作者： 清朝云

共计 1018 个字符，预计需要花费 3 分钟才能阅读完成。

1. Centos安装证书

把证书文件复制到 CentOS 的证书存储目录。

# 安装系统级别证书
cp ca.crt  /etc/pki/ca-trust/source/anchors/
# 安装用户级别级别证书
# mkdir -p ~/.certs
# cp ca.crt  ~/.certs
# echo "SSL_CERT_DIR=~/.certs" >>  ~/.bashrc
# source ~/.bashrc

更新系统的证书存储并将新添加的证书安装到可信证书列表中。

update-ca-trust

查看安装的证书。

cat /etc/pki/tls/certs/ca-bundle.crt

2. Ubuntu安装证书

把证书文件复制到 Ubuntu 系统的证书存储目录

# 安装系统级别证书
sudo cp ca.crt /usr/local/share/ca-certificates/

更新系统的证书存储并将新添加的证书安装到可信证书列表中。

sudo update-ca-certificates

查看安装的证书，在 /etc/ssl/certs/ca-certificates.crt 文件中能查看到安装的证书信息。

cat /etc/ssl/certs/ca-certificates.crt

3. Alpine安装证书

把证书文件复制到 Alpine 的证书存储目录。

# 容器可能没有该工具
apk add --no-cache ca-certificates
cp ca.crt /usr/local/share/ca-certificates/

更新系统的证书存储并将新添加的证书安装到可信证书列表中。

sudo update-ca-certificates

查看安装的证书。

cat /etc/ssl/certs/ca-certificates.crt

删除证书，只需要按相反的操作即可，即删除拷贝的证书文件，然后更新证书。

4. 注意事项

• 安装了证书，curl 还是报错？

考虑是不是启动了全局代理，如果启用了代理可以在 ~/.bashrc配置不走代理的域名或 ip。

export no_proxy="localhost,127.0.0.1"

需要注意的是，no_proxy 不支持通配符匹配，如 *.qcyqq.com。

• 安装了证书，但是浏览器还是提示不安全？

浏览器通常使用自己的证书存储来验证网站的安全性，这种情况可能需要去浏览器设置里面手动导入证书。

• 使用了代理，代理可以正常访问，但是自己不能正常访问？

这个具体没验证，可能是代理服务器并不支持 ssl 或 tls 连接。

提醒：本文发布于350天前，文中所关联的信息可能已发生改变，请知悉！

共计 634 个字符，预计需要花费 2 分钟才能阅读完成。

由于 Centos 默认源安装的 tmux 版本实在太低了，很多指令和插件都用不了，所以很有可能需要自己编译自己需要的 tmux 版本出来。

首先需要安装 gcc。

# ncurses-devel 为编译 tmux 所需要
yum install -y gcc ncurses-devel

想要编译 tmux，还需要先编译依赖。

# 下载解压
wget https://github.com/libevent/libevent/releases/download/release-2.0.22-stable/libevent-2.0.22-stable.tar.gz
tar xvf libevent-2.0.22-stable.tar.gz
# 编译
cd libevent-2.0.22-stable/
./configure && make
make install

这里以编译 tmux 3.3 为例。

# 下载解压
wget https://github.com/tmux/tmux/releases/download/3.3/tmux-3.3.tar.gz
tar -zxvf tmux-3.3.tar.gz
# 编译
cd tmux-3.3
./configure && make

如果报错：Curses library not found. Please install appropriate package，请安装依赖 yum -y install ncurses-devel

此时会在当前目录下生成一个 tmux 的二进制文件，只需要将二进制访问放在 bin 目录下即可。

./tmux  -V

提醒：本文发布于350天前，文中所关联的信息可能已发生改变，请知悉！

共计 2415 个字符，预计需要花费 7 分钟才能阅读完成。

一、LXC 简介

LXC 是 Linux 容器（Linux Containers）的缩写，是一种轻量级的虚拟化技术，允许在同一主机上运行多个相互隔离的 Linux 容器，每个容器都有自己的完整的文件系统、网络、进程和资源隔离环境。LXC 使用 Linux 内核提供的 cgroups 和命名空间（Namespaces）功能来实现容器隔离。

与传统的虚拟机技术不同，LXC 不需要运行完整的操作系统镜像，而是在主机操作系统上运行多个独立的用户空间，这使得 LXC 容器更加轻量级和高效。LXC 容器可以快速启动，占用更少的资源，并且可以实现更高的密度。

LXC 提供了一组工具，包括 lxc-start、lxc-stop、lxc-info、lxc-console 等，可以用来管理和操作容器。LXC 还支持多种文件系统，包括 Btrfs、ZFS、EXT4 等，可以根据需要选择不同的文件系统类型。

LXC 被广泛应用于云计算、容器化、持续集成和测试等领域，例如 Docker 就是基于 LXC 的容器技术。LXC 还被用于开发和测试环境中，可以为开发人员提供一个相对独立的开发环境，从而避免应用之间的冲突。

二、Docker VS LXC

Docker 和 LXC 都是 Linux 下的容器技术，但它们有一些区别和联系。

• 架构不同

Docker 在初期使用了 LXC 来实现容器化，但是自从 Docker 0.9 版本开始，它采用了自己的容器技术，称为 libcontainer（后来更名为 runC）。libcontainer 是一个基于进程的容器运行时，用于创建和管理容器。

runC 直接利用了 Linux 内核的命名空间、cgroups、文件系统挂载等特性，来实现容器的隔离和管理。它作为 Docker 的默认容器运行时，提供了更轻量级、更高性能的容器方案。

• 镜像构建方式不同

Docker 使用 Dockerfile 来构建镜像，Dockerfile 是一种文本文件，用来描述镜像的构建过程和依赖关系。LXC 没有类似 Dockerfile 的镜像构建方式，它使用基于文件系统的容器模板来创建容器。

• 应用场景不同

Docker 主要用于应用部署，它提供了一种轻量级、可移植、可扩展的应用部署解决方案，可以快速部署、运行和管理应用。LXC 主要用于系统虚拟化和资源隔离，它可以为每个容器提供独立的文件系统、网络、进程和资源隔离环境，可以为多个应用提供一个相对独立的开发和测试环境。

Docker 更适合构建好以后，除了数据目录，其他的不会有太多操作的情况，否则迁移的时候，如果使用 commit 的方式镜像会非常大。但是对于 lxc 容器来说，直接使用宿主机的一个文件夹或设备，维护与迁移都非常方便。比如运行 nginx，那么推荐的方式还是使用 docker，比较简单；但如果需求是在容器里面进行开发，还需要安装一大堆软件，比如 lnmp，这种情况还是推荐 lxc。

• 占用资源不同

相对于 LXC，Docker 的容器启动速度更快，占用资源更少。这是因为 Docker 容器使用了更多的技术手段来优化容器启动和运行的效率，例如使用联合文件系统（UnionFS）来共享文件系统，使用镜像层缓存来加速镜像构建，使用 Docker 镜像仓库等。

三、安装

使用下面的命令安装 LXC 在用户态的工具：

sudo apt-get install lxc

然后检查当前内核是否支持 LXC。如果所有结果都是“enable”，说明内核支持：

lxc-checkconfig 

安装完 LXC 工具后，就能看到 LXC 自动创建了一块桥接网卡 lxcbr0，可以在 /etc/lxc/default.conf 中设置。当创建了 LXC 容器后，它的网口会自动链接到这个桥接网卡上，然后这个容器就能和外部通信了。

四、基本使用

1. 创建容器

下面这条命令，将使用在线的模板进行创建一个名为 my-container 的容器。创建的容器可以在 /var/lib/lxc 文件夹下找到。进入该文件夹下的容器名称文件夹，可以看见 rootfs 文件夹和 config 文件。

• config 文件是容器的一些配置信息，这里指定了根文件系统，即 rootfs 文件夹。此外，还包含了 lxc 的公共配置文件，指定了容器

sudo  lxc-create -t download -n my-container -- -d ubuntu -r focal -a amd64

sudo lxc-create: 表示以 root 权限创建容器。

-t download: 这个参数指定使用下载模板来创建容器。下载模板允许从预定义的模板镜像下载容器文件系统，以便创建新的容器。 如果提示找不到 download 模板，那么就是 lxc 版本太低了，建议 2.0 以上

-n my-container: 这个参数指定了容器的名称。在这个命令中，容器的名称是“my-container”，你可以根据自己的需求自定义容器名称。

--: 这个横杠表示后续的参数将传递给下载模板脚本。

-d ubuntu: 这个参数指定使用的模板镜像的发行版。在这个命令中，使用的是Ubuntu发行版。

-r focal: 这个参数指定了模板镜像的版本。在这个命令中，使用的是Ubuntu的focal版本，也就是Ubuntu 20.04 LTS。

-a amd64: 这个参数指定了模板镜像的架构。在这个命令中，使用的是amd64架构，也就是64位架构。

2. 查看容器

列出所有容器

sudo lxc-ls --fancy 

查看具体容器

sudo lxc-info -n my-container

3. 启动容器

如果创建容器时，没有指定 -d 参数，则容器状态为暂停状态，需要进行启动。

sudo lxc-start -n my-container

4. 进入和退出容器

sudo lxc-attach -n my-container

进入容器后，就像进了一台新的机器一样，在这里可以干所有能在宿主机干的事情。

使用 exit 命令退出容器：

exit

5. 停止容器

sudo lxc-stop -n my-container

6. 销毁容器

sudo lxc-destroy -n my-container

提醒：本文发布于349天前，文中所关联的信息可能已发生改变，请知悉！

共计 1515 个字符，预计需要花费 4 分钟才能阅读完成。

在 Ubuntu 中，采用 ufw 管理防火墙，因为 iptables 的规则实在比较复杂，还是通过 ufw 管理比较方便，所以有必要了解一下它的基本使用方法。此外，ufw 不仅仅是 Ubuntu 可以使用，Centos 也是可以的，不过 Centos 默认使用 firewalld 管理。

1. 安装ufw

# Ubuntu安装
sudo apt-get install ufw
# Centos安装
sudo yum install ufw

2. 启用/禁用ufw

启用 ufw：

sudo ufw enable

这里需要注意的是，ufw 开启后默认会拒绝所有流量，如果是使用 ssh 连接，可能会断开。

禁用 ufw：

sudo ufw disable

3. 设置ufw默认规则

前面提到 ufw 默认是拒绝所有入流量，但是这个是可以修改的。

默认接收所有入流量：

sudo ufw default allow

默认拒绝所有入流量：

sudo ufw default deny
# sudo ufw default reject

4. 允许/拒绝特定端口

4.1 在后面添加规则

开放 22 端口：

# 开放所有
sudo ufw allow 22
# 仅对192.168.0.100开放
sudo ufw allow from 192.168.0.100
# 仅对192.168.0.100主机开放22端口
sudo ufw allow from 192.168.0.100 to any port 22
# 在指定主机的同时，只开放22端口的tcp
sudo ufw allow from 192.168.0.100 proto tcp to any port 22

关闭 22 端口：

# 拒绝所有
sudo ufw deny 22
# 拒绝整个网段
sudo ufw deny from 192.168.0.0/24
# 仅拒绝192.168.0.0/24这个网段请求22端口
sudo ufw deny from 192.168.0.0/24 to any port 22
# 限定网段的同时，指定只限制22端口的tcp
sudo ufw deny from 192.168.0.0/24 proto tcp to any port 22

4.2 在指定位置添加规则

sudo ufw insert 1 allow 22

4.3 拒绝某个端口的流量

reject 和 deny 不同的是，reject 会明确的告诉客户端拒绝，客户端能收到响应；而 deny 则是丢弃来自客户端的流量，这样客户端会一直尝试连接，直到超时。

sudo ufw reject 80

4.4 特定端口范围

可以使用 ufw 指定端口范围，一些应用程序使用多个端口，而不是单个端口。

sudo ufw allow 6000:6007/tcp
sudo ufw allow 6000:6007/udp

5. 删除特定规则

5.1 按规则删除

删除允许规则：

sudo ufw delete allow 80

删除拒绝规则：

sudo ufw delete deny 80

5.2 按序号删除

删除第一条规则

sudo ufw delete 1

6. 查看防火墙状态

sudo ufw status verbose

7. 重置防火墙

删除所有规则，并将防火墙关闭。

sudo ufw reset

8. 禁ping和取消

需要编辑 /etc/ufw/before.rules 文件：

# 禁止ping
-A ufw-before-input -p icmp --icmp-type echo-request -j DROP
# 允许ping
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT

然后执行如下命令重载 ufw 规则：

sudo ufw force-reload

注意事项

如果启用 ufw 后虚拟机无法 ping 通，原因可能是 ufw 没有允许 ip 转发导致的，编辑 /etc/default/ufw 允许 ip 转发。

DEFAULT_FORWARD_POLICY="ACCEPT"

提醒：本文发布于346天前，文中所关联的信息可能已发生改变，请知悉！

共计 1510 个字符，预计需要花费 4 分钟才能阅读完成。

之前也提到过 Docker 安装 openwrt 软路由，与本文所实现的效果类似，但是实则性能不同。在 docker 中创建 openwrt，其一需要开启网卡的混杂模式，极大了增加了 cpu 的负担，因为来自网络的所有流量都不能丢弃，都要判断目的地是不是自己；其二，需要在 openwrt 中安装软件包，实际上是对容器的修改，这种方式不利于迁移，而 lxc 容器创建的容器则没有这两个问题。想了解更多，可以参考其他大佬的这篇文章 使用lxc搭建openwrt旁路由。

如果你不了解 lxc 容器的话，请看之前的文章 Lxc 简介以及使用。

之前挺疑惑 pve 的 ct 模板是干什么用的，原来正是创建 lxc 容器使用。而 lxc 技术是使用 Linux 内核的命名空间特性来隔离不同容器之间的进程，其实容器之间是共用内核的，所以只需要一个根文件系统即可启动容器了。

好巧不巧，记得之前编译 openwrt 的时候，正好也编译了 openwrt 的根文件系统的压缩包，具体可以看文章 Openwrt 编译官方固件详解。

我这编译出来的文件名为 openwrt-x86-64-generic-rootfs.tar.gz，接下来只需要将它上传到 pve 的 ct 模板即可。

/>

此时只需要运行如下命令即可：

pct create 115 \
    local:vztmpl/openwrt-x86-generic-generic-rootfs.tar.gz \
    -rootfs local:1 \
    --ostype unmanaged \
    --hostname Openwrt \
    --arch amd64 \
    --cores 2 \
    --memory 512 \
    --swap 0 \
    -net0 bridge=vmbr0,name=eth0

• pct create 115：创建容器 id 为 115 的容器。pct 是 pve 管理 lxc 容器的命令，后面这个 id 根据自己的实际情况来。

• local:vztmpl/openwrt-x86-generic-generic-rootfs.tar.gz：指定容器的操作系统模板的路径。这里使用本地存储的容器模板 openwrt-x86-generic-generic-rootfs.tar.gz，注意，位置也有可能是 local-lvm，这个也要看实际情况。

• –rootfs local:1：指定容器的根文件系统存储位置。local:1 表示使用本地存储器位置，容量大小为1G。

• –ostype unmanaged：指定容器的操作系统类型为 unmanaged，表示该容器的操作系统不受 Proxmox VE 管理和支持。

• –hostname Openwrt：设置容器的主机名为 Openwrt。这个名称也将是在 luci 登录界面和左上角展示的名称。

• –arch amd64：指定容器的架构为 amd64，表示容器是在 x86-64 架构上运行的。

• –cores 2：分配给容器的 CPU 核心数为 2。

• –memory 512：为容器分配的内存大小为 512 MB。

• –swap 0：禁用容器的交换空间。

• -net0 bridge=vmbr0,name=eth0：配置容器的网络接口。-net0 表示第一个网络接口，bridge=vmbr0 表示使用名为 vmbr0 的桥接网络作为容器的网络连接，name=eth0 表示将容器内的网络接口命名为 eth0。

运行后即可进行常规的操作，在 pve 界面上选择刚刚创建的 openwrt 容器，进入控制台，运行命令 vim /etc/config/networt 修改网络配置，需要根据实际情况进行修改。然后重启网卡：

/etc/init.d/network restart

接下来就可以通过刚刚配置的 ip 访问了，然后比较重要的一点就是进入接口，关闭接口的 dhcp 功能，否则会搞坏网络环境。

提醒：本文发布于346天前，文中所关联的信息可能已发生改变，请知悉！

/>

共计 1193 个字符，预计需要花费 3 分钟才能阅读完成。

本文使用 Openwrt 编译官方固件详解 这篇文章编译出来的镜像进行虚拟机的创建，注意编译 x86 镜像时，需要勾选上 grub 选项，勾选其中一个就可以。否则编译出来的只有根文件系统的镜像，没有引导程序将无法在 pve 上运行。

比如这里选择生成的镜像时，可以进行选择：

/>

编译后会生成如下文件：

/>

只有根分区的镜像是用不到的，同样，压缩包也是，这个是提供给 lxc 容器使用的，可以看 Pve 使用 lxc 创建 openwrt 软路由容器 这篇文章。

这里能用的有 iso 镜像，可以直接上传到 pve 的 iso 镜像存储中，使用普通创建 linux 虚拟机的方式进行创建 openwrt 虚拟机。另外一个是内核和根文件系统分区的组合镜像，这个可以用于创建虚拟机。接下来，对两种方式都进行讲解。

1. ISO创建虚拟机

虚拟机软件通常支持加载 ISO 映像文件作为虚拟光驱，并从中启动操作系统安装过程，平常的 linux 发行版本也基本都是 ISO 格式的文件。

首先将编译出来的 iso 镜像上传到 pve，然后点击右上角的创建虚拟机。

/>

选择刚刚上传的镜像。

/>

其他的磁盘、CPU、内存自己需要修改，不修改默认下一步即可。创建完以后启动虚拟机，可以正常启动。

/>

接下来配置就可以配置网络了，这里就不赘述，也可以看之前的文章。

2. 组合镜像创建虚拟机

而解压出来的 openwrt-x86-64-generic-squashfs-combined-efi.img 是 OpenWrt 固件的镜像文件，不能像 ISO 那样安装，需要像烧录那样，将镜像文件导入到磁盘。

但是，同样的需要先将文件上传到 pve，其实可以时 pve 任意目录，这里为了方便还是上传到 iso 存储目录。

然后点击右上角创建虚拟机。

/>

操作系统选择不使用任何介质。

/>

磁盘这里可以删除。

/>

其他的根据自己的需要选择，创建好虚拟机以后，先不要点击启动。然后在 pve 执行如下命令：

qm importdisk 113 /var/lib/vz/template/iso/openwrt-x86-64-generic-squashfs-combined-efi.img local

• qm importdisk 113: 这是用于导入磁盘镜像文件的命令，113 为虚拟机的 id，
  表示要将磁盘镜像导入的目标虚拟机。

• /var/lib/vz/template/iso/openwrt-x86-64-generic-squashfs-combined-efi.img: 这是要导入的 OpenWrt 固件的镜像文件路径

• local: 这是要将磁盘镜像导入到的目标存储。local 表示虚拟机的本地存储，也可以是其他存储类型，如 NFS、iSCSI 等。

然后继续进入 pve 界面，点击虚拟机的硬件信息，可以看见一块未使用的磁盘，双击添加给虚拟机。

/>

点击虚拟机的选项页面，再点击引导顺序，将刚刚添加的磁盘勾选，并将其移到最上面。

/>

启动虚拟机，看见 openwrt 可以正常进入引导页面。

/>

启动后同样是配置网络，不赘述。

提醒：本文发布于346天前，文中所关联的信息可能已发生改变，请知悉！