作者： 清朝云

共计 6459 个字符，预计需要花费 17 分钟才能阅读完成。

前言

之前写过 Zerotier 搭建私有根服务器及创建虚拟局域网，清朝云也是一直在使用自建的 zerotier，但是为什么还要折腾 headscale 呢？最大的原因是 zerotier 创建根服务器只能使用 ip，这对迁移不是非常方便，并且自己也想了解下 headscale，所以折腾了几天总算有了结果。

一、搭建headscale服务端

1.创建相关文件并配置

这里需要手动创建 db.sqlite，这是根服务器的数据库文件。另外，还需要下载官网给的配置文件示例，然后需要修改一部分。

mkdir -p /home/docker/headscale/config && \
mkdir -p /home/docker/headscale/data && \
touch /home/docker/headscale/data/db.sqlite && \
wget https://github.com/juanfont/headscale/raw/v0.22.3/config-example.yaml -O /home/docker/headscale/config/config.yaml

经评论提醒，需要修改下载镜像对应版本号的 config-example.yaml，否则可能配置文件无法对应导致启动报错。

修改相关配置文件，比如配置文件中配置 127.0.0.1 的话，那么就只能本机访问。这里修改为 0.0.0.0 那么就所有的 ip 都能访问。

sed -i 's/127.0.0.1/0.0.0.0/g' /home/docker/headscale/config/config.yaml
# 这将修改以下几个地方，其中server_url还需要另外修改
# 1. server_url: http://0.0.0.0:8080
# 2. listen_addr: 0.0.0.0:8080
# 3. metrics_listen_addr: 0.0.0.0:9090
# 4. grpc_listen_addr: 0.0.0.0:50443

另外因为server_url是对外访问和登录的地址，如果你需要使用域名并开启https，那么照我如下配置。如果你仅仅使用ip，那么这个地址修改为ip+端口的方式即可。

域名填自己的

sed -i 's#http://0.0.0.0:8080#https://headscale.qcyqq.com#g' /home/docker/headscale/config/config.yaml

修改 dns 配置文件，如果不进行修改，那么登录时选择接受服务器的 dns 地址就会出现域名无法解析的情况。注意，这里的 dns 地址可以有多个，如果有需要自行添加即可。

sed -i 's/1\.1\.1\.1/114.114.114.114/g' /home/docker/headscale/config/config.yaml

客户端可以通过 主机名 + 用户 + 基础域名 访问任意一台终端，所以这里修改下基础域名，根据自己的实际域名进行填写。

域名填自己的

sed -i 's/example.com/qcyqq.com/' /home/docker/headscale/config/config.yaml

设置客户端随机端口，这里是听见有说不开机随机端口可能出现只能加入一台客户端的情况，为了保险还是选择开启。

sed -i 's/randomize_client_port: false/randomize_client_port: true/' /home/docker/headscale/config/config.yaml

启用内嵌的derp

当然你可以使用官方提供的 derp 服务器，但如果你想搭建自己的 derp 服务器，又不想另外搭建一个 derp 服务器，那么这是有必要的。

注意：使用此 derp 服务器，需要有域名并配置 ssl，否则请参考：Docker 搭建中继服务器 derp – 纯 IP 实现 。

# /home/docker/headscale/config/config.yaml
derp:
  server:
    # xxx
    enabled: true
    # xxx
    region_id: 999
    # xxx
    region_code: "headscale"
    region_name: "Headscale Embedded DERP"
    # xxx
    stun_listen_addr: "0.0.0.0:3478"

enabled 选项默认为 false，需要设置为 true。

3.启动headscale服务端

docker run -d \
--name headscale \
--restart always \
-v /home/docker/headscale/config:/etc/headscale/ \
-v /home/docker/headscale/data:/var/lib/headscale \
-p 8080:8080 \
-p 9090:9090 \
-p 3478:3478/udp \
headscale/headscale:0.22.3 \
headscale serve

下面是一些相关的命令：

以前是 namespace 的概念，现在似乎改为 user 了。

# 查看用户
docker exec -it headscale headscale users ls
# 创建用户
docker exec -it headscale headscale users create hz
# 生成apikey
docker exec -it headscale headscale apikey create
# 查询apikey
docker exec -it headscale headscale apikey ls

二、搭建web-ui

这一步是搭建 headscale 的 web-ui 界面，这不是必要的，因为清朝云更多使用命令，这只是有助于更好的查看相关信息。

docker run -d \
--name headscale-webui \
--restart always \
-v /home/docker/headscale/config:/etc/headscale/:ro \
-v /home/docker/headscale/web-ui/data:/data \
-u root \
-p 5000:5000 \
-e HS_SERVER=https://headscale.qcyqq.com \
-e DOMAIN_NAME=https://headscale.qcyqq.com \
-e SCRIPT_NAME=/admin \
-e AUTH_TYPE=Basic \
-e BASIC_AUTH_USER=admin \
-e BASIC_AUTH_PASS=admin \
-e KEY="2uHP6BSVocX+wcWU5mzuXA7JvnZA70UaTadB8L1heOo=" \
--restart always \
ifargle/headscale-webui:latest

其中 /home/docker/headscale/config 为上面服务端的映射目录，这两个目录需要一致。HS_SERVER 和 DOMAIN_NAME 填写自己的域名。KEY 是用来加密待会需要保存的 apikey 的字符串，使用命令 openssl rand -base64 32 生成。

接下来需要创建 headscale 服务器的 api-key，这里设置一个比较久的过期时间。

三、配置nginx和web-ui

1.配置nginx

如果前面server_url没有配置 ssl 加密，那这一步也不是必要的。

添加如下配置：

server {
    listen       443 ssl;
    listen  [::]:443 ssl;
    server_name  headscale.qcyqq.com;
    ssl_certificate  /etc/nginx/conf.d/cert/qcyqq.com.cer;
    ssl_certificate_key /etc/nginx/conf.d/cert/qcyqq.com.key;

    location ^~/ {
        proxy_pass http://localhost:8080/;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
        proxy_set_header Host $server_name;
        proxy_redirect https:// https://;
        proxy_buffering off;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $http_x_forwarded_proto;
    }

    location ^~/admin/ {
        proxy_pass http://localhost:5000/admin/;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

server {
    listen 80;
    server_name  headscale.qcyqq.com;
    rewrite ^(.*)$ https://$host:443$1 permanent;
}

保存配置后重启 nginx，如果配置正确，那么通过 https://域名/admin 应该可以访问到 web-ui 界面，输入容器启动时配置的用户名密码即可进入。

/>

2.配置web-ui

上面提示输入 apikey，这个需要 headscale 服务端生成，这里设置一个比较长的时间，根据自己的需要即可。

docker exec -it headscale headscale apikeys create -e 10000d

运行命令后将生成的 key 输入，点击 SAVE 即可（不需要点击 Test，因为这个按钮是无意义的），概览页面如下：

/>

四、创建用户和授权密钥

headscale 个人理解是用户就是命名空间，进行网络隔离，所以需要先创建用户。

#  创建用户
docker exec -it headscale headscale users create hz

授权密码的作用是，客户端登陆时不需要再服务端进行确认，清朝云总是喜欢使用简单的方式，所以就选择这种方式了。

# reusable 参数代表可以重复使用，不加的话密钥只能用来一个客户端加入
docker exec -it headscale headscale preauthkeys create -e 10000d --reusable -u hz
# 查看密钥 
docker exec -it headscale headscale preauthkeys list -u hz

这里记得记录好授权密钥，下面将会用到。

五、客户端安装

headscale 相当于是重新实现了 tailscale 的服务端，客户端基本还是用的 tailscale。

tailscale 客户端下载地址：https://tailscale.com/download/

1. windows

1.1 安装客户端

下载 windows 客户端并进行安装。

1.2 安装注册表

访问 https://headscale.qcyqq.com/windows，可以看见配置的教程。

提示需要修改注册表，这里可以直接 curl https://headscale.qcyqq.com/windows/tailscale.reg 下载文件后，双击运行文件进行安装即可。

1.3 登录

在 tailscale 的安装目录下使用 cmd 打开，输入命令：

tailscale login --login-server https://headscale.qcyqq.com --authkey b6a9b4f4e9c3a7c7e7b9b1a3a6b9e6b7a5e7c2a1e3a0a4a1 --accept-dns=false --accept-routes

这里的 authkey 是第四步生成的，然后在服务器使用命令查看。

docker exec -it headscale headscale nodes ls

2. linux

2.1 脚本安装

curl -fsSL https://tailscale.com/install.sh | sh && \
tailscale login --login-server https://headscale.qcyqq.com --authkey b6a9b4f4e9c3a7c7e7b9b1a3a6b9e6b7a5e7c2a1e3a0a4a1 --accept-dns=false --accept-routes

这里仅仅安装方式不同，登录的命令完全一样。

2.2 docker安装

docker run -d \
--name=tailscaled \
-v /home/docker/tailscale/:/var/lib \
-v /dev/net/tun:/dev/net/tun \
-e TS_STATE_DIR=/var/lib/state/ \
--network=host \
--restart always \
--privileged tailscale/tailscale:v1.44.0 \
tailscaled --tun=tailscale0 -no-logs-no-support=true

这里需要将 TS_STATE_DIR 指定的文件夹持久化，否则删除容器再新建后，在服务端能看见重复的设备。并且需要指定 --tun=tailscale0，不然似乎不能在宿主机创建网卡。

然后使用如下命令进行登录。

docker exec -it tailscaled tailscale login --login-server https://headscale.qcyqq.com --accept-dns=false --accept-routes=false --authkey b6a9b4f4e9c3a7c7e7b9b1a3a6b9e6b7a5e7c2a1e3a0a4a1 --advertise-routes=172.21.9.0/24,172.30.1.0/24,172.26.1.0/24,172.20.2.0/23

根据自己网络情况设置 --advertise-routes，我这是需要通过这台内网机器访问公司其他网络。

如果出现如下错误：

running [/sbin/ip6tables -t filter -N ts-input –wait]: exit status 3: modprobe: can’t change directory to ‘/lib/modules’: No such file or directory
ip6tables v1.8.8 (legacy): can’t initialize ip6tables table `filter’: Table does not exist (do you need to insmod?)
Perhaps ip6tables or your kernel needs to be upgraded

执行以下命令：

# 防止探测ip6table
sudo modprobe ip6table_filter

3. 安卓

3.1 安装并配置

目前官方暂不可以自定义登录链接，需要下载可以自定义登录链接的安卓客户端，清朝云这里提供了一份可以使用的客户端，链接放在后面。

安装后，点击右上角三个设置自定义登录地址：

/>

点击保存并重启，再点击 sign in，将看见如下内容。

/>

3.2 服务端注册

根据提示在服务端运行命令：

docker exec -it headscale headscale nodes register --user hz --key nodekey:xxxx

注意这里的 USERNAME 需要修改为自己刚刚创建的用户名。

下载地址

tailscale安卓客户端：https://pan.baidu.com/s/1VPkD9mGRexCndLJWimKNtQ?pwd=akak

提醒：本文发布于527天前，文中所关联的信息可能已发生改变，请知悉！

共计 880 个字符，预计需要花费 3 分钟才能阅读完成。

一、前言

在不同设备间需要传输文件的时候，清朝云总是会面临一个艰难的选择，到底用不用微信文件助手传，如果文件很大怎么办，并且传到文件助手我应该怎么在文件管理中找到文件的位置。

这是真实发生的事情，之前使用 zerotier 异地组网，安卓端需要安装 zerotier fix 软件并更换 planet 文件，我当时搞了很久。

今天又面临需要传文件的问题，忍无可忍，于是想在网上找局域网传输工具，但是很多都是需要安装客户端，我还是觉得太麻烦了。最后，终于找到了这款神器 snapdrop。

如果你之前搭建过，但是找不到客户端，也别急着划走，请往下看

二、简介和搭建

snapdrop 类似于 AirDrop 隔空投递，基于Web技术，使用WebRTC（Web实时通信）协议来实现设备之间的直接通信。它可以在 web 端运行，这是最重要的一点，不需要下载客户端，那么也就以为着跨平台。

搭建也非常简单，使用如下命令即可，并不需要进行额外配置。

docker run -d \
--name snapdrop \
-p 9090:80 \
hausen1012/snapdrop

这里说一下，如果使用官方的容器，很有可能出现找不到设备的情况。因为官方的服务器，只能看见连接了同一网络的设备，毕竟官方的服务这么多人用呢。如果不进行隔离，那么找自己的设备都找不到。

但是基本上自建的容器都是自己使用，所以我这边是在 git 上找到的相关的解决办法，并解决后重新构建了镜像，所以大家可以放心使用。

此外，还修复了一点图片显示异常问题，其实就是添加了一条 css 限制图片宽度，不然显示是这样的。

/>

三、使用

1. 加入网络

此时使用浏览器访问发现什么也没有，这是因为目前还没有其他的设备加入这个网络，并且自己不能看见自己。

/>

如果我将手机也加入到这个网络，那么将显示一台设备。

/>

2. 发送文字

可以右键需要发送的设备，输入文字信息。

/>

此时手机端将显示文字信息，并可以进行复制。其实下面这张图片都是我截图用 snapdrop 传过来的，嘻嘻嘻~~

/>

3. 发送文件

当我在电脑端选择文件发送，效果如下，可以选择忽略或者保存。

/>

当电脑端选择图片发送，先比较于之前的显示，是不是效果好多了。

提醒：本文发布于526天前，文中所关联的信息可能已发生改变，请知悉！

/>

共计 1309 个字符，预计需要花费 4 分钟才能阅读完成。

简介

想必经常玩服务器的都了解过堡垒机，类似于跳板机，但与跳板机的侧重点不同。堡垒机的主要功能是控制和监控对内部网络的远程访问。它提供严格的访问控制、会话审计和监控等功能。而跳板机更侧重于提供一个安全的中转平台，用于跳转到内部网络的其他服务器或设备。

之前清朝云了解过开源堡垒机项目 Jump server，但组件过多搭建实在是比较复杂，于是了解到 Next-terminal 项目。相比较之下 Next-terminal 更加的轻量，并且搭建更加的简单，并且功能也比较完善，满足基本的需求。当然，这是开源版本，有必要的话各位可以上企业版支持一波作者。

Next-terminal 号称下一代堡垒机，它支持多协议如 RDP、SSH、VNC等，并可以对正在进行的会话实时监控，还可以进行事后审计，包括查看日志和查看命令视频记录。

搭建

Next-terminal 使用如下命令即可搭建。

# 1. 搭建guacd - 开源的远程桌面网关
docker run -d \
--name guacd \
-v /home/docker/next-terminal/data:/usr/local/next-terminal/data \
--restart always \
dushixiang/guacd:latest

# 2. 搭建 next-terminal
docker run -d \
--name next-terminal \
-e DB=sqlite \
-e GUACD_HOSTNAME=guacd \
-e GUACD_PORT=4822 \
-p 8088:8088 \
-v /etc/localtime:/etc/localtime \
-v /home/docker/next-terminal/data:/usr/local/next-terminal/data \
--link guacd \
--restart always \
dushixiang/next-terminal:latest

搭建后访问 8088 端口，默认账号密码：admin/admin。

效果

1. 新建资产

首页可以看见用户、资产相关数据。

/>

可以在资产管理新建资产，即新建一台管理终端，我这里选择新建一台本地的 linux 虚拟机。这里的账户类型可以选择密码、密钥或者授权凭证，授权凭证就是在 next-terminal 保存的密码或者密钥，只不过需要新建一次，下次直接使用即可。

/>

新建后如果想进行编辑也还是可以进行编辑，信息填写正确后可以点击接入，进会进入新的页面。在这里可以通过 ssh 操作刚刚填写的服务器，界面看起来还挺不错的。

/>

并且，还可以点击右边的按钮通过 web 页面进行上传和下载文件等操作，这可以说是非常方便了！

/>

还可以点击按钮查看主机的相关状态信息，如 CPU、磁盘、内存和网络。

/>

2. 动态指令

可以进行新建动态指令，这里清朝云先预先写两条命令。

/>

确认后可以看见如下界面。

/>

点击执行，选择执行动态指令的服务器。

/>

查看执行结果。

/>

3. 会话审计

可以查看在线会话，并可以进行监控和断开的操作。

/>

监控界面如下：

/>

断开会话后，可以在历史会话中查看，并可以进行回放操作。

/>

回放界面如下，这将会回放会话中执行的命令和相关结果。

/>

其他的功能还有挺多的，如可以新建计划任务、查看登录日志和系统状态等等。

提醒：本文发布于525天前，文中所关联的信息可能已发生改变，请知悉！

/>

共计 939 个字符，预计需要花费 3 分钟才能阅读完成。

前言

AList 是一个支持多种存储的文件列表程序，它本身的搭建非常简单，但是功能非常强大，能够支持展示各大网盘厂商的网盘内容，包括阿里云盘、百度网盘等等，同时还支持展示对象存储、webdav、ftp等等。

清朝云其实很久之前就知道 alist，但由于自己本身找文件的场景不是非常多，而且就算是展示网盘内容，速度也还是比较慢的，所以就没怎么用。

最近想着公司内部分享公开文件，但是直接公开 webdav 的账号密码这不是一个比较好的方式，使用 Alist 的展示 webdav 的某个文件夹可能会比较方便，于是准备动手搭建。

搭建

运行如下命令即可搭建：

docker run -d \
--name=alist \
--restart=always \
-v /home/docker/etc/alist:/opt/alist/data \
-p 5244:5244 \
xhofe/alist:v3.35.0

用户名 admin，查看日志获取密码。

docker logs -f alist

访问 5244 端口，然后进行登录，可以看见现在什么都没有，因为还没有进行配置。

/>

使用

挂载

点击下面的管理，进入到后台页面，最好先修改下密码，因为刚刚是 alist 生成的随机密码，并不方面记忆。

/>

点击存储选项后，然后点击添加，这里可以选择自己需要展示的内容。比如清朝云这里需要展示的是 webdav 的内容，选择对应的选项即可，然后填写相应的配置，如代理和排序。

/>

既然是 webdav，当然需要配置地址和账户名、密码，下面选择需要展示的路径。

/>

需要注意的是，挂载路径就是 alist 展示的名称，不能使用根路径。并且填写的 webdav 地址需要带协议，比如 http。否则都会报错 first path segment in URL cannot contain colon。

配置好以后可以进行访问，效果如下。

/>

点击目录即可进行查看，点击文件即可下载或复制链接。

/>

配置和美化

你可能看见别人的 alist 花里胡哨，其实如果你有兴趣也可以配置得更好看。在设置这里可以修改站点的相关信息，可以添加自己得样式等等。

/>

备份迁移

也是你配置的内容比较多，下次迁移不想进行重复的进行操作，那么备份迁移可以很好地帮你快速还原你的站点。

/>

其他的话就自己探索吧，不懂的地方可以参考相关文档：https://alist.nn.ci/

提醒：本文发布于522天前，文中所关联的信息可能已发生改变，请知悉！