Bob's blog

音频文件处理

Sat, 16 Aug 2025 00:44:00 +0800

最近有个朋友找我帮忙处理一些音频文件，他目前主要遇到困难如下：

提取左声道

所有音频文件仅需要左声道即可，目前他们用的软件一次性只能处理 2000 个音频文件，但是他们目前一天需要处理的音频文件至少百万起步

识别没有声音的音频文件

目前需要人工将提取好的左声道音频文件丢进软件中过滤掉没有声音的音频文件

过滤无意义音频文件

目前需要人工过滤掉没有意义的音频文件，例如自动回复、语音助手等

听完他的描述后，我也想尝试一下，虽然自己以前没有接触过这些东西，但是大概的处理思路还是有的，借助 AI 问题不大，于是我叫他发我一些音频样本试试

# 音频声道提取

音频声道提取主要是用 FFmpeg 这个开源的多媒体音视频处理软件，配合脚本实现批量提取

	#!/bin/bash

	# 检查 FFmpeg 是否可用
	if ! command -v ffmpeg &> /dev/null; then
	echo -e "\033[31m错误: FFmpeg 未安装或未添加到系统路径\033[0m"
	echo -e "\033[33m请使用以下命令安装: sudo apt install ffmpeg\033[0m"
	read -p "按回车键退出..."
	exit 1
	fi

	# 设置日期格式的目录
	folderName=$(date +"%Y%m%d")
	mp3Path="/tmp/mp3" # 根据实际路径修改
	rootDir="$mp3Path/$folderName"
	sourcePath="$rootDir/source"
	leftChannelPath="$rootDir/leftChannel"

	# 创建输出目录
	if [ -d "$rootDir" ]; then
	echo "目录已存在: $rootDir"
	else
	mkdir -p "$sourcePath"
	mkdir -p "$leftChannelPath"
	echo "已创建目录: $rootDir"
	fi

	# 获取所有 MP3 文件
	mp3Files=()
	while IFS= read -r -d $'\0' file; do
	mp3Files+=("$file")
	done < <(find "$mp3Path" -maxdepth 1 -type f -iname "*.mp3" -print0)

	totalFiles=${#mp3Files[@]}

	if [ "$totalFiles" -eq 0 ]; then
	echo -e "\033[33m在 $mp3Path 中未找到MP3文件\033[0m"
	read -p "按回车键退出..."
	exit 1
	fi

	echo -e "\033[36m开始处理 $totalFiles 个文件...\033[0m"

	# 计数器
	processed=0
	successCount=0
	movedCount=0

	for file in "${mp3Files[@]}"; do
	processed=$((processed + 1))
	percentage=$((processed * 100 / totalFiles))

	filename=$(basename -- "$file")
	basename="${filename%.*}"
	outputFile="$leftChannelPath/${basename}_LEFT.mp3"

	# 显示进度
	echo -ne "\r\033[K处理中: $processed/$totalFiles ($percentage%) - $filename"

	# 执行 FFmpeg 命令
	ffmpeg -hide_banner -ignore_unknown -i "$file" \
	-af "pan=mono\|c0=FL" \
	-c:a libmp3lame -q:a 2 \
	"$outputFile" \
	-loglevel warning -y 2>/dev/null

	if [ $? -eq 0 ]; then
	echo -e "\r\033[K\033[32m[成功] $filename -> $(basename "$outputFile")\033[0m"
	successCount=$((successCount + 1))

	# 移动源文件到 source 目录
	destination="$sourcePath/$filename"
	mv -f "$file" "$destination"

	if [ -f "$destination" ]; then
	echo -e "\033[36m[移动] $filename -> source\033[0m"
	movedCount=$((movedCount + 1))
	else
	echo -e "\033[33m[警告] 移动失败: $filename\033[0m"
	fi
	else
	echo -e "\r\033[K\033[31m[失败] $filename (错误代码: $?)\033[0m"
	fi
	done

	echo -e "\n\033[36m所有文件处理完成！\033[0m"
	echo -e "\033[36m输出目录: $leftChannelPath\033[0m"
	echo -e "\033[36m源文件归档: $sourcePath\033[0m"
	echo -e "\033[32m成功提取: $successCount/$totalFiles 个文件\033[0m"
	echo -e "\033[36m成功移动: $movedCount/$totalFiles 个源文件\033[0m"
	read -p "按回车键退出..."

执行结果:

# 识别无声音频

识别没有声音的音频，主要是用 librosa 这个库，并且借助 matplotlib 生成波形图，以便于查看

	import os
	import argparse
	import numpy as np
	import librosa
	import shutil
	import csv
	from tqdm import tqdm
	import datetime
	import matplotlib.pyplot as plt
	import ssl
	import urllib.request

	# 禁用 SSL 证书验证
	ssl._create_default_https_context = ssl._create_unverified_context

	def analyze_audio(audio_path, silence_threshold=0.001, max_peak=0.005):
	"""
	更可靠的静音检测方法：使用绝对振幅阈值
	"""
	try:
	# 读取音频文件
	y, sr = librosa.load(audio_path, sr=None, mono=True)
	duration = librosa.get_duration(y=y, sr=sr)

	# 计算整体 RMS 振幅（非分贝）
	rms = np.sqrt(np.mean(y**2))

	# 计算最大峰值振幅
	peak = np.max(np.abs(y))

	# 计算静音帧比例
	frame_length = int(sr * 0.1) # 100ms 帧
	hop_length = frame_length // 2
	rms_frames = librosa.feature.rms(y=y, frame_length=frame_length, hop_length=hop_length)[0]

	# 计算低于静音阈值的帧比例
	silent_frames = sum(1 for frame_rms in rms_frames if frame_rms < silence_threshold)
	silent_ratio = silent_frames / len(rms_frames) if len(rms_frames) > 0 else 1.0

	# 判定是否为静音文件
	is_silent = False

	# 条件 1: 整体 RMS 振幅非常低
	if rms < silence_threshold * 0.5:
	is_silent = True
	# 条件 2: 最大峰值振幅非常低
	elif peak < max_peak * 0.5:
	is_silent = True
	# 条件 3: 静音帧比例非常高
	elif silent_ratio > 0.95 and rms < silence_threshold:
	is_silent = True

	# 生成波形图
	plt.figure(figsize=(12, 4))
	time_axis = np.linspace(0, duration, len(y))
	plt.plot(time_axis, y, alpha=0.6, label='波形')

	# 添加阈值线
	plt.axhline(y=silence_threshold, color='green', linestyle='--', label=f'静音阈值 ({silence_threshold})')
	plt.axhline(y=-silence_threshold, color='green', linestyle='--')
	plt.axhline(y=max_peak, color='red', linestyle='--', label=f'峰值阈值 ({max_peak})')
	plt.axhline(y=-max_peak, color='red', linestyle='--')

	plt.title(f"音频分析: {os.path.basename(audio_path)}\n状态: {'静音' if is_silent else '有效'}")
	plt.xlabel("时间 (秒)")
	plt.ylabel("振幅")
	plt.legend(loc='upper right')
	plt.grid(True, alpha=0.3)

	# 保存波形图
	waveform_path = os.path.splitext(audio_path)[0] + "_analysis.png"
	plt.savefig(waveform_path, dpi=100, bbox_inches='tight')
	plt.close()

	return {
	"filename": os.path.basename(audio_path),
	"filepath": audio_path,
	"duration": duration,
	"rms": float(rms),
	"peak": float(peak),
	"silent_ratio": float(silent_ratio),
	"waveform_path": waveform_path,
	"is_silent": is_silent,
	"status": "SILENT" if is_silent else "ACTIVE",
	"error": None
	}
	except Exception as e:
	return {
	"filename": os.path.basename(audio_path),
	"filepath": audio_path,
	"duration": 0,
	"rms": 0,
	"peak": 0,
	"silent_ratio": 0,
	"waveform_path": "",
	"is_silent": False,
	"status": f"ERROR: {str(e)}",
	"error": str(e)
	}

	def detect_silent_files(input_dir, output_dir, silence_threshold=0.001, max_peak=0.005):
	"""
	可靠的静音检测与分类
	"""
	# 创建输出目录
	silent_dir = os.path.join(output_dir, "silent")
	active_dir = os.path.join(output_dir, "active")
	review_dir = os.path.join(output_dir, "review")

	os.makedirs(silent_dir, exist_ok=True)
	os.makedirs(active_dir, exist_ok=True)
	os.makedirs(review_dir, exist_ok=True)

	# 获取所有音频文件
	audio_files = []
	for file in os.listdir(input_dir):
	if file.lower().endswith(('.mp3', '.wav', '.flac', '.ogg', '.m4a')):
	audio_files.append(os.path.join(input_dir, file))

	print(f"在目录 {input_dir} 中找到 {len(audio_files)} 个音频文件")
	print(f"使用参数: 静音阈值={silence_threshold}, 峰值阈值={max_peak}")

	# 创建报告文件
	timestamp = datetime.datetime.now().strftime("%Y%m%d_%H%M%S")
	report_path = os.path.join(output_dir, f"静音检测报告_{timestamp}.csv")

	# 打开 CSV 报告文件
	with open(report_path, 'w', newline='', encoding='utf-8') as csvfile:
	fieldnames = ['文件名', '原始路径', '时长(秒)', 'RMS振幅', '峰值振幅',
	'静音帧比例(%)', '状态', '目标路径', '波形图路径']
	writer = csv.DictWriter(csvfile, fieldnames=fieldnames)
	writer.writeheader()

	# 处理每个文件
	silent_count = 0
	active_count = 0
	review_count = 0

	for file_path in tqdm(audio_files, desc="分析音频文件"):
	result = analyze_audio(file_path, silence_threshold, max_peak)
	dest_path = ""

	try:
	if result["status"] == "SILENT":
	# 移动静音文件
	dest_path = os.path.join(silent_dir, os.path.basename(file_path))
	shutil.move(file_path, dest_path)
	silent_count += 1
	elif result["status"] == "ACTIVE":
	# 移动非静音文件
	dest_path = os.path.join(active_dir, os.path.basename(file_path))
	shutil.move(file_path, dest_path)
	active_count += 1
	else:
	# 错误文件移动到 review 目录
	dest_path = os.path.join(review_dir, os.path.basename(file_path))
	shutil.move(file_path, dest_path)
	review_count += 1
	except Exception as e:
	# 错误文件移动到 review 目录
	dest_path = os.path.join(review_dir, os.path.basename(file_path))
	shutil.move(file_path, dest_path)
	result["error"] = f"移动失败: {str(e)}"
	result["status"] = f"ERROR: {str(e)}"
	review_count += 1

	# 写入报告行
	writer.writerow({
	'文件名': result["filename"],
	'原始路径': result["filepath"],
	'时长(秒)': f"{result['duration']:.2f}",
	'RMS振幅': f"{result['rms']:.6f}",
	'峰值振幅': f"{result['peak']:.6f}",
	'静音帧比例(%)': f"{result['silent_ratio']*100:.1f}",
	'状态': result["status"],
	'目标路径': dest_path,
	'波形图路径': result["waveform_path"]
	})

	# 生成统计报告
	total_files = len(audio_files)
	summary = f"\n静音检测完成!\n" \
	f"总文件数: {total_files}\n" \
	f"静音文件: {silent_count} ({silent_count/total_files*100:.1f}%)\n" \
	f"有效音频: {active_count} ({active_count/total_files*100:.1f}%)\n" \
	f"需要复查: {review_count} ({review_count/total_files*100:.1f}%)\n" \
	f"\n文件已分类移动到:\n" \
	f"静音文件: {silent_dir}\n" \
	f"有效音频: {active_dir}\n" \
	f"需要复查: {review_dir}\n" \
	f"\n详细报告已保存到: {report_path}"

	# 保存统计报告
	summary_path = os.path.join(output_dir, f"统计报告_{timestamp}.txt")
	with open(summary_path, "w", encoding="utf-8") as f:
	f.write(summary)

	print(summary)
	print(f"统计报告已保存到: {summary_path}")

	if __name__ == "__main__":
	parser = argparse.ArgumentParser(description="可靠静音检测工具 (基于振幅阈值)")
	parser.add_argument("input_dir", help="包含音频文件的输入目录")
	parser.add_argument("output_dir", help="保存分类结果的输出目录")
	parser.add_argument("--silence_threshold", type=float, default=0.001,
	help="静音检测阈值 (默认: 0.001)")
	parser.add_argument("--max_peak", type=float, default=0.005,
	help="最大峰值阈值 (默认: 0.005)")

	args = parser.parse_args()

	# 运行检测
	detect_silent_files(
	input_dir=args.input_dir,
	output_dir=args.output_dir,
	silence_threshold=args.silence_threshold,
	max_peak=args.max_peak
	)

执行结果:

# 识别助手音频

识别语音助手的话，我第一时间想到的是将语音转换成文本文件，然后再通过关键字匹配，这里主要用到的是
PaddleSpeech 这个开源项目，代码如下:

	import os
	import sys
	import glob
	import shutil
	import tempfile
	from concurrent.futures import ThreadPoolExecutor, as_completed
	from pydub import AudioSegment
	from paddlespeech.cli.asr.infer import ASRExecutor

	# 定义 AI 语音常见关键词
	AI_KEYWORDS = [
	"助手", "无法接通", "留言", "智能", "助理", "您拨打的",
	"通话中","无法接听", "挂断"
	]

	# 配置参数
	DEST_DIR = "/home/bob/AI_Voice" # 默认 AI 语音存储目录
	MAX_WORKERS = 4 # 线程池大小，根据 CPU 核心数调整

	def convert_mp3_to_wav(mp3_path):
	"""将MP3转换为临时WAV文件"""
	temp_file = tempfile.NamedTemporaryFile(suffix=".wav", delete=False)
	temp_path = temp_file.name
	temp_file.close()

	audio = AudioSegment.from_mp3(mp3_path)
	audio = audio.set_frame_rate(16000).set_channels(1)
	audio.export(temp_path, format="wav")

	return temp_path

	def detect_ai_voice_by_keywords(mp3_path, asr_executor):
	"""使用PaddleSpeech API识别语音并检测AI关键词"""
	wav_path = convert_mp3_to_wav(mp3_path)

	try:
	text = asr_executor(audio_file=wav_path, lang='zh')
	print(f"识别的文本: {text}")

	for keyword in AI_KEYWORDS:
	if keyword in text:
	return True, text

	return False, text

	except Exception as e:
	print(f"处理出错: {str(e)}")
	return False, ""
	finally:
	if os.path.exists(wav_path):
	os.unlink(wav_path)

	def move_file(src_path, dest_dir, text):
	"""移动文件到目标目录并添加元数据"""
	os.makedirs(dest_dir, exist_ok=True)
	filename = os.path.basename(src_path)
	dest_path = os.path.join(dest_dir, filename)

	try:
	shutil.move(src_path, dest_path)
	print(f"已移动文件到: {dest_path}")
	return True
	except Exception as e:
	print(f"移动文件失败: {str(e)}")
	return False

	def process_file(mp3_file, dest_dir, asr_executor):
	"""处理单个文件并移动AI语音文件"""
	print(f"\n处理文件: {os.path.basename(mp3_file)}")

	is_ai, text = detect_ai_voice_by_keywords(mp3_file, asr_executor)

	if is_ai:
	print(" >> 检测到AI语音")
	if move_file(mp3_file, dest_dir, text):
	return True, "检测到AI语音并已移动"
	else:
	return False, "检测到AI语音但移动失败"
	else:
	print(" >> 未检测到AI语音")
	return False, "未检测到AI语音"

	def process_directory(source_path, dest_dir):
	"""多线程处理目录下的所有MP3文件"""
	mp3_files = glob.glob(os.path.join(source_path, "*.mp3"))
	if not mp3_files:
	print(f"目录 {source_path} 中没有找到MP3文件")
	return 0, 0

	print(f"开始处理目录: {source_path}")
	print(f"找到 {len(mp3_files)} 个MP3文件")

	# 统计结果
	ai_count = 0
	moved_count = 0

	# 创建线程池和 ASRExecutor 实例
	with ThreadPoolExecutor(max_workers=MAX_WORKERS) as executor:
	# 每个线程使用自己的 ASRExecutor 实例
	futures = []
	for mp3_file in mp3_files:
	# 为每个任务创建新的 ASRExecutor 实例
	asr_executor = ASRExecutor()
	future = executor.submit(process_file, mp3_file, dest_dir, asr_executor)
	futures.append(future)

	# 收集结果
	for future in as_completed(futures):
	moved, message = future.result()
	if moved:
	ai_count += 1
	moved_count += 1
	elif "检测到AI语音" in message:
	ai_count += 1

	return ai_count, moved_count

	def main():
	if len(sys.argv) < 2:
	print("用法: python lessvoice.py <源文件或目录路径> [目标目录]")
	print(f"示例: python lessvoice.py /home/bob/Documents/mp3/ {DEST_DIR}")
	sys.exit(1)

	source_path = sys.argv[1]
	dest_dir = sys.argv[2] if len(sys.argv) > 2 else DEST_DIR
	os.makedirs(dest_dir, exist_ok=True)
	print(f"AI语音将保存到: {dest_dir}")

	if os.path.isfile(source_path):
	# 处理单个文件
	asr_executor = ASRExecutor()
	result, message = process_file(source_path, dest_dir, asr_executor)
	print(f"{source_path}: {message}")
	elif os.path.isdir(source_path):
	# 多线程处理目录
	ai_count, moved_count = process_directory(source_path, dest_dir)
	print(f"\n处理完成! 共发现 {ai_count} 个有效语音文件，成功识别并移动 {moved_count} 个AI音频文件到 {dest_dir}")
	else:
	print(f"路径不存在或无效: {source_path}")

	if __name__ == "__main__":
	os.environ["PIP_BREAK_SYSTEM_PACKAGES"] = "1"
	main()

执行结果:

从转换的文本结果来看，正确率应该在 50% 左右，不过可以通过关键字识别，问题不大

由于朋友提供的样本数量过少，我也只能做到从他给我的 11 个样本中按照他提出的要求进行测试，目前三个脚本执行的结果跟预期一样，应该可以满足他的要求

k8s环境搭建

Mon, 28 Apr 2025 10:57:00 +0800

最近想学一下 k8s , 先把环境搭起来，后面再慢慢琢磨怎么玩

# 环境介绍

操作系统	计算机名	域名	IP 地址	安装服务	备注
ubuntu 24.04	k8s-master	keeponline.cn	192.168.80.150	containerd、kubeadm、kubectl、kubelet、Flannel	k8s 控制面板节点
centos 9	k8s-node1	keeponline.cn	192.168.80.151	containerd、kubeadm、kubectl、kubelet	k8s 工作节点 1
debian 12	k8s-node2	keeponline.cn	192.168.80.152	containerd、kubeadm、kubectl、kubelet	k8s 工作节点 2
debian 12	k8s-registry	keeponline.cn	192.168.80.153	docker-ce、harbor	本地镜像仓库服务器

如果有自己的公网域名，请在云服务器上做对应主机的解析记录，并申请 k8s-registry 域名的证书

没有的话，请在各服务器本地 hosts 文件手动添加对应主机的解析记录

# 部署前配置

在部署 k8s 服务之前，我们需要对 k8s-master 、 k8s-node1 和 k8s-nodee2 作一些部署前的配置和 containerd 服务以及 kubeadm 部署工具的安装，由于我的环境三台服务器都属于不同的 linux发行版 ，除了 kubeadm 的部署命令有些区别之外，其它的命令基本上都是通用的

启用网络数据包转发，否则部分 CNI 组件无法正常工作

	# 加载 br_netfilter 内核模块
	echo "br_netfilter" \| sudo tee /etc/modules-load.d/k8s.conf

	# 配置 sysctl 内核参数
	cat <<EOF \| sudo tee /etc/sysctl.d/k8s.conf
	net.bridge.bridge-nf-call-ip6tables = 1
	net.bridge.bridge-nf-call-iptables = 1
	net.ipv4.ip_forward = 1
	EOF

	# 应用 sysctl 配置
	sudo sysctl --system

禁用 swap 分区，否则 kubelet 无法正常工作

	sudo sed -i '/swap/s/^/#/' /etc/fstab
	sudo swapoff -a

经测试发现 Debian12 通过注释 fstab 文件重启后依然无法禁用 swap 分区，需要额外操作

	# 查看当前挂载的 swap 分区
	sudo swapon -s

	#通过 systemd 禁用 swap 分区
	sudo systemctl mask dev-sda3.swap # 替换为你的 swap 设备名
	sudo systemctl daemon-reload

验证配置是否生效

	# 检查 br_netfilter 模块是否加载
	lsmod \| grep br_netfilter

	# 检查 sysctl 参数值
	sudo sysctl net.bridge.bridge-nf-call-iptables \
	net.bridge.bridge-nf-call-ip6tables \
	net.ipv4.ip_forward
	# 预期输出：
	net.bridge.bridge-nf-call-iptables = 1
	net.bridge.bridge-nf-call-ip6tables = 1
	net.ipv4.ip_forward = 1

	# 查看 swap 挂载分区
	sudo swapon -s # 正常情况下应该没有任何输出

# 部署 containerd

containerd 是目前 k8s 官方所推荐的容器运行时，当然你也可以使用 Docker ，但不在本文章中讨论

安装 containerd

从 https://github.com/containerd/containerd/releases 下载最新版本的 containerd 二进制文件

解压文件到 /usr/local

sudo tar Cxzvf /usr/local containerd-2.1.0-rc.1-linux-amd64.tar.gz

创建 systemd 服务

	# 创建 system 目录
	sudo mkdir -p /usr/local/lib/systemd/system

	# 创建 containerd 服务
	cat << EOF \|sudo tee /usr/local/lib/systemd/system/containerd.service
	[Unit]
	Description=containerd container runtime
	Documentation=https://containerd.io
	After=network.target dbus.service
	[Service]
	ExecStartPre=-/sbin/modprobe overlay
	ExecStart=/usr/local/bin/containerd
	Type=notify
	Delegate=yes
	KillMode=process
	Restart=always
	RestartSec=5
	LimitNPROC=infinity
	LimitCORE=infinity
	TasksMax=infinity
	OOMScoreAdjust=-999
	[Install]
	WantedBy=multi-user.target
	EOF

	# 设置开机自启动
	sudo systemctl daemon-reload
	sudo systemctl enable --now containerd

生成 containerd 配置文件

	# 创建 containerd 配置目录
	sudo mkdir /etc/containerd

	# 生成 containerd 配置文件
	containerd config default \|sudo tee /etc/containerd/config.toml

	# 更改 puase 镜像的仓库地址为本地镜像仓库，将 “k8s-registry.keeponline.cn/k8s” 替换成你的仓库地址
	sudo sed -i 's\|registry.k8s.io\|k8s-registry.keeponline.cn/k8s\|g' /etc/containerd/config.toml

	# 重启 containerd 服务
	sudo systemctl restart containerd

除了 containerd 之外，我们还需要安装 runc 和 CNI插件 ，这两个程序的安装比较简单，就不多说了

# 部署 runc

下载 runc

从 https://github.com/opencontainers/runc/releases 下载最新版本的二进制文件

安装 runc

sudo install -m 755 runc.amd64 /usr/local/sbin/runc

# 部署 CNI 组件

下载 CNI 二进制文件

从 https://github.com/containernetworking/plugins/releases 下载对应系统架构的二进制文件

sudo mkdir -p /opt/cni/bin

sudo tar Cxzvf /opt/cni/bin cni-plugins-linux-amd64-v1.7.1.tgz

到此，containerd 相关的配置便完成了

# 部署 kubeadm

k8s 的部署方式五花八门，看得我有点眼花缭乱，最终选择官方推荐的 kubeadm 工具部署

Ubuntu/Debian: 安装方式:

	# 1. 更新 apt 包索引并安装使用 Kubernetes apt 仓库所需要的包
	sudo apt update
	sudo apt-get install -y apt-transport-https ca-certificates curl gpg

	# 2. 下载用于 Kubernetes 软件包仓库的公共签名密钥，在低于 Debian 12 和 Ubuntu 22.04 的发行版本中，/etc/apt/keyrings 默认不存在。应在 curl 命令之前创建它。
	# sudo mkdir -p -m 755 /etc/apt/keyrings
	curl -fsSL https://pkgs.k8s.io/core:/stable:/v1.33/deb/Release.key \| sudo gpg --dearmor -o /etc/apt/keyrings/kubernetes-apt-keyring.gpg

	# 3. 添加 Kubernetes apt 仓库
	echo 'deb [signed-by=/etc/apt/keyrings/kubernetes-apt-keyring.gpg] https://pkgs.k8s.io/core:/stable:/v1.33/deb/ /' \| sudo tee /etc/apt/sources.list.d/kubernetes.list

	# 4. 更新 apt 包索引，安装 kubelet、kubeadm 和 kubectl，并锁定其版本
	sudo apt update
	sudo apt install -y kubelet kubeadm kubectl
	sudo apt-mark hold kubelet kubeadm kubectl

CentOS/RedHat: 安装方式:

	# 1. 禁用 SELinux
	sudo setenforce 0
	sudo sed -i 's/^SELINUX=enforcing$/SELINUX=permissive/' /etc/selinux/config

	# 2. 添加 Kubernetes 的 yum 仓库
	cat <<EOF \| sudo tee /etc/yum.repos.d/kubernetes.repo
	[kubernetes]
	name=Kubernetes
	baseurl=https://pkgs.k8s.io/core:/stable:/v1.33/rpm/
	enabled=1
	gpgcheck=1
	gpgkey=https://pkgs.k8s.io/core:/stable:/v1.33/rpm/repodata/repomd.xml.key
	exclude=kubelet kubeadm kubectl cri-tools kubernetes-cni
	EOF

	# 3. 安装 kubelet、kubeadm 和 kubectl，并启用 kubelet 开机自启动
	sudo yum install -y kubelet kubeadm kubectl --disableexcludes=kubernetes
	sudo systemctl enable --now kubelet

到此，k8s 相关的部署工具便安装完成了

# 本地镜像仓库

为了顺利部署 k8s 集群服务，我们先在 k8s-registry 这台服务器上安装 docker-ce 和 harbor 镜像仓库服务

因为众所周知的原因，目前国内的网络无法正常访问 k8s 的镜像仓库，所以我们需要借助第三方的镜像仓库地址获取 k8s 所需要的镜像，并通过 docker 推送到本地仓库，这样，我们的 k8s 集群节点便可以通过本地仓库获取相对应的镜像文件了

# 部署 docker

安装 docker-ce 服务，可以统一使用官方脚本安装

curl -sL get.docker.com |sh

ubuntu 和 debian 安装后会自动启动 docker 服务并自动添加开机自启动， centos 需要手动启动 docker 服务

sudo systemctl start docker && sudo systemctl enable docker

安装完 docker 之后，我们可以将 docker 镜像仓库配置成我们本地自建的仓库地址 (可选)

	# 创建 docker 配置目录
	sudo mkdir -p /etc/docker

	# 配置 docker 镜像源
	sudo tee /etc/docker/daemon.json <<EOF
	{
	"registry-mirrors": [
	"https://k8s-registry.keeponline.cn"
	]
	}
	EOF

	# 重新加载 docker 服务
	sudo systemctl daemon-reload
	sudo systemctl restart docker

如果你不打算给仓库配置 ssl 证书的话，则配置 insecure-registries 指定允许访问 http 不安全站点

	# 创建 docker 配置目录
	sudo mkdir -p /etc/docker

	# 配置 docker http 镜像源
	sudo tee /etc/docker/daemon.json <<EOF
	{
	"insecure-registries" : ["192.168.80.153", "k8s-registry.keeponline.cn"]
	]
	}
	EOF

	# 重新加载 docker 服务
	sudo systemctl daemon-reload
	sudo systemctl restart docker

普通用户是没有权限使用 docker 的命令，为了方便使用，我们可以把普通用户添加到 docker 组中

	# 添加用户 bob 到 docker 组
	sudo usermod -aG docker bob

	# 初始化当前用户登陆环境
	newgrp docker

	# 查看当前用户身份信息，确认是否拥有 docker 组权限
	id
	# 预期输出：
	uid=1000(bob) gid=996(docker) groups=996(docker),24(cdrom),25(floppy),29(audio),30(dip),44(video),46(plugdev),100(users),106(netdev),1000(bob)

	# 查看 docker 版本，如果权限生效会显示 Server: Docker Engine 的信息，如果仅显示 CLient 信息则表示权限未生效
	docker version

	# 预期输出：
	Client: Docker Engine - Community
	Version: 28.1.1
	API version: 1.49
	Go version: go1.23.8
	Git commit: 4eba377
	Built: Fri Apr 18 09:52:57 2025
	OS/Arch: linux/amd64
	Context: default

	Server: Docker Engine - Community
	Engine:
	Version: 28.1.1
	API version: 1.49 (minimum version 1.24)
	Go version: go1.23.8
	Git commit: 01f442b
	Built: Fri Apr 18 09:52:57 2025
	OS/Arch: linux/amd64
	Experimental: false
	containerd:
	Version: 1.7.27
	GitCommit: 05044ec0a9a75232cad458027ca83437aae3f4da
	runc:
	Version: 1.2.5
	GitCommit: v1.2.5-0-g59923ef
	docker-init:
	Version: 0.19.0
	GitCommit: de40ad0

# 部署 harbor

下载 harbor 离线安装包

打开浏览器，访问 https://github.com/goharbor/harbor/releases 下载最新版本的 harbor 离线安装包

解压文件

tar zxvf harbor-offline-installer-v2.13.1-rc1.tgz

安装 harbor

切换到 harbor 根目录复制一份 harbor.yml 配置文件

cd harbor && cp harbor.yml.tmpl harbor.yml

更改 harbor.yml 配置信息，请查看注释信息，没有注释的地方可以保持默认

	hostname: k8s-registry.keeponline.cn # 仓库地址名称
	http:
	port: 80
	https: # 如果没有申请 ssl 证书，请把 https 相关配置注释掉
	port: 443
	certificate: /home/bob/harbor/cert/keeponline.cn.pem #证书路径
	private_key: /home/bob/harbor/cert/keeponline.cn.key #证书路径
	harbor_admin_password: Harbor12345 # 仓库管理员默认登陆密码
	database:
	password: root123 # 数据库默认密码
	max_idle_conns: 100
	max_open_conns: 900
	conn_max_lifetime: 5m
	conn_max_idle_time: 0
	data_volume: /data
	trivy:
	ignore_unfixed: false
	skip_update: false
	skip_java_db_update: false
	offline_scan: false
	security_check: vuln
	insecure: false
	timeout: 5m0s
	jobservice:
	max_job_workers: 10
	max_job_duration_hours: 24
	job_loggers:
	- STD_OUTPUT
	- FILE
	notification:
	webhook_job_max_retry: 3
	log:
	level: info
	local:
	rotate_count: 50
	rotate_size: 200M
	location: /var/log/harbor

	_version: 2.13.0
	proxy:
	http_proxy:
	https_proxy:
	no_proxy:
	components:
	- core
	- jobservice
	- trivy
	upload_purging:
	enabled: true
	age: 168h
	interval: 24h
	dryrun: false
	cache:
	enabled: false
	expire_hours: 24

安装 harbor

配置完后，可直接执行目录下 install.sh 脚本进行安装 (需要 root 权限执行)

sudo ./install.sh

	# 预期输出：
	[Step 5]: starting Harbor ...
	[+] Running 10/10
	✔ Network harbor_harbor Created 0.0s
	✔ Container harbor-log Started 0.3s
	✔ Container harbor-portal Started 1.3s
	✔ Container harbor-db Started 1.2s
	✔ Container registry Started 0.7s
	✔ Container redis Started 1.5s
	✔ Container registryctl Started 0.8s
	✔ Container harbor-core Started 2.0s
	✔ Container harbor-jobservice Started 2.3s
	✔ Container nginx Started 2.5s
	✔ ----Harbor has been installed and started successfully.----

验证 harbor 是否能够正常访问
通过浏览器访问仓库地址

测试访问 https 正常，证书正常

创建 k8s 项目

登陆 harbor ，在项目视图中点击 新建项目，创建一个 公开 的 k8s 项目

后续通过 k8s-registry.keeponline.cn/k8s 这个地址便可以推送和拉取该项目的镜像文件

创建 systemd 服务（可选）

创建一个 systemd 服务方便后续的服务启动管理

sudo vi /etc/systemd/system/harbor.service

	[Unit]
	Description=Harbor Container Registry
	After=docker.service network.target
	Requires=docker.service

	[Service]
	Type=oneshot
	RemainAfterExit=yes
	WorkingDirectory=/home/bob/harbor # 填写你的 harbor 项目路径
	ExecStart=/usr/bin/docker compose -f /home/bob/harbor/docker-compose.yml up -d # docker-compose.yml 配置文件路径默认在 harbor 根目录
	ExecStop=/usr/bin/docker compose -f /home/bob/harbor/docker-compose.yml down # 填写你的 docker-compose.yml 配置文件路径
	TimeoutStartSec=0

	[Install]
	WantedBy=multi-user.target

设置 harbor 开机自启动

sudo systemctl enable harbor

# 拉取和推送 k8s 相关镜像

拉取 k8s 相关镜像我们需要借助第三方的镜像网站

docker 登陆本地 harbor 仓库

docker login k8s-registry.keeponline.cn

	bob@k8s-register:~$ docker login k8s-registry.keeponline.cn
	Username: admin
	Password:

	WARNING! Your credentials are stored unencrypted in '/home/bob/.docker/config.json'.
	Configure a credential helper to remove this warning. See
	https://docs.docker.com/go/credential-store/

	Login Succeeded

拉取并上传 k8s 相关镜像

在已经安装 kubeadm 的服务器上执行 kubeadm config images list 可以获取当前 k8s 版本所需要镜像文件和版本信息

得知需要的镜像文件和版本信息后，我们便可以在 153 这台服务器上用 docker 拉取和推送对应的镜像文件

	# 创建一个镜像变量
	images="kube-apiserver:v1.33.0 kube-controller-manager:v1.33.0 kube-scheduler:v1.33.0 kube-proxy:v1.33.0 coredns:v1.12.0 pause:3.10 etcd:3.5.21-0"

	# 拉取并推送镜像到本地仓库，请将 “k8s-registry.keeponline.cn/k8s” 换成你的仓库项目地址
	for i in $images
	do
	if [[ "$i" == "coredns"* ]]; then
	docker pull swr.cn-north-4.myhuaweicloud.com/ddn-k8s/registry.k8s.io/coredns/$i
	docker tag swr.cn-north-4.myhuaweicloud.com/ddn-k8s/registry.k8s.io/coredns/$i k8s-registry.keeponline.cn/k8s/$i
	docker push k8s-registry.keeponline.cn/k8s/$i
	docker rmi swr.cn-north-4.myhuaweicloud.com/ddn-k8s/registry.k8s.io/coredns/$i
	else
	docker pull swr.cn-north-4.myhuaweicloud.com/ddn-k8s/registry.k8s.io/$i
	docker tag swr.cn-north-4.myhuaweicloud.com/ddn-k8s/registry.k8s.io/$i k8s-registry.keeponline.cn/k8s/$i
	docker push k8s-registry.keeponline.cn/k8s/$i
	docker rmi swr.cn-north-4.myhuaweicloud.com/ddn-k8s/registry.k8s.io/$i
	fi
	done

命令执行结束后，登陆 harbor 查看镜像是否成功推送

拉取 flannel 镜像

本次 k8s 环境中的 pod 网络组件我选择的 flannel ，如果你选择用其它的网络组件，可以略过该步骤

flannel 项目地址:https://github.com/flannel-io/flannel#deploying-flannel-manually

	# 下载 flannel 配置文件
	wget https://github.com/flannel-io/flannel/releases/latest/download/kube-flannel.yml

	# 获取 flannel 镜像并推送到本地仓库
	mapfile -t images < <(grep image kube-flannel.yml \| sort \| uniq \| awk '{print $NF}'); for image in "${images[@]}"; do new_image="${image//ghcr.io\/flannel-io\//k8s-registry.keeponline.cn/k8s/}"; docker pull "$image"; docker tag "$image" "$new_image"; docker push "$new_image"; docker rmi "$image"; done

到此，k8s 集群所需的镜像就全部准备完毕了

# k8s 集群部署

所有的预备工作都完毕，接下来就可以愉快的部署 k8s 集群了 ^_^

# master 节点部署

k8s-master 这台服务器是本次 k8s 集群环境的控制面板节点

其主要作用如下：

初始化集群，生成集群的全局唯一配置（如证书、kubeconfig 文件等）。
部署控制平面组件（kube-apiserver、kube-scheduler、kube-controller-manager、etcd）
生成供其他节点加入集群的 join token 和命令

# 初始化集群

使用 kubeadm 创建初始化配置文件

kubeadm config print init-defaults > kubeadm-init.yaml

更改 kubeadm-init.yaml 配置信息，更改注释的地址

	apiVersion: kubeadm.k8s.io/v1beta4
	bootstrapTokens:
	- groups:
	- system:bootstrappers:kubeadm:default-node-token
	token: abcdef.0123456789abcdef
	ttl: 24h0m0s
	usages:
	- signing
	- authentication
	kind: InitConfiguration
	localAPIEndpoint:
	advertiseAddress: 192.168.80.150 #API 服务地址，默认 master 地址
	bindPort: 6443
	nodeRegistration:
	criSocket: unix:///var/run/containerd/containerd.sock
	imagePullPolicy: IfNotPresent
	imagePullSerial: true
	name: k8s-master # master 主机名
	taints: null
	timeouts:
	controlPlaneComponentHealthCheck: 4m0s
	discovery: 5m0s
	etcdAPICall: 2m0s
	kubeletHealthCheck: 4m0s
	kubernetesAPICall: 1m0s
	tlsBootstrap: 5m0s
	upgradeManifests: 5m0s
	---
	apiServer: {}
	apiVersion: kubeadm.k8s.io/v1beta4
	caCertificateValidityPeriod: 87600h0m0s
	certificateValidityPeriod: 8760h0m0s
	certificatesDir: /etc/kubernetes/pki
	clusterName: kubernetes
	controllerManager: {}
	dns: {}
	encryptionAlgorithm: RSA-2048
	etcd:
	local:
	dataDir: /var/lib/etcd
	imageRepository: k8s-registry.keeponline.cn/k8s # k8s 获取镜像仓库地址
	kind: ClusterConfiguration
	kubernetesVersion: 1.33.0 # k8s 版本
	networking:
	dnsDomain: cluster.local # 域
	serviceSubnet: 10.96.0.0/12 # service 网络
	podSubnet: 10.244.0.0/16 # pod 网络
	proxy: {}
	scheduler: {}

初始化集群

sudo kubeadm init --config kubeadm-init.yaml --v=9

看到下面输出则表示集群初始化成功

按照提示，开始使用集群之前，需要运行以下命令，将 k8s 的配置文件拷贝到家目录，否则无法调用相关命令

	mkdir -p $HOME/.kube
	sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
	sudo chown $(id -u):$(id -g) $HOME/.kube/config

还提到了我们应该在集群中部署一个 pod的网络

	You should now deploy a pod network to the cluster.
	Run "kubectl apply -f [podnetwork].yaml" with one of the options listed at:
	https://kubernetes.io/docs/concepts/cluster-administration/addons/

最后还给出了其它工作节点加入集群的命令

	kubeadm join 192.168.80.150:6443 --token abcdef.0123456789abcdef \
	--discovery-token-ca-cert-hash sha256:e97d2e31094891280fb06a8fa3812970b32691e1ee6e031baf48f641de781a6b

# pod 网络部署

pod 所需要的 flannel 镜像文件我们在前面已经推送到本地仓库了，接下来部署就简单了

下载 flannel 配置文件

wget https://github.com/flannel-io/flannel/releases/latest/download/kube-flannel.yml

修改配置文件中镜像为本地仓库地址

sed -i 's|ghcr.io/flannel-io|k8s-registry.keeponline.cn/k8s|g' kube-flannel.yml

需要注意的是，flannel 默认网段是 10.244.0.0/16, 如果你的 kubeadm-init.yaml 配置文件中的 podSubnet 不是这个网段，那么你还需要更改 kube-flannel.yml 配置文件中 Network 网段与你的 podSubnet 网段一致

部署 flannel

kubectl apply -f kube-flannel.yml

预期输出：

验证 pod 和 node 状态是否有异常

kubectl get pods --all-namespaces # 查看所有的 pod 状态是否 Running
kubectl get nodes # 查看节点状态是否 Ready, 如果显示 NotReady 表示 pod 网络不正常

预期输出：

到此，master 节点部署完毕

# 加入集群

接下来，登陆 node1 和 node2 把这两台服务器加入到该集群

	sudo kubeadm join 192.168.80.150:6443 --token abcdef.0123456789abcdef \
	--discovery-token-ca-cert-hash sha256:e97d2e31094891280fb06a8fa3812970b32691e1ee6e031baf48f641de781a6b

预期输出：

回到 master节 点查看 nodes 和 pods 状态信息是否正常，正常的话整个 k8s 集群就部署好了

# 排错

部署中遇到的问题与解决方案

flannel 无法运行，查看日志提示 Failed to check br_netfilter

	bob@k8s-master:~$ kubectl get pods -n kube-flannel
	NAME READY STATUS RESTARTS AGE
	kube-flannel-ds-2h8ph 0/1 Init:0/2 0 67s
	kube-flannel-ds-9fxvg 0/1 CrashLoopBackOff 3 (26s ago) 67s
	kube-flannel-ds-r6fdw 0/1 Init:0/2 0 67s
	bob@k8s-master:~$ kubectl logs kube-flannel-ds-9fxvg -n kube-flannel
	Defaulted container "kube-flannel" out of: kube-flannel, install-cni-plugin (init), install-cni (init)
	I0507 13:56:41.039019 1 main.go:211] CLI flags config: {etcdEndpoints:http://127.0.0.1:4001,http://127.0.0.1:2379 etcdPrefix:/coreos.com/network etcdKeyfile: etcdCertfile: etcdCAFile: etcdUsername: etcdPassword: version:false kubeSubnetMgr:true kubeApiUrl: kubeAnnotationPrefix:flannel.alpha.coreos.com kubeConfigFile: iface:[] ifaceRegex:[] ipMasq:true ifaceCanReach: subnetFile:/run/flannel/subnet.env publicIP: publicIPv6: subnetLeaseRenewMargin:60 healthzIP:0.0.0.0 healthzPort:0 iptablesResyncSeconds:5 iptablesForwardRules:true netConfPath:/etc/kube-flannel/net-conf.json setNodeNetworkUnavailable:true}
	W0507 13:56:41.039270 1 client_config.go:618] Neither --kubeconfig nor --master was specified. Using the inClusterConfig. This might not work.
	I0507 13:56:41.057944 1 kube.go:139] Waiting 10m0s for node controller to sync
	I0507 13:56:41.058022 1 kube.go:469] Starting kube subnet manager
	I0507 13:56:42.058204 1 kube.go:146] Node controller sync successful
	I0507 13:56:42.058273 1 main.go:231] Created subnet manager: Kubernetes Subnet Manager - k8s-master
	I0507 13:56:42.058283 1 main.go:234] Installing signal handlers
	I0507 13:56:42.058680 1 main.go:468] Found network config - Backend type: vxlan
	E0507 13:56:42.058789 1 main.go:268] Failed to check br_netfilter: stat /proc/sys/net/bridge/bridge-nf-call-iptables: no such file or directorylsm

原因分析：

br_netfilter 内核模块未加载，导致 Flannel 无法配置网络策略

解决方法：

配置 net.bridge.bridge-nf-call-iptables 和 net.ipv4.ip_forward，加载 br_netfilter 模块并永久启用

	# 加载 br_netfilter 内核模块
	echo "br_netfilter" \| sudo tee /etc/modules-load.d/k8s.conf

	# 配置 sysctl 内核参数
	cat <<EOF \| sudo tee /etc/sysctl.d/k8s.conf
	net.bridge.bridge-nf-call-ip6tables = 1
	net.bridge.bridge-nf-call-iptables = 1
	net.ipv4.ip_forward = 1
	EOF

	# 应用 sysctl 配置
	sudo sysctl --system

节点加入集群后，状态显示 NotReady ，相关网络容器无法创建和初始化

在工作节点上执行 sudo journalctl -xeu kubelet |grep failed 查看相关报错信息根据报错进行相对应的处理

	# 报错信息
	Failed to generate sandbox config for pod ... open /run/systemd/resolve/resolv.conf: no such file or directory

原因分析：

/run/systemd/resolve/resolv.conf 是由 systemd-resolved 服务生成的 DNS 配置文件路径，这两台工作节点并没有安装 systemd-resolved 服务，所以没有这个配置文件

解决方法：

	# 通过 `ps` 查看 `kubelet` 的启动参数
	bob@k8s-node2:~$ ps -ef \|grep kubelet
	root 751 1 2 04:17 ? 00:00:17 /usr/bin/kubelet --bootstrap-kubeconfig=/etc/kubernetes/bootstrap-kubelet.conf --kubeconfig=/etc/kubernetes/kubelet.conf --config=/var/lib/kubelet/config.yaml --container-runtime-endpoint=unix:///var/run/containerd/containerd.sock --pod-infra-container-image=k8s-registry.keeponline.cn/k8s/pause:3.10
	bob 947 816 0 04:31 pts/0 00:00:00 grep kubelet


	# 修改配置文件中的 resolvConf 路径
	bob@k8s-node2:~$ sudo cat /var/lib/kubelet/config.yaml
	apiVersion: kubelet.config.k8s.io/v1beta1
	authentication:
	anonymous:
	enabled: false
	webhook:
	cacheTTL: 0s
	enabled: true
	x509:
	clientCAFile: /etc/kubernetes/pki/ca.crt
	authorization:
	mode: Webhook
	webhook:
	cacheAuthorizedTTL: 0s
	cacheUnauthorizedTTL: 0s
	cgroupDriver: systemd
	clusterDNS:
	- 10.96.0.10
	clusterDomain: cluster.local
	containerRuntimeEndpoint: ""
	cpuManagerReconcilePeriod: 0s
	crashLoopBackOff: {}
	evictionPressureTransitionPeriod: 0s
	fileCheckFrequency: 0s
	healthzBindAddress: 127.0.0.1
	healthzPort: 10248
	httpCheckFrequency: 0s
	imageMaximumGCAge: 0s
	imageMinimumGCAge: 0s
	kind: KubeletConfiguration
	logging:
	flushFrequency: 0
	options:
	json:
	infoBufferSize: "0"
	text:
	infoBufferSize: "0"
	verbosity: 0
	memorySwap: {}
	nodeStatusReportFrequency: 0s
	nodeStatusUpdateFrequency: 0s
	resolvConf: /run/systemd/resolve/resolv.conf # 更改为 /etc/resolv.conf
	rotateCertificates: true
	runtimeRequestTimeout: 0s
	shutdownGracePeriod: 0s
	shutdownGracePeriodCriticalPods: 0s
	staticPodPath: /etc/kubernetes/manifests
	streamingConnectionIdleTimeout: 0s
	syncFrequency: 0s
	volumeStatsAggPeriod: 0s

	# 重启 kubelet 服务
	bob@k8s-node2:~$ sudo systemctl restart kubelet

# 可能有用的网站链接

k8s 官方文档：https://kubernetes.io/zh-cn/docs/home
docker 国内可用的加速镜像源:https://github.com/dongyubin/DockerHub
registry.k8s.io 国内可用镜像源:https://docker.aityp.com
Watt Toolkit (Steam 加速器，可访问 github 等网站):https://steampp.net

MDT快速入门

Thu, 13 Mar 2025 14:11:00 +0800

# MDT 简介

MDT（Microsoft Deployment Toolkit） 是 Microsoft 免费提供的自动化部署框架，用于定制化操作系统部署。它基于任务序列 （Task Sequence） ，支持复杂的部署流程和配置。

核心功能：

任务序列：定义分阶段任务（分区、驱动注入、应用安装、更新补丁等）。
驱动程序管理：根据硬件型号自动匹配并安装驱动。
应用程序集成：静默安装 Office、企业软件等。
动态配置：根据 MAC 地址、型号等条件动态生成计算机名、时区等。
日志与监控：记录详细部署日志，支持远程存储。

# 搭建环境

操作系统	计算机名	IP 地址	安装服务	备注
Windows Server 2025	MDT_AD	192.168.10.10	AD、DHCP、DNS	域名：MDT.cn ᅟᅠ DHCP 作用域：192.168.10.100-200
Windows Server 2025	MDT_Server	192.168.10.11	WDS、MDT	提供 PXE 服务和镜像发布

由于这个几个服务安装部署相对简单，文中没有提及的步骤一律按照默认下一步

# AD 服务器

AD 服务器主要安装 AD、DNS、DHCP 这三个服务，可以同时安装

添加服务器角色和功能，同时勾选 Active Directory 域服务、DHCP 服务器和 DNS 服务器

勾选如果需要，自动重新启动目标服务器

点击将此服务器提升为域服务器

选择添加新林，填写你的根域名

设置 DSRM 密码

一直默认下一步，安装完后会自动重启服务器

# DHCP 配置

重启后点击通知，选择完成 DHCP 配置，都是默认

完成 DHCP 配置后，打开 DHCP 管理器，添加一个 IPv4 的作用域

填写作用域名称

配置起始 IP 地址和结束 IP 地址

配置默认网关

一直下一步直至完成

到此 AD 服务器配置完毕

# MDT 服务器

登陆 MDT 服务器，首先将该服务器加到域中，然后重启

# ADK 安装

重启后下载安装 Windows ADK 和 Windows PE附加组件

ADK 下载地址:https://learn.microsoft.com/zh-cn/windows-hardware/get-started/adk-install

双击 adksetup.exe 进行 Windows ADK 的安装

安装路径可以选择默认

安装功能我这里仅勾选部署工具，其它的我暂时用不上

后面都是默认，直至安装完成

接下来安装 Windows PE附加组件 ，双击 adkwinpesetup.exe 进行安装，路径默认

最新版本的 Windows PE附加组件 不再支持 x86 平台，如果老机器不支持 UEFI 引导的话，请安装 10.1.22000.1 以下版本

后面都是默认，直至安装完成

# MDT 安装

安装完 Windows ADK 后，下载 MDT 并进行安装

MDT 下载地址：https://www.microsoft.com/en-us/download/details.aspx?id=54259

MDT 全程默认安装，安装完后在开始菜单找到 Deployment Workbench 并打开

点击 Deployment Share ，右键菜单选择 New Deployment Share

路径我这边选择 D 盘

Options 这里我把所有的选择都去掉，请根据自己的需求勾选

后面都是默认，创建完部署共享目录后，简单说一下相关目录的配置

# MDT 配置

展开 MDT 部署目录，可以看到下面还有几个配置相关的目录，由于我的小霸王性能有限，无法测试所有的目录配置，这里只测试 Applications、Operating Systems、Task Sequences 和 Monitoring, 其它只简单介绍一下目录配置的作用

Applications：存放需要在部署过程中自动安装的应用程序安装包，支持 exe、msi 可执行的二进制文件，也可以调用系统的 cmd 和 powershell 执行脚本程序

单击选中 Applications ，右键菜单选择 New Application ，点击 Next 选择安装包源 (该操作会将源安装包复制一份到 DeploymentShare$\Applications 共享目录)

填写安装包名称，这里我用微信测试

选择安装包所在目录 (如果不需要保留源安装包文件，可以勾选 Move the files to the deployment share instead of copying them )

填写安装程序命令和参数

后面默认，直至完成

这样我们就添加好了一个微信的安装包

Operation Systems：存放操作系统镜像文件，支持 wim、esd 格式镜像，通常是将 ISO 镜像文件挂载到 CDROM 或解压到本地目录读取

这里以 Windows 11 镜像为例，将镜像挂载到本地虚拟光驱，然后在点击 Operation Systems ，右键菜单选择 Import Operating System ，然后选择 Full set of source to files

源目录选择虚拟光驱

设置目录名

后面默认，直至完成 (该操作会将虚拟光驱文件全部复制一份到 DeploymentShare\Operating Systems 目录下)

一些不需要的版本可以选中右键删除

这样操作系统的镜像就添加好了

Out-of-Box Drivers：存放硬件驱动程序，支持 cab、inf 格式文件，按照厂商 / 设备型号进行分类，在部署过程中自动注入

目前环境不作测试

Packages：存放 Windows 更新包，例如语言包和安全补丁，支持 cab 和 msu 格式文件

目前环境不作测试

Task Sequences：定义部署任务序列，例如自动化分区、操作系统安装、注入驱动和安装应用程序等，由一系列的 VBS 脚本和 XML 文件控制部署流程的每一步操作

选中 Task Sequences ，右键菜单新建一个任务序列

填写任务序列 ID 和名称

任务模板选择默认的 Standard Client Task Sequence

选择需要部署的系统镜像

填写完整名称和组织信息

设置部署镜像的管理员密码

后面默认，直至完成

选中创建好的任务序列名称，右键属性查看任务序列

点击 Task Sequence 可以查看模板的部署流程

Initialization

初始化阶段，主要动作是在 WinPE 环境中收集本地硬件信息

Validation

验证阶段，主要动作是检查系统内存和处理器是否满足部署要求

State Capture

状态捕获阶段，主要动作是捕获系统用户的配置文件、我的文档、桌面文件、浏览器书签和应用程序等个性化配置数据，需要搭配 USMT 工具使用

Preinstall

预安装阶段，主要动作有磁盘分区，复制脚本和驱动文件到 WinPE 环境中

Install

安装阶段，主要动作是安装操作系统

Postinstall

安装后阶段，主要动作有复制脚本到本地，更新应答文件，复制驱动文件到目标系统 Drivers 目录

State Restore

状态恢复阶段，主要动作是在新系统中还原之前捕获的用户配置和文档数据

当前测试环境仅使用默认模板配置，不更改任何选项

Task Sequences 配置是整个部署环节中最复杂的一环，无法通过一篇简单的文章对其详细说明，如果想深入了解，还请自行查看官方文档

微软官方文档：https://learn.microsoft.com/en-us/mem/configmgr/mdt/task-sequence-steps

Advanced Configuration：高级配置，Selection Profiles 可以自定义配置文件，例如驱动和应用程序匹配。Linked Deployment Shares 可以将多个独立的 Deployment Share 链接起来，实现多站点协同部署。Media 主要是生成离线部署 ISO 镜像，可以刻录到 U 盘，用于客户端离线安装。Database 可以配置数据库信息，可配合数据库实现动态配置，例如自动化命名、不同地区走不一样的部署流程等

目前环境不作测试

Monitoring：实时监控客户端部署进度，需要在 MDT Deployment Share 属性中启用

# 生成引导镜像文件

当所有的设置都配置好，此时我们便可以生成一个引导镜像文件

点击 MDT Deployment Share 目录，右键菜单选择 Update Deployment Share , 默认更新即可

更新完成后，系统会自动在 DeploymentShare\Boot 目录下创建对应的引导镜像文件

到此 MDT 的配置就完成了

# WDS 安装

接下来，我们安装 WDS 服务，用于发布引导镜像

打开添加角色和功能向导，勾选 Windows部署服务

角色服务默认勾选

完成后点击关闭

在服务器管理器中打开 Windows 部署服务管理控制台

右键菜单选择配置服务器

安装选择选择与 Active Directory 集成

远程安装文件夹的位置我这个选择 D 盘

PXE 服务器初始设置选择响应所有客户端计算机

完成时请取消勾选立即向服务器中添加映像

展开服务器目录，选择启动映像，右键菜单选择添加启动映像

映像文件选择前面 MDT 生成的引导镜像

映像元数据可以更改名称和说明

后面一直下一步直至完成即可

此时，同网段中的客户端可以通过 PXE 启动引导该镜像

# 客户端测试

在同网段中找一台客户端，开机选择网络引导

如果网络正常，可以看到客户端获取到的 DHCP 信息，按回车确认

此时客户端便会从网络加载 WinPE

WinPE 加载完后，选择运行部署向导

输入访问 MDT 服务器共享的用户名和密码

选择任务序列

设置计算机名和加域信息

应用程序选择前面配置好的微信

最后点击 Begin 开始整个部署流程

部署结束后，可以看到微信已经安装，系统也已经加好域，也没有任何报错，到此整个部署流程结束

# MDT 部署优化

在进入 WinPE 环境中，有几个地方是需要和用户交互的，如果希望自动化执行，我们可以通过更改 MDT服务器 的 Bootstrap.ini 和 CustomSettings.ini 这两个配置文件实现自动化部署

这两个配置文件在 DeploymentShare\Control 目录下

Bootstrap.ini

	[Settings]
	Priority=Default

	[Default]
	DeployRoot=\\MDT_SERVER\DeploymentShare$

	; 配置连接共享的用户名、密码、域信息
	UserID=mdt_user
	UserPassword=Password
	UserDomain=mdt.cn

	; 配置部署日志的远程存储路径
	SLShare=\\192.168.10.11\Logs
	SLshareDynamicLogging=\\192.168.10.11\Logs\%ComputerName%

CustomSettings.ini

	[Settings]
	Priority=Default
	Properties=MyCustomProperty

	[Default]
	OSInstall=Y
	SkipCapture=YES
	SkipAdminPassword=YES
	SkipProductKey=YES
	SkipComputerBackup=YES
	SkipBitLocker=YES
	EventService=http://MDT_Server:9800

	; 跳过任务序列选择，并指定默认选择的任务序列 ID
	SkipTaskSequence=YES
	TaskSequenceID=1

	; 跳过计算机名设置，配置固定前缀和 MAC 地址开头 2 位以及主板序列号后 2 位生成计算机名
	SkipComputerName=YES
	OSDComputerName=MDT#Left("%MACAddress%",2)##Right("%SerialNumber%",2)#

	; 跳过加域设置
	SkipDomainMembership=YES
	JoinDomain=MDT.cn
	DomainAdmin=mdt_user
	DomainAdminPassword=Password
	DomainAdminDomain=MDT

	; 跳过用户数据迁移和恢复
	SkipCapture=YES
	SkipUserData=YES
	UserDataLocation=NONE

	; 跳过语言和时区设置
	SkipLocaleSelection=YES
	UserLocale=en-US
	UILanguage=zh-CN
	SkipTimeZone=YES
	TimeZoneName=China Standard Time

	; 跳过安装应用程序选择，指定需要安装的程序包 GUID，安装多个则指定多个，例如 Applications1，Applications2，Applications3
	SkipApplications=YES
	Applications1={d586e387-032b-4af3-ae4e-9bbaecbc7b5d}

	; 跳过部署向导最后一步
	SkipSummary=YES

下面简单介绍一下这两个文件的作用：

配置文件名	作用	加载时机	常用配置
Bootstrap.ini	用于初始化部署环境	WinPE 启动阶段加载	访问 MDT 网络共享和认证，部署日志远程存储，静态 IP 地址等
CustomSettings.ini	用于定义部署规则	在 Bootstrap.ini 之后，通过网络共享加载	自动选择任务序列，动态生成计算机名，设置时区等

需要注意的是， Bootstrap.ini 配置文件是保存在镜像根目录 Deploy\Scripts 下，每次更改 Bootstrap.ini 配置后，我们需要在 MTD 控制台中更新 MDT Deployment Share 配置，更新完后还需要在 WDS 控制台的启动映像中替换成最新的引导镜像

CustomSettings.ini 配置是通过网络共享加载的，更改不需要更新镜像，保存文件即可马上测试

Powershell引导本地WinPE

Wed, 20 Nov 2024 01:01:00 +0800

# 场景描述

用户电脑在启用 bitlocker 的情况下， winpe 下重装系统无法格式系统分区，需要先解锁 bitlocker 后重启再进入 winpe 操作
部分用户对 BIOS 设置不熟悉，无法自己设置从网络引导 winpe ，需要创建一个程序或脚本，让用户双击运行实现自动重启后从网络加载 winpe

# 思路

解锁 bitlocker 这个问题相对简单，但是如何让电脑重启并从网络引导这步我不知道如何实现，用户电脑大部分是双网卡的，正常手动从网络启动都要选中对应的网卡才能正常从网络加载 winpe , 这个程序或脚本要如何判断从哪个网卡引导？

ivanti 的操作部署模板中有个 vboot 的功能，这个功能刚好可以满足用户的需求，但是这个功能是需要在客户端上安装 ivanti 的代理才能实现，用户这边已经明确了客户端不会安装 ivanti 的代理，所以这条路走不通

我在官网上搜索过 vboot 这个关键字，并没有找到相关文档描述该功能的具体介绍和实现方法，无奈只好另辟他路

这个问题困扰了我很久，直到今天我的一台 windows 虚拟机系统盘满了，我又不想重装系统，我就想简单的扩展虚拟机磁盘，我在虚拟机中将这个系统盘从 60G 扩展到了 150G, 想着通过扩展卷的方式扩展即可

没想到磁盘末尾有个恢复分区，导致无法直接扩展后面加进来的 90G 空间

于是我下载了傲梅分区助手，打算用该工具给系统盘进行扩展

提交后提示需要进入 WinPE 模式下操作

点击确定后，提示程序正在创建 WinPE

进度条完成后系统自动重启进入 WinPE , 执行后续的分区合并操作

我惊了，这个不就是我想要的功能吗！！！

傲梅一下就打开了我的思路，我非常确定傲梅是在本地创建了 WinPE 镜像文件，并通过重启引导进入 WinPE ，既然无法从网卡引导，那从本地引导也不是不行

我虽然不知道如何从本地引导镜像文件，但是我知道要从本地引导，就必须添加 BCD 启动项，傲梅肯定也是这样实现的，于是我从网上下载了 bootice 这个小工具，查看系统当前 BCD 文件，成功验证了自己的猜想

可以看到傲梅添加的 BCD 启动项和参数，剩下的就简单了

# 脚本实现

	# 禁用 bitlocker
	$encryptionStatus = (Get-BitLockerVolume).ProtectionStatus
	if ($encryptionStatus -eq 'On') {
	manage-bde.exe -protectors -disable c: -rebootcount 0
	}

	# 正则匹配 ID
	$IDPattern = '\{([A-Fa-f0-9-]+)\}'
	$output1 = bcdedit /create /device
	$deviceID = [regex]::Match($output1, $IDPattern).Groups[0].Value
	$output2 = bcdedit /create /d "ivanti winpe" /application OSLOADER
	$ApplicationID = [regex]::Match($output2, $IDPattern).Groups[0].Value

	# winpe 文件路径
	$device = "D:"
	$SDIPath = "\winpe\Boot\boot.sdi"
	$WIMPath = "\winpe\Boot\boot_x64.wim"

	# 添加启动项
	bcdedit /set $deviceID ramdisksdidevice partition=$device
	bcdedit /set $deviceID ramdisksdipath $SDIPath
	bcdedit /set $ApplicationID device ramdisk=[$device]$WIMPath,$deviceID
	bcdedit /set $ApplicationID path \windows\system32\boot\winload.efi
	bcdedit /set $ApplicationID osdevice ramdisk=[$device]$WIMPath,$deviceID
	bcdedit /set $ApplicationID systemroot \windows
	bcdedit /set $ApplicationID winpe yes
	bcdedit /set $ApplicationID detecthal yes
	bcdedit /bootsequence $ApplicationID

	# 重启计算机
	Restart-Computer -Force

根据客户端地址找指定服务器下载

Sun, 06 Oct 2024 22:10:00 +0800

之前有帮一个用户写过一个操作系统部署部署时下载的脚本，客户当时的需求是根据不同的客户端网段，找指定的服务器下载对应的镜像文件和软件包，当时用户给的客户端网段都是 C段 ，由于 WinPE 中 powershell 有部分命令不支持，为了偷懒测试，我就直接用批处理写了个脚本，写得比较粗糙，还请大佬别笑话

脚本主要是判断客户端 IP地址 的前 3 段，再根据客户端的网络段找指定的服务器下载

	@echo off
	setlocal enabledelayedexpansion

	set sys=win10

	set s1=192.168.37.12
	set s2=192.168.37.13
	set s3=192.168.37.14
	set s4=192.168.37.15
	set s5=192.168.37.16
	set s6=192.168.37.17
	set s7=192.168.37.18
	set s8=192.168.34.253

	REM 定义设备型号
	for /f "skip=1 tokens=*" %%a in ('wmic computersystem get model') do (
	set "model=%%a"
	goto :afterloop
	)

	:afterloop
	set "model=%model: =%"

	REM 定义网段列表
	set "group1=192.168.134 192.168.142 192.168.150 192.168.158 192.168.166 192.168.174 192.168.182 192.168.190 192.168.128 192.168.136 192.168.144 192.168.152 192.168.161 192.168.169 192.168.177 192.168.196 192.168.204 192.168.212 192.168.220"
	set "group2=192.168.135 192.168.143 192.168.151 192.168.159 192.168.167 192.168.175 192.168.183 192.168.191 192.168.129 192.168.137 192.168.145 192.168.153 192.168.162 192.168.170 192.168.178 192.168.197 192.168.205 192.168.213 192.168.221"
	set "group3=192.168.136 192.168.144 192.168.152 192.168.160 192.168.168 192.168.176 192.168.184 192.168.130 192.168.138 192.168.146 192.168.155 192.168.163 192.168.171 192.168.179 192.168.198 192.168.206 192.168.214 192.168.222"
	set "group4=192.168.137 192.168.145 192.168.153 192.168.161 192.168.169 192.168.177 192.168.185 192.168.131 192.168.139 192.168.147 192.168.156 192.168.164 192.168.172 192.168.180 192.168.199 192.168.207 192.168.215 192.168.223"
	set "group5=192.168.138 192.168.146 192.168.154 192.168.162 192.168.170 192.168.178 192.168.186 192.168.132 192.168.140 192.168.148 192.168.157 192.168.165 192.168.173 192.168.181 192.168.200 192.168.208 192.168.216"
	set "group6=192.168.139 192.168.147 192.168.155 192.168.163 192.168.171 192.168.179 192.168.187 192.168.133 192.168.133 192.168.141 192.168.149 192.168.158 192.168.166 192.168.174 192.168.182 192.168.201 192.168.209 192.168.217"
	set "group7=192.168.140 192.168.148 192.168.156 192.168.164 192.168.172 192.168.180 192.168.188 192.168.134 192.168.142 192.168.150 192.168.159 192.168.167 192.168.175 192.168.183 192.168.202 192.168.210 192.168.218"
	set "group8=192.168.141 192.168.149 192.168.157 192.168.165 192.168.173 192.168.181 192.168.189 192.168.132 192.168.135 192.168.143 192.168.151 192.168.160 192.168.168 192.168.176 192.168.203 192.168.211 192.168.219"

	REM 获取当前IP地址
	for /f "tokens=2 delims=:" %%a in ('ipconfig ^\| findstr /c:"IPv4"') do (
	set "ip=%%a"
	set "ip=!ip:~1!"
	set "ip=!ip:%% %%=!"
	goto :CheckIP
	)

	:CheckIP
	REM 拆分IP地址
	for /f "tokens=1-4 delims=." %%a in ("%ip%") do (
	set octet1=%%a
	set octet2=%%b
	set octet3=%%c
	set octet4=%%d
	)

	REM 根据IP地址匹配网段和服务器
	set server=
	for %%g in (group1 group2 group3 group4 group5 group6 group7 group8 group9) do (
	for %%h in (!%%g!) do (
	if "%octet1%.%octet2%.%octet3%"=="%%h" (
	set "group_num=%%g"
	set "group_num=!group_num:group=!"
	call set "server=%%s!group_num!%%"
	goto :DownloadFile
	)
	)
	)

	x:\windows\system32\WindowsPowerShell\v1.0\powershell.exe -c "Add-Type -AssemblyName System.Windows.Forms; [System.Windows.Forms.MessageBox]::Show('Unable to find a file server matching your current network. Please contact the IT administrator and try again!')"
	shutdown -s -t 05

	:DownloadFile
	echo Downloading from server !server!...
	wget http://!server!/share/Script/UserAuth.ps1 -O x:\UserAuth.ps1
	wget http://!server!/share/Script/InstallINF.ps1 -O x:\InstallINF.ps1
	wget http://!server!/share/Script/ComputerName.ps1 -O x:\ComputerName.ps1
	wget http://!server!/share/Script/PupopWindow.ps1 -O x:\PupopWindow.ps1
	wget "http://!server!/share/drivers/!sys!/!model!.zip" -O c:\driver.zip
	wget http://!server!/share/OS/!sys!/!sys!.wim -O c:\install.wim
	wget http://!server!/share/Software\QAXInstall.exe -O c:\QAXInstall.exe
	wget http://!server!/share/Script/DomainAuto.ps1 -O c:\DomainAuto.ps1
	endlocal

前段时间用户说现在需求有变动，其它地区的客户端网段是 B段 ，如果按照之前的脚本，一个 B段 有几百个 C段 ，添加起来费人

听了用户的需求，我明白之前的批处理确实不太好处理这个问题，无奈只好重新研究用 powershell 来解决新的需求

我的想法很简单，由于 B段 都是连续的，我就想着将 IP地址 转换成 十进制 ，然后根据范围判断找指定的服务器下载，这应该比判断 IP段 要简单多了吧

	$ipConfig = ipconfig \| Where-Object {$_ -match 'IPv4' } \| ForEach-Object { ($_ -split ":")[1].Trim() }
	Write-Host "Current IP: $ipConfig"

	function Convert-IPToDecimal {
	param ($ip)
	$octets = $ip -split '\.'
	return ([int]$octets[0] * 16777216) + ([int]$octets[1] * 65536) + ([int]$octets[2] * 256) + ([int]$octets[3])

	}

	$ipDecimal = Convert-IPToDecimal -ip $ipConfig
	Write-Host "Current IP in decimal: $ipDecimal"

	$ipRanges = @(
	@{ Start = 3221883393; End = 3221946366; Server = '192.10.0.1' },
	@{ Start = 3222067201; End = 3222130174; Server = '192.20.0.1' },
	@{ Start = 3232256001; End = 3232256254; Server = '192.168.80.1' }
	)

	$serverFound = $false
	foreach ($range in $ipRanges) {
	if ($ipDecimal -ge $range.Start -and $ipDecimal -le $range.End) {
	$serverIP = $range.Server
	$serverFound = $true
	break
	}
	}


	if ($serverFound) {
	Write-Host "Matched server: $serverIP"
	wget "http://$serverIP/share/Script/UserAuth.ps1" -O "C:\UserAuth.ps1"
	wget "http://$serverIP/share/Script/InstallINF.ps1" -O "C:\InstallINF.ps1"
	wget "http://$serverIP/share/Script/ComputerName.ps1" -O "C:\ComputerName.ps1"
	wget "http://$serverIP/share/Script/PupopWindow.ps1" -O "C:\PupopWindow.ps1"
	wget "http://$serverIP/share/drivers/win10/model.zip" -O "C:\driver.zip"
	wget "http://$serverIP/share/OS/win10/install.wim" -O "C:\install.wim"
	wget "http://$serverIP/share/Software/QAXInstall.exe" -O "C:\QAXInstall.exe"
	wget "http://$serverIP/share/Script/DomainAuto.ps1" -O "C:\DomainAuto.ps1"
	exit 0
	}

	Add-Type -AssemblyName System.Windows.Forms
	[System.Windows.Forms.MessageBox]::Show('Unable to find a file server matching your current network. Please contact the IT administrator and try again!')
	exit 1

老实说，虽然这个脚本并没有什么技术含量，但是我觉得还是分享一下吧，我相信并不是所有人都知道 IP地址 是可以通过 十进制 来访问的，我也是以前打 CTF 的时候才接触到，应该算是比较冷门的知识吧

waline踩坑日志

Mon, 16 Sep 2024 18:03:00 +0800

上次更换云服务器重新部署 shokax , 在使用 waline评论系统 后一直有几个问题我没有处理，今天抽时间研究了一下，把所有的问题都解决了，记录一下，希望可以帮到有相同问题的小伙伴

# 阅读次数不显示

在上一篇 ShokaX 搭建教程文章中我有吐槽过，本地的数据库中 wl_Counter 明明有记录阅读次数，但是文章中阅读次数总是显示为 0，通过查看网页源码可以看到 data-path 的路径值是没有经过 URL编码 的，而数据库中的 url 的值则是经过 URL编码 的，所以导致路径不一致而不显示阅读次数

通过查找得知 Shokax 目录下生成 data-path 这段代码的文件为 node_modules/.store/hexo-theme-shokax@0.4.11/node_modules/hexo-theme-shokax/layout/_partials/post/footer.pug 中的第七行代码

编辑该文件，用 encodeURI() 将 prerixedPath 的值进行 URL编码 即可

- var prefixedPath = encodeURI(post.path.startsWith('/') ? post.path : '/' + post.path)

更改完后，执行 hexo g 重新生成网站静态文件，把目录发布到云服务器的 web服务器 根目录，重新查看文档源码，可以看到 data-path 的值跟数据库的 url 值保持一致了，文章中的阅读次数也能够正常显示了

# 评论通知

评论通知我这边选择了微信和邮箱这两种方式，微信是通过公众号 方糖 (原 Server 醬) 订阅通知，先在微信添加 方糖 公众号并注册

# Server 醬

在云服务器的 waline 根目录下，编辑 .env 环境变量文件，添加以下信息

	SECURE_DOMAINS=xxx.xxx #你的域名
	NOTIFY=true #启用通知
	NOTIFY_MODE=serverchan #通知方式为 serverchan
	SC_KEY=xxxx #Server 醬的安全密钥
	AUTHOR_EMAIL=xxx@xxx.com #你的邮箱，此邮箱的回复不会收到推送通知
	SITE_NAME=xxx #网站名称
	SITE_URL=https://xxx.xxx #你的域名

添加完后保存，执行 cnpm run restart 重启 waline 服务，配置正常此时公众号可以收到一条测试信息

# 邮箱通知

添加邮箱通知，编辑 waline 根目录下的 .env 环境变量文件，这里以 QQ 邮箱为例，添加以下内容

	SMTP_SERVICE=QQ
	SMTP_USER=xxx@qq.com #发信用 QQ 邮箱
	SMTP_PASS=xxxxx #SMTP 授权密钥
	SMTP_SECURE=SSL
	AUTHOR_EMAIL=xxx@xxx.com #接收通知的邮箱地址

# 同时使用邮箱和其他应用同时通知

正常情况下， waline 不支持邮箱和其他应用程序同时通知，如果你希望邮箱和其他通知方式一起同时使用的话，需要在云服务器上修改 waline根目录下.node_modules/.store/@waline+vercel@1.32.1/node_modules/@waline/vercel/src/service/notify.js 文件

找到以下代码

	if (
	[wechat, qq, telegram, qywxAmWechat, pushplus, discord, lark].every(
	think.isEmpty,
	)
	) {
	mailList.push({ to: AUTHOR, title, content });
	}
	}

如果你想同时使用邮箱和其他应用的通知方式，则删除数组中对应的应用程序名称，例如微信 (wechat)，然后保存重启 waline 服务即可

我目前遇到的就这几个问题，如果大家在使用中遇到其它问题，欢迎留言一起讨论

ShokaX搭建教程

Fri, 16 Aug 2024 14:02:00 +0800

之前的服务器到期了，续费有点贵，摸了摸口袋，发现口袋已经穿了个大洞，就不打算续费了 -_-

无奈只好注册一个新的云服务器平台账户，薅一下新用户羊毛，先短期过渡一下吧

刚好前段时间也经常有小伙伴问我这个博客是怎么搭建的，我就顺便把这次搭建部署的过程记录一下，感兴趣的小伙伴也可以自己尝试搭建一个

这里先声明一下，我之前的博客是用 Hexo 搭建的，用的是 Shoka 这个主题，但是这个主题的作者因学业和工作的原因已经停更很久了，导致该项目存在许多 bug 和兼容性问题无人处理，本人已经不推荐大家继续使用 Shoka 了

这次我会以 ShokaX 作为主题， ShokaX 是基于 Shoka 的二次开发项目，该项目成立的目的就是为了解决 Shoka 遗留下来的问题，下面是 ShokaX 的官方简介

想了解更多关于 ShokaX 的信息，请跳转到官方主页:https://docs.kaitaku.xyz

# 前期准备

一台本地客户端（Windows、Linux、MaxOS 均可）
一台公网的云服务器
一个公网域名（需要备案）
云服务器的操作系统并不是很重要， windows 和 linux 都可以，但是推荐使用 linux , 我这边的云服务器和客户端均以 ubuntu 22.04 作为本次演示的操作系统平台

下面简单说一下我们需要在客户端和云服务器都需要安装哪些应用服务

设备类型	操作系统	安装服务	服务说明
客户端	Ubuntu	nodejs,shokax	用于本地运行博客框架
云服务器	Ubuntu	nginx,mariadb,nodejs,waline	安装 web 服务器和 waline 评论系统

# 客户端

# 安装 nodejs

首先，在自己的电脑上安装 Node.js 运行环境，通过浏览器访问官网 https://nodejs.org , 点击下载 Node.js

下载完后解压文件，解压路径没有要求，例如我这里是解压到 /opt 目录下

sudo tar xvf node-v20.16.0-linux-x64.tar.xz -C /opt/

添加环境变量使其生效，编辑家目录下的 .bashrc 文件

vi ~/.bashrc
PATH=/opt/node-v20.16.0-linux-x64/bin/:$PATH #在文件末尾加上这条路径使 nodejs 生效

source ~/.bashrc #重新加载 bash 配置
node -v #查看 nodejs 版本信息，如果提示找不到 node 命令，表示环境变量没有生效或者你的 node 路径不对

看到命令能够正常执行，那么 nodejs 的安装和配置就结束了

如果你是 windows 或 MacOS 用户，请不必太过于担心，下载安装我相信你们是没有问题的，至于添加环境变量的话，自己到百度上搜一下就有很多教程了，问题不大

# 安装 hexo 和 cnpm

nodejs 安装完后，我们就可以使用 npm 包管理工具了，首先安装 hexo 博客框架

npm install -g hexo-cli #安装 hexo 命令行管理工具

由于 npm 下载都是走海外的源，下载灰常慢，这里我们安装一下淘宝团队开发的 cnpm 来取代 npm

npm install cnpm -g #安装 cnpm
cnpm config set registry https://registry.npmmirror.com/ #将 cnpm 源换成国内的淘宝源
cnpm config get registry #查看当前的 cnpm 源

# 安装 ShokaX

git clone https://github.com/theme-shoka-x/shokax-can --depth=1

克隆项目到本地，如果你的电脑没有安装 git，还请先安装 git

cd shokax-can && cnpm install

切换到项目目录并执行初始化操作

hexo s # 启动 hexo

启动后，打开浏览器访问 http://localhost:4000

可以看到我们本地的博客就搭建好了，是不是觉得灰常简单

后面我们把本地生成的博客目录 public 拷贝到云服务器，用 nginx 发布，这样大家都可以通过互联网访问到我们的博客了

# 云服务器

# Nginx

远程到我们的云服务器，安装 nginx 服务

apt install nginx -y # 安装 nginx
systemctl enable nginx # 将 nginx 设置开机自启动
mkdir /etc/nginx/cert # 创建数字证书存放目录，请将你的域名证书拷贝到这个目录

vi /etc/nginx/conf.d/www.conf # 创建 SSL 配置

	server {
	listen 80;
	listen 443 ssl http2;
	server_name keeponline.cn;
	root /home/git/blog;

	if ($server_port !~ 443){
	rewrite ^(/.*)$ https://$host$1 permanent;
	}

	# SSL setting
	ssl_certificate cert/www.keeponline.cn.pem;
	ssl_certificate_key cert/www.keeponline.cn.key;
	ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;
	ssl_ciphers EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;
	ssl_prefer_server_ciphers on;
	ssl_session_cache shared:SSL:10m;
	ssl_session_timeout 10m;
	add_header Strict-Transport-Security "max-age=31536000";

	# ShokaX Blog Location
	location / {
	try_files $uri $uri/ /index.html;
	}

	# Waline Comment System Location
	location /waline/ {
	proxy_pass http://127.0.0.1:8360/;
	proxy_set_header Host $host;
	proxy_set_header X-Real-IP $remote_addr;
	proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
	proxy_set_header X-Forwarded-Proto $scheme;
	proxy_set_header REMOTE-HOST $remote_addr;
	add_header X-Cache $upstream_cache_status;
	add_header Cache-Control no-cache;
	expires 1h;

	}

	location /api/ {
	proxy_pass http://127.0.0.1:8360/;
	proxy_set_header Host $host;
	proxy_set_header X-Real-IP $remote_addr;
	proxy_set_header X-Fprwarded-For $proxy_add_x_forwarded_for;
	proxy_set_header X-Forwarded-Proto $scheme;
	proxy_set_header REMOTE-HOST $remote_addr;
	add_header XCache $upstream_cache_status;
	add_header Cache-Control no-cache;
	expires 1h;
	}
	}

systemctl restart nginx # 重启 Nginx 服务，没有报错则说明配置没问题
在云服务器安全组放行 tcp80、443 端口
在浏览器中访问自己的域名，看看证书是否生效

到此，云服务器已经配置完毕，后续只需要在客户端上将 shokax-can\public 目录下的所有文件拷贝到云服务器的 web根目录 即可 (默认是 /usr/share/nginx/html/)

# 推送测试

回到本地客户端，进入 shokax-can 根目录，执行 hexo g 生成网站静态文件，所有网站静态文件存放在 shokax-can\public 目录下

这里可以看到执行 hexo g 后有许多警告，我们暂时可以忽略这些警告，我会在后面告诉大家如何处理这些警告

使用 rsync 命令将 shokax-can\public 目录下的静态文件全部同步到云服务器的 /usr/share/nginx/html/ 目录下即可

sudo rsync -avz public/* root@keeponline.cn:/usr/share/nginx/html/

同步完后，在浏览器上重新访问我们的域名，应该就可以看到我们的博客内容了

后续我们只需要在本地客户端上编辑博客内容，编辑好后进入 shokax-can 根目录，执行 hexo g 生成网站静态文件，然后执行 sudo rsync -avz public/* root@YourDomain:/usr/share/nginx/html/ 这条命令，将新的内容同步到云服务器即可

# hexo 插件与优化

我们已经在客户端上搭建好 hexo 博客和 ShokaX 主题，后续我们只需要在本地客户端上编辑博客内容，编辑好后进入 shokax-can 根目录，执行 hexo g 重新生成网站静态文件，然后执行 sudo rsync -avz public/* root@YourDomain:/usr/share/nginx/html/ 这条命令，便可将新的内容同步到云服务器的 Web 根目录下

这里简单说几个 hexo 常用的命令，执行以下 hexo 命令必须确保我们在博客的根目录 (即 shokax-can)，否则命令会报错

hexo s # 启动本地博客，启动后可在本来浏览器访问博客内容
hexo g # 生成网站静态文件，用于 web 服务器发布
hexo cl # 清除本地生成的静态文件
hexo algolia # 将博客中的内容（如文章标题、内容、标签等）上传到 Algolia 搜索引擎，并生成一个索引
我们暂时只需要记住这 4 个参数就可以

想了解更多 hexo 的信息，请查看官网文档:https://hexo.io/zh-cn/docs/

# hexo-admin

我们搭建好博客之后，想要管理我们博客的内容，最简单的方法就是安装一个 hexo-admin 插件，这样我们就可以通过浏览器增删改我们的博客内容

首先切换到博客的根目录，输入下面命令开始安装 hexo-admin 插件

cnpm install hexo-admin --save # 安装 hexo-admin 管理插件

安装完后，执行 hexo s 启动本地博客，在浏览器中通过 localhost:4000/admin/ 访问管理地址

Posts 可以增删改博客文章内容
Pages 可以创建博客其它页面，例如关于我、404 页面等
Settings 可以设置该管理页面需要账号密码验证后才能访问，点击 Setup authentification here 进入设置页面

填写你的账号密码，然后复制下面配置信息，添加到博客根目录的 _config.yml 文件中即可

添加完毕后，重新启动项目，访问管理平台就会要求输入账号密码登陆了

# 告警排查

在我们启动 hexo 项目的时，可以看到有许多告警信息，我们一个一个解决

Prism's Diff Highlight plugin requires the Diff language definition (prism-diff.js).Make sure the language definition is loaded or use Prism's Autoloader plugin.

这是一个语法高亮插件的告警，大致意思是：我们的博客正在使用 Prism 的 Diff Highlight 插件，但是缺少必要的 prism-diff.js 文件，这个问题我尝试过在 JS 目录中添加 prism-diff.js 文件，也尝试过加入 Autoloader 插件，但是依然报警，知识盲区处理不了

反正目前博客的语法高亮功能是正常的，既然无法从给出的提示解决问题，那么就把这个告警干掉吧，进入博客根目录，打开 prism-diff-highlight.js 文件

vi node_modules/.store/prismjs@1.29.0/node_modules/prismjs/plugins/diff-highlight/prism-diff-highlight.js
把告警代码注释掉即可

WARN [SXEC 201] Essential information(title, desc, lang, etc) config incorrectly, Page will render incorrectly

WARN The environment check found some problems that can lead to rendering errors, effect errors,

performance degradation, not working correctly, etc

WARN ShokaX has output them into console, read them to get more information. You can search error code in docs(For example, SXEC 101)

根据报错信息找到对应的检测脚本，可以看到这个报错原因是配置文件中信息不完善导致告警

编辑博客根目录下的 _config.yml 文件，完善下面这 5 个信息即可

更改任何配置文件之前都要先备份，避免修改错了导致服务无法启动

sinaimg blocked all request from outside website,so don't use this format
从报错信息来看，这个是新浪图床禁止外部网站的访问

解决的方法也很简单，反正我们都有自己的云服务器了，建议将图片资源放在自己的云服务器上，删除主题中所有的外部图床链接，替换成本地的图片资源链接

ShokaX 主题目录默认在博客根目录下的 node_modules/hexo-theme-shokax , 建议创建一个软链接到 themes 目录下，方便以后管理

cd themes && ln -s ../node_modules/hexo-theme-shokax shokax
编辑主题目录下的 _images.yml 文件

删除所有内容，添加自己的图片链接，把需要同步到云服务器的资源到 shokax-can 根目录下的 source 目录，这样每当我们执行 hexo g 的时候，这些资源就会再 public 目录下生成

例如我将图片放在 source\images 下，同步到云服务器后就可以通过 https://xxx/images/xxx.jpg 访问对应的资源。这样我们就可以把地址改成自己的云服务器地址

需要注意，所有的链接前面都有一个减号和空格！！！

# 添加搜索功能

到 algolia 官网注册一个账号 https://www.algolia.com/
登陆 algolia, 依次点击 Search - Index - New - Index, 填写 Index name （建议填写 shokaX）

创建完毕后，点击左下角的 Settings - API Keys 查看你的 API Keys, 记录 appId、apiKey、adminApiKey 这三个信息
编辑博客根目录下的 _config.yml 文件，在末尾加入以下内容

	algolia:
	appId: #Your appId
	apiKey: #Your apiKey
	adminApiKey: #Your adminApiKey
	chunkSize: 5000
	indexName: "shokaX"
	fields:
	- title #必须配置
	- path #必须配置
	- categories #推荐配置
	- content:strip:truncate,0,2000
	- gallery
	- photos
	- tags

添加后保存关闭文件，在博客根目录下执行 hexo algolia 便可以将博客的内容生成索引用于搜索

# 添加评论功能

我之前博客用的评论插件是 Valine ，很可惜 ShokaX 已经明确说明不会支持 Valine ，导致我之前博客上的评论无法迁移过来

不重要了，反正有原始数据，等自己有能力的时候再研究

本次 ShokaX 官网推荐的评论系统主要有两个， waline 和 twikoo , 我这里选择的是 waline , 部署 waline 有 N 种方式，但是我们已经有属于自己的云服务器了，所以我选择了独立部署

# waline 独立部署

云服务器需要提前安装好 nodejs 和 cnpm , 安装方法前面已经介绍过了，这里不多赘述

apt install mariadb-server -y # 安装 mariadb 数据库
systemctl enable mariadb # 设置开机自启动
mysql_secure_installation # 初始化数据库
git clone https://github.com/loclink/waline-service.git # 拉取 waline 仓库
cd waline-service && cnpm install # 进入项目目录并安装依赖
cnpm run init:env # 初始化环境变量并生成.env 文件
vi .env # 编辑环境变量文件，添加数据库连接信息

cnpm run init:db # 初始化数据库
cnpm run start # 启动项目
在客户端博客根目录编辑 _config.shokax.yml 文件，添加以下内容

	waline:
	enable: true # 是否启用
	serverURL: "" # waline 服务端地址，https://YourDomain/waline
	lang: "zh-CN" # 评论界面语言
	locale: {} # 本地化替换，详见 waline 文档
	emoji: # 表情包，默认为 waline 官方配置
	- https://unpkg.com/@waline/emojis@1.0.1/weibo
	- https://unpkg.com/@waline/emojis@1.0.1/alus
	- https://unpkg.com/@waline/emojis@1.0.1/bilibili
	- https://unpkg.com/@waline/emojis@1.0.1/qq
	- https://unpkg.com/@waline/emojis@1.0.1/tieba
	- https://unpkg.com/@waline/emojis@1.0.1/tw-emoji
	meta: # 评论可以填写的项目
	- nick
	- mail
	- link
	requiredMeta: # 评论必须填写的项目
	- nick
	- mail
	wordLimit: 0 # 评论字数上限 (不建议为 0)
	pageSize: 10 # 每页显示评论条数
	pageview: true # 页面浏览量显示

执行 hexo cl && hexo g 后将用 Rsync 命令将 public 目录同步到云服务器的 web 根目录即可

waline 基本命令

cnpm run start # 启动
cnpm run stop # 停止
cnpm run log # 查看日志
cnpm run status # 查看运行状态

# 吐槽

有一说一，独立部署 waline 这块真的很多坑， serverURL 我看别人文档填的都是管理地址 http://xxx:8360 , 我也就照着填，本地启动 hexo 可以评论，但是部署到云服务器就不行

上网查了关于 blocked:mixed-content 的解释，大致意思是浏览器阻止了 https 站点请求非 https 的资源，这是一种安全机制，旨在防止内容劫持和其它安全问题

于是我就往 nginx 配置加了反向代理，重启 nginx 后反复测试结果依旧

我在这个地方真的卡了很久，找了很多 waline 的文档都没有这方面的具体说明，只知道大概是 serverURL 地址的问题

最后反复调教 GPT 才知道这个 serverURL 地址应该是填 https://xxx/waline , nginx 配置中 waline 的配置也需要修改成 location /waline/

目前 waline 还有几个问题我没有时间去研究，例如部分文章阅读次数总是显示为 0, 但是我在数据库中是可以看到统计次数的，就很奇怪

还有就是评论通知这些，等有空再研究，就先这样吧

PowerShell代码混淆

Sat, 06 Jul 2024 22:50:00 +0800

之前经常帮客户写一些需要特殊权限执行程序或者是访问指定资源的脚本，这种情况下，通常需要在脚本中包含敏感的账号信息或执行命令，这就存在很严重的敏感信息泄漏的风险

因此，我必须确保即使某些用户在拥有正常权限查看这些脚本的情况下，也无法正常获取到明文的账号信息或是敏感的操作

这里以一个简单的访问 Windows 共享的脚本作为加密混淆案例，我只演示混淆 $username 和 $password 这两行敏感数据，当然，你也可以针对整个脚本进行混淆，混淆的方法都是通用的，需要灵活搭配使用，1+1 远远大于 2

	# 定义共享路径、用户名和密码
	$sharePath = "\\192.168.80.129\ISO"
	$username = "bob"
	$password = "P@ssw0rd"

	# 将密码转换为安全字符串
	$securePassword = ConvertTo-SecureString $password -AsPlainText -Force

	# 创建凭据对象
	$credential = New-Object System.Management.Automation.PSCredential($username, $securePassword)

	# 使用凭据连接到共享
	New-PSDrive -Name "P" -PSProvider FileSystem -Root $sharePath -Credential $credential -Persist

目前 Powershell 网上出现混淆的方法有很多，我只简单介绍我自己比较常用的几种方式

# base64 编码

我看网上有很多人说 base64 是一种加密方式，实际上 base64 算不上加密，只是一种编码算法，并且该算法是公开可逆的，只能达到混淆的效果，任何情况下都不应该使用 base64 作为敏感数据的加密手段

在这个示例中，我们将需要用户名和密码的值转化成 base64 , 然后通过 [System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String 命令解码，即可正常执行脚本

# unicode 编码

unicode 编码需要在 powershell 6.0 以上版本才支持，将需要加密字符转化成 unicode ，用 "`u {unicode}" 便可以解码，由于 ISE 不支持 6.0 以上版本，所以我直接在命令行中演示

# ASCII 编码

ASCII 和 Unicode 的编码原理一样，只是 ASCII 默认使用的是十进制，而 Unicode 默认使用的是十六进制， ASCII 解码命令为 [char]ASCII ，例如字母 b 为 [char]98 , 如果需要解码多个字符，可以用 -join 加 ForEach-Object 将字符拼接

# 字符串拼接

我们将变量中的字符串拆分成 N 段，然后再对变量字符进行拼接，也可以起到混淆的效果，当然，最终还是要配合编码混淆，不然意义不大

另外还可以对字符进行替换和分割，字符串的操作方法可太多了，希望感兴趣的小伙伴自行百度，这里就不多叙说了

# 字母大小写和特殊字符混淆

在 Windows 操作系统中，通常命令行中的命令和以及操作系统中的文件名字母是不区分大小写的，还有一些具有特殊含义的符号，这些机制我们都可以利用起来混淆代码，从而增加代码阅读难度让别人不能一眼就看出我们代码的原貌

下面对一些特殊符号及其含义进行简单的说明，并以命令 Write-Host "hello" 为混淆示例，混淆后命令依然可以正常执行

符号名	作用	混淆示例
单引号 '	创建一个文字字符串，字符串中的内容以原样输出，不解析变量	`W'r'ite-'Host' "hello"`
调用操作符 &	用于运行命令或脚本	`&Write-Host "hello"`
反引号 `	反引号有多种用法，一般主要用于行续接和转义字符 `n`r`b`t`a`f`v, 其它没有特殊意义的字符系统会自动忽略反引号	Wr`it`e-H`ost "h`el`lo"
大括号 {}	{} 是脚本块，用于定义一段可以延迟执行或多次调用的代码，可以配合 & 执行脚本块中的命令	`&{Write-Host "hello"}`
空格	空格一般作为参数的分割副，正常情况下只需要一个空格，多个空格会系统会自动忽略	Write-Host "hello"
小括号 ()	小括号可以用于改变运算符优先级和参数传递，也可以用于创建子表达式	Write-Host ((("hello")))

基础的混淆方法就写这么多吧，我也不想浪费大家时间看这些没有太大意义的基础教程，毕竟现在开源的混淆脚本一大堆，不管是混淆的效果还是效率都远比自己动手要好

# Invoke-Obfuscation

Invoke-Obfuscation 是 Github 上的一个开源的 Powershell 加密混淆脚本，也是我目前最常用的加密混淆脚本

使用方法也灰常简单，下载项目压缩包到本地并解压，从终端命令行进入到解压目录

用 Import-Module 命令导入 Invoke-Obfuscation.psd1 脚本模块后，执行 Invoke-Obfuscation 便可使用

输入 tutorial 可以查看脚本使用说明

Invoke-Obfuscation 的混淆方式有很多，这里我只简单的介绍 ENCODING 的方法，还是以开头的脚本为例，加密 $username 和 $password 这两行敏感数据

	set scriptblock $username = "bob" # 设置你需要混淆的命令

	encoding # 混淆模式我这边选择 encoding

	4 # 选择二进制编码混淆

	copy # 复制混淆后的命令到剪切板

	set scriptblock $password = "P@ssw0rd" # 设置你需要混淆的命令

	encoding # 混淆模式我这边选择 encoding

	3 # 选择十进制编码混淆

	copy # 复制混淆后的命令到剪切板

最后看看执行效果吧

可以看到混淆后脚本依然可以正常执行，如果你想了解更多 Invoke-Obfuscation 的用法，可以到 github 查看源项目

Invoke-Obfuscation 项目地址:https://github.com/danielbohannon/Invoke-Obfuscation

写这篇文章的初衷并非是为了绕过某些安全防护，只是之前在工作上无法避免需要经常帮客户写一些相关的脚本，在这里分享一下自己的方法思路而已

PowerShell脚本问题

Mon, 03 Jun 2024 22:40:00 +0800

# 前言

最近在协助前东家实施一个 EPM 操作系统部署的项目，我主要帮忙编写相关自动化部署脚本，期间遇到两个比较有意思的脚本运行问题，在此记录一下，或许可以帮助到遇到同样问题的小伙伴

# invoke-webrequest 下载慢

其中有一个负责下载镜像和驱动的脚本文件，我是用了 iwr 来下载，但是在实际运行时发现下载不能跑满速，下载驱动和镜像需要花费一个多小时

老实说，我以前经常用 iwr 下载文件，并没有发现这个问题，是因为我以前用来下载的都是小文件，毕竟以前用这个命令比较多的地方还是无文件落地这方面，所以不会下载很大的文件

我开始怀疑是不是因为 iwr 命令的问题，但是后续我尝试了使用 wget 下载也一样慢

最后发现只需要将 $ProgressPreference 变量的默认值 Continue 更改成 SilentlyContinue 即可满速下载

本地测试一下更改前后的下载时间，下载一个 4G 左右的 win10 镜像，更改前用时 11 分钟

更改后，用时 18 秒

最终测试最优解是用 Start-BitsTransfer 命令下载大文件，下载速度要优于 iwr ，且不需要更改 $ProgressPreference 变量

按照微软文档的描述， $ProgressPreference 默认值为 Continue 时，脚本命令会在当前窗口生成一个进度栏，以描述运行中脚本状态

我不太明白如果仅仅是显示进度栏，应该不至于会导致下载速度变得如此之慢，具体的原因还是等以后自己有能力分析的时候再深入研究

参考文档: https://learn.microsoft.com/zh-cn/powershell/module/microsoft.powershell.core/about/about_preference_variables?view=powershell-7.4

# 在 32 位模式下运行 64 位应用

在安装完操作系统后，系统进入桌面后会自动调用安装驱动的脚本中，执行 pnputil 命令的时候返回 ObjectNotFound , 即使我指定绝对路径也不行

	# 指定备份驱动程序文件夹的路径
	$backupFolderPath = "c:\driver"

	# 获取备份文件夹中所有的 INF 文件
	$infFiles = Get-ChildItem -Path $backupFolderPath -Filter "*.inf" -File -Recurse

	# 遍历并安装每个 INF 文件
	foreach ($infFile in $infFiles) {
	# 安装驱动程序
	pnputil.exe /add-driver $infFile.FullName /install

	}

经过测试发现，EPM 模板默认调用的是 32 位的 powershell 执行脚本，所以才导致无法执行 64 位的 pnputil 命令，即使我写一个计划任务脚本，将这个安装驱动的脚本添加到计划任务中执行，结果也依然一样

最终只能更改脚本内容，通过 %windir%\Sysnative 虚拟目录让 32 位的 powershell 执行 64 位的 powershell 再调用 pnputil 命令安装驱动

	# 指定备份驱动程序文件夹的路径
	$backupFolderPath = "C:\driver\"

	# 获取备份文件夹中所有的 INF 文件
	$infFiles = Get-ChildItem -Path $backupFolderPath -Filter "*.inf" -File -Recurse

	# 构建要在 64 位 PowerShell 中运行的命令
	$commands = @()
	foreach ($infFile in $infFiles) {
	$commands += "pnputil.exe /add-driver `"$($infFile.FullName)`" /install"
	}

	# 将命令转换为字符串并以；进行分割
	$commandString = $commands -join "; "

	# 创建一个临时脚本文件来存储命令
	$tempScriptPath = [System.IO.Path]::GetTempFileName() + ".ps1"
	Set-Content -Path $tempScriptPath -Value $commandString

	# 使用 64 位 PowerShell 执行临时脚本
	$sysNativePath = "$env:windir\Sysnative\WindowsPowerShell\v1.0\powershell.exe"
	Start-Process -FilePath $sysNativePath -ArgumentList "-ExecutionPolicy Bypass -File `"$tempScriptPath`"" -Wait

	# 删除临时脚本文件
	Remove-Item -Path $tempScriptPath

参考文档: https://learn.microsoft.com/zh-cn/windows/win32/winprog64/file-system-redirector

Linux直播教程

Tue, 09 Apr 2024 14:02:00 +0800

最近闲着无聊经常刷 B 站看直播，我就想着自己能不能也弄一个直播间玩玩，老实说，我个人对直播是没有任何的兴趣的，只是单纯的想知道在 Linux 平台直播会遇到哪些困难

# 环境介绍

该教程的直播平台为 B 站，我自己的电脑目前安装的操作系统是 Ubuntu 22.04，为了验证 Linux 是否能够满足大多数人的直播需求，我会尽可能的给直播间添加各种常用插件和效果

另外，我自己还有一些数码设备，例如 Switch 和手机平板等，顺便一起测试是否能够进行外设主机的直播

为了录制某些 数码设备 的画面，那么就需要购买一个采集卡设备，但是市面上支持 Linux 的采集卡设备并不是很多，通过一段时间的摸索了解，我最终选择了免驱动安装的 九音九视 UX20 这个采集卡设备，这个采集卡有点小贵，心在滴血

如果是 Windows 的话，应该 200 块左右的采集卡就可以拿下了吧 ☹️

# 软件安装

废话不多说，下面直接安装软件吧

# OBS

首先安装推流软件 OBS

	sudo add-apt-repository ppa:obsproject/obs-studio
	sudo apt update
	sudo apt install ffmpeg obs-studio

安装完后运行 OBS 查看是否正常

# 采集卡硬件测试

OBS 运行正常，现在测试一下采集卡跟数码设备是否能正常工作，将采集卡连接好电脑和数码设备

Switch

在源中添加视频捕获设备

设备选择你的采集卡，如果设备连接正常的话，此时便可以看到 Switch 的画面

Apple TV

以同样的方式连接 Apple TV

Android

IPAD

IPAD 我并没有使用采集卡，因为我不想浪费钱购买一条数据线，我选择了安装 UXPLAY, 直接通过屏幕镜像投屏到电脑，然后在 OBS 上添加窗口捕获

iPhone

iPhone 和 IPAD 一样通过 UXPLAY 投屏

# Vtude Studio

这个人比较内向，并不打算露脸，所以我打算随便弄个数字人应付一下观众，这里我选择 Vtude Studi

Vtude Studi 是一个可以跟随网络摄像头和控制 Live2D 模型的软件，该软件可以通过 Steam 免费下载，首先安装大家最喜欢的 Steam 游戏平台

	wget https://cdn.cloudflare.steamstatic.com/client/installer/steam.deb
	sudo dpkg -i ./steam.deb

安装完后运行 Steam 进行更新，出现提示按回车或 Y 确定即可

整个更新过程大约 20 分钟左右，更新完后登陆 Steam ，搜索 Vtube Studio 并下载

下载完后，选中 Vtube Studio 右键菜单选择属性，在兼容性勾选强制使用 Steam Play 工具

Proton 是由 V 社 (Valve Corpotation) 基于开源 Wine 项目开发的一个分支项目，它允许原先仅在 Windows 操作系统上运行的游戏，不需要任何修改就能在 Linux 操作系统上运行

如果 Vtube Studio 没有运行报错，那么就可以进入正常显示的界面

# OpenSeeFace

如果你希望你的虚拟形象可以根据摄像头捕获自己的面容动作并追随（例如眨眼、说话、头部摆动），那么可以安装 OpenSeeFace 这个软件实现

首先安装 python 环境并克隆项目到本地

	sudo apt-get install python3 python3-pip python3-virtualenv git
	git clone https://github.com/emilianavt/OpenSeeFace

切换到项目根目录，创建 python 虚拟环境，并安装必要的库

	cd OpenSeeFace
	virtualenv -p python3 env
	source env/bin/activate
	pip3 install onnxruntime opencv-python pillow numpy

创建一个启动脚本

python facetracker.py -c 0 -W 1280 -H 720 --discard-after 0 --scan-every 0 --no-3d-adapt 1 --max-feature-updates 900 --ip 127.0.0.1 --port 11573

给脚本添加执行权限并运行，此时摄像头开始工作，如果摄像头检测到人脸，会在终端显示 detect 字样

在 Vtube Studio 中启用面部捕抓，即可测试 OpenSeeFace 是否正常工作

关于 Vtube Studio 和 OpenSeeFace 这两块内容，我主要是参考 dollars0427 大佬的文档，大佬的文档比我详细多了，如果对这两块内容感兴趣的小伙伴建议直接到下面文档查看 https://sardo.work/2023/10/30/%E5%9C%A8linux%E4%B8%8A%E6%88%90%E7%82%BAvtuber%E5%90%A7%EF%BC%81vtube-studio%EF%BC%89/

# Blivechat

如果想在直播间显示弹幕，可以用 blivechat 这个项目实现

先克隆项目到本地，由于使用了 git 子模块，clone 时需要加上 --recursive 参数：

git clone --recursive https://github.com/xfgryujk/blivechat.git

编译前端和安装必要的模块（需要提前安装好 Node.js）：

	cd blivechat/frontend
	npm i && npm run build
	pip3 install -r requirements.txt

运行服务并指定 host 和端口号：

python3 main.py --host 127.0.0.1 --port 12345

成功运行后用浏览器打开 http://localhost:12345 进行访问

在首页 -- 常规 -- 房间输入身份码

可以通过登陆 https://play-live.bilibili.com/ 查看自己的身份码

填入身份码后会自动生成房间 URL

在 OBS 场景来源添加浏览器，并在 URL 中输入你的房间 URL 就可添加弹幕，如果需要更改弹幕样式，则通过样式生成器调整

最终直播间效果如下

# 进阶玩法

前面的教程已经可以满足普通用户的日常直播了，但是我前面也说过，我个人对直播是没有任何兴趣的，所以我想弄一个不需要真人参与的直播间，于是我又研究了一下 AI 直播间，并找到一个目前功能各方面都比较完善的开源 AI 虚拟主播项目 AI Vtuber

简单看一下 AI Vtuber 的架构

# AI Vtuber

克隆项目到本地

git clone https://github.com/Ikaros-521/AI-Vtuber.git

克隆完毕后，切换到 AI-Vtuber 根目录，安装必要的模块库，整个过程大约一小时左右

pip3 install -r requirements.txt

安装 AI Vtuber 会遇到一堆的模块下载安装报错和版本兼容性的问题，这个需要根据实际的报错排除

解决完依赖问题后，运行 python3 webui.py 启动项目，此时应该还是会提示找不到 xxx 模块，还是根据具体情况安装缺少的模块，直至正常启动

正常启动后，可以通过浏览器输入 http://localhost:8081 访问控制台

进入控制台后就可以对大语言模型、文本转语音、虚拟身体、聊天这些主要功能进行配置了

配置完后，点击一键启动，此时可以从控制台日志看到一条报错信息 "main.py: 1: python: not found"

查看 webui.py 代码，定位到 258 行，找到下面这段代码

更改成 process = subprocess.Popen(["python3", f"main.py"], shell=False)

这样一键启动后就可以正常运行 main.py，但是依然会有一堆模块报错问题

尽可能的安装对应的模块版本，有些模块不支持 linux 的话，可以把相关代码注释掉，老实说，在 linux 下体验非常差，如果真的想玩这个项目，还是选择 Windows 操作系统吧

AI Vtuber 是一个非常庞大的开源项目集合，有些最新版的模块名、API 和方法都已经有所变化，所以才会有一堆兼容性和报错的问题，我目前也只还停留在摸索阶段，没办法教大家如何使用，建议大家直接查看作者的在线文档和视频学习

在线文档:https://luna.docs.ie.cx/
视频教程:https://space.bilibili.com/3709626/channel/collectiondetail?sid=1422512

# 总结

这篇文档总结了我自己对网络直播所知道的所有知识点，总体来说在 Linux 平台下进行直播并没有太大问题，但是 Winodws 直播的可玩性和扩展性肯定会更好，我自己也尝试直播了两天，实在是感觉没啥意思，后续应该不会再研究了这块内容了吧

宝可梦朱紫机器人

Sun, 31 Dec 2023 22:57:00 +0800

# 前言

在前面的 Switch 破解这篇文章中我有提到过:" 我研究 Switch 破解的初衷是因为我知道有人可以通过 Discord 和 DoDo 机器人实现宝可梦的魔法交换，这一点让我感到很新奇 "，但是网上关于宝可梦交换机器人的教程实在是太少了，自己也是四处碰壁才了解到一些皮毛，在这里我将自己所知道的关于宝可梦机器人知识都总结在此，希望可以帮助更多喜欢宝可梦的玩家

# 准备工作

一台已破解的 Switch 设备（软硬破皆可）

如何破解 Switch 请参考这篇文章 Switch 破解

任天堂 online 会员账号 (宝可梦联机交换必须要加入任天堂会员)

众所周知，任天堂所有游戏联机功能都需要加入任天堂会员才能使用，淘宝拼个家庭会员一年 40 左右

正版宝可梦朱紫游戏（卡带或数字版皆可）

这里有人可能会问，我 Switch 都破解了，为什么还要用正版宝可梦游戏？

你自己一个人单机玩盗版改存档这些不需要有正版游戏，但是你都要联网了和别人进行宝可梦交换了，你敢玩盗版？

需要 DoDo 开发者平台注册一个开发账号，通过输入自己的手机号码，然后获取验证码

注册地址: https://doker.imdodo.com/login

一台安装 Windows 10 21H1 以上版本的电脑，下载并安装 .NET 8.0 Desktop Runtime

否则运行下面的项目会报错

# 自动化机器人

# sys-botbase 介绍

据我了解，目前所有 Switch 自动化操作的机器人基本都是通过 sys-botbase 这个项目实现，sys-botbase 这个项目最初版本是叫 sys-netcheat, 是一个适用于 Switch 大气层系统的开源作弊器

其原理很简单，用户需要将 sys-netcheat 安装在一台已破解的 Switch 上并运行，然后在计算机上使用 nc 或 telnet 与其进行端口通信，便可以在当前计算机中远程读取运行在这台 Switch 上的游戏内存数据，并且用户可以修改这些内存数据，如果你之前有在 Windows 上使用过 Cheat Engine, 那么我相信你会非常容易上手并理解它的运行原理

从该项目的发布历史来看，sys-netcheat 这个项目在 1.3.4 版本后停止更新了很长一段时间，后续作者直接发布了 1.7 版本，并改名为 sys-botbase，宣称已计划为该项目添加 模拟按键 和 模拟屏幕触控 等其它功能，可以用于帮助用户创建有趣的自动化机器人，而不再是单纯的修改游戏数据

如果你需要了解该项目更多的信息，请跳转到 sys-botbase 项目地址：https://github.com/olliz0r/sys-botbase

# 安装 sys-botbase

sys-botbase 的安装灰常简单，你仅需要到该项目最后发布的地址 https://github.com/olliz0r/sys-botbase/releases 下载最新的 zip 压缩包即可

解压后应该是一个名为 atmosphere 的文件夹目录，复制这个目录，拷贝到你的 SD 卡根目录，选择覆盖即可

如果你是在 Switch 关机状态下，取出 SD 卡进行拷贝，拷贝完插入 SD 卡开机即可

如果你是在开机状态下，通过数据线拷贝到 Switch 的 SD 卡的话，那么请重启一下你的 Switch, 请选择进入大气层真实系统

如果 sys-botbase 正在运作的话，开机进入大气层系统后，右 Joycon 的 Home 键会闪烁蓝灯

# sys-botbase 测试

接下来验证 sys-botbase 是否正常工作，先将 Switch 连接网络，连接后记录 Switch 的 IP 地址

用 python 模拟基本按键输入

	import socket
	import time


	# Make sure to append "\r\n" to the end of every command to ensure arg are parsed correctly
	def sendCommand(s, content):
	content += '\r\n'
	s.sendall(content.encode())


	# sys-botbase port is compiled for 6000
	s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
	s.connect(("192.168.50.171", 6000))

	# Analog inputs

	sendCommand(s, "click B")
	time.sleep(0.5)
	sendCommand(s, "click Y")
	time.sleep(1)
	sendCommand(s, "click DDOWN")
	time.sleep(0.5)
	sendCommand(s, "click A")
	time.sleep(1)
	sendCommand(s, "click X")
	time.sleep(0.5)
	sendCommand(s, "click DUP")
	time.sleep(1)
	sendCommand(s, "click DLEFT")
	time.sleep(0.5)
	sendCommand(s, "click DRIGHT")
	time.sleep(2)

进入 Switch 设置中 手柄与感应器，选择检查输入设备，然后选择检查按键，接下来运行脚本验证是否能够自动输入

可以看到 sys-botbase 运行良好，那么现在我猜你应该可以想到一些基础的玩法了吧，像游戏中一些重复性的任务，我们就可以加个 while 循环让脚本重复执行，例如塞尔达传说刷道具又或者是宝可梦日常孵蛋刷步数

Okay,sys-botbase 就介绍到这样，后面我再介绍交换机器人和寻坑机器人，这两个机器人都是在 sys-botbase 的基础上延伸其玩法，希望有能力的大佬可以开发更多好玩的机器人 ^_^

# 交换机器人

# SysBot.NET 介绍

SysBot.NET 这个项目是由 kwsch 大佬创建的，可能有人会不知道这位大佬的名字，但是玩宝可梦的玩家应该都知道 PKHex 这个宝可梦系列游戏存档编辑器工具吧，这个工具就是由 kwsch 大佬开发的，但是 PKHex 并不是本次讨论的主要重点，我接着说 SysBot.NET

SysBot.NET 主要是利用 sys-botbase 与 Switch 主机进行通信，然后通过对接 Discord 机器人自定义的逻辑功能实现远程控制和自动化操作，下载项目后用 Visual Studio 打开，这里对其主要的类进行一个简单说明:

SysBot.Base 提供了与 sys-botbase 的连接和交互功能，包括同步和异步的连接类。
SysBot.Pokemon 项目则构建在 SysBot.Base 之上，实现了针对特定游戏（例如宝可梦剑 / 盾）的自动化功能，包括魔法交换、在线交换、闪光蛋寻找等功能，目前已知朱紫可以实现自动开启太晶坑、宝可梦交换、创建集友圈刷任务等。
SysBot.Pokemon.WinForms 提供了一个简单的 GUI 界面，用于方便地启动和管理宝可梦机器人。
SysBot.Pokemon.Discord 提供了一个 Discord 接口，允许用户通过 Discord 与宝可梦机器人进行远程交互。

SysBot.NET 项目地址：https://github.com/kwsch/SysBot.NET
更多信息可以参考作者 Wiki: https://github.com/kwsch/SysBot.NET/wiki

# SysBot.NET 搭建

由于 kwsch 大佬的项目仅支持海外的社交软件，在国内不会翻墙根本用不了，这里我们用国内大佬 easyworld 的 SysBot.NET 项目，easyworld 大佬在源项目中添加了 DoDo、BiliBili 和 QQ 这几款软件的支持，并且有详细的中文搭建指南

由于 easyworld 大佬提供的搭建文档已经非常完善了，所以我也不打算重复叙说，大家按照大佬的文档下载项目，然后下载并安装 Visual Studio，安装 .NET 桌面开发环境，最后打开项目按照文档要求修改一下项目设置，生成可执行程序即可

SysBot.NET 项目地址: https://github.com/easyworld/SysBot.NET
DoDo 机器人搭建官方指南: https://docs.qq.com/doc/DSVVZZk9saUNTeHNn

如果你按照大佬的文档在搭建中遇到问题无法解决可留言给我，我可以在该文章中加入对应问题的解决方案

# SysBot 测试

运行 SysBot.exe 主程序，会在当前目录生成一个 config.json 文件，用文本编辑器打开，开头的 "Mode": 4, 表示当前版本为朱紫，请根据你的游戏版本修改对应的数字

1：剑盾
2：晶灿钻石明亮珍珠
3：传说阿尔宙斯
4：朱紫

在主程序的 Hub 菜单找到 Integration, 找到 Dodo, 填写你的 Dodo 机器人 ClientId 、 Token 和 ChannelId 信息

返回 Bots 主界面，填写你的 Switch IP 地址，设置模式选择 LinkTrader , 然后点 Add 添加即可

最后点击 StartAll 启动机器人，如果一切正常，此时你的 Dodo 机器人会自动在你的频道发送消息提醒

点击 Logs 查看程序是否正确获取到游戏相关信息，如果启动有问题，请根据 Logs 的报错信息进行排查

启动成功后，我们就可以在 Dodo 频道中 @机器人 ，发送对应的指令进行宝可梦交换了，目前支持 3 种指令模式

@机器人中文 PS 代码
@机器人 trade 标准 PS 代码
直接在群里发对应版本的 pk 文件（pk8、pa8、pb8、pk9）

中文 PS 代码文档参考: https://docs.qq.com/doc/DSVlldkxMSW92VXZF

# 寻坑机器人

# RaidCrawler 简单介绍

RaidCrawler 是由 LegoFigure11 大佬开源的一个宝可梦朱紫太晶坑机器人，它可以读取地图上所有太晶坑的数据，并自动扫描符合用户设置的太晶坑数据，实现自动寻坑功能

项目地址:https://github.com/LegoFigure11/RaidCrawler/

# RaidCrawler 使用教程

下载最新版本的 RaidCrawlre.zip , 解压该文件，进入目录 net8.0-windows\win-x64 , 运行 RaidCrawler.WinForms.exe 主程序

点击 Edit Filters 过滤器，顺便输入一个名字，勾选 Shiny 表示只搜索闪光宝可梦，然后点击 Add Filter 保存即可

Stars 可以选择太晶坑的等级， Gender 选择宝可梦性别， Species 可以指定宝可梦，但是这样随机性太限制，可能需要刷很长时间

添加完过滤条件后，输入你的 Switch IP, 点击 Connect 即可读取游戏数据

你可以手动点击查看每一个太晶坑的属性

点击 Advance Deta 便可以自动通过更改设备日期刷新地图中所有太晶坑的数据

找到符合过滤器的宝可梦程序会自动停止

点击 Open Map 查看对应宝可梦所在的太晶坑位置，前往指定位置挑战即可

如果你没有购买 DLC，那么还需要在设置中取消北上村和篮之圆盘的地图，避免扫描无效地图的太晶坑数据

关于宝可梦机器人的总结到此为止，希望大家玩得开心，我目前基本是弃游状态，期待下一代 Pokemon Z-A 的表现

Switch 破解

Wed, 29 Nov 2023 14:12:00 +0800

一眨眼，已经度过了一年与 Switch 为伍的欢乐时光，从最初的懵逼小白到现在的新手入门，再从寻找塞尔达到讨伐加侬多夫，这一路的艰辛与汗水只有自己知道

我一直想写一篇跟 Switch 相关的文章，但是却不知道写那方面的题材，想写游戏攻略，自己又玩得菜，想写游戏心得，好像我也没啥心得

碰巧最近想研究 Switch 的破解，经过一段时间的痛苦摸索，总算是能够靠自己安装使用破解系统了，觉得这个还是可以写出来跟大家分享一下的

# 前言

在探讨破解这个话题之前，我要明确一点，我坚决反对任何以牟利为目的的破解行为。我研究 Switch 破解的初衷，仅仅是因为自己在玩宝可梦的时候，知道有人可以通过 Discord 和 DODO 机器人实现宝可梦的魔法交换，这一点让我感到很新奇，从而激发了我的探索欲望

免责声明：用户对 Switch 的破解行为需要谨慎考虑，因破解造成的数据丢失和设备损坏请自行承担。在决定是否破解设备之前，建议详细了解任天堂的相关法律法规、用户协议，并考虑潜在的后果。

# 相关术语

FW（Firmware）固件，通常指固化在集成电路内部的程序代码，主要负责控制和协调集成电路的功能
OFW (Official Firmware) 官方固件，指官方提供未进过第三方修改的原始固件
CFW (Custom Firmware) 自定义固件，指用户自己开发或篡改过的固件
RCM (ReCovery Mode) 恢复模式，在该模式下可以访问内部数据，如备份升级系统
Homebrew 指未经官方授权的软件，如自定义固件、工具、游戏和模拟器等
Atmosphere 大气层系统是 Github 上一个开源的第三方定制的 Switch 固件
sigpatch 可以禁用 Switch 系统对已安装程序的签名检查
NAND 是 Switch 设备内置的存储介质
SysNAND (System NAND) 系统内置存储，这里存放着 Switch 的正版操作系统
EmuNAND (Emulated NAND) 仿真虚拟存储，这里的 EmuNAND 是通过克隆 SysNAND 的一个系统副本，运行在 SD 卡上，完全与正版系统隔离
NSP 文件是破解系统后通过 NXDumpTool 程序将 eShop 下载安装的数字版游戏导出来的游戏本体文件，在导出游戏本体前，你需要用 Lockpick_RCM 提取 prod.keys 和 title.keys，否则 NXDumpTool 无法正常解密导致导出失败，另外需要将游戏本体、升级补丁和 DLC 单独导出为独立的 NSP 文件，所以 NSP 通常会有多个文件，你必须先安装游戏本体，然后是升级补丁，最后再安装 DLC，这样才不容易安装出错
XCI 文件是从实体游戏卡带导出来的游戏本体文件，与 NSP 不同的是，XCI 不需要授权许可即可安装使用，并且 XCI 通常会将升级补丁和 DLC 整合在一起，安装方便

# 破解类型

Switch 目前有四个版本: 普通版、lite 版、续航版、OLED

破解主要分为软破和硬破这两种，其中早期的普通版可以软破，其它版本只能硬破

Switch 版本可以通过序列号区分，在此盗用一下 B 站 UP 菜圈在逃土狗 的视频截图 (如侵权请联系)

软破:

早期的 Switch 可以通过外接 注入器 引导处理器进入 Recovery Mode （RCM），从而获取系统的控制权限，加载自制系统或程序达到破解效果。

具体实现的原理是，初代 Switch 的 CPU 采用的是 Nvidia Tegra X1 T210 芯片，该处理器的 boot ROM 存在一个可进入 Recovery Mode （RCM）的高危漏洞，在 Switch 通电之前，将右边 joycon 连接口中的一个金属引脚（pin10）与（pin1,7,9）其一进行短接后，再按住音量键 + 时开机，Switch 就能进入 (RCM)

这种通过外接 注入器 破解的好处是不需要拆解设备，需要网购一个 注入器 或者用电脑、手机安装注入软件和引导文件进行外接注入开机。坏处是这种通过短路注入的方式，在设备断电后便不生效，所以每次关机后，重新开机都需要拆卸 Joycon 进行短接后，再通过外接 注入器 才能重新进入破解系统

目前能够软破的设备都已面世 7 年之久，按照电子产品的寿命，这批设备都已经步入报废期了，这里不推荐大家再折腾软破设备

硬破:

第一批 Switch 被破解后，任天堂将后续的发布的 Switch 处理器替换成安全性更高的 Nvidia Tegra X1 T214 , 虽然 T214 修复了 T210 的 RCM 漏洞，但由于这两款处理器都是 Tegra 的架构，其核心架构和指令集并没太多变化，最终还是被黑客找到了该处理器进入 RCM 的办法。黑客通过拆机在处理器边上焊接自制芯片，该芯片在设备通电后主动向处理器发送特定的脉冲信号对其进行干扰，使其无法执行正常的预设指令，从而让处理器进入 RCM 获取其控制权限

硬坡的好处是开机可以自动进入 hekate 引导界面，由用户自行选择需要进入的系统。但是硬破需要拆机焊接芯片，会有一定的几率焊接失败，导致设备损坏的风险，手残党建议将这个步骤交给专业人士操作

# 实战

由于软破设备早已停产，这里只以硬破设备为例，焊接芯片这里不作赘述，我的硬实力不行，这步我也是找别人焊接的，下面假设你的设备已经焊接好破解芯片，我们直接进入安装破解系统的步骤

# SD 卡准备

首先，准备一张 128G 以上容量的 SD 卡，接入电脑，将其格式化成 FAT32 文件系统格式

我这里准备的是一张 256G 的 SD 卡，由于我的是 ubuntu 系统，相对还是麻烦一点， windows 应该不用教了吧

df -hT # 查看当前的挂载点和文件系统类型
umount /media/bob/3937-6132 # 卸载当前的 TF 挂载点，否则无法格式化
sudo mkfs -t vfat /dev/sdb1 # 将 TF 卡格式化成 FAT32 文件系统格式

# 大气层系统

格式化完 SD 卡 后，接下来就是将大气层系统写入到 SD 卡，为了让这个步骤变得简单，我们可以找别人整理好的大气层系统，这些系统已经整合了固件、引导程序和常用的工具，也就是常说的整合版

这里以 DeepSea 整合包为例，DeepSea 是由一群支持正版的玩家共同维护的开源项目，该整合包并不包含 sigpatch签名补丁 ，所以是无法安装运行盗版游戏的，如果你想通过破解系统游玩盗版游戏，请下载文章最后给出的整合包项目

通过下面地址下载并解压 DeepSea 整合包，将所有的文件拷贝到 SD 卡 的根目录

DeepSea： https://github.com/Team-Neptune/DeepSea/releases

将 SD 卡 插入 Switch 按开机键开机，即可进入 hekate 引导界面

可以先通过右上角的 Console Info 查看一些设备信息，例如 HW & Fuses 查看 SKU 型号和 Burnt Fuses 的熔断数

第一次破解强烈建议对系统进行一次备份，按 B 键返回主界面，点击上方的 Tools , 然后点击 Backup eMMC 对系统进行完整备份，整个备份过程在 10～20 分钟左右，备份路径为 SD 卡根目录的 backup 文件夹，请妥善保管好你的备份文件，据说后续可以用来救砖

备份完后，返回主界面，点击 emuMMC 进入虚拟系统菜单，第一次进来 emuMMC Info & Selection 下方应该是显示 Disabled!

我们点击 Create emuMMC 即可对源正版系统进行克隆，从而创建一个虚拟系统，也就是我们常说的大气层破解系统，点击后弹出对话框，让我们选择虚拟系统的创建类型，这里选择 SD File 即可，整个系统的创建过程大约在 10～20 分钟左右，等待创建完成即可

完成后左边的 emuMMC Info & Selection 下方将显示 Enabled! ，此时我们的破解系统就完成了

最后回到主页，选择 Launch 即可选择我们要启动的系统

在这里我们可以看有三个系统选项，其中 CFW(SYSNAND) 和 Stock(SYSNAND) 调用的都是正版的操作系统，而 CFW（EMUMMC） 则是运行在 SD 卡的虚拟系统，网络上大部分人会管这叫双系统，它们之间的区别我会在下面说明

CFW(SYSNAND) 为真实系统破解状态，该系统调用的是正版系统，可以正常联网玩正版游戏，可以使用一些辅助插件提升游戏性能和修改游戏数据，但绝对不要在这个系统安装游玩盗版游戏，虚拟真实系统是黑客破解的初衷，他们仅仅是为了摆脱官方的种种限制，充分发挥机器性能提升游戏画质、流畅度以及可玩性和可扩展性

CFW（EMUMMC） 为大气层虚拟系统，这个系统运行在 SD 卡上，可以安装盗版游戏和各自辅助插件 (例如金手指)，可以联网，但是联网玩盗版游戏必 ban，如果是为了玩盗版游戏就进该系统，但是切忌不要联网（尽管目前已经可以做到在虚拟系统屏蔽设备的真实序列号），也不要在该系统绑定你的任天堂账号

Stock(SYSNAND) 为正版系统，即破解前的原系统，没破解前怎么玩就怎么玩，没啥好说的

一句话总结，玩破解游戏就进 CFW（EMUMMC） ，只要不联网怎么玩都行，玩正版游戏就进 Stock(SYSNAND) ， CFW(SYSNAND) 小白不要碰

# 相关文档和开源项目

文档链接:

homebrew： https://switch.homebrew.guide/
Fusée Gelée 漏洞原理: https://github.com/Ginurx/fusee_gelee_explained_in_chinese

项目链接:
hekate: https://github.com/CTCaer/hekate
Atmosphere: https://github.com/Atmosphere-NX/Atmosphere

大气层整合包：需要安装破解游玩游戏请下载这个整合包，游戏资源和安装方法请自行百度

https://github.com/carcaschoi/ShallowSea/releases

由于我目前也是个小白，文章难免会出现一些错误的理解和引导，还望大佬能够指正，最后希望大家能够好好享受游戏带来的乐趣，别再卷了

ChatGPT on Wechat

Tue, 24 Oct 2023 19:17:00 +0800

最近发现一个超好玩的 Github 项目，让 ChatGPT 接入微信，可以实现在微信上对 ChatGPT 进行提问，真的是泰裤辣！！！

这个项目部署炒鸡简单，为了避免瞎几把扯浪费键盘寿命，下面马上进入正题

# 项目部署

准备一台 Linux 设备，这里以 Ubuntu 22.04 为例

安装 python3，但是系统好像默认自带了 python3.10, 如果你安装的镜像不包含 python3 还请自行安装

官方建议 Python 版本 在 3.7.1~3.9.X 之间，推荐 3.8 版本，3.10 及以上版本在 MacOS 可用，其他系统上不确定能否正常运行

sudo apt install python3-pip # 安装 pip3

sudo apt install git -y # 安装 git

git clone https://github.com/zhayujie/chatgpt-on-wechat && cd chatgpt-on-wechat/ # 克隆项目到本地并切换到项目根目录

pip3 install -r requirements.txt # 安装核心依赖 (必须安装)

pip3 install -r requirements-optional.txt # 安装拓展依赖 (可选，建议安装)

cp config-template.json config.json # 创建主配置文件

vi config.json # 编辑主配置文件，这里主要修改的配置名有 open_ai_api_key、single_chat_prefix、single_chat_reply_prefix ，其它的自己根据需求更改和添加，如果你无法注册 OpenAI，后面我也提供另一种方法获取 OpenAI 的 KEY

	{
	# config.json文件内容示例
	{
	"open_ai_api_key": "YOUR API KEY", # 填入你的 OpenAI API KEY
	"model": "gpt-3.5-turbo", # 模型名称, 支持 gpt-3.5-turbo, gpt-3.5-turbo-16k, gpt-4, wenxin, xunfei
	"proxy": "", # 代理客户端的ip和端口，国内环境开启代理的需要填写该项，如 "127.0.0.1:7890"
	"single_chat_prefix": ["bot", "@bot"], # 私聊时文本需要包含该前缀才能触发机器人回复
	"single_chat_reply_prefix": "[bot] ", # 私聊时自动回复的前缀，用于区分真人
	"group_chat_prefix": ["@bot"], # 群聊时包含该前缀则会触发机器人回复
	"group_name_white_list": ["ChatGPT测试群", "ChatGPT测试群2"], # 开启自动回复的群名称列表
	"group_chat_in_one_session": ["ChatGPT测试群"], # 支持会话上下文共享的群名称
	"image_create_prefix": ["画", "看", "找"], # 开启图片回复的前缀
	"conversation_max_tokens": 1000, # 支持上下文记忆的最多字符数
	"speech_recognition": false, # 是否开启语音识别
	"group_speech_recognition": false, # 是否开启群组语音识别
	"use_azure_chatgpt": false, # 是否使用Azure ChatGPT service代替openai ChatGPT service. 当设置为true时需要设置 open_ai_api_base，如 https://xxx.openai.azure.com/
	"azure_deployment_id": "", # 采用Azure ChatGPT时，模型部署名称
	"azure_api_version": "", # 采用Azure ChatGPT时，API版本
	"character_desc": "你是ChatGPT, 一个由OpenAI训练的大型语言模型, 你旨在回答并解决人们的任何问题，并且可以使用多种语言与人交流。", # 人格描述
	# 订阅消息，公众号和企业微信channel中请填写，当被订阅时会自动回复，可使用特殊占位符。目前支持的占位符有{trigger_prefix}，在程序中它会自动替换成bot的触发词。
	"subscribe_msg": "感谢您的关注！\n这里是ChatGPT，可以自由对话。\n支持语音对话。\n支持图片输出，画字开头的消息将按要求创作图片。\n支持角色扮演和文字冒险等丰富插件。\n输入{trigger_prefix}#help 查看详细指令。",
	"use_linkai": false, # 是否使用LinkAI接口，默认关闭，开启后可国内访问，使用知识库和MJ
	"linkai_api_key": "", # LinkAI Api Key
	"linkai_app_code": "" # LinkAI 应用code
	}
	}

touch nohup.out # 创建日志文件
nohup python3 app.py & tail -f nohup.out # 在后台运行程序并通过日志输出二维码

通过手机微信扫二维码登录，登录成功出现 Logon successfully as Your WechatName

登录成功后，别人给你发信息的时候，在消息前面添加关键字 bot 便可触发 ChatGPT 的自动回复，由于我没有第二个微信，所以只能自己发给自己了

到此整个 ChatGPT 接入微信的教程就结束了，是不是非常简单 ^_^

# 已知问题

git clone 报 error: RPC failed; curl 56 GnuTLS recv error (-54): Error in the pull function.

sudo apt install libssl-dev -y # 安装 libssl-dev 即可

pip3 install 安装依赖报错

根据报错信息可以判断是 pip 版本问题，使用 python3 -m pip install --upgrade pip 升级即可

不能科学上网的小伙伴可以到 https://openai-hk.com/open/index 网站注册一个账号，可以获取该网站所提供的 Key，新用户还能获取免费赠送的 1000 积分，每次通过 KEY 查询会扣除对应的积分，赠送的 1000 积分用于测试是完全没有任何问题的

首先说明一点，本站不做任何的推广和广告，上面给出的 openai-hk.com 网站，只是为了给大家提供一个可以用于免费测试 ChatCPT 思路，切勿盲目充值

登录控制台，点击获取 KEY, 把这个 KEY 复制下来

返回服务器项目根路径，编辑 config.json 文件，添加 "open_ai_api_base" 和 "open_ai_api_key" 配置

	"open_ai_api_base": "https://api.openai-hk.com/v1",
	"open_ai_api_key": "Your key",

编辑好后保存，然后运行 nohup python3 app.py & tail -f nohup.out 即可

更多信息请查看源项目: https://github.com/zhayujie/chatgpt-on-wechat

Mobileiron Clinet for Android

Thu, 19 Oct 2023 14:18:00 +0800

前面我们已经搭建好了一台 Mobileiron 服务器，并且简单说明了一下界面菜单的配置，接下来是对客户端的管控策略进行测试

本次测试客户端平台为 Android , 下面简单说一下测试环境

# 测试环境

Portal	Role	Version	Address	Note
Mobileiron	MDM Server	11.2	mc.keeponline.cn	配置公网证书
Android	Android Clinet	Android 9	192.168.1.6	安装 Mobile@Work 客户端
Windows	ADB Master	Windows 11	192.168.1.2	安装 ABD 调试程序

# 测试前配置

由于目前国内的网络和设备无法正常访问 Google服务 ，测试前需要先在服务器上进行简单的配置，并在客户端上安装 Mobile@Work 应用和使用 ADB 命令将 Mobile@Work 设置为设备所有者，这样 Mobileiron Server 才能在国内的环境中管理 Android 设备

# Core Server

创建 Andriod enterprise 配置，启用 Enable Closed Network/AOSP deployment

并将 Andriod enterprise 配置应用到 Android 标签

最后创建一个用户用于注册设备，这里以本地用户为例

# Android Client

在手机浏览器中通过访问 https://support.mobileiron.com/MIClient-latest.apk 下载安装 Mobile@Work 应用，也可以在电脑上下载好安装包，通过 USB 连接或其它方式拷贝到安卓设备上进行安装，安装完允许所有权限，然后点击完成

在手机设置中启用开发者模式，通常在关于手机界面，连续点击 5 次版本号开启，由于不同厂商型号的手机开启方式有些不太一样，具体开启方式可能还需要自行在搜索引擎中查找

开启后进入开发者模式，开启 USB 调试功能，弹出权限窗口请点击确定

# Windows

在 Windows 上下载 Android Debug Bridge（ADB） , 用于将 Mobile@Work 设置为设备所有者

Android Debug Bridge（ADB）官方下载地址:

下载后解压，然后进入解压目录，在地址栏上输入 cmd 回车打开命令提示符

手机通过 USB 数据线连接到计算机，弹出允许 USB 调试窗口请点击确定

回到命令提示符，输入 adb devices 查看已连接设备，出现 设备ID 和 device 信息表示连接成功

连接成功后，输入 adb shell dpm set-device-owner com.mobileiron/.receiver.MIDeviceAdmin 将 Mobile@Work 设置为设备所有者，出现 Success: Device owner set to package ComponentInfo{com.mobileiron/com.mobileiron.receiver.MIDeviceAdmin} 表示设置成功

# 注意事项

如果使用 adb devices 命令返回 设备ID 和 unauthorized ，则表示用户在手机上没有允许 USB 调试权限，此时请查看手机是否弹出 USB 调试请求，需要在手机上允许 USB 调试后再使用 adb devices 查看已连接设备

如果执行 adb shell dpm set-device-owner com.mobileiron/.receiver.MIDeviceAdmin 报 java.lang.IllegalStateException: Trying to set the device owner, but device owner is already set. 错误，表示该设备已经有一个设备所有者了

在系统设置中找到账号相关的地方，退出所有已登录的账号再尝试，如果还是不行的话，自己又没有能力找到原因，在设备没有重要数据的情况下，个人建议是将手机恢复出厂再尝试

# 正式测试

经过前面的操作，我们可以正式进入功能测试阶段

# 客户端注册

在设备中运行 Mobile@Work ，点击或者使用服务器的 URL 注册

输入服务器地址，点击下一步

如果弹出 不受信任的证书 点击接受

输入之前创建的用户名和密码点击登录

点击继续

选择启用此设备管理应用

注册完成

# MDM 策略

客户端注册完成后，登录 MDM 服务器，下面针对安卓设备的一些常用策略进行测试

下面所有策略创建后都需要通过 Actions --> Apply To Label --> Android 才生效

# WIFI Config

创建 WIFI 配置，让设备在 WIFI 信号范围内自动连接

# Kiosk Policy

创建自助终端策略，用户只能使用指定的应用程序，无法对设备做其它任何操作

策略生效后打开 Mobile@Work ，点击进入自助服务终端即可

# Security Policy

创建安全策略，可以配置密码强度、数据加密和访问控制策略

应用策略后设备上会弹出提示需要配置新的屏幕锁定设置

# Lockdown Policy

创建限制策略，该策略可以限制设备大部分功能，如网络连接、摄像头、USB 存储、SD 存储、屏幕截图、应用程序、恢复出厂等等

策略生效后部分功能截图

由于当前环境比较单一，还有很多其它配置需要搭配其它服务使用，如 Email、数据加密等服务，以后如果有机会的话再更新吧

# wipe

擦除设备手机将自动进入恢复出厂设置

EPM MDM注册

Wed, 05 Jul 2023 10:40:00 +0800

不知不觉距离上次搭建 CSA 云平台已经过去两个月了，为自己的懒惰感到惭愧🙈

这里简单的说一下整个 MDM 配置流程:

核心服务器 MDM 配置

主要配置 CSA、策略轮询时间和苹果消息推送服务等
Agent 安装包

用于管理设备，如策略下发、远程等
Agent Manifest Package 配置

主要用于告知设备注册后从何处下载 plist 文件，plist 文件则提供 Agent 安装包所在位置以及相关说明
联合管理代理

通过 MDM 注册后自动部署代理和配置文件

# MDM 配置

# Common Settings

废话不多说，在 EPM 控制台中，依次点击 Modem Device Management > MDM configurations > Common Setting > Cloud Services Appliances(CSA) 选择我们的 CSA Server

Sync Settings 配置设备定时签到时间，默认情况下，设备通过 MDM 注册到核心服务器，设备会在 1440 分钟后主动找服务器签到同步策略，如无特殊要求，此处保持默认即可

# APNS

配置 APNS(Apple Push Notification Service) , 依次点击 Apple > Apple Push Notification service > Configure 进行证书配置

选择创建一个新证书

创建证书请求

跳转到 Aplle Push 证书门户

创建证书

选择刚刚生成的 plist 请求文件，然后点击 Upload

下载证书

选择证书并设置密码

点击 Save 保存

最后点击 OK 重启 MDM 服务

APNS 是由苹果公司提供的推送服务，主要用于向 iOS、MacOS 和 WatchOS 设备发送远程通知、即时消息、应用更新、提醒和警报等这几个主要的作用

# MacOS Agent

创建 MacOS Agent ，依次点击 Configuration > Agent configuration > New Mac agent configuration

填写配置名称，选择 Client connectivity, 这里的 Core infomation 的 Core address 必须填写核心服务器的 FQDN(Fully Qualified Domain Name)

Cloud Services Appliance 勾选启用并选择我们的 CSA

Remote control tunnel 勾选启用并选择我们的 Remote Tunnel

其它的策略根据自身需求调整，这里就不多赘述

# Agent Manifest Package

依次点击 Distribution > Distribution packages > New > Macintosh > Macintosh MDM

填写程序包 Name，Application info 选择 Manifest URL

URL: https://download.ivanti.com/product/mac/2022/SU3/manifest.plist
Bundle ID: com.ivanti.IvantiAgentTool
Bundle version: 11.0.5.2606

截至当前 EPM 2022 SU3 MDM properties 信息，请根据自己的 EPM 版本填写

Patch Version	URL	Bundle ID	Bundle Version
2022 SU3	https://download.ivanti.com/product/mac/2022/SU3/manifest.plist	com.ivanti.IvantiAgentTool	11.0.5.2606
2022 SU2	https://download.ivanti.com/product/mac/2022/SU2/manifest.plist	com.ivanti.IvantiAgentTool	11.0.5.2497
2022 SU1	https://download.ivanti.com/product/mac/2022/SU1/manifest.plist	com.ivanti.ivscan	11.0.5.2378
2022	https://download.ivanti.com/product/mac/2022/manifest.plist	com.landesk.LANDesk_Settings	11.0.5.2280
2021.1 SU4	https://download.ivanti.com/product/mac/2021/SU4/manifest.plist	com.ivanti.IvantiAgentTool	11.0.5.2539
2021.1 SU3	https://download.ivanti.com/product/mac/2021/SU3/manifest.plist	com.ivanti.IvantiAgentTool	11.0.5.2445
2021.1 SU2	Ver. 2 https://download.ivanti.com/product/mac/2021/SU2v2/manifest.plist	com.landesk.LANDesk_Settings	11.0.4.2203
2021.1 SU2	https://download.ivanti.com/product/mac/2021/SU2/manifest.plist	com.landesk.LANDesk_Settings	11.0.4.2192
2021.1 SU1	https://download.ivanti.com/product/mac/2021/SU1/manifest.plist	com.landesk.LANDesk_Settings	11.0.4.2119
2021.1	https://download.ivanti.com/product/mac/2021/manifest.plist	com.landesk.LANDesk_Settings	11.0.4.1887
2020.1 SU6	No changes made to the agent. Use same values as 2020.1 SU5 com.	landesk.LANDesk_Settings	11.0.3.1742
2020.1 SU5	https://download.ivanti.com/product/mac/2020/SU5/manifest.plist	com.landesk.LANDesk_Settings	11.0.3.1742
2020.1 SU3	https://download.ivanti.com/product/mac/2020/SU3/manifest.plist	com.landesk.LANDesk_Settings	11.0.3.1652
2020.1 SU2	https://download.ivanti.com/product/mac/2020/SU2/V2/manifest.plist	com.landesk.LANDesk_Settings	11.0.3.1497
2020.1 SU1	https://download.ivanti.com/product/mac/2020/SU1/manifest.plist	com.landesk.LANDesk_Settings	11.0.3.1
2020.1	https://download.ivanti.com/product/mac/2020/manifest.plist	com.landesk.LANDesk_Settings	11.0.3.1

# 联合管理代理

依次点击 Modem Device Management > CO-management agents 打开联合管理代理界面，勾选 Install Mac Agent, 设备配置文件选择我们的代理配置，例外建议添加 Allow Ivanti RC screen capture approval 和 EPM Agent authorization 这两个跟远程相关的配置，最下方选择我们的 Macintosh MDM 程序包

到此，整个简单的 MDM 配置基本上已经结束

# MDM 注册

拷贝核心服务器 C:\Program Files\LANDesk\ManagementSuite\ldlogon\mac\mdmenroller.pkg 到 Mac OS
客户端安装

安装完后打开选择 手动输入详细信息

填写核心服务器管理员账号和密码以及 CSA 跟核心服务器 FQDN

点击注册，此时弹出需要安装 Ivanti MDM 描述文件，点击 Install 进行安装

非常尴尬，这里安装描述文件的时候报错了，提示 MDM 服务器无法验证，证书可能已过期，刚好前段时间，群里有个大佬也问过这个问题，我就厚着脸皮问大佬解决了没有，大佬说这个问题是 ESA 模块导致的，安装 ESA 模块更改了 IIS 的某些配置，但是具体改了什么他也不知道，所以最后只能重装解决

那我也只好重装 EPM 服务器了，此处省略 N 个字，安装描述文件后会自动下载联合管理的相关配置和代理程序

安装完毕后，此时服务器控制台已经可以看到这台 Mac 电脑的信息

好了，MDM 注册就到这吧，后续深入学习再更新

EPM操作系统部署

Sun, 11 Jun 2023 10:12:00 +0800

前两周有个 EPM 实施项目，客户是在厦门那边，我本以为过去一周内可以解决回来，没想到在操作系统部署这块踩了超多坑，最后待了两周才解决，这里记录一下

# 无 DHCP 服务器

上来面对的第一个坑就是客户端环境中没有 DHCP 服务器，所有的客户端都需要手动配置 IP 地址

正常情况下，操作系统部署是通过 PXE 网络引导加载 WinPE , 然后在 WinPE 中跟服务器建立通信，读取服务器上的部署模板信息

在没有 DHCP 的情况下根本无法从网络中加载 WinPE , 那就只能在服务器上生成 WinPE 的 ISO 镜像，通过刻录软件将其刻录到 U 盘，然后用 U 盘引导进入 WinPE 环境

# 修改 boot.wim 文件

在创建 WinPE 镜像之前，我们需要挂载 WinPE 文件，添加中文字体，让其支持中文显示，否则部署模板中的中文会显示乱码，并且修改 startnet.cmd 文件，让 WinPE 初始化的时候可以手动配置 IP 地址

WinPE 文件默认路径为 C:\Program Files\LANDesk\ManagementSuite\LANDesk\vboot 下的 boot.wim 和 boot_x64.wim , 其中 boot.wim 为 32 位 BIOS 引导文件， boot_x64.wim 为 UEFI 64 位引导文件

我们先修改第一个 boot.wim 文件，以管理员权限打开 cmd 命令行

mkdir c:\mount

挂载 boot.wim 到 c:\mount 目录

DISM.exe /mount-wim /wimfile:"C:\Program Files\LANDesk\ManagementSuite\LANDesk\vboot\boot.wim" /index:1 /mountdir:C:\mount

修改 WinPE 初始化脚本

编辑 C:\mount\Windows\System32\startnet.cmd 脚本文件，在 @echo off 后面插入静态 IP 配置命令

	echo.
	echo If using static ip,press 1
	echo If using DHCP,press 2
	echo If exit,press 3
	echo.

	set /p choice= your choice:

	echo.

	if "%choice%"=="1" goto ip1
	if "%choice%"=="2" goto ip2
	if "%choice%"=="3" goto end

	goto end

	:ip1

	netsh interface show interface

	echo.

	set /p name= please enter your NIC name:
	set /p ldip= please enter your static ip address:
	set /p ldmask= please enter your netmask:
	set /p ldgw= please enter your gateway:

	echo.

	echo IP config starting....
	echo.
	echo starting config ip and gateway
	netsh interface ip set address name=%name% source=static addr=%ldip% mask=%ldmask% gateway=%ldgw%

	echo config success!
	goto end

	:ip2
	echo IP auto config start....
	echo.
	netsh interface ip set address name = %name% source = dhcp
	echo starting DNS....
	netsh interface ip set dns name = %name% source = dhcp

	echo config success!
	:end

添加 hosts 文件解析

为了减少用户的操作，上面的启动脚本我没有添加配置 DNS 的命令，而是直接将 EPM 服务器的解析记录添加到 WinPE 的 hosts 文件进行解析

用 notepad 打开 C:\mount\Windows\System32\drivers\etc\hosts 添加服务器解析记录

添加中文包

WinPE 默认是不支持中文的，如果部署模板中有中文字符会变成乱码，根据当前 WinPE 的版本下载对应的 ADK 安装到电脑中，执行下面的命令添加中文语言包

	DISM.exe /Add-Package /Image:C:\mount /PackagePath:"C:\Program Files (x86)\Windows Kits\10\Assessment and Deployment Kit\Windows Preinstallation Environment\x86\WinPE_OCs\WinPE-FontSupport-ZH-CN.cab"

	DISM.exe /Add-Package /Image:C:\mount /PackagePath:"C:\Program Files (x86)\Windows Kits\10\Assessment and Deployment Kit\Windows Preinstallation Environment\x86\WinPE_OCs\zh-cn\lp.cab"

	Dism.exe /image:C:\mount /Get-Intl

	Dism.exe /image:C:\mount /Set-UILang:ZH-CN

	Dism.exe /image:C:\mount /Set-AllIntl:ZH-CN

保存镜像

完成上面的步骤后，关闭任何已打开的镜像相关文件包括目录，否则保存时会无法完全卸载挂载目录

Dism.exe /unmount-Wim /MountDir:c:\mount /Commit

卸载后重复上面的 2 - 6 的操作，将第 2 歩的挂载镜像改成 boot_x64, 第 5 步的中文包路径又 x86 改成 amd64

	DISM.exe /mount-wim /wimfile:"C:\Program Files\LANDesk\ManagementSuite\LANDesk\vboot\boot_x64.wim" /index:1 /mountdir:C:\mount

	DISM.exe /Add-Package /Image:C:\mount /PackagePath:"C:\Program Files (x86)\Windows Kits\10\Assessment and Deployment Kit\Windows Preinstallation Environment\amd64\WinPE_OCs\WinPE-FontSupport-ZH-CN.cab"

	DISM.exe /Add-Package /Image:C:\mount /PackagePath:"C:\Program Files (x86)\Windows Kits\10\Assessment and Deployment Kit\Windows Preinstallation Environment\amd64\WinPE_OCs\zh-cn\lp.cab"

# 生成 ISO 镜像

修改好 WinPE 文件后，返回控制台，在操作系统部署这里创建一个镜像文件

创建好后用刻录软件将镜像文件写入到优盘，我这里为了方便演示就直接用虚拟机光驱加载镜像模拟优盘启动，测试该镜像是否能够在没有 DHCP 的环境下正常工作

开机进入引导菜单，选择 WinPE 的启动设备

进入初始化界面，选择 1 使用静态 IP，这里会列出所有网卡接口的信息，由用户输入对应的网卡接口名称进行配置

配置好 IP 地址信号后回车，如果网络能够正常跟服务器通信，此时便能看到部署程序

这里弹出需要身份认证，后续可以取消掉，先输入核心服务器的管理员账号密码登录

登录后弹出部署模板选择，但是目前我并没有配置部署模板，所以这里没有模板

目前看来 WinPE 跟核心服务器通信是正常的，我们先返回核心服务器配置部署模板

# 模板部署

在控制台操作系统部署界面选择 Preboot > PXE Boot Options , 勾选上 Allow anonymous login for public templates , 这样下次我们在 WinPE 进入模板选择的界面就不需要身份认证了

需要注意的是，需要将部署模板创建在 Public 分组才能让匿名用户查看并选择部署

由于用户希望部署时能够自动分配计算机名，这里需要添加设备名称规则，使用 LD+Mac 地址确保设备名称的唯一性

编写分区脚本，由于用户目前还有 Windows 7 系统，所以需要写一个 GPT 分区脚本和一个 MBR 分区脚本

	rem == CreatePartitions-UEFI ==
	rem == These commands are used with DiskPart to
	rem create five partitions
	rem for a UEFI/GPT-based PC.
	rem Adjust the partition sizes to fill the drive
	rem as necessary. ==

	select disk 0
	clean
	convert gpt

	rem == 1. Windows RE tools partition ===============
	rem create partition primary size=900
	rem format quick fs=ntfs label="Windows RE tools"
	rem assign letter="T"
	rem set id="de94bba4-06d1-4d40-a16a-bfd50179d6ac"
	rem gpt attributes=0x8000000000000001

	rem == 2. System partition =========================
	create partition efi size=260
	rem NOTE: For Advanced Format 4Kn drives,
	rem change this value to size = 260
	format quick fs=fat32 label="System"
	assign letter="S"

	rem == 3. Microsoft Reserved (MSR) partition =======
	create partition msr size=128

	rem == 4. Windows partition ========================
	rem == a. Create the Windows partition size=102407(100GB) ==========
	create partition primary size=102407
	rem == c. Prepare the Windows partition =========
	format quick fs=ntfs label="Windows"
	assign letter="C"

	rem === 5. User data partition ================
	create partition primary size=210000
	rem Use all remaining space to create user data partition===
	format quick fs=ntfs label="Data"
	assign letter="D"

	rem === 5. User document partition ================
	create partition primary
	rem Use all remaining space to create user data partition===
	format quick fs=ntfs label="Document"
	assign letter="E"

	list volume
	exit

	select disk 0
	clean
	convert mbr

	create partition primary size=100000
	format fs=ntfs quick label="Windows"
	assign letter="C"

	create partition primary size=200000
	format fs=ntfs quick label="Data"
	assign letter="D"

	create partition primary
	format fs=ntfs quick label="Document"
	assign letter="E"

	list volume
	exit

将相关脚本、镜像、部署工具、软件包放到共享目录

创建部署模板

开始测试

客户端开机进入 WinPE 环境

a. 选择部署模板

b. 部署执行阶段

c. 部署完成

安装完操作系统后重启会自动执行后续动作

# 问题总结

DHCPless

第一次接触无 DHCP 的环境，刚开始毫无思绪，因为之前客户操作系统部署都是通过网络 PXE 引导部署，我知道可以通过控制台生成 ISO 镜像刻录到优盘，由优盘启动可以不需要 PXE 和 DHCP ，但是我们的 WinPE 不像网络上的第三方 WinPE 那样具备有图形化界面，所以我不知道在进入 PE 环境后如何给当前系统配置一个 IP 地址

后来问了群里的一些大佬，得知 WinPE 进入系统后默认执行 c:\windows\system32\startnet.cmd 进行初始化，可以通过修改这个脚本预先配置好 IP 信息，最终通过添加 netsh 命令解决这个问题

磁盘分区

一开始我用系统自带的分区模板进行分区测试，发现不是很好用，在创建第二个分区的时候很容易报错，我对自带的分区模板一些字段定义也不是了解，在官网也找不到相关的文档可以用于参考

最终决定用 diskpart 命令进行分区

Win7 UEFI 引导

这个是最让我最奔溃的问题，用户主要的用的操作系统是 Win7 , 但是他们购买的新机器不支持 Legacy 引导，只能以 UEFI 方式引导，硬件上已经完全不支持 Win7 了

我尝试过从网上下载很多标题注明支持新机器的 Win7 镜像，并且自己也尝试封装了几个镜像，但是都有着各种各样的问题

a. 安装完操作系统重启后不认盘

b. 安装完操作系统重启后一直卡在 Windows Logo

c. 安装完操作系统后进入登录界面，键盘鼠标无法使用

d. 能够正常安装系统并进入到桌面，但是在安装完软件后执行 sysprep 进行二次封装，再部署又会出现卡 logo 的现象

最终为了进度，我只能跟用户商量如果新机器要安装 Win7 ，就不能用 EPM 的部署方式，可以用网络上第三方 WinPE 系统进行安装，因为第三方 WinPE 可以解决 Win7 卡 Logo 这个问题

多硬盘如何区分系统盘

这个问题最终也没有办法完美解决，多硬盘的情况下，比较理想的是判断分区中是否存在 Windows 目录，如果有则认为是系统盘

但是实际上会有很多其它的情况，下面列出我当前已经遇到的情况:

a. 用户之前的电脑是单硬盘，并且存在系统，后面加装了一个硬盘，但是前面的系统盘并没有格式化，就会出现一个以上分区存在 Windows 目录

b. 系统盘损坏或被格式化，所有分区下都找不到 Windows 目录

c. 后续新增硬盘，以新硬盘为系统盘，一般情况下新硬盘可能连格式化的步骤都没有做，连分区都没有，根本无法识别

最主要的是 WinPE 只支持少部分的 cmd 命令，不支持 Powershell , 所以真的很难用 cmd 脚本去做判断，只能说即使有想法也很难仅靠 cmd 命令实现

最终是给出两个部署模板，由用户自行选择

一个是新硬盘部署，重新格式化并分区分配盘符，将操作系统安装在 C 盘
一个是重装系统，重装系统分为 GPT 和 MBR 两个模板，固定第 0 个磁盘为系统盘，GPT 分区下格式化第三个分区，并分配 C 驱动器号，MBR 分区下格式化第一个分区，并分配 C 驱动器号

最后再吐槽一下，操作系统部署的实施真的很折磨人，本来整个部署流程顺利跑下来都需要一个多小时，遇到问题就得修改后重新跑一遍，我虽然没有统计自己跑了多少遍部署流程，但是肯定不少于 50 次

在测 Win7 的时候真的感觉人要奔溃，我大部分的时间都浪费在这上面，当时真的很希望能够有个人可以一起分析研究这个问题

哎，就酱吧，无力吐槽

# 最后更新

八月底又去了一趟客户现场，主要是上次六月份部署完后客户一直没有使用，现在基本上已经忘记了如何使用，而且客户对目前的操作系统部署方案也不是很满意，尤其是硬盘分区这一块，我本次过去就是重新教他们使用并尽可能的优化部署方案

# 磁盘分区

分区的问题我之前是用脚本去执行的，脚本执行就无法避免可能会分错区造成数据丢失，上一次过来的时候因为被 Win7 UEFI 引导的问题搞得我没法静下心来思考其它的事情，我也不知道当初为什么死磕脚本来完成这个分区动作

这次过来，我已经明白靠脚本是无法满足用户的需求，这种情况只能用图形化的分区工具让用户自行选择磁盘进行分区

我在服务器下载了 DiskGenius 并解压放到共享目录，在 PE 映射服务器的共享目录，执行 DiskGenius 可以正常跑起来，这样分区的问题就解决了

不管用户有几个磁盘和分区，我只要求用户将需要安装操作系统的分区分配 C 盘符即可

现在回过头想想上次过来为什么会没有想到用图形化工具分区，真的被自己蠢哭了，看来人一着急就容易钻牛角尖

# 系统配置模板不生效

安装完操作系统第一次开机登录系统界面，连上网络后会自动执行系统配置后面的步骤，但是如果设备无法自动连接到网络，并且客户长时间没有操作导致设备进入休眠状态，唤醒后系统配置模板可能不会工作

正常情况下，在部署模板执行完 Configure Taget OS 便会自动重启 WinPE，进入操作系统安装配置步骤，要知道系统配置模板为什么不生效，就需要知道 Configure Taget OS 这一步具体做了什么事情

按照官方文档对 CTOS 的描述，执行 CTOS 步骤后会将后续需要的文件复制到客户端的 C:\ldprovisioning 目录，并在 %WINDIR%\Setup\Scripts\SetupComplete.cmd 脚本中调用 %WINDIR%\ldprovisioning\ldprovisioning.cmd, 下面简单描述一下 SetupComplete.cmd 和 ldprovisioning.cmd 这两个 CMD 批处理文件

# SetupComplete.cmd

SetupComplete.cmd 是 Windows 操作系统安装结束后，用户登录到桌面的时候立即启动，该脚本以 system 权限执行

执行顺序如下:

安装完 Windows 操作系统后，在显示登录屏幕显示之前，系统会在 %WINDIR%\Setup\Scripts 目录中搜索 SetupComplete.cmd
如果找到 SetupComplete.cmd 文件便会执行，并将执行操作记录在 %WINDIR%\Windows\Panther\UnattendGC\Setupact.log
设备在安装过程中加域，为了确保域策略不会干预脚本运行，在完成 SetupComplete.cmd 之前，域策略不会应用到于计算机

参考文档:https://learn.microsoft.com/zh-cn/windows-hardware/manufacture/desktop/add-a-custom-script-to-windows-setup?view=windows-10

# ldprovisioning.cmd

前面的 SetupComplete.cmd 脚本调用 ldprovisioning.cmd 后， ldprovisioning.cmd 会安装基本的 Ivanti CBA 代理服务并启动

启动代理服务后，客户端调用 C:\ldprovision\ldprovision.exe 程序向核心服务器报告 CTOS 步骤执行成功，接着继续执行后续部署模板

# 处理方法

知道 CTOS 的动作后事情便简单多了，已知 SetupComplete.cmd 在登录桌面时调用 ldprovisioning.cmd ，此时如果网络不通，则安装 Ivanti CBA 代理失败，客户端无法向服务器报告 CTOS 的状态，服务器的部署模板历史记录会一直停留在 CTOS ，另外， ldprovisioning.cmd 执行后会删除 C:\ldprovision 目录，这样用户就无法继续执行 ldprovisioning.cmd 安装 Ivanti CBA 代理

处理方案:

将客户端的 C:\ldprovision 目录文件拷贝到共享服务器，在系统安装模板中将共享服务器上的 ldprovision 目录复制到客户端上（不能放在系统盘根目录哦）

这样后续无论是什么原因导致系统配置模板没有生效，用户都可以在联网状态下，手动将 ldprovision 目录复制到 %systemdrive% 根目录下执行 ldprovisioning.cmd 继续后面的部署模板

# 其它问题

还有其它一些小问题也一并帮用户优化了，例如修改系统启动等待时间、关闭 UAC、激活 Windows、驱动安装等，这里就不一一列举了，最终的部署效果用户还是很满意的

经过本次的项目实施，自己也收获了许多系统部署的经验，EPM 操作系统部署这块后续不会再更新了

✿✿ヽ (°▽°) ノ✿✿

CSA

Mon, 24 Apr 2023 11:21:00 +0800

最近想测试 EPM MDM 功能，但是 MDM 必须配合 CSA 才能使用，于是便想搭个 Ivanti Cloud Sevice Application （云网关）玩一下

在安装配置的过程中踩过很多坑，所以记录一下配置过程，也方便今后的知识传递

# 系统搭建

由于 Ivanti 提供的 CSA 镜像是包含 CentOS 7 操作系统的 ISO 文件，我们需要在云服务器上搭建这个镜像，这里就需要将我们的 ISO 镜像文件注册到云平台上

我现在用的是华为云的服务器，所以这里就以华为云为例，其它的云平台应该都是大同小异

# ISO 镜像上传

下载 OBS Browiser+ 工具将外部镜像文件上传到 OBS 个人桶，请自身根据对应的操作系统平台下载安装

安装 OBS Browiser+ 工具后运行打开，随便输入一个 OBS Browiser+ 的账号，点击 获取AccessKey 跳转到华为云访问密钥的界面

该账号不需要跟云服务平台账号一致，也跟云服务器平台毫无关系，仅仅是用于区分本地`OBS Browiser+` 登录的账号

点击新增访问密钥，输入密钥描述信息即可创建，创建密钥后可以下载密钥文件，下载后需要保存好密钥文件，该文件仅能下载一次

打开密钥文件，在 OBS Browiser+ 上输入对应的 Access Key ID 和 Secret Access Key 即可登录

登录后点击创建桶，填写桶相关的信息后确定保存

进入新建的桶，选择上传 CSA 镜像文件

然后等待镜像文件上传完毕即可

# 创建镜像

镜像上传完毕后，打开华为云的控制台，在服务列表中选择 镜像服务 IMS

选择私有镜像 --> 导入镜像 --> 立即导入

选择你创建桶的区域，镜像类型选择 ISO 镜像，在桶列表选择刚刚上传的 ISO 镜像文件，填写好配置信息，点击立即创建

提交后等待创建完成即可

# 安装服务器

私有镜像创建完毕后，我们需要用此镜像创建一个按需计费的临时弹性云服务器，点击镜像右侧的安装服务器，选择对应的规格，系统会自动安装规格计算得出该服务器每小时的费用

点击确定提交，此时系统会自动为我们创建一台弹性云服务器

可以点击返回弹性云服务器列表查看创建进度

云服务器创建完毕后，点击远程登录 (VNC)

等待操作系统初始化完毕，显示登录界面

然后关闭远程页面，回到弹性云服务器控制台，我们再对该云服务器创建一个私有镜像

创建方式选择创建私有镜像，镜像类型选择系统盘镜像，然后选择刚刚创建好的 CSA 云服务器，点击立即创建

等待系统创建完成即可

镜像创建完毕后，这台临时弹性云服务器已经没有其它可利用价值了，为了避免它掏空我们的腰包，我们需要返回弹性云服务器，把它删除掉

# 切换操作系统

回到我们已经购买好的云服务器，选择切换操作系统，镜像类型选择私有镜像，此时应该可以看到我们前面所创建好的系统盘镜像，选择我们的 CSA 镜像，设置密码选择使用镜像密码，然后点击确定开始重装系统

操作系统切换完毕后，选择远程登录，远程方式选择 VNC

查看是否能够正常登录，在登录界面选择 admin用户 ，输入密码 admin , 点击 Sign In

能够正常登录证明我们的操作系统已经安装完毕，接下来就是配置了

# CSA 配置

进入系统后会自动弹出 CSA 的使用条例，不用管，拉到最下面，直接点击 Accept

更改 CSA 登录密码，更改完后会要求输入新密码重新访问

# 时区设置

在 CSA Web 控制台中选择 System --> Date/time settings --> Time zone 选择对应的时区

# 网络设置

在 System --> Network Setting , 填写你的 IP地址、DNS服务器、主机名 相关信息，然后 Save 保存

# 网关服务设置

点击 Gateway service ， TLS 选择 TLSv1.2

往下拉找到 Additional host names 在这里添加 CSA 的公网解析记录，然后 Save 即可

# 配置 CSA Service 密码

点击 Users ，在 service 账号右侧的 Set Password 配置一个连接密码，该账号主要是用于 EPM 连接，可以跟 admin 设置不一样的密码

# 激活 CSA

点击 Activation --> Activate Now 开始激活 CSA

# 证书配置

通过上面的配置，如果云服务器的安全组没有拦截 443 端口的话，那么我们应该可以在自己的电脑上通过浏览器访问 CSA 的控制台了

如果不能在从互联网访问CSA，请检查CSA的网络配置是否有误，以及云服务器的安全组是否允许该端口流量入站

我们从自己的电脑访问 CSA 控制台，点击 Manage CSA certificates --> Create CRS 创建证书申请请求

填写相关信息，这里重要的是 Common Name 信息，其它的随意，然后点击 Create

点击 Display 可查看申请证书请求文件 CSR 内容

接下来就是申请证书，我这里以华为云测试证书为演示

登录华为云证书管理控制台，在 SSL 证书管理界面创建测试证书，点击申请证书

证书请求文件选择自己生成 CSR, 复制前面在 CSA 上申请的 CSR，点击下一步

填写公司联系人信息，点击提交申请

此时会提示 DNS验证

点击可以查看验证步骤，根据步骤去 DNS解析 配置即可

在 DNS域名解析 添加对应的 TXT记录 ，添加完返回证书界面验证即可

验证通过后下载证书

下载后解压，打开 cert文件 ，复制里面的所有内容

回到 CSA 证书管理界面，点击 Add CSA Certificate , 粘贴 cert文件 的内容，然后保存

此时 CSA 服务将重启，需要等待一段时间，等待证书添加完毕后，访问 CSA 应该会提示证书错误，我们需要删除所有的自签名证书，只留下我们刚刚申请的证书

然后重启 CSA 服务器

重启后再访问 CSA 证书就生效啦，是不是很简单 ^ _ ^

SSL 证书是 MDM 的必要条件，如果不需要 MDM 功能可以不用配置 SSL 证书

# Remote Tunnel

如果需要对外网的设备进行远程控制，那么就必须配置一个 Remote Tunnel 服务，该服务可以安装在任意一台在公网的 Linux 或 Windows 设备，但是通常我们会将该服务安装在 CSA 这台设备上，毕竟谁的钱都不是大风刮来的，完全没有必要另外单独搞一台设备安装这个 Remote Tunnel 服务

先看一下 Remote Tunnel 的通信架构图

由图得知，外部设备需要能够访问 Remote Tunnel 服务器的 TCP 44345 端口， RCViewer 需要能够访问 Remote Tunnel 服务器的 TCP 44344 端口， Core Server 需要能够访问 Remote Tunnel 服务器的 TCP 44346 端口，所以我们的 CSA 需要在防火墙入站规则放行 TCP 443、44344、44345、44346 这几个端口

安装步骤如下:

使用 SSH 连接 CSA Server，用 sudo su 切换到 root 账户
使用 curl -O -sSL https://download.ivanti.com/product/CSA/46/tunnel_install_centos7.tar.gz 下载安装文件
解压 tunnel_install_centos7.tar.gz
切换到 centos7 目录
执行安装脚本
安装完使用 ss 命令查看对应端口是否处在监听状态

# EPM 设置

# 添加 CSA 服务器

在 EPM 控制台依次点击 配置 --> 管理 Cloud Services Appliance , 填写 CSA 相关信息，密码是 CSA service 账号的密码，可不要搞错了哦

点击应用添加

添加成功

# 添加 Remote Tunnel

在 EPM 控制台依次点击 配置 --> 管理远程控制隧道 ，填写 隧道 相关信息

# 客户端连通性策略启用 CSA 和 Tunnel 策略

在代理设置中找到客户端连通性策略，在 Cloud Services Appliance 启用 CSA通信 ，并将左侧可用项的 CSA 移动到右侧已选项

点击 远程控制隧道 ，启用 远程隧道通信 ，将左侧可用项的 Tunnel 移动到右侧已选项

到此 CSA 的所有相关配置都基本完成了，此时生成新的代理安装包在外网的设备上安装便可进行管理，后续我再研究一下 MDM 的功能

Pulse Secure

Fri, 03 Mar 2023 15:39:00 +0800

最近因为无聊，就跟别人搞了个 Pulse 的镜像包，毕竟我对 EPM 已经没有太多的热情了，废话不多说，下面就先把环境搭起来吧

# Pulse 安装

Pulse 的安装文件是一个 Zip 压缩包，解压出来是开源虚拟化 OVF 格式文件，用 VMware 打开 OVF 文件即可进行 Pulse 的安装

开机前先配置虚拟机的网络适配器，默认情况下三个网络连接的都是桥接模式

配置好网卡后，打开电源进入 GRUB 引导界面选择 Factory Reset 进行初始化安装

按照提示填写对应信息

完成后可以看到当前的系统软件版本、 Licensing Hardware ID 和交互命令，到此安装结束

通过浏览器访问 Web 控制台，能够正常显示和登录就说明服务器安装正常

# System 配置

以下是 System 系统的一些基本配置

# License

点击 System > Configuration > Licensing ，在 installled licensing details 填写你的许可信息，然后点击 Add 即可

# Date & Time

点击 System > Status > Overview , 在 Appliance Details 找到 System Date & Time , 点击 Edit 更改时区和时间设置

# Netwrok

点击 System > Network , 可查看网络相关的设置，在 Overview 界面可配置主机名和 DNS 等信息

Internal Port 配置内网信息

External Port 配置公网信息

Management Port 配置管理接口信息

# Certifications

点击 Configuration > Certificates > Device Certificate > Import Certificate &Key 进入证书导入界面

在 If certificate and private key are separate files 中选择对应的证书文件，然后点击 Import

导入成功后，点击证书名称进入证书详情界面

在 Present certificate on these ports 选项中添加 External Virtual Ports 将证书配置到公网，然后点击 Save Changes 保存退出

# Authentication 配置

以下是 Authentication 认证相关的配置

# Local Authentication

点击 Authentication > Auth Servers , 在 New 下拉菜单中选择 Local Authentication , 然后点击 New Server

填写策略名称，密码强度要求和账号锁定规则，填写完后点击 Save Changes

点击 Save Changes 后可以添加用户，点击 Users

点击 New , 填写新用户的信息，填完后点击 Save Changes 保存

# LDAP Server

点击 Authentication > Auth Servers , 在 New 下拉菜单中选择 LDAP Server , 然后点击 New Server

填写策略名称和 LDAP 的 IP 地址以及端口信息， LDAP Server Type 选择 Active Directory , Connection 选择 Unencrypted , 然后点击 Test Connection 看看是否能够正常连接

# Active Directory

点击 Authentication > Auth Servers , 在 New 下拉菜单中选择 Active Directory , 然后点击 New Server , 填写策略名称和域名信息，填写完毕后点击 Save Changes , 如无法加入域则检查服务器时间是否正确，也可以通过 Troubleshooting 功能进行故障排查

# Signing In

点击 Authentication > Signing In > Signing Policys , 选择 User Type , 填写 Sign-in URL , 选择 Authentication realm 后点击 Save Changes

# Users 配置

以下是 Users 系统的一些基本配置

# User Roles

点击 Users > User Roles , 然后点击 New Roles

填写策略名称，勾选角色访问权限，点击 Svae Change 保存

# Users Realms

点击 Users > User Realms , 然后点击 New Users Realms

填写策略名称，选择认证服务器，勾选是否需要二次认证，点击 Svae Change 保存

保存后在 Role Mapping 界面点击 New Rule

Rule Based on 选择 Group membership , 填写策略名称，点击 Groups , 添加用户，然后选择 Role 策略，最后点击 Svae Change 保存

# 客户端登录

按照上面的策略配置，用户已经可以通过浏览器访问和登录 Pulse 了，下面是用户登录界面和登录后的界面

由于当前我的环境还没什么服务可以测试，后续有空添加其它服务再进行测试

Mobileiron Basic Configuration

Tue, 14 Feb 2023 10:54:00 +0800

Mobileiron 的学习因为之前住院和出院后的放疗，摆烂了大半年，以至于之前测试环境中的域名已经过期😂😂😂

为了后续更好的测试，我重新安装了新的环境，域名改成 mc.keeponline.cn 其它不变

这里简单说一下， mobileiron 有两个 Web 管理控制台，分别是:

Core Admin Portal : https://mc.keeponline.cn/mifs/admin
Core System Manager : https://mc.keeponline.cn:8443/mics

其中 Admin Portal 是用于配置设备管理的控制台， System Manager 是用于配置服务器的一些相关设置的控制台，这里主要说一下 Admin Portal 的配置

# Dashboard

控制台仪表盘界面可以很直观地查看设备的各种详细信息，就是一个图形化报告的汇总，没啥好说的

# Devices & USERS

该菜单栏可配置 Device、Users、Lebels、ActiveSync、Apple Device Enrollment、Apple Education 策略

# Devices

这里可以查看所有已经注册的设备、邀请新用户注册和对设备进行管理，例如锁定设备、给设备推送消息通知

# 添加单设备

依次点击 Devices & Users > Devices > Add > Single Device , 填写设备相关信息，填写完毕点击 Register , 弹出注册相关信息，这些信息可以通过短信或邮件发送给用户，让用户主动注册设备

# 添加本地用户

# 添加 AD 域用户

添加 AD域用户 需要先配置 LADP , 然后点击 Devices & Users > Users > LDAP Entities > LDAP USERS , 输入域账号，点击放大镜图标进行搜索，搜索到用户后勾选该用户，然后点击 Action > Assing Roles 给该用户分配权限，如果只是普通用户，我们分配一个 User Portal 权限即可

# Admin

该菜单可以配置 Admins 和 Device Spaces 策略

# Admins

依次点击 Admin > Admins > Actions > Edit Roles 可以编辑管理员账号的权限

# Device Spaces

依次点击 Admin > Device Spaces Add+ 可以添加设备范围，例如添加一个 Android 手机的设备范围

# Apps

该菜单可以配置 App Catalog、Categories、App Tunnels、App Control、Apps@Work Settings、 Apple Licenses 策略

# App Catalog

依次点击 Apps > App Catalog > Add+ 可以添加应用程序

例如添加一个 Apple IOS 的应用，这里选择 iTunes , 在 Application Name 输入应用程序名称， App Store 选择地区，点击 Search 即可查找对应的程序

选中对应的程序，然后点击左下角的 Next ，给应用添加一个类别标签

点击 Next 配置 App@Work Catalog 信息然后下一步保存即可

这样一个应用程序就添加好了，接下来我们需要为这个应用程序添加一个标签关联对应的设备策略，选中该应用程序，点击 Actions > Apply To Labels , 在这里选中 iOS 这个标签就可以了，这样所有的 iOS 设备都可以在 App@Work Catalog 中下载安装该应用

# Categories

依次点击 Apps > Categories 可以添加分类标签，这个相对简单，没啥好说的

# Policies & Configs

该菜单可以配置 Configurations、Policies、ActiveSync Policies、Compliance Policies、Compliance Actions 策略

# Configurations

这里的配置很多，例如安卓设备国内因为无法访问 Google 服务，所以只能使用 Non-GSM 模式管理，就需要开启 Closed Network/AOSP 模式

其它的配置目前还用不上，后续测试用上了再作介绍

# Policies

Policies 这里简单介绍几个我知道的策略吧

# Android Kiosk Mode

Kiosk 模式就是自助终端模式，可以限制用户使用原系统的任何功能，只能使用管理员允许的 APP, 相当于一个强管控的模式

# Security

安全策略这里配置设备密码复杂性，数据加密等

# LockDown

LockDown 策略这里可以限制设备的使用功能，例如禁用相机、蓝牙、屏幕截屏、WiFi、APP 等功能，基本上设备的绝大部分功能限制都在个策略上可以实现，这里就不一一列举了

# Services

服务这里大部分我都不认识，这些服务基本都是我日常接触不到的，只能说一些我知道的服务

# LDAP

LDAP 用于对接我们的域服务器目录数据，登录 Admin Portal , 点击 Services > LDAP > Add New , 填写 AD域 信息，然后点击 View LDAP Browser 查看是否能够正常预览 AD 架构，预览正常点击 Save 保存即可

# Google

谷歌服务这里可以选择安装设备的管理模式，目前国内的话，因为无法正常访问谷歌服务，所以这里需要启用 AOSP/Closed Network Devices

这样设备只需要通过简单的刷写 Set Device Owner 数据，也能实现 Non-GMS 设备的管理

# Settings

这里可以配置本地用户的密码策略、客户端证书认证、iOS MDM 配置等

就先这样吧，后续有需求再测试吧

自建游戏加速器

Tue, 03 Jan 2023 16:20:00 +0800

前段时间我不是住院咩，在住院期间就很无聊，每天都是在刷 b 站，然后就刷到 Switch 宝可梦第九世代朱紫发布了，看了一些 UP 主的评测和游玩，心里就一直痒痒的

老实说，我已经有两年左右的时间没怎么玩游戏了，上一次玩宝可梦还是在 Gameboy 上玩的第三世代，后面发布的宝可梦就直接把 Gameboy 给淘汰了

这些年来虽然没有再玩过宝可梦的游戏了，但是宝可梦的动漫和剧场版都是一直有在看的，这是我目前保留不多的童真，超怀念小时候玩 FC 和 GameBoy ，那时候玩游戏是真的快乐

就在上周，我一时没忍住就购买了 Switch OLED 朱紫限定版 主机和 宝可梦紫 卡带，并且在元旦那天我也把这个游戏给通关了😁😁😁

游戏方面就不多聊了，反正画质不是小时候玩的 Gameboy 能够相提并论的，这里主要是说一下 Switch 主机在联网上面的遇到的一些问题和我的解决方法

由于我是第一次接触 Switch 这款游戏机，之前并不知道 Switch 在国内的网络体验是如此垃圾，这里总结一下

# Switch 联网问题

游戏下载慢

我拿到 Switch 的第一时间就是注册了任天堂的账号，因为贫穷的原因，我想在商城上看看有什么免费的游戏下载，先是挑选了一些免费游戏，然后尝试下载

看到下载时间为 32 小时，顿时奔溃，于是开始上网查找原因，大概就是任天堂在国内没有服务器，并且在国内也没有 ICP许可证 而无法向国内提供 CDN服务 所导致下载慢

解决的办法也简单，更改 DNS 或者使用游戏加速器

我试了一下更改 DNS 的方法，确实是有效的，但是一个个测试太繁琐，需要浪费很多时间，最后才找到一个合适的 DNS，下载时间瞬间就变成一个小时了

这里推荐一个 DNS Benchmark 的小工具，可以帮助我们批量测试 DNS 的链接速度，节省自己在 Switch 一个一个的更换测试时间

这个软件很简单，打开后通过 Nameserver -- Add/Remove 菜单移除掉自带的所有 DNS , 然后添加自己需要测试的 DNS , 添加完后点击 Run Benchmark 就可以了，结束后响应时间最快的 DNS 会自动排在最上面，一般选择最上面的 DNS 即可

另外说一下，游戏加速器我也试用了几个产品，不得不说游戏加速器是真的好用，缺点就是要收费，一年三百多块的样子，我这段时间因为这条狗腿的问题已经是负债累累了，实在是囊中羞涩

PS: 土豪直接上加速器，后面的不用看了

游戏联机错误

下载的问题解决了，本以为就可以痛快的玩游戏了，但是我通过游戏联机的时候结果直接报错

我人都麻了，然后又开始上网找原因，大概就是 Switch 想要联机稳定，主要是看网络测试中的 NAT类型 是否为 A

测试结果为 B , 上网搜了一下，这个问题好像除了用加速器外别无他法了☹️

# Clash 代理

此时我想起自己有一台海外的 VPS ，应该可以做点什么把这三百块钱给省下来，我目前这台 VPS 上之前搭建了有 V2ray 作为 Vmess 服务器，不知道能不能用 Vmess 做代理改善 Switch 的联机环境

既然要用 Vmess 作为代理，那么就需要找一个支持 Vmess 的代理服务器，我之前研究科学上网的时候，有使用过 Clash 这个工具，这个工具提供代理服务，但是不能直接使用 Vmess 链接进行科学上网，而是采用 订阅链接 的方式提供代理服务

我们可以通过 https://acl4ssr-sub.github.io/ 这个地址进行订阅转换，该网站提供 ss/ssr/vmess链接 转换订阅服务，并且可批量转换

开始之前，我们还需要下载一个叫 subconverter 的转换工具，这个工具能让本地提供订阅转换服务，因为我并不打算使用该网站提供的后端转换服务，原因是对方可以获取到你的相关信息，所以用这个工具可以在本地提供这个订阅服务

通过 https://github.com/tindy2013/subconverter/releases/ 下载 subconverter , 下载对应的平台版本后解压，解压后运行 subconverter.exe 程序，运行后会弹出一个窗口，这个窗口不要关闭，最小化即可

然后在 https://acl4ssr-sub.github.io/ 填写你的 ss/ssr/vmess链接 ，客户端选择 Clash , 远程配置 不选 ，后端地址选择 本地版 ，然后点击 生产订阅链接

复制定制订阅链接，我们在本地的浏览器打开看看是否能够正常访问

确定能够正常访问后，打开 Clash , 在 Profiles 输入定制订阅链接，然后点击 Download 即可下载配置文件

然后在 Proxies 测试一下节点响应情况，我的响应时间是 600 多毫秒，情况有点糟糕，感觉这个方法不太行

还是先试一试吧，在 General 开启全局代理服务

然后在 Switch 上配置一下代理信息

配置好代理后进行网络测试

结果 NAT类型 还是 B , 看来通过代理这种方法并不能改善联机的网络

虽然 Clash代理 并不能改善 Switch 的联机体验，但是可以用来给我的 ipad 和 iphone 平时看外站，所以还是有点用的

# Netch 游戏加速器

代理的方法碰壁后，我就只能找其它的方法，最终让我找到了一个开源的游戏加速器 Netch , 这个软件使用方式很简单，目前只支持 Windows平台 ，废话不多说，马上进入主题， Netch 下载地址 https://github.com/netchx/netch/releases/

下载 Netch 解压后运行主程序，可以看到 Netch 支持目前绝大多数的代理协议

为了可以更好的玩耍，我打算搭建 SS 服务器，因为 Vmess 协议是经过多次加密，相对来说体验较差，而且 SS 服务搭建也简单，因为之前就有用过一个一键安装的脚本，我真的是个大聪明😜

PS: SS协议流量在国内一定会被检测到并且封IP,我之前不知道,结果被ban了,后续我还是乖乖的用回Vmess协议了

对了，我的 VPS 是 CentOS 7 的版本，如果是 Ubuntu 或 Debian 直接 apt install shadowsocks-libev 即可

下载一键安装脚本并添加执行权限

wget --no-check-certificate -O shadowsocks-libev.sh https://raw.githubusercontent.com/teddysun/shadowsocks_install/master/shadowsocks-libev.sh && chmod +x shadowsocks-libev.sh

执行脚本进行一键安装

./shadowsocks-libev.sh 2>&1 | tee shadowsocks-libev.log

按照提示输入密码和端口协议这些相关信息，最后按回车自动安装

安装完成后显示相关的信息

如果需要修改的话改这个文件即可 /etc/shadowsocks-libev/config.json , 改完后要重启服务哦

	启动：/etc/init.d/shadowsocks start
	停止：/etc/init.d/shadowsocks stop
	重启：/etc/init.d/shadowsocks restart
	查看状态：/etc/init.d/shadowsocks status

然后在 Netch 上添加我们的 Shadowsocks 服务器，填写对应的信息然后保存

保存后在模式这里选择 Tencent Preset , 然后点击闪电图标进行网络测试

152 毫秒还可以，这次应该可以愉快的玩耍了，点击启动开启服务，此时会弹出一个窗口，里面有 IP地址/掩码/网关 信息

打开 Switch 网络配置界面，将 IP 地址改成手动，配置 Netch 提供给我们的网络信息

保存后返回网络测试，可以看到虽然下载上传的速度变成几兆了，但是 NAT类型 变成 A 了

太激动了，马上登录我的宝可梦尝试联机，

太棒了，这次选择团战没有报错，而且也有玩家加入，终于可以愉快的和玩家一起刷太晶坑了🥰🥰🥰

# 总结

最后再说一下吧，有的人可能会说一台 VPS 也不便宜啊，搞得这么麻烦，还不如直接买加速器

其实吧，有的时候一些云服务器厂商搞活动，一台云服务器 1 年才两百块左右，长时间使用我觉得是可以省下几顿大餐的，而且加速器仅仅只能用于游戏加速，云服务器就不一样了，我还可以在上面搭建各种服务对吧

就这样吧，反正只是单纯记录一下自己尝试过的 Switch 联机方法，并且有些方法也不仅仅可以用来优化 Switch 的网络，以后要是有其它更好的方法我再分享吧