由于我有多种架构的设备运行 Docker（包括 x86 服务器，树莓派，Tinker Board），对于每个常用的软件，我需要为每种不同架构都构建一份镜像。之前，我采用的方式是每个架构都有一个独立的 Dockerfile，类似于这样：可以看到每份 Dockerfile 除了 FROM 调用的镜像不一样，其它几乎完全相同。用这种方式管理，好处是写构建脚本（travis.yml）的时候简单，直接一个个 docker build 过去即可，但是坏处也很明显，每次软件有版本更新，或者我决定添加或删除一个功能，我都要改好几份 Dockerfile。前两天我查资料时，发现了 Docker 的一个功能：构建参数（Build args），就是可以填入一些参数供构建过程使用。于是我就决定修改构建脚本，将不同架构的 Dockerfile 合并。使用构建参数Dockerfile 中使用 ARG 命令就可以定义一个构建参数，它可以像 ENV 定义出的环境变量一样使用：# 定义一个名为 THIS_ARCH 的参数ARG THIS_ARCH# 或者给它定义上默认值：...

就在几天前，HE.NET Tunnelbroker 的法国服务器出了一次故障。因为我在配置 Kimsufi 服务器时，将 Kimsufi 原生的 IPv6 分给了 ESXi 单独使用（见这篇文章），pfSense 只具有原生 IPv4 并通过 Tunnelbroker 获取 IPv6 地址，所以这次服务器上的所有虚拟机都失去了 IPv6 连接。更严重的是，由于我在服务器上也参照这篇文章搭了个 NAT64 服务，为了优先使用 IPv6，我设置了 pfSense 的 DNS 解析优先使用 Google DNS 的 NAT64 解析服务器，就是 2001:4860:4860::64 和 2001:4860:4860::6464 这两个，只在这两个 DNS 全部失效后才去使用 IPv4 解析。由于 IPv6 不通了，而 pfSense DNS 服务器的超时又很长，内部的 DNS 解析几乎全部失败。为了防止 IPv6 出问题后再次引起连锁反应，我准备使用多个 Tunnelbroker 互相作为备份，并配置 pfSense 的 Multi-WAN Failover 功能，在一个 Tunnelbroker 断线后立即切换到其它 Tunnelbroker，保证 IPv6 对外连接不中断。...

我的各台服务器上安装了各种不同的服务，都有各自的用户名密码体系，难以统一管理。假设未来某天我的密码泄露了，一个个修改就会非常累人。因此，我希望用一个服务来专门管理用户名密码，其它服务都从它上面获取认证信息。LDAP 是常用的认证协议之一，不仅有许多软件原生支持它的认证（包括 Jenkins，pfSense 等），而且通过插件可以使得 nginx 支持它，为任何基于网页的服务加上统一管理的认证。添加插件如果你的 nginx 已经是源代码编译的，添加 nginx 的 LDAP 插件只需要三步：apk add openldap-devgit clone https://github.com/kvspb/nginx-auth-ldap.git./configure --add-module=/path/to/nginx-auth-ldap我依然使用 Docker 部署 nginx，Dockerfile 可以在 https://github.com/xddxdd/dockerfiles/blob/210f0f82c7bc1c0c3697d329b73ea31abea6b14a/nginx/Dockerfile 找到，其中的编译参数可以参考。配置认证安装插件后，先在 nginx....

2020-10-11 更新已经有了更好的配置方法，不需要启动一大堆 Docker 容器了。请参阅《优雅地在 Traceroute 里膜拜大佬》。简介Traceroute 是常用的检查网络状况的工具之一，会显示你操作的电脑到指定服务器的网络路径上经过的每一个路由器的 IP 地址，类似于这样：可以看到后两跳的 IP 显示出了对应的域名，这个域名就是 IP 的反向解析记录。反向解析记录在 DNS 服务器中以类似 4.3.2.1.in-addr.arpa 域名的 PTR 记录形式存在。更多的信息可以参考《在 DN42 中设置 IP 反向解析》这篇文章。然而，PTR 记录并不一定要设置成实际的域名，可以设置成任意的字符串，只要「和域名长得像」即可。利用这一点，我们可以在一段 Traceroute 中的每一跳上写一句话，整段就组成了完整的文章，类似下图：本文均在 DN42 网络中完成，如果你已经加入了 DN42 网络，可以 ping、traceroute 通文中的 IP。但本文并不局限于 DN42，如果你有可以自己控制反向解析的公网或内网 IP 段，...

一般情况下，Docker 的镜像都是在一个已有的镜像内，一步步运行给定的命令，从而生成一个新的镜像。这样的步骤在大多数人使用的 x86 架构计算机上都不是问题，由于架构互相兼容，一台计算机上生成的镜像往往可以被直接复制到其它计算机上运行，除非镜像中的程序使用了 AVX 等较新的指令集。但是，还有一批基于 ARM 架构的主机也可以运行 Docker，并运行专门编译的 ARM 架构的镜像。这些主机包括树莓派系列，和其它类似树莓派的主机，例如 Cubieboard，Orange Pi，Asus Tinker Board 等等。另外，Scaleway 等主机商也提供基于 ARM 架构的独立服务器。由于 ARM 架构的系统无法在 x86 架构计算机上运行，因此无法在 x86 计算机上直接通过 Dockerfile 生成 ARM 架构的镜像，一般采用的方法是直接找一台 ARM 主机来 docker build。但是我在为我的树莓派制作 nginx 的 Docker 镜像时发现这并不是一个很好的方法。由于树莓派的内存只有 1GB，...

自从放弃 OpenVZ 架构的 VPS 并购买 KVM 架构的 VPS 以来，我一直使用 Docker 部署 nginx、MariaDB、PHP 等网站需要的程序，不仅方便平时单个服务的重启和配置管理（把配置目录全部用 volume 映射到一起管理），而且方便了服务的升级。例如，我现在博客所在的 VPS 因为配置不高，内存占用最近一直在 80% 左右。我要更新 nginx 或者向 nginx 里加模块时，如果直接在这台 VPS 上编译 nginx，不仅速度慢，而且有可能因为内存不足而把网站也崩掉。使用 Docker 后，我就可以在其它的空闲资源较多的 VPS 或者在我自己的电脑上构建镜像，push 到 Docker Hub，再在 VPS 上 pull 下来运行。不过，一直以来，我的 nginx 镜像大小都在 200 MB 左右（Docker Hub 显示大小，不包含基础镜像大小，比一般 docker image 显示的要小），明显大于它应该有的容量，不过因为 VPS 的硬盘暂时足够，而且前段时间我也没什么时间，我就没有管这个问题。现在有了空，...

距离我之前给 nginx 启用 TLS 1.3 已经过了 11 个月了。快一年过后，许多与 nginx 相关的程序、补丁都有了很大的变化：OpenSSL 已经在发布 1.1.1 的测试版，写本文时最新版本是 1.1.1-pre8（也就是 Beta 6）。nginx 已经更新到 1.15.1。nginx 的 HPACK 补丁（HTTP 头压缩补丁）的 bug 已经有另外的补丁的补丁修复，使用原先的 HPACK 补丁会导致网站访问不正常，体现为每个网站只能打开一个页面，第二个页面开始就出现协议错误。有大佬发布了 OpenSSL 的补丁，可以让最新版 OpenSSL 同时支持 TLS 1.3 的 draft 23，26，28 三个版本。Lets Encrypt 证书已经自带 Certificate Transparency 信息了，不需要 nginx-ct 了。2018 年 7 月 1 日起，TLS 1.0 不再被建议使用。因此我重新调整了 nginx 的编译和运行配置，以适应 8102 年的需要。Dockerfile我依然使用 Docker 部署 nginx。与之前的 Dockerfile 相比，新的 Dockerfile 只是改了下版本号，添加了几个补丁，...

Kimsufi 是法国 OVH 公司的一个廉价品牌，专门出租性价比极高的服务器。我自己租的是 KS-4C 型号，i5-2400 处理器，16GB 内存，2TB 硬盘，百兆带宽无限流量，只需要 13 欧元 / 月，性价比极高，非常适合开虚拟机做实验。VMware ESXi（现在也叫 vSphere Hypervisor）和 Proxmox VE 是两个非常流行的专门用来开虚拟机的操作系统，且两者都是免费的。最重要的是，Kimsufi 的控制面板中都有两款系统的一键安装。但我在使用过程中发现 Proxmox VE 在网络条件不佳的情况下远程控制虚拟机经常连接不上（VNC 黑屏）或者丢键（输密码时尤其要命），因此还是换装了 ESXi。这里又产生了一个问题：ESXi 不是完整的 Linux、FreeBSD 等系统，它不具有 Linux 等所有的 NAT 功能，也就是不能一个 IP 地址开好几台虚拟机然后做端口转发。不过，由于 Kimsufi 同时提供 IPv4 和 IPv6 地址，可以把 IPv4 给一台虚拟机用，让 ESXi 用 IPv6；再设置这台虚拟机做 NAT 就可以了。...

许多人在自己的网站域名上设置了邮箱系统，我也在主站 lantian.pub 的域名上使用了 Zoho 的域名邮箱。不过使用域名邮箱的一大缺点是，你很难记住邮件系统的 POP3、IMAP、SMTP 等服务器地址，一旦出现重装系统、重装邮件客户端等情况，需要重新配置时，就不得不再登上邮件系统去查看服务器地址，非常麻烦。不过，如果你用的是 Thunderbird 邮件客户端，在设置账户时，你可能注意到，Thunderbird 在添加账户时，会有一个「从邮件服务商获取设置」的过程。这个过程实质上就是从这个域名的网站服务器上请求一份 XML 文档，其中记录了邮件服务器的设置。因此，只要手动编写这份配置文件，并将它放在网站服务器上，就可以实现 Thunderbird 下的自动配置了。创建配置文件配置文件中保存了 POP3、IMAP、SMTP 服务器的地址、端口号、用户名等信息。对于本站使用的 Zoho 邮件系统，配置文件如下：<?xml version="1....

DN42 全称 Decentralized Network 42（42 号去中心网络），是一个大型的 VPN 网络。但是与其它传统 VPN 不同的是，DN42 使用了大量在互联网骨干上应用的技术（例如 BGP），可以很好的模拟一个真实的网络环境。我在先前的一篇文章中加入了 DN42 网络，并在另一篇文章中注册了自己的域名，设置了自己的 DNS 服务器。然后，我在这一篇文章设置了 IPv4 的反向解析。当时由于 DN42 Wiki 上的信息有点问题，导致我当时认为不能设置 IPv6 反向解析，但经过我尝试后发现是可以的。因为设置的是大体相同的东西，所以本文会和之前 IPv4 的文章有比较多的内容重复（复制粘贴）。设置 IP 段的解析服务器第一步是将自己所有的 IP 段解析到自己的 DNS 服务器上，我的服务器是 ns [1-2].lantian.dn42，可以全填。在 IPv4 文中我直接用了原先的设置，但是因为我 IPv6 的 DNS 设置有问题，不得不改，因此只能发一次 Pull Request 修改 IPv6 的 DNS 服务器，...