Cainong's Blog

记一次从 Hexo Blog 到 Astro Firefly Blog 的迁移

Mon, 29 Jun 2026 00:00:00 GMT

前言#

Hexo 目前还是不怎么够我用

一个是 JavaScript 并不是很好写（相较于 Astro的 JSX 而言）

一个就是 Hexo 的主题和生态确实远远比不上新的基于 Astro Svelte 这些前端框架

再加上前一个 Blog 其实用了很久了，也是时候换新了

选了一圈最后是选择基于 Fuwari 的 Firefly

迁移过程#

Fork 主题并修改#

首先的话是 Fork 主题并修改，改的内容很多

主要是把背景拆开，我的每个背景都会有不同的配置和行为主题

但这个真的太难做了（）

其次就是禁用了一些大大小小的功能，主要还是做减法

我觉得 Blog 凸显自己个性还是比较重要的，实际上截至写稿日这个 Blog 还有很多我想修改的地方，但确实我想做的效果太麻烦

起码我的能力还不够纯前端实现，现在还在用 Ae 慢慢做动画嵌进来

文章的迁移#

这个其实是个有点麻烦的事， Hexo 文章的 Markdown 和 Astro 的 Markdown 还是有点差别的

怎么办？

让 AI 办

NVIDIA_Overlay_Xu5XASOuUi.png

Codex 还是太好用了你们知道吗

当然了 Markdown 开头的内容实际是 YAML ，虽然格式不一样但是可以解析并转换

麻烦的其实是代码块以及一些高级语法，但这个 Codex 搞定了

感谢山姆奥特曼

部署#

之前我是用 GitHub Pages ，但是听说 Github对于新的框架支持并不是很好

所以我打算试试 Vercel

进去输个Git仓库地址就完事了没想到这么简单

Vercel 一大好处就是不同于 Github 的无法直连 CloudFlare 的反向加速

Vercel 一定概率是可以国内直接访问的

太伟大了 Vercel

Vercel 会 Clone 你输入的Git仓库并创建一个新的可以选择 Private

然后会自动用 Action 构建并部署，之后就能直接访问了

chrome_NslpKqTHrL.png

还会自动生成域名自动做CI/CD

后续加上域名迁移也就差不多结束了

记一次Chunithm的逆向

Mon, 25 May 2026 00:00:00 GMT

前言#

之前写过一篇关于中二的逆向，但是没什么成果，加上我确实没什么逆向的能力，所以删掉重新研究了一下

这次目标依然是实现AutoPlay，得益于Agent的发展，现在我们可以让Agent直接去访问IDA MCP来逆向，我们就不用啃反编译出来的狗屎了

注意：为了防止滥用，以下内容的函数偏移量/特征码被隐藏，仅提供思路给有能力的人去研究

所有操作都在私服进行，违规使用后果自负

逆向过程#

首先的话我想起我挺久以前看到的这篇文章

https://cloud.tencent.com/developer/article/2216947

里面实现全自动理论值的方式是修改游戏判定，使所有判定都指向大P

这是一个不错的方案，但是会带来一点小问题

比如说，Note会在越过判定线后变成大J，这样观感不会太好

我想起之前maimai的一个项目

通过内部钩子启动游戏内置的Autoplay

我们可以合理推测，中二也有Autoplay

怎么确定呢？我们想一想在Tutorial里就有自动击打Note的场景

寻找Hook点#

一开始想直接在String里搜索Autoplay，发现出来的并不是什么很有价值的东西

因此我打算从参考那篇文章，从判定的函数入手

我想起之前maimai的代码里面，与判定有关的函数一般都带有JudgeManger/JudgeTap之类的名字

因为中二是MSVC编译，因此大概率存在虚函数表，我们可以在IDA里搜索\\?\\?_7Judge.*

其中//?/_7是虚函数表在MSVC编译后的特征

Judge.*是通配符

很快就找到了 ??_7JudgeTapChecker@projView@@6B@ 这个函数虚表

我们对其交叉引用，发现在三个函数中被调用

第一个是这个

ida_MnbB3CUpMh.png

*this这个标志很明显，这是个构造器函数，因此我把他改名为了Constructor

顺着 xrefs 往下找，可以找到这个函数

NVIDIA_Overlay_7Nb7OGrDlk.png

很长，但是仔细看看可以发现这其实就是我们找的判定函数

里面有不少的if语句，最有意思的是截图中的这个if

这个 if 的判断在后面一大堆的 if 判定之前，后面的 if 是真正的判定逻辑，那这个 if 呢？

简单Hook一下发现这就是我们要的 Autoplay 的开关

直接用 Frida Hook 这个 if 判断的两个变量，使其恒成立，秒了

1
const engineInstance = safeReadPointer(ENGINE_INSTANCE_PTR);
2
            if (engineInstance.isNull())
3
                return;
4

5
            const autoKeyA = engineInstance.add(OFFSET_AUTO_KEY_A);
6
            const autoKeyB = engineInstance.add(OFFSET_AUTO_KEY_B);
7

8
            safeWriteU8(autoKeyA, 1);
9
            safeWriteU32(autoKeyB, 1);

说实话我不擅长读伪C 但MCP工具恰好弥补了这个缺点

虽然 LLM 做这方面并不聪明，但如果有思路提供给LLM的话他还是很强大的

别的实现思路#

我们也给自己加点难度，假如Agent能力不足其实是Token用完了，我的能力也不足以纯静态去分析，那还有什么办法呢？

我依然觉得一开始的那篇文章有些思路很有意思也很好玩

通过Frida-trace追踪函数的调用，我们只需要追踪游戏中负责处理Note判定的函数，然后直接在IDA中找到对应的函数分析再用Frida-trace

一开始我发现IDA/CE的Debbuger无法附加，因为segatools或者游戏本身的反调试

后来我发现Frida是可以Attach的，因为Frida并不是传统意义上的 Debbuger

官方的定义它属于动态二进制插桩工具，不走传统 Windows Debugger API

但因为需要注入chusanhook.dll保证游戏能启动，所以我们还是没有办法直接让Frida去spawn

我们看到inject.exe有个用法

1
Usage: inject [options] program args...
2
All options must precede the program name.
3

4
The following options are understood:
5

6
-h      Print this message.
7

8
-d      Attach to target as a debugger and print debug messages.
9

10
-p      Pause the target until a debugger attaches to it.
11
        Cannot be used with -d.
12

13
-w      Wait for target to terminate.
14
        Cannot be used with -d.
15

16
-k dll  Inject the named DLL into the target process.
17
        Can be specified more than once.

展开收起

Segatools本身就提供了一个Inject的功能，我们可以让Frida-Gadget注入到游戏里，便于我们研究

之前只听说过Gadget，没真的实际用过，借着这个机会好好试试

我们去Frida的Release里下载Windows的Gadget Dll

放到游戏目录

Terminal window

1
inject_x86.exe -d -k chusanhook.dll -k frida-gadget.dll chusanApp.exe

默认Gadget就是Listen模式，所以我们不需要改Gadget的配置，只需要确保27042端口是chusanApp在监听就是没问题的

那篇文章是通过frida-trace批量hook游戏的几乎所有函数

但其实现在不需要，我们可以用Stalker去做

我们可以用用Stalker.follow(mainThreadId)去追踪主线程的所有call行为，我们只在游戏里进行特定操作数次

最后会把所有可能的call输出出来，我们再全部hook，一边打Note一边看控制台输出，知道哪个函数是一定在我们打Note的时候调用的就可以

这样的好处是不用一下子Hook几万个函数让游戏直接闪退，也不用多次运行排除噪声了

题外话#

实际上不用Gadget也是可以的，因为Frida的特性直接Attach就可以

动态寻找Hook点#

现在的Hook代码依然是硬编码函数名和识别符，每次游戏大版本更新我们都要重新做这些，那有没有方法可以让Frida动态寻找函数并Hook呢

这里写不动了（）等我以后补上吧

基于Hyper-V+RDP对国产软件进行隔离

Mon, 11 May 2026 00:00:00 GMT

前言#

因为**某些需要**，我认为将国产软件与一些科学的服务跑在同一个环境中是不大安全和明智的

所以我决定用Hyper-V虚拟机去隔离，同时也能保证我宿主机的简洁

为什么用Hyper-V#

首先的话，为什么用Hyper-V而不是VMware或者VirtualBox

其实很简单，为了流畅性我们最好还是使用GPU-PV去给虚拟机分下显卡，那这个肯定几乎只有Hyper-V支持了

再加上如果需要完全进入沙箱环境，比如我的一些工作，我可以用Sunshine的方式去远程连接，甚至是可以打游戏的

而Sunshine的话是必须要GPU的

开始折腾#

Hyper-V的启用#

这个很简单，在Windows功能里启用Hyper-V，我之前装过WSL2所以已经启用了，这个不过多赘述

值得一提的是，在启用之后实际上你的宿主机也会由Hypervisor管理，相当于也变成了一个大号虚拟机

但这个对于性能影响其实很小

我必须要批评的是国内一些CS对战平台至今不支持Hyper-V，如果打开会导致你用不了这些平台，非常垃圾

虚拟机的配置#

系统的话我选择是Windows11 IoT LTSC

一个是轻量，不会过多占用硬盘的空间

一个是长期支持，不会频繁Windows Update

ISO下载的话值得提醒的就是，不要去微软官网去下，那里得到的是试用版本，无法切换为正式版

然后的话不需要手动安装，我们这里用EASY-GPU-PV，会自动处理驱动等配置

在项目的CopyFilesToVM.ps1中除了按照README修改iso路径账号密码以外，我们还需要改一下Edition

Terminal window

1
Edition    = 2

因为我们提供的Windows11 IoT LTSC中，我们需要的版本在安装界面的第二个位置

至于他说的一定要和宿主机系统相同，我倒是没见到有啥问题

当然前提是宿主机也是11，如果是10的话我就不知道啥情况了

运行脚本大概五分钟系统就好了

系统的精简#

首先的话还需要对系统做一些更改

激活#

虽然网上说 LTSC IoT 不能用 Activation Script 但是我不知道为什么我可以（）

所以实际激活也就一行命令

Terminal window

1
irm https://get.activated.win | iex

然后选1 自己就激活了

关闭Windows Defender#

这个肯定是要关的，首先的话需要先关掉主动防御，不然 Defender 会杀掉关 Defender 的程序

然后彻底删除用了这个项目

windows-defender-remover

卸载Edge#

我是 IoT 版本所以这个并没有预装，可以用这个项目进行卸载

Remove-MS-Edge

最好不要删除 WebView2 不然一些软件会用不了

限制对局域网的访问#

我不希望虚拟机可以访问我的局域网中的任何IP，仅能访问互联网

有俩方案

在路由器用 ACL 限制
本机直接用 Netsh 或者防火墙

我选择方案二

首先的话是不能用 Defalt Switch 的，因为微软自己给这玩意配了转发和 DHCP

结果又不给配置的地方差评

新建一个 Internal Switch，然后在虚拟机里选择这个Switch

完事给他创建 NAT

Terminal window

1
New-NetNat `
2
     -Name "SandboxNAT" `
3
     -InternalIPInterfaceAddressPrefix 192.168.137.0/24

因为没有 DHCP 所以我们要在虚拟机里手动设置静态 IP

这个去设置手动改一下就行，虚拟机可以用 192.168.137.1以外任何一个/24的IP

最后用防火墙阻挡所有通向内网的IP请求

Terminal window

1
New-NetFirewallRule `
2
    -DisplayName "Block VM LAN" `
3
    -Direction Inbound `
4
    -Action Block `
5
    -RemoteAddress 192.168.137.0/24 `
6
    -LocalAddress 10.0.0.0/16

至此系统就配置完了

远程连接#

我选择使用这个工具

Remote App Tool

我看到这玩意居然是用 VB 写的，老到家了

本来不想用，但是其实真的没得选

不管咋说，装了以后Add RemoteApp，选择你想要的程序

然后就可以在宿主机上直接运行虚拟机里的程序了

效果就和普通窗口一样，唯一缺点就是跑不到高刷，因为 Windows 的 RDP 似乎限制死了60FPS

就先这样吧（）

基于Owncast的自建直播平台

Wed, 06 May 2026 00:00:00 GMT

前言#

之前搭建的SRS让我想起我完全可以自己搭一个直播平添给群友用

之前的话用Oopz Discord等直播都需要开会员，而且帧率也很低

所以我打算研究下自建的直播平台

其实还是需要面临一些问题的

首先我想到的就是上传带宽的问题，直播放在我自己的K8s上，如果多人看的话上传应该跟不上

我可能会研究下CDN之类的，但这个要钱（

然后就是法律问题

理论上的话仅限群友使用，做好鉴权不对外公开应该风险是不大的

方案选择#

SRS可以，但比较简陋，实际上已经有完全完善的开源项目了

Owncast是很符合我的需求的

甚至支持直播聊天之类的

开始折腾#

Docker部署#

依旧是官方给的一行命令就能搭起来测试了

Terminal window

1
docker run -v `pwd`/data:/app/data -p 8080:8080 -p 1935:1935 owncast/owncast:lates

然后去http://localhost:8080，管理员是http://localhost:8080/admin

账号密码是admin abc123

很简单，但我的需求还没满足

鉴权#

我打算的话是用群里的Bot，每次直播的时候生成一个Token和直播链接，观看的话也是随机生成链接才能观看

这里简单说一下两个有关的API

/api/admin/config/streamkeys：用来设置直播密钥，每次根据传的内容直接刷新密钥，而不是添加，示例代码如下：

1
json = {
2
    "value": [
3
        {
4
        "key": key,
5
        "comment": comment
6
        }]
7
    }
8
    response = requests.post(headers={"Content-Type": "application/json"},
9
                            auth=(ACCOUNT, PASSWD),
10
                            url=f"{OWNCAST_HOST}/api/admin/config/streamkeys",
11
                            json=json)

/api/admin/status: 获取直播状态的，可以判断直播间是否有人占用来决定要不要派发/更改新的密钥

示例代码如下：

1
response = requests.get(headers={"Content-Type": "application/json"},
2
                            auth=(ACCOUNT, PASSWD),
3
                            url=f"{OWNCAST_HOST}/api/admin/status")

至于QQBOT那边的话，SDK太难用了，API文档写的也是一坨屎，这里实在写不下去了

最后#

就先这样，以后有钱了可能会研究CDN之类的，但目前而言最大的问题还是QQBOT

自己搭建一个屏幕共享/会议系统

Tue, 05 May 2026 00:00:00 GMT

前言#

因为某些工作需要双人共享屏幕聊天以及操作，但是众所周知国内很多会议软件并不是免费的

例如钉钉，腾讯会议，飞书等都不好用，因此我决定自己搭建一个

开始折腾#

方案选择#

SRS推流#

一开始想的是直接让想直播的一方用OBS推流，然后另一方用VLC或者ffplay拉流，同时用语音软件在线交流

我打算用SRS，然后用RTMP推流

跑起来倒是很简单

Terminal window

1
docker run -d --name srs -p 1935:1935 -p 1985:1985 -p 8080:8080 ossrs/srs:latest

然后区配置一下端口映射，把1985映射出去就可以

推流端的地址是rtmp://服务器IP:1935/live/stream

拉流端的地址也一样

但这样有几个问题

首先的话这是没有鉴权的，任何人知道地址都可以推流拉流，不安全

虽然可以通过httphook和手写后端来实现鉴权，但首先这太复杂了，我后续需要部署到K8s上

前端后端 SRS服务都需要写一个Deployment，就为了实现一个鉴权和直播，像屎山

其次延迟是个问题，大约1-2s的延迟导致语音看起来和视频不大同步，这并不满足会议的体验和需求

然后OBS推流对于直播端网络要求不低，如果上传不稳定会断流，并且OBS并不会很积极的重试，导致一旦断流卡顿就是将近十秒的卡顿

所以体验不佳，综上，这个方案被Pass了

上面这些其实一定程度上是RTMP的问题，一个是它本身就不是为了低延迟设计，一个就是SRS不支持H265,所以对带宽要求高

所以我打算换一些方案

WebRTC#

由Google设计的用于会议场景的推流协议，完美满足我们的需求

那么基于这个协议有什么开源方案呢

我找了一下，主要是Jitsi Meet和Livekit，以及Janus WebRTC Server

Janus WebRTC Server就完全是一个基于WebRTC的底层服务了，几乎所有东西都要自己写，这个有点麻烦了

我懒

LiveKit其实也差不多，但是提供了SDK去做这些，稍微方便点

Jitsi Meet本身就是开箱即用的会议系统，因此是比较符合我的需求的

LiveKit的话等我以后需要进一步详细配置的时候再考虑吧（OAuth 录制 AI总结啥的）

Jitsi Meet#

看了下他的官方文档，基本上就是Docker Compose

Terminal window

1
wget $(wget -q -O - https://api.github.com/repos/jitsi/docker-jitsi-meet/releases/latest | grep zip | cut -d\" -f4)
2
unzip docker-jitsi-meet-*.zip
3
cd docker-jitsi-meet
4
cp env.example .env
5
docker-compose up -d

直接跑起来，然后访问http://localhost:8443就可以了

端口映射的话，需要8443,10000

然后依然没有鉴权，不过这可以用反代实现，关键还是画质

找朋友试了下，根本用不了（）

研究一下为啥

啊忘记该配置了（）

.env里面有几行需要改一下

Terminal window

1
PUBLIC_URL=https:/域名:${HTTPS_PORT}
2

3
JVB_ADVERTISE_IPS=服务器IP

然后就可以了

鉴权#

这个东西是比较蛋疼的，看了下他的文档，鉴权部分简直麻烦得要死

https://jitsi.github.io/handbook/docs/devops-guide/authentication

不瞒你们说我不大看得懂（）

他看起来是OIDC，试试好了

LiveKit#

这个说白了仅仅只是一个基于WebRTC的解决方案，想实现会议的话要弄很多东西，我打算先用Jitsi看看了

结尾#

那个SRS我打算也留着，虽然不适用于会议，但私有直播服务器给群友直播一些没法在平台播的东西还是很有用的

先这样

把YouTube的视频传到AppleMusic

Wed, 25 Mar 2026 00:00:00 GMT

好久没写过blog了

绝对不是我想水文章

前言#

在YouTube发现很多我喜欢的翻唱/乐器翻弹

之前我的流程是用一些解析网页下下来1080P

然后ffmpeg手动把他音频拿出来并转成ALAC传到AppleMusic上

然后还要手动拿封面填进去太麻烦了

开始折腾#

其实也挺蛋疼的，如果原视频下面没有传流媒体平台，也没有给翻唱源文件的话，YouTube下下来的几乎必定是有损的

基本上只能有个150Kpbs左右的码率

而且似乎目前AI也没有很好的方案去给音频进行超分，所以只能委屈下自己的耳朵了

流程倒是很简单用yt-dlp就好了

Terminal window

1
yt-dlp -f "ba[ext=m4a]" --embed-metadata --embed-thumbnail "视频地址"

这样下下来的是m4a格式，理论来说已经可以直接丢进AppleMusic了，并且封装了封面和元数据

Unity游戏逆向与mod开发：与你共享Lo-Fi故事(2) Todo同步

Sun, 21 Dec 2025 00:00:00 GMT

前言#

我大概是写完了那个同步SMTC的mod，接下来就是用DOTween加动效还有一些细节修改就好了

那么我要实现我第二个目标了，就是Todo的同步

鉴权问题#

既然要同步我们游戏肯定得获取Token去操作

那方案有几种

拉起浏览器，用户授权 mod拿到refresh token
或者Device Code Flow让用户输代码授权

第一种方式实现有点复杂，因为我们得在mod内部启动一个httplistener去监听Oauth的回调地址

第二种简单一点但是我觉得很不健康也不够易用所以我还是打算拉起浏览器

开始坐牢#

微软现在的模型不是单一的GPG Key或者Access Token

而是OAuth授权并获取Refresh Token，用Refresh Token获取Access Token,然后用Access Token去获取Todo数据

也就是说我得先创建App拿到ClientID才能去走OAuth的模型

Azure Portal申请#

第一步就卡住了，微软死活不给我创建Azure账号

后面交了工单结果有人专门联系我去一对一处理微软牛逼我不骂你了

不管怎么说我们得先创建一个App 在Microsoft Entra里面

chrome_r2R4KB7leW.png

然后拿到ClientID再去研究怎么写代码

chrome_zIe6LXhlu2.png

Api处理#

微软其实有提供SDK去干这些，但mod加这么大的SDK估计又要出一堆兼容性问题

而且手动构建http url也不算麻烦就自己维护好了

到时候应该会写个库丢出来

我在思考的是如何实现更新后迅速同步到游戏中

微软本来的Todo是基于Windows Push Notification Services实现动态更新的

游戏做不到，而且官方自己应用的Api Key限流应该很高几秒一次轮询都没问题

所以游戏的话方法不多我暂时打算还是30秒一次查询

游戏逆向#

有UE之后找类就好找很多了，游戏和这个有关的大概是这几个类：

FacilityTodo
TodoListUI
TodoListData
TodoData
管理Todo持久化数据的 SaveDataManager

和音乐播放器设计其实如出一辙了

FacilityTodo这个类负责初始化UI以及管理数据

主要也是对着这个类做手脚

剩下的基本就是写代码

碎碎念#

我看到别人给游戏做的mod里面被塞满了功能我其实不是特别理解

比如同步天气为什么要带一个全解锁的功能呢

就算不分两个repo起码分成两个dll吧

还有比如让游戏支持flac的同时为啥要顺便加上wallpaper engine支持

模块化设计呢 functional programing呢

总不能写mod也和微信一样想着包揽万象吧

当然别人怎么写是别人的事我fork就是了单纯吐槽一下

Unity游戏逆向与mod开发：与你共享Lo-Fi故事(1)

Thu, 04 Dec 2025 00:00:00 GMT

前言#

看Steam家庭共享库的时候发现个这个游戏

steamwebhelper_5QFVfBDr7h.jpg

基本上就是一个番茄钟+音乐+ToDo List的游戏&工具顺便放了一个少女陪你干活

做的还是很精致的我也很喜欢

Mod已经写完了是一个同步音乐信息到游戏的mod 感兴趣的可以下下来看看

ChillMusicInformationSyncMod

游戏只能播放内置的和自己添加的音乐，我干活喜欢听自己喜欢的

但我并不大可能把音乐全下下来，况且现在全都是加密格式（说你呢网易云ncm）

Todo的话我用的是Microsoft Todo 我希望他能同步到游戏里甚至在游戏里去增加Todo事项

也算借助微软全平台同步了（

上次用的MelonLoader，我看到鉴赏下面已经有人写了个同步时间的插件，基于BepInEX的

所以我打算用相同的BepInEX版本去写一个插件，实现上述功能

计划#

首先的话我不打算让游戏直接读取wav之类的，那我还不如直接用播放器放然后把游戏静音了

况且这样容易分散注意力

所以我想做的只需要读取Windows多媒体的API（SMTC）获得歌曲名字显示在游戏里

然后可以用游戏自带的上一曲下一曲以及调节音量就可以

这样的话通用性也强，有时候Apple Music没歌我会跑去网易云也支持浏览器放的歌

Todo的话就先放Todo列表（我还没研究Microsoft Todo有没有API去读取之类的

游戏的逆向#

音乐播放器#

逆向游戏#

点开游戏文件夹发现是mono封装好事

丢进dnSpy里

游戏体量不是很大类名命名也很规范

游戏的主逻辑都在Bulbul这个命名空间里

音乐相关的基本都在Music开头这里

dnSpy_pmvvyRy20E.png

然后找到了这里

dnSpy_noudfUIA3j.png

后面发现并不是这个（

我们可以用Unity Explore去找

这里直接说结论了，游戏使用TextMeshProGUI去渲染字体

歌名位于名为MusicTitleText的GameObject中

打开dnSpy发现父对象MusicUI不位于任何命名空间中被坑了

可以发现歌名就是在这里被赋值

Discord_N41EQ9UOta.png

但是其实有个比较蛋疼的问题就是Unity游戏怎么调用SMTC呢

SMTC读取#

一开始是想直接调用Windows API 但马上发现不大现实

这不就成大便了你一个游戏插件引用几个Windows库是要干嘛而且兼容性也会彻底变成一坨屎

而且Unity Mono不能加载winmd

GPT给我的方案是纯COM读取这也是狗屎我上一曲下一曲岂不是都得写一个方法我还要处理不同的数据类型类型和异步这也是噩梦

我啪的一下找到了这个库

chrome_5qEAw7Vfzw.png

支持.NET4.6+ 刚好满足我们需要

吗？

devenv_P0a0dSrAwp.png

我们想监听事件更新还是逃不过Windows Runtime的API

那咋办

找了一下Unity文档发现想用WinRT API只能在UWP下使用

（挠头

思考了一个小时我算是明白为啥游戏作者没有这个功能了（

第二天又折腾了一个早上，基本上逃不过这个问题

Discord_IE61hcbfza.png

基本上的话Windows.Foundation.UniversalApiContract这个合约是在Unity上UWP平台才能有 Unity Standalone是不能调用的

靠北啊

C++中间层的编写#

有句经典名言，没有什么是不能加一个中间层解决的

我们可以在Native层写一个C++的dll，直接让C++调用WinRT API，这不需要.NET运行时参与

如果用C#那就要直接处理COM口还要解决异步的问题那还是睡觉吧

也就不会有兼容问题（大概）Mono也不会因为我引入了WinRT来跟我爆了

这里完全触及我的盲区我一直都不想学没有GC机制的语言而且Win API调用更是一坨

搞了半天不仅要手搓轮子还要换个语言搓

还好有Ai 几个小时就完事了已经放到Github了

SMTC-Bridge-Cpp

然后用P/Invoke导入这个dll里面的方法

Chill_With_You_iAfHeBSVtX.png

终于是解决在Mono里读取SMTC的问题了接下来就是逆向和Patch了

2025.12.26更新：一坨狗屎#

解决上下一曲之后我想解决音量调整和循环随机按钮

这时候Windows的傻逼生态就显现出来了

首先是进程名字：SMTC不支持调音量，但我们可以用音量合成器单独调一个进程的音量，只要我们知道他的进程名字

正常x86的进程注册SMTC Session的时候就是neteastmusic.exe

他的进程名字也是neteastmusic.exe

UWP的就牛逼了是AppleInc.AppleMusicWin_nzyj5cx40ttqa!App

？

结果他的进程名字是AppleMusic.exe

那我怎么匹配

SMTC对于播放控制的逻辑是随机播放（Shuffle Mode）为开启或者关闭

然后随机播放是 None Track List三个模式

然而AppleMusic是不支持SMTC控制播放模式的，尽管他的实现是符合SMTC逻辑的

然后网易云音乐装了BetterNCM之后支持随机播放控制，尽管他把随机列表单曲心动模式塞进了一个按钮里

然后网易云设计也是人才播放器前后端分离，实际播放音乐的是C++后端，音量播放器不控制

写了半天发现发现根本没必要做做了也没法用放弃

游戏歌曲名#

根据我们上面得出来的东西去Patch一下，核心代码如下

1
[HarmonyPatch(typeof(MusicUI), "OnChangeMusic", new Type[] { typeof(string), typeof(string), typeof(MusicChangeKind) })]
2
public static class DynamicSMTCUISyncPatch
3
{
4
    [HarmonyPrefix]
5
    public static bool Prefix(ref string musicTitle, ref string artistName)
6
    {
7
        if (SMTCStatus.IsPlaying)
8
        {
9
            musicTitle = SMTCStatus.Title;
10
            artistName = SMTCStatus.Artist;
11
            return false; // 替换游戏内的方法
12
        }
13
        else
14
        {
15
            // 返回 true，允许原始方法继续执行。
16
            return true;
17
        }
18
    }
19
}

展开收起

Discord_0PiIX1wtRP.png

但这样不大完美他需要在游戏里手动点一下上一曲下一曲才可以替换歌名

所以我们还要获取游戏的MusicUI实例去手动触发游戏逻辑让其更新UI

1
_musicUIInstance = FindObjectOfType<MusicUI>();
2

3
if (_musicUIInstance != null)
4

5
 // 成功找到实例，继续准备反射方法
6
    Type musicChangeKindType = AccessTools.TypeByName("MusicChangeKind");
7

8
    if (musicChangeKindType != null)
9
    {
10
        _onChangeMusicMethod = AccessTools.Method(
11
            typeof(MusicUI),
12
            "OnChangeMusic",
13
            new Type[] { typeof(string), typeof(string), musicChangeKindType }
14
        );
15
    }

展开收起

以及触发游戏内的更新逻辑

1
private static void TriggerGameUIUpdate(bool smtcIsPlaying)
2
{
3
    if (smtcIsPlaying)
4
    {
5
        // SMTC 正在播放 -> 游戏 UI 应该显示“暂停”图标
6
        _musicUIInstance.OnPlayMusic();
7
    }
8
    else
9
    {
10
        // SMTC 处于暂停/停止 -> 游戏 UI 应该显示“播放”图标
11
        _musicUIInstance.OnPauseMusic();
12
    }
13
    object musicChangeKindManual = Enum.Parse(AccessTools.TypeByName("MusicChangeKind"), "Manual");
14

15
    object[] parameters = new object[]
16
    {
17
        "Placeholder Title",
18
        "Placeholder Artist",
19
        musicChangeKindManual
20
    };
21

22
    _onChangeMusicMethod.Invoke(_musicUIInstance, parameters);
23
    _logger.LogDebug($"主动调用 OnChangeMusic。SMTC IsPlaying={smtcIsPlaying}");
24
}

展开收起

游戏内的OnChangeMusic方法接受三个参数，Title Artist和ChangeKind

前面两个很显然，第三个就是改变歌曲的方式，游戏里是一个枚举，有Auto Manual和PlaylistCellClick

也就是自动切换手动点击列表歌曲

我们手动替换的话应该适合Manual或者Auto

别的与音乐有关的UI代码都在MusicUI类中，用UE找到并Patch就好，这里不过多赘述了

接下来基本就是写代码

基本上都是对着FacilityMusic这个类Patch，也不过多赘述了毕竟Mono封装和看源码也差不多

ToDo List同步#

已放进Todo列表中（）

一些踩雷#

过程中还踩了些雷一个是获取歌曲信息cpp库的线程

Mutex锁问题#

QQ_CfAAtjaldu.png

在实际测试的过程中我遇到过很多这个报错

因为在Cpp库中我们注册了SessionMananger去管理SMTC的session，并使用了mutex锁去保护Unity线程和C++库之前的读写，确保每次Unity读到的是完整且正确的数据

在实际调用，需要Unity在OnDestry生命周期调用Shutdown函数去让C++清理这些锁

但是实际游戏mod中不正常退出是很常见的，尤其是任务管理器杀进程和游戏崩溃的时候

这个说实话我没啥办法只能一直改一直测我也没经验

OnUpdate函数的类#

一个就是在BepInEX中，含有Update函数的组件必须继承MonoBehaviour类(而不是MelonLoader一样继承MelonMod类)

并且要创建新的GameObject并挂载

以及最重要的 hideFlags 否则Mono会销毁这个组件

1
private static GameObject _runner;
2
_runner = new GameObject("SMTCSyncRunner");
3
_runner.hideFlags = HideFlags.HideAndDontSave;
4
DontDestroyOnLoad(_runner);
5
_runner.SetActive(true);
6
//挂载组件
7
var behaviour =  _runner.AddComponent<SMTCSyncBehaviour>();

也折腾了我几个小时 Update函数一直不跑我都纳闷死了

实例的查找#

后续发现其实根本不需要创建GameObject去使用Update函数

因为是事件驱动+异步获取的，所以FindObjectOfType这个操作我们可以用Harmony去实现

也就是Patch游戏实例化代码的地方让他顺便把实例传给我们的函数就好了

1
 [HarmonyPatch(typeof(FacilityMusic), "Setup")]
2
 public static class MusicUISetupPatch
3
 {
4
     private static readonly FieldInfo MusicUIField = AccessTools.Field(typeof(FacilityMusic), "_musicUI");
5
     [HarmonyPostfix]
6
     public static void Postfix(FacilityMusic __instance)
7
     {
8
         // 检查 MusicUISync 是否已经捕获了实例
9
         if (!MusicUISync.isMusicUISynced())
10
         {
11
             // 确保只执行一次初始同步逻辑
12
             MusicUI musicUIInstance = MusicUIField?.GetValue(__instance) as MusicUI;
13
             MusicUISync.GetInstance(__instance , musicUIInstance);
14

15
             MusicUIHider.GetInstance(musicUIInstance);
16
         }
17
     }
18
 }

展开收起

我后续是同时需要FacilityMusic和MusicUI这两个实例，一次Patch直接拿到两个实例刚刚好

其实用实例的话我们就不用Patch音乐名的部分了，手动调用Onchangemusic去更新也可以

记一次Github Activity的修复

Wed, 26 Nov 2025 00:00:00 GMT

起因#

我最近往自己Github Push了不少东西

然后我就发现Activity的绿点不加的？咋回事啊我还想赛博点灯呢

然后我就看我最近的commit

chrome_sQoCbXL9wi.png

这勾⑧是谁

我操了我突然想起来我git config的邮箱和用户名是乱填的

炸刚了现在需要修复一下以前的commit

修复#

Git config的改正#

首先先打开git bash改一下

Terminal window

1
git config --global user.name "Cainongw"
2
git config --global user.email "mymail@gmail.com"

Commit历史的恢复#

我没有什么多人协作的项目，自己写的东西直接改就好了

主要使用一个python小工具

Terminal window

1
pip install git-filter-repo

然后在要恢复的项目下面进行：

最好先把项目clone一次再操作

Terminal window

1
git filter-repo --email-callback '
2
return b"mymail@gmail.com"
3
 ' --name-callback '
4
 return b"Cainongw"
5
 '

然后他会删掉远端origin 手动重新add

然后push就好了

Hexo Deploy的设置#

如果想每次Hexo Deploy都算一个commit的话只需要在hexo的_config.yaml设置一下

1
deploy:
2
  type: git
3
  repo: git@github.com:Cainongw/Cainongw.github.io.git
4
  branch: main
5
  message: "Site updated"
6
  name: Cainongw
7
  email: myemail@gmail.com

然后的话顺手写了个程序可以读取文章时间并创建commit

https://github.com/Cainongw/hexo-commit-generate

就酱吧（

如何让SideStore在内网直接使用

Mon, 24 Nov 2025 00:00:00 GMT

前言#

我还记得我blog第一篇文章讲的是如何自签名osu!Lazer

几年过去了 lazer有了很大的更新

自签的方式和运行也变化很大很大

我后面用了SideStore 它不需要像Altstore一样局域网有一个AltServer

但它有一个问题

就是每次使用都需要打开WireGuard 然后才可以自签名

其实是挺麻烦的如果忘了开7天后就和Altstore一样挂了

虽然说可以自动在后台签名和Altstore一样

但是我并不可能一直开WireGuard 我不上Google了吗

近几天我重新装回来我发现他不用wg了而是用StosVPN去做这些

这玩意还被从AppStore下了

后面用了Stikdebug 但这三个缺点都和wg一样的

其实很蛋疼，如果你从SideStore下App的时候需要魔法

那我就得先用魔法下完了等他开始签名的时候手动去连接

拉完了

而且由于iOS限制，开流量的时候是不可以用的

所以我就想，能不能集成到局域网中，这样只需要我在家他就自己签名，我也不用折腾了

开始折腾#

我啪的一下找到了这个blog

在内网中免 StosVPN 使用 SideStore

太牛逼了直接解决了我要的所有

原理#

以下参照了上面的blog

之前用wg的时候可以看到

他就是给iOS分配了一个10.7.0.0的IP 然后转发10.7.0.0/24的所有数据

然后SideStore用10.7.0.1这个IP模拟装了iTunes的电脑去续签开发者证书

wg做的事仅仅就是把从10.7.0.0发往10.7.0.1的数据包交换来源和目标IP

也就是把数据包发给了自己的SideStore

那就很简单了

OpenWRT的配置#

只需要去OpenWRT加两行规则

1
table inet sidestore {
2
  chain RAW_PREROUTING {
3
    type filter hook prerouting priority raw; policy accept;
4
    # 此处 192.168.0.xxx 改成你的 iOS 设备的 IP
5
    ip saddr 192.168.0.123 ip daddr 10.7.0.1 ip saddr set 10.7.0.1 ip daddr set 192.168.0.123 notrack;
6
    ip saddr 192.168.0.234 ip daddr 10.7.0.1 ip saddr set 10.7.0.1 ip daddr set 192.168.0.234 notrack;
7
    # 可以按需添加更多的规则
8
  }
9
}

当然这需要给iOS设备手动设置一个静态IP，对于我/16的网段显然不是什么难事（

我的话并不知道怎么在Web界面上调我选择直接SSH进去

然后把上面的东西粘贴进这个文件里

Terminal window

1
vi /etc/sidestore.nft
2
nft -f /etc/sidestore.nft
3
nft list ruleset | grep 'table inet sidestore' -A 5

能看到设定的规则就是OK了

chrome_OXbOHzYgEE.png

然后的话开机的时候让nfttable自动加载就好了

我们写一个init脚本好了

Terminal window

1
vi /etc/init.d/sidestore_nft

把这个粘贴进去

1
#!/bin/sh /etc/rc.common
2

3
START=99  # 在大部分服务之后启动
4
STOP=15
5

6
start() {
7
    # 检查 nftables 文件是否存在
8
    [ -f /etc/sidestore.nft ] || return 0
9

10
    echo "Loading sidestore nftables rules..."
11
    # 使用 nft -f 命令从文件加载规则，-f 会自动清空并重新加载文件中的所有内容
12
    nft -f /etc/sidestore.nft
13
}
14

15
stop() {
16
    echo "Stopping sidestore nftables rules..."
17
    # 停止时，删除整个自定义表
18
    nft delete table inet sidestore
19
}
20

21
reload() {
22
    # reload 命令用于在防火墙重载时重新加载规则
23
    stop
24
    start
25
}

展开收起

然后启用他

Terminal window

1
chmod +x /etc/init.d/sidestore_nft
2
/etc/init.d/sidestore_nft enable
3
/etc/init.d/sidestore_nft start

主路由的配置#

接下来在主路由上增加一条静态路由规则

chrome_Wwm5kKQQNm.png

网关选择OpenWRT 保存

然后在iOS上重新测试一下Refresh 没问题就完事了

Debug#

然后就翻车了我发现ping不通

咋回事呢

哦哦哦卧槽傻逼了

在iKuai上静态路由nat后转发到了OpenWRT 实际上OpenWRT上看到的地址应该是iKuai的地址

所以规则只需要写一行

1
ip saddr 10.0.0.1 ip daddr 10.7.0.1 ip saddr set 10.7.0.1 ip daddr set 10.0.0.1 notrack

然后就可以了

基于Gitlab Runner的CI/CD搭建

Wed, 12 Nov 2025 00:00:00 GMT

前言#

我已经搭建了很多七七八八的服务应该是完全满足DevOps的需求了

但我还完全没有体验过整个流程呢

刚好我自己给Aqua的前端改了点代码我决定搞一个自动部署

折腾开始#

需求很简单，在我改完代码之后Push到我自己的Gitlab，然后自动Build镜像并推送到我的Harbor，然后Kubernete Deployment Rollout拉取新镜像

我不打算用Jenkins 一个是他的UI老丑一个就是没必要 Gitlab对我已经很强大了

其实也是因为懒不想重新搭一个

一个是我后面去看了Jenkins的逻辑是在Agent上部署搭建环境然后构建那就意味着

Nodejs要一个Agent Python要一个 Java要一个当然你可以把所有环境塞在一台机器里但那何必呢

Docker拉构建环境的镜像构建后用后即焚节省资源同时能保证环境的一致同时也便于更新

Gitlab Runner的搭建#

那首先肯定是要搭建Runner，直接在K8s部署肯定是最好的

首先先去Gitlab创建一个runner拿到token

chrome_Q7zJHn0Q3i.png

然后连上Master

Terminal window

1
helm repo add gitlab https://charts.gitlab.io
2
helm install gitlab-runner \
3
  --namespace=gitlab-runner \
4
  --create-namespace \
5
  --set gitlabUrl=https://gitlab.example.com \
6
  --set runnerToken=xxx \
7
  --set rbac.create=true \
8
  --set rbac.clusterWideAccess=true \
9
  gitlab/gitlab-runner

我们让helm自己创建serviceAccount就好不给自己埋坑（

chrome_MHyUxcTMJC.png

没啥问题接下来就是下一步

CI/CD配置#

需求大概是：

我Push代码到我自己的Gitlab
Gitlab Runner开始执行流水线，npm build出静态文件
构建Nginx镜像
Push到Harbor
K8s触发Rollout

记一次filebrowser的搭建

Tue, 11 Nov 2025 00:00:00 GMT

起因#

我以为这个就是写个Deployment然后挂载NFS就得了本来都不打算写blog的

结果后面发现折腾了我几个小时才好

还是有一点坑的所以就写一下

折腾开始#

我这里用的不是官方版本而是FileBrowser Quantum

这个版本多了OIDC等一些功能更符合我的需求

首先的话创建Deployment

要注意的就是要以ROOT权限运行这样免去一些折腾（

chrome_20wgKRAlQ8.png

然后的话用NFS挂载NAS的卷

然后就报错了

1
[ERROR] CopyFile failed chmod /folder/195216805-1-16.mp4: operation not permitted 2025/11/10 18:03:59 POST | 500 | 10.244.0.16:60000 | admin | 138ms | "/api/resources?path=%252F195216805-1-16.mp4&source=folder&override=true"

我第一反应是TrueNAS ACL有问题我就去把root改成完全控制

还是不行

Terminal window

1
/home/filebrowser # touch /folder/test /home/filebrowser
2
# chmod 777 /folder/test
3
chmod: /folder/test: Operation not permitted

查了一下是root_squash的问题要去NFS共享那里改一下

chrome_QZMejMNAxc.png

然后再次上传文件

1
08:36:16 [ERROR] CopyFile failed chmod /folder/11.mp4: operation not permitted 2025/11/10 08:36:16 POST | 500 | 10.244.0.60:49122 | admin | 612ms | "/api/resources?path=11.mp4&source=folder&override=false"

红温）

然后我就在容器里寻思问题在哪

Terminal window

1
/home/filebrowser # touch /folder/test.txt
2
/home/filebrowser # ls -l /folder/test.txt
3
 -r-xr-xr-x 1 root root 0 Nov 10 18:35 /folder/test.txt

-r-xr-xr-x?不可写？

我想到是ACL让chmod失效的

我一搜发现这完全是因为我对ACL毫无了解（）

简单来说，数据集创建的时候会默认无视chmod请求，转而用ACL控制数据集里的所有文件权限

chrome_Xf6ohP2JOu.png

最后在TrueNAS论坛找到了这个

chrome_1UglGqbuRF.png

啊~我是傻逼

不管怎么说FileBrowser能用了最后配置下OIDC 在他的ConfigMap加上就好了

1
auth:
2
  methods:
3
    oidc:
4
      enabled: true
5
      clientId: "xxx"
6
      clientSecret: "xxx"  # Use environment variable
7
      issuerUrl: "https://excample.com/application/o/file-browser/"
8
      scopes: "email openid profile groups"
9
      userIdentifier: "preferred_username"
10
      createUser: true
11
      adminGroup: "authentik Admins"

论远程零信任访问的搭建(1)Headscale的搭建

Sat, 01 Nov 2025 00:00:00 GMT

前言#

在迁移AquaDX到K8s集群中的时候，我需要给别人远程访问的权限

我的服务器是不公开的我并不打算公开出去给所有人用

之前用的ZeroTier因为几个原因我决定废弃了：

他把路由选项从控制面板中删除了，改为要付费的
他要修改宿主机的tun配置来实现二层上的网络代理，这在K8s中是不允许的
打洞策略太迷即使能UPnP直连或者IPv6直连有时候他还是中转

第一点导致我没法用来代理整个网段了，以前我把他装在OpenWrt上，这样我可以连接上网络之后访问我整个局域网，现在没了

第二点则是他的硬伤，或许我们有方法让他不修改tun，但显然没必要

我们可以选择性能更高的三层网络方案，基于WireGuard的一大堆都可以

我看到了Github上的这个：https://github.com/HarvsG/WireGuardMeshes/blob/main/readme.md

Code_qMmZJDTt8C.png

可以看到最成熟的应该是NetBird和Tailscale

我在之前是使用过Tailscale的，也确实很成熟

NetBird也不差

考虑到我用过Tailscale，我决定还是用他

但是Tailscale打洞中转延迟非常高，因为国内没有服务器

那么有没有最夯的方式呢

自建Headscale#

我其实想过自建Netbird，但我一打开Netbird那网站和Tailscale也差不多嘛

上面那个图的HeadScale其实就是Tailscale控制平面的开源实现

TailScale客户端是开源的，控制端则闭源和Zerotier一样

事实上的话我们可以自己搭建中继节点，然后用Tailscale官方的功能就完全足够了

但是都要自己搭了我干嘛不把控制平面也自己弄了呢（）顺便解锁一些收费才能用的功能

也能同时解决打不了洞难中转的问题

其实的话不难，Headscale麻烦的是那个config

1
---
2
apiVersion: apps/v1
3
kind: Deployment
4
metadata:
5
  annotations: {}
6
  labels:
7
    app: headscale
8
    k8s.kuboard.cn/name: headscale
9
  name: headscale
10
  namespace: headscale
11
spec:
12
  replicas: 1
13
  selector:
14
    matchLabels:
15
      app: headscale
16
      labels:
17
        app: headscale
18
    spec:
19
      containers:
20
        - command:
21
            - headscale
22
            - serve
23
          image: 'docker.io/headscale/headscale:stable'
24
          imagePullPolicy: IfNotPresent
25
          name: headscale
26
          ports:
27
            - containerPort: 8080
28
              name: web
29
              protocol: TCP
30
            - containerPort: 9090
31
              name: metrics
32
              protocol: TCP
33
            - containerPort: 50443
34
              name: grpc
35
              protocol: TCP
36
          volumeMounts:
37
            - mountPath: /var/lib/headscale
38
              name: headscale-data
39
            - mountPath: /var/run/headscale
40
              name: headscale-data
41
            - mountPath: /etc/headscale
42
              name: config
43
              readOnly: true
44
      volumes:
45
        - name: headscale-data
46
          persistentVolumeClaim:
47
            claimName: headscale-data
48
        - configMap:
49
            defaultMode: 420
50
            items:
51
              - key: server-config.yaml
52
                path: config.yml
53
            name: server-config.yaml
54
          name: config
55
---
56
apiVersion: v1
57
kind: Service
58
metadata:
59
  annotations:
60
    metallb.io/ip-allocated-from-pool: default-address-pool
61
  labels:
62
    app: headscale
63
    k8s.kuboard.cn/name: headscale
64
  name: headscale
65
  namespace: headscale
66
spec:
67
  allocateLoadBalancerNodePorts: true
68
  clusterIP: 10.110.187.183
69
  clusterIPs:
70
    - 10.110.187.183
71
  externalTrafficPolicy: Cluster
72
  internalTrafficPolicy: Cluster
73
  ipFamilies:
74
    - IPv4
75
  ipFamilyPolicy: SingleStack
76
  ports:
77
    - name: web
78
      nodePort: 30667
79
      port: 8080
80
      protocol: TCP
81
      targetPort: 8080
82
    - name: metrics
83
      nodePort: 32383
84
      port: 9090
85
      protocol: TCP
86
      targetPort: 9090
87
    - name: grpc
88
      nodePort: 32594
89
      port: 50443
90
      protocol: TCP
91
      targetPort: 50443
92
  selector:
93
    app: headscale
94
  sessionAffinity: None
95
  type: LoadBalancer
96
status:
97
  loadBalancer:
98
    ingress:
99
      - ip: 10.0.100.11
100
        ipMode: VIP

展开收起

然后的话是config

1
server_url: http://127.0.0.1:8080
2

3
listen_addr: 0.0.0.0:8080
4
metrics_listen_addr: 0.0.0.0:9090
5
grpc_listen_addr: 0.0.0.0:50443
6
grpc_allow_insecure: true
7

8
noise:
9
  private_key_path: /var/lib/headscale/noise_private.key
10

11
prefixes:
12
  v4: 100.64.0.0/10
13
  v6: fd7a:115c:a1e0::/48
14
  allocation: sequential
15

16
derp:
17
  server:
18
    enabled: false
19
  urls:
20
    - https://controlplane.tailscale.com/derpmap/default
21
  auto_update_enabled: true
22
  update_frequency: 3h
23

24
disable_check_updates: false
25
ephemeral_node_inactivity_timeout: 30m
26

27
database:
28
  type: sqlite
29
  sqlite:
30
    path: /var/lib/headscale/db.sqlite
31
    write_ahead_log: true
32
    wal_autocheckpoint: 1000
33

34
acme_url: https://acme-v02.api.letsencrypt.org/directory
35
tls_letsencrypt_cache_dir: /var/lib/headscale/cache
36
tls_cert_path: ""
37
tls_key_path: ""
38

39
log:
40
  level: info
41
  format: text
42

43
policy:
44
  mode: file
45
  path: ""
46

47
dns:
48
  magic_dns: true
49
  base_domain: headscale.lan
50
  override_local_dns: true
51
  nameservers:
52
    global:
53
      - 1.1.1.1
54
      - 8.8.8.8
55
  split: {}
56
  search_domains: []
57
  extra_records: []
58

59
unix_socket: /var/run/headscale/headscale.sock
60
unix_socket_permission: "0770"
61

62
logtail:
63
  enabled: false
64

65
randomize_client_port: false

展开收起

不出意外就没问题了，但是Headscale没有GUI，搭起来之后我们得用CLI访问

这行吗这肯定不行啊

我们可以参考Headscale的官方界面选一个GUI

https://headscale.net/stable/ref/integration/web-ui/

我选了一下有四个

https://github.com/simcu/headscale-ui

https://github.com/tale/headplane

https://github.com/GoodiesHQ/headscale-admin

https://github.com/rickli-cloud/headscale-console

根据自己对UI的喜好选一个就好

最后我根据Star数和更新频率决定选择headplane

他的UI也是仿造的Tailscale 把人饭碗抢光光了

也好，熟悉Tailscale可以直接上手

去看一下这玩意还支持反代,SSO,SSH key 完美

看了一下为了Headplane能管理，最好的方式是把他们跑在一起

我一开始想的是给他们挂在同一个Deployment下使用两个工作容器

其实没必要，分开也是完全可以的

因为我把headscale和headplane看混好几次

这他妈也太像了吧

为了便于区分，之后Headscale简称Scale，Headplane简称Plane

chrome_HxIF1PpUZy.png

不管怎么说，我们先把他分开部署

请把Plane和Scale放在同一个Deployment中，详情看后面就知道了😄

1
---
2
apiVersion: apps/v1
3
kind: Deployment
4
metadata:
5
  labels:
6
    k8s.kuboard.cn/name: plane
7
  name: plane
8
  namespace: headscale
9
spec:
10
  progressDeadlineSeconds: 600
11
  replicas: 1
12
  revisionHistoryLimit: 2
13
  selector:
14
    matchLabels:
15
      k8s.kuboard.cn/name: plane
16
  template:
17
    metadata:
18
      labels:
19
        k8s.kuboard.cn/name: plane
20
    spec:
21
      containers:
22
        - image: 'ghcr.io/tale/headplane:latest'
23
          imagePullPolicy: IfNotPresent
24
          name: headplane
25
          ports:
26
            - containerPort: 3000
27
              name: web
28
              protocol: TCP
29
          volumeMounts:
30
            - mountPath: /etc/headplane
31
              name: config
32
            - mountPath: /var/lib/headplane
33
              name: data
34
            - mountPath: /etc/headscale
35
              name: scale-config
36
              readOnly: true
37
      volumes:
38
        - configMap:
39
            items:
40
              - key: config.yml
41
                path: config.yaml
42
            name: plane-config
43
          name: config
44
        - name: data
45
          persistentVolumeClaim:
46
            claimName: headplane-data
47
        - configMap:
48
            items:
49
              - key: server-config.yaml
50
                path: config.yaml
51
            name: server-config.yaml
52
          name: scale-config
53

54
---
55
apiVersion: v1
56
kind: Service
57
metadata:
58
  annotations: {}
59
  labels:
60
    k8s.kuboard.cn/name: plane
61
  name: plane
62
  namespace: headscale
63
  ports:
64
    - name: web
65
      port: 3000
66
      protocol: TCP
67
      targetPort: 3000
68
  selector:
69
    k8s.kuboard.cn/name: plane
70
  sessionAffinity: None
71
  type: ClusterIP
72

73
---
74
apiVersion: networking.k8s.io/v1
75
kind: Ingress
76
metadata:
77
  annotations: {}
78
  labels:
79
    k8s.kuboard.cn/name: plane
80
  name: plane
81
  namespace: headscale
82
spec:
83
  ingressClassName: nginx-ingress
84
  rules:
85
    - host: headplane.k8s.lan
86
      http:
87
        paths:
88
          - backend:
89
              service:
90
                name: plane
91
                port:
92
                  number: 3000
93
            path: /
94
            pathType: Prefix

展开收起

然后还有Config

1
    server:
2
      host: "0.0.0.0"
3
      port: 3000
4
      cookie_secret: "$(openssl rand -hex 16)一个在这里"
5
      cookie_secure: false # 不改的话不是https不会发送Cookie
6
      data_path: "/var/lib/headplane"
7
    headscale:
8
      url: "http://headscale.headscale.svc.cluster.local"
9
      config_path: "/etc/headscale/config.yaml"
10
      config_strict: true
11
    integration:
12
      agent:
13
        enabled: false
14
        pre_authkey: "<your-preauth-key>"
15
      docker:
16
        enabled: false
17
        container_label: "me.tale.headplane.target=headscale"
18
        socket: "unix:///var/run/docker.sock"
19
      kubernetes:
20
        enabled: true
21
        validate_manifest: true
22
        pod_name: "headscale"
23

24
      proc:
25
        enabled: false

展开收起

我这里把OIDC段删了，我们先跑起来再去配置

然后就报错了

chrome_o0shplXi5G.png

傻逼了因为我们设置了kubernetes integration

简单来说就是可以让Plane自动发现集群中的Scale服务，自动通信

我们现在需要设置一下Service Account，默认的default是没有任何权限的

我们需要让plane可以查看访问同命名空间下的pod

1
---
2
apiVersion: v1
3
kind: ServiceAccount
4
metadata:
5
  name: headplane
6
  namespace: headscale
7

8
---
9

10
apiVersion: rbac.authorization.k8s.io/v1
11
kind: Role
12
metadata:
13
  name: headplane-role
14
  namespace: headscale
15
rules:
16
  - apiGroups: [""]
17
    resources: ["pods"]
18
    verbs: ["get", "list", "watch"]
19

20
---
21
apiVersion: rbac.authorization.k8s.io/v1
22
kind: Role
23
metadata:
24
  name: headplane-role
25
  namespace: headscale
26
rules:
27
  - apiGroups: [""]
28
    resources: ["pods"]
29
    verbs: ["get", "list", "watch"]

展开收起

然后修改一下Plane让他使用这个ServiceAccount

chrome_yEXT2ASdGI.png

重启一下

chrome_aWvroyqhBG.png

尼玛。

chrome_7tRqUk9g66.png

我想到Pod名字是随机的，我们在Config里填的

1
kubernetes:
2
        enabled: true
3
        validate_manifest: true
4
        pod_name: "headscale"

他其实还有一行注释在上面：

1
kubernetes:
2
        enabled: true
3
        validate_manifest: true
4
    # This should be the name of the Pod running Headscale and Headplane.
5
    # If this isn't static you should be using the Kubernetes Downward API
6
    # to set this value (refer to docs/Integrated-Mode.md for more info).
7
        pod_name: "headscale"

我去看看他的文档先：

chrome_cVrkDNWzro.png

chrome_4tnEd6YmDo.png

chrome_aOqefgYEOX.png

？你这个文档在哪呢

反正说白了就是，Pod名字是会变动的，我们可以用Downward API去解决这个问题

等一下席巴了通过这个注入podname需要同一个Deployment

chrome_bdyAWlASSu.png

我真是草了

其实也不用说非得注入，我们可以把Scale改成StatefulSet，这样他的名字就是固定的了

其实的话integration是可以false的，我们在上面已经通过集群内域名实现Plane对Scale的访问了

但我已经折腾到这了给他一起配上吧

把Plane也放到同一个Deployment里作为另一个工作容器

等一下啊 configmap是只读的

那怎么让Plane修改config

chrome_7tRqUk9g66.png

我真红了我写到这已经边折腾边写3小时了直接用Tailscale的话Sidecar都跑起来收工了

卧槽我们跑起来还要跑Sidecar呢

chrome_f2YiWJ9496.png

没话说了折腾到这我已经有点沉默了我们先不管integration 先看看能不能用

chrome_VmyRTHeNjl.png

chrome_0ezfV0GyRt.png

欸等一下

给自己折腾傻了，Plane的默认界面是/admin

chrome_W6NFyj0mmt.png

白浪费一个小时去来回调，先用Service访问不香吗（

那我们进headscale容器生成一个key先

这headscale容易默认啥shell都没有

我们还得去master节点exec一下

MobaXterm_HhxL4xJ142.png

忘记指定命名空间了真玩傻了

Terminal window

1
kubectl exec -n headscale -it headscale-59bd5c7d65-8j5k6 -- headscale apikeys create

然后就可以进到管理界面了

那就剩一个小问题

chrome_D5PlYdJGjl.png

我们得把Configmap拷贝到PVC中并允许多节点同时读写

我选择用一个init pod自动拷贝，这样就能解决问题了

chrome_tK9Qo4sPEJ.png

chrome_hO3RyeKrJP.png

然后就在这时候

MobaXterm_Uma9Js4Akw.png

Lens_H0cPn9el6f.png

卧槽Worker炸了

真是坎坎又坷坷啊

我一看普罗米修斯在我的Worker里给人类偷取火种去了

MobaXterm_yXuv6WzAlj.png

西巴了搞个wg组网搞一晚上

我先把Grafana监控套件全删了

这个是题外话修好之后就可以正常使用headplane了

chrome_h8OGPj5A47.png

写了500多行了终于完事了

那我们就顺便配置下OIDC吧

只需要在Plane的下面加上这些就好了

Scale同理，这样的话登录的时候就不用去手动输入Machine key，过OIDC就好了

1
oidc:
2
  issuer: "https://example.com/application/o/headplane-oidc/"
3
  client_id: "secret"
4
  client_secret: "secret"
5
  scope: "openid email profile"
6
  disable_api_key_login: true
7
  token_endpoint_auth_method: "client_secret_post"
8
  headscale_api_key: "api key"
9
  redirect_uri: "https://example.com/admin/oidc/callback"

Authentik上的话，别的都和正常创建OIDC一样，最关键的是要选择一个签名证书，并且是RS256加密的

chrome_4vfiXv3hhx.png

这样的话就可以实现加入网络和管理都用同一套帐号了

完事接下来是Sidecar 太长了我决定放到另一篇

论远程零信任访问的搭建(2)Sidecar容器的使用

Sat, 01 Nov 2025 00:00:00 GMT

前言#

我们终于搭建好了Headscale控制平面和UI，并解决了统一登陆，现在零信任网络已经完全可以使用了

我们需要完成最后一步：把服务添加进来

在这里就是我的AquaDX Sidecar容器

SideCar的使用#

如果你不需要自己搭建控制节点的话直接搭Sidecar就好

TailScale官方提供了Operator的方式自动化去代理容器流量自动设置之类的

但我觉得不是很有必要，因为我们暂时有且只有一个要代理

而且我们也不是很确定Operator是否支持自定义控制节点，等下白折腾不是炸刚了

后续去看了下，确实是不支持Headscale的，因为他需要Oauth密钥，Headscale并未支持

Github上有Headscale的Operator，但那个已经三年没更新，作者已经弃坑了

我自己下下来Make都过不了

QQ_T4kcDZvX5b.png

第一次见啥都没动Make都能空指针

反正不管怎么说，手动搭一个sidecar就好

Tailscale作为Sidecar启动的配置#

由于Tailscale需要权限创建Secret去持久化自己的状态数据，因此Sidecar关键的在于以下几个点

绑定TailscalePod更改同命名空间Secret权限的ServiceAccount，他需要Secret去持久化自己的状态数据
增加NET ADMIN的capabilitiy
Sidecar环境变量应为TS_USERSPACE=false，否则工作在USERSPACE下不是标准的sidecar做法 后面踩坑就是因为这个
为了Aqua能通过自检，要把容器的DNS给MagicDNS解析

为了统一和方便，以下Tailscale的Sidecar容器简称为Sidecar

首先实现第一点，给予他ServiceAccount

Role设置如下：

1
apiVersion: v1
2
kind: ServiceAccount
3
metadata:
4
  name: tailscale
5
  namespace: aqua-dx
6
---
7
apiVersion: rbac.authorization.k8s.io/v1
8
kind: Role
9
metadata:
10
  name: tailscale-role
11
  namespace: aqua-dx
12
rules:
13
- apiGroups: [""]
14
  resources: ["secrets"]
15
  verbs: ["get", "list", "create", "update", "patch", "delete"]
16
- apiGroups: [""]
17
  resources: ["events"]
18
  verbs: ["get", "create", "patch"]
19
---
20
apiVersion: rbac.authorization.k8s.io/v1
21
kind: RoleBinding
22
metadata:
23
  name: tailscale-rolebinding
24
  namespace: aqua-dx
25
subjects:
26
- kind: ServiceAccount
27
  name: tailscale
28
  namespace: aqua-dx
29
roleRef:
30
  kind: Role
31
  name: tailscale-role
32
  apiGroup: rbac.authorization.k8s.io

展开收起

然后记得增加serviceAccount的绑定

1
spec:
2
  template:
3
    spec:
4
      serviceAccountName: tailscale

然后给予他Capabilities

chrome_HzVtfeomW6.png

然后设置DNS

chrome_DfVXJcPrRz.png

整个容器组优先使用MagicDNS，然后才是coreDNS

coreDNS一般是固定的，照着填写就好

然后就翻车了

chrome_N1lzzymyfl.png

思考一下，因为我们的Aqua需要解析集群内的地址去访问数据库的Service 同时需要解析MagicDNS去进行80端口的自检

然后Sidecar需要解析集群内地址去更新自己状态的Secret

但如果让Sidecar更改dns，Aqua就翻车了

我们需要自己维护一份DNS给他们用

妈的早知道用Operator了

我在尝试了各种方法之后，我发现

我的Tailscale一直是在Usernamespace下跑的

我是大傻逼（

简而言之，既然需要用Sidecar接管整个容器的网络流量，不仅要给NET_ADMIN权限

但是不要给他hostNetwork的权限让这两个容器处于独立的网络空间

还要让Sidecar的TS_USERSPACE=false

只有这样Tailscale才会修改两个容器的TUN，只有这样两个容器才真正同属于一个网络空间

之前Aqua一直通不过自检就是因为这个

关键配置如下：

chrome_XKFbLyh9Ly.png

chrome_SrMVdw6AqX.png

选择ClusterFirst之后不需要添加CoreDNS的IP，等于说我们只需要默认DNS加一个Tailscale的MagicDNS即可

我们让Tailscale的—accept-dns为false，避免他修改Pod的DNS导致Aqua无法解析数据库的Service域名

因为我们用MagicDNS，所以Aqua的配置我们可以写虚拟局域网的内部域名

比如aqua.tailscale.lan 在控制平面可以随便改

chrome_kWEIEwvfVZ.png

能通过80端口的自检就是没问题了，这意味着Aqua能用MagicDNS解析到自己

当然在游戏上也要写相同的域名，否则会ALLS Authentication BAD()

后记#

这个AquaDX的迁移是我拖了最久的一件事

主要也是懒

在这过程中还是学到了点东西也算对Sidecar有了一个较为深入的理解

其实我可以少走很多弯路，我们可以看一下Tailscale的example

make proxy之后会输出一个yaml 我这里贴上来

1
apiVersion: v1
2
kind: Pod
3
metadata:
4
  name: proxy
5
spec:
6
  serviceAccountName: "tailscale"
7
  initContainers:
8
    # In order to run as a proxy we need to enable IP Forwarding inside
9
    # the container. The `net.ipv4.ip_forward` sysctl is not allowlisted
10
    # in Kubelet by default.
11
  - name: sysctler
12
    image: "ghcr.io/tailscale/tailscale:latest"
13
    securityContext:
14
      privileged: true
15
    command: ["/bin/sh"]
16
    args:
17
      - -c
18
      - sysctl -w net.ipv4.ip_forward=1 net.ipv6.conf.all.forwarding=1
19
    resources:
20
      requests:
21
        cpu: 1m
22
        memory: 1Mi
23
  containers:
24
  - name: tailscale
25
    imagePullPolicy: Always
26
    image: "ghcr.io/tailscale/tailscale:latest"
27
    env:
28
    # Store the state in a k8s secret
29
    - name: TS_KUBE_SECRET
30
      value: "tailscale"
31
    - name: TS_USERSPACE
32
      value: "false"
33
    - name: TS_DEBUG_FIREWALL_MODE
34
      value: auto
35
    - name: TS_AUTHKEY
36
      valueFrom:
37
        secretKeyRef:
38
          name: tailscale-auth
39
          key: TS_AUTHKEY
40
          optional: true
41
    - name: TS_DEST_IP
42
      value: ""
43
    - name: TS_AUTH_ONCE
44
      value: "true"
45
    - name: POD_NAME
46
      valueFrom:
47
        fieldRef:
48
          fieldPath: metadata.name
49
    - name: POD_UID
50
      valueFrom:
51
        fieldRef:
52
          fieldPath: metadata.uid
53
    securityContext:
54
      privileged: true

展开收起

基本上的话就是privileged: true 要给他root权限我是把userid设为0了别的差不多了

也算是填了一个不大不小的坑

完事睡觉

不过看起来MuNet准备替换Aqua了看看后续发展怎么样实在不行我打算自己维护一个服务器了

之前Artemis迁移折腾我半天 Artemis更新又严格遵循N-1 自己维护得了

记一次H3C S5800三层交换机的配置

Mon, 27 Oct 2025 00:00:00 GMT

前言#

前段时间刮台风，我原来的路由器被水淹了

把路由器拿起来水都从缝隙漏出来了

所以索性换路由器了因为我家两条宽带所以选择用iKuai去分流

然后咸鱼收了一台H3C S5800作为核心交换机

十年前的玩意了居然有4万兆 16千兆才300块钱

光猫接到iKuai的直通网口，一条万兆接口接到交换机

路由器不是重点，重点是交换机的配置

计划#

不得不说GPT在这一块就是一坨了给的命令全是错的

我的打算是除了我的电脑以外，局域网所有设备都不能访问管理端口以及服务器上的任何设备

之前在iKuai的ACL上面配置过，但那个是针对IP的恶意设备可以通过修改IP来绕过

后面我可能还会考虑加上Radius认证让我移动设备也可以划入管理VLAN

虽然说局域网已经够安全了但是既然都用三层了那就好好配置一下吧（

首先的话买一条console线插上去

开始折腾#

SSH和Web管理的开启#

我可不想坐在热的要死的机房用笔记本敲命令

1
<H3C> system-view
2
[H3C] ip http enable
3
[H3C] ip https enable
4
[H3C]public-key local create rsa
5
[H3C] ip ssh enable

上述命令生成SSH密钥并开启http的web管理

我们还没有配置vlan 默认的所有端口都连在vlan 1上

1
[H3C] interface vlan-interface 1
2
[H3C-VLAN-interface1] ip address 192.168.0.200 255.255.255.0
3
[H3C-VLAN-interface1] quit

这里定义了交换机的地址为192.168.0.200/24

我与日常使用的网段是分开的而且只有我的电脑能访问这个管理网段

1
[H3C] local-user abc
2
[H3C-luser-abc] password simple 123456
3
[H3C-luser-abc] service-type web
4
[H3C-luser-abc] service-type ssh
5
[H3C-luser-abc] authorization-attribute level 3
6
[H3C-luser-abc] quit

创建一个名为abc的用户密码是123456 请改成自己的名且复杂点

1
[H3C]user-interface vty 0 4
2
[H3C-ui-vty0-4]authentication-mode scheme
3
[H3C-ui-vty0-4]protocol inbound ssh
4
[H3C-ui-vty0-4]quit

然后设置abc的登录方式为password并开启ssh

1
[H3C]ssh user abc service-type stelnet authentication-type password

然后用能访问192.168.0.200/24的设备连接SSH 密码就是你之前设置的

MobaXterm_aHUFOV5cwo.png

chrome_nr3D2Ur33C.png

完事

DHCP Snooping#

Certd的搭建与证书自动部署与通知

Sat, 25 Oct 2025 00:00:00 GMT

前言#

前段时间去办了商宽，可算是有公网IP了 CloudFlare Tunnel实在太慢了

然后我白嫖了免费的pp.ua域名托管到了CF 现在只需要定期给域名申请证书就好了

开始折腾#

搜了一圈发现有个叫Certd的方案不错，类似于Certimates，不过这个有些功能要收费并且更强大

但其实他已经把东西开放出来了（）收费的地方自己写也是能实现的

我需要的就是让他自动把证书部署到雷池WAF，因为我所有暴露到公网的服务都由雷池WAF提供

搭建#

Certd我就直接照着原来的compose部署到K8s上就好

这里放上yml

1
---
2
apiVersion: apps/v1
3
kind: Deployment
4
metadata:
5
  annotations: {}
6
  labels:
7
    k8s.kuboard.cn/name: certd-deployment
8
  name: certd-deployment
9
  namespace: certd
10
spec:
11
  selector:
12
    matchLabels:
13
      k8s.kuboard.cn/name: certd-deployment
14
  template:
15
    metadata:
16
      labels:
17
        k8s.kuboard.cn/name: certd-deployment
18
    spec:
19
      containers:
20
        - env:
21
            - name: TZ
22
              value: Asia/Shanghai
23
            - name: certd_system_resetAdminPasswd
24
              value: 'false'
25
          image: 'registry.cn-shenzhen.aliyuncs.com/handsfree/certd:latest'
26
          imagePullPolicy: IfNotPresent
27
          name: certd
28
          ports:
29
            - containerPort: 7002
30
              name: https
31
              protocol: TCP
32
            - containerPort: 7001
33
              name: http
34
              protocol: TCP
35
          resources: {}
36
          terminationMessagePath: /dev/termination-log
37
          terminationMessagePolicy: File
38
          volumeMounts:
39
            - mountPath: /etc/localtime
40
              name: localtime
41
              readOnly: true
42
            - mountPath: /etc/timezone
43
              name: timezone
44
              readOnly: true
45
            - mountPath: /app/data
46
              name: data
47
      dnsPolicy: ClusterFirst
48
      restartPolicy: Always
49
      schedulerName: default-scheduler
50
      securityContext: {}
51
      volumes:
52
        - hostPath:
53
            path: /etc/localtime
54
            type: File
55
          name: localtime
56
        - hostPath:
57
            path: /etc/timezone
58
            type: ''
59
          name: timezone
60
        - name: data
61
          persistentVolumeClaim:
62
            claimName: certd-data
63
---
64
apiVersion: v1
65
kind: Service
66
metadata:
67
  annotations: {}
68
  labels:
69
    k8s.kuboard.cn/name: certd-deployment
70
  name: certd-deployment
71
  namespace: certd
72
spec:
73
  ports:
74
    - name: http
75
      port: 7001
76
      protocol: TCP
77
      targetPort: 7001
78
    - name: https
79
      port: 7002
80
      protocol: TCP
81
      targetPort: 7002
82
  selector:
83
    k8s.kuboard.cn/name: certd-deployment
84
  sessionAffinity: None
85
  type: ClusterIP
86
status:
87
  loadBalancer: {}
88

89
---
90
apiVersion: networking.k8s.io/v1
91
kind: Ingress
92
metadata:
93
  annotations:
94
    cert-manager.io/cluster-issuer: my-acme-issuer
95
  labels:
96
    k8s.kuboard.cn/name: certd-deployment
97
  name: certd-deployment
98
  namespace: certd
99
spec:
100
  ingressClassName: nginx-ingress
101
  rules:
102
    - host: certd.k8s.lan
103
      http:
104
        paths:
105
          - backend:
106
              service:
107
                name: certd-deployment
108
                port:
109
                  number: 7001
110
            path: /
111
            pathType: Prefix
112
  tls:
113
    - hosts:
114
        - certd.k8s.lan
115
      secretName: certd-tls-secret

展开收起

然后局域网访问certd.k8s.lan进入管理员

默认账号密码是admin 123456 记得修改

证书流水线的创建#

首先的话创建一个流水线，我这里这么写：

chrome_DpNOEIH7GC.png

然后的话去CF申请一个Token，这里不过多赘述了

域名所有权验证有HTTP和DNS两种方式，DNS就是让ACME直接与权威DNS解析商通信确认有Challenge的解析

Http则无法申请泛域名，这里的话最适合我们的还是DNS Challenge

然后手动运行证书申请，把申请的证书先复制一份到雷池（伏笔）

然后选择部署到雷池这么写就好

chrome_gP5Clcb40I.png

我真正想说的其实是通知的配置，也是比较有意思的

通知配置#

我这边用的是bark，因为我用的iOS，Bark免费而且及其简单易用

我前面说过，Certd有些功能需要付费才能使用

chrome_X7Wu1BMGfy.png

真的是这样吗（（

我们选择自定义web hook请求

Bark的API同时支持GET和POST

那不就简单了吗

chrome_ITmalBDa8v.png

这么写就好了

那么能不能用呢

当然是可以的了（）不然我也不会发出来

QQ_yNsf9ogEXm.png

开源WAF 雷池在K8s上的搭建

Sat, 25 Oct 2025 00:00:00 GMT

前言#

换了条宽带，现在我拥有动态的公网IPV4地址了

我打算暴露一些服务出去以便我使用

例如Openlist RDP Gitlab

但是我并不打算公开我只打算自己使用

前面我们搭建了Authentik作为SSO单点登录，刚好雷池WAF支持通过单点登录鉴权来允许访问

这样我就可以实现把ESXi挂到公网但是不登录都过不了防火墙

开始折腾#

在K8s上的搭建#

雷池官方文档有给到docker compose 但是没有K8s的

我的大部分服务都已经从分开的docker迁移到了K8s内

我是打算搭建到K8s，因为这样WAF可以直接访问集群内部的虚拟地址

也就是

1
<Service name>.<namespace>.svc.cluster.local

这样的话好处有三

数据不会经过局域网防止局域网抓包
直接在集群内部流转效率更高
雷池转发不需要处理Https解密的问题

一开始是想手动转compose 马上就放弃了他的容器太多而且又相互依赖

那么有没有Helm Chart呢

我一搜很快啊确实是有的

chrome_cRnKg0gTTt.png

这么简单还好我没古法转Compose

我直接SSH上我们的Master节点

Terminal window

1
helm repo add yaencn https://helm.yaencn.com/charts
2

3
helm install safeline --namespace safeline \
4
  --set global.ingress.enabled=true \
5
  --set global.ingress.hostname="waf.k8s.lan" \
6
  yaencn/safeline

上个厕所回来发现名为tengine的Deployment红红的

一看日志：

QQ_jM4NmDIkBE.png

？大哥你这对吗

我一看发现这个helm居然是用PVC挂载的conf文件

这就算了我开busybox一看 /etc/nginx里面居然是空的

这特么能不报错就有鬼了

那不对啊我以为是我集群有问题，我uninstall重装了之后还是这样

我找了个docker机把镜像pull下来里面没问题啊是有东西的

也就是这个helm有问题啊

那我又得手转Compose？不要啊

搞了半天，没辙了

摇人！

QQ_H6Fyg7Jh2q.png

我也不知道他是怎么做到的我猜测可能是init pod忘记写copy命令了

MobaXterm_13XRWMaaPT.png

我一个一个大版本试

结果搞笑的是我一路试下去只有5开头的版本是可以用的

我想起来雷池社区的一个在K3s部署的教程

chrome_zoCJrQf7x3.png

一时间不知道怎么说也是有点抽象

简单来说就是我们先装5.2.0版本然后upgrade到最新版应该就没问题了

Terminal window

1
helm install safeline --namespace safeline \
2
  --set global.ingress.enabled=true \
3
  --set global.ingress.hostname="waf.local" \
4
  --version 5.2.0  \
5
  yaencn/safeline

确保所有容器都没问题之后再跑

Terminal window

1
helm upgrade safeline --namespace safeline \
2
  --version 10.0.25  \
3
  yaencn/safeline

吐槽一下这个版本号 7.4.0之前WAF版本还和Chart Version同步突然一下子蹦到10.几

这规范吗兄弟

不管怎么说这样是能跑了

然后的话我们不知道重启了多少次WAF 他输出在控制台的密码我们应该是找不到了

所以进入名为safeline-mgt的Pod 执行resetadmin

用admin 和新密码进入WAF

chrome_tTJ6CGOIws.png

美滋滋

然后是路由的配置，我们可以选择用Loadbalance或者NodePort暴露tengine反代引擎

也可以选择先用Ingress代理

其实都可以

文档那里有个最佳实践就是直接把WAF注入Ingress 但那个不适用于我

因为我的Ingress还需要管理*.lan局域网的域名

啊可以新建一个Ingress类那太麻烦了我懒

直接把*.example.com指向WAF 然后路由转发把443转发到公网除80 443以外的端口

这样的话流量路径就是

1
外部->路由器->Ingress LoadbalanceIP->WAF->内部服务

配置好Ingress的X-Forward IP转发，并信任内网网段，雷池是可以获取到真实IP并透传到后端的

2025.10.26更新：

我是大傻逼#

我洗澡的时候突然想到，Nginx反代识别客户端实际访问域名的方式是识别Header里面的Host内容来匹配实际应该访问的地址

也就是说nginx不能在三层上识别访问的地址这意味着什么呢

这意味着如果把WAF和内网服务挂在同一个ingress上又不设置安全规则的话，别人完全可以通过伪造Header来绕过WAF直接访问我的.lan域名

我手边没有VPS，但是我们可以设置一个代理来测试一下：

Terminal window

1
export http_proxy="http://10.0.0.233:7890"
2
export https_proxy="http://10.0.0.233:7890"
3
curl -vk -H "Host: xxx.k8s.lan" https://我的公网地址/

1
* Uses proxy env variable https_proxy == 'http://10.0.0.233:7890'
2
*   Trying 10.0.0.233:7890...
3
* CONNECT tunnel: HTTP/1.1 negotiated
4
* allocate connect buffer
5
* Establish HTTP proxy tunnel to 公网地址
6
> CONNECT 公网地址 HTTP/1.1
7
> Host: 公网地址
8
> User-Agent: curl/8.12.0
9
> Proxy-Connection: Keep-Alive
10
>
11
< HTTP/1.1 200 Connection established
12
<
13
* CONNECT phase completed
14
* CONNECT tunnel established, response 200
15
* ALPN: curl offers http/1.1
16
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
17
* TLSv1.3 (IN), TLS handshake, Server hello (2):
18
* TLSv1.3 (IN), TLS handshake, Encrypted Extensions (8):
19
* TLSv1.3 (IN), TLS handshake, Certificate (11):
20
* TLSv1.3 (IN), TLS handshake, CERT verify (15):
21
* TLSv1.3 (IN), TLS handshake, Finished (20):
22
* TLSv1.3 (OUT), TLS change cipher, Change cipher spec (1):
23
* TLSv1.3 (OUT), TLS handshake, Finished (20):
24
* SSL connection using TLSv1.3 / TLS_AES_256_GCM_SHA384 / X25519 / RSASSA-PSS
25
* ALPN: server accepted http/1.1
26
* Server certificate:
27
*  subject: O=Acme Co; CN=Kubernetes Ingress Controller Fake Certificate
28
*  start date: Oct 22 01:48:21 2025 GMT
29
*  expire date: Oct 22 01:48:21 2026 GMT
30
*  issuer: O=Acme Co; CN=Kubernetes Ingress Controller Fake Certificate
31
*  SSL certificate verify result: self-signed certificate (18), continuing anyway.
32
*   Certificate level 0: Public key type RSA (2048/112 Bits/secBits), signed using sha256WithRSAEncryption
33
* Connected to 10.0.0.233 (10.0.0.233) port 7890
34
* using HTTP/1.x
35
> GET / HTTP/1.1
36
> Host: xxx.k8s.lan
37
> User-Agent: curl/8.12.0
38
> Accept: */*
39
>
40
* Request completely sent off
41
* TLSv1.3 (IN), TLS handshake, Newsession Ticket (4):
42
* TLSv1.3 (IN), TLS handshake, Newsession Ticket (4):
43
< HTTP/1.1 200 OK
44
< Date: Sat, 25 Oct 2025 21:59:00 GMT
45
< Content-Type: text/html>
46
后面是网页内容

展开收起

我他妈马上把端口转发关了然后给自己两个大臂兜

不管怎么说，这车算是翻了我决定还是用最佳实践

其实的话直接把tengine加一个443端口然后用LoadBalanceIP暴露出去转发全部指向tengine就好了

我是大傻逼不要学

WAF的配置#

首先我们先配置统一登陆

去Authentik创建一个新的Provider 类型就是OIDC 然后来雷池这里添加

chrome_9n0sqTOy86.png

这里的url填写是Authentik的配置颁发者而不是URL

chrome_fY8Aldy975.png

chrome_yU0YzQXtDW.png

然后新加一个防护应用，我们就用OpenList做测试

chrome_26LDH4jSfq.png

然后打开身份认证功能

chrome_75CJnrqlqI.png

我不知道为什么选择统一认证之后无论访问哪个服务他都会跳转到Authentik 应该是我铸币反正这样配置能用不管他

然后我们访问一下保护的域名他就会自动跳转到Authentik认证了

完事

几天后的小更新#

我一开始只是防患于未然，挂了几周之后发现是真的有人扫

拦了几百万次请求就夸张

chrome_MHLl2rK3s1.png

不管怎么说，能用而且能保护我们的服务安全足矣

论如何截图并自动上传到图床

Thu, 16 Oct 2025 00:00:00 GMT

前言#

我之前给blog配图的时候一直都是用QQ截图然后手动拖进上传sm.ms 然后把他生成出来的markdown格式复制进来

这样的话我需要：

1
QQ截图->保存->打开浏览器->打开图床->拖进图床->点上传->复制Markdown->找到配图的地方->粘贴

这一套流程下来导致我真的懒得配图

然后在我这几天高频写blog的时候我想起来我用的图床是有api的

0EB48A240B08EA27871A38C6D5CCA226.jpg

尼玛那我之前古法上传图片算什么

明确需求#

我需要一个截图，满足以下功能：

支持区域选择而不是全屏截图
软件截图后弹出确认
确认后自动上传
最好能有打码屏蔽隐私信息例如token之类的
并把Markdown格式的连接复制到我的剪切板
最好能支持多图并行上传按顺序复制到剪切板

然后的话还有一些附加功能比如：

复制Code的时候根据窗口名字自动加上代码块和代码类型

（比如xShell默认是Bash VS默认是CSharp idea默认是kotlin或者java）

那么有没有现成的轮子呢

我觉得完全满足需求的只能自己写但是上传api应该是有的

啊没错他就是已经躺在我steam库好几年的ShareX

ShareX的配置#

我们先去看看图床的Docs

然后去ShareX 左边选Custom Uploader Settings

文档里有说上传的Hearder怎么写

我们先用Python测试下我一时半会没看懂ShareX咋配置的

1
import requests
2
import io
3
from PIL import Image
4
URL = "https://sm.ms/api/v2/upload"
5

6
headers = {"Authorization": "你的token" }
7
img = Image.open("test.jpg")
8
buffer = io.BytesIO()
9
img.save(buffer, format='JPEG')
10
buffer.seek(0)
11

12
files = {"smfile": ("screenshot.jpg", buffer, "image/jpeg")}
13
response = requests.post(URL,headers=headers,files=files)
14
print(response.json())

传上去了

那也就是说方法要是POST Token放在header里文件头名字得叫smfile

不管了先把ShareX配置先

我测试了一圈最后配置是这样的：

Discord_fMu0nuZGD5.png

URL那里填：![{json.filename}]({json.url})

然后去配置一下快捷键

ShareX_0rb24lvNjN.png

完事了我要的需求大部分都完成了

其余的可能需要自己写了有空再写吧刚刚git init（

记一次Harbor在K8s上的搭建

Tue, 14 Oct 2025 00:00:00 GMT

前言#

我之前一直让K8s的Node直接走软路由代理

那包能用的但一直这样也不是个办法我别的设备（比如我自己电脑上的WSL）现在都还下不来Docker镜像

傻逼微软的HyperVisior跟史一样时不时给我电脑蓝一下

然后我需要迁移以前的Docker镜像到集群中最好是能找个地方暂存一下我的镜像

顺便作为镜像加速站这是最好的

目前在强大和易部署之间比较平衡的应该就是Harbor

开始折腾#

我觉得应该不难吧（

参考到了一篇Blog 在这里

先添加他的仓库

Terminal window

1
helm repo add harbor https://helm.goharbor.io

然后修改一下他的Value文件主要是改域名

然后安装

Terminal window

1
kubectl create ns harbor
2
helm install harbor harbor/harbor -n harbor -f values.yaml

卧槽成了？一切顺利（

然后我们去给Ingress加一行

1
annotations:
2
    cert-manager.io/cluster-issuer: my-acme-issuer

让Certmanager自动申请证书

完事了？就这？就这？

然后的话如果没有改Values的话

默认账号密码是admin Harbor12345

完事之后就可以测试一下是否正常了

找个别的设备我这里直接Windows了

打开命令行，先登录

Terminal window

1
docker login -u admin -p Harbor12345 harbor.k8s.lan

然后随便pull一个镜像，我们尝试push到自己的镜像仓库上面

Terminal window

1
docker pull listenzz/gohttpserver:latest
2
docker tag listenzz/gohttpserver:latest harbor.k8s.lan/library/gohttpserver:latest
3
docker push harbor.k8s.lan/library/gohttpserver:latest

919034f5-eb76-4fbc-89e7-5816800f6812.png

没问题了

Docker镜像仓库的配置#

然后的话去设置添加下DockerHub作为上游仓库

1a6e73f5-fa68-4bab-9925-14ea7f1f1339.png

Windows的HDR又出问题了

访问ID是你dockerhub的用户名访问密码是你申请的Token 可以省略的

再新建一个项目打开镜像代理

1326f7e0-43ea-40cf-a115-86227c0ab717.png

接下来我们尝试从镜像仓库pull一个本地没有的镜像

Terminal window

1
PS C:\Users\Cainong> docker pull harbor.k8s.lan/proxy/library/nginx:latest
2
latest: Pulling from proxy/library/nginx
3
8c7716127147: Pull complete
4
250b90fb2b9a: Pull complete
5
5d8ea9f4c626: Pull complete
6
58d144c4badd: Pull complete
7
b459da543435: Pull complete
8
8da8ed3552af: Pull complete
9
54e822d8ee0c: Pull complete
10
Digest: sha256:3b7732505933ca591ce4a6d860cb713ad96a3176b82f7979a8dfa9973486a0d6
11
Status: Downloaded newer image for harbor.k8s.lan/proxy/library/nginx:latest
12
harbor.k8s.lan/proxy/library/nginx:latest

Harbor会缓存Nginx的镜像到本地下次下载会快很多

没问题了就酱把（

记一次基于small-step对局域网内证书的自签名

Fri, 10 Oct 2025 00:00:00 GMT

我们已经解决了K8s内集群的证书现在需要解决我们直接跑在虚拟机上的一些服务的证书签名了

之前是自己签名现在发现可以用根证书+ACME统一签名

因为是根证书实际上可以在Ingress里设置任何一个域名（即使他已经存在）

甚至可以把baidu换成google（

方案选择#

Caddy#

我们可以使用Caddy的tls internal去简单的给局域网的服务设置反代

我的打算是Caddy在K8s上运行我们给他单独分配一个LoadBalanceIP

直接贴上yml

1
---
2
apiVersion: apps/v1
3
kind: Deployment
4
metadata:
5
  annotations: {}
6
  labels:
7
    k8s.kuboard.cn/name: caddy-deployment
8
  name: caddy-deployment
9
  namespace: caddy-namespace
10
spec:
11
  progressDeadlineSeconds: 600
12
  replicas: 1
13
  revisionHistoryLimit: 3
14
  selector:
15
    matchLabels:
16
      k8s.kuboard.cn/name: caddy-deployment
17
  template:
18
    metadata:
19
      labels:
20
        k8s.kuboard.cn/name: caddy-deployment
21
    spec:
22
      containers:
23
        - image: caddy
24
          imagePullPolicy: IfNotPresent
25
          name: caddy
26
          ports:
27
            - containerPort: 80
28
              name: http
29
            - containerPort: 443
30
              name: https
31
          volumeMounts:
32
            - mountPath: /etc/caddy/Caddyfile
33
              name: volume-piaii
34
              subPath: Caddyfile
35
      dnsPolicy: ClusterFirst
36
      restartPolicy: Always
37
      schedulerName: default-scheduler
38
      securityContext: {}
39
      terminationGracePeriodSeconds: 30
40
      volumes:
41
        - name: caddy-volume
42
          persistentVolumeClaim:
43
            claimName: caddy-pvc
44
        - configMap:
45
            items:
46
              - key: Caddyfile
47
                path: Caddyfile
48
            name: caddy-config
49
          name: volume-piaii
50

51
---
52
apiVersion: v1
53
kind: Service
54
metadata:
55
  annotations:
56
    metallb.io/ip-allocated-from-pool: default-address-pool
57
  labels:
58
    k8s.kuboard.cn/name: caddy-deployment
59
  name: caddy-deployment
60
  namespace: caddy-namespace
61
spec:
62
  allocateLoadBalancerNodePorts: true
63
  externalTrafficPolicy: Cluster
64
  internalTrafficPolicy: Cluster
65
  ipFamilies:
66
    - IPv4
67
  ipFamilyPolicy: SingleStack
68
  ports:
69
    - name: http
70
      nodePort: 31922
71
      port: 80
72
      protocol: TCP
73
      targetPort: 80
74
    - name: https
75
      nodePort: 30408
76
      port: 443
77
      protocol: TCP
78
      targetPort: 443
79
  selector:
80
    k8s.kuboard.cn/name: caddy-deployment
81
  sessionAffinity: None
82
  type: LoadBalancer
83
status:
84
  loadBalancer:
85
    ingress:
86
      - ip: 192.168.0.241
87
        ipMode: VIP
88
---
89
apiVersion: v1
90
kind: ConfigMap
91
metadata:
92
  name: caddy-config
93
data:
94
  Caddyfile: |
95
    gitlab.lan {
96
        reverse_proxy 192.168.0.37:80
97
        tls internal
98
    }

展开收起

以上yml创建了一个Deployment 并且设置了ConfigMap以及PVC存储Caddy的数据

我这里用的是Longhorn

然后Caddy的Service被分配了一个LoadbalanceIP

只需要把.lan域名全部指向Caddy的LoadbalanceIP就可以用了

bca4266e-b846-4f8f-b639-34468486409d.png

没问题启动后 Caddy 会在 /data/pki/authorities/local/ 下创建内部 CA 及根证书信任Caddy的证书直接能用

这个很简单那问题来了

我觉得K8s内和局域网内我需要信任两个证书（*.k8s.lan appname.lan）太麻烦了

Caddy的TLS internal主要是给测试用的

有没有更高级可自定义性更强的方案呢

自建ACME#

我在思考既然Let’s Encrypt无法为lan域名签证书

那我们在局域网自己搭建一个证书签发机构不就可以了

然后让Traefik之类的服务去连接我们自己的证书机构负责签名

Step-Ca搭建#

因为这玩意折腾我一天了我这里不想写折腾过程了懒

首先的话我们需要在本地有Stepca的CLI

Terminal window

1
winget install Smallstep.step-ca

当然你在Linux上也是可以的

Terminal window

1
apt-get update && apt-get install -y --no-install-recommends curl vim gpg ca-certificates
2
curl -fsSL https://packages.smallstep.com/keys/apt/repo-signing-key.gpg -o /etc/apt/trusted.gpg.d/smallstep.asc && \
3
    echo 'deb [signed-by=/etc/apt/trusted.gpg.d/smallstep.asc] https://packages.smallstep.com/stable/debian debs main' \
4
    | tee /etc/apt/sources.list.d/smallstep.list
5
apt-get update && apt-get -y install step-cli step-ca

我们有主要是为了生成初始证书

也可以用init pod去生成但那个太麻烦我懒得写yml 望周知（（

然后的话我们自己创建一下证书

Terminal window展开收起

1
# 根证书创建
2
step certificate create \
3
  "Cainong Root CA" \
4
  certs/root_ca.crt \
5
  secrets/root_ca_key \
6
  --profile root-ca \
7
  --no-password \
8
  --insecure \
9
  --not-after 87600h
10

11
# 创建中间证书并用根证书签名
12
step certificate create \
13
  "Cainong Intermediate CA" \
14
  certs/intermediate_ca.crt \
15
  secrets/intermediate_ca_key \
16
  --profile intermediate-ca \
17
  --ca certs/root_ca.crt \
18
  --ca-key secrets/root_ca_key \
19
  --no-password \
20
  --insecure \
21
  --not-after 43800h

展开收起

step-ca需要根证书中间证书中间证书的私钥

也就是说，step-ca实际上是使用的中间证书给域名颁发证书

所以我们需要把/secret/intermediate_ca_key intermediate_ca.crt root_ca.crt这两个文件传到Master节点上

然后执行

Terminal window

1
kubectl create secret generic step-ca-certs -n step-ca  --from-file=root-ca.crt=certs/root_ca.crt --from-file=intermediate_ca.crt=certs/intermediate_ca.crt

这里只放Deployment的YAML了 Service我相信你会的

1
apiVersion: apps/v1
2
kind: Deployment
3
metadata:
4
  annotations: {}
5
  labels:
6
    k8s.kuboard.cn/name: step-ca-server
7
  name: step-ca-server
8
  namespace: step-ca
9
spec:
10
  selector:
11
    matchLabels:
12
      k8s.kuboard.cn/name: step-ca-server
13
  template:
14
    metadata:
15
      annotations:
16
      labels:
17
        k8s.kuboard.cn/name: step-ca-server
18
    spec:
19
      containers:
20
        - env:
21
            - name: DOCKER_STEPCA_INIT_NAME
22
              value: Smallstep
23
            - name: DOCKER_STEPCA_INIT_REMOTE_MANAGEMENT
24
              value: 'true'
25
            - name: DOCKER_STEPCA_INIT_DNS_NAMES
26
              value: stepca.k8s.lan
27
            - name: CA_PASSWORD
28
              valueFrom:
29
                secretKeyRef:
30
                  key: password
31
                  name: step-ca-password
32
          image: 'smallstep/step-ca:latest'
33
          imagePullPolicy: IfNotPresent
34
          name: step-ca-server
35
          ports:
36
            - containerPort: 9000
37
              name: stepca
38
              protocol: TCP
39
          volumeMounts:
40
            - mountPath: /home/step/config/ca.json
41
              name: config
42
              subPath: ca.json
43
            - mountPath: /home/step/certs/intermediate_ca.crt
44
              name: intermediate-ca
45
              subPath: intermediate_ca.crt
46
            - mountPath: /home/step/certs/root_ca.crt
47
              name: root-ca
48
              subPath: root_ca.crt
49
            - mountPath: /home/step/secrets/intermediate_ca_key
50
              name: intermediate-ca-key
51
              subPath: intermediate_ca_key
52
            - mountPath: /home/step/secrets/password
53
              name: password
54
              subPath: password
55
            - mountPath: /home/step/db
56
              name: data
57
      securityContext:
58
        runAsGroup: 0
59
        runAsUser: 0
60
      volumes:
61
        - configMap:
62
            defaultMode: 420
63
            name: step-ca-configmap
64
          name: config
65
        - name: intermediate-ca
66
          secret:
67
            defaultMode: 420
68
            items:
69
              - key: intermediate_ca.crt
70
                path: intermediate_ca.crt
71
            secretName: step-ca-certs
72
        - name: root-ca
73
          secret:
74
            defaultMode: 420
75
            items:
76
              - key: root-ca.crt
77
                path: root_ca.crt
78
            secretName: step-ca-certs
79
        - name: intermediate-ca-key
80
          secret:
81
            defaultMode: 420
82
            items:
83
              - key: intermediate_ca_key
84
                path: intermediate_ca_key
85
            secretName: step-ca-password
86
        - name: password
87
          secret:
88
            defaultMode: 420
89
            items:
90
              - key: password
91
                path: password
92
            secretName: step-ca-password
93
        - name: data
94
          persistentVolumeClaim:
95
            claimName: step-ca-pvc

展开收起

不难看到我是用kuboard配置的手写YAML真要命的

然后是configmap

1
apiVersion: v1
2
data:
3
  ca.json: |2-
4
     {
5
          "root": "/home/step/certs/root_ca.crt",
6
          "crt": "/home/step/certs/intermediate_ca.crt",
7
          "key": "/home/step/secrets/intermediate_ca_key",
8
          "address": ":9000",
9
          "dnsNames": ["step-ca-server.step-ca.svc.cluster.local", "ca.k8s.lan"],
10
          "logger": {
11
            "format": "text"
12
          },
13
          "db": {
14
            "type": "badger",
15
            "dataSource": "/home/step/db"
16
          },
17
          "authority": {
18
            "provisioners": [
19
              {
20
                "type": "ACME",
21
                "name": "acme",
22
                "forceCN": true
23
              }
24
            ]
25
          }
26
        }
27
kind: ConfigMap
28
metadata:
29
  name: step-ca-configmap
30
  namespace: step-ca

展开收起

不出意外step-ca 就能跑起来了

但现在又有个小问题

Ingress与ACME的Service之间通信是用HTTP 这是不允许的

并且ACME要求全程都使用https

也就是说

客户端->Ingress->Service->ACME Pod全部都要用https

也就是说我们需要先给Ingress申请一个证书我给ca服务的域名是ca.k8s.lan

回到我们一开始申请证书的地方，我们用根证书先给ca.k8s.lan申请一个先

Terminal window

1
step certificate create "ca.k8s.lan" ca.k8s.lan.crt ca.k8s.lan.key \
2
  --ca-key secrets/root_ca_key \
3
  --ca certs/root_ca.crt \
4
  --san ca.k8s.lan \
5
  --not-after 87600h \
6
  --insecure --no-password

然后把这个证书传到集群内作为TLS Secret 给Ingress装上

还没完我们需要解决Ingress解密Https请求我们让Ingress不解密直接传给Pod

我们需要给Ingres加上这两个设置

1
annotations:
2
  nginx.ingress.kubernetes.io/ssl-passthrough: "true"
3
  nginx.ingress.kubernetes.io/backend-protocol: "HTTPS"

然后不出意外的话就可以在局域网内给证书签名了值得一提的是申请证书的设备也要信任我们的根证书才可以

1a7dc71693a84a6df5025c77055ad11b.png

Certmanager#

在K8s集群内最好的方式应该还是用Certmanager去负责Ingress的自签名，创建好Issuer之后只需要在Ingress配置里加个标签 Certmanager就会自动帮我们完成http挑战+证书申请+部署

还是很方便的

在Master节点上执行

Terminal window

1
helm install   cert-manager oci://quay.io/jetstack/charts/cert-manager   --version v1.19.0   --namespace cert-manager   --create-namespace   --set crds.enabled=true

然后创建一个Cluster Issuer

1
apiVersion: cert-manager.io/v1
2
kind: ClusterIssuer
3
metadata:
4
  name: step-ca
5
spec:
6
  acme:
7
    server: https://ca.k8s.lan/acme/acme/directory  #ACME服务器地址
8
    email: admin@k8s.lan
9
spec:
10
  acme:
11
    privateKeySecretRef:
12
      name: my-acme-account-key
13
    server: https://ca.k8s.lan/acme/acme/directory
14
    solvers:
15
      - http01:
16
          ingress:
17
            class: nginx-ingress  # Ingress类名 负责http挑战

展开收起

还没完因为我们是自己创的证书所以我们需要让Certmanager也信任根证书才行

简单来说就是把root cert挂载到Certmanager的/etc/ssl/certs/里

还没完挂了之后重启Pod还是不认我们还需要添加环境变量SSL_CERT_FILE=/etc/ssl/certs/root_ca.crt

以上都完成之后就可以创建一个Ingress试试了

1
apiVersion: networking.k8s.io/v1
2
kind: Ingress
3
metadata:
4
  annotations:
5
    cert-manager.io/cluster-issuer: my-acme-issuer # 这里要改
6
  labels:
7
    app: longhorn-ui
8
  name: longhorn-ui
9
  namespace: longhorn-system
10
spec:
11
  ingressClassName: nginx-ingress
12
  rules:
13
    - host: longhorn.k8s.lan
14
      http:
15
        paths:
16
          - backend:
17
              service:
18
                name: longhorn-ui
19
                port:
20
                  number: 8000
21
            path: /
22
            pathType: Prefix
23
  tls:
24
    - hosts:
25
        - longhorn.k8s.lan  # 这里改成你需要的域名
26
      secretName: longhorn-tls-secret  # SSL的Secret 名称随意

展开收起

只需要添加cert-manager.io/cluster-issuer这一行他就会自动完成证书申请+挑战+证书部署

还是很强大的

至此局域网内的证书基本就完善了应该没啥要折腾的了

后续一个小更新：#

step-ca默认证书有效期只有24小时有点太短了其实

我们去修改一下他的configmap

1
{
2
    "root": "/home/step/certs/root_ca.crt",
3
    "crt": "/home/step/certs/intermediate_ca.crt",
4
    "key": "/home/step/secrets/intermediate_ca_key",
5
    "address": ":9000",
6
    "dnsNames": [
7
        "step-ca-server.step-ca.svc.cluster.local",
8
        "ca.k8s.lan"
9
    ],
10
    "logger": {
11
        "format": "text"
12
    },
13
    "db": {
14
        "type": "badger",
15
        "dataSource": "/home/step/db"
16
    },
17
    "authority": {
18
        "provisioners": [
19
            {
20
                "type": "ACME",
21
                "name": "acme",
22
                "forceCN": true,
23
                "claims": {
24
                  "minTLSCertDuration": "1h",
25
                  "maxTLSCertDuration": "8760h",
26
                  "defaultTLSCertDuration": "168h"
27
                }
28
            }
29
        ]
30
    }
31
}

展开收起

这样的话默认有效期就是7天足够了

当然你把”defaultTLSCertDuration”改成比如87600h有效期直接10年也是可以的

但各种服务定期能续签才能说明ACME工作正常不然啥时候炸了你都不知道（

记一次Kubernetes集群的完善

Wed, 08 Oct 2025 00:00:00 GMT

前言#

我们成功搭建起了K8s 接下来我们需要搭建一些额外的服务来满足我的需求

包管理器Helm#

类似于apt 有了之后我们就不用kubectl 后面跟一坨yml了

在Master节点上输入

Terminal window

1
curl -fsSL https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-3 | bash

Ingress-Nginx#

思来想去还是选择Nginx而不是Traefik，证书的解决我们可以用另一个服务

Terminal window

1
helm upgrade --install ingress-nginx ingress-nginx \
2
  --repo https://kubernetes.github.io/ingress-nginx \
3
  --namespace ingress-nginx --create-namespace

其实还是要跟一坨东西

然后我们就发现有个LoadBalance的Ingress一直在Pending

怎么回事呢

当然是因为我们没有配置负载均衡了

MentalLB#

Terminal window

1
helm repo add metallb https://metallb.github.io/metallb
2
helm install metallb metallb/metallb

然后我们需要定义它的行为

1
apiVersion: metallb.io/v1beta1
2
kind: IPAddressPool
3
metadata:
4
  name: default-address-pool
5
  namespace: metallb-system
6
spec:
7
  addresses:
8
  - 192.168.0.240-192.168.0.250 #这改成你想让她分配的IP地址段 不要和路由器上DHCP的重合
9
---
10
apiVersion: metallb.io/v1beta1
11
kind: L2Advertisement
12
metadata:
13
  name: l2-advertisement
14
  namespace: metallb-system

然后kubectl apply -f这个yml

测试一下#

测试一下Ingress正不正常：Apply这个yml

1
apiVersion: apps/v1
2
kind: Deployment
3
metadata:
4
  name: test-nginx
5
  namespace: default
6
spec:
7
  replicas: 2
8
  selector:
9
    matchLabels:
10
      app: test-nginx
11
  template:
12
    metadata:
13
      labels:
14
        app: test-nginx
15
    spec:
16
      containers:
17
      - name: nginx
18
        image: nginx:stable
19
        ports:
20
        - containerPort: 80
21

22
---
23

24
apiVersion: v1
25
kind: Service
26
metadata:
27
  name: test-nginx
28
  namespace: default
29
spec:
30
  selector:
31
    app: test-nginx
32
  ports:
33
    - port: 80
34
      targetPort: 80
35
  type: ClusterIP
36

37
---
38

39
apiVersion: networking.k8s.io/v1
40
kind: Ingress
41
metadata:
42
  name: test-ingress
43
  namespace: default
44
  annotations:
45
    nginx.ingress.kubernetes.io/rewrite-target: /
46
spec:
47
  ingressClassName: nginx
48
  rules:
49
  - host: nginx.k8s.lan
50
    http:
51
      paths:
52
      - path: /
53
        pathType: Prefix
54
        backend:
55
          service:
56
            name: test-nginx
57
            port:
58
              number: 80

展开收起

他会生成一个Nginx的Deployment 一个指向Deployment的Service 一个指向Service的Ingress 并且地址为nginx.k8s.lan

Terminal window

1
kubectl get svc -n ingress-nginx

看到ingress-nginx-controller拥有了ExternalIP 就没问题把dns解析指向这个ip

浏览器访问nginx.k8s.lan 能看到欢迎界面就是成功了

题外话：Cilium的更换#

为啥要换呢很简单只是我看到了Cilium支持Hubble 可观测性强

换他能看到各个Pod的网络拓扑这多酷炫（

这里参考的这个blog

Longhorn#

K8s默认的没有持久化存储，文件持久化是单节点的

我们需要Longhorn去分布进行持久化存储

Ubuntu默认包含了Longhorn所需要的Open-iscsi

所以直接装就好

Terminal window

1
helm repo add longhorn https://charts.longhorn.io
2
helm repo update
3
helm install longhorn longhorn/longhorn --namespace longhorn-system --create-namespace --version 1.10.0

然后为了解锁完全体的Longhorn 也就是多节点读写需要安装nfs tools

需要在所有节点上执行

Terminal window

1
sudo apt-get install -y nfs-common

Dashboard#

我觉得最好用的应该是国产的Kuboard

他这里推荐用另一台宿主机的docker跑

我们也可以用Static Pod

详情去看文档把因为这个挺麻烦的

以前服务的迁移#

Authentik#

说是迁移不如说重新搭建反正我也没做什么不如推翻重来

如果你已经部署了Longhorn和上面的服务 Authentik应该没啥问题直接能跑

按照文档跑就好

https://docs.goauthentik.io/install-config/install/kubernetes/

AquaDX#

这个就不能重新搭建了之前用了好久的游戏数据都在里面

我们看到Github上面有提到如果想反向代理的话有一些指南：

1
AquaDX 使用哪些端口？
2
80：ALL.Net，游戏端点
3
8443：计费
4
22345：Aime
5
我怎样才能在反向代理后面托管它？
6
以下是一些提示：
7

8
ALL.Net 和游戏端点可以代理
9
计费端点可以通过代理进行，但需要额外的步骤：启用弃用的TLS_RSA_*密码并使用自签名ib.naominet.jpTLS 证书 - 或者干脆禁用它
10
不要代理 Aime 端点：它是 TCP 流量，而不是 HTTP
11
不要压缩流量：如果可以的话，按原样进行代理
12
不要使用 CDN 代理：例如 Cloudflare
13
使用您的公共 IP 或主机名allnet.server.host进行设置application.properties
14
您可以更改内部端点端口（aqua <-> 代理），但暴露的外部端口需要与默认端口相同（代理 <-> 游戏）

说白了就是：

80可以代理

8443有点麻烦

22345不推荐代理

那还说啥我们直接给他分配一个LoadBalance得了

这个简单问题是数据怎么迁移呢

一开始我想的是在原机子上打包docker

但我傻逼了对不起挂载的卷不会打包进镜像

那我们只能手动打包数据然后用initPod手动解压进PVC里

然后还有一个关键问题：

之前为了实现让别人访问我用的是ZeroTier去组虚拟局域网

这玩意工作在二层需要修改host主机的tun配置

在K8s里肯定是不允许的我也不敢试等下把我集群搞炸了

想了下，我们还是可以用三层的组网方案

ZeroTier主要是给sdvx联机用，因为SDVX的联机是局域网广播三层是不转发的

扯远了

简而言之，我们需要一个能直接在集群内工作，负责零信任网络转发的服务

详情请看新一篇（）

Openlist#

这个手写一下Development就好，我为什么单独拿出来说呢

因为我发现在用Ingress反代之后，我的Restic传不上去文件了

chrome_4uaXe8sHGI.png

我一开始以为是百度又整了什么新幺蛾子，直到我把OpenList直接用LoadBalanceIP暴露出来之后发现又没问题了

一看Openlist日志也没报错

chrome_lCpCbW0HKm.png

也就是说是Ingress的锅

chrome_p3Tqn3QgUC.png

我们直接让他无限制Bodysize就好

1
metadata:
2
  name: openlist
3
  annotations:
4
    nginx.ingress.kubernetes.io/proxy-body-size: "0"

记一次Kubernetes完整集群的搭建

Sun, 05 Oct 2025 00:00:00 GMT

写在前面#

太好了孩子们这次基本全都是命令行操作我不用截图了

以下几乎全是命令几乎一张图片没有如果你想做为参考的话请仔细阅读每一行

前言#

昨天我在折腾Authentik认证服务的时候一直在思考用什么反代服务

常见的可以用Nginx Proxy Manager,Caddy,Traefik

这里面我觉得比较好用的是Traefik，但是即使是Traefik想要自动申请证书之类的你也需要在docker compose里写一堆lable去定义

再加上我的服务越来越多之前都是宝塔和1Panel混着用来管理docker

这太不健康了

我认为是时候开始大一统了

那么随着Docker慢慢被大企业抛弃 Kubernetes（以下简称K8s）越来越流行了

模块化资源分配负载均衡统一管理故障迁移分布存储等等

事实上Docker你分开用一堆模块也可以做到这些东西

但是K8s是一整套解决方案刚好我也想学习一下

让我们来搭建一个完整的K8s集群吧

为什么不用K3s 因为目的不只是为了方便我认为学习K8s的组件也是很有必要的

折腾开始#

大部分都可以参考K8s的官方文档写的很详细，介绍了很多概念以及在生产环境中要学习的东西

我个人觉得学习的话收益还是很大的

而且还有中文美滋滋

地址在这里https://kubernetes.io/zh-cn/docs/home/

1.1 主机配置说明#

我首先搭建了三台相同的Ubuntu Server，我的打算是1Master 2Node

配置如下

配置	CPU	RAM	硬盘	IP地址
Master	4Core	4G	40G	192.168.0.100/24
Worker01	4Core	8G	128G	192.168.0.101/24
Worker02	4Core	8G	128G	192.168.0.102/24

我是ESXi虚拟机实在不够用可以扩容而且我可能会打算部署分布存储所以先这样配置

1.2 主机配置#

1.2.1 主机名配置#

我们用xShell连接上三台机器全部切换到root

为了方便我们先分别设定一下三台机器的主机名字

master节点

Terminal window

1
hostnamectl set-hostname k8s-master01

Worker1

Terminal window

1
hostnamectl set-hostname k8s-worker01

Worker2

Terminal window

1
hostnamectl set-hostname k8s-worker02

然后上面菜单栏————查看————撰写————撰写栏

打开它然后左下角有一个将命令发送到全部会话

这样我们可以统一执行一些命令

1.2.2 统一时区与时间#

!!以下命令所有机器都要执行!!

Terminal window

1
apt update
2
apt upgrade -y #更新软件包
3
timedatectl set-timezone Asia/Shanghai # 统一时间

为了统一时间防止时间偏移我们可以定期让三台机器自动同步时间

这边用的最小化安装还得安装一下cron

Terminal window

1
apt install cron -y
2
systemctl enable cron
3
systemctl start cron

Terminal window

1
apt install ntpdate -y
2
ntpdate ntp.aliyun.com
3
crontab -e

选择2 我们用vim编辑

我们想让他在每天 5点自动更新那就写

1
0 5 * * * ntpdate ntp.aliyun.com

然后保存

1.2.3 配置内核转发网桥过滤#

Ubuntu默认是不开启这个的为了便于集群之间的通信还有一些Pod的特殊需求这个肯定是要打开的

Terminal window

1
cat <<EOF | sudo tee /etc/sysctl.d/k8s.conf
2
net.bridge.bridge-nf-call-ip6tables = 1
3
net.bridge.bridge-nf-call-iptables = 1
4
net.ipv4.ip_forward = 1
5
EOF

然后给内核导入overlay br_netfilter这两个模块这两个是K8s的必要模块

Terminal window

1
modprobe overlay
2
modprobe br_netfilter
3
cat <<EOF | sudo tee /etc/modules-load.d/k8s.conf
4
overlay
5
br_netfilter
6
EOF
7
sysctl --system

然后既然是新搭建的，我们可以给kube-proxy用新的ipvs模式性能更好

需要安装ipset和ipvsadm

Terminal window展开收起

1
apt install ipset ipvsadm -y
2
#让其自动加载
3
cat << EOF | tee /etc/modules-load.d/ipvs.conf
4
ip_vs
5
ip_vs_rr
6
ip_vs_wrr
7
ip_vs_sh
8
nf_conntrack
9
EOF
10
# 立即加载模块
11
modprobe ip_vs
12
modprobe ip_vs_rr
13
modprobe ip_vs_wrr
14
modprobe ip_vs_sh
15
modprobe nf_conntrack

展开收起

1.2.4 关闭swap分区#

K8s可以强行兼容swap分区但是官方文档建议是关闭

因为K8s运行中显然需要的是真实的内存和CPU 为了防止出现奇奇怪怪的问题关掉它

Terminal window

1
swapoff -a
2
vim /etc/fstab

找到最下面一行带有swap关键字的前面加个#给他注释掉

!!以上命令所有机器都要执行!!

完成之后机器的基本配置算是完成了

2.1 容器运行时的安装#

K8s弃用了Docker作为容器运行时转而使用Containerd

事实上这就是Docker的底层

依旧所有机器都要运行：

Terminal window

1
wget https://github.com/containerd/containerd/releases/download/v2.1.4/containerd-2.1.4-linux-amd64.tar.gz

下不来可以配置一下proxy

这里的地址可以自己去Github下载最新的release

然后解压出来

Terminal window

1
tar Cxzvf /usr/local containerd-2.1.4-linux-amd64.tar.gz
2
which containerd #检查是否成功

然后旧版本的cri懒人包没了我们需要手动安装runc和CNI

Terminal window

1
wget https://github.com/opencontainers/runc/releases/download/v1.3.2/runc.amd64
2
wget https://github.com/containernetworking/plugins/releases/download/v1.8.0/cni-plugins-linux-amd64-v1.8.0.tgz
3
install -m 755 runc.amd64 /usr/local/sbin/runc
4
mkdir -p /opt/cni/bin
5
tar Cxzvf /opt/cni/bin cni-plugins-linux-amd64-v1.8.0.tgz

然后生成containerd的基础配置文件

Terminal window

1
mkdir -p /etc/containerd
2
containerd config default > /etc/containerd/config.toml
3

4

5
#sed -i 's/SystemdCgroup = false/SystemdCgroup = true/' /etc/containerd/config.toml

网上提到的systemd cgroup在新版Containerd中默认使用我们等下可以验证

然后差点忘了我们手动安装的要注册一下才能用systemctl去调用

Terminal window

1
wget -O /etc/systemd/system/containerd.service https://raw.githubusercontent.com/containerd/containerd/main/containerd.service
2
systemctl daemon-reload
3
systemctl restart containerd
4
systemctl enable containerd

跑起来之后我们ls /var/run/containerd/看看有一个.sock结尾就是ok了

3.1 正式开始部署K8s#

Terminal window

1
# 下载K8s仓库的公钥
2
sudo apt-get install -y apt-transport-https ca-certificates curl gpg
3
curl -fsSL https://pkgs.k8s.io/core:/stable:/v1.34/deb/Release.key | sudo gpg --dearmor -o /etc/apt/keyrings/kubernetes-apt-keyring.gpg
4
echo 'deb [signed-by=/etc/apt/keyrings/kubernetes-apt-keyring.gpg] https://pkgs.k8s.io/core:/stable:/v1.34/deb/ /' | sudo tee /etc/apt/sources.list.d/kubernetes.list
5
apt update
6
# 查看版本
7
apt-cache madison kubeadm

我这里版本最新是1.34.1-1.1

直接安装

Terminal window

1
apt install kubeadm=1.34.1-1.1 kubelet=1.34.1-1.1 kubectl=1.34.1-1.1
2
apt-mark hold kubelet kubeadm kubectl # 锁定版本防止自动更新炸刚

3.2 配置kubelet#

先配置kubelet的cgroup驱动

Terminal window

1
vim /etc/default/kubelet

在后面加上”—cgroup-driver=systemd”

kubelet负责集群中Pod的生命周期管理，所以我们需要开机自启动否则集群会炸

Terminal window

1
systemctl enable kubelet

3.3 集群初始化#

3.3.1 生成初始配置文件#

请注意：以下命令只需要在Master节点中执行

Terminal window

1
kubeadm config print init-defaults > kubeadm-config.yaml

配置文件太长了我直接贴出来

1
apiVersion: kubeadm.k8s.io/v1beta4
2
bootstrapTokens:
3
- groups:
4
  - system:bootstrappers:kubeadm:default-node-token
5
  token: abcdef.0123456789abcdef
6
  ttl: 24h0m0s
7
  usages:
8
  - signing
9
  - authentication
10
kind: InitConfiguration
11
localAPIEndpoint:
12
  advertiseAddress: 192.168.0.100 #改这里
13
  bindPort: 6443
14
nodeRegistration:
15
  criSocket: unix:///var/run/containerd/containerd.sock
16
  imagePullPolicy: IfNotPresent
17
  imagePullSerial: true
18
  name: k8s-master01 #改这里
19
  taints: null
20
timeouts:
21
  controlPlaneComponentHealthCheck: 4m0s
22
  discovery: 5m0s
23
  etcdAPICall: 2m0s
24
  kubeletHealthCheck: 4m0s
25
  kubernetesAPICall: 1m0s
26
  tlsBootstrap: 5m0s
27
  upgradeManifests: 5m0s
28
---
29
kind: ClusterConfiguration
30
kubernetesVersion: 1.34.0
31
networking:
32
  dnsDomain: cluster.local
33
  serviceSubnet: 10.96.0.0/12
34
  podSubnet: 10.244.0.0/16 #改这里
35
proxy: {}
36
scheduler: {}

展开收起

3.3.2 获取镜像#

然后Pull相关镜像

Terminal window

1
kubeadm config images pull

这里官方镜像是完全不可达的由于Containerd默认不走系统设置的proxy变量这里要么用镜像源要么就软路由给整个节点起飞走

下完之后就可以初始化集群了

3.3.3 正式初始化集群#

Terminal window

1
kubeadm init --config kubeadm-config.yaml --upload-certs --v=9

1
Your Kubernetes control-plane has initialized successfully!
2

3
To start using your cluster, you need to run the following as a regular user:
4

5
  mkdir -p $HOME/.kube
6
  sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
7
  sudo chown $(id -u):$(id -g) $HOME/.kube/config

当你看到这一坨意味着控制平面搭建成功了

然后把它上面给的三行命令复制粘贴到控制台

Terminal window

1
mkdir -p $HOME/.kube
2
sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
3
sudo chown $(id -u):$(id -g) $HOME/.kube/config

然后

Terminal window

1
kubectl get nodes

如果得到这样的输出

1
NAME           STATUS     ROLES           AGE     VERSION
2
k8s-master01   NotReady   control-plane   3m30s   v1.34.1

完事了

然后记得上面他给了一行让worker加入的命令复制他粘贴到Workernodes 前期配置没有问题的话顺利加入肯定也没问题

重新get nodes之后能看到

1
NAME           STATUS     ROLES           AGE     VERSION
2
k8s-master01   NotReady   control-plane   8m39s   v1.34.1
3
k8s-worker01   NotReady   <none>          8s      v1.34.1
4
k8s-worker02   NotReady   <none>          8s      v1.34.1

我们可以看到Status还是NotReady，怎么回事呢

我们可以看到pods里面的coredns 还属于pending状态他作为核心pod之一还没有调度到节点里去

我们的节点还没有调度IP 所以我们需要网络插件CNI

4.1 网络插件#

4.1.1 选择#

常见的话有三个 Flannel Calico Cilium

复杂程度都是递增的

事实上的话Calico已经足够极其庞大的集群使用了

Cilium则是用于多集群而且他会复杂非常多我们暂时不考虑

为了练手我这里还是选择Calico

后续换成了Cilium

4.1.2 Calico的安装#

如果用Opertor安装的话其实很简单只是还是网络环境的问题

如果之前你能成功init我相信是没问题的我们偷懒用Operator就好

进入Tigera的文档https://docs.tigera.io/calico/latest/getting-started/kubernetes/self-managed-onprem/onpremises找到安装的命令

在Master节点上执行：

Terminal window

1
kubectl create -f https://raw.githubusercontent.com/projectcalico/calico/v3.30.3/manifests/tigera-operator.yaml
2
wget https://raw.githubusercontent.com/projectcalico/calico/v3.30.3/manifests/custom-resources.yaml
3
vim custom-resources.yaml

自定义一下Calico的配置我们要改的就是默认的那个网段

1
apiVersion: operator.tigera.io/v1
2
kind: Installation
3
metadata:
4
  name: default
5
spec:
6
  # Configures Calico networking.
7
  calicoNetwork:
8
    ipPools:
9
    - name: default-ipv4-ippool
10
      blockSize: 26
11
      cidr: 10.244.0.0/16  # 这里
12
      encapsulation: VXLANCrossSubnet
13
      natOutgoing: Enabled
14
      nodeSelector: all()
15

16
---
17
apiVersion: operator.tigera.io/v1

展开收起

改完保存然后

Terminal window

1
kubectl create -f custom-resources.yaml

完事之后Calico就开始初始化了

Terminal window

1
watch kubectl get pods -n calico-system

看里面的组件确保全部Running

这时候我们在看看nodes状态

Terminal window

1
root@k8s-master01:/home/cainong# kubectl get nodes
2
NAME           STATUS   ROLES           AGE   VERSION
3
k8s-master01   Ready    control-plane   83m   v1.34.1
4
k8s-worker01   Ready    <none>          74m   v1.34.1
5
k8s-worker02   Ready    <none>          74m   v1.34.1

完事至此K8s已经完全启动了撒花撒花

还没完全结束我们还有Ingress Dashboard没有配置我是不可能手敲命令行手写yml的

而且我们还要慢慢迁移之前的docker服务以及Longhorn的配置

这是下一个坑

记一次局域网内.lan域名的证书自签名并挂载到Ingress

Sun, 05 Oct 2025 00:00:00 GMT

前言#

在Authentik的折腾中由于我们没有https导致passkey无法使用

并且想使用passkey必须要可用的证书 Chrome提示什么不安全的连接即使有https也是无法使用的

所以我们需要给.lan域名签一个证书并信任他

开始折腾#

妈的傻逼ChatGPT 让我给*.lan域名去签名

根本用不了

这里要注意的点就是域名只能签诸如*.k8s.lan这样的通配符

以下命令在Master节点上执行就好

Terminal window

1
openssl genpkey -algorithm RSA -out private.key
2
openssl req -new -key private.key -out csr.csr

新建一个san.cnf文件写上如下内容

1
[req]
2
req_extensions = v3_req
3
distinguished_name = req_distinguished_name
4

5
[req_distinguished_name]
6

7
[v3_req]
8
subjectAltName = @alt_names
9

10
[alt_names]
11
DNS.1 = *.k8s.lan
12
DNS.2 = www.example.com

然后保存继续输入

Terminal window

1
openssl x509 -req -in csr.csr -signkey private.key -out certificate.crt -extfile san.cnf -extensions v3_req -days 3650

将生成一张有效期10年给*.k8s.lan使用的证书

然后scp把certificate.crt这个证书拷贝下来并且添加到受信任的根证书签发机构

然后把证书添加到Secret

这里要注意的是，Secret必须与Ingress配置处于同一个命名空间否则Controller认不到

Terminal window

1
kubectl create secret tls authentik-tls-secret --key private.key --cert certificate.crt -n authentik

然后Ingress配置如下

1
apiVersion: networking.k8s.io/v1
2
kind: Ingress
3
metadata:
4
  name: authentik-tls-ingress
5
  namespace: authentik
6
  annotations:
7
    nginx.ingress.kubernetes.io/ssl-passthrough: 'true'
8
    nginx.ingress.kubernetes.io/ssl-redirect: 'true'
9
spec:
10
  tls:
11
    - hosts:
12
        - authentik.k8s.lan
13
      secretName: wildcard-lan-secret
14
  rules:
15
    - host: authentik.k8s.lan
16
      http:
17
        paths:
18
          - path: /
19
            pathType: Prefix
20
            backend:
21
              service:
22
                name: authentik-server
23
                port:
24
                  number: 9000

展开收起

apply这个yml

不出意外就能以Https访问authhentik.k8s.lan了

ea53d3b3-a441-4918-850b-660cd46ce283.png

后续更新：自建ACME之后只需要信任根证书这个方法已经弃用了（（

基于authentik的局域网单点登录与通行密钥的配置与部署

Sat, 04 Oct 2025 00:00:00 GMT

前言#

Passkey(通行密钥)作为一种新的身份验证方式近几年开始慢慢流行起来了

该说不说真的很好用

其安全且方便，理论来说Passkey的安全性是高于传统的2FA的（尤其是有生物认证的情况下）

但是目前只有一些大厂比如Google Github 或者一些虚拟货币平台支持

国内几乎没有厂商支持为数不多支持的微信还要求你用非+86的手机注册才可以用

我就在想，我局域网一些设备用的是弱密码首先这不安全其次这导致我需要记住几个不同的密码

有点麻烦何况很多时候Chrome的密码补全是不工作的

有时候我root都输完了Chrome才提示让我填入密码那我手都输完了

我就在想，可不可以将局域网里面的一些服务比如ESXi vCenter TrueNAS。甚至是Windows远程桌面 SSH

用反代让他们强行支持Passkey

况且前段时间我暴露的RDP服务老是被爆破即使不是3389端口我用了几万后的端口也会被扫到

所以我需要一个局域网内的身份验证服务

而且我们可以通过身份验证服务去搭建防火墙给局域网所有以后可能需要暴露在公网的管理后台（比如OpenWRT 1Panel 宝塔）进行第一步认证从而大幅度提高安全性

开始折腾#

其实同类的竞品有很多比如Keycloak Duo Authelia

Keycloak对于LDAP支持不是很完善后面两个太简陋了

找了一下发现一个名为Authentik的解决方案很好 UI也很好看

地址在这里https://goauthentik.io/

Authentik的搭建#

他推荐是用docker compose去跑

k8s他也有相应的教程，我暂时还没有k8s的刚需，我们先用docker compose去跑

按照他的文档跑起来就好了

Terminal window

1
mkdir authentik
2
cd authentik/
3
wget https://docs.goauthentik.io/docker-compose.yml
4
echo "PG_PASS=$(openssl rand -base64 36 | tr -d '\n')" >> .env
5
echo "AUTHENTIK_SECRET_KEY=$(openssl rand -base64 60 | tr -d '\n')" >> .env
6
docker compose pull
7
docker compose up -d

2025.10.10更新：现在已经迁移到K8s 后面教程应该是一样的这里附上K8s的YAML

1
authentik:
2
    secret_key: "填写Openssl生成的经过base64编码的60位密码"
3
    # This sends anonymous usage-data, stack traces on errors and
4
    # performance data to sentry.io, and is fully opt-in
5
    error_reporting:
6
        enabled: true
7
    postgresql:
8
        password: "填写Openssl生成的经过base64编码的36位密码"
9

10
server:
11
    ingress:
12
        # Specify kubernetes ingress controller class name
13
        ingressClassName: nginx
14
        enabled: true
15
        hosts:
16
            - authentik.k8s.lan
17

18
postgresql:
19
    enabled: true
20
    auth:
21
        password: "填写Openssl生成的经过base64编码的36位密码"
22
redis:
23
    enabled: true

展开收起

然后在master节点上

Terminal window

1
helm repo add authentik https://charts.goauthentik.io
2
helm repo update
3
helm upgrade --install authentik authentik/authentik -f values.yaml

可以看到他会跑起worker server postgres redis四个容器，跑起来之后等待他显示服务为healthy就可以进入http://<服务器ip>:9000/if/flow/initial-setup/去进行初始化设置

这里的密码请设置复杂一点

跑起来之后我们就可以来研究Authentik了

我们不难看到Authentik为了高度自定义，他将管理界面分为应用流程和阶段这几个板块

流程是Authentik比较特色的一个点

我的理解是将认证授权拆分成了Stage 某个特定操作（比如授权给某个应用登录找回密码之类的）就可以是一个Flow

先设置Passkey#

首先记得我一开始的目标先设置个Passkey先

那么我们的Passkey在Authentik里叫Passwordless 无密码登录

文档是这个https://docs.goauthentik.io/add-secure-apps/flows-stages/stages/authenticator_validate/

如果要通行密钥的话我们主要是看WebAuthn这个

好长一串英语说白了就是我们首先需要去创建一个Flows

我这里是这样写

0e177960-3ca6-4e98-829f-248dd4d6d555.png

大可不用按照我的来主要是为了规范化

我们点进刚刚创建的Flows 然后点创建一个新的阶段

类型选择Authenticator Validation Stage 我这里是第一个

我这没有指定用什么设备限制也没必要其实

d12af258-3e1f-45da-a725-d812c1eeb8c7.png

QQ_1759617203484.png

QQ_1759617212724.png

下一步顺序我们填写10

然后完成

它后面说可以添加别的验证阶段比如验证码之类的

但是我个人觉得没必要了 Passkey已经很安全了

如果你用过一些虚拟货币平台你会发现提币的时候需要输入邮箱+动态验证码如果你有Passkey只需要一个Passkey验证

这是题外话了

接下来我们给这个流程绑定一个已有阶段我们选择default-authentication-login 顺序写20

也就是说顺序是先用无密码认证Stage 没问题了我们就认为用户处于登录Stage

下一步我们需要修改原有的登录流程

我们去Flows里搜索Slug default-authentication-flow

也就是正常的认证流程

点击阶段绑定我们需要编辑default-authentication-identification这个阶段

流程设置下面有一个无密码流程我们选择我们刚刚创建的passwordless-webauthn-flow

更新之后我们Passkey的设置就完成了

其实是有点麻烦的但这一套给我的感觉就是给Authentik带来了超高自由性

然后当我想测试的时候

86be608c-c677-4349-b548-4ff181fbe89b.png

折腾俩小时我的表情:

ed3039d4-1bcd-4c6c-92f9-90505c9a7700.png

SSL证书自签#

我立马想到，这可能是因为我们没有部署SSL证书因为Passkey对安全的高标准要求没有https加密大概是不给用的

我们需要一个自签证书的服务器，因为显然.lan域名我们不可能去找根证书服务商申请我们只能自己给证书签名

啪的一下很快找到了名为Traefik的项目，它可以自动识别Docker 自动加域名自动给域名上https

虽然它不能给.lan域名申请证书，但我们自己创一份证书信任一下就好了

这里都可以单独写一篇了详细请看下一篇

有了HTTPS我们再试试

chrome_E09JKK5uME.jpg

嗯~~舒服了

服务的挂载#

理论来说支持单点登陆的服务有很多 Gitlab vCenter Openlist

实际上的话只要支持OIDC或者SAML 都是很好配置的

OpenList#

我们先用Openlist做演示因为他很简陋（但又能用

主要还是参考他的官方文档其实都有说

chrome_74XbvB3uJ8.png

然后退出登录

这时候登陆界面多了一个单点登录的按钮

chrome_DZ6uKRVBqb.png

点一下就可以拉起Authentik 完美

vCenter#

我受不了vCenter每次登录都要输入administrator@后面一长串东西了我还老是忘记

盘他

记一次基于OpenWRT+Nginx反代的局域网服务小改造

Sat, 04 Oct 2025 00:00:00 GMT

前言#

随着服务器上面跑的东西越来越多，docker跑的服务也越来越多了

我常访问所以我可以记住每个虚拟机的ip或者docker的端口

但是每次在浏览器输入都得输入192然后手动补全，有时候甚至得冒号加端口号才可以

太特么麻烦了

开始#

其实指定域名去指定某个IP很简单，一个DNS服务器就解决了

比较麻烦一点的是端口号，因为正常的DNS服务只负责解析域名到ip

指定端口的话就需要用Nginx反代了

再加上后面我想给一些服务加上单点登录和通行密钥，反代这关肯定是过不去了

DNS服务器的搭建#

其实这个很简单，我OpenWRT里面iStore装一个SmartDNS，上游服务器设置为网关或者某个国内的DNS，然后域名地址按照

1
address /domain.suffix/ip

比如

1
address /openwrt.lan/192.168.0.114

填写

然后设备需要自定义一下DNS服务器为OpenWRT（如果你WRT本身就是主路由那不需要这步）

值得一提的是如果直接在Chrome里输入.lan结尾的域名他会搜索，因为他不认为.lan是有效域名

但是后面加个/就可以了

Nginx反代#

这个其实是稍微麻烦点的点

我们可以把Nginx跑在OpenWRT上，但那样会遇到一个问题

就是与WRT原本的web服务uHTTPd冲突

导致你没有办法再访问luci管理界面

即使你可以访问 uHTTPd http到https的重定向也会不可用

我们可以关闭uHTTPd，直接让Nginx接管WRT的web管理界面

但那样太麻烦了我懒我也不会

而且Nginx默认不支持luci

况且Nginx的话https证书自签还要自己解决

那还说啥，咱们局域网另外一台设备跑Nginx好了

Nginx配置#

我整了台最小化安装的ubuntu server

我不咋会用别的Linux发行版

然后装了Nginx之后配置一下就好了

1
server {
2
    listen 80;
3
    # listen 443 ssl;
4
    server_name backrest.lan; # 你用来访问的域名
5

6
    # 如果你有SSL证书，可以在此处配置证书路径，实现HTTPS访问
7
    # ssl_certificate /path/to/your/cert.crt;
8
    # ssl_certificate_key /path/to/your/private.key;
9

10
    location / {
11
        # 实际代理的地址
12
        proxy_pass https://192.168.0.90:9898;
13
        proxy_set_header Host $host;
14
        # 传递客户端的真实IP地址
15
        proxy_set_header X-Real-IP $remote_addr;
16
        # 包含经过所有代理的客户端IP列表
17
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
18
        proxy_set_header X-Forwarded-Proto $scheme;
19
        proxy_set_header Upgrade $http_upgrade;
20
        proxy_set_header Connection "upgrade";
21
    }
22
}

展开收起

配置之后，我们去之前SmartDNS的配置那里将用来访问的域名的ip改为Nginx反代的ip

1
address /backrest.lan/192.168.0.233

192.168.0.233即为Nginx反代服务器的地址

完事了

后面我为了方便管理，我迁移到了1Panel

我1Panel的配置文件如下

1
server {
2
    listen 80 ;
3
    server_name backrest.lan;
4
    index index.php index.html index.htm default.php default.htm default.html;
5
    access_log /www/sites/backrest.lan/log/access.log main;
6
    error_log /www/sites/backrest.lan/log/error.log;
7
    location ~ ^/(\.user.ini|\.htaccess|\.git|\.env|\.svn|\.project|LICENSE|README.md) {
8
        return 404;
9
    }
10
    location ^~ /.well-known {
11
        allow all;
12
        root /usr/share/nginx/html;
13
    }
14
    if ( $uri ~ "^/\.well-known/.*\.(php|jsp|py|js|css|lua|ts|go|zip|tar\.gz|rar|7z|sql|bak)$" ) {
15
        return 403;
16
    }
17
    root /www/sites/backrest.lan/index;
18
    include /www/sites/backrest.lan/proxy/*.conf;
19
}

展开收起

后记#

其实的话完全可以让Nginx反代所有的服务，在DNS那里可以将所有*.lan结尾的域名全部指向反代服务器

然后去给服务器设置白名单比如只接受反代服务器的连接请求

但那个也不是完全有必要,我们后面有需要的话再改

记一次基于Backrest+百度网盘 TrueNAS的云端块备份

Thu, 03 Jul 2025 00:00:00 GMT

前言#

前段时间服务器不是炸过一次

那倒是给我敲响了一次警钟

虽然数据基本没丢失，但要是丢失了对我来说也是挺伤的

NAS里有我拍的很多照片我存的一些黑历史还有我自己下的资源之类的

真要说多重要没了会死的数据那不至于

只是没了对我来讲是不小的损失

我就想到，我们可以加密把数据存储到云端，这样不会被网盘和谐(至少就目前来说应该百度网盘还是破解不了AES加密)，也多了一份异地备份

我的NAS是三块4T组的RAID5，也就是8T的储存空间

刚好，我自己有百度网盘的会员，他给了12T的储存空间

确定方案#

TrueNAS里其实有云备份的功能了，加密定时等等都有

但他也不是这么完美的

最简单的来说，百度网盘文件大小有限制，我最大的文件有60多个G（也就是某个街机音游的压缩包）

文件名太长，文件路径太长，小文件太多等等这都可能会出bug

所以我们需要一个能分块备份的

搜了一圈，有个项目名为Backrest非常符合我们的需求

加密存储+增量块备份+支持WebDev等+定时

这就是我们需要的

那就开始吧#

看了一下这个项目的README，我选择用docker跑

以前不喜欢用docker，觉得麻烦

用了就真香

虚拟机内部用的虚拟交换机，那个是万兆的内网

那肯定是没瓶颈的，毕竟我硬盘性能拉满拉满也就几百MiB/s

但是如果说你要在别的虚拟机上跑backrest，就要过虚拟交换机去连接TrueNAS

我个人认为这没啥必要，因为这样会多过一层CPU

TrueNAS是支持docker的，直接跑我觉得更好

TrueNAS管这个叫应用

我一开始点的添加应用里的自定义应用程序

image.png

这不就是docker run的一堆东西

那我还得手动填进去

作为懒狗的我，亚达

然后我突然发现旁边有个通过yaml进行安装

image.png

我一拍脑袋，这不就是docker-compose.yml吗

Backrest的README里面也有compose的模板，改一下直接填进去

1
services:
2
  backrest:
3
    image: garethgeorge/backrest:latest
4
    container_name: backrest
5
    hostname: backrest
6
    volumes:
7
      - ./backrest/data:/data
8
      - ./backrest/config:/config
9
      - ./backrest/cache:/cache
10
      - ./backrest/tmp:/tmp
11
      - /mnt/main:/nasdata #你truenas的存储集地址
12
    environment:
13
      - BACKREST_DATA=/data
14
      - BACKREST_CONFIG=/config/config.json
15
      - XDG_CACHE_HOME=/cache
16
      - TMPDIR=/tmp
17
      - TZ=Asia/Shanghai
18
    ports:
19
      - "9898:9898"
20
    restart: unless-stopped

展开收起

还真的能跑，完美

我们现在需要给Backrest添加repo，也就是远程存储仓库

百度网盘挂载#

那问题来了

挂载百度网盘要用Alist（坚果云123云盘啥的可以用WebDev）

但是众所周知，Alist作者把项目卖了

你挂载网盘无论如何都是要用Alist的api的，那个并不开源

你可以说我数据没啥多机密的，但很显然把自己的数据丢给一个不开源的黑箱去处理是不明智的

找了一圈发现有个OpenAlist项目

老规矩，也是用docker把他跑起来，这里我们也把他部署在TrueNAS上

1
services:
2
  openlist:
3
    container_name: openlist
4
    environment:
5
      - UMASK=022
6
    image: openlistteam/openlist:latest
7
    ports:
8
      - '5244:5244'
9
      - '5246:5246'
10
    restart: unless-stopped
11
    environment:
12
    - TZ=Asia/Shanghai
13
    user: '0:0'
14
    volumes:
15
      - /etc/openlist:/opt/openlist/data

展开收起

运行起来之后手动查看下日志，他会把网页admin账户的密码给出来

然后按照官方文档挂载百度网盘

这里想吐槽的一点就是百度网盘把个人开发者的申请给关了

咋想的呢文档都来不及改

2025.9.27更新：他又把个人申请打开了（）

那理论来说可以做到用自己申请的apikey去挂载了，数据更透明

然后的话，大文件上传下载需要修改UserAgent

但是我考虑到我们的分片并不会特别大，可改可不改

他这里主要是要改浏览器的UA和aria2的

开始debug#

挂载上百度网盘之后，我一开始想的是去创建S3对象存储

试了下发现不咋地，甚至可以说很难用

具体表现就是我用一些S3查看器发现文件传不上去

可能我是猪头肉不会整但至少在我这OpenList的S3对象存储不可用

那没办法了，用Webdav吧

我的想法是百度网盘——OpenList——（webdav）—Rclone——Backrest

感觉是一坨石山，先试试能不能用

TrueNAS是自带rclone的

打开一个TrueNAS命令行，输入

Terminal window

1
rclone config

然后选择创建，输入你想要的rclone名字，服务提供商选择Webdav，我这里是序号52

地址的话填写http://openlist地址:5244/dav

然后供应商vendor直接回车

然后输入用户名密码

输入密码的时候是不显示的

然后高级设置的时候选是

headers填写Referer,https://pan.baidu.com/,User-Agent,pan.baidu.com

输入rclone ls 你的rclone名字:/

能看到你网盘的文件就算成功了

我怀着激动的心情去backrest尝试备份

首先我们得更改一下compose的配置

1
services:
2
  backrest:
3
    image: garethgeorge/backrest:latest
4
    container_name: backrest
5
    hostname: backrest
6
    volumes:
7
      - ./backrest/data:/data
8
      - ./backrest/config:/config
9
      - ./backrest/cache:/cache
10
      - ./backrest/tmp:/tmp
11
      - /mnt/main:/nasdata #你truenas的存储集地址
12
      - /root/.config/rclone:/root/.config/rclone #rclone配置文件的地址
13
    environment:
14
      - BACKREST_DATA=/data
15
      - BACKREST_CONFIG=/config/config.json
16
      - XDG_CACHE_HOME=/cache
17
      - TMPDIR=/tmp
18
      - TZ=Asia/Shanghai
19
    ports:
20
      - "9898:9898"
21
    restart: unless-stopped

展开收起

然后的话新建一个repo

这里的baidu就是之前rclone的名字

下面的密码请牢牢记住，以后恢复文件没这个密码可恢复不了

35380971-0245-4e69-a95d-6a89b4d19d53.png

接下来新建一个备份任务，我这里是每天凌晨5点备份

eb871b0e-b31c-4607-a416-d4ee0148e4f6.png

然后我加了一个参数--pack-size=128，也就是分包为128M，默认的4M太小了，而且好像大于128就传不上去了得在rclone那里分片才行

然后试一下备份

现在就是等待。。

过了几分钟不出意外报错一片片

1
[restic] rclone: 2025/09/27 03:15:06 ERROR : data/9d/9d91c28f8335c83773d782c682c7bc354e09ec26b96f175b46821653d5387168: Post request rcat error: Method Not Allowed: 405 Method Not Allowed
2
[restic] Save(<data/9d91c28f83>) returned error, retrying after 49.043625591s: unexpected HTTP response (500): 500 Internal Server Error

去Openlist的日志看到：

1
2025-09-27 13:39:41.854410+00:00#1: upload/download stream incomplete, possible network issue; error in uploading to baidu, will retry. response={"error_code":31299, "error_msg":"Invalid param keylist"}

我们去这个文档看到这个response 31299是第一个分片的大小小于4M

理论来说超级会员可以分片大于4M，我们管它呢

0971f5dd-8b1c-444f-8381-c95fa7016d24.png

我们直接在Openlist改成4M分片大小

然后还是报错

没辙了去搜了一下

我找到了这个issue

1e919ca1-3956-4fc5-bfa4-5e91940f1b79.png

打开Web代理 Webdav代理改成本地 Upload Api改成这个

再试试

371ba569-ef1e-4716-95c1-efea37e0ed2a.png

欸得了（）传了几百个G 应该没啥问题了

不过有时候可能会断，不过restic会断点续传，再试一次就好

然后要注意的就是小心传太多被运营商当PCDN了

记一次MelonLoader的使用和开发还有踩坑

Sun, 22 Jun 2025 00:00:00 GMT

前言#

我上一次逆向了八按键音游，瞎几把写了个mod丢到了Github

事实上那时候我手上并没有能测试的郊狼，写出来的玩意除了Miss判定是对的别的东西基本都用不了

那时候我没搞清楚郊狼的ws通信到底是咋样的随便找个文档就写上去了

现在研究了一下大概就是：

很显然我们需要3.0的郊狼才可可以

郊狼App的ws功能是连接一个ws后端（在他的演示文稿里有）

这个很好跑，解决依赖用node跑起来就好

实际上App连接的也是这个后端，相当于一个中转服务器

是为了一对多或者多对一玩法

玩的真花

但我们的需求仅仅是一对一而已

但我懒得去写个后端了，我的史山水平真的不敢恭维

所以这次我们主要是对那个mod的websocket逻辑进行更改,并且还是用官方的后端

实际上这后端因为uuid强绑定随便一个人的都可以

以后可能会考虑把这个后端集成到mod里？

开始#

JSON解析的坑#

事实上我上次那个代码是手拆json，手动解析配置文件里的json内容发送出去

然后我就被ChatGPT坑了

他给我推荐了个Newtonsoft.Json去解析

结果这玩意我死活导不进去依赖游戏加载不出来

我猜可能是版本问题？毕竟maimai用的net3版本了 melonloader也是0.6.4的老版本

但他确实用不了

1
System.TypeLoadException: Failure has occurred while loading a type.
2
  at Newtonsoft.Json.Linq.JValue..ctor (System.Object value) [0x00000] in <f74995119334484fb6db6825be2eac0d>:0
3
  at Newtonsoft.Json.Linq.JContainer.ReadContentFrom (Newtonsoft.Json.JsonReader r, Newtonsoft.Json.Linq.JsonLoadSettings settings) [0x0012e] in <f74995119334484fb6db6825be2eac0d>:0
4
  at Newtonsoft.Json.Linq.JContainer.ReadTokenFrom (Newtonsoft.Json.JsonReader reader, Newtonsoft.Json.Linq.JsonLoadSettings options) [0x00030] in <f74995119334484fb6db6825be2eac0d>:0
5
  at Newtonsoft.Json.Linq.JObject.Load (Newtonsoft.Json.JsonReader reader, Newtonsoft.Json.Linq.JsonLoadSettings settings) [0x0006a] in <f74995119334484fb6db6825be2eac0d>:0
6
  at Newtonsoft.Json.Linq.JObject.Parse (System.String json, Newtonsoft.Json.Linq.JsonLoadSettings settings) [0x0000c] in <f74995119334484fb6db6825be2eac0d>:0
7
  at Newtonsoft.Json.Linq.JObject.Parse (System.String json) [0x00000] in <f74995119334484fb6db6825be2eac0d>:0
8
  at dg_sinmai_shcoker.WebsocketHandler.<Connect>g__gencode|1_5 (System.String msg, System.String ws_url) [0x00002] in <5a67bc8a7654442583205147e4a8ecb9>:0

我是真的不会.NET开发，完全是现学的

后面试了System自带的JSON解析

用不了（）那个要.NET6

你猜怎么的，我又开了一个对话问GPT，这次他不推荐这个库给我了

纯左右脑互博

这次他给我推荐了MiniJSON

又相信了（）

用了一下还是可以的，没啥兼容性问题而且适配Unity

唯一需要注意的就是反序列化之后记得加个.ToString()方法不然会报错

1
var dict = Json.Deserialize(msg) as Dictionary<string, object>;
2
string targetId = dict["targetId"].ToString()

至此JSON解析就解决了

至少不用手拆JSON

WebSocket的坑#

我一开始用的是websocket-sharp.dll这个库

当然是没问题的很好用啊

我被Csharp的event订阅吸引到了，+=去订阅event来调用回调函数是哪个天才想出来的

后来我的猪头脑袋就发现：欸System里不是有Websocket吗

Melonloader的文件夹里也有WebsocketDotNet这个库

为什么不用呢？

写了半天代码试了半天之后发现真几把是史

首先是System里的ws库非常的底层，心跳处理消息解析全部都没有

WebsocketDotNet则是没有发消息的功能？？而且一链接就断开

那我玩个蛋

兜兜转转还是用的websocket-sharp.dll

最后#

该说不说事后我想了下用DX分=0来判定是一个

怎么说呢

很巧妙很神奇的思路

因为如果你是通过hook miss的数字之类的去判定Miss的话，你需要处理跳关啊 FreedomMode重开的情况

假如你用hook combo数字为0来判定miss的话那你得处理空的情况（也就是游戏没开始）

或者游戏刚开始没出tap那不被电死了

但DX分这个不需要

也算是傻人有傻福

记一次某八按键音游的逆向

Sun, 08 Jun 2025 00:00:00 GMT

前言#

兄弟炒币赚了大钱，买了ADX放家里

由于兄弟几个都很变态（当然不包括我），就想到是不是可以买个郊狼回来玩玩

当然不是电那种奇怪的地方（），只是电大腿之类的

我的提议就是，Miss一次电一次

开始#

逆向基于的版本是DX-1.56

也就是Prism Plus

当然了，游戏文件我是不会提供的（不过这玩意已经满天飞了吧）

因为我没接触过Unity逆向，第一想法是用Frida去hook，当然是可以的

但是我的游戏是打过mod的，也就是AquaMai

既然现成的Mod我们去看看他的实现思路不是更好

说白了AquaMai的方法就是用MelonLoader注入他的Dll，看代码很容易得知他用的是HarmonyPatch这个框架

一搜不得了，这就是给Unity专用的，而且用起来简单的不得了

确定好框架就可以开始逆向了

很显然，我们需要知道Miss判定的函数，然后Hook他当执行Miss函数的时候进行某些行为（比如WebSocket给那玩意开电）

众所周知，这游戏是Unity写的，它的核心逻辑都在Assembly-CSharp.dll里面

把这个Dll丢进dnSpy里面

我这里假设你的Assembly-CSharp.dll已经脱壳了

应该吧？不会有人动态解密跑这个吧不然还hook个蛋

2025-06-08 215638.png

我一看类名全都没混淆简直是天堂

这就是Unity的魅力吗（）

首先想法肯定是搜Miss

2025-06-08 220033.png

有点多啊

全词匹配看看

2025-06-08 220157.png

这次少了很多

我们看到左边有个Note.Judge

是他吗，点进去看看

2025-06-09 015538.png

不难发现这是一个枚举？Miss的时候=0分吗

对着他的调用一顿分析

看到有一堆东西调用了这个枚举

挨个进去看他们在相互调用

2025-06-09 020037.png

一个个进去看，都没找到当miss了调用的逻辑在哪里

我猜这可能是个将判定的时间转换成最终判定的方法，这个枚举就是给转换用的

那不几把是我们要的，尽管可以继续分析但这样对一个没有混淆的Dll有点太麻烦了

我们接着看Miss的关键词

我们看到有一个NoteJudge.Judgebox里面的玩意

2025-06-09 020601.png

一看这个枚举调用可多了

2025-06-09 020829.png

前面的那堆是Debug类的，应该不是我们需要的

我认为我们要找的东西应该是在NoteMananger之类的东西里面

然后我在这堆调用中一眼相中了我的目标

2025-06-09 021159.png

这里很显然是一个switch语句通过判断Note的类型来赋予对应的DX分

他在Manager类里，和我想得差不多

而且Miss了DX分就是不加的，我觉得没毛病

那就试试吧，理论来说我们当然可以直接反编译这个Dll重新编译

但那样显然不咋健康，侵入性太强了

那反正我们都有Mod，写一个Dll不是更好？

赶紧去看看MelonLoader的文档

哇它里面还内置了HarmonyPatch

无敌了

核心实现就是以下的代码了

1
[HarmonyPatch(typeof(JudgeResultSt), nameof(JudgeResultSt.UpdateScore))]
2
    public static class UpdateScorePatch
3
    {
4
        static void Postfix(ref JudgeResultSt __instance)
5
        {
6
            // 如果 DX分为0，视为 Miss
7
            if (__instance.Deluxe == 0)
8
            {
9
                /// 在后台线程发请求，防止主线程卡顿
10
                ThreadPool.QueueUserWorkItem(_ =>
11
                {
12
                    MelonLogger.Msg("检测到 Miss，发送电击请求...");
13
                    MissDetected();
14
                });
15

16
            }
17
        }
18
    }

展开收起

效果如下

雷电法王

IMG_8724_20250609-023014_.PNG

这里用了多线程，把MissDeteced这个函数换成你需要执行的东西就好

编译了放进Mods文件夹，没啥毛病就收工了

具体详细用WebSocket调用郊狼的代码稍后写完我应该会丢到Github

应该不会有人用到这玩意吧不要吧

结尾#

下次试试mu3的逆向

chusan不是Unity 那个缓一缓

我还记得因为和某人争论chusan是不是Unity还吵过

记一次断电重启后ESXi的恢复

Thu, 01 May 2025 00:00:00 GMT

该说不说实不相瞒服务器我早就修好了，因为懒才拖到现在发

blog应该一边折腾一边写才对，不然弄完了就懒得发了

我不知道因为这个咕咕多少篇blog了

写在前面#

woc 要不是阿里云发短信给我我都忘了我还有这么个blog在这

一看我已经两年没发东西了，我当初刚好续了两年的域名

合着我的钱就这么打水漂了

屎啊

前言#

这两年我是一点没闲着，疯狂填充我的NAS（片库）

在换了RAID5之后用的也是很稳，一直没有报错，到现在8个T也完全够用

中途家里也不少停电，估计有个五六次吧，但服务器都很好的Carry住了（不得不说服务器的白金电源真的是有点东西的）

基本停电后来电服务器都会自启所有的虚拟机，我设置好了开机自启之后所有服务都能慢慢上线，挺好的

唯独前几天出了点意外

午夜凶电#

凌晨四点的时候，我家第一次停了电，过了两三秒电又来了

过了几分钟又断电了，两三秒后电又来了

过了半小时又重复一次

过了一个多小时又来了一次

就这样停了4次电，过了几秒电又来

那时候我在看别人打守望先锋啊，没电导致路由器总是断，我寻思直接用热点看得了

我是完全没想到楼上的服务器在经历什么样的腥风血雨

众所周知，机械硬盘最怕的就是突然断电，好的电源保持时间够长可以支撑到机械硬盘磁头归位后再断电去减少对硬盘的损伤

但问题是写入的数据不行啊，该丢失还是丢

对于虚拟机这种正在读写突然断电也是很噩梦的

然后第二天我就发现不对了

我NAS呢？怎么连不上了

想到昨晚断电

补豪！

我赶紧跑上楼看，还好硬盘的所有指示灯都还是绿的

但这不代表没事，因为TrueNAS的系统自检慢，我是作为第一个自动启动的

进EXSI后台一看心脏都停了一下

我TrueNAS的虚拟机，以及我vCentre的虚拟机无法识别了

我OpenWRT的虚拟机也开不起来了，报错是vmdk硬盘的问题

好巧不巧，这和TrueNAS的vmx文件也在同一个盘

这不是什么好的征兆，但我第一反应还是重启一下EXSi

当然了，没用，不然我也不会写这篇东西了

那没办法了，只能尝试修复了

vmx不认，我第一反应还是取消注册后重新添加试一下行不行

但并不行，在注册界面卡在了加载中

那只能开SSH了

看一下日志

tail -f /var/log/hostd.log

WIP…

关于使用Ai超分与补帧的一些折腾心得

Mon, 27 Nov 2023 00:00:00 GMT

前言#

在B站上刷到了一些音游BGA的120fps版本，感觉很爽？

但是我没会员我看不到啊

刚好闲着无聊，自己研究一下吧

折腾开始#

不用想都知道干这个肯定需要ffmpeg，所以请务必确保ffmpeg已经被加入到你的环境变量中以便后续操作

我选择的示例视频是Tuyu的

建议使用二次元，转场少的视频，在补帧的时候能获得更好的效果

补帧#

搜了一圈，补帧的选择挺多的

光流法#

我接触的第一个是用Premire里的这个

但是那个效果跟屎一样的，毕竟是早期技术，要求不能太多

百度都有教程，由于效果太屎了，我这里就不过多赘述

WIP..

记一次上海bw的碎碎念

Fri, 28 Jul 2023 00:00:00 GMT

我一开始本来想着这里放的东西是偏技术性的，按理来说blog好像不应该放这种东西

但是没东西写了

其实是我有3篇东西没写完，没空写

所以闲着无事，在返程的飞机上写了这篇blog

前言#

我兄弟啊，两年前嚷着去CJ，结果好巧不巧，长江三角洲那边出疫情了，南京波及上海挺合理的

他还信誓旦旦告诉我“我基本稳了”

结果买了票差点没能退

更巧的是那时候我就在南京，回来喜提7天隔离套餐

不管怎么说，bw也好几年没开了，今年既然开了就去看看吧

也算是陪我儿子出去旅游走走

也算是我第一次看这么大的展子（广西是真的穷啊，。

与其说是记录blog，更应该说是一些旅途中的碎碎念

关于航班#

去的时候上海下雨，航班从12:50一路推到16:55

回来的时候刚起床就看到从17:20变成了19:40

后悔死了干嘛不买延误险呢

bw抢票#

IMG_8393.jpeg

很遗憾我没在场上看到这个大旗子，但这也是我的真实感受

兄弟为了抢票开了大会员结果被演了

晚上8点也是啥也没拿到

在这里很感谢Github上的这个项目

没错，我用他抢到了，5个兄弟5张票

大概就是抢别人退的票和官方时不时放出来的一两张吧

不管怎么说，7月22日5张VIP全拿到了

关于bw#

那么问题来了，21 22 23三天为什么我选了22呢？

因为有东雪莲

IMG_4159.png

好吧这也许是某个特别的原因，但除了东雪莲对于我来说其实三天都一样

因为邀请嘉宾一半都是vtb，剩下到场的嘉宾我认识的也是少的一p

所以就选择了中间这天

bw当天#

很遗憾，我早上5点和兄弟起床，坐了一个小时地铁，结果已经提前放普通票进场了

就，挺无语的，我付了588就图个提前入场领周边结果他给我来这一出

检票的那个外场居然就已经比南宁会展中心一整个展馆大了，果然是魔都。。

进场之后给自己定了个和20位Coser集邮的目标，没想到最后成功了！

整个场子给我的感觉就是，人多

IMG_8576.jpeg

人超多，，，有些地方基站会炸，手机信息都发不出去

我整个展子说过最多的话就是

二次元好可怕

无论是出了地铁站跑起来的人还是里面排出天际的队列

尤其是米家那几个是真的离谱

想领米家的无料是真的领不到

但哥俩收获还是很多，领了一堆

FullSizeRender.jpeg

IMG_8615.jpeg

寄快递回来花了50多妈的

哦，还给叔叔上贡了（

_Q8A0021.jpg

这里有个好玩的，前一天晚上我说兄买点东西放包里当午饭吧，于是我买了桶泡面

我兄弟则是在赌里面便利店有东西吃

事实证明他赌对了，于是买了个芝士饭团当午饭

然后存包的时候把包存进去了，饭团在包里

晚上拿出来饭团已经变成zip了

于是兄弟看着我吃午饭

然后是集邮

穿着东雪莲的战袍（bushi）和Coser合照了

_Q8A0017-已增强-NR.jpg

最满意的一张

20个Coser，只多不少

说起来以前我都是喜欢自己拍Coser自己欣赏，这会不知道为啥就想集邮了

我和兄弟就在8个馆来回走，到处走

虽然还是错过了10:40东雪莲的直播

那时候我在结果不是东雪莲，就润了。。

声明：我绝对不是喜欢东雪莲，我只是乐子人，相信我（）

展上买了一个抱枕

IMG_8829.jpeg

回酒店拆开了，抱枕涨起来根本塞不进包里，只能一路拿着从地铁到动车，真是草了都

时间过的还是好快，写到这里我已经在回家的路上了（飞机上睡着了）

每次漫展出来都有种空虚感，或许是每次都遗憾自己因为身材原因没能出Cos吧

一想到那些照片就是我去漫展的唯一证明，我好像什么都没留下，心里确实有点难受呢

绝对不是因为花了588心痛钱！！

出了展子要打车，离谱的来了

我第一次看见打车要排队的滴滴。。。

IMG_8610.jpeg

还要tm一个小时

最后加钱打的专车贵死了

大概行程#

这次出行去的最多的地方：上海烈火索尼x孤独摇滚联动店

上海杭州南京，去了三个地方的索尼店

IMG_8673.jpeg

索尼的这个耳机还给我听流泪了（贫穷的泪水

IMG_8780.jpeg

IMG_8779.jpeg

太心动了，+100可以拿到波奇酱的耳机包（二次元奇怪的消费观）

其实挺想换XM5，但家里有点事，再加上我有XM4了根本没理由换

但是我兄弟提了，毕竟是富佬

IMG_8782.jpeg

烈火这个我想骂自己一句sb，出来玩去打nm音游，这一趟光买币花了快200，可以在我家这边打100pc的mai，也不知道我咋想的

IMG_4232.jpeg

后面还去了米哈游总部

IMG_8637.jpeg

这里如果有人看的话我给的建议是：别去

虽然免费，但是排队一个多小时不说还只有一层一点点东西能看

去了外文书店，买了本铃芽之旅的生肉

属于是冲动消费，不知道咋想的我认为我能看得懂

70多块钱，建议各位是不要学习

一些碎碎念#

太无语了，大商场里面能找个地方坐的只有星巴克，结果出来7天不到星巴克一人涨了4颗星星

更草的是吃不起东西天天吃麦当劳，吃饭钱花的没星巴克多

最最离谱的是大商场里东西最便宜的是Apple Store

这7天不是m属性大爆发就是s属性大爆发

年轻人诡异的旅行安排#

同行的有5位兄弟，除了和我逛bw以及睡一间房的@baohai

另外三位就nb了，睡几天酒店不说bw居然啥没领到

我严厉批判这种出来浪费钱的行为

一些旅途中的乐子#

IMG_8738.jpeg

滨州可乐

IMG_8714.jpeg

哥几个等了半个小时的杭州原神4号线

IMG_8722.jpeg

“你定闹钟没？”

“定了，七点半的”

“现在八点半了”

“Oh shit”

于是高铁改签变成了绿皮火车。。

到这里就差不多了，7天过的真的好快，感觉就像做了一场梦一样

两年后高考结束或许我会写一篇霓虹之旅

大概吧

记一次TrueNas Mirror转RaidZ R730折腾实录（2）

Sat, 01 Jul 2023 00:00:00 GMT

前言#

正如我在（1）说的一样，我存了点片，ISCSi挂载了几个硬盘

于是我的4T Mirror阵列就快红了

开始折腾#

先说方法：

那就是没有方法

ZFS属于写时复制文件系统，他的存储池类型在创建时就已经固定了

说人话就是，没法直接改

那我想扩容原有的池，咋办捏？

两个方法：

第一个，Mirror池也好，Raid也一样，拔一块硬盘下来，换更大的插上去，等他重建阵列完事后拔另一块换更大的

第二个，加一块新的组RaidZ

我选择了第二种

于是又到了噩梦开始的时候

上网搜了一圈，大概的思路就是用一块中转硬盘备份原有的数据，销毁原来的Mirror池，将加入的硬盘和原来的Mirror池中的两块硬盘一起组成RaidZ，并将那个中转硬盘的数据拷贝过来

看到这里我有种想换DSM的冲动，先不说这么做要的时间，将数据拷贝到另一块硬盘很显然有丢数据的风险，要是那块硬盘坏了直接就可以重开了

但是又没办法，我始终不放心把自己的数据放在黑群晖上

那就只能这么折腾了

得亏我的数据才3个多T，多一点我直接原地去世

那就开始吧#

更改硬盘配置#

首先，我的配置是原来两块4T组Mirror，一块4T存储虚拟机数据，我需要把虚拟机数据的那块盘腾出来，换到一块新的盘上

此外，为了中转数据，你还需要一块盘

也就是说RaidZ理论来说只要3块，但是为了完成这个操作，你实际需要4块盘

换DSM吧

为此我又买了两块戴尔的SAS盘 4T

-400rmb

两块SAS插进服务器，进ESXi里，新建数据存储，移动一下虚拟机到新的Datastore

ESXi的移动方式是先复制再删除，所以不用担心中途关机会丢数据

我这里删不掉Datastore

确保所有虚拟机迁移完毕，取消注册所有虚拟机，删除原有的Datastore就好了

这样就把一块硬盘腾出来了

开始迁移存储池的数据#

我给TrueNAS创建了一块4T的虚拟硬盘在我的中转盘上

考虑到我数据不多，没有存满4T，所以我选的精简置备

在TrueNAS中用那个虚拟硬盘创建一个新的池，叫backup吧

然后在TrueNAS中给原来的池子main创建一个快照，名称随意，我这里叫trans

UQNLTS5_6KDL_RWI0NIOC9P.png

请注意勾选“递归的”

然后打开TrueNAS的SSH，并用一台不关机的设备连接上去，因为SSH的会话窗口在克隆快照的过程中不能关闭

在SSH控制台中输入

1
zfs send -R pool1@01 | zfs receive -Fdvu pool2

其中pool1为你原存储池，01为上面的快照名字，pool2为你的中转存储池

举个例子，在我这就是：

1
zfs send -R main@trans | zfs receive -Fdvu backup

回车，等待，根据数据大小要一段很漫长的时间

IMG_4176.PNG

完事之后，导出原有的Mirror池

报错了他妈的

IMG_4185.PNG

我直接进ESXi，编辑里边删除硬盘特么的

我急了我急了，我破防了

事实上折腾到这个时候已经不是第一次了，之前用的rsync，结果ISCSi没过来，简直是狗屎

到这个时候已经折腾了我3天了

发了点牢骚，但是我想说直接这么玩有数据丢失风险，虽然很暴力

他这个busy我至今也没搞明白为啥，系统日志和docker早就删了

然后你可能会在网页或者访问/mnt的时候遇到这个报错

IMG_4183.PNG

放心你数据没丢，只是没挂载上

控制台输入

1
zfs mount -a

然后打开smb共享啥的，看下文件的hash值有无问题，没问题就把3块硬盘重建zfs池

我还是叫main

然后之前的命令反过来

1
zfs send -R backup@trans | zfs receive -Fdvu main

等待，完成后再次使用

1
zfs mount -a

挂载迁移的数据，完事了

末尾#

我不得不吐槽我自己用TrueNAS真不是个明智的决定，ZFS好处是快照的时候不会直接全量备份

快照会随着文件的更改而增大

可是问题是至今我用了几个月了我一次快照没用过。。。

然后折腾过程中各种报错，解决方法也很玄学暴力，都是直接进ESXi里删硬盘。。

把自己变成初音未来！Diffsinger折腾记录

Mon, 01 May 2023 00:00:00 GMT

前言#

又是東雪蓮！B站上的Diffsinger Ai東雪蓮让我发现了Diffsinger这个项目

众所周知，東雪蓮作为罕见，当然是不唱中文歌的

而Diffsinger默认词典又需要大量的中文干声素材

所以我猜测B站上那个视频用的是语音数据

因为不是干声，也就不会有广阔的音域和转音

那么那个视频里的电也就合情合理了

虽然说SVS类型的Ai应该尽可能接近真人才对（像ACE Studio，SynthesizerV那种）

但电音却有种VOCALOID的感觉，倒也不是坏事

一开始我是打算接着用我兄弟的数据集的，但问题来了：

diff项目需要大量的数据集（该项目建议4-5小时）我兄弟的语音数据仅仅只有20分钟

有人说：我可以用Sovits Diff-svc把开源数据集（Opencpop那种）换成兄弟的声音啊？

是，但只要有音色泄露的问题存在出来的声音就不会像本人，况且这样套娃音质是不可控的

所以我兄弟得等以后了

那我又想折腾，就只能迫害我自己了

正片开始#

考虑到听自己唱歌实在太处刑了，所以我决定也先用说话数据试试看

这里有必要列一下我的麦：Blue Snowball

虽然不是高端麦克风，但是折腾Ai足矣

准备数据集#

我认为流程应该是：

前期录制——匹配响度——降噪——切片——标注

前期录制#

内容很简单，就是我找各种中文念出来，语速平缓，吐字清晰

总共大概半个小时

匹配响度#

这里选择Au，按照DiffSinger的官方教程来

降噪#

去你妈的Au和什么RX9，我单方面宣布UVR是最强的降噪工具

试了一圈，UVR太强了只能说

Kim_Vocal模型，Vocal Only，直接输出，降噪出来不仅安静人声几乎无失真，真的比Au强太多了

切片#

按照上面下来就用自动切片机切就好了

标注#

你以为我会手动标注吗？

不可能，我们是懒狗炼丹师，所以我选择了阿里巴巴达摩院的Paraformer项目进行自动标注

一开始其实用的OpenAi的whisper，但那个对于中文的准确性远远不如Paraformer

也能理解，毕竟Whisper兼顾多种语言，Paraformer则是专精于中文和少量的英语

之前用的venv，这次为了随时调用，我选择anaconda

Conda安装教程不多说了，这里说配环境：

首先我们要给funasr创建一个环境：

Terminal window

1
    conda create -n funasr python=3.7

然后激活环境：

Terminal window

1
    conda activate funasr

于是就可以安装了：

Terminal window

1
    pip install funasr

你也可以

Terminal window

1
    git clone [https://github.com/alibaba/FunASR.git](https://github.com/alibaba/FunASR.git) && cd FunASR

Terminal window

1
    pip install --editable ./

前提是你的电脑里有git

为了调用模型我们需要 Model Scope

Terminal window

1
    pip install "modelscope[audio_asr]" --upgrade -f https://modelscope.oss-cn-beijing.aliyuncs.com/releases/repo.html

这里两步如果报错了大概是需要安装Visual Studio

你需要在Visual Studio Installer中安装“使用C++的桌面开发”并确保安装详细信息的两项勾选：MSVC生成工具、Windows SDK

完事安装Torch，可以是CPU也可以是GPU版本

由于Python版本问题，我们只能装11.6的版本

Terminal window

1
    conda install pytorch torchvision torchaudio pytorch-cuda=11.6 -c pytorch -c nvidia

（这里是GPU版本）

然后我们调用一下官方Demo：

1
    from modelscope.pipelines import pipeline
2
    from modelscope.utils.constant import Tasks
3

4
    inference_pipeline = pipeline(
5
        task=Tasks.auto_speech_recognition,
6
        model='damo/speech_paraformer-large_asr_nat-zh-cn-16k-common-vocab8404-pytorch')
7

8
    rec_result = inference_pipeline(audio_in='你自己的音频.wav')
9
    print(rec_result)

效果还是可以的，中英语混合而且准确度很高

我们引用os和pypinyin批量处理并把它们转成对应的拼音保存在.lab里

1
    import os
2
    from modelscope.pipelines import pipeline
3
    from modelscope.utils.constant import Tasks
4
    from pypinyin import lazy_pinyin
5

6

7
    inference_pipeline = pipeline(
8
        task=Tasks.auto_speech_recognition,
9
        model='damo/speech_paraformer-large_asr_nat-zh-cn-16k-common-vocab8404-pytorch')
10
    raw_path = r"源wav的地址"
11
    list = os.listdir(raw_path)
12
    OUTPUT_PATH = r".lab输出地址"
13
    print(list)
14

15

16
    for i in list:
17
        path = raw_path + "\\" + i
18
        rec_result = inference_pipeline(path)
19
        print(rec_result)
20
        pinyin = lazy_pinyin(rec_result['text'])
21
        print(pinyin)
22
        str = ' '.join(pinyin)
23
        no_prefix = i.split(".")[0]
24
        lab = OUTPUT_PATH + "\\" + no_prefix
25
        with open(lab + '.lab','w') as f:
26
            f.write(str)

展开收起

别骂了别骂了我知道我的代码跟屎一样能用就可以了

用MinLable查看一下是否正确，核对一下

完事之后就用项目里的notebook一路下一步就好了

最后他会输出训练的命令，在你项目的根目录运行就好了

最后我练了3天，22w步

您猜怎么的？翻车了

出来我本人的声音是电的，电流声非常明显，处于完全不可用的状态

看来还是得要干声数据，下次写

咕咕

在自己家搭一台服务器吧！DELL R730折腾（1）

Sun, 30 Apr 2023 00:00:00 GMT

老规矩，起因放前面：#

我自签一些游戏安装包的时候，需要AltServer实时在线，而且Windows下的AltServer算半个残废，我需要一台一直开着的MacOS

其二是我需要一台文件共享服务器（NAS），存我的资源我拍到的一些照片

其三是家里接了两条宽带，需要ikuai分流

其四是8G显存满足不了我，我需要更大显存的卡来玩机器学习

综上，我买了一台服务器

配置：#

服务器主体：Dell PowerEdge R730

咸鱼收的，带H730阵列卡+750W电源花了1050

CPU：志强E5 2680v4 两颗 210

内存是三星的16G DDR4 ECC 2133 3

因为要跑Ai，买了张Tesla P40 1162

还有Riser卡，硬盘架啥的

共计2900左右

硬盘的话，家里有两块英特尔256G的企业固态，两块4T的西数紫盘，1块希捷NAS红盘分配如下：

256G固态1	256G固态2	紫盘1	NAS红盘	紫盘2
ESXi系统盘	TrueNAS加速盘	TrueNAS数据盘	TrueNAS数据盘	虚拟机盘

两块数据盘组Mirror

其实这里说起来也挺离谱的，这几块硬盘加起来少说得1500

所以实际成本不止2900

来自一个月后：我远远低估了我的数据使用能力，iscsi挂载会直接占用对应空间，片一存4T直接满了，所以以后会升RaidZ，以后再写

当然了，如果不需要跑深度学习可以把P40省掉

正如上面写的，系统选择了ESXi8.0

为什么不是PVE呢？

不会用，单纯因为觉得ESXi更易用

我把服务器放在我家桌子上，直接插进我家路由器

因为要放隔壁房间解决噪音问题（P40是被动散热），要重新拉线

所以暂时先不拿来当路由器

相当于现在服务器就是我家的一台旁路设备而已，以后再改

浏览器访问iDRAC，直接装系统，这里不多说

但是发现默认密码calvin进不去

只能插上显示器进BIOS手动改

接下来用java虚拟控制台装系统就好了

Trouble Shooting#

我遇到的第一个问题是发现系统一块硬盘也不认

进入iDRAC管理界面，发现阵列卡默认是RAID模式，怪不得

考虑这张阵列卡缓存也不大，不如直接调成HBA

我这里幻想着以后可能要RAID，我选择把要用的盘调成非RAID

然后就认硬盘了

接下来固定IP，安装啥的一气呵成

虚拟机这边我装了OpenWRT TrueNAS WinServer2022 Ubuntu两台和一台MacOS Montery

至于为什么不是最新的Ventura

啊这是因为我家里电脑之前拆下来的GT740在Montery免驱

关于功耗#

功耗的话，只插一颗CPU功耗大概只有160W

我插了一个智能插座记录耗电度数

iDRAC里也有功耗显示

插了GPU大概是170W

按我这最低0.51最高0.54的梯度电费

一个月大概就80多块钱

有人觉得很多，但想一下群晖啊那些大牌NAS动辄6000起的售价

性能还比不上我这台，功能也不如

这么一想一年1000多点电费也要用好几年才能赶得上6000块钱吧

更不用说出租GPU，网心云啥的赚的钱了

再说了空调都1000w+这点电算啥对吧

先写到这，其实到现在（2023.7.31）我已经用了两个月了

目前来说很稳，除了转换TrueNAS Raid模式那会折腾死了我，别的是没啥问题

sovit3折腾实录与教程（2）Colab训练推理

Sun, 26 Feb 2023 00:00:00 GMT

值得一提的是，即使你炼丹在Colab，推理也依然需要在本地进行

折腾了一下，推理可以在Colab进行了

先给链接：

训练与处理脚本

推理脚本（用我自己三脚猫功夫改的）

正片开始#

打开上面的训练脚本

为了方便后续，建议保存一个副本到你的GoogleDrive

在你GoogleDrive根目录创建一个名为dataset的文件夹

把说话人的数据压缩成zip传到dataset里面

注意是整个文件夹，而不是直接把wav打压缩

请使用zip，避免出现奇奇怪怪的错误

然后在Colab里从上到下点执行就可以，真的很简单

需要改的是“从谷歌云盘加载打包好的数据集进行预处理”这步

把DATASEINAME改成你说话人的名字

然后到训练，如果你是第一次并且选的48k的分支，请按照下面这么设置

_TV___QVZ_1__OCO9O7XM.png

一直到开始训练，等就好了，比本地简单不知道多少倍

再次训练#

如果你的GPU到限额了啊或者要关闭网页了，过了一段时间想重新回来炼丹的话

从“已经预处理过数据集的话，就可以跳过预处理部分直接从云盘解压处理过的数据以及配置文件”这步开始

当然前面Clone库该是需要的…

等待模型收敛#

看你的TensorBoard，主要看learning_rate和loss最后面三个图表，也就是

g/kl g/mel g/total

learning_rate不断下降，且下降幅度放缓

O5QRBLY1Z83VCNTCRTIB__A.png

g/kl g/mel g/total不断下降，且几乎与X轴平行，下降放缓

0_R__XNIFSE2FM7_8_ZUJ4P.png

就代表模型基本收敛了，这个时候再训练下去可能会过拟合，模型会废

推理#

如果模型收敛了，就可以推理了

这里分两个方法

Colab云端推理#

推理脚本（用我自己三脚猫功夫改的）

保存笔记后，手动把你要转换的wav放到云端的/content/so-vits-svc/raw里面

填一下“从Drive中copy模型与json”从上到下执行就可以了

UC~_YL__3D2DJ1697GY9X6O.png

如果你不需要我的三脚猫功夫，可以手动改

这里说一下要点：

在Colab中，系统命令前需要加一个!(半角)

推理依然需要必要模型

1
!wget -P hubert/ https://github.com/bshall/hubert/releases/download/v0.1/hubert-soft-0d54a1f4.pt

Drive云盘在挂载后地址为： /content/drive/MyDrive/

下面是详细的

加一个代码

code.png

在代码框中，你需要多安装一个依赖

1
!pip install scikit-maad

然后你可以选择手动把模型和config传上去，但这显然不如把Drive挂载后复制：

1
from google.colab import drive
2
drive.mount('/content/drive')

注意：推理所需要的是G_开头的模型，而不是D_开头的

大概是这样的：

1
!cp 你最新模型在挂载后的路径 /content/so-vits-svc/logs/48k/模型名字.pth
2

3
!rm -rf /content/so-vits-svc/configs/config.json
4

5
!cp 你模型config.json的路径 /content/so-vits-svc/configs/config.json

举个例子：

1
!cp /content/drive/MyDrive/48k/G_2000.pth /content/so-vits-svc/logs/48k/G_2000.pth
2

3
!rm -rf /content/so-vits-svc/configs/config.json
4

5
!cp /content/drive/MyDrive/48k/config.json /content/so-vits-svc/configs/config.json

以上为48k分支（也就是main分支），如果你选择32k，那应该是这样

1
!cp 你最新模型在挂载后的路径 /content/so-vits-svc/logs/32k/模型名字.pth
2

3
!rm -rf /content/so-vits-svc-32k/configs/config.json
4

5
!cp 你模型config.json的路径 /content/so-vits-svc-32k/configs/config.json

如果你是Colab Pro可以打开命令行，我不行所以我只能改笔记

接下来手动打开inference_main.py并修改

依然是重点改model_path,clean_names,trans,spk_list这几个

model_path改成你训练出最新模型的路径

clean_names改为你raw文件夹中放的wav的文件名，无需.wav结尾

trans为变调，根据实际来调，男模型唱女声大概需要-12~-16

spk_lisk为你说话人的名字，可以支持多个，用半角逗号隔开

18E4__DSN6B@R__D_OE_M6P.png

偷懒了，直接复制上一篇的过来

改完之后，加一个代码并运行

1
!python inference_main.py

run.png

值得一提的是…即使Colab给了15GB大显存，如果你直接把一首歌不裁剪丢进去也丝毫不妨碍他炸显存

boom.png

成功了就把results里的成果下载下来就好了

本地推理#

首先，像上一篇一样配好环境（这一句话足够折腾几个小时）

然后把Colab里出来的G_开头的.pth模型下载下来，放到你本地的logs/32k或者logs/48k文件夹中

把Colab上的configs/config.json放到和你本地一样的位置，也就是.../configs/config.json中

然后接下来与上一篇基本相同，不细说了

写在最后#

未经允许，禁止转载到国内网站，包括但不限于CSDN等

sovit3折腾实录与教程（1）本地篇

Sun, 26 Feb 2023 00:00:00 GMT

在此感谢我兄弟@IAW_PRC提供的一些技术支持

过程实在太长太折磨，再加上本人上学，时间不多，所以这篇东西写的不会像之前那么详细

免责声明#

在开始阅读前，您需要知道：

截至目前，Ai一直是版权重灾区，如果阁下因为不正当使用Ai所造成的侵权与纠纷，需要您本人承担，与作者，也就是我无关

前言#

我是一个sb二次元，天天听日语歌几年没碰华语的那种

当然不只是因为华语乐坛近几年来确实不行

更多的是我喜欢非母语带来的那种有些听不懂的神秘感？

总之，在刷夜に駆ける的各种翻唱的时候

AI东雪莲吸引了我的注意

抛开政治色彩不谈，唱的甚至比本人还好听（ai不夹）

刚好换了新显卡不久，打算折腾一下AI有关的东西

前期准备#

你要让AI学习一个人的声音，当然得先有他的声音

如果是Vtuber啥的，把录播下下来自动切片就好

这里是我兄弟的，我选择了用我兄弟打游戏时候的语音，然后Au里手动裁剪

因为语音有别人的，只能自己辨认

用了一个多小时，裁剪出100多条

BUXIB_75O_91D_9ELF0B_97.png

这里得说一下，切片当然是越多越好，但是

质量>数量

个人认为如果是说话至少得有70条以上的语音吧

唱歌的话可能要1000条，并且最好有本人唱歌的录音，要不然可能高音上不去低音下不来

每条在3-4s，不用太长，要求无背景音，无混响，无其他人说话的声音

如果声音很杂我建议想办法处理一下

分离人声和背景音我最推荐的就是UVR5

这个百度一下就有，用起来不难，不细说了

开始之前的废话#

本人配置：

CPU：i7-11700K

MEM：32G 3200MHz XMP

GPU：RTX3070Ti 8G

别的不写了，重点其实就在GPU上，有CUDA真的能让你事半功倍

如果你是A卡用户或者没有CUDA核心的显卡，亦或者很老的卡，那我都强烈建议你去Colab篇

如果你不想折腾，也只是想试试看，也推荐去Colab

什么3090 4090 A100的，显存还12G以上的话，那本地肯定快

这边实测，免费版Colab速度不如我的3070Ti

同为1000steps，Colab用了大概半小时

我这本地就十多分钟不到

A卡似乎RX5000系列RDNA2对于深度学习有奇效，甚至可能超过30系，据说是stable diffusion和vits有加成

但如果你是A卡用户我能想到的唯一办法就是去Linux，并且使用ROCM版本的Pytorch

也就是

1
pip3 install torch torchvision torchaudio --extra-index-url https://download.pytorch.org/whl/rocm5.2

如果你是A卡装完这个之后请无视掉下面的torch安装

噩梦开始#

去这里Clone一下库文件

除非你显存>8G，不然我都建议你选32K的分支

我这里用PyCharm打开，构建一个虚拟环境

如果你电脑环境比较干净，不用PyCharm啥的也是可以的，因为之前折腾Arcaea的时候环境很杂

然后把之前你的切片搞个名字，可以是说话人的拼音啥的，放到一个文件夹，并放到这个项目的dataset_raw里，文件架构应该是

1
../so-vits-svc-32k/dataset_raw/你说话人的名字/xxx1.wav
2
../so-vits-svc-32k/dataset_raw/你说话人的名字/xxx2.wav
3
...

环境配置#

给一个忠告：无论是环境还是库，不要追求新的，requirements.txt给啥你就装啥，报错就降一个大版本，比如你装了0.10.0的librosa，报错了，降一个大版本到0.9.2，还不行就降到0.8.1

好，到了你需要迈过的第一个坎了

Sovits不像当时NovelAi这么火爆，成本也比NovelAI高，一键启动包什么的，似乎训练出来模型会有别人的味道（？）

不管怎么说，享受折腾的过程也是种乐趣

Sovits对环境的要求还是很复杂的

当然我见识短浅没见过什么更复杂的大工程也是真的

据说Python版本大于3.10会存在numpy1.19.2无法安装的问题

我是确实遇上了，不是无法安装而是安装无法使用

所以我个人建议使用3.9版本的Python

先打开requirements.txt，把

1
torch==1.10.0+cu113
2
torchaudio==0.10.0+cu113

这两行删掉

然后用这串东西下载环境

1
pip install -r requirements.txt

如果你用PyCharm打开它会自动读取requirements.txt里的内容让你补全环境

K3FSS6_~WD@WRN_CUQ_9962.png

我这里补全了大部分，剩下一个失败了：

1
numpy==1.19.2

这里就不得不提一下国内源的问题，numpy版本太奇妙或许是，换回原来的源就好

我这里是

1
 pip install -i https://pypi.python.org/simple numpy==1.19.2

这里给大家排个雷，matplotlib在上面应该会自动安装

如果你是1.19.2的numpy，那会提示

1
Matplotlib requires numpy>=1.20; you have 1.19.2

手动把matpotlib降级到3.6.3即可，也就是

1
pip uninstall matpotlib
2

3
pip install matpotlib==3.6.3

然后是torch的问题，这才是这个项目的核心

打开你的cmd (草妈的)

输入

1
nvidia-smi.exe

看看你的CUDA版本，我这里是12.0

J_5D5C3_9V_HE0HJ5J6U_RV.png

虽然理论来说Pytorch最高只支持11.7

但我这没问题

总之，去下一个和你CUDA版本对应的的Pytorch，如果你像我一样是12.0，那就下11.7版本就好

我这里是

1
pip3 install torch torchvision torchaudio --extra-index-url https://download.pytorch.org/whl/cu117

然后，去这里，下载和你cuda版本对应的kit，并安装（要等挺久的，文件也很大）

开始操作#

然后下载三个预训练模型文件

hubert-soft-0d54a1f4.pt

放到hubert目录下

G_0.pth

D_0.pth

放到logs/32k目录下

总之，以上都没问题的话，确保你的文件夹已经放在dataset_raw中，并继续

数据预处理#

1.重采样#

在你的项目文件夹打开终端，并输入

1
python resample.py

这一步是把你的wav重采样成32khz

如果你报错提示缺少librosa，那就来一条

1
 pip install librosa==0.8.1

试过新版本会报错，所以这个可以

2.生成配置文件等#

1
python preprocess_flist_config.py

3.生成hubert与f0#

1
python preprocess_hubert_f0.py

如果都按照上面的来，这三步基本不会有问题

调节配置#

一般来说我们贫民的小显存，.../configs/config.json里给的默认12的batch_size，百分百会爆显存

我8G在后台有点东西的时候给6都会爆显存，并且为了发挥你显卡的最佳性能，batch_size最好是2的倍数

如果你是30系以上，为了调用Tensor核心，最好能4的倍数

如果你给4都爆显存还是建议是去Colab了，batch_size太小模型可能会不收敛，出来效果也会有影响

我这里就给4了

83B__QH1NUP_F_@C_Z6F_97.png

开始训练#

打开命令行，输入

1
python train.py -c configs/config.json -m 32k

如果这个时候报错了，提示缺少TensorBoard，那就

1
pip install tensorboard

这个倒是不需要什么版本（目前没见有问题）

出现如下命令行就代表训练正常进行了

_AJ_IEM_H7JS03PW5OI__9S.png

默认每1000次保存一个记录点，如果想停止训练按Ctrl+C即可

下一次训练在输入一样的命令程序会自动读取存档点继续训练

观察训练过程确定收敛进度#

在训练的时候新开一个命令行，输入

1
tensorboard ----logdir logs/32k --port 8080

端口如果占用了可以改

然后浏览器打开http://localhost:8080/

点上面scalars，并把learning rate和loss展开，loss翻到第二页

___7_O_BMC_W8QPNQ9OJLJ2.png

主要看learning_rate和loss最后面三个图表，也就是

g/kl g/mel g/total

learning_rate不断下降，且下降幅度放缓

O5QRBLY1Z83VCNTCRTIB__A.png

g/kl g/mel g/total不断下降，且几乎与X轴平行，下降放缓

0_R__XNIFSE2FM7_8_ZUJ4P.png

就代表模型基本收敛了，这个时候再训练下去可能会过拟合，模型会废

确定收敛了就可以停止训练，并进行下一步了

推理#

把你要转换的文件放在.../raw/xxx.wav

可以是歌曲的纯人声，可以是说话声音

然后打开.../inference_main.py

重点改model_path,clean_names,trans,spk_list这几个

model_path改成你训练出最新模型的路径

注意：推理所需要的是G_开头的模型，而不是D_开头的

clean_names改为你raw文件夹中放的wav的文件名，无需.wav结尾

trans为变调，根据实际来调，男模型唱女声大概需要-12~-16

spk_lisk为你说话人的名字，可以支持多个，用半角逗号隔开

18E4__DSN6B@R__D_OE_M6P.png

没啥问题就可以开始推理了

1
python inference_main.py

如果你推理报错，提示numpy版本太旧，请将pandas降级到1.4.4，也就是

1
pip uninstall pandas
2

3
pip install pandas==1.4.4

3.8更新：

1
ValueError: numpy.ndarray size changed, may indicate binary incompatibility. Expected 88 from C header, got 80 from PyObject

inference_error.png

真是tmd神奇，用着用着就推理不了了

还好是虚拟环境，要是那些直接装在系统上的绝对会裂开

强烈建议用Conda，去你妈的pip

摸索了一圈，我的解决方法是：降级scikit-image到0.19.3

1
pip uninstall scikit-image
2
pip install scikit-image==0.19.3

想不到吧tmd，你以为是numpy的问题，其实是scikit-image的锅

推理的话，歌曲不宜太长，特别是显存小的，很容易爆显存

建议裁开分开推理

当然你可以用CPU推理，但会非常非常慢（比GPU慢是肯定的）

大概一首歌3分钟，CPU就要推3分钟，GPU不爆显存的话就半分钟多

想要CPU推理的话

修改inference/infer_tool.py这个文件，在21行后面加一行

1
os.environ["CUDA_VISIBLE_DEVICES"] = "-1"

CPU推理我没有实操过，但如果报错了大概是需要装CPU版本的Pytorch吧（不确定，建议Google）

只要有Torch就行，是cuda还是CPU无所谓

推理结束后，你的成果就在…/results中了

至此，本地Sovits也就告一段落了

一些问题解答#

batch_size#

最前面的当属batch_size，网上只告诉你这个越大占显存也越大，却没告诉你batch_size对于模型和成果有着直接影响

batch_size是指在一次迭代中输入给模型的样本数量。在训练深度学习模型时，通常会将训练数据集分成多个batch，每个batch包含一定数量的样本。模型将会接收每个batch的样本作为输入，计算并更新模型的参数。这个过程称为一个epoch，通常需要多个epoch来训练一个模型。（此回答来自ChatGPT）

显然，batch_size有一个最佳值可以训练出效果最好的模型

虽然理论来说，batch_size太大会翻车

但据我所知，除非你是80G的A100阵列，不然绝大多数情况下应该是达不到翻车的数值的

所以在不炸显存的情况下，可以暂且理解为batch_size越大越好

我看到有人问“啊为什么我的loss一直在波动没有收敛迹象的？”

那多半就是batch_size的锅

网上那些说batch_size给2 甚至1的那完全是离大谱

特别是1，那意味着Ai会随机抽取样本进行学习，每次就一个样本

那能不能收敛完全就是看脸

为什么我想放在最前面写这个，正是因为我batch_size给到了4波动依然很大（已经超过10w steps）

但你要说batch_size太小真的不能用吗倒也不是

毕竟样本还是样本，只能说你的模型大概永不会收敛

总之，显存小去Colab总不是一件坏事，干嘛要折腾自己电脑呢

Sovits3.0和Sovits4.0#

测试过后发现Sovits4.0无论是训练还是推理显存占用都小了很多

同样是8G，Sovits4.0我甚至可以开到8的batch_size

但也有奇怪的情况

在我这，Sovits4.0在相同的steps下出来的效果远远不如3.0

在3.0中只需要1000steps就已经有贴近本人声线的感觉了

而4.0同样1000steps甚至2000steps，出来的结果也会带电

（以上是实测经历，不代表通用性，因为只是我一个人的实验结果，所以偶然性极大）

不过放到现在，4.0在有聚类模型的情况下效果还是优于3.0的

写在最后#

未经允许，禁止转载到国内网站，包括但不限于CSDN等

VoiceMeeter的逆向与破解

Sat, 07 May 2022 00:00:00 GMT

前言#

如果您看到了这，您需要知道的：

我不是专业的逆向人员，一定会有错误，遗漏的地方，您可以联系我指正或交流

其次，这不是教程，您需要有一定的逆向基础

疫情期间，由于每天上课摸鱼，大部分时间都和朋友在语音

我便需要一些整活神器，来在与语音里爆破我的朋友

我想起几年前发现的神器——VoiceMeter

这玩意太强大了，除了基本的混响，可视化地将音频通道显示出来，简直不要太方便

后来慢慢的我发现VoiceMeter Banana的功能不够用了

但是Potato是要收费的

虽然不贵，但是在国内支付VISA卡不是一般的麻烦

更何况我自己连VISA都没。。。

那没办法，我就看看我的三脚猫逆向能不能搞定他吧

分析#

以下基于3.0.2.2版本

Google出来的教程都是使用的OD

我懒，反正静态，IDA不香嘛

那就开干吧

先看看注册界面

uhmmm…有个Activate

直接64位IDA拖进来，分析一通

一上来就先看看Strings好了

Activate…嗯？

IYAR_H07_LF_4JI@2__FW_N.png

直接跳到注册成功字符串的调用

_KYF30_RAM`BSQ963H227_L.png

有点明显，甚至不用看伪代码

那就直接把jnz改成jz:

1
00103A3 75 19 ===> 00103A3 74 19

_4CD~_C0S586@NLRCE3MD21.png

齐活了？

吗？

几天后…#

草，这玩意爆激活了，除了激活界面乱输能提示成功以外，别的地方和没激活一点区别也没有

我看到似乎网上激活后Challenge的字符会变绿，或许那就是关键之处？

看了下，变绿后Activate按钮会变成绿色的ACTIVATED

搜下ACTIVATED。。

寄！搜不到

那算了，让我们回到伪代码

2YJ05DL2OBCHJXP5N39_O.png

我们发现这里与三个函数有关，并且后面的Email和Serial似乎都告诉着我们这俩函数的作用

唯独有一个sub_14000F530

进入这个函数，我们发现他的返回值不是0i64就是1i64

__8S5O5C@4Z3~ZO8QWS_OH0.png

鲁迅先生说过：逆向的精髓在于大胆尝试

我们大胆猜测，返回1i64就代表激活成功

返回1i64的条件是这个if中qword_140135950和sub_14000F2D0(a3)这俩玩意同时等于1

进入sub_14000F2D0。。

3NFRPZ3J_C__H16_V_VDOF1.png

妈的又臭又长不看了直接大胆改了他

回到汇编，其实跳转的条件就是eax寄存器为1嘛

那就直接让eax寄存器变成1吧（

1
cmp     eax, 1 ===> mov     eax, 1

也就是：

1
00EB1E 83 F8 01 ===> 00EB1E B8 01 00 00 00

BMU__~XYVLZ_8RNPC_WTQ_5.png

齐活了。。吧

先这样用着，以后有问题再更新

iOS上osu!lazer的手动构建与自签安装

Sat, 30 Apr 2022 00:00:00 GMT

前言#

在不知道多久之前，我注意到lazer有iOS版本的时候，我就满怀期待的冲向了osu官网

哦~~是TestFlight

结果一点进去

IMG_1620.PNG

uhmmmm？

后来我不知道等了多久，也没见TestFlight出名额

但是！

众所周知，osu!lazer是开源的

于是乎我就想到，我们是不是可以自己手动构建，然后自签安装？

刚好我发现网上似乎也没有这方面的内容

于是就有了这篇文章

你需要什么#

蛋疼的来了，构建ipa安装包需要mac环境

因此，如果你没有mac环境，你有以下两个选择

用Vmvare，或者Linux KVM等安装一个
用别人预先构建好的安装包
开摆上电脑玩

第一种的话网上有很多教程，关键词搜索MacOS 虚拟机等有很多，再安装完之后再按照下面的走就好了

如果你选择第二种，你可以从这里下载我构建好的安装包，然后直接跳转到签名的部分惹

什么？你问我第三种怎么办？

构建#

由于需要Mac，以下都是基于Mac环境进行

很显然，为了手动构建，我们需要去这里下载osu的源码

由于构建需要Visual Studio环境，所以你还需要去这里下载Visual Studio For Mac 2022

!!请下载2022版本!!否则最新版的.NET会报错！！

以及，osu所需要的.NET环境，去这里下载

安装Visual Studio时需要勾选上.NET iOS Android三个选项，就像这样：

截屏2022-05-01 00.11.26.png

请务必勾选上Android，这很重要

然后，当然还有苹果开发所需的xcode，在App Store中搜索安装

完成后解压，不出意外的话他打开应该是这样的：

截屏2022-04-30 20.41.24.png

我们需要的就是里面的osu.iOS.slnf

直接拖进我们安装完成的Visual Studio中

等待它Restore Package结束，应该是这样的：

截屏2022-05-01 00.14.26.png

然后打开xcode，新建一个项目，我这里名为test

注意选择为iOS

截屏2022-05-01 00.16.56.png

然后在左上角Xcode————Preferences————Accounts里登陆你的Apple ID，并在Manage Certificates里新建一个开发者证书，完事后点击右下角的Download Manual Profiles

A6A355B3-73F6-4C08-8394-D411EBDC13C6.png

然后在你项目的target中选择Signing & Capabilities

将第一个勾打上，Team选择你Apple ID的名字

2A6AB163-A76E-49C4-9DB5-6021A0838147.png

然后修改Bundle Identifier，直到下面的Status不是错误

我这里改成了osu.ppy.lazer

像这样就可以了

EBAA2C60-70B0-497F-AA68-6DA70E234551.png

这一步是为了假装自己有证书，避免Visual Studio报错

然后回到我们的Visual Studio

在上面选择项目————活动配置————Release|iPhone

418708CD-1AD9-4449-9160-4A467615E578.png

接着在左边展开osu.iOS，双击Info.plist

将第一项捆绑包标识符修改为之前在Xcode里输入进Bundle Identifier里的数据

我这里就是osu.ppy.lazer

624C2AD6-4813-4569-9A37-8B73205CC0B9.png

在上面选择生成————生成osu.iOS

07309EA0-9375-402C-A858-9901504D3B68.png

等一段时间，再点存档以供发布

如果没有报错的话，你就可以来到生成————存档————查看存档这里

选择右下角的签名并分发…

选择第一项Ad Hoc

一路下一步

最后你就得到了我们的osu.ipa

签名#

如果你没有mac环境，你可以从这里下载我构建好的安装包

在这里我提供三种签名的方法

AltStore（推荐！）#

这个方法好处就在于，他可以定时自动续签简直爽到爆有没有

如果你想用此方法，需要你将osu.ipa传到你设备中

去这里下载AltStore并按照教程安装AltStore在你的设备上

IMG_AB248109DEE6-1.jpeg

点击左上角的加号，选择你传进来的ipa，等待就好啦

为了以后可以自动续签，你还可以用数据线连接上电脑后，打开在wifi下自动同步（win下需要iTunes）

由于AltServer在Windows下还是beta版本，如果你遇到了报错，你可以尝试以下方法

SideLoadly#

这可谓是iOS自签神器，只要号没问题我就没见到这玩意签名不了的包

去这里下载SideLoadly

将ipa拖进来，输入你的AppleID，跟着走就好了

爱思签名#

太简单了这里不写了咕咕