为博客启用Cloudflare SaaS接入实现国际分流 虽然Cloudflare CDN在国内访问速度不尽人意，但是用作国际线路的解析内容还是很够用的。然而Cloudflare很早就取消了CNAME接入的方式，因此本文主要讨论通过SaaS接入，因此需要一张信用卡激活Cloudflare SaaS。 准备材料 有效信用卡，需要有卡号、安全码，或者绑定了信用卡的PayPal。若不超过100个自定义主机名的限制则不会产生扣费。 回退域名，和正常访问的域名不能是同一个（Cloudflare接入需要） 正常访问域名 为了实现分大陆、境外地区单独解析，用作正常访问的域名不可以通过Cloudflare接入。 本文正常访问的域名为：www.iyoroy.cn，回退域名为nekonya.cloud。 过程 回退域名接入 注册一个Cloudflare账户，按照官方教程将域名的DNS改到Cloudflare： Plan选择Free计划即可： 按照要求修改NS记录： 等到NS记录生效，即可通过Cloudflare管理回退域DNS。 绑定信用卡，启用SaaS 进入回退域名的Cloudflare控制台，打开左侧SSL/TLS-自定义主机名，点击启用Cloudflare for SaaS： 填入你的信用卡信息并保存。接着激活SaaS计划： 创建回退域的解析、设置自定义主机名 进入左侧DNS-记录，创建一条解析，指向你的源服务器： 此处我的回退域为cname.nekonya.cloud，解析类型是CNAME，但是A、AAAA记录是也是完全可以的。记得要打开Cloudflare代理以使用CF的CDN。 接着，进入左侧SSL/TLS-自定义主机名，回退源填刚刚添加的那条回退域下的解析，即cname.nekonya.cloud： 接着点击添加自定义主机名，并填写需要被访问的域名： 证书验证方法推荐TXT记录，这样可以使用DCV委派（详见下文设置DCV委派章节）。 接着需要验证域名所有权，按照要求填写TXT记录（我已经配置过了，因此创建一条test做演示）： 因为下文要通过DCV验证获取证书，此处并没有添加证书相应记录。若不使用DCV委派，则将证书相关记录也这样设置解析。 {alert type="warning"} 注：在添加证书记录时务必不要刷新整个页面，不然解析记录内容会变。请使用选项内的刷新按钮。 {/alert} 待主机名状态变为有效后即可删除这条（也许是几条）解析。 设置DCV委派 找到下方自定义主机名的 DCV 委派，复制其中提供的解析值，到你的访问域名控制台，添加一条CNAME记录，主机名为_acme-challenge.www（此处和你的访问域名有关，我的访问域名是www.iyoroy.cn因此就是www。若是其他域名如test.iyoroy.cn，就填写_acme-challenge.test），记录值为Cloudflare提供的解析值前面加上你的hostname，即test.iyoroy.cn.xxxxxxx.dcv.cloudflare.com。 设置CNAME解析 进入你的访问域名控制台，为你要访问的域名添加相应解析记录。需要保证境外解析出来的内容是上文设置的回退源： 如果正常，那么就能看到证书状态和域名状态都是有效： 可以看到：，测试时境外已经切换到Cloudflare：

Docker下中心化部署EasyTier EasyTier本身是个去中心化的p2p工具，任意节点都可作为转发服务器使用。但是每个节点的配置文件都得手动编写，从tailscale迁移过来时觉得有点不习惯。再加上摸索阶段经常需要修改配置文件的内容，故打算还是中心化部署EasyTier的Dashboard，统一管理设备。 项目仓库：https://github.com/easytier/easytier 官方文档并未提供单独部署config-server的方式，但是实际上也不难，服务端已经包含在下载下来的二进制文件中了。本文着重论述通过Docker Compose安装，需要二进制模式安装的可参考下方参考文章。 分析 dashboard的部署主要分为两个部分，一个是后端RESTful API，一个是前端web控制台。其中Release里的easytier-web-embed同时提供了这俩，因此只要运行此二进制文件即可实现功能。 开整 部署API和Web控制台 Docker部署，没什么好说的。 需要开放两个端口： 11211/tcp: API接口，HTTP 22020/udp: 用于客户端（easytier-core）和服务器通信 目录映射需要映射容器内/app文件夹，用作存储持久化数据。 Compose文件如下： services: easytier: restart: always hostname: easytier volumes: - /opt/easytier/api:/app ports: - "127.0.0.1:11211:11211" - "22020:22020/udp" environment: - TZ=Asia/Shanghai image: easytier/easytier:latest entrypoint: easytier-web-embed 此处镜像和官方文档的Docker部署客户端用的是同一个，默认入口点是easytier-core，因此运行webapi需要指定entrypoint为easytier-web-embed。 因为API接口需要HTTPS，故此处没有直接将11211端口暴露公网，而是暴露到127.0.0.1再使用反向代理实现HTTPS。 设置反向代理 我使用的是1Panel，因此直接在面板中创建一个网站，反向代理到设置的API端口即可。 注册控制台账号 完成部署后打开https://你的域名（如果是内建控制台版本则不需要加/web/），将Api Host改为https://你的域名，注意填Api Host的时候URL末尾不要带“/”，否则会出莫名其妙的问题。点击下方Register注册一个账号 再使用这个账号登录即可进入控制台。 客户端配置 将启动参数全部删除，仅保留--config-server udp://你的ip:22020/你的用户名即可。运行easytier-core，再回到控制台即可看到设备。 点击右边的设置按钮，点击Create为其创建网络，接下来的步骤就和本地GUI模式操作一样了，这里就不赘述了。保存后在network栏选择新建的网络即可加入。 因为Docker重启容器内数据会丢失，Docker下部署客户端时需要映射一个文件到容器内/usr/local/bin/et_machine_id用作保存machine id，否则每次重启后都需要重新为其配置网络。同时，给容器设置hostname可以作为设备在web控制台显示的名称。 这里贴一下我的compose： services: easytier: command: '--config-server udp://<ip>:22020/KaguraiYoRoy' environment: - TZ=Asia/Shanghai hostname: truenas image: easytier/easytier:latest labels: com.centurylinklabs.watchtower.enable: 'true' mem_limit: 0m network_mode: host privileged: True restart: always volumes: - >- /mnt/systemdata/DockerData/easytier/app/et_machine_id:/usr/local/bin/et_machine_id watchtower: command: '--interval 3600 --cleanup --label-enable' environment: - TZ=Asia/Shanghai - WATCHTOWER_NO_STARTUP_MESSAGE image: containrrr/watchtower restart: always volumes: - /var/run/docker.sock:/var/run/docker.sock 参考： https://blog.mitsea.com/1a57bda595c580088006c17d6ba2a744/ https://github.com/EasyTier/EasyTier/issues/722 https://github.com/EasyTier/EasyTier/issues/577 https://github.com/EasyTier/EasyTier/pull/718

通过Alist使TrueNAS同步到OneDrive 背景 手上有个E5订阅，本来用的方案是Docker运行driveone/onedrive:edge的方式来实现同步，但是这个方案一个是这种方式没有GUI/WebUI，一个是每次同步的时候都会占用掉CPU 25%-50%的性能。考虑到TrueNAS自带的同步方案可以向WebDAV同步，因此想到能用Alist来挂载OneDrive并转换成WebDAV供TrueNAS挂载。 折腾过程 安装Alist 为Alist创建持久化存储文件夹，并根据Alist官方文档编写Docker Compose： services: alist: environment: - PUID=3000 - PGID=950 - UMASK=022 image: xhofe/alist:latest ports: - '8088:5244' restart: always volumes: - /mnt/systemdata/DockerData/alist/etc:/opt/alist/data - /mnt/data/Storage:/mnt/data 此处我将Alist端口开放在8088，其中映射/mnt/data/Storage是为了让Alist可以管理本地的存储；映射/mnt/systemdata/DockerData/alist/etc作为存储Alist数据的文件夹。 关于如何配置Alist上的OneDrive本文不做讨论，请查询Alist官方文档。此处我将我的OneDrive挂载在/OneDrive。 完成后进入Alist后台-用户，编辑你的用户或者创建一个新用户，勾选Webdav 读取、Webdav 管理以使得该用户可以使用WebDAV。 配置TrueNAS同步 进入TrueNAS后台-Credentials-Backup Credentials，添加一个Cloud Credential，参数如下： Provider: WebDAV Name: 自定义 URL: Alist地址+/dav，例如我这里填写http://127.0.0.1:8088/dav WebDAV Service: OTHER Username和Password: Alist账号密码 Verify Credential确认没问题之后保存。 接着进入TrueNAS后台-Data Protection，添加一个Cloud Sync Task，Provider下的Credentials选择刚刚创建的Alist的WebDAV，点击下一步。此处的参数有很多种，详解如下： Direction: 分为PULL和PUSH，分别对应云端同步到本地和本地同步到云端 Transfer Mode: COPY: 复制文件，若源文件夹中先前有的文件后来删除了云端的不会被删除 MOVE: Copy后删除源文件夹相关文件 SYNC: 保持源文件夹和目标文件夹同步，源文件夹删除的文件也会在目标里删除 Directory/Files: 即本地需要同步的文件或文件夹 Folder: 即云端需要同步的文件夹 Description: 注释 Schedule: Cron定时，可以使用他预设的时段或者自己编写 比如我这里选择的是PUSH，SYNC，从/mnt/data/Storage同步到/OneDrive/TrueNAS，每天0:00执行。 编辑完成后保存，即可在你设置的时段自动将本地文件上传到OneDrive。 旧方案的项目地址： https://github.com/abraunegg/onedrive 参考文章： https://alist.nn.ci/zh/guide/install/docker.html https://alist.nn.ci/zh/guide/drivers/onedrive.html

使用家宽无公网IP+CDNfly实现建站 前言 众所周知家宽建站一般需要有公网IP，但实际上没有公网IP时的某些情况通过特殊手段也可以实现在运营商的出口IP上公开一个端口用于外部对内连接的http端口，即NAT穿透（和FRP、ngrok、花生壳这样的内网穿透不一样，这种穿透不需要服务端） 前置条件 下载NatTypeTester，检测本机的NAT类型。关于NAT类型是什么请自行查阅资料。 请确保你的网络环境满足如下条件： RFC3489下的NAT类型需为Full Cone RFC5780下的TCP的映射行为需要是EndpointIndependent 如果出现UDPBlocked请更换服务器 提升NAT类型的办法 减少路由层数，光猫拨号的尽量直接将设备接在光猫下，多层路由的尽量将设备直接接在最顶上那层路由下 开启路由器的UPnP 设置DMZ主机为服务器IP 开始 使用了Lucky作为NAT穿透的工具，通过Docker Compose部署在TrueNAS上，TrueNAS本地的9080开放了HTTP端口。 部署Web服务器不在本文论述的范围内。 安装Lucky 按照官网介绍，编写DockerCompose： services: lucky: image: gdy666/lucky network_mode: host restart: always volumes: - /mnt/systemdata/DockerData/lucky/luckyconf:/goodluck 请修改持久化存储路径为你自己的路径。 其中network_mode需要为host，当然不是host也可以部署，但是不在本文讨论范围内。 安装完成后打开http://[YourIP]:16601，默认账号666默认密码666。登录后按照要求修改安全设置。 配置穿透 打开Lucky页面左侧的STUN内网穿透，并创建穿透规则。 穿透本地端口填写一任意端口（注意不要和本机的服务冲突），目标地址和端口填写内网下的Web服务所在IP和端口。 完成上述配置后以下几种穿透方式请任选一种 {tabs} {tabs-pane label="NAT-PMP方式"} 开启路由器UPnP功能，打开STUN穿透的NAT-PMP开关，NAT-PMP网关地址填入路由器地址即可。 {/tabs-pane} {tabs-pane label="DMZ主机方式"} 在路由器DMZ主机设置将Lucky所在服务器IP设置为DMZ主机，然后关闭STUN穿透的UPnP、NAT-PMP选项。 {/tabs-pane} {tabs-pane label="非Docker安装+UPnP"} 开启路由器UPnP功能，打开STUN穿透的UPnP开关，UPnP网关IP填写路由器IP，UPnP客户端本地IP填写Lucky所在主机IP，其他留空。 {/tabs-pane} {tabs-pane label="Docker安装+UPnP"} 需要先在非Docker的环境下运行一次Lucky以获取UPnP接口地址。比如我在电脑（Windows）上安装Lucky并创建一条测试隧道，填写内容和上文非Docker安装相同，目标地址和目标端口可随意填写。开启穿透后在日志里能看到类似如下内容： UPNP===>Control URL: http://192.168.3.1:5351/ctl/IPCon （这里的URL是我的小米路由器AX3600的UPnP管理地址，不同路由器不一样） 复制这里的Control URL，再在Docker内的Lucky中将Control URL填写到UPnP控制接口地址一项中并开启穿透即可。 {/tabs-pane} {/tabs} 如果不出问题应该能看到运营商的公网出口所分配的地址和端口，若能够从外面访问或者itdog测速能绿就代表穿透成功了。 配置CDNfly的WebHook 因为这种方式获得的公网IP和端口都是动态的，因此需要类似于DDNS的服务来固定访问方式，可以使用CloudFlare Workers进行重定向，也可以使用CDN动态修改回源IP和端口。我使用的是后面那种方式。 我的CDN使用的是cdnfly管理系统，查阅cdnfly的官方文档可以找到API请求方式。 在编辑STUN内网穿透规则时下面打开Webhook并勾选仅在地址和上一次不同时触发Webhook，接口地址填入cdn网站管理API地址：https://[your-cdn-domain]/v1/sites，请求方法PUT；请求头标填入api-key和api-secret（可以在CDNfly后台看到）： api-key: Your API Key api-secret: Your API Secret 请求体用json格式按照cdnfly官方文档的请求方式构建payload（请将id字段改成你的网站id，若存在多个网站则按照如下格式多复制几个并修改对应id即可）： [ { "id": 114, "backend_http_port": #{port}, "backend": [ { "addr": "#{ip}", "weight": 1, "state": "up" } ] }, { "id": 514, "backend_http_port": #{port}, "backend": [ { "addr": "#{ip}", "weight": 1, "state": "up" } ] } ] 其中，#{ip}和#{port}是Lucky提供的参数，标识获取到的公网IP和端口。 保存，不出意外的话会自动将CDN对应网站的回源地址和端口改成运营商公网IP和端口。 安全问题 我本人建议使用HTTPS穿透，毕竟HTTP是明文传输，安全性还是不能保证。如果使用HTTPS，需要将上文CDN API调用的Payload中backend_http_port改成backend_https_port并在CDN处改为使用HTTPS回源。 参考文章： https://doc.cdnfly.cn/wangzhanguanli-v1-sites.html https://lucky666.cn/docs/intro https://www.bilibili.com/opus/971100369193009187 https://github.com/gdy666/lucky