Tools on 丸子有记, 记录生活、分享技术，专注于运维架构、运维开发(devops)。

企业级私有云平台深度对比：ZStack vs TStack

wzdushu@gmail.com (wanzi) — Sat, 14 Jun 2025 11:00:00 +0800

ZStack 与 TStack (腾讯云专有云) 选型对比

由于金融客户特殊性要求，需要在私有化交付过程中，进行三方私有云平台选型，本次主要针对Zstack和Tstack进行对比:

在私有云/混合云市场中，ZStack（云轴科技,背后为阿里云）与 TStack（腾讯云专有全栈云解决方案，现多整合进 TCE/TCS 体系）是两类典型代表。前者以“产品化、轻量级、独立厂商”著称，后者以“全栈能力、公有云同源、大厂生态”为核心。

1. 核心定位与背景

维度	ZStack (云轴科技)	TStack / TCE (腾讯云)
厂商性质	独立软件厂商 (ISV)专注于云平台软件研发，中立性强。	公有云厂商 (CSP)腾讯内部技术输出，强依赖腾讯生态。
核心定位	产品化私有云/超融合强调“简单、健壮、弹性、智能”(4S)，主打 VMware 替代及中小规模私有云。	全栈私有云/行业云强调“公有云体验私有化”，提供 IaaS+PaaS+SaaS 全栈能力，主打大型政企数字化转型。
技术基因	自研架构 (非 OpenStack 魔改)，代码自主率高，轻量级。	源于腾讯公有云 (Tencent Cloud)，基于 OpenStack/K8s 深度定制，重平台化。
典型客户	中小企业、医院、学校、部分国企、边缘计算场景。	大型央企、政府委办局、金融机构、需要复杂 PaaS 能力的集团。

2. 架构与技术特性对比

2.1 架构设计

ZStack:
- 微服务架构：所有组件进程化，无外部依赖（如无需单独部署 MySQL、RabbitMQ），一键安装，30分钟即可完成部署。
- 无状态设计：管理节点支持高可用 (HA)，故障自动切换。
- 升级平滑：支持无缝在线升级，不中断业务。
TStack (TCE):
- 复杂分布式架构：依赖大量中间件组件，部署通常需要专业团队介入，周期较长（天/周级别）。
- 公有云同源：底层技术与腾讯公有云高度一致，适合需要“混合云一致性”的场景。
- 模块化交付：可按需选择企业版、大数据版、AI版等，但集成度高导致耦合度也相对较高。

2.2 虚拟化与容器

功能	ZStack	TStack (TCE)
虚拟化内核	基于 KVM 深度优化，自研管理引擎，性能损耗极低。	基于 KVM，继承腾讯公有云神龙架构部分特性，性能强劲。
容器支持	ZStack Zaku：提供容器引擎，支持虚拟机与容器统一管理，轻量级 K8s。	TCS (Tencent Cloud-native Suite)：企业级 K8s 平台，功能极其丰富，支持复杂的微服务治理、DevOps。
存算分离	支持 ZStack Cube 超融合架构，内置分布式存储。	支持 CBS/CFS 等腾讯自研存储对接，也可对接第三方存储。

3. 信创与生态兼容性

随着国产化要求的深入，信创能力成为选型的关键一票。

ZStack:
- 全栈信创：宣称“一云八芯”，全面支持飞腾、鲲鹏、海光、龙芯、兆芯、申威等国产芯片。
- 生态适配：已适配 140+ 国产软硬件产品（操作系统、数据库、中间件）。
- 优势：作为独立厂商，对国产小众芯片和操作系统的适配响应速度极快，灵活性高。
TStack (TCE):
- 主流信创：重点支持鲲鹏、飞腾等主流国产芯片（尤其是与腾讯有战略合作的厂商）。
- 生态绑定：深度整合腾讯云生态（如 TDSQL 数据库、TDW 大数据），在腾讯系信创方案中表现优异。
- 优势：在金融、政务等大型信创项目中，能提供从芯片到应用的全链路兜底服务。

4. 运维与交付体验

维度	ZStack	TStack (TCE)
部署难度	⭐ (极简)单节点即可启动，Web 界面引导式安装，自动化程度极高。	⭐⭐⭐ (复杂)通常需要原厂或认证合作伙伴现场部署，依赖复杂的预检查和环境准备。
日常运维	⭐⭐ (简单)界面直观，功能聚焦，普通运维人员上手快。	⭐⭐⭐ (专业)功能极其丰富但复杂，需要专门培训的运维团队，学习曲线陡峭。
升级维护	支持在线无缝升级，版本迭代快。	升级流程严谨但繁琐，通常涉及停机窗口或复杂的灰度发布策略。
售后服务	原厂直服 + 合作伙伴，响应灵活。	依托腾讯云庞大的服务体系，三线支持机制完善，但流程相对标准化（有时略显僵化）。

5. 成本分析 (TCO)

ZStack:
- 授权模式：通常按 CPU 插槽或节点数授权，价格透明。
- 硬件要求：对硬件配置要求相对较低，利旧能力强，可使用通用 x86 服务器。
- 人力成本：由于运维简单，可大幅降低对高级运维专家的依赖。
- 总体评价：初期投入低，长期持有成本低，适合预算敏感型项目。
TStack (TCE):
- 授权模式：整体解决方案打包，包含软件授权、实施费、维保服务费，价格较高。
- 硬件要求：推荐专用硬件或高性能服务器，对网络架构要求高（往往需要万兆网络起步）。
- 人力成本：需要专职云管团队，培训成本高。
- 总体评价：初期投入高，适合预算充足、追求极致稳定性和全栈能力的大型项目。

6. 选型决策矩阵

请根据您的实际场景对照下表：

场景特征	推荐方案	理由
VMware 替代	ZStack	ZStack 专为替代 VMware 设计，迁移工具成熟，成本低，架构轻量，风险小。
中小型私有云 (<50 节点)	ZStack	部署快，运维少，性价比高，功能完全够用。
大型政企/金融核心云 (>100 节点)	TStack (TCE)	需要极高的稳定性、复杂的 PaaS 能力、以及大厂的品牌背书和兜底服务。
需要深度 PaaS/大数据/AI 能力	TStack (TCE)	腾讯在大数据、AI、微信生态整合上有天然优势，TCE 能直接复用公有云能力。
信创环境复杂 (多种国产芯片混用)	ZStack	独立厂商对异构芯片的兼容性和适配响应速度通常优于大厂标准品。
混合云架构 (与公有云联动)	TStack (TCE)	如果未来计划重度使用腾讯公有云，TCE 能实现真正的“一朵云”体验。
预算有限 / 快速上线	ZStack	开箱即用，几天内即可投产，显著降低 TCO。

7. 总结与建议

选择 ZStack，如果：
- 您希望快速构建私有云，厌倦了复杂的 OpenStack 部署。
- 您的主要目标是替代 VMware，降低授权成本。
- 您的团队规模较小，缺乏专门的云运维专家。
- 您需要高度的自主可控和中立的第三方软件供应商。
选择 TStack (TCE)，如果：
- 您是大型集团、央企或金融机构，对稳定性有近乎苛刻的要求。
- 您需要全栈能力（不仅仅是虚拟机，还包括大数据、AI、微服务治理等 PaaS 服务）。
- 您的战略方向是混合云，且倾向于使用腾讯公有云作为公有侧。
- 您有足够的预算组建专业的云管团队，并购买原厂高级服务。

💡 最终建议：

在当下的市场环境下，“小而美”与“大而全”并存。对于 80% 的通用型企业场景，ZStack 往往是更务实、更高效的选择；而对于那 20% 关乎国计民生、业务极度复杂的核心场景，TStack (TCE) 的大厂底蕴则不可或缺。建议在选型前进行 POC 测试，重点验证部署效率、信创兼容性及实际业务负载下的性能表现。

其实在私有化部署场景中，zstack和stack已经涵盖了，IAAS层虚拟机和分布式存储、PaaS容器层，唯一缺少的是RDS平台，因此对于配合这两个平台，在增配三方RDS平台的时候也需要注意适配度，一般Zstack配套沃趣，Tstack配套爱可生；

在使用了沃趣和爱可生两家后，建议使用沃趣平台，主要原因为平台功能、高可用、UI易用这三点做的比较好一些, 支持Mysql、Oracle、SQL Server、PostgreSQL、Redis、MongoDB、OceanBase、TiDB、ES、RabbitMQ、Kafka、RocketMQ等.

WireGuard构建企业级VPN网络

wzdushu@gmail.com (wanzi) — Fri, 10 Jan 2025 14:22:42 +0800

WireGuard介绍

WireGuard 是一款现代、快速、简单、安全的虚拟私有网络（VPN）协议，旨在取代如IPsec和OpenVPN等传统VPN技术。比IPsec更快、更简单、更精简、更实用，同时避免大量麻烦。相比OpenVPN性能更高,最初是为Linux内核发布，现在已跨平台（Windows、macOS、BSD、iOS、Android）并可广泛部署，目前正在大力开发中，但它可能已经被视为业内最安全、最易于使用和最简单的 VPN 解决方案

主要应用场景：

远程办公安全接入企业内网，员工在家或出差时需安全访问公司内部系统（如文件服务器、ERP、数据库）
跨国分支机构互联（Site-to-Site），例如欧洲办公室与中国总部之间需稳定通信
云服务器与本地数据中心安全互联，将阿里云/AWS/Azure上的业务系统与本地IDC打通
家庭网络与云服务器之间的安全互联，出差访问家庭NAS文件
IoT设备安全通信，智能摄像头、工业传感器、POS机等设备需将数据安全传回数据中心
容器和微服务网络隔离，容器场景下夸主机通信，比如wg-easy,netmaker工具快速构建Overlay网络

WireGuard 部署

安装WireGuard

WireGuard 自 Linux 5.6 起已合并进主线内核，大多数现代发行版可直接安装用户态工具：

1
2

sudo apt update
sudo apt install wireguard wireguard-tools

注意：若使用 CentOS/RHEL，需先启用 EPEL 或使用 elrepo 内核模块；Windows/macOS 客户端可从 wireguard.com 下载官方 GUI 应用。

生成密钥对

cd /etc/wireguard/
umask 077 # 确保密钥文件权限安全
wg genkey | tee server_private.key | wg pubkey > server_public.key # 生成服务器端密钥
wg genkey | tee server_private.key | wg pubkey > client1_public.key # 客户端A密钥
wg genkey | tee server_private.key | wg pubkey > client2_public.key # 客户端B密钥

WireGuard 配置管理

WireGuard 没有严格的服务端/客户端之分，但通常需要一个具有公网IP的节点作为中继服务器（Hub）。

编辑服务器端(中继)配置文件 /etc/wireguard/wg0.conf：

[Interface]
Address = 10.100.0.1/24
ListenPort = 51820
PrivateKey = wg genkey | tee server_private.key | wg pubkey > server_public.key # 生成服务器端密钥

PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

# 客户端 A
[Peer]
PublicKey = client1_public.key
AllowedIPs = 10.100.0.2/32

# 客户端 B
[Peer]
PublicKey = client2_public.key
AllowedIPs = 10.100.0.3/32

设置开机自启动

sudo systemctl enable wg-quick@wg0
sudo systemctl start wg-quick@wg0
# 查看状态
sudo wg show

配置内核转发与防火墙（CentOS/Ubuntu）：

# 启用 IPv4 转发
echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p

# 防火墙开放端口 (非必需，根据实际情况来)
sudo firewall-cmd --permanent --add-port=51820/udp
sudo firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=10.100.0.0/24 masquerade'
sudo firewall-cmd --reload
# 若使用 iptables，参考上述 PostUp/PostDown 脚本

WireGuard DashBoard

wg-easy（轻量级 Web UI）

特点：单页应用，Docker 一键部署，支持 QR 码扫码连接、流量监控、在线开关客户端。
适用场景：中小团队（<50 用户），快速搭建远程办公 VPN。
一键部署命令：

docker run -d \
  --name=wg-easy \
  -e WG_HOST=your.domain.com \
  -e WG_PORT=51820 \
  -e WG_DEFAULT_ADDRESS=10.100.0.x \
  -e PASSWORD=your_admin_password \
  -v ～/.wg-easy:/etc/wireguard \
  -p 51821:51821 \
  -p 51820:51820/udp \
  weejewel/wg-easy

注意：wg-easy 默认无用户权限隔离，不适用于多租户或高安全要求场景。

Netmaker(企业级SD-WAN架构）)

特点：
- 支持 Mesh 网络（任意节点互联）、Site-to-Site、Kubernetes 集成；
- 提供 REST API、RBAC 权限控制、ACL 策略、指标监控（Prometheus）；
- 控制平面（netmaker） + 数据平面（netclient）分离，支持动态拓扑。
架构组件：
- Netmaker Server：管理节点、策略、证书；
- Netclient：部署在各终端（服务器/PC/IoT），自动注册并拉取配置；
- MQTT Broker（可选）：用于大规模节点状态同步。
部署方式：支持 Helm Chart（K8s）、Docker Compose、systemd。

推荐用于：跨国分支互联、混合云组网、IoT 设备集群管理等复杂拓扑。

Tailscale / Headscale（Zero Trust 架构）

虽非原生 WireGuard，但底层基于 WireGuard 协议；
提供 SSO（Google/Azure/OIDC）、设备认证、细粒度 ACL；
Headscale 为开源自托管版，适合数据合规要求高的企业。

Tailscale是商业SaaS服务（免费版支持 3 人），Headscale是其开源、自托管的替代品，协议完全兼容。

这里强烈推荐方案，建议服务器端采用开源headscale，客户端采用tailscale.

开源Waf安全防护解决方案

wzdushu@gmail.com (wanzi) — Sun, 16 Jun 2024 16:22:42 +0800

最近网站加了CDN后，凌晨总是莫名其妙来一堆垃圾请求，有些是扫描、有些是大模型的UserAgent、有些是黑蜘蛛。

为了节省CDN费用，同时防止各种注入攻击，所以开始调研开源的Waf方案(自己的小破站够用就行)，如果是企业使用，还是建议使用商业版本，比如阿里云的DCDN、腾讯的EdgeOne或者海外的Cloudflare(海外业务首选)。

1、功能介绍

雷池（SafeLine）是长亭科技开源一个Waf解决方案，核心检测能力由智能语义分析算法驱动。

主要功能为网络安全网关，侧重于Waf，可以防御所有的 Web 攻击，例如 sql注入、代码注入、os命令注入、CRLF注入、ldap注入、xpath注入、rce、xss、xxe、ssrf、路径遍历、后门、暴力破解、http 洪水、机器人滥用等等。

大概看了下项目源码，API采用golang，核心waf功能采用tengine+Lua，类似openresty。

项目地址：https://github.com/chaitin/safeline

官网地址：https://waf-ce.chaitin.cn/

https://waf.chaitin.com/

备注：其他流行网关，比如Apisix，Kong，Openresty等

2、安装

下载离线镜像

由于前几天，很多国内的dockerhub镜像加速已经不可用了,所以这里只能离线了。

# mkdir /opt/safeline
# cd /opt/safeline
# wget https://demo.waf-ce.chaitin.cn/image.tar.gz
# cat image.tar.gz | gzip -d | docker load
# docker ps 
REPOSITORY                                                           TAG       IMAGE ID       CREATED         SIZE
chaitin/safeline-fvm                                                 latest    d9589d01be57   3 days ago      175MB
swr.cn-east-3.myhuaweicloud.com/chaitin-safeline/safeline-fvm        latest    d9589d01be57   3 days ago      175MB
chaitin/safeline-mgt                                                 latest    56ef6365e4c3   3 days ago      81.6MB
swr.cn-east-3.myhuaweicloud.com/chaitin-safeline/safeline-mgt        latest    56ef6365e4c3   3 days ago      81.6MB
chaitin/safeline-luigi                                               latest    1423e012eef0   3 days ago      31.8MB
swr.cn-east-3.myhuaweicloud.com/chaitin-safeline/safeline-luigi      latest    1423e012eef0   3 days ago      31.8MB
chaitin/safeline-mario                                               latest    758fd16c3d30   3 days ago      201MB
swr.cn-east-3.myhuaweicloud.com/chaitin-safeline/safeline-mario      latest    758fd16c3d30   3 days ago      201MB
chaitin/safeline-bridge                                              latest    94aaed2a1b5a   3 days ago      17.9MB
swr.cn-east-3.myhuaweicloud.com/chaitin-safeline/safeline-bridge     latest    94aaed2a1b5a   3 days ago      17.9MB
chaitin/safeline-tengine                                             latest    c67893333287   3 days ago      140MB
swr.cn-east-3.myhuaweicloud.com/chaitin-safeline/safeline-tengine    latest    c67893333287   3 days ago      140MB
chaitin/safeline-detector                                            latest    f5cff5cc7e35   3 days ago      179MB
swr.cn-east-3.myhuaweicloud.com/chaitin-safeline/safeline-detector   latest    f5cff5cc7e35   3 days ago      179MB
chaitin/safeline-chaos                                               latest    71b05b47e3fd   3 days ago      118MB
swr.cn-east-3.myhuaweicloud.com/chaitin-safeline/safeline-chaos      latest    71b05b47e3fd   3 days ago      118MB
chaitin/safeline-postgres                                            15.2      bf700010ce28   13 months ago   379MB
swr.cn-east-3.myhuaweicloud.com/chaitin-safeline/safeline-postgres   15.2      bf700010ce28   13 months ago   379MB

配置环境

# cd  /opt/safeline
# vim .env
SAFELINE_DIR=/opt/safeline
IMAGE_TAG=latest
MGT_PORT=9443
POSTGRES_PASSWORD=Pgssf201Waf
SUBNET_PREFIX=172.22.222
IMAGE_PREFIX=chaitin

SAFELINE_DIR: 雷池安装目录，这里配置/opt/safeline
IMAGE_TAG: 要安装的雷池版本，保持默认的 latest 即可
MGT_PORT: 雷池控制台的端口，保持默认的 9443 即可
POSTGRES_PASSWORD: 雷池所需数据库的初始化密码，请随机生成一个
SUBNET_PREFIX: 雷池内部网络的网段，保持默认的 172.22.222 即可
IMAGE_PREFIX: 雷池镜像源的前缀，保持默认的 chaitin 即可

docker-compose管理容器：

# cd "/opt/safeline"
# wget "https://waf-ce.chaitin.cn/release/latest/compose.yaml"  -O docker-compose.yaml
# docker-compose  up -d
# docker-compose ps 
Name                     Command                  State                            Ports
--------------------------------------------------------------------------------------------------------------------
safeline-bridge     /app/bridge serve -n unix  ...   Up
safeline-chaos      ./entrypoint.sh                  Up             9000/tcp
safeline-detector   /detector/entrypoint.sh          Up (healthy)   8000/tcp, 8001/tcp
safeline-fvm        ./fvm /app/config.yml            Up
safeline-luigi      /bin/sh -c /app/luigi            Up             80/tcp
safeline-mario      /mario/entrypoint.sh             Up (healthy)
safeline-mgt        /docker-entrypoint.sh /bin ...   Up (healthy)   0.0.0.0:9443->1443/tcp,:::9443->1443/tcp, 80/tcp
safeline-pg         docker-entrypoint.sh postg ...   Up (healthy)   5432/tcp
safeline-tengine    entrypoint.sh nginx -g dae ...   Up

第一次登录雷池需要初始化管理员账户，执行以下命令即可

`1`	`docker exec safeline-mgt resetadmin`

命令执行完成后会随机重置 admin 账户的密码，输出结果如下

[SafeLine] Initial username：admin
[SafeLine] Initial password：**********
[SafeLine] Done

到这里基本安装完成，只需要云端ACL开放9443端口访问即可

可以打开浏览器访问 https://:9443/ 来使用雷池控制台

3、网站配置

SSL证书配置：

支持自定义上传证书和申请免费证书两种。

添加站点：

添加站点，另外这里默认已经开启人机验证、身份验证、动态防护;需要注意的是这里添加上游服务器时，回源比较模糊，比如回源端口配置、协议等

代理配置：

安全防护设置：

这里主要配置频率限制(类似nginx limit)、自定义规则(根据http头信息设置规则)、语意分析(注入相关)等

限制访问频率: 底层逻辑和nginx下limit_req、limit_conn、limit_rate 差不多

自定义规则: 主要根据http头部信息做一些策略，和常用CDN的访问控制类似，但是这个功能更灵活.

语义分析: 主要是识别各种注入、机器人检测等

4、总结

通过两天测试，雷池基本满足我这个小破站的需求，但是它也有很多无法满足的地方。

比如：申请免费证书不支持泛域名、上游服务器回源协议模糊等

最后，放一张效果图.

参考： https://docs.waf-ce.chaitin.cn/zh/home

Linux下操作百度云盘的利器

wzdushu@gmail.com (wanzi) — Mon, 04 Dec 2023 16:22:42 +0800

最近在给公司SAAS产品在客户侧进行私有化部署，由于客户现场网络无法上网，只能通过Linux跳板机将数据传输过去，除了k8s离线部署程序、镜像外，还有几百G已经切好的视频数据，所以只能通过百度网盘传输了，试想一下能不能通过命令行同步百度云盘数据呢，谷歌一搜还真有，下面就简单介绍一下bypy的使用。

bypy介绍

bypy是一个百度云/百度网盘的Python客户端，主要用于linux下操作百度云盘，提供文件列表、下载、上传、比较、向上同步、向下同步等操作，主要特点：支持Unicode/中文；失败重试；递归上传/下载；目录比较; 哈希缓存。

另外，由于百度PCS API权限限制，程序只能存取百度云端/apps/bypy目录下面的文件和目录。

安装bypy

安装pip

curl -O https://bootstrap.pypa.io/pip/2.7/get-pip.py
curl -O https://bootstrap.pypa.io/pip/3.6/get-pip.py
python get-pip.py

安装bypy

pip install bypy

python -m bypy info #生成授权码，然后打开浏览器， 进行授权，并赋值授权码

将授权码复制粘贴到终端，回车，即完成。

bypy命令详解

$ bypy help command #查看命令帮助
$ bypy info  #查看百度云盘空间
Quota: 13.294TB
Used: 1.917TB
$ bypy list #查看百度云盘“我的应用数据”
/apps/bypy ($t $f $s $m $d):
D course 0 2023-12-04, 15:21:41
D k8s 0 2023-12-04, 15:47:47

$ bypy downdir k8s #直接下载bypy目录下k8s
$ bypy syncup #把当前目录同步到云盘
$ bypy upload #把当前目录同步到云盘
$ bypy syncdown #把云盘内容同步到当前目录
$ bypy downdir / #把云盘内容同步到当前目录

$ bypy compare #比较本地当前目录和云盘（程序的）根目录
$ bypy -v #运行时添加-v参数，会显示进度详情。
$ bypy -d #运行时添加-d，会显示一些调试信息
$ bypy -ddd #显示更多http通讯信息

总结

这次对于使用bypy算告一段落，其实在调研的过程中也有很多基于baidupcs实现的工具，不过后来这些项目都不怎么维护了，所以也希望bypy能够坚持下去。

参考：https://github.com/houtianze/bypy

Delve版本过低无法适配Goland

wzdushu@gmail.com (wanzi) — Wed, 15 Mar 2023 16:22:42 +0800

问题

Goland下最近调试代码，总是报如下错误：

`1`	`WARNING: undefined behavior - version of Delve is too old for Go version 1.19.3 (maximum supported version 1.18)`

解决方法

问题的大概的意思是Delve版本过低，无法满足当前的Golang版本

更新delve，由于我这里使用brew安装，默认官网安装文档里没有对brew过多说明，升级方法也没有，那么我们就直接安装即可。

1
2
3

git clone https://github.com/go-delve/delve
cd delve
go install github.com/go-delve/delve/cmd/dlv

或者按照指定版本：

# Install the latest release
go install github.com/go-delve/delve/cmd/dlv@latest
# Install 1.20.1
go install github.com/go-delve/delve/cmd/dlv@1.20.1

默认go install是安装在GOPATH下

# go env GOPATH
/Users/wanzi/go
# ./go/bin/dlv version
Delve Debugger
Version: 1.20.1
Build: $Id: 96e65b6c615845d42e0e31d903f6475b0e4ece6e $

卸载默认delve，并更新当前zsh里PATH：

`1`	`brew uninstall delve`

vim ~/.zshrc 更新如下：

`1`	`export PATH="${PATH}:${HOME}/.krew/bin/:$HOME/go/bin"`

参考：https://github.com/go-delve/delve/tree/master/Documentation/installation

给博客自动续签免费SSL证书

wzdushu@gmail.com (wanzi) — Sat, 12 Nov 2022 16:22:42 +0800

背景

如果你拥有一个网站或者独立博客，你每年都需要关心自己网站SSL证书过期问题，最近wnote.com证书也快过期了；

申请SSL证书，既让网站支持https访问，市面上有免费的也有收费的；

对于免费证书，国内主流云厂商比如阿里、腾讯、ucloud等平台都有免费SSL证书渠道，一般有效期为1年，需要手动申请，当然如果你的用户主要是海外，可以考虑cloudflare家CDN安全防护，默认提供了免费SSL证书。

当然喜欢倒腾的也可以使用Let"s Engypt家免费证书，可以移步https://letsencrypt.org/，官方一般推荐Certbot客户端来申请，也支持ACME协议这里我就不过多介绍；

今天我们主要使用acme.sh来申请免费证书,一方面原因是acme.sh完全支持ACME协议，另外一个有点就是支持泛域名证书且可以自动续签。

默认acme.sh申请的是https://zerossl.com家的免费证书，没有数量限制，如果你直接跑到zerossl官网申请，数量上最多免费申请三个。

acme.sh项目地址:

https://github.com/acmesh-official/acme.sh

安装ACME

正常安装完后，安装目录为：~/.acme.sh/，后边所有证书也将放置在此文件夹下。

1
2
3

git clone https://github.com/acmesh-official/acme.sh.git
cd ./acme.sh
./acme.sh --install -m my@example.com #这里修改成你自己邮箱

安装程序总共做了3个操作：

创建并复制acme.sh到您的主目录 ( $HOME): ~/.acme.sh/。
为：创建别名acme.sh=~/.acme.sh/acme.sh。
如果需要，创建每日 cron 作业以检查和更新证书。

申请证书

http方式颁发证书

对于一个证书一个域名：

`1`	`acme.sh --issue -d www.example.com -w /home/wwwroot/www.example.com`

或者：

`1`	`acme.sh --issue -d example.com -w /home/username/public_html`

或者：

`1`	`acme.sh --issue -d example.com -w /var/www/html`

对于同一个证书包含多个域名。

`1`	`acme.sh --issue -d example.com -d www.example.com -d cp.example.com -w /home/wwwroot/example.com`

-d的参数，是为你颁发证书的域名，至少有一个域名，且和后边-w参数形成绑定关系；

-w的参数/home/wwwroot/example.com、/home/username/public_html、/var/www/html是您托管网站文件的 Web 根文件夹，你必须有可写权限，acme.sh会在网站根目录下创建.well-known目录，在其中生成验证文件，以此验证你是网站拥有者。

证书默认放置在~/.acme.sh/example.com/，证书将每60天自动更新一次。

自动DNS API颁发证书

如果你的DNS提供商支持API访问，就可以使用API自动颁发证书，无需手动执行任何操作！

支持的DNS供应商可以参考这里：https://github.com/acmesh-official/acme.sh/wiki/dnsapi

我这里wnote.com的域名在阿里云，正好在支持列表，所以这次申请证书就使用这种方式。

首先，我们需要到阿里云申请账户的密钥对，具体链接：https://ram.console.aliyun.com/manage/ak，申请成功后我们会得到AccessKey ID 和 AccessKey Secret，记录下来方便下边申请证书使用，如果后边成功申请完证书后，密钥对会记录在~/.acme.sh/account.conf文件中，方便后边cron自动续签证书。

1
2
3

root@VM-0-3-ubuntu:~# export Ali_Key="LTII5t8tE4IgMFGDK6iTcs2A"
root@VM-0-3-ubuntu:~# export Ali_Secret="Ku7q3lPJMISlJqZ9OomLOfzO8LFVff"
root@VM-0-3-ubuntu:~# acme.sh --issue --dns dns_ali -d wnote.com -d *.wnote.com #我这里申请主域证书和泛域名证书

申请等待日志如下,大约2分钟左右：

[Fri 11 Nov 2022 10:40:31 PM CST] Using CA: https://acme.zerossl.com/v2/DV90
[Fri 11 Nov 2022 10:40:31 PM CST] Multi domain='DNS:wnote.com,DNS:*.wnote.com'
[Fri 11 Nov 2022 10:40:31 PM CST] Getting domain auth token for each domain
[Fri 11 Nov 2022 10:40:34 PM CST] Could not get nonce, let's try again.
[Fri 11 Nov 2022 10:40:41 PM CST] Could not get nonce, let's try again.
[Fri 11 Nov 2022 10:40:47 PM CST] Could not get nonce, let's try again.
[Fri 11 Nov 2022 10:41:38 PM CST] Getting webroot for domain='wnote.com'
[Fri 11 Nov 2022 10:41:38 PM CST] Getting webroot for domain='*.wnote.com'
[Fri 11 Nov 2022 10:41:38 PM CST] Adding txt value: 9QXV-Ve3eEI-JCLjJ7RkMMvPGNaTzV3YmlaXWtwrJVM for domain:  _acme-challenge.wnote.com
[Fri 11 Nov 2022 10:41:40 PM CST] The txt record is added: Success.
[Fri 11 Nov 2022 10:41:40 PM CST] Adding txt value: KXKFA3BChlz0c5NTHN4fmO8jo-e3DbMu0VybF-YohTw for domain:  _acme-challenge.wnote.com
[Fri 11 Nov 2022 10:41:42 PM CST] The txt record is added: Success.
[Fri 11 Nov 2022 10:41:42 PM CST] Let's check each DNS record now. Sleep 20 seconds first.
[Fri 11 Nov 2022 10:42:03 PM CST] You can use '--dnssleep' to disable public dns checks.
[Fri 11 Nov 2022 10:42:03 PM CST] See: https://github.com/acmesh-official/acme.sh/wiki/dnscheck
[Fri 11 Nov 2022 10:42:03 PM CST] Checking wnote.com for _acme-challenge.wnote.com
[Fri 11 Nov 2022 10:42:06 PM CST] Domain wnote.com '_acme-challenge.wnote.com' success.
[Fri 11 Nov 2022 10:42:06 PM CST] Checking wnote.com for _acme-challenge.wnote.com
[Fri 11 Nov 2022 10:42:07 PM CST] Domain wnote.com '_acme-challenge.wnote.com' success.
[Fri 11 Nov 2022 10:42:07 PM CST] All success, let's return
[Fri 11 Nov 2022 10:42:07 PM CST] Verifying: wnote.com
[Fri 11 Nov 2022 10:42:12 PM CST] Processing, The CA is processing your order, please just wait. (1/30)
[Fri 11 Nov 2022 10:42:20 PM CST] Processing, The CA is processing your order, please just wait. (2/30)
[Fri 11 Nov 2022 10:42:29 PM CST] Processing, The CA is processing your order, please just wait. (3/30)
[Fri 11 Nov 2022 10:42:38 PM CST] Processing, The CA is processing your order, please just wait. (4/30)
[Fri 11 Nov 2022 10:42:46 PM CST] Processing, The CA is processing your order, please just wait. (5/30)
[Fri 11 Nov 2022 10:42:55 PM CST] Processing, The CA is processing your order, please just wait. (6/30)
[Fri 11 Nov 2022 10:43:02 PM CST] Success
[Fri 11 Nov 2022 10:43:02 PM CST] Verifying: *.wnote.com
[Fri 11 Nov 2022 10:43:06 PM CST] Processing, The CA is processing your order, please just wait. (1/30)
[Fri 11 Nov 2022 10:43:13 PM CST] Processing, The CA is processing your order, please just wait. (2/30)
[Fri 11 Nov 2022 10:43:28 PM CST] Processing, The CA is processing your order, please just wait. (3/30)
[Fri 11 Nov 2022 10:43:41 PM CST] Processing, The CA is processing your order, please just wait. (4/30)
[Fri 11 Nov 2022 10:43:48 PM CST] Processing, The CA is processing your order, please just wait. (5/30)
[Fri 11 Nov 2022 10:43:52 PM CST] Processing, The CA is processing your order, please just wait. (6/30)
[Fri 11 Nov 2022 10:43:58 PM CST] Processing, The CA is processing your order, please just wait. (7/30)
[Fri 11 Nov 2022 10:44:10 PM CST] Processing, The CA is processing your order, please just wait. (8/30)
[Fri 11 Nov 2022 10:44:29 PM CST] Processing, The CA is processing your order, please just wait. (9/30)
[Fri 11 Nov 2022 10:44:59 PM CST] Success
[Fri 11 Nov 2022 10:44:59 PM CST] Removing DNS records.
[Fri 11 Nov 2022 10:44:59 PM CST] Removing txt: 9QXV-Ve3eEI-JCLmJ7RkLMvPGNaTzV3YmlaXWtwrJVM for domain: _acme-challenge.wnote.com
[Fri 11 Nov 2022 10:45:02 PM CST] Removed: Success
[Fri 11 Nov 2022 10:45:02 PM CST] Removing txt: KXKKA3BChlz0c5NOHN4fmk8jo-e3DMMu0VybF-YohTw for domain: _acme-challenge.wnote.com
[Fri 11 Nov 2022 10:45:06 PM CST] Removed: Success
[Fri 11 Nov 2022 10:45:06 PM CST] Verify finished, start to sign.
[Fri 11 Nov 2022 10:45:06 PM CST] Lets finalize the order.
[Fri 11 Nov 2022 10:45:06 PM CST] Le_OrderFinalize='https://acme.zerossl.com/v2/DV90/order/FYF3wr0jlkJarp3dFuRaKg/finalize'
[Fri 11 Nov 2022 10:45:33 PM CST] Order status is processing, lets sleep and retry.
[Fri 11 Nov 2022 10:45:33 PM CST] Retry after: 15
[Fri 11 Nov 2022 10:45:49 PM CST] Polling order status: https://acme.zerossl.com/v2/DV90/order/FYF3wr0jlkJarp3dFuRaKg
[Fri 11 Nov 2022 10:45:55 PM CST] Downloading cert.
[Fri 11 Nov 2022 10:45:55 PM CST] Le_LinkCert='https://acme.zerossl.com/v2/DV90/cert/RVtakD091ssrWC6HxgcWxQ'
[Fri 11 Nov 2022 10:46:02 PM CST] Cert success.
-----BEGIN CERTIFICATE-----
MIIGbjCCBFagAwIBAgIRAOee+mMTTeRu9hUkpcDXkQcwDQYJKoZIhvcNAQEMBQAw
SzELMAkGA1UEBhMCQVQxEDAOBgNVBAoTB1plcm9TU0wxKjAoBgNVBAMTIVplcm9T
U0wgUlNBIERvbWFpbiBTZWN1cmUgU2l0ZSBDQTAeFw0yMjExMTEwMDAwMDBaFw0y
......
......
fH91qX3O1eXUPQEku+ZLx8hfqKKUuI0l8t6qQkDnK3N+987XdsEXN2mRHnTOfyo4
4Z8RVsC8gXep8VxsVSQ/0urED3ghLBz7Ya5pLFl0inJeLXC/MD1HETryH1iSojv2
JHNsJhGlwrhqORg91jodBBl4
-----END CERTIFICATE-----
[Fri 11 Nov 2022 10:46:02 PM CST] Your cert is in: /root/.acme.sh/wnote.com/wnote.com.cer
[Fri 11 Nov 2022 10:46:02 PM CST] Your cert key is in: /root/.acme.sh/wnote.com/wnote.com.key
[Fri 11 Nov 2022 10:46:02 PM CST] The intermediate CA cert is in: /root/.acme.sh/wnote.com/ca.cer
[Fri 11 Nov 2022 10:46:02 PM CST] And the full chain certs is there: /root/.acme.sh/wnote.com/fullchain.cer

手动DNS颁发证书

如果DNS服务商不在ACME支持列表，手动申请即可：

在域名解析增加TXT记录，格式如下：

域名:_acme-challenge.example.com
Txt记录值:9ihDbjYfTExAYeDs4DBUeuTo18KBzwvTEjUnSwd32-c

域名:_acme-challenge.www.example.com
Txt记录值:9ihDbjxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

申请证书：

`1`	`acme.sh --issue --dns -d example.com -d www.example.com -d cp.example.com`

后期更新CA证书

目前acme.sh支持四个正式环境CA, 分别是Let’s Encrypt、Buypass、ZeroSSL和SSL.com，默认使用 ZeroSSL,

如果需要更换可以使用如下命令:

acme.sh --set-default-ca --server letsencrypt

acme.sh --set-default-ca --server buypass

acme.sh --set-default-ca --server zerossl

acme.sh --set-default-ca --server ssl.com

acme.sh --set-default-ca --server google

注意：国内网站不建议使用google CA，因为很多域名无法访问，申请校验过不去

Google Public CA白嫖地址可以参考：https://cloud.google.com/certificate-manager/docs/public-ca-tutorial

更新Docker和nginx配置

申请完证书，我们需要更新下docker-compose和nginx配置，

version: "3"
services:
  nginx:
    image: nginx:1.18.0
    volumes:
      - ./conf/nginx.conf:/etc/nginx/nginx.conf
      - /opt/wwwroot/wnote.com:/opt/wnote.com
      - /root/.acme.sh/wnote.com:/opt/ssl
      - ./logs:/var/log/nginx
    restart: always
    ports:
      - 443:443
      - 80:80
    networks:
      - my-nginx
networks:
  my-nginx:
    driver: bridge

server {
    listen       443 ssl http2;
    server_name  wnote.com www.wnote.com;
    root         /opt/wnote.com;
    ssl_certificate      /opt/ssl/wnote.com.cer;
    ssl_certificate_key  /opt/ssl/wnote.com.key;
    ssl_session_timeout  5m;
    ssl_session_cache    shared:SSL:1m;
    ssl_ciphers          ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:aNULL:!MD5:!ADH:!RC4;
    ssl_protocols        TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers  on;

    location / {
        root   /opt/wnote.com;
        index  index.html index.htm;
    }
}
server {
    listen 80;
    server_name wnote.com;
    rewrite ^ https://$host$1 permanent;
}

至此，使用acme.sh申请免费证书、泛域名证书告一段落。

Hugo+Github搭建个人博客

wzdushu@gmail.com (wanzi) — Tue, 10 Mar 2020 16:22:42 +0800

Hugo介绍

之前博客一直使用hexo搭建,随着用golang越来越多，一直想把博客也迁移到hugo,hugo就不用多说了go语言编写的静态网站生成器,简单、易用、高效、易扩展、快速部署.

安装hugo

这里以mac环境为例:

brew install hugo
hugo new site wanzi
cd wanzi
git clone https://github.com/xianmin/hugo-theme-jane.git --depth=1 themes/jane
cp -r themes/jane/exampleSite/content ./
cp themes/jane/exampleSite/config.toml ./

修改config.toml信息为你自己博客信息

我网站目录结构如下:

.
├── LICENSE
├── archetypes #存放default.md，头文件格式
│   └── default.md
├── config.toml
├── content #整个网站项目全局配置
│   ├── about.md
│   └── post
├── data #存放数据或配置,可以是json|toml|yaml
├── layouts #存放的是网站的模板文件
├── public #hugo编译后生成的静态文件
│   ├── 404.html
│   ├── about
│   ├── atom.xml
│   ├── categories
│   ├── css
│   ├── favicon.ico
│   ├── fonts
│   ├── icons
│   ├── index.html
│   ├── js
│   ├── manifest.json
│   ├── mark
│   ├── posts
│   ├── robots.txt
│   ├── rss.xml
│   ├── sitemap.xml
│   └── tags
├── resources
│   └── _gen
├── static #存放图片,css,jss静态资源
└── themes #存放网站主题
    └── jane

编写文章

`1`	`hugo new content/posts/git-commands-base.md`

推送到github

cd wanzi/public
git init 
git remote add origin https://github.com/iwz2099/wanzi
echo "wnote.com" > CNAME
git  add -A
git commit -m "initialization"
git push -u origin master

如果使用个人域名,只需要在github仓库下创建CNAME文件写入自己的域名即可，这样访问wnote.com就可以访问自己博客了。

Mac系统配置炫酷终端(oh my zsh)

wzdushu@gmail.com (wanzi) — Sat, 10 Nov 2018 10:22:42 +0800

brew工具

官网:https://brew.sh

安装brew

`1`	`/usr/bin/ruby -e "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/master/install)"`

修改brew源为国内源

git -C "$(brew --repo)" remote set-url origin https://mirrors.tuna.tsinghua.edu.cn/git/homebrew/brew.git
git -C "$(brew --repo homebrew/core)" remote set-url origin https://mirrors.tuna.tsinghua.edu.cn/git/homebrew/homebrew-core.git
git -C "$(brew --repo homebrew/cask)" remote set-url origin https://mirrors.tuna.tsinghua.edu.cn/git/homebrew/homebrew-cask.git
export HOMEBREW_BOTTLE_DOMAIN=https://mirrors.aliyun.com/homebrew/homebrew-bottles #追加到~/.zshrc
brew update  #更新homebrew
brew upgrade #升级所有已经安装包
brew cleanup #升级完成后清理旧版本包

iterm2

安装iterm2

`1`	`brew cask install iterm2`

配置:

Preferences–>Appearance–>Theme 选择自己喜欢主题,我这里选择了Light
Preferences–>Profiles–>Colors 配置自己喜欢颜色

Oh my zsh

官网:https://ohmyz.sh

安装oh my zsh:

`1`	`sh -c "$(curl -fsSL https://raw.githubusercontent.com/robbyrussell/oh-my-zsh/master/tools/install.sh)"`

所有可选oh my zsh主题: https://github.com/ohmyzsh/ohmyzsh/wiki/Themes

所有oh my zsh插件: https://github.com/ohmyzsh/ohmyzsh/wiki/Plugins

炫酷主题

我这里选择了自己喜欢的spaceship-prompt

安装主题所需字体并设置FiraCode

git clone https://github.com/powerline/fonts
cd fonts
./install.sh
brew tap homebrew/cask-fonts
brew cask install font-fira-code

字体选择：fira code

至此,我的炫酷终端已经搞定。

使用OpenSSL签发证书

wzdushu@gmail.com (wanzi) — Fri, 25 May 2018 13:22:42 +0800

生成客户端私钥:

`1`	`openssl genrsa -out server.key 2048`

生成客户端证书：

`1`	`openssl req -new -sha256 -x509 -days 3650 -key server.key -out server.crt`

证书申请文件：

`1`	`openssl req -new -key server.key -out server.csr`

生成CA私钥

采用des3加密，需要输入4位以上密码：

`1`	`openssl genrsa -des3 -out ca.key 4096`

生成CA证书

`1`	`openssl req -new -x509 -days 3650 -key ca.key -out ca.crt`

CA配置配置文件/private/etc/ssl/openssl.cnf(我这里是mac系统)添加如下配置

[ ca ]
default_ca       = ca_default
[ ca_default ]
dir          = /etc/ssl/diyca # 指定了CA的根目录
certs        = $dir/certs            # 已经签发的证书的存储目录
crl_dir      = $dir/crl            # 存储证书吊销列表的目录
database     = $dir/index.txt      # 数据库的索引文件，用来存放签发证书的信息。
#unique_subject  = no               #设置为’no’表示允许同时创建多个相同主题的证书。
new_certs_dir = $dir/newcerts        # 设置存放新签发的证书的默认位置
Certificate   = $dir/cacert.pem # 指定CA证书
serial        = $dir/serial          # 指定存放当前序列号的文件,写入00即可
crl           = $dir/crl.pem         # 当前的CRL
private_key   = $dir/private/cakey.pem # CA的私钥
default_md = md5
RANDFILE      = $dir/private/.rand   #指明一个用来读写时候产生random key的seed文件。
policy= policy_match

[ policy_match ]
countryName= match
stateOrProvinceName= match
organizationName= match
organizationalUnitName= optional
commonName= supplied
emailAddress= optional

[ policy_anything ]
countryName = optional
stateOrProvinceName= optional
localityName= optional
organizationName = optional
organizationalUnitName = optional
commonName= supplied
emailAddress= optional

CA签发证书：

`1`	`openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key -days 3650`

server.pem就是签名后的证书

`1`	`cp /etc/ssl/diyca/newcerts/00.pem server.pem`

下面拿着server.key和server.pem,到web服务器上部署即可，需要说明一下自签证书不一定受常见浏览器信任哦.

Tools on 丸子有记, 记录生活、分享技术，专注于运维架构、运维开发(devops)。

企业级私有云平台深度对比：ZStack vs TStack

1. 核心定位与背景

2. 架构与技术特性对比

2.1 架构设计

2.2 虚拟化与容器

3. 信创与生态兼容性

4. 运维与交付体验

5. 成本分析 (TCO)

6. 选型决策矩阵

7. 总结与建议

WireGuard构建企业级VPN网络

WireGuard介绍

WireGuard 部署

安装WireGuard

生成密钥对

WireGuard 配置管理

设置开机自启动

配置内核转发与防火墙（CentOS/Ubuntu）：

WireGuard DashBoard

wg-easy（轻量级 Web UI）

Netmaker(企业级SD-WAN架构）)

Tailscale / Headscale（Zero Trust 架构）

开源Waf安全防护解决方案

1、功能介绍

2、安装

下载离线镜像

配置环境

docker-compose管理容器：

3、网站配置

SSL证书配置：

添加站点：

代理配置：

安全防护设置：

4、总结

Linux下操作百度云盘的利器

bypy介绍

安装bypy

bypy命令详解

总结

推荐一个Windows包管理神器

环境准备

安装Scoop

更换国内源

安装软件包

配置多线程下载神器aria2

scoop常用命令

Delve版本过低无法适配Goland

问题

解决方法

给博客自动续签免费SSL证书

背景

安装ACME

申请证书

http方式颁发证书

自动DNS API颁发证书

手动DNS颁发证书

后期更新CA证书

更新Docker和nginx配置

推荐一个Markdown写书神器，据说是GitBook替代者

mdBook简介

安装mdBook

使用MdBook写一本电子书

Hugo+Github搭建个人博客

Hugo介绍

安装hugo

编写文章

推送到github

Mac系统配置炫酷终端(oh my zsh)

brew工具

iterm2

Oh my zsh

炫酷主题

使用OpenSSL签发证书

生成客户端私钥:

生成客户端证书：

证书申请文件：

生成CA私钥

生成CA证书

CA签发证书：