第二个VPS科学球 - 改

新VPS科学球是racknerd一年9.89$捡的，算是美帝良心？

后记：racknerd丢包率和延迟真的没法忍，趁人民币强势斥巨资（三百人民币）换了某瓦工的最贫穷CN2线路，果然一分价钱一分货……

看了几个帖子又咨询了chatgpt，简单的说CN2 GIA是CN2的升级版，贵了两三倍，如果只是上上网CN2就够用了。

CAUTION
仅限技术交流！

搭建新VPS科学球环境#

Centos7实在太老了就重装了Ubuntu 22.04，首次登录改密码（为了方便，应该把zsh、git、oh-my-zsh、vim、tmux装上。）：

1
# VPS上改密码
2
passwd
3
# 电脑上上传秘钥进行ssh免密登录，也可以直接在云控制台里一次录入多个公钥
4
ssh-copy-id root@1*.*.*.*
5

6
sudo apt update && sudo apt dist-upgrade -y
7
sudo apt install zsh git vim tmux ufw
8
chsh -s $(which zsh)
9
sh -c "$(curl -fsSL https://raw.github.com/ohmyzsh/ohmyzsh/master/tools/install.sh)"

将ssh设置为无法用密码登录（只接受key pair认证），顺便调整ssh超时时间：

1
# /etc/ssh/sshd_config 中：
2
# 禁止密码认证
3
PasswordAuthentication no
4
# 调整ssh会话一次存活60秒，自动重连60次
5
ClientAliveInterval 60
6
ClientAliveCountMax 60
7

8
# 重启sshd服务：
9
service sshd restart

开防火墙策略：

1
sudo ufw allow 22/tcp comment ssh
2
sudo ufw allow 443/tcp comment https
3
sudo ufw allow 80/tcp comment http
4
sudo ufw enable

搭建VPS科学球#

继续向一键安装脚本（原来的一键安装脚本已失效）低头，真香……这个脚本推荐的是trojan+TCP+TLS，我客户端也按照这个配的，其他的配置貌似连不上，我也没仔细研究。

1
wget -P /root -N --no-check-certificate "https://raw.githubusercontent.com/mack-a/v2ray-agent/master/install.sh" && chmod 700 /root/install.sh && /root/install.sh

配置aria2c远程下载服务，本地使用AriaNg搭配风味更佳：

1
mkdir -p ~/.config/aria2
2
touch ~/.config/aria2/aria2.conf       #aria2的配置文件
3
touch ~/.config/aria2/aria2.session    #aria2保存会话的文件
4
vim ~/.config/aria2/aria2.conf         #修改配置文件

配置如下：

1
## '#'开头为注释内容, 选项都有相应的注释说明, 根据需要修改 ##
2
## 被注释的选项填写的是默认值, 建议在需要修改时再取消注释  ##
3

4
## 文件保存相关 ##
5

6
# 文件的保存路径(可使用绝对路径或相对路径), 默认: 当前启动位置
7
dir=/webroot/downloads
8
# 启用磁盘缓存, 0为禁用缓存, 需1.16以上版本, 默认:16M
9
#disk-cache=32M
10
# 文件预分配方式, 能有效降低磁盘碎片, 默认:prealloc
11
# 预分配所需时间: none < falloc ? trunc < prealloc
12
# falloc和trunc则需要文件系统和内核支持
13
# NTFS建议使用falloc, EXT3/4建议trunc, MAC 下需要注释此项
14
#file-allocation=none
15
# 断点续传
16
continue=true
17

18
## 下载连接相关 ##
19

20
# 最大同时下载任务数, 运行时可修改, 默认:5
21
#max-concurrent-downloads=5
22
# 同一服务器连接数, 添加时可指定, 默认:1
23
max-connection-per-server=16
24
# 最小文件分片大小, 添加时可指定, 取值范围1M -1024M, 默认:20M
25
# 假定size=10M, 文件为20MiB 则使用两个来源下载; 文件为15MiB 则使用一个来源下载
26
min-split-size=4M
27
# 单个任务最大线程数, 添加时可指定, 默认:5
28
split=16
29
# 整体下载速度限制, 运行时可修改, 默认:0
30
max-overall-download-limit=3000000
31
# 单个任务下载速度限制, 默认:0
32
#max-download-limit=0
33
# 整体上传速度限制, 运行时可修改, 默认:0
34
max-overall-upload-limit=50000
35
# 单个任务上传速度限制, 默认:0
36
#max-upload-limit=0
37
# 禁用IPv6, 默认:false
38
disable-ipv6=true
39
# 连接超时时间, 默认:60
40
#timeout=60
41
# 最大重试次数, 设置为0表示不限制重试次数, 默认:5
42
#max-tries=5
43
# 设置重试等待的秒数, 默认:0
44
#retry-wait=0
45

46
## 进度保存相关 ##
47

48
# 从会话文件中读取下载任务
49
input-file=/root/.config/aria2/aria2.session
50
# 在Aria2退出时保存`错误/未完成`的下载任务到会话文件
51
save-session=/root/.config/aria2/aria2.session
52
# 定时保存会话, 0为退出时才保存, 需1.16.1以上版本, 默认:0
53
save-session-interval=60
54

55
## RPC相关设置 ##
56

57
# 启用RPC, 默认:false
58
enable-rpc=true
59
# 允许所有来源, 默认:false
60
rpc-allow-origin-all=true
61
# 允许非外部访问, 默认:false
62
rpc-listen-all=true
63
# 事件轮询方式, 取值:[epoll, kqueue, port, poll, select], 不同系统默认值不同
64
#event-poll=select
65
# RPC监听端口, 端口被占用时可以修改, 默认:6800
66
rpc-listen-port=6800
67
# 设置的RPC授权令牌, v1.18.4新增功能, 取代 --rpc-user 和 --rpc-passwd 选项
68
rpc-secret=<your-rpc-secret>
69
# 设置的RPC访问用户名, 此选项新版已废弃, 建议改用 --rpc-secret 选项
70
#rpc-user=<USER>
71
# 设置的RPC访问密码, 此选项新版已废弃, 建议改用 --rpc-secret 选项
72
#rpc-passwd=<PASSWD>
73
# 是否启用 RPC 服务的 SSL/TLS 加密,
74
# 启用加密后 RPC 服务需要使用 https 或者 wss 协议连接
75
#rpc-secure=true
76
# 在 RPC 服务中启用 SSL/TLS 加密时的证书文件,
77
# 使用 PEM 格式时，您必须通过 --rpc-private-key 指定私钥
78
#rpc-certificate=/path/to/certificate.pem
79
# 在 RPC 服务中启用 SSL/TLS 加密时的私钥文件
80
#rpc-private-key=/path/to/certificate.key
81

82
## BT/PT下载相关 ##
83

84
# 当下载的是一个种子(以.torrent结尾)时, 自动开始BT任务, 默认:true
85
follow-torrent=true
86
# BT监听端口, 当端口被屏蔽时使用, 默认:6881-6999
87
listen-port=51414
88
# 单个种子最大连接数, 默认:55
89
#bt-max-peers=55
90
# 打开DHT功能, PT需要禁用, 默认:true
91
enable-dht=true
92
# 打开IPv6 DHT功能, PT需要禁用
93
#enable-dht6=false
94
# DHT网络监听端口, 默认:6881-6999
95
dht-listen-port=6881-6999
96
# 本地节点查找, PT需要禁用, 默认:false
97
bt-enable-lpd=true
98
# 种子交换, PT需要禁用, 默认:true
99
enable-peer-exchange=true
100
# 每个种子限速, 对少种的PT很有用, 默认:50K
101
bt-request-peer-speed-limit=3M
102
# 客户端伪装, PT需要
103
peer-id-prefix=-TR2770-
104
user-agent=Transmission/2.77
105
peer-agent=Transmission/2.77
106
# 当种子的分享率达到这个数时, 自动停止做种, 0为一直做种, 默认:1.0
107
seed-ratio=1.0
108
seed-time=0
109
# 强制保存会话, 即使任务已经完成, 默认:false
110
# 较新的版本开启后会在任务完成后依然保留.aria2文件
111
#force-save=false
112
# BT校验相关, 默认:true
113
#bt-hash-check-seed=true
114
# 继续之前的BT任务时, 无需再次校验, 默认:false
115
bt-seed-unverified=true
116
# 保存磁力链接元数据为种子文件(.torrent文件), 默认:false
117
bt-save-metadata=false
118
# dht-file
119
dht-file-path=/root/.config/aria2/dht.dat
120
# 删除未选择的文件
121
bt-remove-unselected-file=true
122
# 无速度时自动停止时间
123
#bt-stop-timeout=1800

启动aria2c：

1
aria2c --conf-path=$HOME/.config/aria2/aria2.conf -D

如果端口有监听，防火墙也设了策略，但是仍然不通，可能是selinux策略的问题，可以在selinux中选择添加新端口：

1
sudo semanage port -l | grep http_port_t
2
sudo semanage port -a -t http_port_t  -p tcp 8888

如果nginx报403错误，有可能是selinux的问题，看看ll文件夹权限最后有没有一个.或+，如果有可以尝试关闭selinux重新创建文件夹，去掉那个.。

如果觉得selinux麻烦，可以选择关闭selinux：

1
# 验证selinux状态：
2
getenforce
3
# 或
4
/usr/sbin/sestatus -v
5

6
# 关闭selinux：
7
vim /etc/selinux/config
8
SELINUX=disabled

另外，我的tmux配置用的是Oh my tmux，安装也很简单，只要tmux >= 2.4即可（centos7默认是1.8）。

1
cd
2
git clone https://github.com/gpakosz/.tmux.git
3
ln -s -f .tmux/.tmux.conf
4
cp .tmux/.tmux.conf.local .

OpenWRT和客户端设置#

我的macOS上用的是v2rayU，不过这个客户端貌似只有trojan配置可以用，其他不通，我也没仔细研究。

树莓派上依然是刷了最新版的OpenWrt-Rpi，这个版本跟一两年前的区别是，刷固件的时候会先覆盖内存卡做初始化，避免了上次那种配置了WiFi后即使重刷固件依然无法修改WiFi配置，必须低格才能删掉配置的尴尬。

在OpenWRT上要记得先设置静态IP（比如我用192.168.1.150），网关指向家里最前端的路由，再配置自定义DNS（如陕西移动的DNS是211.137.130.19），此时树莓派网络就正常了。

接下来记得设置OpenWRT的DHCP，以使连上来的终端的网关和DNS强制指向这个树莓派，在网络->LAN->高级设置 中勾选强制；设置IPv4子网掩码（比如我用255.255.255.0）；设置DHCP选项，比如我用3,192.168.1.150和6,192.168.1.150（3指设置DHCP客户端的网关，6指设置DHCP客户端的DNS，详见维基DHCP选项）。

最开始没设置DHCP选项，导致客户端接受的是前端路由器的DHCP设置，搜到这篇排错后，用service dnsmasq restart后查看日志logread -e dnsmasq，发现报错：

1
Mon Oct 31 22:27:24 2022 user.notice dnsmasq: found already running DHCP-server on interface 'br-lan' refusing to start, use 'option force 1' to override

这里要用强制选项DHCP才能设上，不过，如果网里同时有两个DHCP，通常相应快的那个会抢占设置客户端，所以最好还是关掉一个。

安装nps内网穿透服务端#

小可怜服务器没多少空间舍不得安装golang，直接从release列表中下载相应的二进制运行：

1
wget https://github.com/ehang-io/nps/releases/download/v0.26.10/linux_amd64_server.tar.gz
2
tar -zxvf linux_amd64_server.tar.gz
3
sudo ./nps install
4
sudo nps start

查看日志cat /var/log/nps.log，此时应该会有报错，因为我的443早就被占了：

1
...
2
2022/11/06 12:21:24.577 [E] [http.go:82]  listen tcp 0.0.0.0:443: listen: address already in use

修改配置文件/etc/nps/conf/nps.conf的用户名和密码，以及默认的http和https监听：

1
# ...
2
web_username=xxx
3
web_password=xxx
4
# ...
5
http_proxy_port=8880
6
https_proxy_port=8443
7
# ...

重启nps restart再次查看日志，已正常启动：

1
...
2
2022/11/06 12:22:51.420 [I] [nps.go:202]  the version of server is 0.26.10 ,allow client core version to be 0.26.0
3
2022/11/06 12:22:52.927 [I] [connection.go:36]  server start, the bridge type is tcp, the bridge port is 8024
4
2022/11/06 12:22:52.931 [I] [server.go:200]  tunnel task  start mode：httpHostServer port 0
5
2022/11/06 12:22:52.931 [I] [connection.go:71]  web management start, access port is 8080
6
2022/11/06 12:22:52.946 [I] [connection.go:62]  start https listener, port is 8443
7
2022/11/06 12:22:52.946 [I] [connection.go:53]  start http listener, port is 8880

开启防火墙，其中：

8024是默认桥接口，用于将内网客户端注册上来；
8080是管理口，用于网页访问修改配置；
10022是我要用的ssh映射端口口，即访问4x.x.x.x:10022->内网192.168.x.x:22；
其他端口，如8443->443、8880->80，是用于作域名映射的，我不用就不开策略了。

1
sudo firewall-cmd --zone=public --permanent --add-port=8024/tcp # nps 桥接端口
2
sudo firewall-cmd --zone=public --permanent --add-port=8080/tcp # nps 管理端口
3
sudo firewall-cmd --zone=public --permanent --add-port=10022/tcp # nps 映射到内网22的端口
4
# 不使用域名代理，防火墙可以不开
5
#sudo firewall-cmd --zone=public --permanent --add-port=8443/tcp # nps http 代理端口
6
#sudo firewall-cmd --zone=public --permanent --add-port=8880/tcp # nps https 代理端口
7
firewall-cmd --list-all
8
firewall-cmd --reload

然后，在内网的树莓派3B+上下载客户端：

1
wget https://github.com/ehang-io/nps/releases/download/v0.26.10/linux_arm_v7_client.tar.gz

按照说明添加一个客户端，并在树莓派上尝试连接nps服务器：

1
./npc -server=4x.x.x.x:8024 -vkey=*******

此时刷新nps管理页面，客户端已显示线了。在管理页面的TCP隧道中加一条端口映射，就可以从电脑上连接ssh -p 10022 pi@4x.x.x.x了。

新树莓派环境里youtube-dl下载带有key的hls时，使用--hls-prefer-native标识如果不生效，总是回到用ffmpeg下载，有可能是因为树莓派的python环境里缺少解密包，安装即可：

1
pip install pycrypto
2
# 如果是python3.10，用pycryptodome，参考：https://stackoverflow.com/questions/70705404/systemerror-py-ssize-t-clean-macro-must-be-defined-for-formats

树莓派需要下载这些东西，如果要使用OpenWRT，可以临时改一下路由，将0.0.0.0/0的默认路由指向OpenWRT即可：

1
# 添加前
2
ip route list
3
default via 192.168.1.1 dev eth0 proto dhcp src 192.168.1.119 metric 202
4
192.168.1.0/24 dev eth0 proto dhcp scope link src 192.168.1.119 metric 202
5
# 添加默认路由
6
sudo ip route add 0.0.0.0/0 via 192.168.1.150 dev eth0 proto static
7
# 查看结果
8
ip route list
9
0.0.0.0/0 via 192.168.1.150 dev eth0 proto static # 此时会多一条默认路由
10
default via 192.168.1.1 dev eth0 proto dhcp src 192.168.1.119 metric 202
11
192.168.1.0/24 dev eth0 proto dhcp scope link src 192.168.1.119 metric 202
12
# 删除默认路由
13
sudo ip route del 0.0.0.0/0
14
# 查看结果
15
ip route list
16
default via 192.168.1.1 dev eth0 proto dhcp src 192.168.1.119 metric 202
17
192.168.1.0/24 dev eth0 proto dhcp scope link src 192.168.1.119 metric 202
18
# 如果不小心删了默认路由，加回去就行了
19
sudo ip route add default via 192.168.1.1 dev eth0 proto dhcp src 192.168.1.119 metric 202

另外，

最后注意，此时树莓派的22口相当于暴露在公网上了，所以最好把ssh的密码登录关掉，只允许密钥登陆。