嘉睿博客

Debian 12 上使用 Fail2Ban 来增强 SSH 的安全性

Tue, 24 Mar 2026 15:46:38 +0800

使用 Fail2Ban 来增强 SSH 安全性是一个非常有效的选择，特别是针对暴力破解攻击。Fail2Ban 可以监控系统日志并自动封禁恶意 IP 地址，减少暴力破解的尝试。以下是配置 Fail2Ban 的步骤：

1. 安装 Fail2Ban

Debian 12 默认软件仓库中包含 Fail2Ban，可以通过以下命令安装：

apt update
apt install fail2ban

安装完成后，Fail2Ban 会自动启动。你可以使用以下命令检查其状态：

Copysystemctl status fail2ban

2. 配置 Fail2Ban

Fail2Ban 的配置文件位于 /etc/fail2ban/ 目录下。默认的全局配置文件是 /etc/fail2ban/jail.conf，但建议不要直接修改该文件，而是创建一个本地配置文件 /etc/fail2ban/jail.local 或者在 /etc/fail2ban/jail.d/ 目录下添加自定义配置。

创建本地配置文件

首先，复制默认配置文件并编辑：

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
nano /etc/fail2ban/jail.local

配置 SSH 防护

在 jail.local 文件中，找到 [sshd] 部分，或者添加以下内容：

[sshd]
enabled  = true
port     = 22
filter   = sshd
logpath  = /var/log/auth.log
maxretry = 5
bantime  = 3600
findtime = 600

说明：

enabled = true：启用 SSH 防护。
port = 22：SSH 默认端口（如果更改过端口，请相应调整）。
filter = sshd：使用内置的 SSH 过滤器。
logpath = /var/log/auth.log：Debian 12 中 SSH 日志的默认路径。
maxretry = 5：如果超过 5 次登录失败，IP 将被封禁。
bantime = 3600：封禁时间为 1 小时（单位：秒，视情况调整）。
findtime = 600：统计失败登录尝试的时间窗口为 10 分钟。

完成后保存并退出编辑器。

3. 启动并测试 Fail2Ban

配置完成后，重启 Fail2Ban 以应用配置：

systemctl restart fail2ban

检查 Fail2Ban 是否正常运行：

fail2ban-client status

查看 SSH 防护的具体状态：

fail2ban-client status sshd

4. 监控和解禁

你可以随时查看被封禁的 IP 地址，并手动解禁：

查看被封禁的 IP

fail2ban-client get sshd banip

手动解禁某个 IP（如果误封）

fail2ban-client unban 目标IP

注意事项

确保 SSH 服务（sshd）已启用并正常运行。
如果使用了非标准日志路径，需要调整 logpath。
定期检查日志文件 /var/log/fail2ban.log，确保规则已生效。

PVE安装飞牛os 实现SR-IOV核显虚拟化

Thu, 11 Sep 2025 01:02:47 +0800

大家好，我是清涵。利用pve虚拟机安装飞牛os可以通过核显虚拟化来实现硬件解码，飞牛os驱动也可以在应用商店里直接安装。上期我们用n100主板安装了pve系统，pve系统最主要的功能就是虚拟机。所以本期和大家分享一下，我在pve系统里安装飞牛os的过程，并且实现SR-IOV核显虚拟化直通，不仅可以在飞牛os里打开硬件解码，还可以支持后续添加其他的虚拟机系统，让我们的nas可玩性大大增加。

一、准备工作

1.首先设置BIOS。继续上期内容，在优化完pve系统后我们选择重启，开机时连摁delete，进入到主板bios界面，这里我们找到并开启，SR-IOV核显虚拟化设置，具体位置可以询问主板厂商，设置好之后F10保存重启

2.在等待重启期间，我们来到飞牛os官网，下载最新的飞牛系统镜像

二、给PVE安装SR-IOV核显虚拟化

1.这里我们使用github里的一位大佬（https://github.com/strongtz/i915-sriov-dkms）的驱动，按照项目的步骤进行安装

2.首先输入apt install build-* dkms装一下软件包，再输入y

3.继续输入apt install proxmox-headers-$(uname -r) proxmox-kernel-$(uname -r)安装同版本内核头文件，注意pve不要有多个内核，会有可能最后安装不成功，再输入y

4.输入wget -O /tmp/i915-sriov-dkms_2025.05.18_amd64.deb "https://github.com/strongtz/i915-sriov-dkms/releases/download/2025.05.18/i915-sriov-dkms_2025.05.18_amd64.deb"下载deb包文件到tmp临时文件夹。命令里的日期需要输入项目最新版本号

补：如果连接GitHub不方便，也可以将我准备的文件（www.lanzouq.com/b011ldn9za，密码:74nd），使用上期的finalshell终端工具（https://www.hostbuf.com/t/988.html），手动拖到pve的tmp临时文件夹

5.输入dpkg -i /tmp/i915-sriov-dkms_2025.05.18_amd64.deb安装刚下载的包文件，注意这里代码日期，也需要输入项目最新版本号

6.再输入nano /etc/default/grub配置文件，并将光标移动到quiet后面

7.输入空格+intel_iommu=on i915.enable_guc=3 i915.max_vfs=7，注意这里的7是你打算开启的可分配虚拟机核显数量，数量越多相对应性能损失就越大。输入完成后输入ctrl+x，再输入y，最后回车

我这里就选择更改为2

输入y

回车

8.输入update-grub && update-initramfs -u更新文件和系统

9.再输入安装apt install sysfsutils -y系统管理工具

10.输入lspci | grep VGA查看核显所在总线位置，记下前面显示的数字

11.输入echo "devices/pci0000:00/0000:00:02.0/sriov_numvfs = 7" > /etc/sysfs.conf，并且将其中的7，更改为你之前设置的核显数量。00:02.0也是刚记下的数字

12.最后就可以输入reboot重启pve。重启完成后，可以再输入lspci | grep VGA查看一次核显。发现已经出现了两个新的设备，现在pve端的SR-IOV核显虚拟化，就设置完成了

三、添加飞牛虚拟机

1.首先点击左侧pve，选择下方local存储。再点击右侧ISO镜像，点击上传，选择之前下载的飞牛os镜像，上传

2.完成后点击右上角创建虚拟机，输入名称，下一步

3.镜像选择刚才上传的镜像文件

4.机型我选择Q35，其他可以默认

5.总线/设备我选择sata，磁盘大小可以自行设定

6.cpu类别选择host性能较好，核心数量我选择4

7.内存大小也可以自行设定

8.网络可以直接默认下一步，最后确认完成

四、安装并设置飞牛系统

1.添加完飞牛虚拟机后，我们点击pve左侧新出现的fnos，开机

2.这里安装飞牛系统和物理机安装一样，我们快速跳过一下。并且在最后记下这里显示的IP地址

3.我们打开网页访问这个IP地址，进行一下初始化设置

4.进入飞牛os，先将剩余的磁盘创建成新的存储空间。依次点击系统设置，存储空间管理，创建存储空间

5.设置好存储空间后，给飞牛os安装SR-IOV驱动就简单多了，点击左侧应用中心，选择驱动，直接点击安装这个核显驱动

五、添加虚拟核显给飞牛虚拟机

1.完成后将飞牛系统关机，回到pve的飞牛os后台，点击硬件，选择添加，PCI设备。

2.点击原始设备，选择一个之前安装的虚拟核显，注意这里不要选择第一个原本的核显，点击添加

3.之后启动飞牛os，再打开飞牛后台页面，登陆进飞牛os，打开系统设置，在设备信息里可以看到，已经显示核显信息了。并且在安装完飞牛影视后，也可以在飞牛影视设置里，打开gpu加速转码

到这里我们在pve系统里的飞牛os虚拟机就安装完成了。飞牛os现在也是发布了公测版，比起物理机直接安装飞牛系统，在pve里安装可以给我们爱折腾的伙伴们更多的选择。好了，今天的分享就到这里结束了，谢谢大家看到这里~

docker运行runlike docker运行轻量浏览器

Thu, 27 Feb 2025 20:12:15 +0800

阿里云轻量应用服务器安装docker部署mysql，tomcat，redis以及成功远程连接上

一、docker

1）、docker的安装

检查centos内核版本（必须是3.10及以上）

安装docker

选择同意安装y

安装完成

2）、docker设置阿里云镜像加速

打开阿里云选择容器镜像服务并且开通

3. 配置镜像加速器

3）docker的相关命令

二、docker上部署mysql

1）、仓库拉取最版本mysql

2)、启动mysql容器

3）、通过本地主机无法连接到服务器的mysql

解决办法：

进入镜像中的mysql

登录mysql

修改root 可以通过任何客户端连接

重启mysql容器

连接成功！

三、docker上部署tomcat

1）仓库拉取最新版tomcat

2)、启动tomcat容器

3）、解决本机访问不到服务器部署的tomcat

阿里云服务器上的安全组规则相应的端口号未开启
这里我将全部端口都打开了（安全性上不推荐使用）

最新版本的tomcat包中有两个webapps文件夹，将空的webapps文件夹删除，修改webapps.dist文件夹的名字为webapps

这时你会发现本地主机还是无法访问tomcat，因为docker上部署的tomcat容器启动异常缓慢

根本原因就在于 SecureRandom 这个 jre 的工具类的问题。那为什么 SecureRandom generateSeed 这么慢，甚至挂在 Linux 操作系统呢？Tomcat 7/8 都使用org.apache.catalina.util.SessionIdGeneratorBase.createSecureRandom 类产生安全随机类 SecureRandom 的实例作为会话 ID。
SecureRandom generateSeed使用 /dev/random 生成种子。但是 /dev/random 是一个阻塞数字生成器，如果它没有足够的随机数据提供，它就一直等，这迫使 JVM 等待。键盘和鼠标输入以及磁盘活动可以产生所需的随机性或熵。但在一个服务器缺乏这样的活动，可能会出现问题。

4）、成功访问

四、docker上部署redis

1）、仓库拉取最新版redis

2)、启动redis容器

3）、本地主机连接redis

仓库拉取最新版redis

docker pull redis

查看本地仓库的镜像

docker images

3）、本地主机连接redis

本文章为转载内容，我们尊重原作者对文章享有的著作权。如有内容错误或侵权问题，欢迎原作者联系我们进行内容更正或删除文章。

免费永久激活window、office，适合小白

Sat, 22 Feb 2025 10:43:17 +0800

一、背景介绍

今天有家人问自己的window无法修改主题背景，部分软件出现打不开的情况，现象如下：

二、排查结果

经排查后发现window处于未激活状态，导致系统部分功能无法使用。

三、解决方案

为了应对后续类似情况再次发生，特别记录了下如何激活window、如何激活office，如果能帮助到你，那就更好了。如下是使用步骤：

1️⃣找到window的开始按钮，搜索模块输入

Windows PowerShell

点击后弹出界面

2️⃣在弹出界面输入代码

 irm https://massgrave.dev/get | iex

如果没有弹出窗口可以试下下面代码
irm https://get.activated.win| iex

弹框提示您输入一个数字，输入1，激活windows，输入2激活office

等待程序执行完毕，然后退出即可，激活样式如下：

同样office也是一样的道理，只是选择序号为1即可。

Cloudflare免费SSL域名证书申请教程 CF自签证书支持泛域名

Sun, 01 Dec 2024 13:43:36 +0800

的证书是 R3 级别的，CF 帮我们

目前最常用的免费证书是 Let’s Encrypt，但是它的有效期只有 90 天，到期需要手动更新。

目前最常用的免费证书是 Let’s Encrypt，但是它的有效期只有 90 天，到期需要手动更新。

在我部分域名使用

在我部分域名使用

在我部分域名使用

在我部分域名使用

在我部分域名使用

在我部分域名使用

在我部分域名使用

SSL域名证书怎么申请？目前我们建站最常用的是 Let’s Encrypt 免费证书，有效期90天还可以通过宝塔面板进行自动续签，非常方便！今天分享个热门云平台Cloudflare免费SSL域名证书申请教程，让大家申请免费SSL证书的时候多一条渠道。

如果你的源站托管在境外，经常受到访问慢的困扰，推荐使用 Cloudflare（以下简称 CF）进行托管，且 CF 可以免费申请长达 15年有效期的 SSL 证书。

申请教程

1、注册CF账户

打开cf中国官网：https://www.cloudflare-cn.com/，注册一个账号。

2、添加域名

登录CF官网后，在侧边栏“网站”里，点击“添加站点”按钮。

根据弹出的步骤，依次输入域名，选择Free免费版，修改域名DNS服务器地址即可。

3、申请证书

添加域名后，点击左侧菜单”SSL/TLS“下面的”概述“，将 SSL/TLS 加密模式设置为”完全“或者”完全（严格）“

然后进入“SSL/TLS”下的“源服务器”板块，点击右边的“创建证书”按钮。

如下图所示，选择私钥类型RSA2048，主机名包括泛目录。证书有效期直接拉到最高15年。

确认没问题后点击下方“创建”按钮。

之后就会生成”源证书“（pem）和”私钥“（key），这里的 ”私钥“（key）只出现一次。

复制保存后点击”确认“按钮就算是申请成功了。

如果忘记了可以返回“源服务器”板块下找到该证书进行下载。

总结

申请前提是域名得托管到Cloudflare平台上且开启加速，否则站点会出现“不能验证该证书”的错误提示。

针对free版本用户，如果你的源站托管在国内，开启加速后可能会导致速度不如裸奔的快。

docker如何修改容器内部文件的方法

Thu, 11 Jan 2024 15:40:49 +0800

Docker修改容器内部文件的方法一共有三种。

1、进入容器内部修改
使用下面的命令以命令行的形式可以进入容器的内部对文件进行修改。

docker exec -it 容器ID /bin/bash

不过里面没有vim，需要自行安装，安装代码如下所示。不过不推荐这种形式，因为里边的文件是临时的，容器被删除之后，配置就失效了，需要从新配置。

apt-get update
apt-get install vim

2、通过docker cp拷贝进行修改
可以通过下面的代码将需要修改的文件拷贝出来，修改完成之后再拷贝回去。这种方式其实和第一种差不多，只是不用安装vim，但是容器被删除之后，修改过的内容也会失效。而且需要重启容器才能生效（好像）

#将容器中的文件拷贝出来
sudo docker cp 容器ID:/etc/mysql/my.cnf /home/tom/
#将容器中的文件拷贝回去
sudo docker cp /home/tom/my.cnf  容器ID:/etc/mysql/

3、使用-v挂载文件夹(推荐)
最后一种方法是在启动的时候使用-v将容器内部的文件夹挂载（映射）到本地的某个路径下，以后以后可以直接在本地修改，不需要进入容器内部.

#冒号前是本地路径（需要绝对路径），冒号后是容器中的路径
$ sudo docker run -p 8000:3000 --name koaapi2 -v /home/kason/work/docker_demo/:/app -d wxm888/docker_demo_koa

注意启动容器后，虽然文件会同步到容器内，但是不会生效，要停止重启容器。
比如修改了本机的路由，虽然容器内文件会修改，但是请求不到，所以可以觉得在本机开发差不多了再执行挂载文件夹的命令。

群晖双重验证失效的解决办法

Wed, 03 Jan 2024 22:36:53 +0800

原文地址：https://hin.cool/posts/nas2fa.html

前言

群晖（Synology）可以开启双重验证（2FA），使得群晖的登陆相对更加安全。

我前两天在解锁手机bootloader之前，使用 MIUI 自带的备份工具备份了绝大多数数据，包括谷歌身份验证器（Google Authenticator），但是还原备份之后，却发现身份验证器里的数据全部丢失了，因此，我无法登陆群晖等一部分我开启了双重验证的网站。

今天在网上搜索良久，终于找到了解决问题的方法。

使用邮件

如果你在开启双重验证的时候设置了备份电子邮件，在无法使用身份验证器获取验证码的时候，可以使用电子邮件发送验证码。

在这里设置用于接收验证码的邮箱

当然，使用这个方法需要在个人设置里的“电子邮件投递”里面添加用于发送邮件的配置信息。

然后在登陆框下面点击“您的移动设备已丢失？”，群晖会通过配置的邮箱给接收邮箱发一封含有临时登陆验证码的邮件。

发送临时验证码

但是！我此前使用的国内邮箱是可以正常发送验证码的，后来改成了 outlook ，最后登陆上 DSM ，看到了双重验证的邮件发送成功的消息，可是今天下午我怎么也收不到验证码邮件。

ssh登陆修改

如果你的群晖也开启了 ssh 登陆，那么也可以通过 ssh 终端登陆之后，直接修改双重验证的相关配置文件。

适用于 DSM6.x的方法如下：

首先获得最高权限，输入 sudo -i。

然后执行下面的命令查找：

sudo find /usr -name google_authenticator

删除对应目录的谷歌身份验证器配置，如：

rm /usr/syno/etc/preference/用户名/google_authenticator

但是我目前用的 DSM7.x，删除了这个之后还是需要验证码，甚至使用邮箱发送临时验证码也不可用了。后来经过多番搜索，找到一个方法：

cd /usr/syno/etc/packages/SecureSignIn/preference/admin（你的用户名）/

注意上面的SecureSignIn一定要这样写，否则会提示没有相应路径。我下午按照网上的写法就出错了，然后一级一级目录翻的。

然后编辑该目录下的method.config文件，把其中的status=on改成status=off即可。

修改method.config

然后刷新 DSM 的登陆页面，再次输入账号和密码登陆会发现，无需输入验证码了。

重置群晖设备

如果你使用的是白群晖，那么可以通过重置按钮来重置账户的登陆密码和双重验证状态。鉴于我手头没有设备，且网上有很多的相关方法，此处不再赘言。

总结

写这篇博文的目的是为了记录一下这次处理群晖双重验证问题的过程和方法，加上第二种方法网上所给出的或多或少有点错误，因此记录一下，也顺便总结一下：

1.不要把鸡蛋都放在一个篮子里，要有备用的方案；

2.不要充分信任备份文件的还原效果；

3.群晖的收发邮件配置好之后要测试一下，尽量不要用国外服务商的邮箱；

4.群晖包括服务器的 ssh 都可以打开，当一些功能失效的时候，它可以成为一个入口；

5.如果是外网无法直接访问群晖，其实双重验证也没那么必要。

群晖的SurveillanceStation配置海康威视的萤石网络摄像头

Fri, 29 Dec 2023 13:16:10 +0800

原贴地址：http://www.gebi1.com/thread-286691-1-1.html

海康的萤石系列摄像头还是很不错的，在家用市场影响力还是很大的，最近家里搞了个摄像头，想想可不可以用群晖的SurveillanceStation来监控存储，就琢磨了下，还真的是可以。

萤石系列都没用onvif开源协议，这样第三方录像机基本没办法接ipcam，而海康自家的系列基本都是支持onvif的，但是也可以理解，萤石要卖自家的云存储，和录像机，不开放也是正常。
但是还有个协议RTSP这个协议是开放的，这个协议用的端口是554端口
我们这里就用这个协议来在SurveillanceStation里面自定义添加录制方式，下面看我的图文和注意的地方

1、套件中心安装好SurveillanceStation套件
2、登录SurveillanceStation系统
3、添加萤石网络摄像头，我这里用的型号是萤石C6C具体型号是CS-C6C-3B1WFR

4、选择完整设置

5、根据下图填写配置

注意问题：
ip地址：就是你萤石C6C的ip地址，可以登录路由器查看，或者萤石客户端
端口：一定要554
图像格式：这里根据你C6C支持的格式一个一个测试，如果出现无法加载摄像机能力值，就要选过其他格式
一般是H.264为主
视频源路径：/ch1/main/av_stream
用户账号：admin
密码：就是萤石C6C底部那个验证码：一般是6位数，如果被你修改了，就用你修改过的密码
最后点击测试，通过即可

6、如下图出现无法加载摄像机能力值，那么图像格式那就要重新选过其他编码

7、下一步后默认即可

8、录制这里，根据需要选择，注意第一项每分钟截断视频，建议摄像小一点，才方便查看
其他地方根据自己需要配置

9、计划管理，这里选择连续和动作侦测两个选项，动作侦测就是有异动时候再录制

10、如果你是谷歌内核浏览器，你会发现添加成功后无法使用，录制和时时视频都无法看到画面
这时候你需要把浏览器换成ie浏览器，或者ie内核，360浏览器地址栏右侧有个闪电和ie的图标，你可以切换成ie模式

切换后会提示你安装ie插件，根据提示安装就好了，总共会安装两个

11、安装好后画面就正常了

12、你也可以在filestation里面查看视频

缺点：
因为兼容性不好，这样的模式只适合当录像存储用，因为很多功能根本用不到，理论来说大部分萤石系列都应该支持，大家可以实际测试，但是不保证一定可以了，还有就是这样录制的视频在电脑无法播放，没有编码文件
更多其他方面大家自己发掘了
因为可用性不高，我并不用这个方式，还是直接萤石的控制端好，方便

RR本地上传升级流程

Fri, 22 Dec 2023 21:39:12 +0800

先从网盘里下载update.zip/updateall.zip

（当前引导为RR 23.12.2(含)之后的版本可以不改名直接上传，之前的版本需要把update-xxx.zip / updateall-xxx.zip改成update.zip再上传。）

PS:

1. 关于RR 1G和4G

* 4G指的是 img镜像大小，驱动越来越多 1G的镜像可能会发生空间不足的问题..

* 写U盘/硬盘引导在首次启动时会自动将磁盘剩余空间扩容给part3 分区。因此 U盘/硬盘写4G和非4G没有任何区别，唯一的区别就是 1G的镜像由于体积小写盘会快一点。

* 虚拟机可以自行扩容引导盘为任意大小，如果你不会扩容建议直接使用 4G版本的img进行格式转换。

2. 关于 update 和 updateall.

* update-xxx.zip：只包含 RR 的更新。

* updateall-xxx.zip: 包含 RR, addons, modules,rp-lkms 的更新。

进入控制面板-任务计划

选择此计划运行，然后系统自动进入RR编译模式（或者自己开机选择configure loader）

进入此页面看一下IP地址，

然后打开FinalShell（下载https://www.hostbuf.com/t/988.html）

● WEB端上传更新包大概率失败(表现为不停的显示乱码字符)。

● 不一定非要用 FinalShell，支持 ZModem协议的SSH工具即可，

SSH连接RR（账号root密码rr）

出现这选择接受本次和接受并保存都行，看你自己

连接成功进入此页面出现root@rr:/opt/rr# 后面输入menu.sh然后回车

然后选择更新回车

然后选择本地上传回车

出现此页面直接确定（如果未弹出文件选择窗口，可能1 文件目录太深，可能2你的ssh工具不支持。）

然后弹出选择上传文件夹，选择你下载的updateall.zip然后确定

等待上传完毕

即可

一条命令永久激活 Windows 及 Office 重装自动激活

Fri, 24 Nov 2023 23:21:03 +0800

采用硬件激活的方式，重装系统之后，联网也会自动激活
激活方式可选

硬件永久激活 Windows
Ohook 永久激活 Office
KMS 激活 Windows 至 2038 年
KMS 激活 180 天

当然这么厉害的工具，一定给大家找到出处。Github 上的开源项目 Microsoft-Activation-Scripts。项目作者贴心的为大家准备了官方原版 Windows 及 Office 的镜像下载，当然大家自己从官网下载即可。项目作者提供的镜像下载 Download Original Windows & Office

废话不多说直接放激活命令,先演示 Win11 永久激活，后演示 Office

irm https://massgrave.dev/get | iex

Win11 右键 Windows徽标终端（管理员）或者搜索 powershell 以管理员身份运行

Win10 及以下版本操作系统搜索 cmd 以管理员身份运行

如果你打不开以上网址，或者运行命令提示 irm : 无法连接到远程服务器 是网络联通问题，用梯子可以解决，或者使用离线脚本激活工具也行。Microsoft-Activation-Scripts-master.zip

本站备份 Microsoft-Activation-Scripts-master.zip

下载后，解压，进入 MAS 目录下的 All-In-One-Version 双击运行 MAS_AIO.cmd 即可进入激活菜单

文章来自：https://augustdoit.men/active-windows-office/