秋晓桃の神秘小窝

Linux 设置 SSH 密钥登录

Fri, 15 May 2026 00:00:00 GMT

前言

SSH 密钥登录比密码登录更适合长期管理服务器：本地保存私钥，服务器只保存公钥。只要私钥不泄露，就不需要把密码暴露在每次登录过程中。

这篇笔记记录从生成密钥、上传公钥、验证登录，到关闭密码登录的完整流程。

生成 SSH 密钥

在本地电脑执行：

ssh-keygen -t ed25519 -C "your_email@example.com"

一路回车会生成默认密钥文件：

~/.ssh/id_ed25519
~/.ssh/id_ed25519.pub

其中 id_ed25519 是私钥；id_ed25519.pub 是公钥。将他们都下载到本地，并删除服务器上的文件。

配置 authorized_keys

编辑公钥文件：

nano ~/.ssh/authorized_keys

把本地 id_ed25519.pub 的内容粘贴进去，保存后设置权限：

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

权限不正确时，SSH 服务可能会拒绝使用密钥登录。

使用密钥登录

在本地测试：

ssh -i ~/.ssh/id_ed25519 用户名@服务器IP

如果使用的是默认密钥文件，通常可以直接登录：

ssh 用户名@服务器IP

关闭密码登录

确认密钥登录成功后，再关闭密码登录。建议先保留一个已经登录的 SSH 窗口，避免配置错误导致无法重新连接。

编辑 SSH 服务端配置：

sudo nano /etc/ssh/sshd_config

确认或添加以下配置：

PubkeyAuthentication yes
PasswordAuthentication no

保存后先检查配置是否正确：

sudo sshd -t

没有输出表示配置语法正常，然后重新加载 SSH 服务：

sudo systemctl reload sshd

Linux 设置时间同步

Fri, 15 May 2026 00:00:00 GMT

查看当前是否设置了时间同步

先查看系统时间、时区和 NTP 状态：

timedatectl

重点看这几行：

System clock synchronized: yes
NTP service: active
RTC in local TZ: no

System clock synchronized: yes 表示系统时钟已经同步。
NTP service: active 表示已经启用时间同步服务。
RTC in local TZ: no 通常保持默认即可，表示硬件时钟使用 UTC。

如果想确认当前是否由 systemd-timesyncd 负责同步：

systemctl status systemd-timesyncd

卸载其他时间同步服务

同一台机器上建议只保留一个时间同步服务，否则容易出现互相抢占或配置不生效的问题。

卸载常见的其他时间同步服务：

sudo apt purge -y chrony ntp ntpsec openntpd
sudo apt autoremove -y

如果某些软件包没有安装，提示找不到或未安装可以忽略。

安装并启用 systemd-timesyncd

安装 systemd-timesyncd：

sudo apt update
sudo apt install -y systemd-timesyncd

开启系统 NTP 同步开关：

sudo timedatectl set-ntp true

确认服务状态：

systemctl status systemd-timesyncd
timedatectl

在 Debian/Ubuntu 上，systemd-timesyncd 安装后通常会自动启动。如果检查发现服务没有启动，再执行：

sudo systemctl enable --now systemd-timesyncd

修改 NTP 服务器地址

编辑 systemd-timesyncd 配置文件：

sudo nano /etc/systemd/timesyncd.conf

找到或添加 [Time] 配置段，例如：

[Time]
NTP=ntp.aliyun.com time1.cloud.tencent.com cn.pool.ntp.org
FallbackNTP=pool.ntp.org time.cloudflare.com

说明：

NTP= 是优先使用的时间服务器，可以写多个，使用空格分隔。
FallbackNTP= 是备用时间服务器，当主服务器不可用时使用。

保存后重启服务：

sudo systemctl restart systemd-timesyncd

再次查看同步状态：

timedatectl

Linux 使用 curl 快速查看系统出站公网 IP

Sat, 21 Feb 2026 00:00:00 GMT

在日常的 Linux 服务器管理与运维中，我们经常需要确认当前机器的公网出站 IP。无论是为了配置白名单、检查代理是否生效，还是单纯确认网络环境，以下几个 curl 命令都非常实用且高效。

国际网络环境

如果你的服务器位于海外，或者你需要测试服务器访问国际互联网时的出口 IP，可以使用 ipinfo.io。这个接口不仅会返回你的 IP 地址，通常还会附带 ASN、地理位置 and 运营商等实用信息：

curl ipinfo.io

大陆网络环境

对于国内的云服务器或本地网络，使用 ipip.net 提供的接口响应速度更快，且国内 IP 库定位非常准确：

curl myip.ipip.net

查询 IPv6 地址

随着 IPv6 的逐渐普及，有时我们需要专门确认服务器的 IPv6 出网是否正常。通过给 curl 加上 -6 参数，强制使用 IPv6 网络去请求 ip.sb 即可实现查询：

curl ip.sb -6

iptables 端口转发教程

Tue, 28 Oct 2025 00:00:00 GMT

场景示例

描述： 我们有一台公网 Linux 服务器（11.11.11.11），我们想通过访问它的 3389 端口，来安全地访问一台处于内网的 Windows RDP 主机（172.16.0.19）。
拓扑图： 你 (Windows 客户端) -> 公网 (11.11.11.11) -> 内网 (172.16.0.19)

准备工作：定义变量和环境

为了让脚本清晰易懂，我们先定义变量。

# 公网服务器要监听的端口
LOCAL_PORT=3389
# 真正提供服务的目标内网IP
TARGET_IP=172.16.0.19
# 目标内网IP的服务端口
TARGET_PORT=3389

步骤一：开启 Linux 内核转发

这是最基础的一步。如果内核不允许IP转发，iptables 的所有努力都白费。

# 1. 临时开启
sudo sysctl -w net.ipv4.ip_forward=1

# 2. 检查是否成功
cat /proc/sys/net/ipv4/ip_forward
# (确保返回 1)

# 3. 永久开启（推荐）
# sudo nano /etc/sysctl.conf
# 找到 net.ipv4.ip_forward=1 并取消注释
# 然后执行 sudo sysctl -p 使其生效

步骤二：配置 NAT 表

这是大多数教程都会讲的部分。我们需要两条规则：

PREROUTING (DNAT): 把“进来”的包，目标地址换成内网 RDP 主机。
POSTROUTING (SNAT/MASQUERADE): 把“出去”的包，源地址换成 Linux 服务器。（关键：否则 RDP 主机会直接回复给你的客户端，而不是回复给 Linux 服务器）

# 1. PREROUTING 规则 (DNAT)：修改目标地址
sudo iptables -t nat -A PREROUTING -p tcp --dport $LOCAL_PORT -j DNAT --to-destination $TARGET_IP:$TARGET_PORT

# 2. POSTROUTING 规则 (MASQUERADE)：修改源地址
sudo iptables -t nat -A POSTROUTING -d $TARGET_IP -p tcp --dport $TARGET_PORT -j MASQUERADE

步骤三：配置 filter 表（防火墙放行）

这是教程的核心。nat 表只负责翻译地址，但不负责放行。真正决定包能否通过的是 filter 表的 FORWARD 链。

# 注意：我们用 -I (Insert) 把规则插入到链的顶部，确保它们在 Docker 等规则之前被匹配。

# 1. 允许“已建立”和“相关”的连接（允许 RDP 的“返回”流量）
sudo iptables -I FORWARD 1 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# 2. 允许“新”的连接（允许你客户端的“发起”流量）
sudo iptables -I FORWARD 2 -d $TARGET_IP -p tcp --dport $TARGET_PORT -j ACCEPT

步骤四：持久化规则

iptables 规则默认重启失效。

Debian/Ubuntu:

sudo apt-get install iptables-persistent
sudo netfilter-persistent save

CentOS/RHEL (旧版):

service iptables save
# 或
iptables-save > /etc/sysconfig/iptables

如何重置 netfilter-persistent 保存的内容

步骤 1：清空当前内存中的所有规则

# 1. 清空 filter 表 (INPUT, OUTPUT, FORWARD)
sudo iptables -F
sudo iptables -X

# 2. 清空 nat 表 (PREROUTING, POSTROUTING)
sudo iptables -t nat -F
sudo iptables -t nat -X

# 3. 清空 mangle 表 (可选，以防万一)
sudo iptables -t mangle -F
sudo iptables -t mangle -X

# 4. (重要) 把默认策略改回 ACCEPT，防止SSH断开
sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT

步骤 2：保存这个“空”的状态

# 这会用“空规则”覆盖掉你之前保存的RDP转发规则
sudo netfilter-persistent save

Linux 测试入站端口连接

Wed, 13 Aug 2025 00:00:00 GMT

安装 netcat （Debian / Ubuntu）

sudo apt install netcat-openbsd

在本地机器上监听需要测试的端口

nc -k -l -p <port> -v

使用 itdog 的 tcping 测试

或者在另一台机器上使用 telnet 命令测试：

telnet <ip> <port>

Linux 修改主机名

Mon, 11 Aug 2025 00:00:00 GMT

方法一：hostnamectl 命令

这是最现代、最推荐的方法，尤其适用于基于 systemd 的系统

设置新主机名

sudo hostnamectl set-hostname <新主机名>

说明： 此命令会同时更新静态主机名 (保存在 /etc/hostname) 和临时主机名 (内核当前使用的主机名)，效果立即显现。

更新 /etc/hosts 文件

为了确保本地解析正确，需手动更新 hosts 文件。

sudo nano /etc/hosts

方法二：手动修改配置文件

这种方法适用于较旧的系统，或在 hostnamectl 命令不可用时使用。

修改主机名配置文件

对于 Ubuntu/Debian 及其衍生系统：

sudo nano /etc/hostname

对于 CentOS/RHEL 及其衍生系统：

sudo nano /etc/sysconfig/network

更新 /etc/hosts 文件

为了确保本地解析正确，需手动更新 hosts 文件。

sudo nano /etc/hosts

使更改立即生效

重要： 手动修改配置文件后，更改只会在下次重启后生效。要让它立即生效 (仅限当前会话)，请执行以下命令：

sudo hostname -F /etc/hostname

注意： 重新建立 SSH 连接，您应该就能看到更新后的主机名了。

额外技巧：防止 hosts 文件被意外修改

在某些情况下，其他服务（如云初始化脚本、DHCP 客户端）可能会覆盖您的 /etc/hosts 文件。如果您希望将其锁定，可以使用 chattr (change attribute) 命令。

将文件设置为不可修改 (immutable)

sudo chattr +i /etc/hosts

将文件恢复为可修改

sudo chattr -i /etc/hosts

Linux 开启 BBR

Tue, 22 Apr 2025 00:00:00 GMT

前言

如果你的 Linux 服务器是普通的跨境线路，可能在晚高峰因为高丢包率的影响很难跑起来带宽，或者受大陆运营商网间结算或者省间结算的影响，跨运营商或者跨省也会有高丢包率，导致跑不起来带宽，可以尝试开启 BBR 来缓解以上问题

前提条件

你的 Linux 内核版本需要 4.9 或更高，BBR 模块自该版本起被包含在主线内核中

查看你的内核版本：

uname -r

确保输出的版本号大于 4.9.0 或更高，如果版本过低，你需要先升级你的 Linux 内核

开启命令

echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf # 设置默认的队列规程为 fq
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf # 将 TCP 拥塞控制算法设置为 BBR
sysctl -p # 应用配置

验证 BBR 是否已启用

检查默认 TCP 拥塞控制算法是否为 BBR

sysctl net.ipv4.tcp_congestion_control

预期输出：

net.ipv4.tcp_congestion_control = bbr

检查默认队列规程是否设置为 fq

sysctl net.core.default_qdisc

预期输出：

net.core.default_qdisc = fq

如何恢复默认配置

清理配置文件中的修改：

sudo sed -i '/net.core.default_qdisc=fq/d' /etc/sysctl.conf
sudo sed -i '/net.ipv4.tcp_congestion_control=bbr/d' /etc/sysctl.conf

通过命令直接在内存中把算法切回默认值（不需要重启）：

sudo sysctl -w net.core.default_qdisc=fq_codel
sudo sysctl -w net.ipv4.tcp_congestion_control=cubic

Linux 手动管理 DNS

Thu, 17 Apr 2025 00:00:00 GMT

修改 /etc/resolv.conf 文件

sudo nano /etc/resolv.conf

添加或修改 nameserver 行

国际常用 DNS：

nameserver 8.8.8.8
nameserver 1.1.1.1

中国大陆常用 DNS：

nameserver 119.29.29.29
nameserver 223.6.6.6

阻止其他服务修改 resolv.conf 文件

为了阻止其他服务修改 resolv.conf 文件，可将文件设置为不可修改：

sudo chattr +i /etc/resolv.conf

将文件恢复为可修改：

sudo chattr -i /etc/resolv.conf

搭建一个开源的视频会议项目——Jitsi Meet

Mon, 24 Feb 2025 00:00:00 GMT

现在免费的视频会议基本上都会限制时长，虽然说腾讯会议和 Microsoft Teams 都支持两人会议不限时，但是他们都会有些缺陷：Teams 是因为服务器不在国内，延迟较大，视频和屏幕共享几乎卡到了不可用的状态；用腾讯会议的时候我的朋友经常会抱怨我共享屏幕的声音太小了，我知道腾讯会议把共享屏幕的声音降低是因为可以防止覆盖掉麦克风的声音，但是为什么不提供一个选项可以开关这个功能呢？

接下来要搭建的这个项目—— Jitsi Meet，就没有这些问题，它开源免费、可以直接在网页加入、支持端到端加密、如果会议里只有两个人还支持p2p（已知的缺点是不支持共享屏幕的时候进行批注）

创建并进入安装目录

mkdir -p /root/data/docker_data/jitsi
cd /root/data/docker_data/jitsi

拉取项目文件并进入项目目录

git clone https://github.com/jitsi/docker-jitsi-meet
cd docker-jitsi-meet

复制示例配置文件并生成密钥

cp env.example .env 
./gen-passwords.sh

编辑配置文件

nano .env

需要编辑的配置

JICOFO_AUTH_LIFETIME=720 hours # 为已认证用户的会话超时值改为720小时
CONFIG=/root/data/docker_data/jitsi/jitsi-meet-cfg # 自定义配置文件目录
HTTP_PORT=8000 # http端口
HTTPS_PORT=8443 # https端口
TZ=Asia/Shanghai # 时区
PUBLIC_URL=https://meeting.qiuxiaotao.cn/ # 公开访问的URL
ENABLE_AUTH=1 # 是否启用身份验证
ENABLE_GUESTS=1 # 是否允许访客

如果无法使用 WebSocket，可以设置以下环境变量以回退到 HTTP 轮询 and WebRTC 数据通道

ENABLE_SCTP=1
ENABLE_COLIBRI_WEBSOCKET=0
ENABLE_XMPP_WEBSOCKET=0

启动 Jitsi

docker compose up -d

设置反代

    location / {
        proxy_pass https://127.0.0.1:8443/;
        proxy_redirect off;
        proxy_set_header Host $host; 
        proxy_set_header X-Forwarded-Proto $scheme; 
        proxy_set_header X-Real-IP $remote_addr; 
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; 
        proxy_set_header Upgrade $http_upgrade; 
        proxy_set_header Connection $http_connection; 
    }

自定义内容

cd /root/data/docker_data/jitsi/jitsi-meet-cfg/web

cp interface_config.js custom-interface_config.js
nano custom-interface_config.js

去除 Jitsi 水印：找到 SHOW_JITSI_WATERMARK 将 true 改为 false
**修改应用名称：**找到 APP_NAME ，自定义名称

cp config.js custom-config.js
nano custom-config.js

**设置必须输入昵称才能进入会议：**找到 config.requireDisplayName 将 false 改为 true
将头像库自定义为 weavatar.com **：**找到 var config = {}; ，在下面加上 config.gravatarBaseURL = 'https://weavatar.com/avatar/'; 这一行

**修改图标：**将本地 favicon.svg 替换容器内的 favicon.svg

docker cp /root/data/docker_data/jitsi/jitsi-meet-cfg/web/custom/favicon.svg docker-jitsi-meet-web-1:/usr/share/jitsi-meet/images/favicon.svg

重启 web

docker compose restart web

管理主持人账号

进入容器

docker compose exec prosody /bin/bash

新增用户

prosodyctl --config /config/prosody.cfg.lua register 用户名 meet.jitsi 密码

删除用户

prosodyctl --config /config/prosody.cfg.lua unregister 用户名 meet.jitsi

列出所有已注册用户

find /config/data/meet%2ejitsi/accounts -type f -exec basename {} .dat \;

部分内容引用自 Jitsi Meet 官方文档