分享給 tailnet 內部，自動配憑證。

tailscale serve --bg 3000              # 把 localhost:3000 掛到 https://<host>.<tailnet>.ts.net
tailscale serve status                 # 看目前設定
tailscale serve reset                  # 清掉全部設定

Funnel：把服務開放到整個網際網路，不需要用戶端。

tailscale funnel --bg 3000
tailscale funnel status
tailscale funnel off

Funnel 是真的對全世界開放，Tailscale 不會幫你加任何驗證。只適合本來就打算公開的東西（webhook 接收端、給別人看的 demo）。管理後台、資料庫、任何有敏感資料的服務都不要用 Funnel。

Tailscale Services

Serve 有個先天限制：服務綁在裝置上。網址是 https://nas.<tailnet>.ts.net，機器換掉、服務搬家，網址就跟著變。

Tailscale Services 解決的就是這件事——把服務從裝置上剝離，變成一個獨立的實體。每個 Service 會拿到自己的 TailVIP（虛擬 IP，IPv4 + IPv6 各一）與 MagicDNS 名稱 <service-name>.<tailnet>.ts.net，跟節點一樣是一等公民。底下由哪台機器提供服務、有幾台在提供，使用者完全不需要知道。

比較	Serve	Services
位址綁定	裝置的 MagicDNS 名稱	服務自己的 TailVIP 與名稱
搬遷	網址跟著變	網址不變
多台提供	不行	可以，自動導流與容錯
ACL 目標	`tag:server` 等節點識別	`svc:web-server`
適合	單機的個人服務	需要穩定位址、會搬遷或要做高可用的服務

需求：Tailscale v1.86.0 以上。提供服務的主機必須使用標籤身分 (tag)，不能是綁在個人帳號下的節點——所以要先 tailscale up --advertise-tags=tag:server。

用戶端 v1.94 以上會自動探索 Services，不用設定。v1.93 以下的 Linux 用戶端要 sudo tailscale set --accept-routes。

1. 在後台定義 Service

Services → Advertise → Add Service，填入：

服務名稱（會變成 svc:<name> 與 MagicDNS 名稱）
說明
通訊埠與通訊協定，例如 tcp:443
選填標籤，用來在 ACL 裡分組

2. 在主機上設定端點

一行指令同時完成設定與宣告：

tailscale serve --service=svc:web-server --https=443 127.0.0.1:8080

HTTPS 端點的 TLS 憑證由 Tailscale 自動簽發與續期。

端點分三層，依需求選：

L7（應用層）——http / https。支援路徑分流、身分注入：

tailscale serve --service=svc:app --https=443 --set-path=/api localhost:8081

L4（傳輸層）——tcp / tls-terminated-tcp。純 TCP 轉送，不改封包，額外負擔比 L7 低，但不支援 --set-path：

tailscale serve --service=svc:db --tcp:5432 tcp://localhost:5432

L3（網路層）——僅 Linux，不管通訊協定的 IP 轉送，保留封包邊界，可搭配 OS 層 iptables 設定支援 UDP：

tailscale serve --service=svc:custom --tun

3. 後台核准

管理員到 Services 頁面把待審的宣告按 Approve。要免手動核准，在 Policy File 設 autoApprovers：

{
  "autoApprovers": {
    "services": {
      "svc:web-server": ["tag:server"],
      "tag:prod-service": ["tag:prod-infra"]
    }
  }
}

4. 設定存取控制

Service 可以直接當 dst，比對節點寫 ACL 乾淨很多：

{
  "grants": [
    {
      "src": ["autogroup:member"],
      "dst": ["svc:web-server"],
      "ip": ["443"]
    },
    {
      "src": ["tag:prod-service"],
      "dst": ["svc:database"],
      "ip": ["5432"]
    }
  ]
}

設定檔方式

要管理多個 Service，或想把設定納入版控，用 JSON 設定檔比一行行敲指令好維護。

serveconfig.json：

{
  "version": "0.0.1",
  "services": {
    "svc:web-server": {
      "endpoints": {
        "tcp:443": "https://localhost:443"
      },
      "advertised": true
    }
  }
}

欄位	必填	說明
`version`	是	目前固定為 `"0.0.1"`
`services`	是	服務定義，鍵為 `svc:<name>`
`endpoints`	是	`協定:通訊埠` 對應到本機目標，例如 `"tcp:443"`
`advertised`	否	是否接受連線，預設 `true`

套用與宣告：

tailscale serve set-config --all serveconfig.json
tailscale serve advertise svc:web-server

設定檔方式是「設定」與「宣告」兩步分離，比 CLI 一行搞定更可控——可以先把設定推上去，確認無誤再宣告。

維運指令

tailscale serve status --json                              # 看目前設定
tailscale serve drain svc:web-server                       # 排空：停收新連線，既有連線繼續處理
tailscale serve --service=svc:web-server --https=443 off   # 移除單一端點
tailscale serve clear svc:web-server                       # 清掉該服務全部端點
tailscale serve advertise svc:web-server                   # 改完設定檔後重新宣告

確認本機是否為 service host：

tailscale status --json | jq '.Self.CapMap."service-host"'

服務狀態在後台可以看到：Pending approval（待核准）、Needs configuration（設定有誤或缺漏）、Connected（至少一台在提供）、Offline（沒有主機在宣告）、Pre-approved（已預先核准但還沒宣告）、Draining（排空中）。

高可用與滾動更新

多台主機宣告同一個 Service 時，Tailscale 會自動把流量導到可用的主機。想在同區域內做負載平衡，要另外在 tailnet 開啟 regional routing。

drain 讓滾動更新變得很單純：

# 在要下線維護的主機上
tailscale serve drain svc:web-server
# 等既有連線收乾，做你的維護
# 完成後重新宣告
tailscale serve advertise svc:web-server

Services 目前的限制：

只支援 TCP。UDP 僅能透過 Linux 的 L3 端點加上手動 OS 設定實現
只能接收連線。TailVIP 不能主動發起對外連線
保留封包邊界只有 Linux 有
設定檔不支援 text: 與 file: 目標，那兩種只能用 CLI
主機有多張網路介面、且遠端目標不在預設路由表裡時，Linux（缺少 SO_MARK）與 macOS App Store 版可能連不到遠端資源。變通做法是改用 userspace networking 模式

Docker 部署

官方映像檔是 tailscale/tailscale。有兩種常見用法。

事前準備：Auth Key

容器裡沒辦法互動式登入，要先在後台 Settings → Keys 產生一個 Auth Key。建議勾選：

Reusable：需要重建容器時不用一直換 key
Ephemeral：容器離線後自動從 tailnet 移除節點，避免後台一堆殭屍裝置
Tags：綁定 tag:container 之類的標籤，方便寫 ACL

用法一：獨立節點 + 子網路由

讓容器本身當一個節點，順便代理 Docker 網段。

services:
  tailscale:
    image: tailscale/tailscale:latest
    hostname: docker-host
    environment:
      - TS_AUTHKEY=tskey-auth-xxxxx
      - TS_STATE_DIR=/var/lib/tailscale
      - TS_ROUTES=172.20.0.0/16
      - TS_EXTRA_ARGS=--advertise-exit-node
      - TS_USERSPACE=false
    volumes:
      - ./tailscale-state:/var/lib/tailscale
    devices:
      - /dev/net/tun:/dev/net/tun
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    restart: unless-stopped

用法二：Sidecar 模式

讓某個服務只透過 Tailscale 存取，完全不開對外通訊埠。關鍵是 network_mode: service:tailscale，讓服務共用 Tailscale 容器的網路命名空間。

services:
  tailscale:
    image: tailscale/tailscale:latest
    hostname: my-app
    environment:
      - TS_AUTHKEY=tskey-auth-xxxxx
      - TS_STATE_DIR=/var/lib/tailscale
      - TS_SERVE_CONFIG=/config/serve.json
    volumes:
      - ./tailscale-state:/var/lib/tailscale
      - ./serve.json:/config/serve.json:ro
    restart: unless-stopped

  app:
    image: nginx:alpine
    network_mode: service:tailscale
    depends_on:
      - tailscale
    restart: unless-stopped

serve.json 讓 Tailscale 直接處理 HTTPS：

{
  "TCP": { "443": { "HTTPS": true } },
  "Web": {
    "${TS_CERT_DOMAIN}:443": {
      "Handlers": { "/": { "Proxy": "http://127.0.0.1:80" } }
    }
  }
}

這樣 app 完全沒有對外通訊埠，只有 tailnet 內連得到 https://my-app.<tailnet>.ts.net。

用法三：官方 Docker Compose 範例

官方文件的入門寫法，最單純：Tailscale 容器獨立跑，服務容器照舊 publish 埠到 host。

步驟：

到後台 Settings → Keys 產生 Auth Key，複製起來（只會顯示一次）
建立 docker-compose.yml，把 <tskey-YOUR-AUTH-KEY> 換成剛剛的金鑰
docker compose up -d
到後台 Machines 確認 tailscale-nginx 已加入 tailnet
從 tailnet 上任一裝置連 Docker host 的 8080 埠

services:
  tailscale:
    image: tailscale/tailscale:latest
    container_name: tailscale
    hostname: tailscale-nginx
    environment:
      - TS_AUTHKEY=<tskey-YOUR-AUTH-KEY>
      - TS_STATE_DIR=/var/lib/tailscale
    volumes:
      - ./tailscale-state:/var/lib/tailscale
    cap_add:
      - net_admin
      - net_raw
    restart: unless-stopped

  nginx:
    image: nginx:latest
    container_name: nginx_server
    ports:
      - "8080:80"
    depends_on:
      - tailscale
    restart: unless-stopped

只有兩個環境變數：TS_AUTHKEY 認證、TS_STATE_DIR 搭配 volume 保存狀態。net_admin 與 net_raw 讓容器能建立 tun 介面走核心態網路，不加的話只能跑 userspace 模式，效能較差。

這個範例裡 nginx 是用 ports 開在 Docker host 上的，跟 Tailscale 容器沒有共用網路。也就是說：它同時對 host 所在的實體區域網路開放，不是只有 tailnet 連得到。

拿來熟悉流程很好，正式用要收緊的話：

想要只有 tailnet 連得到 + 自動 HTTPS → 改用用法二的 sidecar
想讓 tailnet 直接連容器 IP、完全不開 host 埠 → 改用用法一的子網路由

用法	曝露範圍	位址	適合
一：獨立節點+子網路由	只有 tailnet	容器 IP，例如 `172.20.0.5:8080`	服務多、想省節點數
二：Sidecar	只有 tailnet	`https://<name>.<tailnet>.ts.net`	要 HTTPS、要穩定名稱
三：官方入門範例	tailnet ＋ host 區網	Docker host IP + 埠	練習、內網本來就可信任

官方的範例集在 tailscale-dev/docker-guide-code-examples，除了 nginx 還有 OAuth 認證、Mealie、Immich（含 GPU）、Actual Server 等完整範例，也附了一份 example-acls.hujson。Podman 可以直接套用不用改。

常用環境變數

變數	用途	預設值
`TS_AUTHKEY`	加入 tailnet 的授權金鑰	未設定
`TS_HOSTNAME`	節點在 tailnet 的名稱	自動產生
`TS_STATE_DIR`	狀態存放目錄，一定要掛 volume	未設定
`TS_ROUTES`	宣告子網路由	未設定
`TS_USERSPACE`	使用者空間網路模式	`true`
`TS_ACCEPT_DNS`	接受後台的 DNS 設定	不接受
`TS_SERVE_CONFIG`	Serve / Funnel 設定的 JSON 檔	未設定
`TS_AUTH_ONCE`	只認證一次，而非每次啟動都認證	`false`
`TS_DEST_IP`	把進來的 tailnet 流量全部轉給某個 IP	未設定
`TS_TAILNET_TARGET_IP`	反向：把流量代理到 tailnet 內某個 IP	未設定
`TS_TAILNET_TARGET_FQDN`	同上，用 MagicDNS 名稱指定	未設定
`TS_SOCKS5_SERVER`	開 SOCKS5 代理的位址與通訊埠	未設定
`TS_ENABLE_HEALTH_CHECK`	開啟 `/healthz` 端點	未啟用
`TS_EXTRA_ARGS`	附加給 `tailscale up` 的旗標	未設定
`TS_TAILSCALED_EXTRA_ARGS`	附加給 `tailscaled` 的旗標	未設定
`TS_EXPERIMENTAL_SERVICE_AUTO_ADVERTISEMENT`	啟動時自動宣告 Tailscale Services	`true`

TS_STATE_DIR 沒有掛 volume 的話，每次重建容器都會被視為全新裝置重新加入 tailnet。後台會累積一堆同名節點（my-app-1、my-app-2…），MagicDNS 名稱也跟著跑掉。

TS_USERSPACE 預設是 true，這種模式不需要 NET_ADMIN 與 /dev/net/tun，但效能較差、也不能當子網路由或出口節點。要做這兩件事就得設 TS_USERSPACE=false 並補上 cap_add 與 devices。

容器提供 Service

Sidecar 模式搭配 Tailscale Services 是很順的組合——容器本來就是會被重建、會換機器的東西，正好需要一個與裝置解耦的位址。

把 TS_SERVE_CONFIG 指向 Service 格式的設定檔即可：

{
  "version": "0.0.1",
  "services": {
    "svc:web-server": {
      "endpoints": {
        "tcp:443": "http://127.0.0.1:80"
      }
    }
  }
}

容器啟動時會自動宣告（由 TS_EXPERIMENTAL_SERVICE_AUTO_ADVERTISEMENT 控制，預設 true）。Auth Key 記得綁 tag——Service 主機必須是標籤身分。

同一個 Service 在多台機器上跑相同的容器，就直接得到高可用：滾動更新時逐台 tailscale serve drain，位址不變、使用者無感。

存取控制 (ACL)

預設的 Policy File 是全部開放——tailnet 內任何裝置都連得到任何裝置。只有自己用還行，多人或多用途的環境該收緊。

一個實際的例子：

{
  "tagOwners": {
    "tag:server": ["autogroup:admin"],
    "tag:container": ["autogroup:admin"]
  },
  "grants": [
    {
      "src": ["autogroup:admin"],
      "dst": ["*"],
      "ip": ["*:*"]
    },
    {
      "src": ["group:family"],
      "dst": ["tag:server"],
      "ip": ["tcp:8096"]
    }
  ],
  "groups": {
    "group:family": ["alice@example.com", "bob@example.com"]
  }
}

這份規則的意思是：管理員能連所有東西，家人只能連到帶 tag:server 標籤的機器的 8096 埠（Jellyfin），其他一律拒絕。

節點加標籤：

sudo tailscale up --advertise-tags=tag:server

加了標籤的節點所有權會轉移給標籤，不再屬於原本的使用者，也不會受該使用者的權限影響。伺服器類的節點建議都打標籤，這樣 ACL 才寫得乾淨，而且成員離職時不會連帶影響伺服器。

另外注意：加標籤需要重新認證，tailscale set --advertise-tags 不能用，要用 tailscale up。

常見問題

連線一直走 relay 不是 direct

tailscale netcheck 看自己的 NAT 型態。兩邊都是對稱式 NAT (symmetric NAT) 的話打洞會失敗，只能走中繼。改善方式：

路由器關掉 UPnP 以外的嚴格 NAT 設定，或改用 Full Cone NAT
在其中一邊設定固定的 WireGuard 通訊埠並做通訊埠轉發：tailscaled --port=41641
有一台有公開 IP 的機器就讓它當節點，變成事實上的直連對象

忘記開 IP 轉送

子網路由與出口節點最常見的問題。tailscale status 看起來一切正常、節點也 ping 得到，但流量就是過不去。檢查：

sysctl net.ipv4.ip_forward   # 要是 1

DNS 突然壞掉

MagicDNS 跟本機 DNS 服務衝突。先 sudo tailscale set --accept-dns=false 確認是不是這個原因。

後台一堆離線的殭屍節點

容器沒掛 state volume，或是 Auth Key 沒設 Ephemeral。後台手動刪掉，然後修設定。

結語

Tailscale 最大的價值是把「安全連回內網」這件事的設定成本壓到幾乎為零。不用開通訊埠、不用管憑證、不用處理浮動 IP，裝完登入就有一個私有網路。

實務上我的配置大致是：

家裡一台常開的 Linux 機器做子網路由 + 出口節點，涵蓋整個 192.168.1.0/24
那台同時是 Global nameserver，跑 AdGuard Home，所有節點連上就自動過濾廣告
需要單獨曝露的容器化服務用 Sidecar 模式 + serve.json，完全不開對外通訊埠
會搬遷或要做高可用的服務改用 Tailscale Services，位址跟裝置脫鉤
伺服器節點全部打 tag:server，ACL 只放行必要的通訊埠
完全不用 Funnel，除非真的需要對外公開

不確定要不要開某項功能的時候，原則跟其他網路設定一樣：先關著，等真的需要再開。

參考資料

Pangolin 安裝筆記

Mon, 27 Jul 2026 16:00:00 GMT

Pangolin 安裝筆記

前言

家裡放了一台 NAS、一台跑 Docker 的小主機，或是租了幾台散落各地的 VPS，接著問題就來了：要怎麼從外面連回去？

傳統做法不外乎那幾種：跟 ISP 要固定 IP、在路由器上開通訊埠轉發 (Port forwarding)、再自己架一套反向代理處理憑證。但只要遇上 CGNAT、浮動 IP，或是路由器根本不歸你管，這條路直接斷掉。就算通了，把 80、443、22 port 曝露在網際網路上，也等於每天被掃描機器人敲門問候。

Pangolin 就是來解這個問題的。

Pangolin 是什麼？Tailscale 或多或少應該有聽過，那 Cloudflare Tunnel 呢？其實這三者是相似的產品，差別在於 Pangolin 是開源專案，可以完全自架在自己的 VPS 上，資料不用經過第三方。

那 Pangolin 能幹嘛？

反向代理：內建 Traefik，自動申請與續期 Let's Encrypt 憑證，設定都在 Web UI 上點一點就好
穿透防火牆：透過 WireGuard 建立 tunnel，內網機器主動往外連，完全不需要通訊埠轉發，CGNAT 環境照樣能用
零信任驗證 (Zero Trust)：在服務前面加上一層身分驗證，支援 PIN、一次性密碼、OIDC SSO，未通過驗證的請求根本碰不到後端服務
安全 SSH：主機不用對外開 22 port，一樣能從外面安全地連進去操作

簡單說，就是用一台便宜的有 public IP 的 VPS 當入口，把散落各處的內網服務通通串起來，並且統一管理誰能存取什麼。

Pangolin 比較適合了解 Linux 系統的使用者，或者平時有在管理雲端主機的使用者

如果一般使用者比較推薦使用 Tailscale 或 Cloudflare 兩者

這篇筆記記錄 Pangolin 的安裝與設定過程。

Pangolin 是怎麼運作的

在動手裝之前，先花三分鐘搞懂它的架構，後面設定會順很多。整套東西拆成兩邊：

一台有 public IP 的 VPS，跑 Pangolin 本體。這台是唯一對網際網路曝露的機器，也是所有流量的入口。

你想要被存取的那些機器（家裡的 NAS、公司的伺服器、朋友家的 Raspberry Pi），各自跑一個叫 Newt 的小連接器。Newt 會主動往 VPS 建立一條 WireGuard 加密隧道 — 注意是「主動往外連」，所以這些機器完全不需要固定 IP、不需要開通訊埠、在 CGNAT 底下也照樣能用。

VPS 上實際跑起來的容器有這幾個，知道名字就好：

元件	角色	白話解釋
Pangolin	控制平面	資料庫、Web 管理介面、API。你所有的設定都存在這
Traefik	反向代理	負責 HTTPS 憑證、把網域名稱對應到正確的後端服務
Gerbil	隧道管理員	管理所有 WireGuard 連線，Newt 和用戶端都是連到它
Badger	驗證中介層	Traefik 的外掛，在請求進入後端前先擋下來檢查身分
Newt	站點連接器	裝在你的機器上，負責建立隧道跟轉發流量

流量走向長這樣：

公開資源：  瀏覽器 → Traefik → Badger（驗證）→ Gerbil → Newt → 你的服務
私有資源：  Pangolin 用戶端 ←─ WireGuard ─→ Newt → 你的服務

三個一定要搞懂的名詞

Pangolin 的管理介面圍繞著三個概念在轉，這三個沒搞清楚就會一直卡住：

Site（站點） — 一個「網路」。通常等於一台跑著 Newt 的機器，或者說「家裡那個網段」。你有幾個地點的機器要接進來，就建幾個 Site。

Resource（資源） — 一個「你要開放出去的服務」。例如「家裡的 Jellyfin」、「NAS 的管理介面」、「開發機的 SSH」。資源分兩種：

公開資源 (Public)：透過網域名稱從瀏覽器直接存取，前面有 Pangolin 的驗證關卡擋著。不用裝任何用戶端。
私有資源 (Private)：真正的零信任 VPN，完全不對外曝露，必須裝 Pangolin 用戶端才連得到。

Target（目標） — 資源實際指向的後端位址，也就是 IP:Port。例如 192.168.1.50:8096。一個資源可以掛多個 Target 做負載平衡。

理解成這樣就對了：Site 是通道，Resource 是門，Target 是門後面的房間。

Pangolin 的預設是「全部拒絕」。裝好之後你的內網不會突然對外開放，每一個要能被存取的服務，都得由你手動建立成 Resource 才會通。

開始之前的準備

一台 VPS

規格不用高，Pangolin 本身很輕量：

用途	建議規格
最低可跑	1 vCPU / 2GB RAM / 8GB SSD
一般自架（推薦）	2 vCPU / 2GB RAM / 20GB SSD
多站點、流量較大	4 vCPU / 4GB RAM / 40GB SSD

作業系統建議 Ubuntu 20.04 以上或 Debian 11 以上，需要 root 權限跟一個 public IP。

真正要留意的不是 CPU 跟記憶體，是流量。所有經過隧道的資料都會過這台 VPS，如果你要串流 4K 影片，月流量很容易破表。一般 VPS 方案含 1~2TB/月，超過通常要另外收費。挑機房也盡量挑離你近的，延遲直接影響體感。

一個網域

要有一個自己的網域，例如 example.com。Pangolin 會用子網域來區分不同的服務（nas.example.com、jellyfin.example.com…），所以網域是必需品，不是選配。

DNS 設定

到你的 DNS 供應商那邊加上這兩筆 A 記錄：

類型	名稱	值	TTL
A	`*`	你的 VPS IP	300
A	`@`	你的 VPS IP	300

第一筆萬用字元 (wildcard) 記錄是關鍵 — 它讓任何子網域都指向你的 VPS。這樣以後每加一個新服務，你只要在 Pangolin 介面裡填個子網域名稱就好，不用再回 DNS 加記錄。第二筆根網域是選配。

如果你用 Cloudflare 管理 DNS，這兩筆記錄請先設成 DNS only（灰色雲朵），不要開橘色雲朵的 Proxy。Proxy 開著會擋掉 Let's Encrypt 的驗證流程，也會干擾 WireGuard。等一切都跑起來之後再看官方的 Cloudflare Proxy 文件決定要不要開。

設定完可以等個幾分鐘，用這個指令確認 DNS 生效了沒：

dig +short test.example.com

有回傳你的 VPS IP 就對了。

防火牆

VPS 上要放行這四個 port：

Port	協定	用途
80	TCP	HTTP，Let's Encrypt 憑證驗證用
443	TCP	HTTPS，所有網頁流量跟管理介面
51820	UDP	站點隧道（Newt 連到 Gerbil）
21820	UDP	用戶端隧道（Pangolin 用戶端連進來）

以 ufw 為例：

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw allow 51820/udp
sudo ufw allow 21820/udp
sudo ufw enable

如果你的 VPS 供應商有另外一層雲端防火牆（DigitalOcean、AWS 安全群組之類的），記得那邊也要開。

SSH 的 22 port 在設定好 Pangolin 之前都先綁定家裡特定 IP 才能通過防火牆，不要設定成 0.0.0.0/0 都可以訪問到 22 port。等 Pangolin 設定完成後再改走 Pangolin 。

安裝 Pangolin

官方說明

安裝腳本會幫你把 Docker、Docker Compose 跟所有設定檔都準備好，實際上你只要跑兩行指令。

先切到你想安裝的目錄（設定檔跟資料都會放在這，建議找個好記的地方）：

sudo mkdir -p /opt/pangolin && cd /opt/pangolin

下載安裝程式：

curl -fsSL https://static.pangolin.net/get-installer.sh | bash

這支腳本會自動判斷你的架構（AMD64 / ARM64）抓對應的執行檔，跑完會在當前目錄留下一個 installer。

執行安裝：

sudo ./installer

安裝過程會問的問題

安裝程式是互動式的，會依序問你這幾件事：

1. 選擇版本 — 選 Community（社群版，免費開源）。Enterprise 是商業授權版，個人自架用不到。

2. Base Domain（根網域） — 填你的根網域，不要帶子網域。例如 example.com，不是 www.example.com。

3. Dashboard Domain（管理介面網域） — 管理後台要用的網址，預設是 pangolin.example.com。可以改成你喜歡的，例如 admin.example.com。直接按 Enter 用預設值也行。

4. Let's Encrypt Email — 填一個真實信箱。這個信箱有兩個用途：一是憑證即將到期時 Let's Encrypt 會寄通知，二是這也會是你之後登入管理後台的帳號，所以別亂填。

5. 是否安裝 Gerbil — 選是。Gerbil 是負責 WireGuard 隧道的元件，不裝的話就沒有穿透防火牆的能力，Pangolin 就退化成一個普通的反向代理了。除非你所有服務都跑在這台 VPS 上，否則一定要裝。

6. Email（SMTP）設定 — 這個是選配，預設關閉，可以先跳過。之後想開通「email 一次性驗證碼」或「密碼重設信」等功能，再回頭改設定檔就好。

7. 確認安裝 — 確認後開始拉 Docker 映像檔（pangolin、gerbil、traefik）並啟動容器，大概 2~3 分鐘。

跑完之後檢查一下容器狀態：

sudo docker compose ps

pangolin、gerbil、traefik 三個都是 Up 就成功了。

初始設定

取得 Setup Token

第一次登入需要一組安全權杖，它印在 pangolin 容器的日誌裡：

sudo docker compose logs pangolin

在輸出裡找類似 Setup token: xxxxxxxx 的字樣，把它複製起來。

如果日誌太長翻不到，可以用 sudo docker compose logs pangolin | grep -i token 過濾。

建立管理員帳號

瀏覽器打開：

https://<你的管理介面網域>/auth/initial-setup

例如 https://pangolin.example.com/auth/initial-setup。

如果這頁打不開，先別急著懷疑 Pangolin，八成是 DNS 還沒生效或防火牆沒開。回去檢查上面的準備步驟。

頁面上依序：

貼上剛剛複製的 Setup Token
輸入管理員 email
設定一組夠強的密碼 — 這是整個系統的最高權限帳號，別偷懶

建立組織 (Organization)

建好帳號後會要你建立第一個 Organization，填個名稱跟說明就好，例如「我家」。組織是 Pangolin 用來分隔資源跟權限的最上層容器，個人自架通常一個就夠。

到這裡你已經有一個能用的 Pangolin 了，但它現在還沒有任何東西可以連 — 因為還沒有 Site。

建立第一個 Site

Site 代表「你的服務所在的那個網路」。假設現在要把家裡 NAS 上的服務接進來，那就得在 NAS（或家裡任何一台常開的機器）上裝 Newt。

在後台建立 Site

在 Pangolin 後台側邊欄找到 Sites → 新增。

需要選擇 Site 類型，有三種：

類型	什麼時候用
Newt（推薦）	絕大多數情況。功能最完整，支援公開資源、私有資源、SSH/RDP/VNC、健康檢查、負載平衡
Local	服務就跑在 Pangolin 這台 VPS 上，不需要隧道。不支援私有資源跟健康檢查
Basic WireGuard	進階場景，手動設定原生 WireGuard，不用 Newt。功能限制多，一般不建議

選 Newt，取個名字（例如「家裡」），建立。

建立完成後，Pangolin 會顯示一組連線憑證：

Newt ID:     31fsdasdasp721
Newt Secret: h51mmlkasdsadasdasdagrwumt6isgbpyavxodibx1k2d6
Endpoint:    https://pangolin.example.com

Secret 只會完整顯示這一次，關掉視窗就看不到了。先複製到安全的地方。真的忘了也不用慌，可以回後台重新產生一組，只是要重設 Newt 那邊的設定。

在內網機器上安裝 Newt

Pangolin 通常會直接把指令產好給你複製。以下是幾種常見的安裝方式，挑一種用就好。

方法一：Docker Compose（最推薦）

在你的內網機器上建立 compose.yml：

services:
  newt:
    image: fosrl/newt
    container_name: newt
    restart: unless-stopped
    network_mode: host
    environment:
      - PANGOLIN_ENDPOINT=https://pangolin.example.com
      - NEWT_ID=31fsdasdasp721
      - NEWT_SECRET=h51mmlkasdsadasdasdagrwumt6isgbpyavxodibx1k2d6

啟動：

docker compose up -d

用 network_mode: host 是為了讓 Newt 能直接存取同一台機器上的其他服務跟整個區域網路。如果你的環境不方便用 host 模式，就得另外處理容器間的網路互通，會麻煩不少。或者可以移除 network_mode: host 另外增加

extra_hosts:
  - "host.docker.internal:host-gateway"

這樣就可以隔離網路且讓資源是透過 host.docker.internal 來訪問 host 網路

方法二：Docker 單行指令（快速測試用）

docker run -d --name newt --restart unless-stopped --network host \
  fosrl/newt \
  --id 31fsdasdasp721 \
  --secret h51mmlkasdsadasdasdagrwumt6isgbpyavxodibx1k2d6 \
  --endpoint https://pangolin.example.com

方法三：直接裝二進位執行檔

沒有 Docker 的環境（例如某些 NAS 或路由器）可以裝原生執行檔：

curl -fsSL https://static.pangolin.net/get-newt.sh | bash

然後執行：

newt --id 31fsdasdasp721 \
     --secret h51mmlkasdsadasdasdagrwumt6isgbpyavxodibx1k2d6 \
     --endpoint https://pangolin.example.com

要讓它開機自動啟動，寫成 systemd 服務。先把憑證放進環境變數檔 /etc/newt/newt.env：

NEWT_ID=31fsdasdasp721
NEWT_SECRET=h51mmlkasdsadasdasdagrwumt6isgbpyavxodibx1k2d6
PANGOLIN_ENDPOINT=https://pangolin.example.com

建立 /etc/systemd/system/newt.service：

[Unit]
Description=Newt Connector
After=network-online.target
Wants=network-online.target

[Service]
Type=simple
EnvironmentFile=/etc/newt/newt.env
ExecStart=/usr/local/bin/newt
Restart=always
RestartSec=10

[Install]
WantedBy=multi-user.target

啟用：

sudo systemctl daemon-reload
sudo systemctl enable --now newt
sudo systemctl status newt

確認連線成功

回到 Pangolin 後台的 Sites 頁面，剛剛建立的 Site 狀態應該從 Offline 變成 Online（可能要等個十幾秒）。

沒變綠燈的話，先看 Newt 那邊的日誌：

docker compose logs -f newt
# 或
sudo journalctl -u newt -f

發布第一個服務

Site 通了，現在來把一個實際的服務開放出去。這裡以家裡的 Jellyfin（跑在 192.168.1.50:8096）為例。

建立 Resource

後台側邊欄 Resources → 新增，選擇 HTTP / HTTPS 類型。

要填的東西：

名稱：自己看得懂就好，例如 Jellyfin
子網域：例如 jellyfin，完整網址就會是 https://jellyfin.example.com。因為你 DNS 設了萬用字元記錄，這裡填什麼都會自動生效，不用回去改 DNS
Site：選剛剛建立的「家裡」

設定 Target

建立完資源後，進去設定 Target，也就是流量最終要送到哪。

方式 (Method)：http 或 https — 這是指 Pangolin 用什麼協定去連你的後端服務，跟外面看到的網址無關。外部一律是 HTTPS
IP / 主機名稱：192.168.1.50
通訊埠：8096

Target 位址怎麼填，看你的服務跑在哪：

服務位置	Target 填什麼
內網另一台機器	那台機器的區域網路 IP，例如 `192.168.1.50`
跟 Newt 同一台機器（Newt 用 host 網路）	`127.0.0.1`
跟 Newt 同一個 Docker Compose	容器的服務名稱，例如 `jellyfin`
Newt 容器要連到宿主機	`172.17.0.1` 或 `host.docker.internal`

存檔後等個十幾秒讓 Traefik 申請憑證，然後打開 https://jellyfin.example.com — 應該就看到你的服務了，而且是有效的 HTTPS 憑證。

到這一步為止，你家的路由器完全沒有動過任何設定，一個 port 都沒轉。所有流量都是走 Newt 主動建立的那條加密隧道進來的。

想加第二、第三個服務，就重複這一節：建 Resource、填子網域、指 Target。不用再碰 DNS、不用再碰防火牆。

加上身分驗證

現在這個服務是「有網址就能進」的狀態。Jellyfin 自己有登入頁面還好，但如果是那種沒有驗證機制的內部工具，等於直接裸奔在網際網路上。

Pangolin 的價值就在這 — 在服務前面再加一層關卡，沒通過的請求根本碰不到後端。

進入該 Resource 的設定頁，找到驗證 (Authentication) 相關選項：

Pangolin SSO — 必須用 Pangolin 帳號登入。可以指定哪些使用者或角色能存取這個資源。最完整的做法，適合給家人朋友各自開帳號。

外部身分提供者 (OIDC) — 接 Google、Microsoft Entra ID、Okta 等等。想用 Google 帳號登入就用這個。

PIN 碼 — 最簡單粗暴，設一組數字密碼，進去之前要先輸入。適合臨時分享。

密碼 — 類似 HTTP Basic Auth，支援在 Authorization: Basic 標頭帶帳密，或直接寫在網址裡 user:pass@domain.com。適合給程式或腳本用。

Email 一次性驗證碼 (OTP) — 先設定允許的信箱白名單（支援萬用字元如 *@example.com），使用者輸入信箱後收到驗證碼才能進。需要先設定好 SMTP。

分享連結 (Shareable Links) — 產生有時效的臨時連結，想收回權限就把連結刪掉。適合「幫我看一下這個」這種一次性需求。

IP / 地理位置規則 — 設定有優先順序的規則，依來源 IP、國家、URL 路徑決定放行或封鎖。例如「只允許台灣的 IP」。

這些可以組合使用，也可以做成共用的 Resource Policy 套用到多個資源上，避免每個服務都要重設一次。

建議至少對所有沒有自帶登入機制的服務開啟一種驗證。開了之後即使有人猜到你的子網域名稱，看到的也只是 Pangolin 的驗證頁面。

不開 22 port 的 SSH

這是 Pangolin 相當實用的功能之一：主機不用對外開 22 port。

在 Resources 新增一個 SSH 類型的資源。SSH 資源不使用 Target，而是直接：

指定哪些 Site 可以路由到這個資源
填入後端主機跟 port（例如 192.168.1.50:22）
設定驗證方式（同上一節）

設定完成後，直接用瀏覽器打開這個資源的網址，就會看到一個完整的互動式終端機 — 不需要 SSH 用戶端，不需要裝 Pangolin 桌面程式，手機瀏覽器也能用。

Pangolin 的驗證會在 SSH 連線建立之前擋一次，通過之後才會進到主機自己的登入流程。等於多了一層完全獨立的防護。

如果要用 Pangolin SSH 模式（直接連到執行 Newt 的那台主機本身），Newt 必須以 root 權限執行。

確認能從瀏覽器連進去之後，就可以把 VPS 跟內網機器的 22 port 從對外防火牆規則裡拿掉了。

防火牆禁用 22 port 之前，務必先確認 Pangolin 的 SSH 資源真的能連進去，而且你有其他救援手段（VPS 供應商的 Console、實體機器旁邊的鍵盤）。不然一旦 Pangolin 出事，你就把自己鎖在門外了。

日常維護

更新

Pangolin 更新沒有一鍵指令，要手動改版號。步驟如下：

1. 先備份 — 把 config 目錄複製到安全的地方：

sudo cp -r /opt/pangolin/config /opt/pangolin/config.bak.$(date +%F)

2. 停止服務：

cd /opt/pangolin
sudo docker compose down

3. 查最新版號 — 到 GitHub Releases 看 Pangolin、Gerbil、Badger 的版本，Traefik 則看 Docker Hub。

4. 改版號 — 編輯 docker-compose.yml 裡各服務的映像檔版本；Badger 的版本在 config/traefik/traefik_config.yml 裡。

5. 拉映像檔並啟動：

sudo docker compose pull
sudo docker compose up -d

6. 看日誌確認：

sudo docker compose logs -f

7. 驗證 — 開管理後台、確認 Site 還是 Online、測試幾個資源連得上。

跨大版本升級請一個一個版本升上去，不要從 v1.0 直接跳 v1.5。中間可能有資料庫 migration，跳版容易出事。

Newt 那邊也要記得更新，Docker 的話：

docker compose pull && docker compose up -d

網段衝突

Pangolin 預設使用 100.89.137.0/20 這個 CGNAT 網段給隧道用，每個 Site 分配一個 /30 子網（4 個 IP）。

如果這個網段跟你家或公司的網路撞到，必須在註冊第一個 Site 之前先改設定檔。已經跑起來之後才改會很麻煩。一般家用網路是 192.168.x.x，通常不會撞。

常見問題

管理介面打不開 DNS 還沒生效，或 80/443 沒開。用 dig +short pangolin.example.com 確認解析，用 sudo docker compose ps 確認容器有起來。別忘了 VPS 供應商的雲端防火牆也要開。

憑證申請失敗 Let's Encrypt 需要透過 80 port 驗證網域擁有權。檢查 80 port 有沒有被別的程式（Apache、nginx）佔用，以及 Cloudflare 的橘色雲朵有沒有關掉。看 Traefik 日誌：sudo docker compose logs traefik。

Site 一直顯示 Offline Newt 連不到 Gerbil。檢查 51820/udp 有沒有開（UDP 不是 TCP，這是最常踩的雷），確認 PANGOLIN_ENDPOINT 填的是完整網址含 https://，看 Newt 日誌找錯誤訊息。

Site 是 Online 但資源連不上 問題出在 Target。從 Newt 所在的那台機器手動測試一下後端通不通：

curl -v http://192.168.1.50:8096

連不上就是內網路由或防火牆問題，跟 Pangolin 無關。另外檢查 Target 的協定（http/https）跟 port 有沒有填對。

服務可以開但版面跑掉、資源載入失敗 某些應用程式需要知道自己被反向代理，得在該應用的設定裡指定對外的 base URL，或是在 Pangolin 這邊調整轉發標頭 (Forwarded Headers)。

結語

Pangolin 的核心價值是把三件本來要分開處理的事情合成一套：反向代理 + 憑證管理、隧道穿透、身分驗證。對於手上有幾台散落各地機器的人來說，管理成本降低很多。

代價是你得自己維護那台 VPS。它是整套系統的單點 — VPS 掛了所有服務都連不上，VPS 被打進去就是全面淪陷。所以該做的基本功一樣不能少：定期更新、SSH 金鑰登入、關掉不必要的服務。

如果只是想在自己的幾台裝置之間互連，不需要對外公開任何東西，Tailscale 那類方案設定更簡單。但如果你想要「用網域名稱公開存取 + 統一的身分驗證 + 資料不經過第三方」，Pangolin 目前是相當完整的選擇。

參考資料

tmux 筆記

Sat, 18 Jul 2026 16:00:00 GMT

tmux 筆記

tmux 設定

設定 session 名稱寬度

echo "set -g status-left-length 50" | tee -a ~/.tmux.conf
tmux source-file ~/.tmux.conf

tmux 命令

建立 session

tmux new-session -d -s {session 名稱}

刪除背景所有 session

tmux kill-session -a

關閉「特定」的 session

tmux kill-session -t {session 名稱}

tmux 操作

在 tmux 中所有組合鍵的前提是先按 ctrl+b 之後在按特定案件來操作

用途	組合鍵
在 session 中建立新 windows	c
關閉現在的 windows	x
查看所有 windows	w
切換至上一個	p
切換至下一個	n
切換至指定	0~9
左右分割	%
上下分割	”
在分割區塊間移動游標	方向鍵（上、下、左、右）
重新命名 windows	,
切換至其他 session	s

VSCode 遠端設定

VSCode 必須安裝的擴充套件:

ctrl+, 開啟設定，選擇”遠端”如圖

並點擊右邊開啟 json 設定

將以下的 json 貼上，這樣連線至遠端之後就會自動進入特定 tmux session

{
    "terminal.integrated.profiles.linux": {
        "Auto Tmux": {
            "path": "tmux",
            "args": [
                "new-session",
                "-A",
                "-s",
                "vscode-${workspaceFolderBasename}"
            ]
        }
    },
    "terminal.integrated.defaultProfile.linux": "Auto Tmux"
}

Docker 資料目錄修改

Tue, 07 Jul 2026 16:00:00 GMT

在 Docker 版本 > 29.0 產生的異動
除了原先的 /etc/docker/daemon.json

{
  "data-root": "/mnt/docker-data"
}

還增加了一個 containerd 路徑, 因為 29.0 之後的版本調整為使用 containerd 映像儲存 /etc/containerd/config.toml

root = "/mnt/containerd-data"

修改完成後要將原先的 /var/lib/containerd移動至新的目錄位置, 並且重新啟動 docker 和 containerd 服務

sudo systemctl restart docker
sudo systemctl restart docker.socket
sudo systemctl restart containerd

參考資源

Docker 官方文件 - Daemon

Docker Volume 類型比較

Tue, 07 Jul 2026 16:00:00 GMT

#Docker #Linux

Docker Volume 類型比較

1. Named Volumes (命名卷)

說明

Named Volumes 是由 Docker 管理的持久化儲存方案,資料儲存在 Docker 的管理目錄中(Linux 通常在 /var/lib/docker/volumes/)。這是最推薦的資料持久化方式。

特點

✅ 由 Docker 完全管理,不需要指定主機路徑
✅ 可以在多個容器間共享
✅ 支援 volume drivers,可擴展至遠端儲存
✅ 容易備份和遷移
✅ 在 Windows 和 Mac 上效能較好

Docker Compose 設定

services:
  db:
    image: postgres:15
    volumes:
      - postgres_data:/var/lib/postgresql/data
    environment:
      POSTGRES_PASSWORD: example

volumes:
  postgres_data:
    driver: local
    # 可選:指定 driver options
    driver_opts:
      type: none
      device: /path/on/host
      o: bind

Docker 命令

# 建立基本 volume
docker volume create my_volume

# 建立 volume 並指定 driver
docker volume create --driver local my_volume

# 建立 volume 並設定 driver_opts (對應 docker-compose 的 driver_opts)
docker volume create \
  --driver local \
  --opt type=none \
  --opt device=/path/on/host \
  --opt o=bind \
  postgres_data

# 使用短選項 -o (等同於 --opt)
docker volume create \
  --driver local \
  -o type=none \
  -o device=/absolute/path/on/host \
  -o o=bind \
  my_volume

# NFS volume 範例
docker volume create \
  --driver local \
  -o type=nfs \
  -o o=addr=192.168.1.100,rw \
  -o device=:/path/to/nfs/share \
  nfs_volume

# 使用 volume 啟動容器
docker run -d \
  --name my_container \
  -v my_volume:/app/data \
  nginx:latest

# 查看所有 volumes
docker volume ls

# 查看 volume 詳細資訊(包含 driver_opts)
docker volume inspect my_volume

# 刪除 volume
docker volume rm my_volume

# 清理未使用的 volumes
docker volume prune

Volume SubPath (掛載子目錄)

Docker 支援使用 volume-subpath 參數來掛載 volume 內的特定子目錄,而不是整個 volume。這在多容器共享同一 volume 時特別有用。

重要限制

子目錄必須預先存在於 volume 中,否則掛載會失敗
只能使用 --mount 語法,不支援 -v 簡短語法
Docker Compose 目前官方文件未明確說明支援此功能

Docker 命令語法

--mount src=<volume-name>,dst=<container-path>,volume-subpath=<subdir>

完整範例

# 1. 建立 volume
docker volume create logs

# 2. 初始化子目錄結構(必須先建立)
docker run --rm \
  --mount src=logs,dst=/logs \
  alpine mkdir -p /logs/app1 /logs/app2

# 3. App1 只掛載 logs volume 的 app1 子目錄
docker run -d \
  --name app1 \
  --mount src=logs,dst=/var/log/app,volume-subpath=app1 \
  myapp1:latest

# 4. App2 只掛載 logs volume 的 app2 子目錄
docker run -d \
  --name app2 \
  --mount src=logs,dst=/var/log/app,volume-subpath=app2 \
  myapp2:latest

# 5. 查看整個 volume 的內容(用於管理)
docker run --rm \
  --mount src=logs,dst=/logs \
  alpine ls -lR /logs

實用範例

# 建立共享資料 volume
docker volume create shared_data

# 初始化多個應用的子目錄
docker run --rm \
  --mount src=shared_data,dst=/data \
  alpine sh -c "
    mkdir -p /data/uploads/user1 /data/uploads/user2 &&
    mkdir -p /data/cache/app1 /data/cache/app2 &&
    chown -R 1000:1000 /data
  "

# 上傳服務 - 使用 uploads/user1 子目錄
docker run -d \
  --name upload_user1 \
  --mount src=shared_data,dst=/app/uploads,volume-subpath=uploads/user1 \
  upload_service:latest

# 快取服務 - 使用 cache/app1 子目錄
docker run -d \
  --name cache_app1 \
  --mount src=shared_data,dst=/app/cache,volume-subpath=cache/app1 \
  cache_service:latest

Docker Compose (非官方支援,但可變通)

Docker Compose 目前沒有直接的 volume-subpath 語法,但可以使用以下變通方式:

# 方法 1: 使用 driver_opts 將 volume 綁定到主機子目錄
services:
  app1:
    image: myapp:latest
    volumes:
      - app1_logs:/var/log/app

  app2:
    image: myapp:latest
    volumes:
      - app2_logs:/var/log/app

volumes:
  app1_logs:
    driver: local
    driver_opts:
      type: none
      device: /host/shared/logs/app1
      o: bind

  app2_logs:
    driver: local
    driver_opts:
      type: none
      device: /host/shared/logs/app2
      o: bind

# 方法 2: 使用 init 容器 + 環境變數
services:
  init:
    image: alpine
    volumes:
      - shared_data:/data
    command: mkdir -p /data/app1 /data/app2
    restart: "no"

  app1:
    image: myapp:latest
    depends_on:
      - init
    volumes:
      - shared_data:/data
    working_dir: /data/app1
    environment:
      DATA_PATH: /data/app1

  app2:
    image: myapp:latest
    depends_on:
      - init
    volumes:
      - shared_data:/data
    working_dir: /data/app2
    environment:
      DATA_PATH: /data/app2

volumes:
  shared_data:

使用場景

多容器共享單一 volume 時隔離資料
為每個容器維護獨立的日誌目錄
精細控制資料存取範圍
節省 volume 數量(一個 volume 多個用途)

使用場景

資料庫資料持久化(PostgreSQL, MySQL, MongoDB)
應用程式上傳的檔案儲存
需要在多個容器間共享的資料
生產環境的資料儲存

2. Bind Mounts (綁定掛載)

說明

Bind Mounts 將主機上的特定檔案或目錄直接掛載到容器中。提供了最直接的檔案系統存取,但依賴主機的檔案系統結構。

特點

✅ 可以直接存取和編輯主機檔案
✅ 適合開發環境的即時程式碼更新
✅ 可以掛載單一檔案或整個目錄
⚠️ 依賴主機的目錄結構
⚠️ 在 Windows/Mac 上效能可能較差
⚠️ 安全性較低(容器可以修改主機檔案)

Docker Compose 設定

services:
  web:
    image: node:18
    working_dir: /app
    volumes:
      # 長語法(推薦)
      - type: bind
        source: ./src
        target: /app
        read_only: false

      # 短語法
      - ./config:/app/config:ro  # :ro 表示唯讀
      - ./logs:/app/logs
    command: npm run dev
    ports:
      - "3000:3000"

  nginx:
    image: nginx:latest
    volumes:
      # 掛載設定檔
      - ./nginx.conf:/etc/nginx/nginx.conf:ro
      # 掛載靜態檔案
      - ./public:/usr/share/nginx/html:ro
    ports:
      - "80:80"

Docker 命令

# 使用絕對路徑掛載
docker run -d \
  --name dev_container \
  -v /absolute/path/on/host:/app \
  -v $(pwd)/config:/app/config:ro \
  node:18

# 使用相對路徑(需要完整路徑)
docker run -d \
  --name web \
  -v "$(pwd)":/app \
  -w /app \
  nginx:latest

# 掛載單一檔案
docker run -d \
  --name app \
  -v $(pwd)/.env:/app/.env:ro \
  myapp:latest

# 使用 --mount 語法(更明確,推薦)
docker run -d \
  --name app \
  --mount type=bind,source=$(pwd)/src,target=/app,readonly=false \
  node:18

使用場景

開發環境的即時程式碼更新
掛載設定檔到容器
需要在主機上直接查看/編輯容器檔案
CI/CD 建置過程中的檔案共享

3. Anonymous Volumes (匿名卷)

說明

Anonymous Volumes 是沒有指定名稱的 volume,由 Docker 自動產生隨機名稱。當容器被刪除時,通常也會一起被刪除(除非使用特定選項)。

特點

✅ 自動管理,無需手動建立
✅ 適合臨時資料儲存
⚠️ 難以追蹤和管理
⚠️ 容器刪除後可能遺留孤立 volumes
⚠️ 無法在容器間共享(每次都會建立新的)

Docker Compose 設定

services:
  app:
    image: node:18
    volumes:
      # 匿名 volume(不指定主機路徑或 volume 名稱)
      - /app/node_modules
      - /app/cache
    working_dir: /app
    command: npm start

  db:
    image: postgres:15
    volumes:
      # 結合 bind mount 和匿名 volume
      - ./app:/app                    # bind mount
      - /app/node_modules             # 匿名 volume,避免覆蓋
    environment:
      POSTGRES_PASSWORD: example

Docker 命令

# 建立匿名 volume
docker run -d \
  --name app \
  -v /app/data \
  nginx:latest

# 容器刪除時自動清理匿名 volume
docker run --rm \
  -v /tmp/cache \
  alpine:latest

# 查看容器的匿名 volumes
docker inspect app

# 範例:避免 node_modules 被覆蓋
docker run -d \
  --name node_app \
  -v $(pwd):/app \
  -v /app/node_modules \
  node:18

使用場景

保護容器內特定目錄不被 bind mount 覆蓋(如 node_modules)
臨時快取資料
不需要持久化的資料
開發環境的臨時檔案

4. tmpfs Mounts (臨時檔案系統掛載)

說明

tmpfs Mounts 將資料儲存在主機的記憶體中,不會寫入磁碟。當容器停止時,資料就會消失。只在 Linux 上可用。

特點

✅ 極快的讀寫速度(記憶體存取)
✅ 敏感資料不會寫入磁碟
✅ 容器停止後自動清理
⚠️ 資料不持久化
⚠️ 佔用主機記憶體
⚠️ 只支援 Linux

Docker Compose 設定

services:
  web:
    image: nginx:latest
    tmpfs:
      - /tmp
      - /run
    # 或使用長語法
    volumes:
      - type: tmpfs
        target: /app/cache
        tmpfs:
          size: 100M  # 限制大小為 100MB
          mode: 1777  # 設定權限

  app:
    image: myapp:latest
    volumes:
      - type: tmpfs
        target: /app/temp
        tmpfs:
          size: 50M
      - data:/app/data  # 結合 named volume

volumes:
  data:

Docker 命令

# 基本使用
docker run -d \
  --name app \
  --tmpfs /tmp \
  nginx:latest

# 使用 --mount 指定選項
docker run -d \
  --name app \
  --mount type=tmpfs,target=/app/cache,tmpfs-size=100M,tmpfs-mode=1770 \
  myapp:latest

# 多個 tmpfs mounts
docker run -d \
  --name app \
  --tmpfs /tmp:rw,size=50M,mode=1777 \
  --tmpfs /run:rw,size=10M \
  nginx:latest

# 查看掛載資訊
docker inspect app | grep -A 10 Mounts

使用場景

敏感資料處理(密碼、金鑰等)
高速快取需求
臨時檔案處理
Session 儲存
編譯過程的臨時檔案

Volume 類型比較表

特性	Named Volume	Bind Mount	Anonymous Volume	tmpfs Mount
持久化	✅ 是	✅ 是	✅ 是	❌ 否
Docker 管理	✅ 是	❌ 否	✅ 是	❌ 否
主機路徑控制	❌ 否	✅ 是	❌ 否	❌ 否
容器間共享	✅ 容易	✅ 可以	❌ 困難	❌ 不可
效能(Linux)	好	好	好	極佳
效能(Win/Mac)	好	較差	好	N/A
備份容易度	容易	中等	困難	N/A
安全性	高	中等	高	高
使用複雜度	簡單	中等	簡單	簡單
生產環境	✅ 推薦	⚠️ 謹慎	❌ 不推薦	✅ 特定場景

實用技巧與最佳實踐

1. Volume 備份與還原

# 備份 named volume
docker run --rm \
  -v my_volume:/source:ro \
  -v $(pwd):/backup \
  alpine tar czf /backup/backup.tar.gz -C /source .

# 還原 volume
docker run --rm \
  -v my_volume:/target \
  -v $(pwd):/backup \
  alpine tar xzf /backup/backup.tar.gz -C /target

2. 複製 Volume 資料

# 從一個 volume 複製到另一個
docker run --rm \
  -v old_volume:/from:ro \
  -v new_volume:/to \
  alpine sh -c "cd /from && cp -av . /to"

3. 組合使用範例

services:
  app:
    image: node:18
    volumes:
      # Bind mount: 開發時即時更新程式碼
      - ./src:/app/src

      # Named volume: 持久化上傳檔案
      - uploads:/app/uploads

      # Anonymous volume: 保護 node_modules
      - /app/node_modules

      # tmpfs: 高速快取
    tmpfs:
      - /app/cache:size=100M

  db:
    image: postgres:15
    volumes:
      # Named volume: 資料庫資料持久化
      - db_data:/var/lib/postgresql/data
    environment:
      POSTGRES_PASSWORD: example

volumes:
  uploads:
  db_data:

4. 清理未使用的 Volumes

# 清理所有未使用的 volumes
docker volume prune -f

# 清理特定 volume
docker volume rm volume_name

# 查看 volume 使用情況
docker system df -v

5. 使用 Volume SubPath 實現多租戶資料隔離

# 實際場景:多個微服務共享一個資料 volume,但各自有獨立空間

# 建立共享 volume
docker volume create microservices_data

# 初始化子目錄結構
docker run --rm \
  --mount src=microservices_data,dst=/data \
  alpine sh -c "
    mkdir -p /data/{auth,user,order}/{uploads,cache,logs} &&
    mkdir -p /data/shared/{config,templates} &&
    chown -R 1000:1000 /data
  "

# 認證服務 - 只能存取 auth 子目錄
docker run -d \
  --name auth_service \
  --mount src=microservices_data,dst=/app/data,volume-subpath=auth \
  --mount src=microservices_data,dst=/app/shared,volume-subpath=shared,readonly \
  auth:latest

# 使用者服務 - 只能存取 user 子目錄
docker run -d \
  --name user_service \
  --mount src=microservices_data,dst=/app/data,volume-subpath=user \
  --mount src=microservices_data,dst=/app/shared,volume-subpath=shared,readonly \
  user:latest

# 訂單服務 - 只能存取 order 子目錄
docker run -d \
  --name order_service \
  --mount src=microservices_data,dst=/app/data,volume-subpath=order \
  --mount src=microservices_data,dst=/app/shared,volume-subpath=shared,readonly \
  order:latest

# 管理容器 - 可以存取完整 volume(用於維護)
docker run --rm -it \
  --mount src=microservices_data,dst=/data \
  alpine sh

# 備份特定服務的資料
docker run --rm \
  --mount src=microservices_data,dst=/data,volume-subpath=auth \
  -v $(pwd)/backups:/backup \
  alpine tar czf /backup/auth-$(date +%Y%m%d).tar.gz -C /data .

選擇建議

使用 Named Volumes 當

生產環境的資料持久化
需要簡單的備份和遷移
資料需要在容器間共享
使用 Windows 或 Mac 進行開發

使用 Bind Mounts 當

開發環境需要即時程式碼更新
需要精確控制檔案位置
設定檔需要頻繁修改
與主機工具整合(如 IDE)

使用 Anonymous Volumes 當

保護特定目錄不被覆蓋
臨時資料儲存
不需要跨容器共享

使用 tmpfs Mounts 當

處理敏感資料
需要極高的 I/O 效能
臨時快取或 session 儲存
資料不需要持久化

參考資源

Linux 常用壓縮/解壓縮命令

Sun, 07 Apr 2024 16:00:00 GMT

.tar	.tar.gz
.tar.bz	.tar.bz2
.tar.xz	.tar.Z
.tgz	.tar.tgz
.tar.zst	.gz
.bz	.bz2
.xz	.Z
.7z	.zip
.rar	.lha
.zst

.tar (無壓縮)

打包

tar cvf dir.tar dir_name

解包

tar xvf dir.tar

.tar.gz

壓縮

tar zcvf dir.tar.gz dir_name

解壓縮

tar zxvf dir.tar.gz

.tar.bz

壓縮

tar zcvf dir.tar.gz dir_name

解壓縮

tar jxvf dir.tar.bz

.tar.bz2

壓縮

tar jcvf dir.tar.bz2 dir_name

解壓縮

tar jxvf dir.tar.bz2

.tar.xz

壓縮

tar Jcvf dir.tar.xz dir_name

解壓縮

tar Jxvf dir.tar.xz

.tar.Z

壓縮

tar Zcvf dir.tar.Z dir_name

解壓縮

tar Zxvf dir.tar.Z

.tgz

壓縮

tar zcvf dir.tgz dir

解壓縮

tar zxvf dir.tgz

.tar.tgz

壓縮

tar zcvf dir.tar.tgz dir

解壓縮

tar zxvf dir.tar.tgz

.tar.zst

壓縮

tar -I zstd -cvf dir.tar.zst dir_name

解壓縮

tar -I zstd -xvf dir.tar.zst

.gz

壓縮

gzip dir

解壓縮 1

gunzip dir.gz

解壓縮 2

gzip -d dir.gz

.bz

解壓縮 1

bzip2 -d dir.bz

解壓縮 2

bunzip2 dir.bz

.bz2

壓縮

bzip2 -z dir

解壓縮 1

bzip2 -d dir.bz2

解壓縮 2

bunzip2 dir.bz2

.xz

壓縮

xz -z dir

解壓縮

xz -d dir.xz

.Z

壓縮

compress dir

解壓縮

uncompress dir.Z

.7z

壓縮

7z a dir.7z dir

使用密碼 (PASSWORD) 壓縮

7z a dir.7z dir -pPASSWORD

解壓縮

7z x dir.7z

.zip

壓縮

zip -r dir.zip dir_name

解壓縮

unzip dir.zip

.rar

壓縮

rar a dir.rar dir_name

解壓縮 1

rar e dir.rar

解壓縮 2

unrar e dir.rar

rar x dir.rar dir_name

.lha

壓縮

lha -a dir.lha dir

解壓縮

lha -e dir.lha

.zst

壓縮

zst dir

解壓縮

zstd -d dir.zst

Linux 解壓縮壓縮

此文章已被阅读次数

…更新於 2024-04-09

HyperX QuadCast 聲音很小

Fri, 16 Dec 2022 16:00:00 GMT

HyperX QuadCast 聲音很小

因為正在服役的 HyperX cloud 耳麥的麥克風已經半死不活了，趁著 1212 的時候坑了一隻 HyperX QuadCast

然後因為是桌上型的 mic 所以距離嘴巴其實有一段不小的距離 (中間還隔了鍵盤)

image

但在平時白天被朋友說講話的聲音很小聲，就整個很困惑，明明已經把增益轉到最大了還小聲？！
然後就看到這篇文章
但請各位小心服用畢竟會對硬體造成什麼影響目前我也不知道

如果您的設備直接或間接損壞，我拒絕承擔任何責任，請自行考慮好再使用～

來源文章

簡單濃縮來說就是使用軟體 Equalizer APO 和其擴充套件 Peace 來提高麥克風音量

實際的操作如下…

安裝 Equalizer APO
一般來說只要下一步下一步安裝完之後會跳出 Configurator 要求選擇哪個裝置，例如我是要讓 HyperX QuadCast 就選擇這個裝置
如果沒有跳出來則打開程式目錄並啟動 Configurator.exe，轉到 “捕獲設備” 並選擇 / 勾選麥克風

Equalizer APO (sourceforge)

Equalizer APO 下載頁面
安裝 Peace

Peace Equalizer, interface Equalizer APO (sourceforge)

Peace Equalizer, interface Equalizer APO 下載頁面

Peace 就比較簡單有中文介面，安裝完之後選擇 “簡潔介面”

首先從右下角的菜單中選擇您的麥克風 (預設為 “全部音訊設備”)
然後就可以在最上面調整想要大聲還是小聲
最後再按完成就完成調整麥克風大小聲拉～

image

windows 麥克風很小聲 HyperX QuadCast HyperX QuadCast

此文章已被阅读次数

…更新於 2022-12-17

Minecraft 安裝 fabric

Thu, 15 Sep 2022 16:00:00 GMT

前言 (廢話 w)

玩 minecraft 到最後一定會想玩玩廣大開發者開發的各種 mods
而現在整個 minecraft vanilla 版本的 mod loader 就兩個

fabric
forge

而這邊介紹 fabric 的安裝流程

準備好 minecraft 客戶端

當你下載好了客戶端並且看到下方的畫面的時候就先放著不理它，這邊就已經可以準備安裝 fabric

image

下載 fabric

前往 fabric 下載 fabric

開啟頁面後可以選擇下載 jar 檔或 exe 檔，兩個都可以使用
下載後會看到這個 UI

image

注意 1 確定上方頁籤是: “客戶端”
注意 2 確定 “Minecraft 版本” 是你即將遊玩的版本號
注意 3 確定 “安裝位置” 這個位置如果沒有刻意去做調整就預設即可
注意 4 確定 “建立設定檔” 這個選項有打勾

image

接著把 minecraft 客戶端關閉，並且在 _fabric 安裝程式_中直接按下安裝就會開始安裝 fabric

等待安裝完後再開啟 minecraft 客戶端，就會看到新的設定檔

image

安裝 mods

安裝 mods 很簡單，只要在 minecraft 客戶端上方的頁籤切換成 “安裝檔”
並懸停在 fabric 的設定檔上，後方就會有三個按鈕可以按，點擊第二個會開啟資料夾

image

此時只要將你下載的 fabric mods 放入 mods 資料夾內，重開遊戲就會自動載入 mods 了

image

games minecraft

此文章已被阅读次数

…更新於 2022-09-16

DSM photo、drive 反向代理

Wed, 24 Aug 2022 16:00:00 GMT

DSM photo、drive 反向代理

預設 Synology 的 NAS photo 和 drive 兩個應用程式的 port 是與 DSM 相同
http 5000
https 5001

image

詳細的套件對應 port 可以參考 Synology 官方的文件

所以今天如果我們要在外面使用自有網域透過網際網路存取 photo 和 drive 有兩種方式

利用群輝自帶的 QuickConnect
利用反向代理

第一個就不在此敘述如何設定，故這裡要使用的是第二個，利用反向代理

設定 photo 和 drive 的 port

首先我們要先修改 photo 和 drive 的應用程式所使用的 port
進到 DSM -> 控制台 -> 登入入口 -> 應用程式 -> Synology Drive
在自訂連接埠設定 https 的 port 值，

測試 warning 提醒

這邊設定的 http 或 https 和 port 會影響到後續的反向代理設定
這邊舉例使用 https 並且連接埠 (port) 為 20000

image

設定反向代理

接著到 控制台 -> 登入入口 -> 進階 -> 反向代理 新增反向代理

image

反向代理 - 來源

反向代理名稱輸入一個你自己懂得這是什麼服務的名字
通訊協定在設定 photo 和 drive 的 port 的地方所設定的連接埠 (port) 所對應的協定，這邊舉例使用 https 並且連接埠 (port) 為 20000
主機名稱因為是 NAS 本機服務，所以這邊都是使用 localhost
連接埠在設定 photo 和 drive 的 port 的地方所設定的連接埠 (port)，這邊舉例為 20000

反向代理 - 目的地

通訊協定這邊建議都選擇 https 可以到 控制台 -> 安全性 -> 憑證 申請一個 TLS 證書
主機名稱你的網域，例如我要用 photo.example.com 開啟 photo 服務就在此輸入 photo.example.com
連接埠如果第一個通訊協定選擇為 https 這邊就要是 443；http 為 80
整體設定後就如下圖

image

設定完成後就可以透過自己的網域訪問服務啦

Synology NAS DSM Synology photo Synology drive 反向代理

此文章已被阅读次数

…更新於 2024-03-31

let's encrypt 證書簽署失敗 bad handshake

Wed, 15 Dec 2021 16:00:00 GMT

let’s encrypt 證書簽署失敗 bad handshake

當平時自動運作的 Let’s encrypt 都正常運作時，最近要簽署新證書卻發現下 certbot renew 無法正常簽署並出現錯誤 unexpected error: bad handshake 要怎麼處理這問題呢

其實這問題在先前官方有公告要調整 root 證書公告，原先使用的 DST Root CA X3 將於 2021 年 9 月 30 日到期，而新的 ISRG Root X1 在舊裝置上並不存在，所以導致切換成 ISRG Root X1 而舊裝置找不到該憑證就導致 TLS handshake 失敗

最簡單就是更新套件，而有些主機可能因為歷史包袱不好做套件更新等等處理，所以就手動新增 ISRG Root X1 證書來驗證

首先先測試看看能不能訪問新的驗證端 API

curl -v https://acme-v02.api.letsencrypt.org/directory

回傳的結果應該會有個 SSL certificate problem: unable to get local issuer certificate

接著到官網這邊取得 ISRG Root X1 證書

ISRG Root X1 證書

將裡面的文字複製起來，並且到主機中的 /usr/local/share/ca-certificates 建立一個檔案 isrgrootx1.pem

接著將內容貼上該檔案中，然後執行 sudo update-ca-certificates 正常會顯示 1 add ，此時在進行 certbot renew 就可以正常執行了

Linux let’s encrypt bad handshake

此文章已被阅读次数

…更新於 2022-08-25

CentOS 安裝 Webmin

Fri, 15 May 2020 16:00:00 GMT

利用 yum 安裝 Webmin

首先先下載 repo 到 /etc/yum.repos.d

cd /etc/yum.repos.d

接著 yum install 安裝即可

yum install webmin -y

Linux Webmin CentOS

此文章已被阅读次数

…更新於 2022-08-24

Centos7 安裝多版本 Python

Sat, 28 Sep 2019 16:00:00 GMT

雖然現在 Python 最新版本已經到了 3.7 但是 Linux 上還是有蠻多的套件使用 Python2，加上 Python2.7 的支援期間只到 2020 (不知是否會再延長)，但越來越多的開發者已經轉移版本到 3.x 了
那要如何保留原始版本的 Python 另外再安裝 Python3.x 呢？
首先要有 ROOT 權限或者 sudo (廢話 w
然後到 Python 官網找你要下載的版本連結
ps: 這邊範例為下載最新版本 3.7.4
如果要安裝多個 3.x 建議還是寫完整版號

cd /tmp

大致上到這邊就是完成安裝，但是不管用 python3 python3.7 python37 都是回應 command not found
很簡單因為剛剛安裝完沒有在預設的 command 資料夾中
所以我們要建立軟連結
PS: 這邊也是做個範例

ln -s /usr/local/python3/bin/python3 /usr/bin/python3

這樣子你再執行 python3 -V 照理就會出現 Python3.x.x 的訊息，同時執行 python -V 會得到 Python2.7.5
這樣就安裝好其他版本的 Python 也保留預設的 Python2.7

Linux Python Centos7

此文章已被阅读次数

…更新於 2022-08-25

phpMyAdmin 啟用2FA

Tue, 24 Sep 2019 16:00:00 GMT

phpMyAdmin 啟用 2FA

最近把伺服器的 phpMyAdmin 升級到 4.9.1
然後就在設定裡面發現可以開啟 2FA 的選項

phpMyAdmin 中啟用 2FA

後來去看看 documentation 之後發現其實在 4.8.0 (2018/4/19) 就加入這個功能了，沒錯啦我就是沒在更新，因為之前有過更新完系統直接掛掉的陰影存在，但其實為了安全性還是要好好的更新套件跟軟體 XD

如果直接從 phpMyAdmin 官網下載下來的 zip 檔其實可以直接啟動 2FA 功能，那如果是直接 git 下來的就還要另外安裝一些套件，這邊不加以闡述

啟用 2FA 非常簡單，只要選擇第二項 “認證應用程式 (2FA)“
然後按下” 設定雙因素認證 ”

phpMyAdmin 中啟用 2FA

接下來就會看到一個 QRcode 跟密碼

phpMyAdmin 中啟用 2FA

這邊就要用到你的手機了，使用 Google Two Factor Authentication 或者 Authy 兩個應用程式都可以，掃描 QRCode 之後並輸入該 2FA 的驗證就可以開啟了～

phpMyAdmin 中啟用 2FA

那接下來就是緊急處理，如果是用 Google Two Factor Authentication 的使用者要注意，在做手機更換的時候 一定！一定！一定！一定！ 一定要先把 2FA 先解除在做更換手機的動作，不然會導致無法登入 phpMyAdmin

那如果真的很不幸你真的忘記了，是有解決辦法
先用 ssh 登入你的 mysql
PS: 這邊是範例，忘記 root 的 2FA，請依照你自己的伺服器做處理

mysql -u root -p # 使用 root 登入 mysql

之後會看到一些資料

| root     | 2019-09-25 16:21:20 | {"Server\/hide_db":"information_schema|mysql|performance_schema|information_schema","lang":"zh_TW","collation_connection":"utf8mb4_unicode_ci","Console\/Mode":"collapse","DefaultConnectionCollation":"utf8_unicode_ci","2fa":{"backend":"application","settings":{"secret":"KKASIRHQ904U2KS918JSEBTJ9132459U1902"}},"ThemeDefault":"pmahomme"} |

最重要最重要的就是在後面的 JSON 資料中的 “2fa”
裡面有個”secret” 把這段輸入到 Google Two Factor Authentication 中就可以繼續使用了
PS: 這邊的範例是假的，當然沒有這麼的長

Linux 2FA phpMyAdmin

此文章已被阅读次数

…更新於 2022-08-25

Nginx+Cloudflare-取得使用者真實IP

Sun, 22 Sep 2019 16:00:00 GMT

Nginx+Cloudflare - 取得使用者真實 IP

使用 Python 或者其他的程式語言架設網站的時候勢必一定要有個 Webserver 作為代理，但在有些時候網站的一些套件需要取得使用者的 IP 要如何取得？

一般來說 Nginx 只要在 virtualhost conf 中設定以下就可以了

proxy_set_header Host $host;

在程式部分 (使用 flask)

from flask import request

這樣就可以取得使用者的 IP 了
但如果在 Nginx 前面還加個 Cloudflare CDN 怎麼辦？
其實在官方文件中有提到這點 Restoring original visitor IPs

Nginx 上有提到的 Cloudflare IP 區間不一定是固定的，可能隨時會變動
ergin 就寫出一個可以自動更新的腳本 nginx-cloudflare-real-ip
然後我就 fork 之後把他的 readme 做翻譯
大致上跟著操作就可以了最後別忘了到 Nginx 的 access log 查看 IP 是不是變成使用者的 IP

Linux Python cloudflare Nginx Real IP address

此文章已被阅读次数

…更新於 2022-08-25

使用 certbot+cloudflare 讓 wildcard certificate 自動更新憑證

Tue, 18 Jun 2019 16:00:00 GMT

下方使用 CentOS7 當作示範環境
如果你還沒裝 certbot，請先執行 yum install certbot

首先要先登入 Cloudflare，右上角 My Profile 那就可找到 Global API Key
請點選 View 輸入密碼就會出現，這把 Key 很重要請小心保管

api key

由於這把 Key 很重要，所以要放在一個安全的地方
原作者把它放在 /root/.secrets 裡面（你要改地方也行，最後的參數路徑記得改就好）
但系統預設沒有 /root/.secrets 這個目錄
所以要先建立這個目錄 mkdir /root/.secrets
然後把下面這兩行填好後放到 /root/.secrets/cloudflare.ini 裡面

dns_cloudflare_email = "請填你的cloudflare帳號，也就是email"
dns_cloudflare_api_key = "請輸入上述的 Global API Key"

修改 /root/.secrets/cloudflare.ini 權限

chmod 0700 /root/.secrets/
chmod 0400 /root/.secrets/cloudflare.ini

安裝 Certbot 及 CloudFlare DNS 認證套件

yum install python-pip
pip install certbot-dns-cloudflare

申請 Wildcard SSL 憑證
把 example.com 更換成自己的域名，如果有 4 級域名也要一起加入

certbot certonly --dns-cloudflare --dns-cloudflare-credentials /root/.secrets/cloudflare.ini -d example.com,*.example.com --preferred-challenges dns-01

於 crontab 設定自動 renew

nginx

14 5 * * * /usr/local/bin/certbot renew --quiet --post-hook "/usr/sbin/service nginx reload" > /dev/null 2>&1

apache

14 5 * * * /usr/local/bin/certbot renew --quiet --post-hook "systemctl reload httpd" > /dev/null 2>&1

Linux certbot cloudflare certificate wildcard certificate

此文章已被阅读次数

…更新於 2022-08-25

Debian / Ubuntu 安裝 Webmin

Sun, 02 Jun 2019 16:00:00 GMT

首先加入 Webmin 官方 repository, 開啟檔案 /etc/apt/sources.list

sudo vi /etc/apt/sources.list

加入以下兩行:

deb http://download.webmin.com/download/repository sarge contrib
deb http://webmin.mirror.somersettechsolutions.co.uk/repository sarge contrib

然後取得以上 repository 的 GPG key:

cd /root

加入 Webmin 的 repository 後，用安就很簡單了，更新 apt-get 就可以開始安裝了:

sudo apt-get update

Webmin 預設使用 10000 埠號，設定 firewall 開通 10000 埠號:

sudo ufw allow 10000

Webmin 預設使用的埠號是 10000, 可以這樣存取:

http://localhost

或
https://localhost

Linux Webmin

此文章已被阅读次数

…更新於 2022-08-24

CentOS 更新Kernel

Sun, 02 Jun 2019 16:00:00 GMT

1. 導入 Public Key

rpm --import https://www.elrepo.org/RPM-GPG-KEY-elrepo.org

2. 安裝 ELRepo

CentOS 5

rpm -Uvh http://www.elrepo.org/elrepo-release-5-5.el5.elrepo.noarch.rpm

CentOS6

rpm -Uvh http://www.elrepo.org/elrepo-release-6-6.el6.elrepo.noarch.rpm

CentOS7

rpm -Uvh http://www.elrepo.org/elrepo-release-7.0-2.el7.elrepo.noarch.rpm

3. 升級 Kernel

※在 ELRepo 中有兩個內核選項，一個是 kernel-lt (長期支持版本)，一個是 kernel-ml (主線最新版本)

kernel-lt

yum --enablerepo=elrepo-kernel install kernel-lt -y

kernel-ml

yum --enablerepo=elrepo-kernel install kernel-ml -y

4. 更改 Grub

vi /etc/grub.conf

根據安裝好以後的內核位置，修改 default 的值，一般是修改為 0，因為 default 從 0 開始，一般新安裝的內核在第一個位置，所以設置
default=0

5. 查看 Kernel

重啟主機，重啟後執行
uname -r
，查看內核版本號，判斷是否升級成功

Linux CentOS Kernel

此文章已被阅读次数

…更新於 2022-08-25

OpenVPN 使用帳號密碼認證

Sun, 02 Jun 2019 16:00:00 GMT

如果安裝好 OpenVPN 其實可以使用他預設的製作金鑰來連線，但是要新增帳號或者管理帳號這部分就比較麻煩，所以還是用帳號密碼做管理比較容易

首先先安裝以下編譯程式需要的日常庫

yum -y install gcc gcc-c++ autoconf libjpeg libjpeg-devel \

下面安装 pam 组件

yum install pam_krb5 pam_mysql pam pam-devel -y

我們需要安裝 mysql 服務器

yum install mysql mysql-server mysql-devel mysql-libs -y

登錄 mysql 建立一個驗證用的測試數據庫，添加使用者帳號

mysql -u root -p

在 /etc/pam.d/ 下建立一個配置文件

vim /etc/pam.d/openvpn

輸入以下內容並保存

auth sufficient pam_mysql.so user=vpn passwd=vpn123 host=localhost db=vpn table=vpnuser usercolumn=name passwdcolumn=password where=active=1 sqllog=0 crypt=2

現在可以測試 pam_mysql 是否工作正常，但這個動作之前需要安裝 sasl

yum install cyrus-sasl cyrus-sasl-plain cyrus-sasl-devel cyrus-sasl-lib cyrus-sasl-gssapi -y

測試是否成功

saslauthd -a pam

如果成功，顯示 0: OK 「Success.」，pam_mysql 工作正常了

下面可以開始配置 OpenVPN 服務器了。

這裡需要有一部非常重要的步驟，2.1 以上的 OpenVPN 的 openvpn-auth-pam.so 都會出現驗證錯誤的問題，這裡需要我們重新編譯一個低版本的，我這裡用 2.0.7 的，大家也可以使用 2.0.9 版本的。

cd /etc/openvpn

之後在伺服器端的 conf 檔中加入以下

client-cert-not-required

客戶端的 conf 檔

client

如果要讓客戶端連線時自動輸入帳號密碼可以在客戶端 conf 中的 auth-user-pass 結尾加上 檔案名稱+副檔名
auth-user-pass account.txt
並在同一個目錄底下新增一個 account 的 txt 檔
在第一行打上帳號，第二行打上密碼儲存即可

Linux OpenVPN

此文章已被阅读次数

…更新於 2022-08-25