VConet的杂物间

wpa_supplicant 后端无法连接 802.1x WiFi

2026-03-11T14:58:48.000Z

记录 Linux 下无法连接 WPA2-EAP WiFi 的问题排查过程。

症状

添加好 WiFi 配置后点击连接，KDE 的 NetworkManager 会在“正在配置端口”后小概率获取 IP，随后又弹出重新输入密码的窗口。反复尝试后仍然连接失败。

排查

查看 NetworkManager 的 journal 并未发现有用信息：

journalctl -xeu NetworkManager

DN42 之旅：搭建多节点 BGP 网络

2026-03-06T04:04:21.000Z

前言

本文用以记录自己加入 DN42 网络的历程，本人是初入 BGP 的小白，对于文章中出现的各种不严谨内容和各种低级错误，请大佬们手下留情，可在评论区指出。

欢迎和我 Peer：VCNET DN42

注册

iYoRoy 的博客有详细的过程，我就不再重复了：DN42探究日记 - Ep.1 加入DN42网络。

选择 BGP Daemon

参考各位大佬的教程，我决定使用 Bird v3 为我的 BGP Daemon，以 Debian 13 为例：

apt update
apt -y install apt-transport-https ca-certificates wget
wget -O /usr/share/keyrings/cznic-labs-pkg.gpg https://pkg.labs.nic.cz/gpg
echo "deb [signed-by=/usr/share/keyrings/cznic-labs-pkg.gpg] https://pkg.labs.nic.cz/bird3 trixie main" > /etc/apt/sources.list.d/cznic-labs-bird3.list
apt update && apt -y install bird3 wireguard wireguard-tools

Debian 软件源中的 Bird 版本比较旧，需要安装上面的最新版

其他系统及 Bird v2 软件源可查看：CZ.NIC Labs 📦 Repos Setup Docs

bird.conf

修改 /etc/bird/bird.conf：

define OWNAS =  4242423322;
define OWNIP =  172.23.100.180;
define OWNIPv6 = fd48:8669:9f9f::8;
define OWNNET = 172.23.100.160/27;
define OWNNETv6 = fd48:8669:9f9f::/48;
define OWNNETSET = [172.23.100.160/27+];
define OWNNETSETv6 = [fd48:8669:9f9f::/48+];

router id OWNIP;

protocol device {
  scan time 10;
}

function is_self_net() {
  return net ~ OWNNETSET;
}

function is_self_net_v6() {
  return net ~ OWNNETSETv6;
}

function is_valid_network() {
  return net ~ [
  172.20.0.0/14{21,29}, # dn42
  172.20.0.0/24{28,32}, # dn42 Anycast
  172.21.0.0/24{28,32}, # dn42 Anycast
  172.22.0.0/24{28,32}, # dn42 Anycast
  172.23.0.0/24{28,32}, # dn42 Anycast
  172.31.0.0/16+,       # ChaosVPN
  10.100.0.0/14+,       # ChaosVPN
  10.127.0.0/16{16,32}, # neonetwork
  10.0.0.0/8{15,24}     # Freifunk.net
  ];
}

function is_valid_network_v6() {
  return net ~ [
  fd00::/8{44,64} # ULA address space as per RFC 4193
  ];
}

protocol kernel {
  scan time 20;
  ipv6 {
    import none;
    export filter {
      if source = RTS_STATIC then reject;
      krt_prefsrc = OWNIPv6;
      accept;
    };
  };
};

protocol kernel {
  scan time 20;
  ipv4 {
    import none;
    export filter {
      if source = RTS_STATIC then reject;
      krt_prefsrc = OWNIP;
      accept;
    };
  };
}

protocol static {
  route OWNNET reject;
  ipv4 {
    import all;
    export none;
  };
}

protocol static {
  route OWNNETv6 reject;
  ipv6 {
    import all;
    export none;
  };
}

include "rpki.conf";
include "ospf.conf";
include "ibgp.conf";
include "ebgp.conf";

首先修改自己的网络信息：

OWNAS 修改为你的 ASN，如：4242423322
OWNIP 修改为此节点所分配的 IPv4 地址，如：172.23.100.180
OWNIPv6 修改为此节点所分配的 IPv6 地址，如：fd48:8669:9f9f::8
OWNNET 修改为你所拥有的 IPv4 网段，如：172.23.100.160/27
OWNNETv6 修改为你所拥有的 IPv6 网段，如：fd48:8669:9f9f::/48
OWNNETSET 和 OWNNETSETv6 同上两个，但不要忘记末尾的 +

rpki.conf

修改 /etc/bird/rpki.conf：

roa4 table dn42_roa;
roa6 table dn42_roa_v6;

protocol rpki dn42_rpki {
  roa4 { table dn42_roa; };
  roa6 { table dn42_roa_v6; };
  remote "rpki.akae.re" port 8082;
  refresh 30;
  retry 5;
  expire 600;
}

什么是 ROA

ROA是数字签名对象，将地址绑定到AS号码，并由地址持有者签名。ROA提供了一种验证IP地址块持有者是否已授权特定AS在域间路由环境中为该地址块发起路由的方法。[RFC6482]中描述了ROA。ROA旨在满足为域间路由添加安全性的要求。

为 DN42 启用 ROA 检查，能有效防止 BGP 劫持和错误配置导致的路由泄露，而使用 RPKI，为我们省去了手动配置 ROA 表和更新的麻烦.

ebgp.conf

修改 /etc/bird/ebgp.conf：

template bgp dn42_peers {
  local as OWNAS;
  path metric 1;

  ipv4 {
    extended next hop;
    #import limit 1000 action block; #限制从他人哪里导入路由的数量
    import keep filtered;
    import filter {
      if is_valid_network() && !is_self_net() then {
        if (roa_check(dn42_roa, net, bgp_path.last) != ROA_VALID) then {
          print "[dn42] ROA check failed for ", net, " ASN ", bgp_path.last;
          reject;
        }
        accept;
      }
      reject;
    };
    export filter {
      if is_valid_network() && source ~ [RTS_STATIC, RTS_BGP] then accept;
      reject;
    };
  };

  ipv6 {
    #import limit 1000 action block;
    import keep filtered;
    import filter {
      if is_valid_network_v6() && !is_self_net_v6() then {
        if (roa_check(dn42_roa_v6, net, bgp_path.last) != ROA_VALID) then {
          print "[dn42] ROA check failed for ", net, " ASN ", bgp_path.last;
          reject;
        }
        accept;
      }
      reject;
    };
    export filter {
      if is_valid_network_v6() && source ~ [RTS_STATIC, RTS_BGP] then accept;
      reject;
    };
  };
}

include "dn42_peers/*";

此文件定义了和他人互 Peer 的模板并启用了 ROA 过滤，和他人互 Peer 的配置保存在 /etc/bird/dn42_peers 内。

系统配置

sysctl

请千万、千万、千万，一定要确保 rp_filter 关闭

在 DN42 内，每个节点几乎都是其他人的路由器，而系统默认并不允许数据包转发并且有严格的数据包过滤，因此需要如下设置：

Debian 13 放弃了 /etc/sysctl.conf，改为 /etc/sysctl.d/ 目录下的配置文件，因此我们需要在 /etc/sysctl.d/ 下新建 99-dn42.conf：

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.d/99-dn42.conf
echo "net.ipv6.conf.default.forwarding=1" >> /etc/sysctl.d/99-dn42.conf
echo "net.ipv6.conf.all.forwarding=1" >> /etc/sysctl.d/99-dn42.conf
echo "net.ipv4.conf.default.rp_filter=0" >> /etc/sysctl.d/99-dn42.conf
echo "net.ipv4.conf.all.rp_filter=0" >> /etc/sysctl.d/99-dn42.conf
echo "net.ipv4.conf.*.rp_filter=0" >> /etc/sysctl.d/99-dn42.conf
sysctl --system

尤其需要注意 ~~人品过滤器~~ rp_filter，有时 ping 不通他人很可能就是它导致的。

如果你不放心，可使用下面的 bash 脚本一键将 dn42 开头的网卡的 rp_filter 关闭：

#!/bin/bash
for net_dev in /proc/sys/net/ipv4/conf/dn42*/rp_filter; do
    echo 0 > "$net_dev"
done

Dummy 网卡

我们需要一个 Dummy 网卡绑定本机的 DN42 网络信息，在此，我选择使用 ifupdown 来统一配置我的所有节点。

编辑 /etc/network/interfaces：

auto dn42
iface dn42 inet static
    address 172.23.100.180
    netmask 255.255.255.255
    pre-up ip link add dn42 type dummy || true
    up ip link set dn42 up
iface dn42 inet6 static
    address fd48:8669:9f9f::8/128

请记得修改为自己的 IP。

使用 ifup dn42 与 ifdown dn42 启用 & 禁用网卡。

容器

根据我自己的经验，我更推荐 Podman 而非 Docker。我曾花了两天时间解决无法对外 ping 的问题，最后发现是 Docker 的 iptables 规则引起的。如果你一定要用 Docker 且遇到类似问题，可尝试添加下面的 iptables 规则：

iptables -I DOCKER-USER 1 -i dn42+ -o zt+ -j ACCEPT
iptables -I DOCKER-USER 1 -i zt+ -o dn42+ -j ACCEPT

ip6tables -I DOCKER-USER 1 -i dn42+ -o zt+ -j ACCEPT
ip6tables -I DOCKER-USER 1 -i zt+ -o dn42+ -j ACCEPT

与他人互 Peer

WireGuard

与他人互 Peer 之前，通常需要双方建立 P2P 隧道，其原因可以借用蓝天的原话：

DN42 中几乎每个 Peering 都是建立在隧道软件（即 VPN）之上的，原因如下：
DN42 各个用户的节点分布在世界各地，隧道软件可以对数据进行基本的加密和保护；
DN42 使用的是私有地址，如果直接在互联网上传输，会被防火墙直接丢弃，甚至可能会被主机商认为你在 IP Spoofing（伪造来源 IP 地址），违反服务条款，造成严重后果。

而 DN42 的参与者们用的最多的就是 WireGuard 和 GRE/IPSec，而前者配置较为简单，也有一定的加密能力。

生成密钥对

1	wg genkey \| tee privatekey \| wg pubkey > publickey

请保存好自己的公私钥。

互 Peer

对于新人，可以通过 potat0 的 Telegram 机器人自动 Peer：@Potat0_DN42_Bot，亦或是 iEdon 的网自动 Peer：iEdon Net，还有 Kioubit 的网页自动 Peer：Kioubit Network.

互 Peer 信息

通过自动机器人或网页，亦或是他人的主页，我们既需要获得对方如下信息，也需要给对方提供自己的如下信息：

公钥
公网地址（Endpoint）
DN42 的 ASN
IPv6 LLA
是否支持ENH(Extended Next Hop)，注意：若使用v6交换路由而不启用ENH则无法交换v4路由

在获得了对方上述信息后，我们需要在 /etc/wireguard 下创建一个文件，我的命名习惯为：dn42-424242XXXX.conf，填入如下内容：

# 424242XXX - @YYY   # 对方的 ASN 及联系方式，方便后期查找
[Interface]
ListenPort = <开放给对方的端口 UDP>
Table = off
MTU = 1420 # MTU，一般不需要修改
#将私钥存放到 /etc/wireguard/dn42-privatekey 不需要每次都复制一遍
PostUp = wg set %i private-key /etc/wireguard/dn42-privatekey
PostUp = ip addr add <你的 LLA 地址>/64 peer <对方的 LLA 地址>/64 dev %i
PostUp = ip addr add <你的 ULA 地址>/128 dev %i
PostUp = ip addr add <你的 IPv4 地址>/32 dev %i
[Peer]
PublicKey = <对方的公钥>
Endpoint =  <对方提供给你的 Endpoint>
AllowedIPs = 172.20.0.0/14, 10.0.0.0/8, 172.31.0.0/16, fd00::/8, fe80::/64

关于端口，有一个通常做法：20000 + 对方 ASN 后四位

完整示例

如何在 Linux 下玩原神？

2026-02-19T10:18:56.000Z

此文会持续更新，旧内容仅供参考，请以最新内容为准。

版本

6.4

26.03.14 更新

目前，绝大部分版本的 wine 都可以某种方式启动游戏，但大都会出现 MHYBase.dll 引起的崩溃。

请使用 AAGL 和 spritz-wine-tkg-staging-wow64-10.15-7 的方案，高于此版本的 wine 脚本无效。

通过下面的脚本启动 AAGL 并启动游戏：

#!/bin/bash
#
# AAGL Race Condition Workaround Script
# Description: A robust workaround for game crashes caused by a race condition during initialization.
# Usage: ./aagl-fix.sh
# Author: Harmiel715
# Version: 1.1

# --- Configuration ---
STRACE_CMD="strace -f -e trace=process -o /dev/null an-anime-game-launcher"
ESCORT_DURATION=60
GAME_PROCESS_NAME="YuanShen.exe"
LAUNCHER_PROCESS_NAME="an-anime-game-launcher"
POLLING_INTERVAL=5 # Polling interval in seconds

# --- Variables ---
STRACE_PID=""
KILLER_PID=""

# --- Cleanup Function ---
cleanup() {
  echo "[Fix Script] Exit signal received, cleaning up..."
  if [ ! -z "$KILLER_PID" ] && ps -p $KILLER_PID >/dev/null; then
    kill -9 $KILLER_PID
  fi
  if [ ! -z "$STRACE_PID" ] && ps -p $STRACE_PID >/dev/null; then
    kill -9 $STRACE_PID
  fi
  pkill -9 -f "$LAUNCHER_PROCESS_NAME"
  echo "[Fix Script] Cleanup complete."
}
trap cleanup EXIT SIGINT SIGTERM

# 1. Start the escort and the launcher
echo "[Fix Script] Escort enabled..."
$STRACE_CMD &
STRACE_PID=$!
echo "[Fix Script] Escort process PID: $STRACE_PID"

# 2. Main monitoring loop
echo "[Fix Script] Waiting for you to start the game from the launcher..."

while ps -p $STRACE_PID >/dev/null; do
  if pgrep -f $GAME_PROCESS_NAME >/dev/null; then
    # State: In-Game
    if [ -z "$KILLER_PID" ]; then
      echo "[Fix Script] Game process detected! Starting $ESCORT_DURATION-second separation countdown..."
      # Start a "timed killer" in the background, its only job is to kill strace
      (sleep $ESCORT_DURATION && kill -9 $STRACE_PID) &
      KILLER_PID=$!
      echo "[Fix Script] Detach program deployed, PID: $KILLER_PID"
    fi
  else
    # State: In-Launcher (or game not started)
    if [ ! -z "$KILLER_PID" ]; then
      echo "[Fix Script] Game has been exited. Revoking detach program..."
      if ps -p $KILLER_PID >/dev/null; then
        kill -9 $KILLER_PID
      fi
      KILLER_PID=""
      echo "[Fix Script] Reset. Ready to relaunch the game."
    fi
  fi
  sleep $POLLING_INTERVAL
done

# When the strace process ends (either killed or the user closed the launcher), the script will arrive here.
# We perform a final, failsafe cleanup here.
echo "[Fix Script] Escort task finished. Performing final cleanup."
pkill -9 -f "$LAUNCHER_PROCESS_NAME"

exit 0

Linux 上 iBasso DC04U 原生 DSD 直出指南

2026-02-08T08:32:34.000Z

26.2.13 更新：更新信息与配置

起源

今年年初我入手了飞傲 JT7 和 iBasso DC04U。在安卓下两者配合使用没有问题，但把 DC04U 接到 Linux 上时，却发现无法直出 DSD。

最后发现设备太新，没有收录到 Linux 内核中，但在 7.0 版本之后就不再需要下面的 patch 了，仅做记录

为设备添加 patch

为 Alpine 提供 ZeroTier

2026-02-01T14:36:47.000Z

Background

ZeroTier One 的包在 v3.17 之后就因软件包 License 问题就从 community 仓库删除了，而且官方也没有提供 Alpine Linux 的软件包

又双叒叕因为 Alpine Linux 是基于 musl 而非 libc，所以需要我们自己手动编译

太长不看版

为了节省时间，我自建了一个 ZeroTier for Alpine Linux 的源，复制粘贴下面三条指令即可通过软件包管理器安装：

添加公钥（自建仓库）：
#
添加源：
#
更新 & 安装：
#

其他信息请到 https://mirror.vconet.top 查看

自建源

手动编译

准备环境

如果你的 Alpine

Linux 实例性能不够，请使用虚拟机或 Docker/Podman 先创建一个 Alpine Linux 环境

准备源码

wget https://github.com/zerotier/ZeroTierOne/archive/refs/tags/1.16.0.tar.gz

tar xvf 1.16.0.tar.gz

cd ZeroTierOne-1.16.0

安装依赖

编译

使用

在 Alpine Linux 实例上安装必要的依赖：

建议把编译好的 zerotier-one、zerotier-cli、zerotier-idtool 上传到 Alpine Linux 的 /usr/sbin 下，搭配下面的 OpenRC 脚本使用：

#!/sbin/openrc-run

depend() {
    need net
    after firewall
}

command="/usr/sbin/zerotier-one"
command_background="yes"
pidfile="/run/$RC_SVCNAME.pid"

在 Linux 下访问 Radmin LAN 网络

2025-11-19T09:38:13.000Z

众所周知，Radmin LAN 并没有 Linux 版本，而有时仍需要访问对方的 Radmin LAN 网络，本文提供一种可行方案：

让 Linux 通过一台 Windows Server 主机做 NAT 转发，借此访问整个 Radmin LAN 网段。

这个办法也适用于类似的虚拟组网应用

先决条件

你需要有一个 Server 版 Windows
普通版本 Windows 可尝试对 Radmin VPN 网卡网络共享

具体方法

告别重启：Linux 下的 NVIDIA 显卡直通

2025-09-23T11:06:11.000Z

缘起

自前年全面从 Windows 转到 ArchLinux 之后，我的的大部分时间都在 Linux 下，但为了运行 CAD、打游戏，我不得不选择双系统方案

双系统虽然能解决软件兼容性的问题，但每次切换都需要重的体验很割裂，那么虚拟机呢？

行，也不行。虚拟机虽然能跑上面的应用，但那羸弱的 3D 性能，也就只能跑一些 wine 运行不了的软件

这么一来，显卡直通就成了唯一可行的方案

网上显卡直通的教程有很多，其中 Lan Tian 的教程就很不错，但这些教程都有一个共性：显卡在开机时就已经屏蔽了 NVIDIA 驱动，并将其交给了 vfio-pci

这就意味着，每次开机后，如果不先手动卸载 vfio-pci 并重新加载 NVIDIA 驱动，我就无法在 Linux 下使用独显

然而，我并不是每次开机都要运行虚拟机。毕竟当下 Linux 的软件生态已经相当完善，许多游戏也能借助 Wine 与 Proton 顺畅运行。对我而言，更迫切的需求是：找到一种办法，让 NVIDIA 显卡能够在无需重启的情况下自由切换

下文方案的前部分教程和网上的许多教程大体上一致

先决条件

本文是基于 Optimus MUXed 架构的笔记本（型号 Lenovo Legion y7000p 2024，仅供参考）

安装好 libvirt，需要新建一台正常的 UEFI 启动的 Windows 虚拟机

如果你在后续直通和安装驱动时有问题，可尝试关闭虚拟机的安全启动

配置宿主机

为了让虚拟机可以使用宿主机的 PCIe 设备，需要用到 IOMMU和vfio-pci 模块

启用IOMMU

为什么要用IOMMU

当操作系统在虚拟机内运行时（包括使用半虚拟化的系统，例如Xen），其通常不知道它要访问的内存的主机物理地址。这使其难以直接访问计算机硬件，因为如果客户机系统尝试用客户机的物理地址进行直接存储器访问（DMA）来吩咐硬件，其可能损坏内存数据，因为硬件不知道给定虚拟机客户机物理地址与主机物理地址之间的映射关系。而由管理程序或主机操作系统介入I/O操作来应用翻译则可以避免损坏，但会增加此I/O操作的延迟。
IOMMU可以依靠将客户机物理地址映射到主机物理地址的相同或兼容转换表重映射硬件访问地址，从而解决延迟问题。

首先，要确保你的 BIOS 已经开启了 VT-x 或者 AMD-v 虚拟化

对于 Intel CPU，需要向内核参数中添加 intel_iommu=on 和 iommu=pt

对于 AMD CPU，则需要添加 amd_iommu=on 和 iommu=pt

Grub

使用 Grub 的用户，在 /etc/default/grub 中添加：

# Intel CPU
GRUB_CMDLINE_LINUX_DEFAULT="quiet intel_iommu=on iommu=pt ..."

# AMD CPU
GRUB_CMDLINE_LINUX_DEFAULT="quiet amd_iommu=on iommu=pt ..."

UKI

使用 UKI 的用户，在 /etc/kernel/cmdline 中添加：

1	root=UUID=... rw splash loglevel=3... intel_iommu=on iommu=pt

设置 VFIO

修改 mkinitcpio

为了使用 VFIO，我们需要调整 VFIO 和 NVIDIA 驱动的顺序，修改 /etc/mkinitcpio.conf：

1
2
3

MODULES=(vfio_pci vfio vfio_iommu_type1 nvidia nvidia_modeset nvidia_uvm nvidia_drm)
# 如果你的内核版本小于 6.2, 那你可你需要添加 vfio_virqfd 这个模块
# 为了在有需要的时候才直通显卡，需要保留此处的 nvidia 驱动

重新生成 Initramfs：

至此，宿主机的配置就算完成了

配置虚拟机

这部分我会略去一些特殊情况和问题，如果有没办法解决的问题，可以去看看 Lan Tian 的两篇教程

反虚拟化

为了避免某些应用的虚拟机检测，需要编辑虚拟机的XML，在段内添加以下内容：

<features>
    <acpi/>
    <apic/>
    <hyperv mode="custom">
        ...
    hyperv>
    
    <kvm>
      <hidden state="on"/>
    kvm>
    
    <vmport state="off"/>
  features>

添加假电池

在直通后，虚拟机并不能直接使用 NVIDIA 显卡，可能是由于笔记本的限制，显卡只有在有假电池的情况使用

在段添加自定义的 qemu 指令：


<domain xmlns:qemu="http://libvirt.org/schemas/domain/qemu/1.0" type="kvm">
  ...
  <qemu:commandline>
    <qemu:arg value="-acpitable"/>
    <qemu:arg value="file=/opt/UserItems/ssdt.dat"/>
  qemu:commandline>
domain>

上面 /opt/UserItems/ssdt.dat 为修改后的ACPI表，来自 Lan Tian 的教程

添加 PCIe

依旧是在段内添加：

<domain xmlns:qemu="http://libvirt.org/schemas/domain/qemu/1.0" type="kvm">
    ...
    <hostdev mode='subsystem' type='pci' managed='yes'>
      <source>
        <address domain='0x0000' bus='0x01' slot='0x00' function='0x0'/>
      source>
      <rom bar='off'/>
      <address type='pci' domain='0x0000' bus='0x01' slot='0x00' function='0x0' multifunction='on'/>
    hostdev>
    
<memballoon model="none"/>
    ...
domain>

请确保显卡的总线只能是上面的，如果提示冲突，请删掉占用这个地址的那个设备的

段，让其重新分配一个新的地址

启动直通！

目前，配置好的虚拟机还不能启动，现在需要我们先手动卸载 NVIDIA 驱动，将 NVIDIA 交给 VFIO

手动切换显卡

手动关闭所有占用 NVIDIA 显卡的进程，进程可通过 lsof 查看：
$
暂停 nvidia 服务：
$
卸载 NVIDIA 驱动：
$
绑定 VFIO：
$
此处的 ids=xxx 需要所有的 NVIDIA 设备都交给 VFIO，通过 lspci -nn | grep NVIDIA 查看，多个设备使用 , 分隔
我的设备在 Linux 下只有 VGA，并没有出现 Audio 设备

完成上面的步骤后，通过下面的指令查看显卡是否成果交给 VFIO：

如果出现类似下面的信息，即为成功：

1 2	[ 170.607580] vfio-pci 0000:01:00.0: vgaarb: VGA decodes changed: olddecodes=none,decodes=io+mem:owns=none [ 170.607741] vfio_pci: add [10de:28e0[ffffffff:ffffffff]] class 0x000000/00000000

此时，可以开启虚拟机了

画面显示

为了把虚拟机的画面传输到宿主机，大体上有两种方法：

使用 Sunshine、Parsec 串流
Looking Glass 直出画面

无论上面那种方法，都需要先安装一个虚拟显示器软件比如 VDD，串流方案比较简单，不需要再配置虚拟机

Looking Glass

我在这里介绍一下 Looking Glass 方案，虚拟机上只需要安装 Looking Glass Host 版，宿主机上的配置有下面两种办法

KVMFR

这是官方推荐的方案，通过 DMA 传输数据，能提供更好的画面和更好的帧率

安装模块

设置开机加载 kvmfr 模块，创建 /etc/modules-load.d/looking-glass.conf：
1
kvmfr
创建 /etc/modprobe.d/looking-glass.conf 内容如下：
1
options kvmfr static_size_mb=计算出的数值
数值的计算方法：${\frac{分辨率宽\times 分辨率高\times4\times2}{1024\times1024}}$，将计算出的结果以 ${2^n}$ 向上取整的整数
如分显示器辨率为 2560x1600，其结果为：
$${\frac{2560\times1600\times4\times2}{ 1024 \times 1024 } =31.25}$$
最接近 31.25 的是 ${2^6= 64}$，因此上面的值为 64
给 /dev/kvmfr0 赋予访问权，创建 udev 规则 /etc/udev/rules.d/99-kvmfr.rules：
1
SUBSYSTEM=="kvmfr", OWNER="qemu", GROUP="kvm", MODE="0660"
其中的 OWNER 不要写任何 uid > 1000 的用户，不然该 udev 规则不会生效，请确保当前用户在 kvm 组内，重启后生效

设置虚拟机

编辑虚拟机的 XML，在段内添加以下内容：

  ...
  <qemu:commandline>
    <qemu:arg value="-acpitable"/>
    <qemu:arg value="file=/opt/UserItems/ssdt1.dat"/>
    
    <qemu:arg value="-device"/>
    <qemu:arg value="{'driver':'ivshmem-plain','id':'shmem0','memdev':'looking-glass'}"/>
    <qemu:arg value="-object"/>
    <qemu:arg value="{'qom-type':'memory-backend-file','id':'looking-glass','mem-path':'/dev/kvmfr0','size':67108864,'share':true}"/>
    
  qemu:commandline>
domain>

修改客户端

修改全局设置 /etc/looking-glass-client.ini：

1 2	[app] shmFile=/dev/kvmfr0

如果使用该方案，就不能使用 virtiofs 共享文件，只能选择 SMB、NFS 或者硬盘直通，如果就是想用 virtiofs，那需要使用下面的方案

shmem

编译虚拟机的 XML，在段内添加：

        ...
        <shmem name='looking-glass'>
          <model type='ivshmem-plain'/>
          <size unit='M'>64size>
        shmem>
    device>
    ...
domain>

修改权限，创建 /etc/tmpfiles.d/looking-glass.conf：
1
f /dev/shm/looking-glass 0660 vconet kvm -
请把 vconet 改为自己的用户名，运行 sudo systemd-tmpfiles /etc/tmpfiles.d/looking-glass.conf --create 生效

之后你可以添加 virtiofs 了，大概… （我没有测试）

键鼠

这一部分是为了解决 Looking Glass 糟糕的键鼠性能：丢包，根本没法玩游戏

解决办法比较粗暴，我有一套单独的键鼠，直通后不影响笔记本的键盘和触控板

为了保证随时可以切换连接状态，不应在 virt-manager 里直接添加 USB 主机设备，而是用 virsh 这个 CLI 工具

连接：

断开：

定义键鼠的 XML 格式如下：

<hostdev mode="subsystem" type="usb" managed="yes">
    <source>
    <vendor id="0x3554"/>
    <product id="0xfa09"/>
    source>
hostdev>

重新启用 NVIDIA 显卡

至此，虚拟机已经用上 NVIDIA 显卡了，但如何把显卡重连回 Linux？

步骤和上面的差不多

卸载 vfio-pic 驱动：
$
重新加载 NVIDIA 驱动：
$
重启 nvidia 服务：
$

GUI

虽然上面的方法实现了自由切换，但我不想每次都手动完成

于是，我用 PySide6 写了一个简单的 GUI 用来简化流程，毕竟点点点总比一个个输方便

toolbox

我把它放在 Github 上了，有需要的可以自行下载使用

结尾

文章到这里就暂时结束了，如果我后期有什么新的需求，会在继续这里更新
后续可能更新 Apparmor 和 Samba 相关的部分…

NEC 8小主机：打通 PVE 内外网

2025-09-14T11:41:53.000Z

前言

本文记录了我在 NEC 8代小主机上折腾 PVE 的过程，也希望能为想搭建类似内外网环境的朋友提供一些思路

需求

使用 vconet.top 这个我拥有的域名，给本地服务都用上 SSL、同时异地组网实现在外访问本地服务，还需要把一些服务公布到互联网上

与此同时，还要保证在各个网络环境下都能保持一致的 URL

配置 PVE

PVE 的安装和基本配置教程网上有很多，不再复述

NAT！

出于种种原因，我在 PVE 上额外划分了一个 10.22.33.0/24 网段，用于虚拟机和 LXC 容器

配置 SDN

创建 Simple 区域

转到 数据中心 ➡️ SDN ➡️ 区域 ➡️ 添加 ➡️ Simple

填一个名称，勾选高级并启用自动 DHCP

创建 VNets

转到 数据中心 ➡️ SDN ➡️ VNets ➡️ 创建

填写名称和区（刚才创建的 Simple 名称）

创建子网

在 VNets 右边的子网创建新子网，填写子网网段和网关，在 DHCP 范围选项卡内填写 DHCP 的 IP 范围

应用更改

转到 数据中心 ➡️ SDN，点击左上角的应用

启用 DHCP

要使 PVE 能真正的提供 DHCP 服务，需要在 PVE 上安装 dnsmasq 并禁用自带的服务

1 2	apt install dnsmasq systemctl disable --now dnsmasq

自定义 DNS

因为内外网的 DNS 记录不一样，需要给10.22.33.0/24网段内的虚拟机和 LXC 提供自定义的 DNS 服务器，我将会在下文给出的 Co re + Powerdns 方案

为了让 dnsmasq 能在提供 DHCP 的同时，提供自定义 DNS，需要编辑 /etc/pve/sdn/subnets.cfg 文件，添加 dhcp-dns-server 选项

subnet: pvenet-10.22.33.0-24
        vnet vnet
        dhcp-range start-address=10.22.33.2,end-address=10.22.33.253
        gateway 10.22.33.1
        snat 1
        dhcp-dns-server 10.22.33.200 #你所需的 DNS 服务器 IP

防火墙

目前我并没有防火墙的需求，暂时跳过

内网域名解析

为了提供 vconet.top 等 TLD 域名的内部解析，需要一个自己的 DNS 服务器，同时还要方便维护

可以实现上面需求的，可选方案有很多：CoreDNS（两种方案）、Powerdns、TechnitiumDNS，甚至小米路由器自带的 自定义 Hosts 功能也能满足需求

自定义 DNS 怎么选？

简单记录

如果你只需要简单的 xx.vconet.top对应 ip，那么大可选择小米路由器自带的 自定义 Hosts 功能，亦或是 CoreDNS（方案一）

该方案用到 CoreDNS的 hosts功能：

.:53 {
    # lan.hosts为你需要的解析，格式和 hosts 文件一致
    hosts /etc/CoreDNS/lan.hosts {
       fallthrough
    }
    forward . 223.5.5.5 119.29.29.29
    log
    cache
    errors
}

复杂记录

如果不仅仅需要 A 记录，还需要 PTR、MX 等，就需要 CoreDNS（方案二）、Powerdns、Technitiumdns 这些权威 DNS 了

CoreDNS（方案二）需要用到 CoreDNS 的 file功能：

. {
    forward . 223.5.5.5
    log
    errors
}
vconet.top {
    file /etc/CoreDNS/DOMAIN.zone #域名的Zone文件
    log
    errors
}

Powerdns、Technitiumdns 有对应的 Web 管理页面，直接添加就可

如果选择权威 DNS 给 vconet.top 做解析，且如果本地 DNS 的记录不全，解析时会返回 NXDOMAIN

权威 DNS 在查询到不存在的记录时，会直接返回 NXDOMAIN，而不会继续向上递归查询，这可能导致内外网记录解析失败：

graph LR    ldns --本地IP--> id1[Client]    id1 --"local.vconet.top(存在于本地DNS)"-->ldns["本地 DNS"]        ldns--NXDOMAIN-->id2[Client]    id2 --"blog.vconet.top(不存在于本地)"--> ldns    ldns x--"向上查找blog.xx"--x rdns["公共 DNS"]

解决 NXDOMAIN

对于 Technitiumdns，你可以在创建新域名的时候，选择 条件转发

对于 CoreDNS（方案二），需要自己编译含有 alternate 插件的 CoreDNS：

vconet.top {
    file /etc/CoreDNS/DOMAIN.zone #域名的Zone文件
    alternate NXDOMAIN . 223.5.5.5 119.29.29.29
    log
    errors
}

我的方案

因需要给 PVE 提供 DNS 相关服务，只能选择 Powerdns 解析内网记录，而 Powerdns 本身只用能作权威 DNS，还需要搭配 powerdns-recurosr 之类的前置

但 recursor 并不能非常方便的解决上面 NXDOMAIN 的问题，因此我选择 CoreDNS 而非 powerdns-recursor

CoreDNS 配置：

####################
# 修改 /etc/coredns/Corefile 文件
# 127.0.0.1:54 为 Powerdns
####################

vconet.top {
    forward . 127.0.0.1:54 {
        policy sequential
    }
    alternate NXDOMAIN . 223.5.5.5 119.29.29.29
    log
    errors
}

####################
# 这两部分是用于 PVE 实例的反向查询和内网域名解析
33.22.10.in-addr.arpa {
    forward . 127.0.0.1:54
    log
    errors
}
pve.lan {
    forward . 127.0.0.1:54
    log
    errors
}
####################

# 其他请求
.:53 {
    #bind 10.22.33.200
    forward . 223.5.5.5 119.29.29.29
    cache
    log
    errors
}

Powerdns 配置：

# 在 /etc/powerdns/pdns.conf 下追加下面这一段

# AXFR
allow-axfr-ips=10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
# DNS UPDATE
allow-dnsupdate-from=10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
# DNS Notify
allow-notify-from=10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
# 是否允许未签名 Notify
allow-unsigned-notify=no
# 额外通知服务器
#also-notify=10.0.0.10,192.168.31.10,[fc00::1]

#daemon 启动
daemon=yes
disable-axfr=no
guardian=no
#是否master
master=yes
#是否slave
slave=no
#启动权限
setgid=pdns
setuid=pdns
#打印日志
log-dns-details=yes
log-dns-queries=no
loglevel=6
log-timestamp=yes
logging-facility=0
#开启api
api=yes
api-key=非常长的随机字符串
#启动webserver 监控
webserver=yes
webserver-address=0.0.0.0
webserver-allow-from=0.0.0.0/0
webserver-port=9190
#监听的地址端口
local-address=0.0.0.0
local-port=54
#记录query 日志
query-logging=yes

请把api-key、local-port、webserver-port修改为自己所需的值

打通内外网

在这一部分开始之前，我需要介绍一下我的网络拓展：

graph TD    %% ISP 到家庭网络    ISP((ISP))    WIFI[小米路由器
192.168.31.0/24]    %% 局域网    NB[笔记本 
192.168.31.10]    PVE[PVE 宿主机
192.168.31.210]    %% PVE 内部网络    SUBNET1[[内部网络
10.22.33.0/24]]    VM1["虚拟机1(核心)
10.22.33.200"]    VM2["虚拟机2(Docker服务)"]    LXC1["LXC 1"]    LXC2["LXC 2"]    %% ZeroTier 网络    ZT[[ZeroTier 网络
192.168.192.0/24]]    %% 拓扑关系    ISP --> WIFI    WIFI --> NB    WIFI --> PVE    PVE --> SUBNET1    SUBNET1 --> VM1    SUBNET1 --> VM2    SUBNET1 --> LXC1    SUBNET1 --> LXC2    VM1 <--> ZT

本地访问

在前面配置中，我们已经在 NAT 环境下新增了一层虚拟网络

接下来要解决的问题是：如何让 192.168.31.0/24 网段内的设备能够访问 10.22.33.0/24 网段的虚拟机和 LXC 容器？

静态路由

什么是路由？

网络路由是选择一个或多个网络上的路径的过程。路由原理可以应用于从电话网络到公共交通的任何类型的网络。在诸如互联网等数据包交换网络中，路由选择互联网协议 (IP) 数据包从其起点到目的地的路径。这些互联网路由决定由称为路由器的专用网络硬件做出。

为了实现这个需求，需要在自己的路由器里添加一条静态路由：

其目标地址为 10.22.33.0，网关为 PVE 的 IP 192.168.31.210，掩码为 255.255.255.0

小米 AX3000T 在开启 ssh 服务后，编辑 /etc/config/network和防火墙 /etc/config/firewall：

# /etc/config/network
# 添加新的静态路由，格式如下
config route
        option interface 'lan'
        option target '10.22.33.0'
        option netmask '255.255.255.0'
        option gateway '192.168.31.210'
        
# /etc/config/network
# 请看准是否为 defaults 部分的防火墙配置！
# 将 forward 改为 ACCEPT
config defaults
        option syn_flood '0'
        option input 'ACCEPT'
        option output 'ACCEPT'
        option forward 'ACCEPT'
        ...

请自行查找其他路由器添加静态路由的方法

生效后，Linux 效果如下

1
2
3

user@archlinux$ route -n
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
10.22.33.0      192.168.31.210  255.255.255.0   UG    5000   0        0 wlp9s0

这样我们就实现了 192.168.31.0/24 网段访问 10.22.33.0/24 网段

graph LR    id1["笔记本 192.168.31.10"] --"ping 10.22.33.200"---> id2["路由器 192.168.31.1"] --"下一跳192.168.31.210"-->id3["PVE .31.210和.33.1"]    id3 --获得请求--> id4["虚拟机1（核心）10.22.33.200"] ---> id1

异地组网

异地组网可选的方案有很多，常用的有 Tailscale 和 ZeroTier，在此我选择功能更少的 ZeroTier

Tailscale 有很多独特的功能，其中就有内网 HTTPS，但这个功能不够强大，而且和下面配置的 Nginx 反代服务重复了

上面提到，我的 ZeroTier 是安装在 虚拟机1（核心）里的，这就意味着当我的手机连接到 ZeroTier 后，只能访问 192.168.192.31这个由 ZT 提供的 IP，并不能访问 10.22.33.0/24 网段

解决问题的办法其实很简单，在 ZT 的后台添加一条新的静态路由，但这次的网关是 ZT 提供给虚拟机1（核心）的 IP

ZT添加路由

但此时，我们还并不能 ping 通，因为从 ZT 发来的请求，PVE 接收到后并不知道返回的路由

因此需要在 PVE 宿主机上添加一条路由：

目标地址为 192.168.192.0/24 （ZeroTier 的网段），网关为 10.22.33.200（虚拟机 1 的 IP）

添加为系统服务，自动添加和删除

Linux下使用咸鱼铝合金指纹识别器

2025-08-22T12:18:00.000Z

安装驱动

上游 freedesktop 和 ubuntu 的 libfprint 都不支持我手上这个27C6:5584 指纹识别器，不过万幸 Github 上有一个名为 “Goodix Fingerprint Linux Development ” 的组织，致力于为 Linux 提供汇顶指纹芯片方案的驱动支持

汇顶 Linux 支持情况

下表是支持情况，来自该组织的 Discord

UKI+sbctl：启用 Secure Boot 最简单的方法

2025-02-04T14:38:00.000Z

前情提要

上一篇 Archboot 实现 Secure Boot 自动配置的办法，觉得还是不够简单，而且我现在也不需要通过 Grub 引导 Windows 和其他系统，遂有本文。

正文

在现有系统上抛弃Grub，拥抱统一内核映像（UKI）并启用 Secure Boot

我所使用的内核为 linux-zen，下面的配置请注意修改

修改内核命令行参数

创建/etc/kernel/cmdline如下：

1	root=UUID=系统的分区UUID rw splash loglevel=3

注：Btrfs分区可能需要添加 rootflags=subvol=XXX 的挂载参数，可以在grub生成的文件中寻找

修改 mkinitcpio 预设

编辑/etc/mkinitcpio.d/linux-zen.preset，取消 “PRESET_image=XXX” “PRESET_uki=XXX”的注释，并且修改存储位置，保存到 EFI 分区内

# mkinitcpio preset file for the 'linux-zen' package

ALL_config="/etc/mkinitcpio.conf"
ALL_kver="/boot/vmlinuz-linux-zen"

PRESETS=('default' 'fallback')

###我的EFI分区挂载在/boot下，故作此修改###
#default_config="/etc/mkinitcpio.conf"
#default_image="/boot/initramfs-linux-zen.img"
default_uki="/boot/EFI/Linux/arch-linux-zen.efi"
#default_options="--splash /usr/share/systemd/bootctl/splash-arch.bmp"

#fallback_config="/etc/mkinitcpio.conf"
#fallback_image="/boot/initramfs-linux-zen-fallback.img"
fallback_uki="/boot/EFI/Linux/arch-linux-zen-fallback.efi"
fallback_options="-S autodetect"

构建 UKI

确保 EFI 目录已挂载，运行：

1 2	mkdir -p EFI_MOUNT_POINT/EFI/Linux mkinitcpio -p linux-zen

添加引导

遵循一切从简的理念，使用 efibootmgr 添加引导

efibootmgr --create \
    -d /dev/nvmeXXX -p 1 \
    --label "Arch Linux" \
    --loader "EFI/Linux/arch-linux-zen.efi"
#nvmeXXX EFI分区

签名 UKI

如果此时已经配置好 sbctl 和 Secure Boot，可直接通过 sbctl sign -s /EFI_MOUNT_POINT/EFI/Linux/arch-linux-zen.efi 结束本文
至此，您可以抛弃 Grub 了，享受快人一步的开机😏

通过以下命令删除不再使用的自动签名

1	sbctl remove-file /boot/grub/x86_64-efi/grub.efi

如果还没有安装 sbctl，请继续阅读

设置 Secure Boot

进入设备 BIOS，将 Secure Boot 进入设置模式 Setup Mode

进入Archlinux，安装 sbctl 包，运行

sbctl enroll-keys -m
sbctl sign -s /EFI_MOUNT_POINT/EFI/Linux/arch-linux-zen.efi
# 你也许还需要签名这个（Windows）
sbctl sign -s /EFI_MOUNT_POINT/EFI/Boot/bootx64.efi

重启至 BIOS 开启 Secure Boot

至此，UKI + sbctl 最简单 Secure Boot 设置就大功告成了

Caddy反向代理搭建Mailu邮局踩坑记录

2024-08-14T03:24:00.000Z

网络要求

首先安装docker，并确保服务器的25端口开放，可使用telnet检查

1	telnet smtp.163.com 25

若出现以下信息，证明25端口可用

Trying 111.124.203.45...
Connected to smtp163.mail.ntes53.netease.com.
Escape character is '^]'.
220 163.com Anti-spam GT for Coremail System (163com[20141201])

添加DNS记录

添加A/AAAA记录，解析mail.example.com

安装docker

详细教程请参考Docker CE 软件仓库

生成Mailu配置文件

前往Mailu Setup，根据需求更改

注意：

因为我们要用到Caddy的反代，所以不需要Mailu自动获取Let's Encrypt的证书，需要手动配置，因此Choose how you wish to handle security只能选择mail
Enable Web email client选择一个顺眼的，默认不使用，其他功能按需启用
在Setp 3内，IPv4 listen address请填入本机真实IP，可以是内网IP（一般服务器都有）

修改配置文件

修改Mailu配置

配置完成后点击Setup Mailu，将docker-compose.yml和mailu.env下载到本地进行修改

对于docker-compose.yml

# This file is auto-generated by the Mailu configuration wizard.
# Please read the documentation before attempting any change.
# Generated for compose flavor

services:

  # External dependencies
  redis:
    image: redis:alpine
    restart: always
    volumes:
      - "/mailu/redis:/data"
    depends_on:
      - resolver
    dns:
      - 192.168.203.254

  # Core services
  front:
    image: ghcr.nju.edu.cn/mailu/${DOCKER_PREFIX:-}nginx:${MAILU_VERSION:-2024.06}
    restart: always
    env_file: mailu.env
    logging:
      driver: journald
      options:
        tag: mailu-front
    ports:
    
     #只要不占用Caddy的80/443端口即可！  
      - "172..10.0.1:8080:80"
      - "172..10.0.1:4433:443"
      - "172..10.0.1:25:25"
      - "172..10.0.1:465:465"
      - "172..10.0.1:587:587"
      - "172..10.0.1:110:110"
      - "172..10.0.1:995:995"
      - "172..10.0.1:143:143"
      - "172..10.0.1:993:993"
      - "172..10.0.1:4190:4190"
    networks:
      - default
      - webmail
      - radicale
    volumes:
      - "/mailu/certs:/certs"
      - "/mailu/overrides/nginx:/overrides:ro"
    depends_on:
      - resolver
    dns:
      - 192.168.203.254
......

networks:
  default:
    driver: bridge
    ipam:
      driver: default
      config:
        - subnet: 192.168.203.0/24
  radicale:
    driver: bridge
  webmail:
    driver: bridge
  oletools:
    driver: bridge
    internal: true

只需要在front:里修改80和443的端口即可

对于mailu.env，修改以下内容，防止Caddy反代出现502错误 **！很重要！**折腾了一晚上才搞明白

1
2
3

REAL_IP_HEADER=X-Real-IP
REAL_IP_FROM=172.10.0.1#你的IP地址
TLS_FLAVOR=mail

Caddy反代配置

mail.example.com {
        encode gzip zstd
        tls {
                protocols tls1.3
        }

        header {
                Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" # HSTS
                Referrer-Policy strict-origin-when-cross-origin
                X-Permitted-Cross-Domain-Policies "none"
                X-Frame-Options SAMEORIGIN
                X-Content-Type-Options nosniff
                X-XSS-Protection "1; mode=block"
                -Server
        }

        reverse_proxy 172.16.0.3:8080 #请自行修改
}

接下来，重启Caddy，让Caddy自动获取证书

Caddy 的默认证书目录为 /var/lib/caddy/.local/share/caddy/certificates/

mail.exmaple.com.crt对应/mailu/certs/cert.pem
mail.exmaple.com.key对应/mailu/certs/key.pem

运行Mailu

上传配置，启动docker

1	docker-compose -p mailu up -d

创建管理员账户

1	docker-compose -p mailu exec admin flask mailu admin hi MAIL.EXAMPLE.COM 'PASSWORD'

请修改域名和密码后再运行

配置记录…

下面是更为详细、完整的配置：

Mailu 搭建邮局的不完全指南 - Sanae

安装和配置电子邮件服务端软件 Mailu - CTmH

借助Archboot安装Archlinux并开启安全启动

2024-07-23T02:26:00.000Z

已有更简单的方法，此文仅作参考

Archboot的启动

MOK导入hash

正常情况下，会遇到下面的错误：

按下回车，进入如图界面：

选择Enroll hash from disk

选择以下文件：

ARCHBOOT/EFI/BOOT/内的所有64位efi
ARCHBOOT/boot/vmlinuz-x86_64 ！请一定导入导入此文件！

安装前配置

1. 系统时间&硬盘分区

1	reg add "HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\TimeZoneInformation" /v RealTimeIsUniversal /d 1 /t REG_DWORD /f

使用WinPE提前预留空间并随意创建一个任何格式的分区，方便之后使用。

这一步请在win系统下完成

2. 重启至Archboot

出现下图界面时，按下CTRL-C进入bash

3. 更新时间

1 2	timedatectl set-ntp true timedatectl status

4. 更改镜像源

编辑/etc/pacman.d/mirrorlist，保留一个国内镜像即可。

Server = https://mirrors.tuna.tsinghua.edu.cn/archlinux/$repo/os/$arch
#Server = https://mirrors.ustc.edu.cn/archlinux/$repo/os/$arch
#Server = https://repo.huaweicloud.com/archlinux/$repo/os/$arch 
...

5. 分区（Btrfs）

5.1 格式化分区

nvmeYYY为Arch分区，nvmeXXX为EFI分区。

1 2	mkfs.btrfs -L Arch /dev/nvmeYYY mkfs.vfat -F32 /dev/nvmeXXX

5.2 挂载并创建子卷

注：Archboot的安装程序识别的挂载点是/mnt/install

mount -t btrfs -o compress=zstd /dev/nvmeYYY /mnt/install
btrfs subvolume create /mnt/install/@
btrfs subvolume create /mnt/install/@home
btrfs subvolume create /mnt/install/@swap

5.3 创建挂载点

umount -R /mnt/install
mount -t btrfs -o subvol=/@ /mnt/install
mkdir -p /mnt/install/{boot,swap,home}
umount -R /mnt/install

请务必卸载分区，稍后使用Archboot的安装程序进行挂载，避免出现grub相关错误！

5.4 使用Archboot的安装程序挂载分区

输入setup进入安装程序，选择1. Prepare Storage Device

选择`4. Set Filesystem Mountpoints`

挂载分区，但先不挂载swap分区

选择`Root Partition`

是否格式化，选择No

选择`@`子卷

选择你需要的压缩算法。

选择ESP分区

选择`/boot`

挂载额外分区，过程参考挂载root分区，最后选择DONE，完成挂载

生成fstab：

1	genfstab -U /mnt/install >> /mnt/install/etc/fstab

6. 安装系统

6.1 安装基本包

你既可以使用Archboot的安装程序2. Install Packages，也可以在新的tty窗口自行安装

pacstrap -K /mnt/install base base-devel linux-zen linux-zen-headers btrfs-progs neovim networkmanager terminus-font intel-ucode polkit
#AMD请用amd-ucode
#Archboot默认安装以下包 base linux polkit btrfs-progs dosfstools terminus-font linux-firmware
#这里我自行安装（因为我要用linux-zen）

6.2 配置

可通过Archboot的安装程序进行，也可通过arch-chroot /mnt/install进行

自行配置和各文件样例请移步 archlinux基础安装

MKINITCPIO EARLY USERSPACE安装程序提供Busybox和Systemd，建议选择Systemd

安装引导

借助Archboot的安装程序，选择4. Install BootLoader

**注：当你使用linux-zen时，你需要在下面的grub配置中添加`-zen`后缀，否则无法正常引导**他们分别是：`/vmlinuz-linux`和`/initramfs-linux`，修改为`/vmlinuz-linux-zen`和`/initramfs-linux-zen`

确认秘钥保存位置

自定义CN名

输入MOK导入时需要的密码（简单即可），重复输入两遍

**最后一步：**进入新tty，编辑`/etc/pacman.d/hooks/999-sign_kernel_for_secureboot.hook`更改`Target = linux`为你所用的内核，如`Target = linux-zen`，并重新安装：

1	pacman -S linux-zen

完成kernel签名，重启，进入MOK，导入秘钥：

大功告成：

后续

请自行参阅桌面环境与常用应用安装和我的文章Linux实用建议

高漫M6的Linux版GaomonTablet

2024-06-26T03:07:00.000Z

这是一篇水文~ 记录一下 Linux 下使用手绘板的自定义按键和滚轮

步骤如下

前往 GAOMON Global, 在-- System --中选择linux
找到最近更新的版本, 选择tar.xz包

解压, 并安装
sudo sh ./install.sh

重启

卸载
sudo sh ./uninstall.sh

MinGit安装

2024-06-22T12:20:00.000Z

MinGit安装的排错记录

安装后运行报错

fatal: exceeded maximum include depth (10) while including
        C:/Program Files/Git/etc/gitconfig
from
        C:/Program Files/Git/etc/gitconfig
This might be due to circular includes.

编辑C:/Program Files/Git/etc/gitconfig删除[include]段

git push报错

1	schannel: next InitializeSecurityContext failed: CRYPT_E_NO_REVOCATION_CHECK (0x80092012)

编辑C:/Program Files/Git/etc/gitconfig, 添加:

1 2	[http] sslbackend = openssl

本地https证书
报错SSL certificate problem: unable to get local issuer certificate, 解决办法:

1	git config --global http.sslCAInfo "/path/to/certificate.crt"

git安全警告
报错detected dubious ownership in repository...

1	git config --global --add safe.directory /path/to/your/project

Linux 实用建议

2024-06-21T01:49:00.000Z

Git配置

由于国内GFW的存在，在不用魔法的情况下，很难流畅访问Github

同时，在进行git clone时经常失败，所以需要给git做一点小配置，走ssh而不是默认的http

编辑~/.gitconfig

[url "git@github.com:"]
    insteadOf = https://github.com/
    insteadOf = https://www.github.com/
    insteadOf = http://github.com/
    insteadOf = git@github.com:
[user]
    name = #你的用户名#
    email = #你的邮箱#

添加以上配置

配置ssh key
终端里输入ssh-keygen -t ed25519 -C "#你的邮箱#"一路默认回车即可[^1]
打开~/.ssh/id_ed25519.pub，打开Github SSH GPG keys配置添加刚刚复制的key[^2]

测试：在终端里输入ssh -T git@github.com，得到以下输出即为成功：

1	Hi #你的用户名#! You've successfully authenticated, but GitHub does not provide shell access.

软件

音视频

VLC/mpv
QQ/网易云音乐/Yes Play Music/Spotify

文档

pdf/epub等：Okular
Office：WPS或Libreoffice
对于WPS中设置为粗体的字体糊成一团的问题，请下载旧版freetype，如2.13.0[^3]
Archlinux用户可安装freetype2-wps
P图：GIMP或是Photoshop
看图：Gwenview
截图：flameshot

其他

更好的终端[^4]

安装zsh，通过chsh更改默认shell为/usr/bin/zsh
Konsole需要手动设置更改shell
安装zim
curl -fsSL https://raw.githubusercontent.com/zimfw/install/master/install.zsh | zsh
编辑~/.zimrc
1
2
#添加下面的插件
zmodule romkatv/powerlevel10k
输入zimfw install

KDE 半中半英[^5]

编辑~/.config/plasma-localerc并修改下面两项

[Formats]
LANG=zh_CN.UTF-8

[Translations]
LANGUAGE=zh_CN:en_US

系统字体小修小补

你会发现上面的powerlevel10k安装后，字体显示很怪，需要我们配置一下字体

请参考：

NVdia驱动安装，版本不一，自行搜索

有困难可以看看Arch Wiki