通过搜索得知，在 macOS 上配置网卡 NAT（网络地址转换）主要有两种方式：

• 系统内置的 Internet 共享功能（基于PF，自动配置）
• PF（Packet Filter）防火墙（手动配置）

由于 Internet 共享功能无法满足需求，因此选择了 PF 防火墙手动配置的方式来实现 Wi-Fi 网络共享。

要求

1. USB 网卡（以太网适配器）连接到没有网络的机器。
2. MacBook 连接到 Wi-Fi 网络。
3. 网线

步骤

配置网络接口

1. 使用网线将 Mac 连接的 USB 网卡连接到没有网络的机器。
2. 设备网络配置：
   • IP: 192.168.100.2/24
   • Gateway: 192.168.100.1
   • DNS: 223.5.5.5
3. MacBook网络配置：
   • IP: 192.168.100.1/24

配置 PF 防火墙 NAT 转发

1. 确认内外网接口名称。在 macOS 终端执行 ifconfig，找到：

   • 外网接口（Wi-Fi）：一般是 en0，inet 是 Wi-Fi 的 IP（比如 192.168.1.x）
   • 内网接口（USB 网卡）：inet 是 192.168.100.1，名字一般是 en5

2. 开启 IP 转发

   1 2 3 4 5

   # 临时开启（重启失效）sudo sysctl -w net.inet.ip.forwarding=1# 永久开启（重启不失效）# echo "net.inet.ip.forwarding=1" | sudo tee -a /etc/sysctl.conf

3. 创建 PF NAT 规则

   创建一个临时的 PF 配置文件 nat.conf，内容如下：

   1 2 3 4 5 6

   # NAT规则：将192.168.100.0/24网段的流量通过Wi-Fi转发nat on en0 from 192.168.100.0/24 to any -> (en0)# 允许内网流量转发pass in on en5 from 192.168.100.0/24 to anypass out on en0 from 192.168.100.0/24 to any

4. 加载规则并验证

   1 2 3 4 5 6 7 8 9 10 11

   # 停止PF（如果正在运行）sudo pfctl -d# 清空现有规则sudo pfctl -F all# 启用PF并加载规则sudo pfctl -e -f ./nat.conf# 验证规则（能看到NAT规则即正常）sudo pfctl -s nat

到这里，设备应该就可以访问互联网了。

鉴于这种方法并非最佳解决方案，不建议长期使用，因此我也不提供永久修改系统的方案。建议在有条件的情况下，给设备加一台 Wi-Fi 路由器做无线桥接会稳一些。

由于自带的系统过老，无法跟上时代的发展，为了提高设备的利用率，让旧设备焕发新生机，准备备份原有系统以后重装 PVE 虚拟化系统（原系统也是古董 Linux 2.6 的 PVE 内核）。

在使用过程中发现无法进入 AMI BIOS，卡在 AB 蓝屏界面。经过一番折腾，以及群友的帮助，终于解决了这个问题。

现象

开机按 Delete 键能够进入 AMI BIOS 设置，但是卡 AB 蓝屏界面，此时键盘按Num Lock、Caps Lock 键均无反应，说明是死机了：

但是 SATA 系统能正常启动，U盘也能正常启动，说明内存和处理器均正常。

折腾过程

移除硬盘

怀疑是硬盘有问题，但是移除硬盘后依然无法进入 AMI BIOS。

查询主板说明书：

https://www.supermicro.com/manuals/motherboard/C202_C204/MNL-1270.pdf

禁用 Watch Dog

怀疑是硬件 Watch Dog 导致的，尝试禁用 Watch Dog：

没用

禁用 iPMI/BMC

首先我这个主板没有 iPMI/BMC 芯片：

怀疑是卡BUG，尝试禁用 iPMI/BMC：

没用

电池放电

经过进一步查找，发现是 BIOS 有问题：

最终通过扣掉电池放电，将BIOS日期恢复到了默认的2015年，解决了问题。

解决方法

方法一：扣电池

1. 断电，打开机箱，找到主板上的电池，扣掉电池放电，等待几分钟后重新安装电池。
2. 开机按 Delete 键进入 BIOS，检查日期是否恢复到默认的2015年，如果是，则保存退出 BIOS，重新进入 BIOS，检查是否能够正常进入 BIOS界面。

方法二：EFI Shell 设置时间

1. 开机按 F12 还有 Ctrl + S 键进入 Boot Menu，然后选择 EFI Shell。

2. 在 EFI Shell 中输入以下命令设置时间：

   1	date 01/01/2018

修复方案

更新 BIOS。根据最新的 Release Notes，已经修复了这个问题：

https://www.supermicro.com/en/support/resources/downloadcenter/firmware/MBD-X9SCL/BIOS

Fixes

1. Fixed problem of system hanging when entering setup with system date year 2021.

AI 生成的 Armbian USB 移动硬盘自动挂载完全指南。

基于 udev + systemd 的稳定热插拔方案，同时覆盖 NTFS 与 exFAT 两种文件系统。
适用 Armbian current / edge（内核 ≥ 5.15）。

前置问题：驱动该用哪个？

在开始配置之前，先把驱动问题说清楚，因为 NTFS 和 exFAT 的情况截然不同。

NTFS：ntfs3 vs ntfs-3g

Linux 5.15 起内核自带 ntfs3 驱动（Paragon 贡献），Armbian 已安装的 ntfs-3g 是早年 FUSE 方案。

结论：挂载改用 ntfs3，但保留 ntfs-3g 安装。
ntfs-3g 包含 ntfsfix 工具，在硬盘出现 dirty 标记时必须用它修复。工具留着，驱动换掉。

1
2
3
4

# 确认 ntfs3 模块存在（应输出 ✅）[ -d "/lib/modules/$(uname -r)/kernel/fs/ntfs3" ] \  && echo "✅ ntfs3 available" \  || echo "❌ 内核不含 ntfs3，请改用 ntfs-3g"

exFAT：内核 exfat vs exfatprogs

同理，Linux 5.4 起内核已内置 exFAT 驱动。exfatprogs（或旧版 exfat-utils）是用户空间工具包，提供 mkfs.exfat、fsck.exfat 等命令，挂载本身不需要它，但建议保留。

1
2
3
4
5

# 确认内核 exfat 模块modinfo exfat | grep filename# 安装工具包（如果还没装）apt install exfatprogs

挂载 exFAT 直接用 Type=exfat，无需 FUSE 层。

方案架构

整个方案由两个部件组成：

1
2
3
4
5
6
7
8
9
10

USB 插入/拔出    │    ├─ udev rule 捕获块设备事件（by UUID）    │       ↓    ├─ 触发 systemctl start/stop    │       ↓    └─ systemd .mount unit 执行挂载/卸载            │            ├─ nofail          → 开机无盘不阻塞            └─ DefaultDependencies=no → 不产生循环依赖

Step 1：确认硬盘 UUID

始终用 UUID，不用 /dev/sdX。 设备名随插入顺序变化，UUID 是硬盘的永久标识。

1
2
3
4
5
6
7
8
9

# 插入硬盘后执行lsblk -f# 或用 blkid 获取完整信息blkid | grep -E "ntfs|exfat"# 示例输出：# /dev/sda1: UUID="A1B2C3D4E5F67890" TYPE="ntfs" ...# /dev/sda1: UUID="1A2B-3C4D" TYPE="exfat" ...

注意：NTFS 的 UUID 通常是 16 位十六进制（如 A1B2C3D4E5F67890），
exFAT 的 UUID 通常是 8 位带短横线（如 1A2B-3C4D），两者格式不同，注意区分。

Step 2：创建挂载点

1

mkdir -p /mnt/usbdisk

挂载点命名与 unit 文件名必须对应：
/mnt/usbdisk → unit 文件名为 mnt-usbdisk.mount（斜杠换短横线）。
如果你改成 /mnt/my_disk，unit 文件名就要改成 mnt-my_disk.mount。

Step 3：编写 systemd .mount unit

根据你的文件系统类型，选择对应的配置。

NTFS 版本

1
2
3
4
5
6
7
8
9
10
11
12

# /etc/systemd/system/mnt-usbdisk.mount[Unit]Description=USB NTFS External Disk[Mount]What=/dev/disk/by-uuid/A1B2C3D4E5F67890Where=/mnt/usbdiskType=ntfs3[Install]WantedBy=multi-user.target

exFAT 版本

1
2
3
4
5
6
7
8
9
10
11
12
13
14

# /etc/systemd/system/mnt-usbdisk.mount[Unit]Description=USB exFAT External Disk[Mount]What=/dev/disk/by-uuid/1A2B-3C4DWhere=/mnt/usbdiskType=exfatOptions=defaults,noatime,nofail,fmask=0000,dmask=0000,x-systemd.device-timeout=5TimeoutSec=30s[Install]WantedBy=multi-user.target

Step 4：编写 udev 热插拔规则

systemd mount unit 只处理开机挂载。要实现插入自动挂载、拔出自动卸载、重插后再次挂载，需要 udev 规则来监听块设备事件。

1
2
3
4
5
6
7

# /etc/udev/rules.d/99-usb-mount.rules# 插入时挂载（替换 UUID 为你的实际值）SUBSYSTEM=="block", ACTION=="add", ENV{ID_FS_UUID}=="YOUR-UUID-HERE", TAG+="systemd", ENV{SYSTEMD_WANTS}="mnt-usbdisk.mount"# 拔出时卸载（防止下次插入时出现 dirty 标记）SUBSYSTEM=="block", ACTION=="remove", ENV{ID_FS_UUID}=="YOUR-UUID-HERE", RUN+="/usr/bin/systemctl stop mnt-usbdisk.mount"

两处 UUID 都要替换，且必须与 mount unit 中的完全一致（大小写敏感）。

udev 通过 ENV{ID_FS_UUID} 匹配，即使同时插多块 USB 盘也不会混淆。

Step 5：启用配置

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

# 重新加载 systemd 配置systemctl daemon-reload# 重新加载 udev 规则（无需重启）udevadm control --reload-rulesudevadm trigger# 手动测试挂载systemctl start mnt-usbdisk.mountsystemctl status mnt-usbdisk.mount# 确认挂载成功df -h /mnt/usbdisk# 设置开机自动挂载（硬盘存在时生效）systemctl enable mnt-usbdisk.mount

Step 6：三种场景验证

场景一：开机不插盘

1
2
3

reboot# 开机后检查，状态应为 inactive (dead)，而非 failedsystemctl status mnt-usbdisk.mount

场景二：开机后插盘

1
2
3
4
5

# 插入硬盘，等 2 秒后验证ls /mnt/usbdisk# 实时查看 udev 触发日志journalctl -f | grep -E "usb|usbdisk|ntfs|exfat"

场景三：掉盘模拟（拔出后重插）

1
2
3
4
5
6
7

# 开启实时日志监控journalctl -f# 拔出硬盘 → 等 3 秒 → 重新插入# 日志中应先出现 stop 再出现 start# 之后 /mnt/usbdisk 应再次可访问ls /mnt/usbdisk

常见问题排查

问题一：挂载失败，日志显示 “dirty”

Windows 未安全弹出，或 Linux 上次拔盘前未卸载，NTFS 会被标记为 dirty，内核 ntfs3 默认拒绝挂载。exFAT 无此问题。

1
2
3
4
5

# 用 ntfs-3g 工具包修复（这就是保留它的意义）ntfsfix /dev/sdX1# 修复后重新挂载systemctl start mnt-usbdisk.mount

问题二：udev 规则不触发

1
2
3
4
5

# 检查 udev 是否识别到 UUIDudevadm info --name=/dev/sda1 | grep ID_FS_UUID# 手动测试规则匹配udevadm test $(udevadm info -q path -n /dev/sda1) 2>&1 | grep -E "uuid|RUN"

问题三：确认当前实际使用的驱动

1
2
3
4
5

# 查看挂载点使用的文件系统类型mount | grep usbdisk# 或findmnt /mnt/usbdisk

参考

https://www.freedesktop.org/software/systemd/man/systemd.mount.html

本文使用的打印机为 EPSON L383 喷墨打印机，虽然带扫描功能，但是不好用，不如手机当高拍仪扫描打印。其实一开始采购打印机的时候就考虑过要不要带网络，但认为使用共享的方式能解决问题，后面发现还是太天真了，这个远程打印折腾起来巨麻烦，尤其是这种冷门型号的打印机。之前由于小时候技术不佳，Linux玩不明白，只会使用 Windows 共享，导致专门弄了台 D425 装 XP 负责远程打印，效果也不好。现在又开始重操旧业，总算是给它折腾明白了。

环境

本次部署由于打印机附近存在 7x24h 工作的PVE AIO服务器，因此基于 Linux VM实现。后期如果不使用服务器，会考虑 IPTV 盒子刷 Armbian——因为打印机驱动支持 ARM64 版 Linux 驱动。

• PVE 通过 USB 延长线连接到打印机。
• USB 接口直通到 Linux VM。
• 客户端通过 Wi-Fi / VPN 接入到内网。

系统安装

这里系统直接使用 Ubuntu Cloud Images，我懒得安装 Ubuntu Server ISO。

PVE 新建创建 Ubuntu 虚拟机

登录到 PVE 的控制台，打开Shell，复制粘贴内容：

下载Daily构建的虚拟硬盘文件：

1
2

# wget https://cloud-images.ubuntu.com/minimal/daily/noble/current/noble-minimal-cloudimg-amd64.imgwget https://mirrors.tuna.tsinghua.edu.cn/ubuntu-cloud-images/minimal/daily/noble/current/noble-minimal-cloudimg-amd64.img

创建虚拟机（2H2G，实际使用分512M就够了）：

1
2
3
4
5
6
7
8
9
10
11
12
13

# 此处改为你的存储位置，可用 pvesm status 查看STORAGE_ID=localIMG_PATH=$PWD/noble-minimal-cloudimg-amd64.img# 定义VMID虚拟机ID，不得重复VM_ID=500ROOT_PASS=Cups@123!IPCFG=ip=10.0.5.5/24,gw=10.0.0.1# 一行命令创建虚拟机qm create $VM_ID --name CUPS --cpu x86-64-v2-AES --cores 2 --memory 2048 --net0 virtio,bridge=vmbr0 --scsihw virtio-scsi-single --serial0 socket --vga serial0 --ostype l26 --ide2 $STORAGE_ID:cloudinit --scsi0 $STORAGE_ID:0,discard=on,format=qcow2,import-from=$IMG_PATH,iothread=1,ssd=1 --boot order=scsi0 --ciupgrade 0  --ciuser root --cipassword $(openssl passwd -6 "$ROOT_PASS") --ipconfig0 ip=$IPCFG# 扩容得单独来一下qm disk resize $VM_ID scsi0 16G

系统就装好了。

直通USB

在网页中设置，手册建议先安装驱动，再配置直通。这里我选择绑定USB插口。

登录虚拟机

开启虚拟机，然后立马打开 xterm，通过刚才设置的密码登录虚拟机。

卸载自带软件

由于是通过 PVE 控制台直接操作 Linux 容器，因此不需要内置的 SSH，留着反倒会造成安全隐患，因此删除。另外这个 Ubuntu Minimal 居然带 snap！！！

1

sudo apt auto-remove ssh openssh* snapd

更换软件源

默认的 Ubuntu 软件源下载贼慢，这里更换为国内源。

1
2

sudo sed -i 's/\(archive\|security\)\.ubuntu\.com/mirrors.aliyun.com/g' /etc/apt/sources.listsudo sed -i 's/\(archive\|security\)\.ubuntu\.com/mirrors.aliyun.com/g' /etc/apt/sources.list.d/*

执行系统更新

1
2

sudo apt updatesudo apt dist-upgrade

安装组件

安装 CUPS

1
2

sudo apt install vim cups cups-bsd libcupsimage2t64# sudo apt install cups cup* libcups* printer*

• vim：由于自带的 vi 和 nano （Minimal一个都不带）个人用不习惯，这里安装了 vim，后续会使用 vim 编辑配置。
• libcupsimage2t64：原本为 libcupsfilters1 依赖，但 Ubuntu 24.04 LTS+ 没这个包，不装这个会造成打印报错在 GhostScript 渲染的过滤阶段。Debian 倒是一直都有这个，所以尽可能用 Debian。

安装打印机驱动程序

如果是较老的打印机，应该有通用驱动， sudo apt install printer* 全部装完。

我这边是爱普生打印机，没有通用的，就到 https://download-center.epson.com/ 下载打印机驱动程序，选择Linux版本。选择“Epson Inkjet Printer Driver (ESC/P) for Linux”，然后复制下载链接，我这里已经复制出来了，不知道能存活多久。

1
2
3

wget https://download-center.epson.com.cn/f/module/81976474-cb4d-4b75-a0d8-ebc9ebde70d0/epson-inkjet-printer-201601w_1.0.1-1_amd64.debsudo dpkg -i epson-inkjet-printer-201601w_1.0.1-1_amd64.deb

另外手册也下载阅读一下，那里面写着最佳环境是 Ubuntu 24.04 LTS 和 Fedora 42，所以我选择了前者。其实一开始是用 Linux Mint 测试了下的，没问题才选的，结果换成 Ubuntu 24.04 LTS 少装一个依赖。

配置服务

配置 CUPS

这里不编辑配置文件了，直接通过 cupsctl 配置外部访问，和那个桌面环境上的 system-config-printer 一样。现在 CUPS 这么好用得感谢这个 OpenPrinting 项目。

1
2
3
4
5
6
7
8
9
10
11

~# cupsctl --helpUsage: cupsctl [options] [param=value ... paramN=valueN]Options:-E                      Encrypt the connection to the server-h server[:port]        Connect to the named server and port-U username             Specify username to use for authentication--[no-]debug-logging    Turn debug logging on/off--[no-]remote-admin     Turn remote administration on/off--[no-]remote-any       Allow/prevent access from the Internet--[no-]share-printers   Turn printer sharing on/off--[no-]user-cancel-any  Allow/prevent users to cancel any job

执行以下命令，如果：

1
2
3
4
5

sudo cupsctl --remote-adminsudo systemctl restart cups# 此时访问会变成已禁止sudo cupsctl --remote-anysudo systemctl restart cups

使用浏览器访问 https://10.0.5.5:631/admin （这里改成实际的IP）直接进入管理页面，用户名密码同 Linux。

点击 Printers -> Add Printer，进入如下步骤：

1. 选择 Local Printers 下面的你的型号打印机，点击 Continue。

   

2. 设置一下打印机的名字（Name），建议不要包含特殊符号（包括空格），不然后面通过 LPD 连需要你手动输入的时候人就麻了，然后勾选：Share This Printer，点击 Continue。

   

3. 选择对应打印机型号的型号（Model），点击 Add Printer。

   

4. 点击 Set Printer Options。

   

5. 一项一项点进去，调整默认配置，比如双面打印啥的（可惜没有）。

   

调整完后，我们将 A4 纸张放入打印机，点击页面导航栏的最后一个 Printers，点击进入刚才添加的打印机，找到第一个叫做 Maintenance 的下拉菜单，选择 Print Test Page。

测试页能够正常打印。

配置 SAMBA

由于SAMBA实测不好用，而且还一堆漏洞，实际上后面又给 SAMBA 删了。

需要服务端安装 SAMBA，参考官方教程配置：

https://wiki.samba.org/index.php/Setting_up_Samba_as_a_Print_Server

1
2
3

sudo apt install samba samba samba-common-binsudo systemctl enable --now smbdsudo systemctl enable --now nmbd

然后编辑：

1

sudo vim /etc/samba/smb.conf

找到 [global]，在后面插入：

1

rpcd_spoolss:idle_seconds=300

找到 [printers]，将：

1
2

browseable = noguest ok = no

改成：

1
2

browseable = yesguest ok = yes

保存，然后：

1

sudo systemctl restart smbd nmbd

如果要让客户端（Windows）支持自动安装驱动，参考：鸟哥的 Linux 私房菜 – SAMBA 服务器 配置驱动共享，否则需要提前安装好驱动。

配置 LPD

LPD是一个古董协议，没招了只能用这个。

正常情况下，直接执行下面的命令就行：

1

sudo systemctl enable --now cups-lpd.socket

但实际上不好使，Ubuntu报错“Unit file cups-lpd.socket does not exist.”，估计是因为LPD不用鉴权就可以打印，存在安全风险就被Canonical 删了，只能手动创建。

1. 创建 Socket 文件。

   我们需要告诉 systemd 监听哪个端口（LPD 默认为 515）。

   1	sudo vim /etc/systemd/system/cups-lpd.socket

   输入：

   1 2 3 4 5 6 7 8 9

   [Unit]Description=CUPS LPD Server Socket[Socket]ListenStream=515Accept=yes[Install]WantedBy=sockets.target

2. 创建 Service 文件

   1	sudo vim /etc/systemd/system/cups-lpd@.service

   输入：

   1 2 3 4 5 6 7 8 9 10 11 12

   [Unit]Description=CUPS LPD Server ServiceAfter=network.target[Service]ExecStart=-/usr/lib/cups/daemon/cups-lpd -n -o job-sheets=none,noneStandardInput=socketUser=lpGroup=lp[Install]WantedBy=multi-user.target

   -n ：表示不进行反向域名解析（加快速度）。

   lp ：打印机的标准用户组。

3. 激活服务

   1 2	sudo systemctl daemon-reloadsudo systemctl enable --now cups-lpd.socket

检查端口是否已开启：

1

ss -ant | grep :515

Windows 客户端配置

IPP 协议

Windows 正常应该可以在设置里面搜索到打印机。不用安装驱动！！！不用安装驱动！！！不用安装驱动！！！

如果搜不到的话，请勾选Share printers connected to this system，然后重启一下虚拟机。

但基本没啥功能，双面打印啥的基本都没。正常使用还得是带驱动。

SMB 协议

这里我懒得配置驱动共享了，就手动运行打印机驱动安装程序安装。

安装好驱动以后，在资源管理器的地址栏里面输入：\\10.0.5.5\打印机，对，中文的“打印机”，才可以看到共享的打印机，只输地址我这边只能看到共享文件夹。

但经过测试，这种方式存在不稳定的现象，打印反应非常慢，估计是驱动的缺陷。总之就是没法用。

而且 Windows 11 22H2 给 RPC 的默认设置改了，直接还连不上，得改注册表：

1
2

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Printers\RPC" /f /v "RpcUseNamedPipeProtocol" /t REG_DWORD /d "1"reg add "HKLM\SYSTEM\CurrentControlSet\Control\Print" /f /v "RpcAuthnLevelPrivacyEnabled" /t REG_DWORD /d "0"

据说还不一定有用，最后回到古董协议LPD。

LPD 协议

1. 这种情况也需要提前安装好驱动。

2. Windows 10 以上需要启用 LPR 支持，以管理员权限打开 CMD 输入：

   1	DISM.exe /Online /Enable-Feature /FeatureName:Printing-Foundation-LPRPortMonitor

   或者 PowerShell：

   1	Enable-WindowsOptionalFeature -Online -FeatureName "Printing-Foundation-LPRPortMonitor"

   或者打开 控制面板\所有控制面板项\程序和功能，勾选 打印和文件服务 下方的 LPR 端口监视器：

   

   为什么先给命令？阿三Windows 11天天改，找半天都找不到这个控制面板的入口。“设备和打印机”都砍了，但又没砍全，自带的设置贼难用。

3. 进入刚刚说的那个“设备和打印机”，点击菜单栏的“添加打印机”，会弹出一个添加设备的窗口，这个里面即使出来你的打印机型号也不要用，肯定不是 LPD，这里应该点击“我所需的打印机未列出”。

   

4. 然后选择“通过手动设置添加本地打印机或网络打印机(O)”，不要选择 IP，那个里面没得 LPD，点击下一页。

   

5. 这里选择创建新端口，端口类型为 LPR Port。什么，没有？请检查上面的 LPR 功能有没有启用成功。

   

6. 点击下一页会弹出一个窗口（史山代码），填写服务器信息，注意打印队列名称填写CUPS里面设置的共享名，不是打印机描述名称，然后点击确定。

   

7. 这里务必要选择正确的驱动，不然无法打印，然后下一页。

   

8. 这里建议改下名，避免和本地打印机冲突/不好区分，然后点击下一页后，会自动注册打印机，需要一小会儿。

   

9. 这里可以打印测试页，然后完成。

   

   此时就基本可以了。如果你遇到了问题，建议关闭双向支持：

   

   

macOS客户端配置

首先打开「打印中心.app」。

IPP协议

IPP协议能自动搜索出来，也可以手动添加，不需要安装驱动。

LPD协议

安卓客户端配置

需要安卓版本大于Android 8.0 (Oreo) ，不然只能安装第三方打印客户端。

IPP 协议

安卓这边就简单得多，下面以 ColorOS 为例，实测支持 OriginOS、MagicOS，但不支持鸿蒙。因为鸿蒙的安卓版本较老，且系统APP打印服务为自行实现的华为打印，只支持华为打印机。

SMB 协议/LPD 协议

需要下载安卓移动打印客户端，一般为付费，如PrintHand、PrinterShare、MobilePrint、ePrint - Mobile Printer & Scan 、 PrintShare Pro 、NokoPrint 等。

由于目前 IPP 能用，暂时没有折腾其他协议的需求，下面的地址来自于第三方，个人没试过，请自行判断是否带毒。

下载地址：https://apphot.cc/3738.html

下载安装以后，打开APP，点击添加打印机，可能需要联网下载打印机驱动包，不然会缺少PPD文件无法识别型号。

远程打印

直接用VPN搞定，免得给那些微信小程序交钱。

1. EasyTier
2. Tailscale/Headscale（自建）
3. Zerotier

总结

本次部署遇到了很多个坑，其中大多都来自于 Ubuntu。反倒是当时在 Linux Mint 上测试，一点问题都没有。另外我是实在想不明白了，都 Minimal 镜像了，怎么还带一个 snap，真的服了 Canonical。。。

现在手机连上 Wi-Fi 自动搜索打印机，CUPS 真的太方便了。不得不说安卓更新了打印框架以后，越来越多厂商跟进，挺好的，这才是真的互联。

最近尝试使用 Vite 将一个 Vue 3 组件打包成 JS，以便插入一个不是 Vue 写的 HTML 中。本人属于前端小白，不会写CSS。由于 AI 写这种类名样式比较厉害，且听说 UnoCSS 比较厉害，故使用 UnoCSS + presetWind4 的方案。

不过实际部署后发现一个严重的问题，由于缺少隔离机制，UnoCSS / Tailwind CSS 会导致全局样式被覆盖，表现为外部的原生样式丢失。为了避免造成更大的影响，需要对其进行处理，避免全局样式被影响。

尝试 vue-scoped 模式

经过阅读 UnoCSS 文档，发现其支持vue-scoped功能，感觉可以完美解决这个问题，将样式限制到 Vue 的 <style scope> 内：

https://unocss.dev/integrations/vite#modes

Modes

The Vite plugin comes with a set of modes that enable different behaviors.

• global (default)

  This is the default mode for the plugin: in this mode you need to add the import of uno.css on your entry point.

  This mode enables a set of Vite plugins for build and for dev with HMR support.

  The generated css will be a global stylesheet injected on the index.html.

• vue-scoped

  This mode will inject generated CSS to Vue SFCs <style scoped> for isolation.

具体使用方法：

1
2
3
4
5
6
7
8
9
10
11

import { defineConfig } from "vite";import vue from "@vitejs/plugin-vue";import { resolve } from "path";import UnoCSS from "unocss/vite";export default defineConfig({  plugins: [vue(), UnoCSS({      mode: "vue-scoped",  })],  ...});

但经过实测发现样式只正常一半，和 Tailwind CSS 基本一样，经过查找发现这给问题还没修复。

• Issue：[presetWind4] Missing CSS variables in vue-scoped mode · Issue #4825 · unocss/unocss
• PR：fix(vite): styles missing or duplicated when mode is vue-scoped by Jungzl · Pull Request #4829 · unocss/unocss

这个 PR 已经无法跟上最新版本，所以这招暂时行不通，否则应该是最优解。

Tailwind CSS 完整用法

这个时候感觉到 UnoCSS 存在问题，又换回 Tailwind CSS，发现其存在一个 preflight 机制（https://tailwindcss.com/docs/preflight）：简单来说就是给浏览器的那些自带样式清空。

正常情况下，我们用 Tailwind CSS v4，只需要在 CSS 里面引入一句：

1

@import "tailwindcss";

实际上里面包含了：

1
2
3
4

@layer theme, base, components, utilities;@import "tailwindcss/theme.css" layer(theme);@import "tailwindcss/preflight.css" layer(base);@import "tailwindcss/utilities.css" layer(utilities);

这个 @layer 是什么意思呢？查询 MDN 发现，这是一个样式作用的过程，相当于不同的优先级，相当于定义CSS的作用域。

我可以给我的 Vue 组件加个 id，然后用这玩意限定一下清理的范围即可。

1
2
3
4
5
6
7

@layer theme, base, components, utilities;@import "tailwindcss/theme.css" layer(theme);#extension-root {  @import "tailwindcss/preflight.css" layer(base);}@import "tailwindcss/utilities.css" layer(utilities);

（来自：https://j5cookie.medium.com/scoping-tailwindcss-preflight-for-injected-apps-c30152f6dd8d）

但是，经过实测，这样在 Vue Scope 内并不好使，样式还是存在小问题。

回归 UnoCSS

基于上面对 Tailwind CSS 的了解，继续看回 UnoCSS 的文档，发现 UnoCSS 的 presetWind4 支持开关 Reset 样式，貌似找到了希望，紧接着还发现其支持合并+随机类名，这样可以解决冲突的问题，那就不得不用 UnoCSS 了。

比如：

1
2
3

<div class=":uno: text-center sm:text-left">  <div class=":uno: text-sm font-bold hover:text-red" /></div>

会合并成：

1
2
3

<div class="uno-qlmcrp">  <div class="uno-0qw2gr" /></div>

通过这种合并，可以避免污染外部环境，实现“隔离”的效果。但此时 Reset 样式还没解决。

使用 Vue <style scope> 解决 Reset 样式污染

首先去到 uno.config.js/ts 里面 reset: false，然后在对应的 Vue 组件里面手动导入 @unocss/reset/tailwind-v4.css，结果样式出现了部分泄露，通过对其 @layer 进行限制，即可解决这个问题。

经过测试，外部样式几乎未受影响，组件内部样式没有问题。

完整配置

vite.config.js

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22

import { defineConfig } from "vite";import vue from "@vitejs/plugin-vue";import { resolve } from "path";import UnoCSS from "unocss/vite";export default defineConfig({  plugins: [vue(), UnoCSS()],  define: {    "process.env": JSON.stringify({      NODE_ENV: process.env.NODE_ENV || "production",    }),  },  build: {    lib: {      entry: resolve(__dirname, "src/main.js"),      name: "VueApp",      fileName: (format) => `vue-app.${format}.js`,      formats: ["umd"],    },    cssCodeSplit: true,  },});

uno.config.js

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21

import { defineConfig, presetWind4, transformerCompileClass } from "unocss";export default defineConfig({  content: {    pipeline: {      include: [/\.(vue)($|\?)/],    },  },  presets: [    presetWind4({      preflights: {        reset: false,      },    }),  ],  transformers: [    transformerCompileClass({      classPrefix: "vapp-",    }),  ],});

src/App.vue

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

<script setup>import "virtual:uno.css";</script><template>  <div class="flex items-center justify-center min-h-screen bg-gray-100 ">    <button      class="p-2 bg-green-600 hover:bg-green-700 text-white rounded-lg shadow-md transition-all"    >      UnoCSS    </button>  </div></template><style scoped>@layer base;@import "@unocss/reset/tailwind-v4.css" layer(base);</style>

最后

Vue 牛逼！！！UnoCSS 牛逼！！！antfu 神！！！

本文将介绍 Linux 下安装 nerdctl 的方法。演示环境为 Fedora Cloud 43。本文所有组件均从 GitHub Releases 安装（iptables 除外），不使用包管理器，方法通用于 glibc 的 Linux 发行版。

下载地址已包含加速源，并使用 SDLP 解析最新版本。

安装 nerdctl-full

使用 nerdctl 提供的完整版安装包安装，无需手动安装后面的组件，包括 Buildkit 和 RootlessKit 等。

从 GitHub Releases 下载最新版本：

1
2
3

# wget https://github.com/containerd/nerdctl/releases/download/v2.2.0/nerdctl-full-2.2.0-linux-amd64.tar.gz -O nerdctl-full-linux-amd64.tar.gzcurl -SL "https://api.xrgzs.top/ghrelease/?repo=containerd/nerdctl&search=nerdctl-full-&filter=linux-amd64.tar.gz&mirror=auto" -o nerdctl-full-linux-amd64.tar.gz

解压安装：

1

sudo tar Cxzvf /usr/local nerdctl-full-linux-amd64.tar.gz

安装 iptables：

1
2

# sudo apt install iptablessudo dnf install iptables

启用 containerd systemd 服务：

1
2

sudo systemctl daemon-reloadsudo systemctl enable --now containerd

运行容器：

1
2

sudo nerdctl pull nginx:latestsudo nerdctl run -p 80:80 nginx:latest

CLI 使用方法类似 Docker，只有少数功能如 Swarm 不支持。

如需配置 Rootless 容器，请跳转到 [配置 Rootless](#配置 Rootless) 一节。

安装 Containerd

Containerd 是一个来自 Docker 的容器运行时，并实现了 CRI 规范。nerdctl 运行容器需要 Containerd。

从 GitHub Releases 下载最新版本：

1
2
3

# wget https://github.com/containerd/containerd/releases/download/v2.2.0/containerd-2.2.0-linux-amd64.tar.gz -O containerd-linux-amd64.tar.gzcurl -SL "https://api.xrgzs.top/ghrelease/?repo=containerd/containerd&search=containerd-2&filter=linux-amd64.tar.gz&mirror=auto" -o containerd-linux-amd64.tar.gz

解压安装：

1

sudo tar Cxzvf /usr/local containerd-linux-amd64.tar.gz

创建 systemd 配置：

1

sudo curl -SL https://gh.xrgzs.top/https://raw.githubusercontent.com/containerd/containerd/main/containerd.service -o /usr/lib/systemd/system/containerd.service

启用 systemd 服务：

1
2

sudo systemctl daemon-reloadsudo systemctl enable --now containerd

安装 RunC

Containerd 用 RunC 运行容器。

从 GitHub Releases 下载最新版本：

1
2
3
4

# sudo wget https://github.com/opencontainers/runc/releases/download/v1.3.3/runc.amd64 -O /usr/local/sbin/runcsudo curl -SL "https://gh.xrgzs.top/https://github.com/opencontainers/runc/releases/latest/download/runc.amd64" -o /usr/local/sbin/runcsudo chmod 755 /usr/local/sbin/runc

安装 CNI Plugin

Containerd 用 CNI（容器网络接口）管理网络，如 bridge、macvlan 等。

从 GitHub Releases 下载最新版本：

1
2
3

# wget https://github.com/containernetworking/plugins/releases/download/v1.8.0/cni-plugins-linux-amd64-v1.8.0.tgz -O cni-plugins-linux-amd64.tgzcurl -SL "https://api.xrgzs.top/ghrelease/?repo=containernetworking/plugins&search=cni-plugins-linux-amd64&filter=tgz&mirror=auto" -o cni-plugins-linux-amd64.tgz

解压安装：

1
2

sudo mkdir -p /opt/cni/binsudo tar Cxzvf /opt/cni/bin cni-plugins-linux-amd64.tgz

需要注意的是，CNI 依赖 iptables 命令，所以还需安装 iptables。

1
2

# sudo apt install iptablessudo dnf install iptables

安装 nerdctl

从 GitHub Releases 下载最新版本：

1
2
3

# wget https://github.com/containerd/nerdctl/releases/download/v2.2.0/nerdctl-2.2.0-linux-amd64.tar.gz -O nerdctl-linux-amd64.tar.gzcurl -SL "https://api.xrgzs.top/ghrelease/?repo=containerd/nerdctl&search=nerdctl-&filter=linux-amd64.tar.gz&mirror=auto" -o nerdctl-linux-amd64.tar.gz

解压安装：

1

sudo tar Cxzvf /usr/local/bin nerdctl-linux-amd64.tar.gz

（可选）安装 Buildkit

如果需构建容器，则需要安装 Buildkit。

从 GitHub Releases 下载最新版本：

1
2
3

# wget https://github.com/moby/buildkit/releases/download/v0.26.2/buildkit-v0.26.2.linux-amd64.tar.gz -O buildkit-linux-amd64.tar.gzcurl -SL "https://api.xrgzs.top/ghrelease/?repo=moby/buildkit&search=buildkit-&filter=linux-amd64.tar.gz&mirror=auto" -o buildkit-linux-amd64.tar.gz

解压安装：

1

sudo tar Cxzvf /usr/local buildkit-linux-amd64.tar.gz

（可选）安装 RootlessKit + slirp4netns

如需使用 nerdctl 的 rootless 容器，需要安装这两个组件。

1. RootlessKit 是使用 Linux 的用户命名空间原生实现的 fake root。
2. slirp4netns 为非特权网络命名空间提供用户模式网络（slirp）。

从 GitHub Releases 下载最新版本：

1
2
3

# wget https://github.com/rootless-containers/rootlesskit/releases/download/v2.3.5/rootlesskit-x86_64.tar.gz -O rootlesskit-x86_64.tar.gzcurl -SL "https://gh.xrgzs.top/https://github.com/rootless-containers/rootlesskit/releases/latest/download/rootlesskit-x86_64.tar.gz" -o rootlesskit-x86_64.tar.gz

解压安装：

1

sudo tar Cxzvf /usr/local/bin rootlesskit-x86_64.tar.gz

slirp4netns 下载安装：

1
2
3
4

# sudo wget https://github.com/rootless-containers/slirp4netns/releases/download/v1.3.3/slirp4netns-x86_64 -O /usr/local/bin/slirp4netnssudo curl -SL "https://github.com/rootless-containers/slirp4netns/releases/latest/download/slirp4netns-x86_64" -o /usr/local/bin/slirp4netnssudo chmod 755 /usr/local/bin/slirp4netns

配置 Rootless

使用 nerdctl 提供的 containerd-rootless-setuptool.sh check 检查一下依赖是否配置正确：

1
2
3
4
5

[fedora@fedora ~]$ containerd-rootless-setuptool.sh check[INFO] Checking RootlessKit functionality[INFO] Checking cgroup v2[INFO] Checking overlayfs[INFO] Requirements are satisfied

没问题就可以执行 containerd-rootless-setuptool.sh install 安装 rootless 的 daemon 了。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44

[fedora@fedora ~]$ containerd-rootless-setuptool.sh install[INFO] Checking RootlessKit functionality[INFO] Checking cgroup v2[INFO] Checking overlayfs[INFO] Requirements are satisfied[INFO] Creating "/home/fedora/.config/systemd/user/containerd.service"[INFO] Starting systemd unit "containerd.service"+ systemctl --user start containerd.service+ sleep 3+ systemctl --user --no-pager --full status containerd.service● containerd.service - containerd (Rootless)     Loaded: loaded (/home/fedora/.config/systemd/user/containerd.service; disabled; preset: disabled)    Drop-In: /usr/lib/systemd/user/service.d             └─10-timeout-abort.conf     Active: active (running) since Fri 2025-11-21 02:47:37 UTC; 3s ago Invocation: 560889ac8bec4de48bcb83b292092485   Main PID: 3871 (rootlesskit)      Tasks: 31     Memory: 20.2M (peak: 20.2M)        CPU: 168ms     CGroup: /user.slice/user-1000.slice/user@1000.service/app.slice/containerd.service             ├─3871 rootlesskit --state-dir=/run/user/1000/containerd-rootless --net=slirp4netns --mtu=65520 --slirp4netns-sandbox=auto --slirp4netns-seccomp=auto --disable-host-loopback --port-driver=builtin --copy-up=/etc --copy-up=/run --copy-up=/var/lib --propagation=rslave --detach-netns /usr/local/bin/containerd-rootless.sh             ├─3890 /proc/self/exe --state-dir=/run/user/1000/containerd-rootless --net=slirp4netns --mtu=65520 --slirp4netns-sandbox=auto --slirp4netns-seccomp=auto --disable-host-loopback --port-driver=builtin --copy-up=/etc --copy-up=/run --copy-up=/var/lib --propagation=rslave --detach-netns /usr/local/bin/containerd-rootless.sh             ├─3918 slirp4netns --mtu 65520 -r 3 --disable-host-loopback --enable-seccomp --userns-path=/proc/3890/ns/user --netns-type=path /proc/3890/root/run/user/1000/containerd-rootless/netns tap0             └─3926 containerdNov 21 02:47:37 fedora containerd-rootless.sh[3926]: time="2025-11-21T02:47:37.434258032Z" level=info msg="loading plugin" id=io.containerd.ttrpc.v1.otelttrpc type=io.containerd.ttrpc.v1Nov 21 02:47:37 fedora containerd-rootless.sh[3926]: time="2025-11-21T02:47:37.434266430Z" level=info msg="loading plugin" id=io.containerd.grpc.v1.healthcheck type=io.containerd.grpc.v1Nov 21 02:47:37 fedora containerd-rootless.sh[3926]: time="2025-11-21T02:47:37.434275558Z" level=info msg="loading plugin" id=io.containerd.grpc.v1.cri type=io.containerd.grpc.v1Nov 21 02:47:37 fedora containerd-rootless.sh[3926]: time="2025-11-21T02:47:37.434283355Z" level=info msg="Connect containerd service"Nov 21 02:47:37 fedora containerd-rootless.sh[3926]: time="2025-11-21T02:47:37.434346716Z" level=info msg="using experimental NRI integration - disable nri plugin to prevent this"Nov 21 02:47:37 fedora containerd-rootless.sh[3926]: time="2025-11-21T02:47:37.434404243Z" level=warning msg="Running CRI plugin in a user namespace typically requires disable_apparmor and restrict_oom_score_adj to be true"Nov 21 02:47:37 fedora containerd-rootless.sh[3926]: time="2025-11-21T02:47:37.434880822Z" level=warning msg="failed to load plugin" error="failed to create CRI service: failed to create cni conf monitor for default: failed to watch cni conf dir /etc/cni/net.d: permission denied" id=io.containerd.grpc.v1.cri type=io.containerd.grpc.v1Nov 21 02:47:37 fedora containerd-rootless.sh[3926]: time="2025-11-21T02:47:37.435180666Z" level=info msg=serving... address=/run/containerd/containerd.sock.ttrpcNov 21 02:47:37 fedora containerd-rootless.sh[3926]: time="2025-11-21T02:47:37.435245256Z" level=info msg=serving... address=/run/containerd/containerd.sockNov 21 02:47:37 fedora containerd-rootless.sh[3926]: time="2025-11-21T02:47:37.435264820Z" level=info msg="containerd successfully booted in 0.093982s"+ systemctl --user enable containerd.serviceCreated symlink '/home/fedora/.config/systemd/user/default.target.wants/containerd.service' → '/home/fedora/.config/systemd/user/containerd.service'.[INFO] Installed "containerd.service" successfully.[INFO] To control "containerd.service", run: `systemctl --user (start|stop|restart) containerd.service`[INFO] To run "containerd.service" on system startup automatically, run: `sudo loginctl enable-linger fedora`[INFO] ------------------------------------------------------------------------------------------[INFO] Use `nerdctl` to connect to the rootless containerd.[INFO] You do NOT need to specify $CONTAINERD_ADDRESS explicitly.

根据提示，使用 systemctl --user (start|stop|restart) containerd.service 管理 containerd 服务，如需开机自启容器，需要执行 sudo loginctl enable-linger $USER。

配置 注册表镜像

nerdctl 使用 containerd 拉取镜像，所以需要修改 containerd 的配置：

由于镜像具有时效性，具体看这篇文章：

https://www.xrgzs.top/posts/docker-cmd#containerd

然后重启 containerd：

1

sudo systemctl restart containerd

验证配置：

1

sudo nerdctl pull nginx

如果你使用的是其他镜像源（如 gcr.io、quay.io），按同样方式在 /etc/containerd/certs.d/ 下创建对应目录和 hosts.toml 文件即可。

同源策略

浏览器通过实施同源策略（Same Origin Policy）保障用户安全：若两个页面来自同一源，则允许彼此交互。这里的“同一源”指的是页面的域名、端口和协议完全一致。

小练习

以下 URL 分别与 https://www.example.com 是否同源？

URL	同源？
https://www.example.com/profile	是 - 协议、域名和端口匹配，即使路径不同
http://www.example.com	否 - 协议不同
https://www.anotherwebsite.com	否 - 域名不同
https://www.example.com:8080	否 - 端口不同

同源策略可防止恶意网站在用户被诱骗访问其他网站时从其他网站读取敏感数据。例如，黑客的网站不能包含来自 Facebook 的 HTML，不然的话访问他们的网站，则可以轻松抓取您的个人资料。

1
2
3
4
5
6
7
8

// hack-attempt.js/** * 尝试访问用户资料 */fetch("https://www.facebooke.com/profile").catch((err) => {  // 浏览器会因为页面位于不同来源（origin）而导致此代码失败。  // 这样可以防止黑客抓取数据。});

解决跨域问题

当网页中的 JavaScript 发起跨域 Ajax 请求时，这个请求会被发送出去吗？

实际上，大多数情况下，即便浏览器检测到跨域，请求依然会被发送至服务器。不过，请求成功发出并不意味着一定能获取到结果。当然，像 CSP（Content-Security-Policy，内容安全策略）这类特殊场景，不在本次讨论范围内。

当服务器接收到请求后，会返回一个响应，该响应随后到达浏览器。浏览器会执行一些校验，以确认请求是否允许通过。

如果校验成功，浏览器将把请求的结果，即服务器的响应结果交付给 JavaScript，使得 JavaScript 能够正常触发事件并接收服务器的响应。相反，如果浏览器的校验未通过，将引发一个跨域错误。我们平时遇到的各类跨域错误，根源都是浏览器的校验未通过。

此外对于静态资源，如图片、视频、音频，默认允许跨域加载，无需 CORS；但当你需要使用相关 API （如：Canvas）对其进行处理时，又会需要启用 CORS。

理解了跨域问题的产生原因后，解决思路其实很清晰：只要让请求通过浏览器的校验即可。

要实现这一点，首先需要明确校验的依据，即 CORS 规则。采用 CORS 方案解决跨域问题，本质上就是让请求满足 CORS 校验规则，从而顺利通过校验。接下来，我们将深入剖析 CORS 规则的具体内容，明确其核心机制，并探讨如何让请求符合规则以通过校验。

CORS

跨源资源共享（CORS，Cross-Origin Resource Sharing）是一种基于 HTTP 头的机制，用于浏览器校验跨域请求，它的基本理念是：

1. 只要服务器明确表示允许，则校验通过；
2. 服务器明确拒绝或没有表示，则校验不通过。

使用 CORS 的前提：必须保证服务器是“自己人”。

校验规则

CORS 将请求分为两类：简单请求和预检请求。

简单请求和预检请求的校验方式不同，简单请求的校验过程较为宽松，而预检请求的校验过程则更为严格。

那么，什么请求是简单请求，什么请求是预检请求？简单请求怎么校验，预检请求又是怎么校验的？

简单请求和预检请求

简单请求有三个条件，这些条件必须全部得到满足：

1. 请求方法为：GET、HEAD、POST（列入 CORS 白名单的请求标头方法，CORS-safelisted method）
2. 头部字段满足 CORS 安全规范（列入 CORS 白名单的请求标头，CORS-safelisted request header）
3. 请求头的 Content-Type 为：
   • text/plain
   • multipart/form-data
   • application/x-www-form-urlencoded

如果有一项条件未被满足，那么该请求将被视为预检请求（Preflight）。

接下来，我们将通过一些示例来区分简单请求与预检请求。

首先需要确保浏览器开发者工具的网络中已勾选显示“方法”一列。

例 1

1

fetch("https://www.douyin.com");

请求方法默认为 GET，头部未动，且 Content-Type 未更改，则该请求为简单请求。

例 2

1
2
3
4
5

fetch("https://douyin.com", {  headers: {    a: 1,  },});

这是一个 GET 请求，但操作了头部，导致头部不再满足安全规范，那么这个请求就变成了一个预检请求。

所以，GET 请求不一定是预检请求。

例 3

1
2
3
4

fetch("https://www.douyin.com", {  method: "POST",  body: JSON.stringify({ a: 1, b: 2 }),});

这是一个 POST 请求，那 POST 一定是预检吗？我们通过测试发现这是一个简单请求。上面说的 POST 方法是满足的，也没有动头部，所以这是一个简单请求。

因此，POST 请求也不一定是预检请求。

部分第三方库，如 axios，在发送 POST 请求时，通常内部会有一些处理，会自动修改 Content-Type，不满足上述第三条，因此会变成预检请求，等同于例 4。

1 2	axios.post("https://www.douyin.com", { a: 1, b: 2 });// Content-Type: application/json

例 4

1
2
3
4
5
6
7

fetch("https://www.douyin.com", {  method: "POST",  headers: {    "content-type": "application/json",  },  body: JSON.stringify({ a: 1, b: 2 }),});

预检请求

简单请求的校验方式

简单请求的校验过程非常简单。当用户发起请求时，浏览器会自动添加 Origin 头，其中包含请求来源页面的完整信息（协议、域名、端口）。服务器接收请求后，将依据该头信息判断是否允许跨域访问。

若服务器允许访问，会通过以下两种方式告知浏览器：

1. 将 Access-Control-Allow-Origin 响应头设置为请求时的 Origin 值；
2. 直接将 Access-Control-Allow-Origin 响应头设为 *，表示允许所有域名访问。

在实际应用中，切忌为图简便而直接使用星号，应明确指定具体的 Origin，否则可能引发安全隐患及细节问题。

此外需要注意一个细节：Access-Control-Allow-Origin 仅能定义单个 Origin。若需允许多个 Origin 跨域且不使用星号，需在服务器端配置动态规则，仅返回当前请求对应的 Origin 即可。

预检请求的校验方式

预检请求的执行分为两个步骤，流程如下：

1. 发送预检请求

   • 浏览器首先向服务器发起询问（采用OPTIONS方法）。例如，来源为http://my.com的页面计划通过POST方法请求服务器，且需携带a、b、content-type等请求头时，会先触发预检。
   • 此时不会发送真实的请求体。
   • 若服务器拒绝该预检请求，真实请求将不会发送。
   • 若服务器同意，则会返回以下响应头：
     • Access-Control-Allow-Origin、Access-Control-Allow-Methods、Access-Control-Allow-Headers：明确允许的来源、方法和请求头
     • Access-Control-Max-Age：指定预检结果的缓存时间（TTL），在该时间内，相同情况的请求无需重复执行预检，可减少请求次数

   

2. 发送真实请求

   • 流程与简单请求一致

小练习

1. 领导要求前端通过 CORS 自行解决页面跨域问题，前端能否独立完成？
2. 前端在页面中用 Ajax 调用抖音 API 时遇到跨域问题，能否通过 CORS 自行解决？
3. 跨域上传图片正常，但提交普通表单却出现跨域问题，可能的原因是什么？

JSONP

JSONP（JSON with Padding）是解决跨域问题的古老方案。

JSONP 利用了同源策略中，对 script 标签的跨域请求限制较小这一点实现跨域。

实现

JSONP 通过动态创建 script标签，绕过浏览器同源策略限制，服务器返回执行回调函数的 JavaScript 代码，客户端预先定义函数接收数据，实现跨域数据获取，适用于无 CORS 支持的旧项目。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

function callback(resp) {  console.log(resp);}function request(url) {  const script = document.createElement("script");  script.src = url;  script.onload = function () {    script.remove();  };  document.body.appendChild(script);}document.querySelector("button").onclick = function () {  request("http://localhost:8000/api/user");};

服务器返回：

1
2
3
4
5

callback([  { name: "monica", age: 17, sex: "female" },  { name: "姬成", age: 27, sex: "male" },  { name: "邓旭明", age: 37, sex: "male" },]);

示例

这里以 Hitokoto 一言接口为例：

1
2
3
4
5
6
7

<p id="hitokoto">  <a href="#" id="hitokoto_text">:D 获取中...</a></p><script  src="https://v1.hitokoto.cn/?encode=js&select=%23hitokoto"  defer></script>

其 JavaScript 中的内容如下，其var hitokoto= 后面的内容每次都不一样，从而实现动态随机的效果：

1
2
3
4
5
6
7

(function hitokoto() {  var hitokoto = "刀剑无眼，匠人有情。人情二字。不就是人类最引以为傲的事物吗？";  var dom = document.querySelector("#hitokoto");  Array.isArray(dom)    ? (dom[0].innerText = hitokoto)    : (dom.innerText = hitokoto);})();

可以看到这个东西权限很大，甚至可以改 DOM，所以存在一定安全风险，尤其是外站链接。网站开发者和管理员应该警惕这种方式。

反向代理

对于一些来自外部的接口，我们通常无法直接为其添加 Access-Control-Allow-* 系列响应头。此时，可通过反向代理方案解决：将目标接口代理至我们的服务器，再由我们的服务器为其补充所需的响应头。下面会给出一些具体的配置示例。

使用 Express

对于 NodeJS 开发，可以使用 Express 的 cors 中间件实现跨域反向代理。

https://expressjs.com/en/resources/middleware/cors.html

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

const express = require("express");const cors = require("cors");const { createProxyMiddleware } = require("http-proxy-middleware");const app = express();app.use(cors());app.use(  createProxyMiddleware({    router: (req) => new URL(req.path.substring(1)),    pathRewrite: (path, req) => new URL(req.path.substring(1)).pathname,    changeOrigin: true,    logger: console,  }));app.listen(8088, () => {  console.info("proxy server is running on port 8088");});

使用 nginx

这里以 nginx 为例，给出下面的参考配置：

前端和后端都在同一个域名

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

server {    listen 80;    server_name a.com;    location / {        root html;        index index.html index.htm;    }    location /api {        proxy_pass http://api:8000;        # proxy_pass http://api:8000/;        # HTTP 协议版本和连接设置        proxy_http_version 1.1;        proxy_set_header Connection "";        # 传递客户端信息        proxy_set_header Host $host;        proxy_set_header X-Real-IP $remote_addr;        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;        proxy_set_header X-Forwarded-Proto $scheme;    }}

前端和后端不在同一个域名

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41

server {    listen 80;    server_name a.com;    location / {        root html;        index index.html index.htm;    }}server {    listen 80;    server_name api.a.com;    location / {        proxy_pass http://api:8000;        # HTTP 协议版本和连接设置        proxy_http_version 1.1;        proxy_set_header Connection "";        # 传递客户端信息        proxy_set_header Host $host;        proxy_set_header X-Real-IP $remote_addr;        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;        proxy_set_header X-Forwarded-Proto $scheme;        # CORS 设置        add_header Access-Control-Allow-Origin "http://a.com";        add_header Access-Control-Allow-Credentials true;        # OPTIONS 预检请求需要完整的 CORS 头部        if ($request_method = 'OPTIONS') {            add_header Access-Control-Allow-Origin "http://a.com";            add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS";            add_header Access-Control-Allow-Headers "Content-Type, Authorization";            add_header Access-Control-Allow-Credentials true;            return 204;        }    }}

上述代码仅供参考，请根据实际情况调整。注意 NGINX 中的 if is evil，需要测试是否能够正常工作。

使用 Vite

在项目的开发环境中，如果遇到跨域问题，可以使用 Vite 对接口进行反代。

详情请看官方文档：https://cn.vite.dev/config/server-options.html#server-proxy

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44

export default defineConfig({  server: {    proxy: {      // 字符串简写写法：      // http://localhost:5173/foo      // -> http://localhost:4567/foo      "/foo": "http://localhost:4567",      // 带选项写法：      // http://localhost:5173/api/bar      // -> http://jsonplaceholder.typicode.com/bar      "/api": {        target: "http://jsonplaceholder.typicode.com",        changeOrigin: true,        rewrite: (path) => path.replace(/^\/api/, ""),      },      // 正则表达式写法：      // http://localhost:5173/fallback/      // -> http://jsonplaceholder.typicode.com/      "^/fallback/.*": {        target: "http://jsonplaceholder.typicode.com",        changeOrigin: true,        rewrite: (path) => path.replace(/^\/fallback/, ""),      },      // 使用 proxy 实例      "/api": {        target: "http://jsonplaceholder.typicode.com",        changeOrigin: true,        configure: (proxy, options) => {          // proxy 是 'http-proxy' 的实例        },      },      // 代理 websockets 或 socket.io 写法：      // ws://localhost:5173/socket.io      // -> ws://localhost:5174/socket.io      // 在使用 `rewriteWsOrigin` 时要特别谨慎，因为这可能会让      // 代理服务器暴露在 CSRF 攻击之下      "/socket.io": {        target: "ws://localhost:5174",        ws: true,        rewriteWsOrigin: true,      },    },  },});

总结

graph TD    A[前端遇到跨域问题] --> B{是否能更改后端？}    B --是--> C{浏览器是否支持跨域？}    B --否--> D[反向代理]    C --支持--> E[CORS]    C --不支持--> F[JSONP]

安装 Rclone

https://rclone.org/install/

一般包管理器都带 Rclone，可以直接 apt、pacman、brew、scoop 等安装。

添加 WebDAV

需要在 OpenList 的用户设置中放开用户的 WebDAV 权限，建议为 WebDAV 专门创建一个用户。

然后参考：

https://rclone.org/webdav/

用 rclone config 一步一步添加即可，服务器地址填写你的 OpenList 地址 + /dav，如：http://your-openlist/dav。

配置完后注意保管好你的 rclone.conf。

使用 Rclone

在终端中输入以下命令，或者将其写成脚本然后执行：

复制

1

rclone --progress --timeout 0 --transfers 1 --ignore-existing --tpslimit 0.5 copy openlist:源路径 openlist:目标路径

同步

1

rclone --progress --timeout 0 --transfers 1 --tpslimit 0.5 sync openlist:源路径 openlist:目标路径

删除

1

rclone --progress --timeout 0 --transfers 1 --tpslimit 0.5 delete openlist:源路径 openlist:目标路径

调优

部分网盘可能需要添加以下参数：

• --ignore-times：忽略文件修改时间，强制同步，适合同步大量实时性的文件的情况

• --ignore-existing：跳过已经存在的文件，部分网盘如果不加此选项会出现多个同名文件

• --delete-before：同步前删除已经存在的文件，部分网盘如果不加此选项会出现文件冲突导致无法上传

• --tpslimit 0.5：限制文件请求速率，避免请求速度过快导致网盘账号、IP 被封

• --max-size 8G：限制上传的最大文件大小，避免超出网盘限制导致上传失败

• --min-size 100B：限制上传的最小文件大小，避免上传过小文件（大小为 0）导致网盘风控

• -vv：显示详细的调试信息，方便排查问题

自动同步

其实可以复制以上两点粘贴给 AI 让它给你生成脚本，肯定比我给你的好。

或者直接给你的同步命令写死也行，避免各种变量绕的头晕。

然后使用各种定时工具让它自动执行，最好能记录执行日志方便后期排错，比如 1Panel / BT 的计划任务、青龙等。

背景

自从国内这些运营商开始打击 PCDN 后，整个个网络质量就越来越差。尤其是那个什么流量结算，让跨运营商、跨地区的网络变得十分难用。

不少人认为运营商不能以打击 PCDN 为由限制 NAS 用户备份文件。对于这种情况，本人也是见怪不怪了。其实，这个时候对于运营商来说，不管你跑不跑 PCDN，只要是上传大的，对他流量结算的影响都是一样的。见过很多投诉解开了，回去跑两天 BT / PT、NAS 备份、直播，又给封了的。所以不用抱着侥幸心理，只要这个流量结算存在，不管你跑不跑 PCDN，你上传到省外的流量那么大，不封你封谁。

众所周知，狗子经常使用网盘备份大量文件，属于运营商口中的“上传大户”，换哪家来了都受不了。反正狗子不跑 PCDN / BT / PT，也没有跑的意义，100M 小水管连狗子自己都不够用，更不会去弄个 PCDN 增加连接数去恶心自己的用网体验，最后连电费都跑不回本。而且就算是当时被关 IPv6 + 改 NAT4 的时候，对狗子的使用也没有任何影响，该备份的照样上传，速度也能够跑满，组网也能直连（其他的节点是 NAT1），远程串流一点都不卡，后面倒是投诉解封恢复了。

反倒是后面出的这个限速 5M 的政策，属实给狗子恶心坏了。本人最近有串流的需求，其实不介意中转，但这个串流即使中转也只有 5M 的概念就是连串流 720P 低画质都会卡，直接没法用，就不得不折腾一下了。目前还没到投诉的地步，毕竟测速测不出来，也找不到理由。当然走另外的协议也不是不行，就是要折腾一堆七七八八的东西，搞不好要自己写串流客户端之类的，或者是电脑后台挂一个命令窗口，用起来贼膈应。不然为了串流只能再开一条宽带 / CPE 了。

https://v2ex.com/t/1118730

折腾

当时是用 iperf3 测速，发现速度不对，换了好多个组网软件，全都不对劲。用各种测速测上行都能跑满，上传知名的网盘也可以跑满，就是传私人的服务跑不满。最抽象的是那个运营商的网盘不在白名单里面就离谱。折腾半天发现是运营商的问题，去网上一搜发现这种是普遍现象。没过几天，狗子的 B 站首页就天天被各种限速的案例刷屏了，哈哈。

不过当时发现 HTTP 没有出现限速的问题，就将上传的地址改成 HTTP，虽然不安全，但是能跑满。试了只要套 SSL/TLS 就限速，HTTP + Websocket 也是不行的。据说部分地区又是反过来，不知道是不是听反指令了，哈哈。

后面无意间发现往 VPS 上传数据的时候发现 SSH 能跑满，然后发现 FRP 支持用 SSH，试了下，确实可以跑满，而且超级安全，就给一些异地备份的工作改用这套传输方案，缺点是 SSH 加解密传输超级吃 CPU。

然后平时上传大文件的话就分流到另一条没限速的宽带。反正根据木桶效应，虽然会比现在这条宽带慢一点，毕竟那边只给 30~50M 上行，但肯定是要比被限制的 5M 要快得多，至少快 3 倍以上。如果没有宽带的话，各大云厂商也有一些大带宽的服务器，可以了解一下，这些服务器通常都有三网 BGP 接入，而且都是运营商的大客户，一般不会轻易限速（遇到蝗虫邻居另当别论），便宜一般是签了“对赌”协议。为了避免推广嫌疑，这里就不说名称了。而且需要注意使用限制，建议到手 dd 系统。

说回到工具。其实狗子很早就尝试过给 OpenWrt 编译 nf_deaf 了，但是没用，看了下它那个默认 payload 是 FTP 协议，估计 FTP 没在白名单里面，狗子这边测试速度还是一样的垃。网络上发现有些人还是可以使用这个默认的 payload 突破上行的，不然狗子差点以为这个工具就是哄人的。

https://v2ex.com/t/1120910

https://github.com/LGA1150/nf_deaf

至于 udp2raw，由于这玩意是是 C/S 模式，双方都要使用，直接放弃。

然后最近又出现了 FakeHTTP、FakeSIP，打算试用一下，最好能够解决问题。

https://v2ex.com/t/1135702

https://github.com/MikeWang000000/FakeHTTP

https://github.com/MikeWang000000/FakeSIP

前提

首先是你的宽带要已经被限速。没被限速但是要访问被限速的，也可以试试看。

• 这里说的 5M 指的是 5 Mbps，单位是比特不是字节，如果你的上传速度是 5 MBytes/s，相当于是 50M 的上行，为正常现象。国内宽带 1000M 配 30M 上行都算正常。

另外常见的限速案例大致分两种：

• 一种是高科技 QoS，基于 DPI 深度包检测，白名单外限速，那你就需要知道你用的哪些网站没有被限速；
• 一种是胡子眉毛一把抓，所有流量统统限速，有的案例甚至用运营商的自己省内的测速工具都测不达标，这种情况下就要么投诉、要么换网吧。

当然还有特殊情况，比如限制连接数、DNS 解析等，反正都是低劣的手段。

此外对于路由器的系统也是有一定的要求，最好是 OpenWrt 系统。建议使用软路由，且确保 CPU 性能足够。

如果你的路由器、服务器支持开启 BBR 加速，据说有效果，你也可以开启试试看，反正狗子早就开了，没效果。

https://mp.weixin.qq.com/s/wsqbU0b1PVIlN5Oz-glafA

原理

在 TCP 三次握手之后，立即发送一个 HTTP GET 请求，Host 为指定域名。使用 NFQUEUE 实现。

在 TCP 连接建立时，使用较小的 TTL 发送 HTTP 特征。HTTP 特征由于 TTL 值很低，被半路丢弃，目标服务器收不到，所以不需要任何处理。这样既通过了运营商的检测，又不会到达服务器。

其实这个相当骗运营商说是你在用 HTTP 协议请求一个白名单内的网站。

另外要说明一下这个 FakeHTTP 不是内核模块，这点和 nf_deaf 不太一样。它的原理跟那些透明代理插件有点像，走的是 iptables 之类的防火墙。

FakeHTTP 的一个好处是不要求用户编译，不然 OpenWrt 用的 C 库是 musl 不是 glibc，直接在 Ubuntu 这种下面用 gcc 编译的用不了，哪怕都是 x86_64，你还要去折腾 OpenWrt 的那套编译工具链，编译完还要配置防火墙，各种掩码，头都给你搞大。FakeHTTP 就没有这种麻烦，防火墙那些都会自动给你调好，等稳定了说不定哪天直接合入 OpenWrt 软件库，到时候连依赖安装都没这么麻烦。

FakeSIP 和 FakeHTTP 原理类似，但作用于 UDP，模拟视频会议类软件用的 SIP 协议。

使用

https://github.com/MikeWang000000/FakeHTTP/wiki

首先，打开路由器的 SSH，然后用 SSH 工具连接到你的路由器。

执行命令，安装以下内核模块与 iptables 扩展。现在新一点的 OpenWrt 用的是 nftables，因此这里以 nftables 为例。如果你是 iptables，那么以下命令不适合你。

1
2

opkg updateopkg install nftables kmod-nft-queue

进入 Releases 页面，下载对应 CPU 架构的压缩包。解压后即可直接执行 fakehttp 文件。

这里直接用命令下载和安装。

FakeHTTP:

1
2
3
4

curl -L https://gh.xrgzs.top/https://github.com/MikeWang000000/FakeHTTP/releases/latest/download/fakehttp-linux-x86_64.tar.gz -o fakehttp.tar.gztar xzvf fakehttp.tar.gzchmod +x ./fakehttp-linux-x86_64/fakehttp./fakehttp-linux-x86_64/fakehttp

FakeSIP:

1
2
3
4

curl -L https://gh.xrgzs.top/https://github.com/MikeWang000000/FakeSIP/releases/latest/download/fakesip-linux-x86_64.tar.gz -o fakesip.tar.gztar xzvf fakesip.tar.gzchmod +x ./fakesip-linux-x86_64/fakesip./fakesip-linux-x86_64/fakesip

应该就能运行了，以下是执行参数，以实际的为准：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31

Usage: fakehttp [options]接口选项（Interface Options）:  -a                 作用于所有网络接口（忽略 -i）  -i <interface>     作用于指定的网络接口负载选项（Payload Options）:  -b <file>          使用二进制文件作为 TCP 负载  -e <hostname>      用于 HTTPS 混淆的主机名  -h <hostname>      用于 HTTP 混淆的主机名通用选项（General Options）:  -0                 处理入站连接  -1                 处理出站连接  -4                 处理 IPv4 连接  -6                 处理 IPv6 连接  -d                 以守护进程方式运行  -k                 杀掉正在运行的进程  -s                 启用静默模式  -w <file>          将日志写入 <file>，而不是标准错误输出高级选项（Advanced Options）:  -f                 跳过防火墙规则  -g                 禁用跃点数估算  -m <mark>          用于绕过队列的 fwmark  -n <number>        Netfilter 队列编号  -r <repeat>        重复生成的数据包 <repeat> 次  -t <ttl>           生成数据包的 TTL  -x <mask>          设置 fwmark 的掩码  -y <pct>           将 TTL 动态提升至估算跃点数的 <pct>%  -z                 使用 iptables 命令而不是 nft

接下来找到你上网的网络接口（WAN 口）。狗子这边是光猫拨号，因此没有 pppoe-wan，而是 eth1。请以实际的为准。

然后这里的主机名对应没有限速的域名。生成命令如下：

1

./fakehttp-linux-x86_64/fakehttp -h www.speedtest.cn -i eth1

执行命令，此时屏幕会输出一堆包含 IP 连接信息的日志，说明成功，否则就是环境不对，需要重新安装依赖。

如果需要设置成开机启动，可以进入 luci http://192.168.1.1/cgi-bin/luci/admin/system/startup，在 本地启动脚本 中加入以下命令，在开机时使用 -d 参数运行即可，程序会在后台运行。

1
2
3
4
5
6
7
8
9

# Put your custom commands here that should be executed once# the system init finished. By default this file does nothing./root/fakehttp-linux-x86_64/fakehttp -h www.speedtest.cn -i eth1 -d# /root/fakesip-linux-x86_64/fakesip -i eth1 -t 4 -dexit 0

如果要关闭后台运行，可以使用 -k 参数运行，会自动删除添加的防火墙规则。

1

/root/fakehttp-linux-x86_64/fakehttp -k

测速

终于到了喜闻乐见的测速环节。

首先要在测速服务器上启用 iperf3：

1

iperf3 -s

然后在电脑上连接服务器进行测速。

这里服务器是国内跨省阿里云的，那边入站应该是共享 100M，这里单线程能跑到 50M 左右，已经不错了，用 -P 8 测了下多线程能跑满。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

> iperf3 -c <服务器IP>Connecting to host <服务器IP>, port 5201[  5] local 10.0.1.123 port 12782 connected to <服务器IP> port 5201[ ID] Interval           Transfer     Bitrate[  5]   0.00-1.01   sec  11.9 MBytes  99.1 Mbits/sec[  5]   1.01-2.01   sec  15.1 MBytes   126 Mbits/sec[  5]   2.01-3.01   sec  9.00 MBytes  75.9 Mbits/sec[  5]   3.01-4.01   sec  7.88 MBytes  66.3 Mbits/sec[  5]   4.01-5.01   sec  6.25 MBytes  52.0 Mbits/sec[  5]   5.01-6.01   sec  4.12 MBytes  34.8 Mbits/sec[  5]   6.01-7.01   sec  4.50 MBytes  37.9 Mbits/sec[  5]   7.01-8.01   sec  4.88 MBytes  40.9 Mbits/sec[  5]   8.01-9.01   sec  3.62 MBytes  30.1 Mbits/sec[  5]   9.01-10.01  sec  3.75 MBytes  31.5 Mbits/sec- - - - - - - - - - - - - - - - - - - - - - - - -[ ID] Interval           Transfer     Bitrate[  5]   0.00-10.01  sec  71.0 MBytes  59.5 Mbits/sec                  sender[  5]   0.00-10.05  sec  69.3 MBytes  57.8 Mbits/sec                  receiveriperf Done.

在路由器上使用 Ctrl+C 结束运行 FakeHTTP ，然后再在电脑上用 iperf3 测速：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

> iperf3 -c <服务器IP>Connecting to host <服务器IP>, port 5201[  5] local 10.0.1.123 port 12782 connected to <服务器IP> port 5201[ ID] Interval           Transfer     Bitrate[  5]   0.00-1.01   sec  3.38 MBytes  28.1 Mbits/sec[  5]   1.01-2.00   sec   512 KBytes  4.22 Mbits/sec[  5]   2.00-3.01   sec   512 KBytes  4.16 Mbits/sec[  5]   3.01-4.00   sec   640 KBytes  5.27 Mbits/sec[  5]   4.00-5.01   sec   640 KBytes  5.21 Mbits/sec[  5]   5.01-6.01   sec   640 KBytes  5.27 Mbits/sec[  5]   6.01-7.00   sec   640 KBytes  5.25 Mbits/sec[  5]   7.00-8.00   sec   512 KBytes  4.20 Mbits/sec[  5]   8.00-9.01   sec   640 KBytes  5.19 Mbits/sec[  5]   9.01-10.01  sec   640 KBytes  5.27 Mbits/sec- - - - - - - - - - - - - - - - - - - - - - - - -[ ID] Interval           Transfer     Bitrate[  5]   0.00-10.01  sec  8.62 MBytes  7.23 Mbits/sec                  sender[  5]   0.00-10.06  sec  6.71 MBytes  5.59 Mbits/sec                  receiveriperf Done.

这个速度肯定有鬼，而且狗子是半夜三更测速，还不是用网高峰期。设置多少线程都没有用，总共加起来还是 5M。

对比说明，这个工具对于狗子的宽带在一定程度上是有用的。但经过实际测试，在狗子这对于上传 HTTPS 没有太大帮助，仅对其它的 TCP 协议有效。对于 ZeroTier 这种 UDP 协议是无用的，还需寻找 TCP 的组网工具。 FakeSIP 支持 UDP，实测 100M 上行 ZeroTier 能跑 30~50M（非跨网）。

调优

根据原帖，作者的 TTL 默认设置为 3。这里解释一下 TTL（Time to Live，生存时间）可以理解为数据包在网络中经过路由器（网关）的最大台数，每经过一台路由器就会增加一跳，就是这么简单。

由于网间结算涉及到 “3Q”——三网互相 QOS ，跨网 Q ，跨省 Q ，UDP Q ，有些时候你的运营商也是被其它运营商限速，所以根据木桶效应，需要适当增加 TTL 跳数以便让这个 HTTP 数据包达到最后一个 QOS 路由节点。

比如你在 OpenWrt 路由器上运行设置为 3 跳，假设你是光猫拨号，也就是从你的 OpenWrt 路由器开始，光猫是第 1 跳，运营商的路由器上有 2 跳，然后就停止了，那么运营商路由的那 2 跳就可以知道你的 host 是测速网，从而实现解除限速的目的，但数据包最后到不了服务器，半路就丢了。

你可以使用 nexttrace、mtr、traceroute 等路由追踪工具查看具体的路由信息。根据狗子的测试，一般“干坏事”的路由很难一次就追踪出 IP 地址，只显示 *，需要用 MTR 多次追踪才能查到。

比如狗子这里的测试结果：

• 对于国内服务器，设置 TTL 为 1、2 都是限速，直到设置 3 才解除，路由追踪刚好就那一跳显示不出来，MTR 查出来那一跳是一个地州的 IP，说明限狗子国内服务器速的路由就是地州的运营商；
• 对于某家日本 VPS，设置 TTL 为 3 都是限速，直到设置 4 才解除，路由追踪刚好就那一跳显示不出来，MTR 查出来那一跳是一个省上的 IP，说明限狗子国外服务器速的路由就是省级的运营商；
• 对于某家韩国 VPS，设置 TTL 为 4 都是限速，路由追踪有好几跳都显示不出来，那就重点试那几跳，直到设置 6 才解除，MTR 查出来那一跳是骨干网的 IP，说明限速的路由就是骨干网。
  • 像这台鸡子，说是三网优化，测试下来去程回程都一样，延迟确实不高，下行也正常，但回程的优先级肯定是排得低的

这些知识还可以在你购买的 VPS 出现 QOS 速度问题时提供参考和解决方案，当然也不是每个路由都吃测速白名单这套的。对于 iperf3 测速服务器的获取，不一定非得购买对应的服务器，某些 VPS 的买家会提供 Looking Glass Server，你可以去找找看。这里避免广告嫌疑就不放链接了，反正经常玩鸡的人应该都能找得到。

另外还有一个 -r 参数，可以设置重发次数。狗子遇到不是每一次测速都能跑满。这些参数需要你根据你的实际使用环境测试。目前程序属于测试阶段，需要等待作者进一步调优。目前还不支持 IPv6（PR：#5）。 已支持 IPv6。

另外发现如果这个 iperf3 加个 -t 0 参数一直跑着，即使给 FakeHTTP 停了，也不影响测速。反之，如果先测速，然后再开 FakeHTTP，那么测速就是 5M。说明只需要在连接建立的时候发那个 HTTP 欺骗即可，有点像 STUN + NAT1 的思路。然后发现这个作者就是打洞软件 Natter 的开发者，果然用二次元头像的都是大佬。

结尾

如果程序被优化得十分简单就可以使用，那么就会有更多的人使用这个方法来绕过限速。因为限速会影响到正常用户，快进有人到卖突破限速的路由器，搞半天还催生黑产，造成网络危险。到最后运营商不高兴，肯定会研发出新的方法来检测，最终沦为新时代多拨。

所以且用且珍惜！

更新：高位端口已寄

更新：部分地区仅能提速 10 分钟。

更新：抓取 payload 的方法（转）

2 使用 Wireshark 抓取 payload

---

目前，FakeHTTP / FakeSIP 的一些特征已经被某些地区的运营商识别（例如固定的 URL、固定的 User-Agent、无 Cookie、固定的 TLS 指纹等），使用-h -e等基础参数来绕过限速的方法大多已经失效。

作为应对，用户可以自行抓取对应网站的 payload.bin 文件，并使用-b参数来绕过运营商更严格的限速规则。

payload 文件可能包含个人隐私，请勿分享到互联网。

2.1 安装 Wireshark

**使用 Homebrew 安装：**打开 macOS 终端，执行brew install --cask wireshark-app命令，安装 Wireshark。

2.2 使用 Wireshark 进行抓包

1. 打开 Wireshark，界面中会显示本机的网卡，双击需要抓包的网卡，即可开始抓包。如果无法判断应该抓取哪张网卡，可将光标悬停在网卡名称上，会显示对应的 IP 地址。

2. 开始抓包后，在浏览器中打开www.speedtest.cn ，进行一次完整的测速。

3.测速结束后，点击 Wireshark 界面左上角的红色停止按钮，结束抓包。

2.3 导出 payload.bin 文件

1. 在 Wireshark 抓包界面中，展开“Transmission Control Protocol…”，右键单击“TCP payload…”，选择“Export Packet Bytes…”，将导出的文件命名为“payload”，并与 fakehttp 程序保存在同一文件夹下。

2.4 使用 payload 文件运行 FakeHTTP

1. 登录到 NAS 主机的 SSH，提权，并将工作目录切换到 FakeHTTP 文件的所在路径。
2. 在终端中执行./fakehttp -b payload.bin -a命令，使用-b参数调用 payload.bin 文件进行混淆。

更新：移动放大招，上“AI WAN”，此方法已无效：

原视频：https://www.bilibili.com/video/BV1YV1xBzEMX

2026 更新：不推荐使用 nvm，推荐使用 fnm。
文章已修改。

安装

Linux / macOS

1

curl -o- https://fnm.vercel.app/install | bash

也可以用 Homebrew 安装：

1

brew install fnm

Windows

Windows 这边可以用 WinGet 安装，也可以用 Scoop 安装：

1
2

winget install Schniz.fnm# scoop install fnm

配置终端

Bash / Zsh

在 ~/.bashrc 或 ~/.zshrc 中添加：

1
2

eval "$(fnm env --use-on-cd --shell bash)"# eval "$(fnm env --use-on-cd --shell zsh)"

PowerShell

PowerShell 分为 Windows PowerShell 和 PowerShell Core，两个的配置文件路径不一样，需要分别配置（如果你两个都要用的话）。

查看配置地址：

1
2

Write-Host $PROFILEif (-not (Test-Path $PROFILE)) { New-Item $PROFILE -Force }

在 $PROFILE 中添加：

1

fnm env --use-on-cd --shell powershell | Out-String | Invoke-Expression

CMD

（独家）

如果你使用 CMD，那么大概率不支持 FNM 的自动切换功能。但如果你需要在脚本中使用，可以这么写：

1
2
3
4
5
6

@echo offfnm env --shell cmd >> %TEMP%\fnm-env.cmdcall %TEMP%\fnm-env.cmddel /q %TEMP%\fnm-env.cmdnode -v

安装 Node

fnm 默认从官方服务器下载 Node.js。在中国大陆环境下，建议配置镜像以加速下载。

• 永久生效：设置环境变量 FNM_NODE_DIST_MIRROR：

1
2

export FNM_NODE_DIST_MIRROR="https://npmmirror.com/mirrors/node/"# PowerShell: $env:FNM_NODE_DIST_MIRROR="https://npmmirror.com/mirrors/node/"

1

fnm install 24

• 临时生效：

1

fnm install 24 --node-dist-mirror="https://npmmirror.com/mirrors/node/"

安装 PNPM

在安装 pnpm 前，需要换一下 NPM 源：

1

npm config --global set registry https://registry.npmmirror.com

或者：

1
2
3
4

export COREPACK_NPM_REGISTRY="https://registry.npmmirror.com"export NPM_CONFIG_REGISTRY="https://registry.npmmirror.com"# PowerShell: $env:COREPACK_NPM_REGISTRY="https://registry.npmmirror.com"# PowerShell: $env:NPM_CONFIG_REGISTRY="https://registry.npmmirror.com"

然后：

1
2
3

corepack enable pnpmpnpm -v

切换版本

1

fnm use 20

设置默认版本

1

fnm default 20

通过本文的方法你可以将 Markdown 中直接使用 <video> 元素插入的视频就可以自动替换成 ArtPlayer，这样可以在提高用户体验的同时保留原始 Markdown 文件对不同软件的兼容。

Markdown 插入视频

对于 VitePress 这种以 Markdown 文件驱动的站点，这里我们可以采用 HTML 的 <video> 元素。

1

<video src="movie.mp4" controls width="100%"></video>

或者

1
2
3
4

<video controls width="100%">  <source src="movie.webm" type="video/webm" />  <source src="movie.mp4" type="video/mp4" /></video>

这种通过 HTML 插入视频的方式最为方便，只要查看器支持渲染 Markdown 中的 HTML5 即可。尤其是我们一般写文章用的以浏览器内核（Chromium、Webkit）驱动的 Typora、VS Code、Obsidian 等，直接就可以预览。

还有一种方式是先写一个 Vue 组件，然后在 Markdown 中引用。但这种方式就有点麻烦了，因为通常你的编辑器中是不跑 Vue 的，自己搓的组件一般也无法被编辑器识别，兼容性也不好。

本文要解决的问题是如何给这个插入的视频获得更好的播放体验，因此需要将这个 <video> 元素替换成 ArtPlayer。

ArtPlayer 的加载（编写 Vue 组件）

先 NPM 安装一下：

1

pnpm add artplayer

由于 ArtPlayer 非 Web Component 组件，它的渲染原理是通过 JavaScript 代码在指定 DOM（<div>）中插入播放器的 HTML 元素。

也就是说，使用 ArtPlayer 必须从 JavaScript 创建。没有 <Artplayer> 这个元素。无法实现简单的替换。

我们肯定不想在每个 Markdown 中都写一遍 JavaScript。

好在，这里使用的是 VitePress，支持在 Markdown 中插入 Vue 组件。众所周知，Vue 组件就可以实现自定义元素的效果。这就好办了，我们可以“手搓”一个基本兼容 <video> 元素的 Vue 组件，然后全局引用不就行了？

然后给 ArtPlayer 的 Vue 组件写出来。

因为我们只需要读取视频播放地址和封面，其他信息不重要，因此可以少传入一些属性。

这里使用组合式 API（<script setup>），因为非专业前端选项式 API 看球不懂。 组合式 API 更符合函数式编程的直觉，但获取一些属性就需要调用一些 hooks。

由于我们上面提到的视频文件地址有两种方式进行定义，我们需要都进行兼容：

1. 直接 <video src="..." />，这样和 Vue 组件 Props 传值 的方式类似，可以直接通过属性读取。
2. <video><source src="aaa"><source src="bbb">...</video>，这种情况就比较难受，因为里面的那个 <source> 元素涉及到 插槽 Slots ，然后这种方式可以支持多线路。

Vue 使用的是 Virtual DOM 技术，最终生成的 div 是随机的，我们可以使用 Vue 的模板引用 refs 来获取到准确的 DOM，交给 ArtPlayer 进行渲染。

最终代码如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99

<!-- src/.vitepress/theme/components/ArtVideo.vue --><script setup lang="ts">import Artplayer from "artplayer";import { onMounted, onUnmounted, ref, useSlots } from "vue";const props = defineProps({  src: {    type: String,    required: false,    default: "",  },  poster: {    type: String,    required: false,    default: "",  },});const container = ref<HTMLDivElement>();let art: Artplayer;const slots = useSlots();const sources = ref<{ src: string; type?: string }[]>([]);if (props.src) {  sources.value.push({ src: props.src });}if (slots.default) {  const slotContent = slots.default();  const newSources = slotContent    .filter((node) => node.type === "source" && node.props?.src)    .map((node) => ({      src: node.props!.src,      type: node.props?.type || undefined,    }));  sources.value = [...sources.value, ...newSources];}onMounted(() => {  if (container.value) {    art = new Artplayer({      container: container.value,      url: sources.value[0].src,      poster: props.poster,      pip: true,      setting: true,      playbackRate: true,      aspectRatio: true,      fullscreen: true,      fullscreenWeb: true,      mutex: true,      theme: getComputedStyle(container.value).getPropertyValue(        "--vp-c-brand-3"      ),      quality:        sources.value.length > 1          ? sources.value.map((source, index) => ({              html: source.type || `线路 ${index + 1}`,              url: source.src,              default: index === 0,            }))          : [],    });    art.on("ready", () => {      art.autoHeight();    });    art.on("resize", () => {      art.autoHeight();    });    console.log(art);  }});onUnmounted(() => {  art?.destroy();});</script><template>  <div class="video-container">    <div ref="container" class="artplayer-app"></div>  </div></template><style>.video-container {  margin: 1rem 0;  border-radius: 8px;  overflow: hidden;}.artplayer-app {  width: 100%;  height: 400px;  background: #000;}</style>

上面这个组件已经满足本人的使用需求。如果你想要传更多参数对播放器进行控制，也是可以的，反正多传的参数原生组件识别不了就是了。

然后在 Markdown 中试用一下：

1
2
3
4
5

<script setup>import ArtVideo from ".vitepress/theme/components/ArtVideo"</script><ArtVideo src="movie.mp4" controls width="100%"></ArtVideo>

应该是没有问题的。

引用 Vue 组件

我们不想在每个 Markdown 中都写 JavaScript 引入前面写的 ArtVideo 组件，对于 VitePress 可以全局引用。

https://vitepress.dev/zh/guide/custom-theme#theme-interface

错误示范：

1
2
3
4
5
6
7
8
9
10

// src/.vitepress/theme/index.tsimport Video from "./components/Video.vue";export default {  // ...  enhanceApp({ app }) {    // ...    app.component("video", Video);  },};

然而没这么简单，当我们尝试全局引入，发现浏览器控制台报错：

1

[Vue warn]: Do not use built-in or reserved HTML elements as component id: video

看来我们不能全局引入名为 video 这种已经存在的元素的组件。因此，这里我们将其重命名为 ArtVideo。

1
2
3
4
5
6
7
8
9
10

// src/.vitepress/theme/index.tsimport ArtVideo from "./components/ArtVideo.vue";export default {  // ...  enhanceApp({ app }) {    // ...    app.component("ArtVideo", ArtVideo);  },};

现在我们在任意 Markdown 中插入 <ArtVideo>，可以发现视频能够正常使用 ArtPlayer 播放了。

由于我们直接通过引入名为 <video> 组件的梦想已经破灭，接下来我们需要让 VitePress 在渲染 Markdown 的时候将 <video> 替换成 <ArtVideo>。

我们需要查找相应的 API 完成对 Markdown 内容的替换。假如实在找不到，最后的一招还有正则表达式替换。

VitePress 的 Markdown 渲染

VitePress 在站点配置中给了 Markdown 的渲染配置：

https://vitepress.dev/zh/reference/site-config#markdown

1
2
3

export default {  markdown: {...}}

VitePress 使用的是 Markdown-it 这个库作为解析器，将 Markdown 渲染成 HTML 作为 Vue 的 <template>。因此我们需要知道 Markdown-it 的渲染原理，无非就是将 Markdown 解析成抽象语法树（AST），然后再生成 HTML。

可以通过这个 DEMO 的 Debug 选项看到它生成的语法树结构：

https://markdown-it.github.io/

上图是错误示范，这里的 HTML 没有启用。我们要知道 VitePress 的 HTML 解析默认是启用的。

这里我们可以看出来了，它会分别解析开放标签和闭合标签，类型都是 html_inline。

那么我们就去翻它的文档。

https://markdown-it.github.io/markdown-it/

结果发现一脸懵，一堆 API，怎么用都不知道。后面在它 GitHub 仓库主页发现还有文档：

https://github.com/markdown-it/markdown-it/blob/master/docs/examples/renderer_rules.md

根据这篇开发者文档，我们就可以轻松编写一个插件，控制这个解析的流程，完成对 HTML 元素的替换。

最后的代码如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59

// src/.vitepress/config.mtsimport { defineConfig } from "vitepress";// https://vitepress.dev/reference/site-configexport default defineConfig({  // ...  markdown: {    config: (md) => {      // https://github.com/markdown-it/markdown-it/blob/master/docs/examples/renderer_rules.md      // 自定义插件：替换 video 标签      md.use((md) => {        // 1. 处理块中的 video 标签        const defaultHtmlBlockRender =          md.renderer.rules.html_block ||          function (tokens, idx, options, env, self) {            return self.renderToken(tokens, idx, options);          };        md.renderer.rules.html_block = function (          tokens,          idx,          options,          env,          self        ) {          const content = tokens[idx].content;          // console.debug(`处理 html_block #${idx}:`, content);          if (content.includes("<video") || content.includes("</video>")) {            console.debug(`发现 video 标签在 html_block #${idx}`, content);            return content.replaceAll("video", "ArtVideo");          }          return defaultHtmlBlockRender(tokens, idx, options, env, self);        };        // 2. 处理内联的 video 标签        const defaultHtmlInlineRender =          md.renderer.rules.html_inline ||          function (tokens, idx, options, env, self) {            return self.renderToken(tokens, idx, options);          };        md.renderer.rules.html_inline = function (          tokens,          idx,          options,          env,          self        ) {          const content = tokens[idx].content;          // console.debug(`处理 html_inline #${idx}:`, content);          if (content.includes("<video") || content.includes("</video>")) {            console.debug(`发现 video 标签在 html_inline #${idx}`, content);            return content.replaceAll("video", "ArtVideo");          }          return defaultHtmlInlineRender(tokens, idx, options, env, self);        };      });    },  },});