丁丁的亂寫空間

Docker Volume 類型比較

Tue, 07 Jul 2026 16:00:00 GMT

#Docker #Linux

Docker Volume 類型比較

1. Named Volumes (命名卷)

說明

Named Volumes 是由 Docker 管理的持久化儲存方案,資料儲存在 Docker 的管理目錄中(Linux 通常在 /var/lib/docker/volumes/)。這是最推薦的資料持久化方式。

特點

✅ 由 Docker 完全管理,不需要指定主機路徑
✅ 可以在多個容器間共享
✅ 支援 volume drivers,可擴展至遠端儲存
✅ 容易備份和遷移
✅ 在 Windows 和 Mac 上效能較好

Docker Compose 設定

services:
  db:
    image: postgres:15
    volumes:
      - postgres_data:/var/lib/postgresql/data
    environment:
      POSTGRES_PASSWORD: example

volumes:
  postgres_data:
    driver: local
    # 可選:指定 driver options
    driver_opts:
      type: none
      device: /path/on/host
      o: bind

Docker 命令

# 建立基本 volume
docker volume create my_volume

# 建立 volume 並指定 driver
docker volume create --driver local my_volume

# 建立 volume 並設定 driver_opts (對應 docker-compose 的 driver_opts)
docker volume create \
  --driver local \
  --opt type=none \
  --opt device=/path/on/host \
  --opt o=bind \
  postgres_data

# 使用短選項 -o (等同於 --opt)
docker volume create \
  --driver local \
  -o type=none \
  -o device=/absolute/path/on/host \
  -o o=bind \
  my_volume

# NFS volume 範例
docker volume create \
  --driver local \
  -o type=nfs \
  -o o=addr=192.168.1.100,rw \
  -o device=:/path/to/nfs/share \
  nfs_volume

# 使用 volume 啟動容器
docker run -d \
  --name my_container \
  -v my_volume:/app/data \
  nginx:latest

# 查看所有 volumes
docker volume ls

# 查看 volume 詳細資訊(包含 driver_opts)
docker volume inspect my_volume

# 刪除 volume
docker volume rm my_volume

# 清理未使用的 volumes
docker volume prune

Volume SubPath (掛載子目錄)

Docker 支援使用 volume-subpath 參數來掛載 volume 內的特定子目錄,而不是整個 volume。這在多容器共享同一 volume 時特別有用。

重要限制

子目錄必須預先存在於 volume 中,否則掛載會失敗
只能使用 --mount 語法,不支援 -v 簡短語法
Docker Compose 目前官方文件未明確說明支援此功能

Docker 命令語法

--mount src=<volume-name>,dst=<container-path>,volume-subpath=<subdir>

完整範例

# 1. 建立 volume
docker volume create logs

# 2. 初始化子目錄結構(必須先建立)
docker run --rm \
  --mount src=logs,dst=/logs \
  alpine mkdir -p /logs/app1 /logs/app2

# 3. App1 只掛載 logs volume 的 app1 子目錄
docker run -d \
  --name app1 \
  --mount src=logs,dst=/var/log/app,volume-subpath=app1 \
  myapp1:latest

# 4. App2 只掛載 logs volume 的 app2 子目錄
docker run -d \
  --name app2 \
  --mount src=logs,dst=/var/log/app,volume-subpath=app2 \
  myapp2:latest

# 5. 查看整個 volume 的內容(用於管理)
docker run --rm \
  --mount src=logs,dst=/logs \
  alpine ls -lR /logs

實用範例

# 建立共享資料 volume
docker volume create shared_data

# 初始化多個應用的子目錄
docker run --rm \
  --mount src=shared_data,dst=/data \
  alpine sh -c "
    mkdir -p /data/uploads/user1 /data/uploads/user2 &&
    mkdir -p /data/cache/app1 /data/cache/app2 &&
    chown -R 1000:1000 /data
  "

# 上傳服務 - 使用 uploads/user1 子目錄
docker run -d \
  --name upload_user1 \
  --mount src=shared_data,dst=/app/uploads,volume-subpath=uploads/user1 \
  upload_service:latest

# 快取服務 - 使用 cache/app1 子目錄
docker run -d \
  --name cache_app1 \
  --mount src=shared_data,dst=/app/cache,volume-subpath=cache/app1 \
  cache_service:latest

Docker Compose (非官方支援,但可變通)

Docker Compose 目前沒有直接的 volume-subpath 語法,但可以使用以下變通方式:

# 方法 1: 使用 driver_opts 將 volume 綁定到主機子目錄
services:
  app1:
    image: myapp:latest
    volumes:
      - app1_logs:/var/log/app

  app2:
    image: myapp:latest
    volumes:
      - app2_logs:/var/log/app

volumes:
  app1_logs:
    driver: local
    driver_opts:
      type: none
      device: /host/shared/logs/app1
      o: bind

  app2_logs:
    driver: local
    driver_opts:
      type: none
      device: /host/shared/logs/app2
      o: bind

# 方法 2: 使用 init 容器 + 環境變數
services:
  init:
    image: alpine
    volumes:
      - shared_data:/data
    command: mkdir -p /data/app1 /data/app2
    restart: "no"

  app1:
    image: myapp:latest
    depends_on:
      - init
    volumes:
      - shared_data:/data
    working_dir: /data/app1
    environment:
      DATA_PATH: /data/app1

  app2:
    image: myapp:latest
    depends_on:
      - init
    volumes:
      - shared_data:/data
    working_dir: /data/app2
    environment:
      DATA_PATH: /data/app2

volumes:
  shared_data:

使用場景

多容器共享單一 volume 時隔離資料
為每個容器維護獨立的日誌目錄
精細控制資料存取範圍
節省 volume 數量(一個 volume 多個用途)

使用場景

資料庫資料持久化(PostgreSQL, MySQL, MongoDB)
應用程式上傳的檔案儲存
需要在多個容器間共享的資料
生產環境的資料儲存

2. Bind Mounts (綁定掛載)

說明

Bind Mounts 將主機上的特定檔案或目錄直接掛載到容器中。提供了最直接的檔案系統存取,但依賴主機的檔案系統結構。

特點

✅ 可以直接存取和編輯主機檔案
✅ 適合開發環境的即時程式碼更新
✅ 可以掛載單一檔案或整個目錄
⚠️ 依賴主機的目錄結構
⚠️ 在 Windows/Mac 上效能可能較差
⚠️ 安全性較低(容器可以修改主機檔案)

Docker Compose 設定

services:
  web:
    image: node:18
    working_dir: /app
    volumes:
      # 長語法(推薦)
      - type: bind
        source: ./src
        target: /app
        read_only: false

      # 短語法
      - ./config:/app/config:ro  # :ro 表示唯讀
      - ./logs:/app/logs
    command: npm run dev
    ports:
      - "3000:3000"

  nginx:
    image: nginx:latest
    volumes:
      # 掛載設定檔
      - ./nginx.conf:/etc/nginx/nginx.conf:ro
      # 掛載靜態檔案
      - ./public:/usr/share/nginx/html:ro
    ports:
      - "80:80"

Docker 命令

# 使用絕對路徑掛載
docker run -d \
  --name dev_container \
  -v /absolute/path/on/host:/app \
  -v $(pwd)/config:/app/config:ro \
  node:18

# 使用相對路徑(需要完整路徑)
docker run -d \
  --name web \
  -v "$(pwd)":/app \
  -w /app \
  nginx:latest

# 掛載單一檔案
docker run -d \
  --name app \
  -v $(pwd)/.env:/app/.env:ro \
  myapp:latest

# 使用 --mount 語法(更明確,推薦)
docker run -d \
  --name app \
  --mount type=bind,source=$(pwd)/src,target=/app,readonly=false \
  node:18

使用場景

開發環境的即時程式碼更新
掛載設定檔到容器
需要在主機上直接查看/編輯容器檔案
CI/CD 建置過程中的檔案共享

3. Anonymous Volumes (匿名卷)

說明

Anonymous Volumes 是沒有指定名稱的 volume,由 Docker 自動產生隨機名稱。當容器被刪除時,通常也會一起被刪除(除非使用特定選項)。

特點

✅ 自動管理,無需手動建立
✅ 適合臨時資料儲存
⚠️ 難以追蹤和管理
⚠️ 容器刪除後可能遺留孤立 volumes
⚠️ 無法在容器間共享(每次都會建立新的)

Docker Compose 設定

services:
  app:
    image: node:18
    volumes:
      # 匿名 volume(不指定主機路徑或 volume 名稱)
      - /app/node_modules
      - /app/cache
    working_dir: /app
    command: npm start

  db:
    image: postgres:15
    volumes:
      # 結合 bind mount 和匿名 volume
      - ./app:/app                    # bind mount
      - /app/node_modules             # 匿名 volume,避免覆蓋
    environment:
      POSTGRES_PASSWORD: example

Docker 命令

# 建立匿名 volume
docker run -d \
  --name app \
  -v /app/data \
  nginx:latest

# 容器刪除時自動清理匿名 volume
docker run --rm \
  -v /tmp/cache \
  alpine:latest

# 查看容器的匿名 volumes
docker inspect app

# 範例:避免 node_modules 被覆蓋
docker run -d \
  --name node_app \
  -v $(pwd):/app \
  -v /app/node_modules \
  node:18

使用場景

保護容器內特定目錄不被 bind mount 覆蓋(如 node_modules)
臨時快取資料
不需要持久化的資料
開發環境的臨時檔案

4. tmpfs Mounts (臨時檔案系統掛載)

說明

tmpfs Mounts 將資料儲存在主機的記憶體中,不會寫入磁碟。當容器停止時,資料就會消失。只在 Linux 上可用。

特點

✅ 極快的讀寫速度(記憶體存取)
✅ 敏感資料不會寫入磁碟
✅ 容器停止後自動清理
⚠️ 資料不持久化
⚠️ 佔用主機記憶體
⚠️ 只支援 Linux

Docker Compose 設定

services:
  web:
    image: nginx:latest
    tmpfs:
      - /tmp
      - /run
    # 或使用長語法
    volumes:
      - type: tmpfs
        target: /app/cache
        tmpfs:
          size: 100M  # 限制大小為 100MB
          mode: 1777  # 設定權限

  app:
    image: myapp:latest
    volumes:
      - type: tmpfs
        target: /app/temp
        tmpfs:
          size: 50M
      - data:/app/data  # 結合 named volume

volumes:
  data:

Docker 命令

# 基本使用
docker run -d \
  --name app \
  --tmpfs /tmp \
  nginx:latest

# 使用 --mount 指定選項
docker run -d \
  --name app \
  --mount type=tmpfs,target=/app/cache,tmpfs-size=100M,tmpfs-mode=1770 \
  myapp:latest

# 多個 tmpfs mounts
docker run -d \
  --name app \
  --tmpfs /tmp:rw,size=50M,mode=1777 \
  --tmpfs /run:rw,size=10M \
  nginx:latest

# 查看掛載資訊
docker inspect app | grep -A 10 Mounts

使用場景

敏感資料處理(密碼、金鑰等)
高速快取需求
臨時檔案處理
Session 儲存
編譯過程的臨時檔案

Volume 類型比較表

特性	Named Volume	Bind Mount	Anonymous Volume	tmpfs Mount
持久化	✅ 是	✅ 是	✅ 是	❌ 否
Docker 管理	✅ 是	❌ 否	✅ 是	❌ 否
主機路徑控制	❌ 否	✅ 是	❌ 否	❌ 否
容器間共享	✅ 容易	✅ 可以	❌ 困難	❌ 不可
效能(Linux)	好	好	好	極佳
效能(Win/Mac)	好	較差	好	N/A
備份容易度	容易	中等	困難	N/A
安全性	高	中等	高	高
使用複雜度	簡單	中等	簡單	簡單
生產環境	✅ 推薦	⚠️ 謹慎	❌ 不推薦	✅ 特定場景

實用技巧與最佳實踐

1. Volume 備份與還原

# 備份 named volume
docker run --rm \
  -v my_volume:/source:ro \
  -v $(pwd):/backup \
  alpine tar czf /backup/backup.tar.gz -C /source .

# 還原 volume
docker run --rm \
  -v my_volume:/target \
  -v $(pwd):/backup \
  alpine tar xzf /backup/backup.tar.gz -C /target

2. 複製 Volume 資料

# 從一個 volume 複製到另一個
docker run --rm \
  -v old_volume:/from:ro \
  -v new_volume:/to \
  alpine sh -c "cd /from && cp -av . /to"

3. 組合使用範例

services:
  app:
    image: node:18
    volumes:
      # Bind mount: 開發時即時更新程式碼
      - ./src:/app/src

      # Named volume: 持久化上傳檔案
      - uploads:/app/uploads

      # Anonymous volume: 保護 node_modules
      - /app/node_modules

      # tmpfs: 高速快取
    tmpfs:
      - /app/cache:size=100M

  db:
    image: postgres:15
    volumes:
      # Named volume: 資料庫資料持久化
      - db_data:/var/lib/postgresql/data
    environment:
      POSTGRES_PASSWORD: example

volumes:
  uploads:
  db_data:

4. 清理未使用的 Volumes

# 清理所有未使用的 volumes
docker volume prune -f

# 清理特定 volume
docker volume rm volume_name

# 查看 volume 使用情況
docker system df -v

5. 使用 Volume SubPath 實現多租戶資料隔離

# 實際場景:多個微服務共享一個資料 volume,但各自有獨立空間

# 建立共享 volume
docker volume create microservices_data

# 初始化子目錄結構
docker run --rm \
  --mount src=microservices_data,dst=/data \
  alpine sh -c "
    mkdir -p /data/{auth,user,order}/{uploads,cache,logs} &&
    mkdir -p /data/shared/{config,templates} &&
    chown -R 1000:1000 /data
  "

# 認證服務 - 只能存取 auth 子目錄
docker run -d \
  --name auth_service \
  --mount src=microservices_data,dst=/app/data,volume-subpath=auth \
  --mount src=microservices_data,dst=/app/shared,volume-subpath=shared,readonly \
  auth:latest

# 使用者服務 - 只能存取 user 子目錄
docker run -d \
  --name user_service \
  --mount src=microservices_data,dst=/app/data,volume-subpath=user \
  --mount src=microservices_data,dst=/app/shared,volume-subpath=shared,readonly \
  user:latest

# 訂單服務 - 只能存取 order 子目錄
docker run -d \
  --name order_service \
  --mount src=microservices_data,dst=/app/data,volume-subpath=order \
  --mount src=microservices_data,dst=/app/shared,volume-subpath=shared,readonly \
  order:latest

# 管理容器 - 可以存取完整 volume(用於維護)
docker run --rm -it \
  --mount src=microservices_data,dst=/data \
  alpine sh

# 備份特定服務的資料
docker run --rm \
  --mount src=microservices_data,dst=/data,volume-subpath=auth \
  -v $(pwd)/backups:/backup \
  alpine tar czf /backup/auth-$(date +%Y%m%d).tar.gz -C /data .

選擇建議

使用 Named Volumes 當

生產環境的資料持久化
需要簡單的備份和遷移
資料需要在容器間共享
使用 Windows 或 Mac 進行開發

使用 Bind Mounts 當

開發環境需要即時程式碼更新
需要精確控制檔案位置
設定檔需要頻繁修改
與主機工具整合(如 IDE)

使用 Anonymous Volumes 當

保護特定目錄不被覆蓋
臨時資料儲存
不需要跨容器共享

使用 tmpfs Mounts 當

處理敏感資料
需要極高的 I/O 效能
臨時快取或 session 儲存
資料不需要持久化

參考資源

Linux 常用壓縮/解壓縮命令

Sun, 07 Apr 2024 16:00:00 GMT

.tar	.tar.gz
.tar.bz	.tar.bz2
.tar.xz	.tar.Z
.tgz	.tar.tgz
.tar.zst	.gz
.bz	.bz2
.xz	.Z
.7z	.zip
.rar	.lha
.zst

.tar (無壓縮)

打包

tar cvf dir.tar dir_name

解包

tar xvf dir.tar

.tar.gz

壓縮

tar zcvf dir.tar.gz dir_name

解壓縮

tar zxvf dir.tar.gz

.tar.bz

壓縮

tar zcvf dir.tar.gz dir_name

解壓縮

tar jxvf dir.tar.bz

.tar.bz2

壓縮

tar jcvf dir.tar.bz2 dir_name

解壓縮

tar jxvf dir.tar.bz2

.tar.xz

壓縮

tar Jcvf dir.tar.xz dir_name

解壓縮

tar Jxvf dir.tar.xz

.tar.Z

壓縮

tar Zcvf dir.tar.Z dir_name

解壓縮

tar Zxvf dir.tar.Z

.tgz

壓縮

tar zcvf dir.tgz dir

解壓縮

tar zxvf dir.tgz

.tar.tgz

壓縮

tar zcvf dir.tar.tgz dir

解壓縮

tar zxvf dir.tar.tgz

.tar.zst

壓縮

tar -I zstd -cvf dir.tar.zst dir_name

解壓縮

tar -I zstd -xvf dir.tar.zst

.gz

壓縮

gzip dir

解壓縮 1

gunzip dir.gz

解壓縮 2

gzip -d dir.gz

.bz

解壓縮 1

bzip2 -d dir.bz

解壓縮 2

bunzip2 dir.bz

.bz2

壓縮

bzip2 -z dir

解壓縮 1

bzip2 -d dir.bz2

解壓縮 2

bunzip2 dir.bz2

.xz

壓縮

xz -z dir

解壓縮

xz -d dir.xz

.Z

壓縮

compress dir

解壓縮

uncompress dir.Z

.7z

壓縮

7z a dir.7z dir

使用密碼 (PASSWORD) 壓縮

7z a dir.7z dir -pPASSWORD

解壓縮

7z x dir.7z

.zip

壓縮

zip -r dir.zip dir_name

解壓縮

unzip dir.zip

.rar

壓縮

rar a dir.rar dir_name

解壓縮 1

rar e dir.rar

解壓縮 2

unrar e dir.rar

rar x dir.rar dir_name

.lha

壓縮

lha -a dir.lha dir

解壓縮

lha -e dir.lha

.zst

壓縮

zst dir

解壓縮

zstd -d dir.zst

Linux 解壓縮壓縮

此文章已被阅读次数

…更新於 2024-04-09

HyperX QuadCast 聲音很小

Fri, 16 Dec 2022 16:00:00 GMT

HyperX QuadCast 聲音很小

因為正在服役的 HyperX cloud 耳麥的麥克風已經半死不活了，趁著 1212 的時候坑了一隻 HyperX QuadCast

然後因為是桌上型的 mic 所以距離嘴巴其實有一段不小的距離 (中間還隔了鍵盤)

image

但在平時白天被朋友說講話的聲音很小聲，就整個很困惑，明明已經把增益轉到最大了還小聲？！
然後就看到這篇文章
但請各位小心服用畢竟會對硬體造成什麼影響目前我也不知道

如果您的設備直接或間接損壞，我拒絕承擔任何責任，請自行考慮好再使用～

來源文章

簡單濃縮來說就是使用軟體 Equalizer APO 和其擴充套件 Peace 來提高麥克風音量

實際的操作如下…

安裝 Equalizer APO
一般來說只要下一步下一步安裝完之後會跳出 Configurator 要求選擇哪個裝置，例如我是要讓 HyperX QuadCast 就選擇這個裝置
如果沒有跳出來則打開程式目錄並啟動 Configurator.exe，轉到 “捕獲設備” 並選擇 / 勾選麥克風

Equalizer APO (sourceforge)

Equalizer APO 下載頁面
安裝 Peace

Peace Equalizer, interface Equalizer APO (sourceforge)

Peace Equalizer, interface Equalizer APO 下載頁面

Peace 就比較簡單有中文介面，安裝完之後選擇 “簡潔介面”

首先從右下角的菜單中選擇您的麥克風 (預設為 “全部音訊設備”)
然後就可以在最上面調整想要大聲還是小聲
最後再按完成就完成調整麥克風大小聲拉～

image

windows 麥克風很小聲 HyperX QuadCast HyperX QuadCast

此文章已被阅读次数

…更新於 2022-12-17

Minecraft 安裝 fabric

Thu, 15 Sep 2022 16:00:00 GMT

前言 (廢話 w)

玩 minecraft 到最後一定會想玩玩廣大開發者開發的各種 mods
而現在整個 minecraft vanilla 版本的 mod loader 就兩個

fabric
forge

而這邊介紹 fabric 的安裝流程

準備好 minecraft 客戶端

當你下載好了客戶端並且看到下方的畫面的時候就先放著不理它，這邊就已經可以準備安裝 fabric

image

下載 fabric

前往 fabric 下載 fabric

開啟頁面後可以選擇下載 jar 檔或 exe 檔，兩個都可以使用
下載後會看到這個 UI

image

注意 1 確定上方頁籤是: “客戶端”
注意 2 確定 “Minecraft 版本” 是你即將遊玩的版本號
注意 3 確定 “安裝位置” 這個位置如果沒有刻意去做調整就預設即可
注意 4 確定 “建立設定檔” 這個選項有打勾

image

接著把 minecraft 客戶端關閉，並且在 _fabric 安裝程式_中直接按下安裝就會開始安裝 fabric

等待安裝完後再開啟 minecraft 客戶端，就會看到新的設定檔

image

安裝 mods

安裝 mods 很簡單，只要在 minecraft 客戶端上方的頁籤切換成 “安裝檔”
並懸停在 fabric 的設定檔上，後方就會有三個按鈕可以按，點擊第二個會開啟資料夾

image

此時只要將你下載的 fabric mods 放入 mods 資料夾內，重開遊戲就會自動載入 mods 了

image

games minecraft

此文章已被阅读次数

…更新於 2022-09-16

DSM photo、drive 反向代理

Wed, 24 Aug 2022 16:00:00 GMT

DSM photo、drive 反向代理

預設 Synology 的 NAS photo 和 drive 兩個應用程式的 port 是與 DSM 相同
http 5000
https 5001

image

詳細的套件對應 port 可以參考 Synology 官方的文件

所以今天如果我們要在外面使用自有網域透過網際網路存取 photo 和 drive 有兩種方式

利用群輝自帶的 QuickConnect
利用反向代理

第一個就不在此敘述如何設定，故這裡要使用的是第二個，利用反向代理

設定 photo 和 drive 的 port

首先我們要先修改 photo 和 drive 的應用程式所使用的 port
進到 DSM -> 控制台 -> 登入入口 -> 應用程式 -> Synology Drive
在自訂連接埠設定 https 的 port 值，

測試 warning 提醒

這邊設定的 http 或 https 和 port 會影響到後續的反向代理設定
這邊舉例使用 https 並且連接埠 (port) 為 20000

image

設定反向代理

接著到 控制台 -> 登入入口 -> 進階 -> 反向代理 新增反向代理

image

反向代理 - 來源

反向代理名稱輸入一個你自己懂得這是什麼服務的名字
通訊協定在設定 photo 和 drive 的 port 的地方所設定的連接埠 (port) 所對應的協定，這邊舉例使用 https 並且連接埠 (port) 為 20000
主機名稱因為是 NAS 本機服務，所以這邊都是使用 localhost
連接埠在設定 photo 和 drive 的 port 的地方所設定的連接埠 (port)，這邊舉例為 20000

反向代理 - 目的地

通訊協定這邊建議都選擇 https 可以到 控制台 -> 安全性 -> 憑證 申請一個 TLS 證書
主機名稱你的網域，例如我要用 photo.example.com 開啟 photo 服務就在此輸入 photo.example.com
連接埠如果第一個通訊協定選擇為 https 這邊就要是 443；http 為 80
整體設定後就如下圖

image

設定完成後就可以透過自己的網域訪問服務啦

Synology NAS DSM Synology photo Synology drive 反向代理

此文章已被阅读次数

…更新於 2024-03-31

let's encrypt 證書簽署失敗 bad handshake

Wed, 15 Dec 2021 16:00:00 GMT

let’s encrypt 證書簽署失敗 bad handshake

當平時自動運作的 Let’s encrypt 都正常運作時，最近要簽署新證書卻發現下 certbot renew 無法正常簽署並出現錯誤 unexpected error: bad handshake 要怎麼處理這問題呢

其實這問題在先前官方有公告要調整 root 證書公告，原先使用的 DST Root CA X3 將於 2021 年 9 月 30 日到期，而新的 ISRG Root X1 在舊裝置上並不存在，所以導致切換成 ISRG Root X1 而舊裝置找不到該憑證就導致 TLS handshake 失敗

最簡單就是更新套件，而有些主機可能因為歷史包袱不好做套件更新等等處理，所以就手動新增 ISRG Root X1 證書來驗證

首先先測試看看能不能訪問新的驗證端 API

curl -v https://acme-v02.api.letsencrypt.org/directory

回傳的結果應該會有個 SSL certificate problem: unable to get local issuer certificate

接著到官網這邊取得 ISRG Root X1 證書

ISRG Root X1 證書

將裡面的文字複製起來，並且到主機中的 /usr/local/share/ca-certificates 建立一個檔案 isrgrootx1.pem

接著將內容貼上該檔案中，然後執行 sudo update-ca-certificates 正常會顯示 1 add ，此時在進行 certbot renew 就可以正常執行了

Linux let’s encrypt bad handshake

此文章已被阅读次数

…更新於 2022-08-25

CentOS 安裝 Webmin

Fri, 15 May 2020 16:00:00 GMT

利用 yum 安裝 Webmin

首先先下載 repo 到 /etc/yum.repos.d

cd /etc/yum.repos.d

接著 yum install 安裝即可

yum install webmin -y

Linux Webmin CentOS

此文章已被阅读次数

…更新於 2022-08-24

Centos7 安裝多版本 Python

Sat, 28 Sep 2019 16:00:00 GMT

雖然現在 Python 最新版本已經到了 3.7 但是 Linux 上還是有蠻多的套件使用 Python2，加上 Python2.7 的支援期間只到 2020 (不知是否會再延長)，但越來越多的開發者已經轉移版本到 3.x 了
那要如何保留原始版本的 Python 另外再安裝 Python3.x 呢？
首先要有 ROOT 權限或者 sudo (廢話 w
然後到 Python 官網找你要下載的版本連結
ps: 這邊範例為下載最新版本 3.7.4
如果要安裝多個 3.x 建議還是寫完整版號

cd /tmp

大致上到這邊就是完成安裝，但是不管用 python3 python3.7 python37 都是回應 command not found
很簡單因為剛剛安裝完沒有在預設的 command 資料夾中
所以我們要建立軟連結
PS: 這邊也是做個範例

ln -s /usr/local/python3/bin/python3 /usr/bin/python3

這樣子你再執行 python3 -V 照理就會出現 Python3.x.x 的訊息，同時執行 python -V 會得到 Python2.7.5
這樣就安裝好其他版本的 Python 也保留預設的 Python2.7

Linux Python Centos7

此文章已被阅读次数

…更新於 2022-08-25

phpMyAdmin 啟用2FA

Tue, 24 Sep 2019 16:00:00 GMT

phpMyAdmin 啟用 2FA

最近把伺服器的 phpMyAdmin 升級到 4.9.1
然後就在設定裡面發現可以開啟 2FA 的選項

phpMyAdmin 中啟用 2FA

後來去看看 documentation 之後發現其實在 4.8.0 (2018/4/19) 就加入這個功能了，沒錯啦我就是沒在更新，因為之前有過更新完系統直接掛掉的陰影存在，但其實為了安全性還是要好好的更新套件跟軟體 XD

如果直接從 phpMyAdmin 官網下載下來的 zip 檔其實可以直接啟動 2FA 功能，那如果是直接 git 下來的就還要另外安裝一些套件，這邊不加以闡述

啟用 2FA 非常簡單，只要選擇第二項 “認證應用程式 (2FA)“
然後按下” 設定雙因素認證 ”

phpMyAdmin 中啟用 2FA

接下來就會看到一個 QRcode 跟密碼

phpMyAdmin 中啟用 2FA

這邊就要用到你的手機了，使用 Google Two Factor Authentication 或者 Authy 兩個應用程式都可以，掃描 QRCode 之後並輸入該 2FA 的驗證就可以開啟了～

phpMyAdmin 中啟用 2FA

那接下來就是緊急處理，如果是用 Google Two Factor Authentication 的使用者要注意，在做手機更換的時候 一定！一定！一定！一定！ 一定要先把 2FA 先解除在做更換手機的動作，不然會導致無法登入 phpMyAdmin

那如果真的很不幸你真的忘記了，是有解決辦法
先用 ssh 登入你的 mysql
PS: 這邊是範例，忘記 root 的 2FA，請依照你自己的伺服器做處理

mysql -u root -p # 使用 root 登入 mysql

之後會看到一些資料

| root     | 2019-09-25 16:21:20 | {"Server\/hide_db":"information_schema|mysql|performance_schema|information_schema","lang":"zh_TW","collation_connection":"utf8mb4_unicode_ci","Console\/Mode":"collapse","DefaultConnectionCollation":"utf8_unicode_ci","2fa":{"backend":"application","settings":{"secret":"KKASIRHQ904U2KS918JSEBTJ9132459U1902"}},"ThemeDefault":"pmahomme"} |

最重要最重要的就是在後面的 JSON 資料中的 “2fa”
裡面有個”secret” 把這段輸入到 Google Two Factor Authentication 中就可以繼續使用了
PS: 這邊的範例是假的，當然沒有這麼的長

Linux 2FA phpMyAdmin

此文章已被阅读次数

…更新於 2022-08-25

Nginx+Cloudflare-取得使用者真實IP

Sun, 22 Sep 2019 16:00:00 GMT

Nginx+Cloudflare - 取得使用者真實 IP

使用 Python 或者其他的程式語言架設網站的時候勢必一定要有個 Webserver 作為代理，但在有些時候網站的一些套件需要取得使用者的 IP 要如何取得？

一般來說 Nginx 只要在 virtualhost conf 中設定以下就可以了

proxy_set_header Host $host;

在程式部分 (使用 flask)

from flask import request

這樣就可以取得使用者的 IP 了
但如果在 Nginx 前面還加個 Cloudflare CDN 怎麼辦？
其實在官方文件中有提到這點 Restoring original visitor IPs

Nginx 上有提到的 Cloudflare IP 區間不一定是固定的，可能隨時會變動
ergin 就寫出一個可以自動更新的腳本 nginx-cloudflare-real-ip
然後我就 fork 之後把他的 readme 做翻譯
大致上跟著操作就可以了最後別忘了到 Nginx 的 access log 查看 IP 是不是變成使用者的 IP

Linux Python cloudflare Nginx Real IP address

此文章已被阅读次数

…更新於 2022-08-25

使用 certbot+cloudflare 讓 wildcard certificate 自動更新憑證

Tue, 18 Jun 2019 16:00:00 GMT

下方使用 CentOS7 當作示範環境
如果你還沒裝 certbot，請先執行 yum install certbot

首先要先登入 Cloudflare，右上角 My Profile 那就可找到 Global API Key
請點選 View 輸入密碼就會出現，這把 Key 很重要請小心保管

api key

由於這把 Key 很重要，所以要放在一個安全的地方
原作者把它放在 /root/.secrets 裡面（你要改地方也行，最後的參數路徑記得改就好）
但系統預設沒有 /root/.secrets 這個目錄
所以要先建立這個目錄 mkdir /root/.secrets
然後把下面這兩行填好後放到 /root/.secrets/cloudflare.ini 裡面

dns_cloudflare_email = "請填你的cloudflare帳號，也就是email"
dns_cloudflare_api_key = "請輸入上述的 Global API Key"

修改 /root/.secrets/cloudflare.ini 權限

chmod 0700 /root/.secrets/
chmod 0400 /root/.secrets/cloudflare.ini

安裝 Certbot 及 CloudFlare DNS 認證套件

yum install python-pip
pip install certbot-dns-cloudflare

申請 Wildcard SSL 憑證
把 example.com 更換成自己的域名，如果有 4 級域名也要一起加入

certbot certonly --dns-cloudflare --dns-cloudflare-credentials /root/.secrets/cloudflare.ini -d example.com,*.example.com --preferred-challenges dns-01

於 crontab 設定自動 renew

nginx

14 5 * * * /usr/local/bin/certbot renew --quiet --post-hook "/usr/sbin/service nginx reload" > /dev/null 2>&1

apache

14 5 * * * /usr/local/bin/certbot renew --quiet --post-hook "systemctl reload httpd" > /dev/null 2>&1

Linux certbot cloudflare certificate wildcard certificate

此文章已被阅读次数

…更新於 2022-08-25

Debian / Ubuntu 安裝 Webmin

Sun, 02 Jun 2019 16:00:00 GMT

首先加入 Webmin 官方 repository, 開啟檔案 /etc/apt/sources.list

sudo vi /etc/apt/sources.list

加入以下兩行:

deb http://download.webmin.com/download/repository sarge contrib
deb http://webmin.mirror.somersettechsolutions.co.uk/repository sarge contrib

然後取得以上 repository 的 GPG key:

cd /root

加入 Webmin 的 repository 後，用安就很簡單了，更新 apt-get 就可以開始安裝了:

sudo apt-get update

Webmin 預設使用 10000 埠號，設定 firewall 開通 10000 埠號:

sudo ufw allow 10000

Webmin 預設使用的埠號是 10000, 可以這樣存取:

http://localhost

或
https://localhost

Linux Webmin

此文章已被阅读次数

…更新於 2022-08-24

OpenVPN 使用帳號密碼認證

Sun, 02 Jun 2019 16:00:00 GMT

如果安裝好 OpenVPN 其實可以使用他預設的製作金鑰來連線，但是要新增帳號或者管理帳號這部分就比較麻煩，所以還是用帳號密碼做管理比較容易

首先先安裝以下編譯程式需要的日常庫

yum -y install gcc gcc-c++ autoconf libjpeg libjpeg-devel \

下面安装 pam 组件

yum install pam_krb5 pam_mysql pam pam-devel -y

我們需要安裝 mysql 服務器

yum install mysql mysql-server mysql-devel mysql-libs -y

登錄 mysql 建立一個驗證用的測試數據庫，添加使用者帳號

mysql -u root -p

在 /etc/pam.d/ 下建立一個配置文件

vim /etc/pam.d/openvpn

輸入以下內容並保存

auth sufficient pam_mysql.so user=vpn passwd=vpn123 host=localhost db=vpn table=vpnuser usercolumn=name passwdcolumn=password where=active=1 sqllog=0 crypt=2

現在可以測試 pam_mysql 是否工作正常，但這個動作之前需要安裝 sasl

yum install cyrus-sasl cyrus-sasl-plain cyrus-sasl-devel cyrus-sasl-lib cyrus-sasl-gssapi -y

測試是否成功

saslauthd -a pam

如果成功，顯示 0: OK 「Success.」，pam_mysql 工作正常了

下面可以開始配置 OpenVPN 服務器了。

這裡需要有一部非常重要的步驟，2.1 以上的 OpenVPN 的 openvpn-auth-pam.so 都會出現驗證錯誤的問題，這裡需要我們重新編譯一個低版本的，我這裡用 2.0.7 的，大家也可以使用 2.0.9 版本的。

cd /etc/openvpn

之後在伺服器端的 conf 檔中加入以下

client-cert-not-required

客戶端的 conf 檔

client

如果要讓客戶端連線時自動輸入帳號密碼可以在客戶端 conf 中的 auth-user-pass 結尾加上 檔案名稱+副檔名
auth-user-pass account.txt
並在同一個目錄底下新增一個 account 的 txt 檔
在第一行打上帳號，第二行打上密碼儲存即可

Linux OpenVPN

此文章已被阅读次数

…更新於 2022-08-25

CentOS 更新Kernel

Sun, 02 Jun 2019 16:00:00 GMT

1. 導入 Public Key

rpm --import https://www.elrepo.org/RPM-GPG-KEY-elrepo.org

2. 安裝 ELRepo

CentOS 5

rpm -Uvh http://www.elrepo.org/elrepo-release-5-5.el5.elrepo.noarch.rpm

CentOS6

rpm -Uvh http://www.elrepo.org/elrepo-release-6-6.el6.elrepo.noarch.rpm

CentOS7

rpm -Uvh http://www.elrepo.org/elrepo-release-7.0-2.el7.elrepo.noarch.rpm

3. 升級 Kernel

※在 ELRepo 中有兩個內核選項，一個是 kernel-lt (長期支持版本)，一個是 kernel-ml (主線最新版本)

kernel-lt

yum --enablerepo=elrepo-kernel install kernel-lt -y

kernel-ml

yum --enablerepo=elrepo-kernel install kernel-ml -y

4. 更改 Grub

vi /etc/grub.conf

根據安裝好以後的內核位置，修改 default 的值，一般是修改為 0，因為 default 從 0 開始，一般新安裝的內核在第一個位置，所以設置
default=0

5. 查看 Kernel

重啟主機，重啟後執行
uname -r
，查看內核版本號，判斷是否升級成功

Linux CentOS Kernel

此文章已被阅读次数

…更新於 2022-08-25

SSH 使用 key 登入

Sun, 02 Jun 2019 16:00:00 GMT

一般 ssh 會使用帳號跟密碼的方式登入遠端主機，這方式雖然方便但是卻有風險

只要其他人知道帳號跟密碼一樣就可以登入主機進行任何動作，所以可以使用 key 來登入，只要沒有這個 key 就不能登入主機，這樣也比帳號密碼安全。

而其實它還有另一種用途，如果要用 rsync 備份或更新其他主機的內容也可以用這個方式，就不用一台一台主機輸入密碼才能傳輸檔案。

1. 製作 ssh key

ssh-keygen -t rsa 或 ssh-keygen -d (dsa) => 產生出 id_rsa, id_rsa.pub 在使用者目錄中.ssh 資料夾裡面

製作時會問 Enter passphrase (empty for no passphrase): 此處直接 enter 跳過，下次才不會詢問密碼

id_rsa 是私鑰 private key

id_rsa.pub 是公鑰 public key

2. 讓遠端登入到其他遠端主機

假如現在你有 A 跟 B 主機，A 主機照上方的方式做出了 ssh 金鑰

主要要讓 A 主機 可以不用使用密碼用 key 登入到 B 主機 進行操作

那就要將 A 主機 的 ” 公鑰 ” 上傳到 B 主機 中才能讓 A 主機免密碼登入到 B 主機，只要在 A 主機輸入以下指令

ssh-copy-id -i $HOME/.ssh/id_rsa.pub (B 主機)
上方紅字的部分改為主機 IP 或名稱

大致上主機回應如下方：

# ssh-copy-id -i $HOME/.ssh/id_rsa.pub (主機名稱)
The authenticity of host '(主機名稱) (IP)' can’t be established.
RSA key fingerprint is 金鑰指紋.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '(主機名稱),(IP)' (RSA) to the list of known hosts.
Now try logging into the machine, with "ssh '(主機名稱)'", and check in:

.ssh/authorized_keys

to make sure we haven’t added extra keys that you weren’t expecting.

※(主機名稱),(IP) 部分會依金鑰及主機名稱 IP 而改變

這個時候用 ssh 連線嘗試看看有沒有匯入成功

ssh root@主機名稱

如果有成功匯入金鑰的話不用打密碼就可以連線進去了

3. 本地電腦免密碼登入遠端主機

當我們用 windows 要遠端控制主機時大部分都會使用到 PieTTY 或 PuTTY 這兩款 SSH 連線軟體，平常設定都是使用帳號跟密碼做登入，如果要用免密碼登入增加安全性就要使用下方的方式

(1) 準備好 PieTTY 或 PuTTY (觀眾：廢話 (打丁丁

(2) 將遠端主機使用者的公鑰重新命名成 authorized_keys

cp ~/.ssh/id_rsa.pub ~/.ssh/authorized_keys

(3) 將 id_rsa 私鑰 private key 下載到 windows 上

並下載 PuTTYgen ，開啟 PuTTYgen 上方有個 “Conversions” 選擇 “Import key” 選擇你從主機下載下來的 id_rsa 私鑰，選擇後點擊下方會有個 “Save private key”，

軟體會問你說 Are you sure you want to save this key without passphrase to protext it? ，主要的意思是說 “你確定要儲存這個 key 並不使用任何密碼保護它？”

選擇 yes 輸出 ppk 檔，ppk 檔是給 PuTTY or PieTTY 使用的，給 PuTTY or PieTTY ppk 檔路徑就可以免密碼登入囉～

Linux SSH

此文章已被阅读次数

…更新於 2022-08-24

Apache 透過 ITK Multi-Processing Module 讓虛擬主機以不同使用者執行

Thu, 30 May 2019 16:00:00 GMT

一般來說 Linux Apache 服務啟動時，預設都是限定一組使用者與群組來執行程序（CentOS 是 apache ，Ubuntu 是 www-data）。

但有時我們常透過 VirtualHost 在同一個 Apache 上存放著許多網站。

這樣子有些網站的權限可能就有問題，可能會導致網頁無法下載或上傳檔案等等，對於主機上的網站也有安全性的問題，所以這裡使用 MPM 來指定 Apache VirtualHost 程序的使用者與群組。

以下操作皆為 CentOS 6.8

1. 安裝 mpm-itk 套件

yum install httpd-itk -y

2. 編輯 /etc/sysconfig/httpd 指定用 httpd.itk 來執行

vi /etc/sysconfig/httpd

並加入以下設定 (後方為 httpd.itk 的絕對路徑，可以使用 find 去完整蒐尋位置)

HTTPD=/usr/sbin/httpd.itk

3. 編輯 /etc/httpd/conf.d/php.conf 載入 PHP Module

vi /etc/httpd/conf.d/php.conf

並加入以下設定

<IfModule itk.c>
LoadModule php5_module modules/libphp5.so
</IfModule>

4. 編輯 Virtual Host 設定檔，透過 AssignUserID 參數設定 Apache 程序的使用者與群組，範例如下：

<VirtualHost *:80>
DocumentRoot (網頁根目錄)
ServerName (VirtualHost 名稱)
ErrorLog logs (ErrorLog 存放檔案路徑)
CustomLog logs (CustomLog 存放檔案路徑)
AssignUserId (使用者名稱) (群組)
</VirtualHost>

最重要的就是 AssignUserId (使用者名稱) (群組)

名稱及群組中間有一個空格，設定完後重新啟動 Apache

service httpd restart

如果不知道有沒有正確的套用執行請在網頁根目錄中放一個 php 網頁，內容為：

<?php

這會顯示執行 php 的使用者名稱，看是不是你設定 AssignUserId 的使用者名稱。

Linux Apache VirtualHost Multi-Processing

此文章已被阅读次数

…更新於 2022-08-25

Linux Python3.7+ 執行 pip 時 SSLError 錯誤

Sun, 19 May 2019 16:00:00 GMT

在用 Centos7 安裝 Python3.7+ 一般來說都沒有任何的問題

只要從原始碼編譯安裝就可以直接使用 Python3.7+ 了

但是如果要用 pip 安裝 (搜尋) 套件的時候就會發生錯誤

pip-sslerror

學長之前有問過我這個問題，想不到自己也碰到了

雖然學長的做法是把 Python 的版本下降到 3.6 解決這個問題

但是因為 3.6 跟 3.7 在 async/await 的寫法上不一樣

3.7 的寫法比起 3.6 更精簡，所以才想要在自己的伺服器上配置 Python3.7

python多版本

(很多 Linux 自帶 Python2 而 3 之後的版本都要自行安裝)

然後如果編譯安裝會跳出以下提示

Python build finished successfully!

然後查了 Centos7 的 openssl 版本……

恩… 很好 1.0.2k 照理說是符合的

結果就是文字遊戲，上述的提示是指 openssl 版本要 ” 超過 ” 1.0.2 或 1.1

並不是說最低要求 1.0.2 or 1.1

所以從 openssl 下載最新的版本 openssl-1.1.1

# 下載 openssl-1.1.1 原始碼

編譯安裝好之後應該就可以執行 pip 不會出現 SSLError 錯誤了

成功執行pip

Linux Python SSLError pip

此文章已被阅读次数

…更新於 2022-08-25

Webmin 啟用 Two Factor Authentication

Thu, 16 May 2019 16:00:00 GMT

Webmin Two Factor Authentication Authen::OATH
這個問題從我一開始接觸到 Webmin 到現在都沒有解決的問題，所以這邊從其他方式去修復這個問題讓使用者可以用 Two Factor Authentication。

安裝 Webmin 後，為了增加你的 Webmin 的安全性
可以通過設定 Webmin Two Factor Authentication 輕鬆達成

但是 Webmin 上安裝會產生許多不同的錯誤
其中一個令人惱火的是 Authen :: OATH perl 模塊錯誤

當選擇 Google Authentication 並按 下一步 時，您可能會遇到以下錯誤

webmin_oath_perl_issue

如果點擊連結 Perl Modules 將從原始碼安裝它，但是再次可能存在其他依賴項錯誤

Can't locate ExtUtils/MakeMaker.pm

然後就開始無限迴圈了，不管怎麼案都會卡在這兩個動作
原因很簡單，可以是以下任何一個或全部

缺少像 Moose，Digest 或 Build 包這樣的 Perl 模塊。
Authen :: OATH 未正確安裝。
安裝 OATH 後，您沒有重新啟動 Webmin 核心。

最後一個主要問題，因為 Authen::OATH 是從原始碼安裝的
除非重新啟動核心，否則 Webmin 將無法檢測到它
安裝 Authen::OATH 後嘗試使用 SSH 重啟 Webmin 服務，問題應該得到解決。
如果沒有，請按照以下步驟正確安裝

安裝 Perl 包

yum install gcc 'perl(Moose)' 'perl(Digest::HMAC)' 'perl(Module::Build)'

這將為 Source 構建安裝所有必需的 perl 包，並支持 WebMin 雙因素身份驗證。

注意：如果收到錯誤 No package perl（Moose）available ，請通過此下方從 tar 包安裝 perl-Moose
下載 Authen :: OATH 原始碼並解壓縮

# 下載

然後再次回到 Webmin 設定就可以正常使用 Two Factor Authentication

Linux Webmin 2FA Two Factor Authentication

此文章已被阅读次数

…更新於 2022-08-25

pyinstaller: lib not found 報錯處理

Wed, 15 May 2019 16:00:00 GMT

使用 pyinstaller 打包 py 檔時
發生非常多的 WARNING: lib not found: api-ms-win-crt-*.dll

2019-05-16-pyinstaller.png

那要如何解決這個問題呢？

一般開發者在 Windows 使用 Python 是不會用虛擬環境 (virtualenv)

但這邊我是有使用虛擬環境，但操作差不多～

假如今天我們要打包一個名為 app.py 這個檔案

我們要先建立 app.py 的 spec 檔

pyi-makespec app.py

之後打開 app.spec 如下圖

2019-05-16-pyinstaller.png

紅色框起來就是對於我們打包來說比較重要的幾個參數

pathex : 打包時要用到的檔案之環境路徑
datas : 打包完成後程式會使用到的檔案
hiddenimports : 手動 import 該程式會使用到的 lib 或者自己寫的 modules

要解決 lib not found 的問題就是要 pathex 這個
在加入路徑前我們要先安裝 Windows SDK
因為 Windows 本身沒有內建這些 dll 檔

安裝完成後到你的安裝目錄 (這邊因人而異，也有可能因版本不同所以有些出入)
C:\Program Files (x86)\Windows Kits\10\Redist\10.0.18362.0\ucrt\DLLs

到這個路徑之後會看到有 x64 , x86 , arm 三個資料夾
接著就是依照你的 python 版本去選擇資料夾
因為我的 python 是 64bit 所以我就選擇 x64

在 app.spec 中的 pathex 加入該路徑如下圖

2019-05-16-pyinstaller.png

接著要打包的指令不要傻傻的把 py 檔帶進去
pyinstaller 預設如果是帶 py 檔進去就會重新生成 spec 檔

所以我們要打的指令是

pyinstaller app.spec

就會讀取 app.spec 的內容將 py 檔打包成 exe 然後這樣就不會噴錯啦～

Linux Python PyInstaller

此文章已被阅读次数

…更新於 2022-08-25