无垠星空无垠

scheme-2.1.3

Tue, 01 Sep 2026 00:00:00 GMT

数据意味着什么

一组适当的选择函数和构造函数，以及使这些过程成为一套合法表示，它们就必须满足的一组特定条件。
抽象数据的"身份"来自它提供的行为,而不是来自它内部的表示。

一个实例

(define (cons x y)
  (define (dispatch m)                                    
    (cond ((= m 0) x)                                     
          ((= m 1) y)                                     
          (else (error "Argument not 0 or 1 -- CONS" m))))
  dispatch)

;;上面的过程等价于下面的过程：
;;1
(define (cons x y)
  (define dispatch
    (lambda (m)                                            
      (cond ((= m 0) x)
            ((= m 1) y)
            (else (error "Argument not 0 or 1 -- CONS" m)))))
  dispatch)

;;2
(define (cons x y)
  (lambda (m)                                            
    (cond ((= m 0) x)
          ((= m 1) y)
          (else (error "Argument not 0 or 1 -- CONS" m)))))


(define (car z) (z 0))
(define (cdr z) (z 1))

当执行(car (cons 2 3))变成((cons 2 3) 0),(cons 2 3)返回的是一个过程：dispatch,在过程dispatch内部，它记住了：x = 2,y = 3,当参数m为0时，返回 2。同理过程(cdr (cons 2 3))也是相同的道理。

scheme-2.1

Mon, 03 Aug 2026 00:00:00 GMT

数据抽象

过程可以隐藏实现，数据一样可以。

实例：有理数的算术运算

在做有理数的运算时，主要关心的是：运算,而不是有理数怎么表示，储存的。

可能是:(1 . 2)
也可能是:'(1 2)
甚至:"1/2"
或者是其他的形式。

提供三个接口:

创建一个有理数

(make-rat n d)

取得它的分子

(numer x)

取得它的分母

(denom x)

这样通过这三个过程，就可以实现有理数的运算和相等判断。

scheme-2.1.2

Mon, 03 Aug 2026 00:00:00 GMT

Abstraction Barrier

数据抽象的基本思想就是为每一类数据对象标识出一组操作，使得对这类数据对象的所有操作都可以基于它们的表述，而且在操作这些数据对象时也只使用它们。

定义一个新数据 ---> 有理数
定义三个接口，make-rat,numer,denom。有关有理数的所有操作都只能用这几个接口来实现，面不能越级使用cons,car,cdr来实现。


---------------- 使用有理数的程序 ----------------

                 问题域中的有理数 
---------------- add-rat,sub-rat...  -------------
                    
                 作为分子和分母的有理数
---------------- make-rat,numer,denom ------------

                 作为序对的有理数 
---------------- cons,car,cdr --------------------

上层不用知道下层是怎么实现的，直接使用接口拿来用就可以。无论接口的内部怎么改变，对外的接口不变，它的改变完全不会影响上层的应用。

scheme-1.3.4

Tue, 26 May 2026 00:00:00 GMT

过程作为返回值

一个过程，它的参数是一个过程，创造出另一个过程。
把过程当做一个普通的对象来看待。

scheme-1.3.3

Fri, 22 May 2026 00:00:00 GMT

过程作为一般性的方法

什么是通用方法

寻找某种答案的本身，可以把它给抽象出来，作为一个独立的过程。
使它可以接受任意的函数作为参数，而不用管它具体是什么函数，它是一个通用的策略。

平均阻尼

某个解在两个值中来回震荡时，可以取它们的平均值，以此作为收敛的手段。

scheme-1.3.2

Mon, 11 May 2026 00:00:00 GMT

用lambda构建过程

lambda表达式的一般形式：

(lambda   ( <formal-parameters> ) <body> )

let表达式的一般形式：

(let ((<var₁><exp₁>)                             ((lambda (<var₁> ... <varₙ>)
      (<var₂><exp₂>)          ===> 等价于            (body)
      ...                                           <exp₁>
      (<varₙ><expₙ>))                                ...
       <body>)                                      <expₙ>)

一个简单的例子:
let表达式：

(let ((x 3)
      (y 2))
      (+ x y))

lambda表达式：

((lambda (x y)
   (+ x y))
   3 2)

scheme-1.3.1

Wed, 06 May 2026 00:00:00 GMT

过程作为参数

前面遇到的函数参数是数值、数据，而现在参数可以是动作，规则，逻辑。

(define (sum term a next b)
  (if (> a b)
      0
      (+ (term a)
         (sum term (next a) next b))))

当调用过程(sum + a inc b)时，参数term绑定到了+过程，参数next绑定到了inc过程。

scheme-debug

Tue, 28 Apr 2026 00:00:00 GMT

use (trace)

使用的是mit-scheme 12.1,在REPL中输入(trace your-procedure-name),再直接调用(your-procedure arg1 arg2 ...)。

add readline

默认的mit-scheme没有readline支持。可以安装rlwrap,使用rlwrap mit-scheme或者设置alias别名来获得在其他shell中一样的体验。

use (display)

直接在procedure中打印要观察的变量:

(define (procedure-name arg1)
  (display "Testing: ")
  (display arg1) 
  (newline)
  ...
  )

在REPL中运行procedure可以很清楚的看到变量的变化。

use (pp)

可以查看一个一般过程是什么样的。

1. 定义一个过程
(define (double x)
  (lambda (x)
    (f (f x))))

2. 查看(double)过程:
1 ]=> (pp double)           
(named-lambda (double f)    
  (lambda (x)               
      (f (f x))))             
  ;Unspecified return value 

3. 查看(double x)过程:
1 ]=> (pp (double square)) 
(lambda (x)                
  (f (f x)))               
  ;Unspecified return value

scheme-1.2.5

Wed, 22 Apr 2026 00:00:00 GMT

Lamé定理

如果欧几里得算法需要$k$步才能计算出一对整数的最大公约数，那么这对整数中较小的那个数必然大于或等于第$k$个斐波那契数$Fib(k)$.
数学表达式为：
如果使用欧几里得算法求$GCD(a,b)$且 $a > b$,需要$k$步完成，则：
$$ b \geq Fib(k) \approx \frac {\phi^k}{\sqrt{5}}

$$ 最坏的情况下是去求**左右相邻的斐波那契数**的最大公约数。

scheme-1.2.3

Sat, 14 Mar 2026 00:00:00 GMT

增长的阶

$O(1)$ 常数阶

不管$n$多大，需要的时间/空间都是固定的。

$O(\log n)$ 对数阶

输入$n$每翻一倍，计算量只增加一个常量。

$O(n)$ 线性阶

计算量和$n$同步增加。$n$扩大多少倍，计算量同步扩大多少倍。

$O(n^2)$ 平方阶

$n$扩大10倍，计算量扩大100倍。

$O(2^n)$ 指数阶

随着$n$的增加，计算量程指数级增长。

时间和空间的阶

时间的阶(计算步数): 程序总共执行了多少次操作。
空间的阶(内存空间): 程序在运行过程中，最高峰时需要记住多少个"推迟执行的操作"。

scheme-lecture-1.2.3

Sat, 14 Mar 2026 00:00:00 GMT

</details>

增长的阶

$O(1)$ 常数阶

不管$n$多大，需要的时间/空间都是固定的。

$O(\log n)$ 对数阶

输入$n$每翻一倍，计算量只增加一个常量。

$O(n)$ 线性阶

计算量和$n$同步增加。$n$扩大多少倍，计算量同步扩大多少倍。

$O(n^2)$ 平方阶

$n$扩大10倍，计算量扩大100倍。

$O(2^n)$ 指数阶

随着$n$的增加，计算量程指数级增长。

时间和空间的阶

时间的阶(计算步数): 程序总共执行了多少次操作。
空间的阶(内存空间): 程序在运行过程中，最高峰时需要记住多少个"推迟执行的操作"。

Smb-config

Thu, 29 Jan 2026 00:00:00 GMT

install Samba

sudo apt update
sudo apt install samba samba-common-bin
sudo cp /etc/samba/samba.conf /etc/samba/samba.conf.backup # 备份默认的配置

create system user and Samba user

sudo useradd -s /usr/sbin/nologin sambauser # 添加samba user
sudo smbpasswd -a sambauser #为sambauser设置密码 pdbedit -L 查看Samba用户列表

create share directory and configure permission

sudo mkdir -p /samba/share/directory
sudo chown sambauser:sambauser /samba/share/directory
sudo chmod 2770 /samba/share/directory

Configure smb

sudo vim /etc/samba/smb.conf

[share]
  comment = Share comment 
  path = /samba/share/directory
  browsable = yes
  read only = no
  valid users = sambauser
  force user = sambauser
  create mask = 0660
  directory mask = 2770

Use

在windows端的网络中的地址栏中输入samba服务端ip地址\share访问samba服务。

Cloudflare-edge-certificate

Fri, 09 Jan 2026 00:00:00 GMT

Introduction

:::important 2026年3月，在worker使用自定义域名时， cloudflare会自动为该域名添加通配符证书。而不用使用下面这种方法。 :::

如果您使用的是Business以上计划，或者有订阅Advanced Certificate Manager可以忽略以下内容。
使用Business以下计划时，cloudflare不会给子域名添加通配符证书，如托管的是example.com,它会自动申请*.example.com和example.com的边缘证书，但它不会申请*a.example.com的边缘证书。

Actions

创建一个workers应用,现有的也可以。
创建api token(可选)

在登录cloudflare后点击右上角的人像，点击出现的Profile选项，点击出现在右侧边栏的API Token,点击出现蓝色的Create Token按钮
选择Create Custom Token对应右边蓝色的按钮 Get start,再按如下图操作:

把api token复制出来，只会出现这一次。
复制以下脚本，在任意安装了curl能正常连接cloudflare的主机上执行:

#!/bin/bash
ACCOUNT_ID="your_account_id"   # 进入你的域名的详情页面，拉到最底会看到 zone ID和 account ID
ZONE_ID="your_zone_id"         # 同上
API_TOKEN="your_api_token"     # 刚创建的

WORKER_DOMAIN="*.a.domain.com"   # 要申请通配符证书的子域名
WORKER_NAME="worker-name"      # 任意一个存在的worker 

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/workers/domains" \
 -X PUT \
 -H "Content-Type: application/json" \
 -H "Authorization: Bearer $API_TOKEN" \
 -d '{
       "hostname": "'"$WORKER_DOMAIN"'",
       "service": "'"$WORKER_NAME"'",
       "zone_id": "'"$ZONE_ID"'",
       "environment": "production"
     }'

将上面的脚本保存，并赋予执行权限。
执行结果可以在SSL/TLS下面的Edge Certificates下面查看,并且会在当前域名下添加一条类型为worker的记录，也可以在worker应用下查看。
来自原作者youtuber@闹海金蛟的脚本不须要创建API Token:

#!/bin/bash
ACCOUNT_ID=account id
ACCOUNT_EMAIL=email
ACCOUNT_KEY=Global API Key

WORKER_DOMAIN=*.domain.com
WORKER_NAME=worker name
ZONE_ID=zone id

curl https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/workers/domains \
    -X PUT \
    -H 'Content-Type: application/json' \
    -H "X-Auth-Email: $ACCOUNT_EMAIL" \
    -H "X-Auth-Key: $ACCOUNT_KEY" \
    -d '{
          "hostname": "'$WORKER_DOMAIN'",
          "service": "'$WORKER_NAME'",
          "zone_id": "'$ZONE_ID'",
          "environment": "production"
        }' > cert.log

Effect

使用cloudflare tunnel时，会很有用

Arch-Linux-Install

Fri, 02 Jan 2026 00:00:00 GMT

Archlinux Install

作安装镜像

:::warning 制作安装盘之前，提前做好备份!!!
制作安装盘会格式化整个盘!!!
:::

下载Archlinux镜像，从这里选择一个离你较近的镜像站点,下载一个.iso结尾的文件。
刻录安装镜像
- Windows环境下可以使用Ventoy、Rufs进行记录。
- Linux环境下同样可以使用上面的两个软件，或者直接用dd命令进行刻录.

sudo dd if=Archlinux镜像位置 + 它的名字 of=你的安装盘 status=progress oflag=sync bs=4M

启动安装镜像

插入你的安装盘,选择从它启动安装镜像
选择从UEFI模式启动
确保关闭了**安全启动(Secure Boot)**。Arch Linux 安装镜像不支持安全启动。
进入终端后，验证启动模式量否为UEFI模式:

cat /sys/firmware/efi/fw_platform_size

如果返回64,以64位 x64 UEFI启动。
如果返回32,以32位 IA32 UEFI启动。
如果返回No such file or directory,这可能是BIOS或者CSM启动模式，需要更改主板设置。

连接网络

:::note 安装Archlinux,需要连接网络。 ::: 确保网卡已一正常列出和启用。

ip link #显示当前的网卡及状态

无线网络设置

:::note 使用无线网络前,先把要连接的无线网络名称设置为英文。
::: 使用iwctl进行连接

iwctl # 进入交互式命令行  
device list # 列出无线网卡设备名,一般是wlan0  
station wlan0 connet wifi-name # 按`Enter`确认输入密码  
exit #退出

使用有线网络

一般来说，正确的插入网线就可以连接上网络,可以使用ip address show命令查看

测试网络

ping qq.com -c 4 # 回车后，看到有数据返回，说明网络连接正常。若没有数据返回，检查前面是哪个步骤没有正确操作。

更新系统时钟

timedatectl set-ntp true  # 将系统时间和网络时间同步
timedatectl status  # 检查服务状态

更新软件仓库镜像源

使用文本编辑器修改/etc/pacman.d/mirrorlist文件换成国内的软件仓库镜像源。
使用reflector修改。

reflector --latest 10 --country China --age 12 --protocol https --sort rate --save /etc/pacman.d/mirrorlist

同步软件源

pacman -Syu # 同步非本地软件仓库并升级系统的软件包。

:::tip
网络连接成功后，可以用另一台设备ssh远程连接要安装Archlinux的电脑。确保是同一局域网内的设备。

pacman -S openssh # 安装openssh
systemctl start sshd # 启动ssh服务
passwd # 设置root用户密码
ssh root@ip address # 在另一台设备上连接,Enter后输入root密码。

:::

分区和格式化

:::warning 分区操作的部分命令具有危险性!!!
在执行命令之前，做好数据备份!!!

:::

分区

使用lsblk命令查看当前磁盘分区的情况。选择你要安装Archlinux的硬盘。
:::tip 硬盘是IDE类型，显示为hdax
硬盘是stat类型，显示为sdax
硬盘是nvme类型，显示为nvmexnxpx
根据实际情况来选择
:::
使用fdisk命令对磁盘进行分区:

fdisk /dev/nvme0n1 # 对安装Archlinux的磁盘分区

进入fdisk工具后，会看到如上图所示的界面。可以通过m获取帮助。

创建分区

输入g创建一个新的GPT分区表
创建**EFI**分区。
输入n按下Enter。选择分区数字1按Enter。选择起始块，默认即可按Enter。输入分区大小+1g,按Enter。
更改EFI分区类型。
输入t按Enter,输入uefi按Enter。
创建**Swap**分区。
输入n按Enter。选择分区，默认即可，按Enter。选择起始块，默认即可，按Enter。输入分区大小+2g(按实际情况) ^1
更改Swap分区类型。
输入t,按Enter。输入2,按Enter。输入swap,按Enter。
创建**根分区**。
输入n,按Enter。选择分区数字，默认即可按Enter。选择起始块，默认即可按Enter。输入分区大小,可以直接选择剩余所有的空间，按Enter
分区类型不用更改。
输入p查看分区，是否设置正确，检查无误后输入w，保存并退出。

:::warning :boom::boom:!!!再次提醒!!!:boom::boom:
仔细检查命令和操作的正确性！否则将出现不可预料的情况！
:::

格式化分区

输入lsblk查看分区情况
格式化EFI分区

mkfs.fat -F 32 /dev/nvme0n1p1 # 根据自己的设备输入对应的设备名

格式化Swap分区

mkswap /dev/nvme0n1p2

格式化 Btrfs 分区

mkfs.btrfs -L myarch /dev/nvme0n1p3 # -L 指定一个Lable

格式化Btrfs子卷

将Btrfs分区挂载到/mnt下:

mount -t btrfs -o compress=zstd /dev/nvme0n1p3  /mnt

创建Btrfs子卷

btrfs subvolume create /mnt/@  # 创建 / 目录子卷  
btrfs subvolume create /mnt/@home # 创建 /home 目录子卷

查看子卷情况

btrfs subvolume list -p /mnt

卸载btrfs分区来挂载子卷

umount /mnt

挂载

mount -t btrfs -o subvol=/@,compress=zstd /dev/nvme0n1p3 /mnt #  挂载/目录  
mkdir -p /mnt/{home,boot} # 创建/home目录和/boot目录
mount -t btrfs -o subvol=/@home,compress=zstd /dev/nvme0n1p3 /mnt/home # 挂载/home目录  
mount /dev/nvme0n1p1 /mnt/boot # 挂载/boot目录
swapon /dev/nvme0n1p2 # 开启swap分区

使用lsblk或df -h查看挂载情况

配置系统

通过pacstrap安装:

pacstrap -K /mnt base  base-devel linux linux-firmware btrfs-progs bash-completion vim  # 可以把vim替换成你喜欢的文本编辑器

经过一系列的刷屏后......

2. 生成fstab文件

genfstab -U /mnt > /mnt/etc/fstab

Chroot

arch-chroot /mnt

在/etc/hostname下设置主机名:

echo "myarch1" > /etc/hostname

编辑/etc/hosts文件

vim /etc/hosts

添加以下内容:

127.0.0.1 localhost
::1       localhost
127.0.1.1 myarch1.localdomain myarch1

设置Locale

编辑/etc/locale.gen文件,去掉en_US>UTF-8,zh_CN.UTF-8前面的注释符号。

vim /etc/locale.gen

使用locale-gen生成locale。

locale-gen

向/etc/locale.conf写入。

echo 'LANG_=en_US.UTF-8' > /etc/locale.conf

设置时区

ln -sf /usr/share/zoneinfo/Asia/Shanghai /etc/localtime

设置硬件时间

hwclock --systohc

设置root用户密码

passwd    # Enter后,输入密码

设置引导

使用grub

安装相应的包

pacman -S grub efibootmgr

安装grub到EFI分区

grub-install --target=x86_64-efi --efi-directory=/boot --bootloader-id=Arch

生成grub的配置文件

grub-mkconfig -o /boot/grub/grub.cfg

使用Systemd-boot

:::note[:memo:] 要使用systemd-boot,首先要确保启动方式是UEFI模式！ :::

安装UEFI启动管理器

bootctl install # 将systemd-boot安装到ESP

:::tip[提示] esp指你的启动分区，/boot/efi或者/efi
取决于自己的设置 ::: 2. 配置systemd-boot

编辑/esp/loader/loader.conf文件:

default arch.conf # 默认启动项  
timeout 3 
console-mode auto
editor no

创建启动项 :::note[vim /esp/loader/entries/arch.conf]
title Arch Linux # 启动时的名称
linux /vmlinuz-linux #
initrd /initramfs-linux.img #
initrd /intel-ucode.img # 或者amd-ucode.img # 有装微码包可以写上
options root=UUID=<根分区的UUID> rw rootflags=subvol=@ #用Btrfs需要指定@子卷
#UUID可以用blkid查看 blkid /dev/nvme0n1p3
:::

更新

bootctl --noo-variables --graceful update

或者:

systemctl enable systemd-boot-update.service

使用 rEFInd

安装refind包

pacman -S refind

安装到esp分区

refind-install

配置rEFInd

修改refind_linux.conf文件
:::tip[:memo:] 将root=UUID=<根分区的UUID> # btrfs需要加上 rootflags=subvol=@
:::
修改refind.conf(可选)

vim /esp/EFI/refind/refind.conf  #路径可能所有不同
#找到 `memuentry "Arch Linux"  这一项,修改options参数  
将root=UUID=<根分区的UUID> # btrfs加上 rootflags=subvol=@

网络设置

使用NetworkManager

pacman -S networkmanager  # 下载networkmanager
systemctl enable NetworkManager #启动networkmanager

使用systemd-networkd + iwd

pacman -S iwd  
systemctl enable iwd
systemctl enable systemd-networkd

Reboot

回到 live 环境

exit # 退出安装环境
umount -R /mnt #卸载分区
reboot # 重启

内存容量小:Swap分区设置为与内存容量的2倍。

scheme(2)

Wed, 19 Nov 2025 00:00:00 GMT

1.2 过程及其产生的计算

1.21 线性的递归和迭代

普通递归：递归调用前面还有过程需要逐层计算。每一层都要等里面的结果出来，再计算。　　
尾递归：递归调用是最后一次，最终的结果就是最后一次返回。

1.2.2 树形递归

Scheme(1.1)

Wed, 12 Nov 2025 00:00:00 GMT

构造过程抽象

1.1程序设计的基本元素

基本表达形式,用于表示语言所关心的最简单的个体。
组合的方法,通过它们可以从较简单的东西出发构造出复合的元素。
抽象的方法,通过它们可以为复合对象命名，并将它们当作单元去操作。

1.1.1 表达式

(+ 3 2)
(- 100 7 22)
(/ 30 3 (+ 2 3))

像上面这样的表达式称为组合式,用一对括号括起一些表达式，形成一个表，表示一个过程应用。在表里最左的元素称为运算符，其他元素都称为运算对象。

1.1.2 命名和环境

(define size 3)

为size关联一个值3

1.1.3 组合式的求值规则

对组合式的各个表达式求值。
其他表达式的值，将作为最左子表达式的值的那个过程应用于相应的实际参数。

最左边的子表达式的值,必须是一个过程。
最左边的子表达式的值,必须是一个过程。
最左边的子表达式的值,必须是一个过程。

以上为通用求值规则，除此之外还有针对特殊形式的专门规则。如(define x 1)

复合过程

过程(procedure)定义的一般形式:

(define (<name> <formal parameters>) <body>)

<name>是一个符号，过程定义将在环境中关联于这个符号，为过程定义命名。
<formal parameters>形式参数。
<body>一个表达式。在应用这一过程时，这一表达式中的形式参数，将用与之对应的实际参数取代，对这样取代后的表达式求值，产生出这个过程应用的值。

(define (square x)
  (* x x))
;;调用过程
(square 3)
(square (square (+ 2 3)))

过程应用的代换模型

代换的作用只是为了帮助我们领会过程调用中的情况，而不是对解释器实际工作方式的具体描述。

应用序和正则序

应用序求值:先求值参数而后应用(把所有参数表达式都求值，再把结果带入过程)可能会产生无限循环
正则序求值:完全展开而后规约(先把参数表达式原样代入过程，等到真正需要时才求值)。

条件表达式(Conditional Expression)和谓词(predicate)

(cond)条件表达式的一般形式为:
$$ \begin{aligned} (cond (<p_1> <e_1>) \ \quad \quad \kern 3pt(<p_2> <e_2>) \ . \ . \ . \ \quad \quad \kern 9pt( (<p_n> <e_n>)) \end{aligned} $$ 条件表达式的求值: 首先求值谓词<p1>,如果它的值是false，那么就求值<p2>,如果它的值也是false,就去求值<p3>。这一过程将继续下去，直到发现了某个谓词的值为true为止。此时解释器就返回相应子句中的序列表达式<en>的值，以这个值做为**整个条件表达式的值**。如果无法找到值为真的<p>,cond的值就没有定义。
(cond)的另一种形式

(cond 
  .
  .
  .
  (else <e>))
;;如果前面的所有子句都被跳过，会返回最后(else)中<e>的值。

(if)表达式

(if <predicate> <consequent>
  <alternative>)
  ;;从<predicate>开始求值，如果<predicate>得到真值，解释器就去求值<consequent>并返回其值，否则它就去求值<alternative>并返回其值。

$(and <e_1> \ldots <e_n>)$ 解释器将从左到右一个个求值<e>,如果某个<e>求值为假，这一(and)表达式都为假，后面的<e>也不再求值。如果所有的<e>都求出为真值，最后一个<e>的值为这一(and)表达式的值。
$(or <e_1>\dots <e_n>)$ 解释器将从左到右一个个求值<e>,如果某个<e>求值为真，这一(or)表达式都为真，后面的<e>也不再求值。如果所有的<e>都求出为假，这一(or)表达式的值为假。
(not <e>) 如果<e>求出的值是假，(not)表达式的值为真，否则其值为假。
(not)表达式是一个普通过程。

1.1.8 过程作为黑箱抽象

局部名约束变量: 形式参数
自由变量: 外部环境所定义的变量

过程调用时的参数是值传递。
表达式求值，它会用当前作用域的参数的值算出一个新的结果，不会改变参数的值。如(- x 1)。
每次调用都会为参数创建新的绑定。
在同一层调用的作用域里参数的值是固定的，不会在这一层改变。

CA

Wed, 05 Nov 2025 00:00:00 GMT

快速生成自签证书

openssl req -x509 \
  -newkey rsa:2048 \
  -keyout /etc/nginx/ssl/service.lan.key \
  -out /etc/nginx/ssl/service.lan.crt \
  -days 365 \
  -nodes \
  -subj "/C=CN/ST=ShangHai/L=Shanghai/O=Myhomw/OU=Myhome/CN=*.service.lan" \
  -addext "subjectAltName = DNS:*.service.lan,DNS:service.lan
  # req -x509 创建一个自签名的X.509证书
  # -nodes 私钥文件不加密

创建本地CA并签发证书

sudo mkdir -p /etc/nginx/ssl/service.lan
cd /etc/nginx/ssl/service.lan

创建本地CA

生成CA私钥

sudo openssl genrsa -out ca.key 4096

生成CA根证书

sudo openssl req -x509 -new -nodes -key ca.key -days 3650 -out ca.crt \
-subj "/C=CN/ST=ShangHai/L=Shanghai/O=LocalCA/OU=Dev/CN=Local Root CA" 
# ca.crt是要导入到浏览器的根证书

为域名生成证书请求(CSR)

生成服务私钥

sudo openssl genrsa -out service.lan.key 2048

创建一个service.lan.conf,指定SAN

[req] 
default_bits    = 2048
prompt          = no
default_md      = sha256
req_extensions  = req_ext
distinguished_name = dn

[dn] 
C=CN
ST=Shanghai
L=Shanghai
O=Myhome
OU=Myhome 
CN=app.service.lan

[req_ext] 
subjectAltName = @alt_name

[alt_name]
DNS.1 = app.service.lan
DNS.2 = *.service.lan

生成CSR

sudo openssl req -new -key service.lan.key -out service.lan.csr -config service.lan.conf

用CA签发证书

sudo openssl x509 -req -in service.lan.csr -CA ca.crt -CAkey ca.key -CAcreateserial \
-out service.lan.crt -days 3650 -sha256 -extensions req_ext -extfile service.lan.conf

导入证书

将证书下载到主机上，用浏览器导入后重启打开网站就不会显示**不安全**。

dnsmasq

Tue, 04 Nov 2025 00:00:00 GMT

前言

设备变多了用ip地址来管理很难记住是用来做什么的。用域名来管理就很直观，好记。
设备少的话可以直接在路由器或者相关主机的hosts文件上直接加入更加方便。
在openwrt上通过配置dnsmasq来实现。

Install

dnsmasq一般在openwrt系统上有自带可以直接使用。

Config

vi /etc/config/dhcp  
# 在dnsmasq选项下加入
 list confdir '/etc/dnsmasq.d'
 option cachesize '1000'

确保公网访问正常
编辑/etc/config/network文件

  在'wan'选项下加入
  list dns '223.5.5.5'
  list dns '1.1.1.1'
  option peerdns '0'  # 禁止使用ISP下发的DNS

配置/etc/dnsmasq.d/local.conf

mkdir /etc/dnsmasq.d/

vi /etc/dnsmasq.d/local.conf

# 正向解析
address=/.myapp.lan/192.168.22.3  # 尽量不要使用公网已有的顶级域名，比如.com, .net, .org这些域名
                                  # 在局域网中一般可以使用 .lan, .home.arpa, .local, .internal, .intra
                                  # 如果一个ip上有多个服务，推荐在域名前面加上一个 (.)点 
# 反向解析  
ptr-record=3.22.168.192.in-addr.arpa,myapp.lan

#如果正向和反向都一致
host-record=myapp.lan,192.168.22.3 # 会同时生成A记录和PTR记录

重启

/etc/init.d/dnsmasq restart 
/etc/inid.d/network restart

Test

nslookup myapp.lan  # 如果正常解析，就可以用域名来访问  
# 也可以直接 ping myapp.lan

Finaly

dnsmasq在openwrt上配置的方法有很多种，这只是其中一例。
主机的ip地址建议设置为静态ip地址。
使用的时候要确保主机的DNS指向的是配置了dnsmasq的，否则会跑到公网去。
第一次用浏览器访问要使用**完整的URL**,否则也会跑到公网上去。
使用使用代理的情况下在代理规则里排除内网域名。
还是不能访问可以清除系统和浏览器的缓存。

Arch-btrfs

Mon, 20 Oct 2025 00:00:00 GMT

买了两块optane m10 16G 当做普通硬盘使用

分区

在第一块硬盘分区一个/boot分区和一个/swap分区,剩余的全部做btrfs分区。

fdisk /dev/nvme0n1 # 分三个分区

mkfs.fat -F 32 /dev/nvme0n1p1 
mkswapon /dev/nvme0n1p2
swapon /dev/nvme0n1p2

2.将第一块硬盘剩余的空间与第二块硬盘合成一个btrfs卷(第二块硬盘可以分区也可以不分)。


mkfs.btrfs -L archbtrfs -d raid0 -m raid1 /dev/nvme0n1p3 /dev/nvm1n1
# 使用systemd-boot引导时，用archbtfs的UUID

创建子卷

mount /dev/nvme1n1 # 无论哪部分挂载，整个archbtrfs都会挂载上去，或者直接用标签挂载

btrfs subvolume create /mnt/@
btrfs subvolume create /mnt/@home
btrfs subvolume create /mnt/@var
btrfs subvolume create /mnt/@snapshots
btrfs subvolume create /mnt/@log
btrfs subvolume create /mnt/@cache
btrfs subvolume create /mnt/@tmp
btrfs subvolume create /mnt/@docker
umount /mnt

挂载子卷

mount -t btrfs -o subvol=@,compress=zstd,noatime /dev/nvme1n1 /mnt
mkdir -p /mnt/{home,var,.snapshots,var/log,var/cache,var/tmp,var/lib/docker} # 使用命令后查看一下目录是否创建成功
mount -t btrfs -o subvol=@home,compress=zstd,noatime /dev/nvme1n1 /mnt/home
mount -t btrfs -o subvol=@var,compress=zstd,noatime /dev/nvme1n1 /mnt/var
mount -t btrfs -o subvol=@snapshots,compress=zstd,noatime /dev/nvme1n1 /mnt/.snapshots
mount -t btrfs -o subvol=@log,compress=zstd,noatime,compress=zstd /dev/nvm1n1 /mnt/var/log
mount -t btrfs -o subvol=@cache,compress=zstd,noatime,compress=zstd /dev/nvm1n1 /mnt/var/cache
mount -t btrfs -o subvol=@tmp,compress=zstd,noatime,compress=zstd /dev/nvm1n1 /mnt/var/tmp
mount -t btrfs -o subvol=@docker,nodatacow,noatime /dev/nvme1n1 /mnt/var/lib/docker
mount /dev/nmve0n1p1 /mnt/boot

chattr +C /mnt/var/log
chattr +C /mnt/var/cache
chattr +C /mnt/var/tmp
# 禁用这三个目录的cow

Finally

装完系统后发现，主机散热很垃圾。M10的温度在60度上下。

nftables-1

Sat, 18 Oct 2025 00:00:00 GMT

nftables statements

1. 裁决类 (Verdict statements)

accept 放行数据包。

nft add rule inet filter input tcp dport 22 accept
drop 丢弃数据包，不回应。

nft add rule inet filter input tcp dport 23 drop
reject [with ...] 拒绝并返回 ICMP/ICMPv6/TCP RST 等响应。

nft add rule inet filter input tcp dport 80 reject with tcp reset
jump <chain> 跳转到用户自定义链，执行完继续返回。

goto <chain> 跳转到链后不返回。

return 从当前链返回上一级。

2. 控制/修改类
queue 把包交给用户空间的 NFQUEUE 程序处理。

set <meta/mark> 修改包的元数据，比如打标记：

nft add rule inet filter output ip daddr 8.8.8.8 meta mark set 1
dup / fwd 复制或转发包到其他接口。

snat / dnat / masquerade / redirect NAT 动作：

snat：源地址转换

dnat：目的地址转换

masquerade：源地址伪装（常用于动态 IP 出口）

redirect：重定向到本机端口

3. 记录/统计类
counter 统计匹配到的包和字节数。

nft add rule inet filter input tcp dport 22 counter
log 把匹配的包记录到内核日志。

nft add rule inet filter input tcp dport 22 log prefix "SSH attempt: "
limit 限速匹配，用于防止日志风暴或 DoS。

nft add rule inet filter input icmp type echo-request limit rate 10/second accept
4. 连接跟踪/状态类
ct state 匹配连接状态（new, established, related, invalid）。

nft add rule inet filter input ct state established accept
ct mark / ct zone 设置或匹配连接跟踪的标记/区域。

5. 其他动作
meter 定义一个计量器，用于限速或统计。

flowtable 用于硬件加速转发。

map / set / verdict map 高级用法，可以根据集合映射到不同动作。

nftables 簇、表、动作

family	table	hook	statements	instruction
`ip` `ip6` `inet`	filter	`input` `forward` `output`	`accept` `drop` `log` `counter` `queue` `limit` `set` `map`	决定包的去留
`ip` `ip6` `inet`	nat	`prerouting` `postrouting` `output`	`dnat` `snat` `masquerade` `rediret`	地址转换
`arp`	arp	`input` `output`	`accept` `drop` `log` `counter`	二层`arp`相关
`bridge`	bridge	`prerouting` `forward` `output`	`accept` `drop` `vlan` `log` `counter`	`二层以太网帧`
`netdev`	netdev	`ingress`	`accept` `drop` `queue` `log` `counter`	`网卡接口过滤`
:::note
nftables中表只是一个容纳链的容器，属于某个簇。
链才是具体功能的实现，通过设置不同的优先级。
:::

匹配与执行流程

逐条规则顺序执行: 进入某个链后，会从上到下从左至右依次执行规则。
动作的类型不同，行为也不同:
- 终止性动作(如accept,drop,reject): 一旦数据包命中，直接对这个数据包做出最终处理，处理立即结束，不再继续匹配后面的规则。
- 非终止性动作(如counter,log,mark): 执行完动作后，仍然会继续往下匹配下一条规则。
- 控制流动作(如jump,goto): 跳转到子链执行，jump执行完子链后会return回来继续匹配，goto则不会返回。
- NAT类动作(如dnat,snat): 匹配到规则后，修改包头并继续走路由和后续链。
- 链的默认策略: 如果数据包走完整个链，没有命中任何规则，执行链的policy。

写nftables规则时的一些问题

规则顺序要合理: 最严格或最宽松的规则不应该放在过滤或限速规则之前。
规则不应自相矛盾: 如既想要限制新连接，又要无条件接受，又想丢弃特定的包。
规则的冗余: 多条规则匹配相同的流量，又使用**终止性动作**。

一般的配置思路

要明确自己的真实意图，规则的大概顺序： 丢弃明确的恶意流量 --> 限制可疑的流量 --> 接受合法的流量
不要一次添加大量的规则
从最简单宽松的规则开始
逐步添加和测试规则
每添加一次新规则，立即测试效果。
观察网络行为，确保新的规则没有出现意外的动作
在关键的位置添加log动作
使用nft monitor实时监视事件
查看计数器counter
使用nft trace手动跟踪特定数据包
1. 在想要跟踪链的开头添加这条规则：nft insert rule family_name table_name chain_name position 0 meta nftrace set 1
2. 使用nft monitor trace查看实时输出
3. 测试完成后删除跟踪规则

坑

在使用sets时注意空格，一些版本(我所使用的)的nft不能将{80,443}正确识别，要写成 { 80, 443 } 。

Remote-power-on

Wed, 15 Oct 2025 00:00:00 GMT

先决条件

主机的主板和网卡必须支持**WOL(Wake-on-Lan)**技术。去官网上查，或者问客服是否支持。
开启**WOL。进入BIOS，一般在Advanced里的APM或者Network**里有个Wake on Lan。
主机关机后网口灯还在亮，能支持远程开机。
主机是windows，要关闭快速启动,否则可能无法唤醒。

实现

有一个运行的设备与主机在**同一局域网**内。这个设备最好是路由器，并且刷了openwrt。
以openwrt为例:
1. 下载etherwake。有一个调用它的luci包luci-qpp-wol。
2. 在openwrt的终端上执行etherwake your host Mac address 后，主机就能开机，要确保Mac address输入正确。

公网远程访问

有公网ip:直接连上你的设备执行命令即可。
没有公网ip:做内网穿透或者下载一个远程连接工具，连到设备执行命令。

Finally

手机，电脑，都可以用类似的方法实现。一些品牌的路由器自带"远程唤醒"功能。
此方案可以省下买一个智能插座的钱。如果以上的条件都实现不了还想要在公网环境下远程开机，还是买一个智能插座。

Raspberry-pi4-installs-openwrt-with-docker

Tue, 14 Oct 2025 00:00:00 GMT

制作openwrt docker 镜像

在github上新建一个仓库
创建.github/workflows/build.yml文件:

name: Build OpenWrt Docker Image from RPi4 Factory IMG

on:
  workflow_dispatch:   # 手动触发

jobs:
  build:
    runs-on: ubuntu-latest

    steps:
      - name: Checkout
        uses: actions/checkout@v4

      - name: Download OpenWrt RPi4 Factory Image
        run: |
          mkdir image
          cd image
          wget https://downloads.openwrt.org/releases/24.10.1/targets/bcm27xx/bcm2711/openwrt-24.10.1-bcm27xx-bcm2711-rpi-4-ext4-factory.img.gz
          gunzip openwrt-24.10.1-bcm27xx-bcm2711-rpi-4-ext4-factory.img.gz
          cd ..

      - name: Extract rootfs from IMG
        run: |
          mkdir rootfs
          sudo apt-get update && sudo apt-get install -y kpartx e2fsprogs
          # 建立 loop 设备
          LOOP=$(sudo losetup -f --show image/openwrt-24.10.1-bcm27xx-bcm2711-rpi-4-ext4-factory.img)
          sudo partprobe $LOOP
          # 挂载第二个分区 (rootfs)
          sudo mount ${LOOP}p2 /mnt
          sudo tar -C /mnt -czf rootfs/openwrt-rpi4-rootfs.tar.gz .
          sudo umount /mnt
          sudo losetup -d $LOOP

      - name: Create Dockerfile
        run: |
          cat > Dockerfile <<'EOF'
          FROM scratch
          ADD rootfs/openwrt-rpi4-rootfs.tar.gz /
          CMD ["/sbin/init"]
          EOF

      - name: Set up QEMU
        uses: docker/setup-qemu-action@v3

      - name: Set up Docker Buildx
        uses: docker/setup-buildx-action@v3

      - name: Build Docker Image
        uses: docker/build-push-action@v6
        with:
          context: .
          file: ./Dockerfile
          platforms: linux/arm64
          push: false
          outputs: type=docker,dest=./openwrt-rpi4.tar

      - name: Upload Image Artifact
        uses: actions/upload-artifact@v4
        with:
          name: openwrt-rpi4-image
          path: ./openwrt-rpi4.tar

说明:

下载 openwrt-24.10.1-bcm2711-rpi-4-ext4-factory.img.gz
解压 .img.gz 得到 .img
挂载 .img 的第二个分区（rootfs）
打包 rootfs 为 tar.gz
构建 Docker 镜像（基于 scratch）
导出为 openwrt-rpi4.tar，并作为 Artifact 提供下载

使用

点击Actions按钮
点击左侧出现的Build OpenWrt Docker Image from RPi4 Factory IMG ,再点击Run workflow
一分钟左右镜像构建成功，下载镜像

导入镜像

docker load -i openwrt-rpi4.tar #镜像名

导入的镜像没有名字，用docker tag 来命名

docker images #查看docker images
docker tag images_ID openwrt24.10.1:rpi4

:::note 可以在构建阶段加入tag
with:
tags: openwrt24.10.1:rpi4
:::

运行容器

直接运行


docker run -d --name openwrt --network host --privileged openwrt24.10.1:rpi4

使用macvlan

sudo ip link set eth0 promisc on # 打开有线网卡的混杂模式
docker network create -d macvlan --subnet=192.168.0.0/24 --gateway=192.168.0.1 -o parent=eth0 openwrt_macnet 
# 创建macvlan网卡 
# --subnet=真实的网络 
# parent=网卡名字 虚拟网卡名
docker run --restart always --name openwrt -d --network openwrt_macnet --privileged rpi4

使用docker compose(推荐)
1. 创建一个目录
```
 mkdir openwrt
```
1. 进入目录创建docker-compose.yml文件

    
services:
  openwrt:
    image: openwrt24.10.1:rpi4
    container_name: openwrt
    privileged: true
    networks:
      macnet:
        ipv4_address: 192.168.1.31   # 给 OpenWrt 容器分配的局域网 IP
    restart: unless-stopped
    volumes:
      - ./openwrt-overlay:/overlay   # 持久化 OpenWrt 配置到当前目录
      - ./openwrt-root:/root         # 可选：持久化 root 用户目录（在当前目录）
      - ./openwrt-tmp:/tmp           # 可选：持久化临时目录（避免容器重启丢失）

networks:
  macnet:
    driver: macvlan
    driver_opts:
      parent: eth0                   # 你的物理网卡名称
    ipam:
      config:
        - subnet: 192.168.1.0/24      # 你的局域网网段
          gateway: 192.168.1.1        # 你的路由器网关
          ip_range: 192.168.1.31/32

:::note
用macvlan的方式，容器无法与宿主机通信(宿主机ping不通容器)
可以在宿主机再建一个macvlan接口
sudo ip link add macvlan1 link eth0 type macvlan mode bridge # 创建一个macvlan1的接口
sudo ip addr add 192.168.1.32/24 dev macvlan1 # 分配同一网段的ip地址
sudo ip link set macvlan1 up # 启用接口
:::

使用ipvlan模式

services:
  openwrt:
    image: openwrt24.10.1:rpi4
    container_name: openwrt
    privileged: true
    networks:
      ipvlan_net:
        ipv4_address: 192.168.1.31   # 给 OpenWrt 容器分配的局域网 IP
    restart: unless-stopped
    volumes:
      - ./openwrt-overlay:/overlay   # 持久化 OpenWrt 配置到当前目录
      - ./openwrt-root:/root         # 可选：持久化 root 用户目录
      - ./openwrt-tmp:/tmp           # 可选：持久化临时目录

networks:
  ipvlan_net:
    driver: ipvlan
    driver_opts:
      parent: eth0                   # 改成你的物理网卡名称
      ipvlan_mode: l2                # L2 模式，容器像局域网独立设备
    ipam:
      config:
        - subnet: 192.168.1.0/24     # 你的局域网网段
          gateway: 192.168.1.1       # 你的路由器网关
          ip_range: 192.168.1.31/32  # 限定容器 IP

启动

docker compose up -d

进入容器

docker exec -it openwrt /bin/sh  
vi /etc/config/network # 修改ip地址
/etc/init.d/network restart # 重启网络

使用ip地址在浏览器上访问。

Finally

此方案没有无线功能，如果一定要有可以考虑做**设备直通或者自己编译OpenWrt Docker镜像又或者直接在树莓派上安装OpenWrt**。

Docker_learn

Fri, 10 Oct 2025 00:00:00 GMT

Install

# 使用 curl
curl -fsSL https://get.docker.com | sh

# 或者使用 wget
wget -qO- https://get.docker.com | sh

启用docker service

sudo systemctl enable --now docker.service

导出docker镜像


docker save -o image_name.tar image:tag1 image:tag2 ...

导入镜像

docker load -i image_name.tar

导出容器快照

docker export -o container_snapshot.tar container_name or cntainer_ID

导入容器快照

docker import container_snapshot.tar new-image:tag # 得到一个全新的镜像,不包含启动命令，环境变量 工作目录，端口声明

导入的镜像用的ID导入没有REPOSITORY和TAG:

docker tag image_ID repo_name/image_name:latest

开启docker的类似断点续传的功能，在/etc/docker/daemon.json加入:

{
  "features": {
    "containerd-snapshotter": true
  }
}

nftables

Tue, 07 Oct 2025 00:00:00 GMT

Install

在archlinux上:

sudo pacman -S nftables

查看有其他防火墙服务是否在运行,如果有先禁用：

sudo systemctl list-units --type=service | grep -E "firewalld|ufw" 
sudo iptables -L -n -v # 谁有输出就禁用

启动防火墙:

sudo systemctl enable --now nftables.service 
sudo systemctl status nftables.service #查看防火墙状态

安装nft的补全脚本

sudo curl -o /etc/bash_completion.d/nft \
  https://raw.githubusercontent.com/Zulugitt/bash_completion/main/nft-completion

重新加载:

source /etc/bash_completion.d/nft

Usage

查看当前所有规则:

sudo nft list ruleset

清空当前的规则

sudo nft flush ruleset

加载配置文件

sudo nft -f /path/to/filename # nftables的配置文件

Table

nftbles没有内置表。每个表只能有一个地址簇。有六个簇。未指定为ip簇。

nftables family	meaning
ip	处理IPv4数据包
ip6	处理IPv6数据包
inet	同时处理IPv4和IPv6数据包
arp	处理ARP数据包
bridge	处理二层桥接数据包
netdev	处理网络设备ingress(入站)数据包

创建表

sudo nft add table family_type table_name

列出表

sudo nft list tables

列出表中的链和规则

sudo nft list table family_type table_name

删除表

sudo nft delete table family_type table_name

刷新表

sudo nft flush table family_type table_name

Chains

链的用途是包含规则。
链有两种类型。分别是**基本链(Base chain)和常规链(Regular chain)。区别主要在是否挂接到内核网络堆栈**。
- 基本链：入口点，必须有hook,直接处理数据包。
- 常规链：辅助链,没有hook,作为跳转目标，用来组织规则。

Base chain

添加基本链:

sudo nft add chain family_type table_name chain_name  { type chain_type hook hook_type priority priority_value ; policy policy ;}  
# type: filter / nat /route 
# hook: preouting / input / forward /output / postrouting /ingress  # ip ip6 family 
# priority: 名字或整数，可以为负
# policy accept / drop

添加常规链:

sudo nft add chain family_type table_name chain_name

编辑链:

sudo nft chain family_type table_name chain_name { } # 可以修改 policy 命名集合的元素，计数器，限速器，等状态对象。

Ruler

规则由**匹配条件(Expressions)和动作(Statements)**组成。条件和动作从左到右顺序应用。
规则中的条件在逻辑上连接在一起**(AND运算符)**。所有的条件必须全部匹配，才能执行相应的动作。否则，将执行下一条规则。
添加规则:

sudo nft add rule family_type table_name chain_name handle handle_value  ruler
# handle 一个唯一的ID 用来删除、替换、插入的。

Expression

常见的匹配条件:

expression	example
meta	`iif lo` `oifname "eth0"`
ip / ip6	`ip saddr 192.168.0.0/16` / `ip6 daddr fe80::/10`
tcp / udp / sctp	`tcp dport 22` / `udp sport 53`
icmp / icmp6	`icmp type echo-request` / `icmpv6 type nd-neighbor-solicit`
ct	`ct state established,related` / `ct state new`
sets / maps	`tcp dport {22,80,443}` / `ip saddr vmap { 192.168.1.1 : drop,192.168.1.2 : accept }`

更多的expression具体信息可以使用 nft describe 查询或者man nft。

Statements

常见的动作:

statements	meaning
accept	放行
drop	丢弃
reject	拒绝并返回ICMP/ICMPv6错误
queue	交给用户空间程序处理
return	返回到调用链
log	记录日志
counter	计数
masquerade / snat / dnat	NAT动作
limit / meter	限速 / 限流
set / add / delete / element	动态修改集合

Sets

集合可以是匿名，命名的。它可以用来存放一组元素，然后在规则中引用。
- 匿名集：直接写在规则里，不能修改
- 命名集：单独定义，可动态更新
example 自动拉黑

table inet ssh_protect {
    # 定义一个动态黑名单集合
    set ssh_blacklist {
        type ipv4_addr
        flags dynamic, timeout
        timeout 1h                
        size 65536               
    }

    chain input {
        type filter hook input priority 0; policy accept;

        ip saddr @ssh_blacklist drop
        # 如果源 IP 在黑名单中，直接丢弃

        tcp dport 22 ct state new \
        # 检测 SSH 新连接，超过速率限制则加入黑名单
            limit rate over 10/minute burst 5 packets \
            add @ssh_blacklist { ip saddr timeout 1h } \
            accept
    }
}

Maps

maps是sets的一种扩展形式。基本语法:

map map_name {
    type key_type: value_type
    elements = { key : value, key1 : value1 }

}

example 1 端口重定向

table ip nat {
    map port_redirect {
        type inet_service : inet_service
        elements = { 80 : 8080, 443 : 8443 }
    }

    chain prerouting {
        type nat hook prerouting priority dstnat;
        tcp dport @port_redirect dnat to 192.168.1.10 : @port_redirect
    }
}
# 访问本机的80 / 443 端口会被转发到 192.168.0.10 的 8080 / 8443 端口上

example 2 服务端口分类

table inet filter {
    map service_dispatch {
        type inet_service : verdict
        elements = {
            22  : jump ssh_chain,
            23122  : jump ssh_chain,
            80  : jump web_chain,
            443 : jump web_chain
        }
    }

    chain input {
        type filter hook input priority 0; policy drop ;
        tcp dport vmap @service_dispatch
    }

    chain ssh_chain {
        tcp dport 22 drop
        tcp dport 23122 accept
    }

    chain web_chain {
        tcp dport {80,443} accept
    }
}
# 把不同的端口映射到不同的链上

example 3 基于不同IP的策略

table inet filter {
    map ip_policy {
        type ipv4_addr : verdict
        elements = {
            192.168.1.100 : accept,
            10.0.0.5      : drop
        }
    }

    chain input {
        type filter hook input priority 0; policy drop ;
        ip saddr vmap @ip_policy
    }
}
# 不同来源的IP走不同的链

Objects

counter
quota
limit
ct helper
flowtable

例子

flush ruleset

table inet myfw {
    # 黑名单集合
    set ssh_blacklist {
        type ipv4_addr
        flags dynamic, timeout
        timeout 1h
    }

    # 对象：计数器 + 限速器
    counter ssh_counter
    limit ssh_limit { rate 10/minute burst 5 }

    chain input {
        type filter hook input priority 0; policy drop;

        # 基础放行
        ct state established,related accept
        iif lo accept

        # 黑名单
        ip saddr @ssh_blacklist drop

        # SSH 防护：速率限制 + 计数 + 自动拉黑
        tcp dport 22 ct state new limit name ssh_limit counter name ssh_counter \
            add @ssh_blacklist { ip saddr timeout 1h } drop

        # 允许 Web 服务
        tcp dport {80,443} accept
    }
}

流程图

flowchart TD
    A[Packet enters input chain] --> B{ct state established,related?}
    B -- yes --> Z[ACCEPT established/related]
    B -- no --> C{iif lo?}
    C -- yes --> Z
    C -- no --> D{Source IP in ssh_blacklist?}
    D -- yes --> X[DROP blacklist]
    D -- no --> E{tcp dport 22 and state new?}
    E -- no --> F{tcp dport 80 or 443?}
    E -- yes --> G[Count ssh_counter + Limit ssh_limit]
    G --> H[Add source IP to ssh_blacklist 1h]
    H --> X[DROP SSH over limit]
    F -- yes --> Z[ACCEPT Web service]
    F -- no --> X[DROP default policy]

如何写一条规则

要实现什么功能，确定在哪个表和链里写。
写匹配条件。如协议，端口，地址等等。
写动作。如 accept,drop,log等。

Finally

更多内容请查看nftables官网

markdown-extended-syntax

Fri, 19 Sep 2025 00:00:00 GMT

表格

使用**三个或多个连字符(---)**,使用管道(|)分隔系列.
管道与文本之间要有空格。

 | Syntax    | Description |
 | --------- | ----------- |
 | Header    | Title       |
 | Paragraph | Text        |

输出如下:

Syntax	Description
Header	Title
Paragraph	Text

对齐

在连字符的左侧，右侧，两侧添加冒号 ( : ),将文本对齐到左侧，右侧，中心.

| Left alignment | Center alignment | Right alignment | 
| :------------- | :---------------:| --------------: | 
| Content        | Content          | Content         |
| Content        | Content          | Content         |

输出如下:

Left alignment	Center alignment	Right alignment
Content	Content	Content
Content	Content	Content

格式化表格中的文字

可以丰表格中设置文本格式。如链接，代码(仅反引号( ` )中的单词或短语，不是代码块) 和强调。
不支持标题，块引用，列表，水平规则，图像或HTML标签。

在表中转义管道字符

可以使用表中的HTML字符代码( <code>|</code>)在表中显示竖线(|)字符。

Markdown 脚注

脚注可以添加注释和参考，而不会使文档正文混乱。

创建脚注: 在方括号 ( [^xx] ) 内符号各标识符。标识符可以是**数字或单词**,但不能包含空格或制表符。
在方括号内使用另一个插入符号和数字，标识符，并用冒号和文本相连 ( [^xx]: content. )。可以放在除列表、块引号和表之类的其他元素这外的任何位置。
像这样：

Here's a simple footnote,[^1] and here's a longer one.[^bignote]
[^1]: This is the first footnote.
[^bignote]: Here's one with multiple paragraphs and code.
    Indent paragraphs to include them in the footnote.
    `{ my code }`
    Add as many paragraphs as you like.

输出如下：
Here's a simple footnote,[^1] and here's a longer one.[^bignote] [^1]: This is the first footnote. [^bignote]: Here's one with multiple paragraphs and code. Indent paragraphs to include them in the footnote. { my code } Add as many paragraphs as you like.

Markdown 标题编号

添加自定义ID可以直接链接到标题并使用CSS对其进行修改。
在与标题相同的行内用大括号括起该自定义ID。
通过创建带有数字符号 (#) 和自定义标题ID,可以链接到文件中具有自定义ID的标题。

### Heading {#custom-id}

Markdown 定义列表

在第一行上键入术语。在下一行键入一个冒号跟一个空格和定义。
像这样：

First Term
: This is the difinition of the first term.
Secend Term
: This is one definition of the second term.
: This is another definition of the second term.

输出如下：
First Term
: This is the difinition of the first term.
Secend Term
: This is one definition of the second term.
: This is another definition of the second term.

Markdown 任务列表语法

在任务列表之前添加连字符 (-) 和方括号 [ ],并在方括号前面各中间添加一个空格。要选择一个复选框，在方括号 [x] 之间加 x 。

- [x] Write the press release  
- [ ] update the website  
- [ ] Contact the media

输出如下：

[x] Write the press release
[ ] update the website
[ ] Contact the media

使用 Emoji 表情

以冒号开头和结尾，中间包含表情符号的名称。
:tent: 显示 :tent:
:joy: 显示 :joy:
更多表情符号参考这里

Markdown 警告

Markdown没有自带警告框功能，但可以用引用块 ( > ) + Emoji + 加粗模拟:

> :waring: **警告:** 不要按下红色按钮！  
> :memo: **注意：** 前方有坑  
> :bulb: **提示:** 现在是早八

渲染效果：

:warning: 警告: 不要按下红色按钮！
:memo: 注意： 前方有坑
:bulb: 提示: 现在是早八

markdown-syntax

Thu, 04 Sep 2025 00:00:00 GMT

标题

使用#符号，数量表示标题级别。

这是最大的标题

这是第二级标题

这是第三级标题

这是第四级标题

这是第五级标题

这是第六级标题

:bulb: 提示: #号后面记得加一个空格，这是一个好习惯！

段落和换行

用空行分隔不同的段落。
段落内创建换行，在行内添加两个空格，然后按回车键。

强调文本

斜体文本可以通过在文本两侧添加单个星号和下划线来创建：
这是斜体
这也是斜体
粗体文本使用两个星号或两个下划线：
这是粗体文本
这也是粗体文本
粗体和斜体组合使用：
这是粗体斜体文本
这是粗体文本包含斜体部分
删除线使用波浪号：
~~这是删除线文本~~

列表

无序列表可以用 - + *加空格作为列表标记：

第一项
第二项
第三项
- 嵌套项目
- 另一个嵌套项目
第四项
第五项

有序列表使用数字加点号和空格：

第一项
第二项
第三项
1. 嵌套有序项目
2. 另一个嵌套有序项目
第四项
第五项

:bulb: 提示: 在有序列表中，实际的数字并不重要。Markdown解析器会自动生成正确的序号。可以使用相同的数字和不连续的数字，这样在插入或删除列表时就不需要重新编号。

第一项
第二项
第三项
第四项

链接

内连链接
[链接文本](https://example.com)
链接文本
[带标题的链接](https://example.com "这是链接标题")
带标题的链接

引用式链接

分成两部分:

链接的第一部分格式：
- 使用两组方括号进行格式设置。
- 第一组方括号为链接文本。
- 第二组方括号为一个标签，指向存储在其他位置的链接。
链接的第二部分格式：
- 一个方括号(里面跟链接标签)，紧跟一个冒号和至少一个空格，最后是链接。
- 链接的url可以选择将其括在尖括号中。
- 链接的可选标题，可以将其括在双引号，单引号或括号中。
- 链接的第二部分可以放在文档中的任何位置。

例子：
这是一个 [引用式链接][sing].
这是一个引用式链接.
这是另一个 [引用链接][sing2].
这是另一个引用链接.

[sing]: https://example.com
[sing2]: https://example.com "可选的标题"

**自动链接:**直接显示URL的情况一对尖括号里面是链接

<https://github.com>
<email@gmail.com>

图片

图片的方法与链接类似，只是在前面添加感叹号:

![替代文本](/icons/favicon-16x16.png)

![带标题的图片](/icons/favicon-16x16.png "图片标题")

引用式图片

![替代文本][img-ref]

[img-ref]: /icons/favicon-16x16.png "可选的标题"

:bulb: note: **引用式链接和引用式图片**的二段最好单独放一段。第二段的标签不要有重复。

代码

Markdown支持内联代码和代码块两种显示方式。

内联代码

使用反引号``包围:
使用console.log()函数输出信息.

代码块

使用3个反引号```或者3个波浪号~~~来包围起来。
可以在符号后加入对应的语言，开启**语法高亮**。

{
 "firsrtname": "Tim",
 "lastname": "Smith",
 "age":23
}

开启语法高亮:

{
 "firsrtname": "Tim",
 "lastname": "Smith",
 "age":23
}

引用

创建块引用，在**段落前添加一个>符号和空格**。
多个段落的块引用，需要在空白行添加一个 > 符号。
可以嵌套。再加一个 > 符号。

This is a reference block. It can contain multiple lines of content.

It can even contain multiple pargraphs.

Nested references.

This is a nested reference.

Deeper nesting.

分隔线

在单独一行上使用**三个或多个星号( *** ), 破折号( --- ),下划线 ( ___ ),并且不能包含其他内容**。

三个星号

三个破折号

三个下划线

转义字符

常见的字体可以用反斜杠进行转义\,有\,`,*,_,{},[],(),#,+,-,.,!,|。
有两个需要处理的特殊字符 < 和 & 要使用这两个字符要这样写<code>&lt</code>;和 <code>&amp</code>;。

Vim-learn

Wed, 03 Sep 2025 00:00:00 GMT

在vim insert mode下可以使用的快捷键

快捷键	说明
Ctrl-j / m	换行（等同于 Enter）
Ctrl-r{register}	粘贴指定寄存器的内容
Ctrl-r =	粘贴一个表达式的结果
Ctrl-o	临时切换到 Normal Mode，执行一个命令后立即返回 Insert Mode
Ctrl-[ / Ctrl-c	退出 Insert Mode（等同于 Esc）
Ctrl-h	删除光标前的一个字符（等同于 Backspace）
Ctrl-w	删除光标前的一个单词
Ctrl-u	删除光标前到行首的所有字符
Ctrl-a	插入上次插入模式中插入的文本
Ctrl-x	插入补全
Ctrl-x Ctrl-l	补全整行
Ctrl-x Ctrl-f	补全文件名
Ctrl-x Ctrl-n	从当前文件中补全文本
Ctrl-n / Ctrl-p	自动补全：下一个/上一个匹配项

展开折叠的命令

命令	功能说明
zc	关闭当前折叠
zo	展开光标所在的折叠块
zO	展开光标所在折叠块及其所有子折叠
za	切换折叠状态 (展开或收起)
zR	展开所有折叠
zM	收起所有折叠

重复执行

所在模式	命令
普通模式(命令模式)	.
ex模式	@:
宏	@@

文本组合

操作符: d、y、c
范围修饰: i ( inside ) 、a ( around )
对象类型: w、 s、 p、 [、 (、 {、 "、 '、 <、 t等等。 :::note 光标必须在对象内部或者边界符号上才能正常使用。
:::

撤销与重做

命令	说明
`u`/`:undo`	撤销最近一次修改
`Ctrl-r`/`:redo`	重做(恢复被撤销的修改)

行级撤销

U: 撤销当前行的所有修改，恢复到进入该行时的状态。
:::note U本身也是修改，可以按u撤销这个U :::

指定撤销点

命令	说明
`:undo N`	跳到第`N`次修改之后的状态
`:earlier time`	回到`time`前的状态
`:earlier 3f`	回到3次文件(file write)写入之前的状态
`:later {N}{unit}`	与`:earlier`的操作相反

撤销树(Undo Tree)

使用:undolist查看撤销历史和分支，再使用:earlier或者:later。

保存

:w !sudo tee % > /dev/null