![Screenshot 2024-08-18 at 19.25.48.png](/static/img/e8d1327aa83aec5621ac30c3b4d7dc3a.Screenshot%202024-08-18%20at%2019.25.48.webp)
Docker不仅仅只能本地管理，也可以远程连接，很多应用就需要用到它，但是默认的连接端口2375并不加密，总感觉不安全，所以我们需要开启TLS并使用2376端口。

具体操作步骤：


# 使用 OpenSSL 创建 CA、服务器和客户端密钥
首先，在远端的docker宿主主机上新建个文件夹，保存生成的 CA 私钥和公钥文件：

```
mkdir ~/ca
cd ~/ca
```
## 使用OpenSSL生成 CA 私钥和公钥文件
依次执行以下命令：
```
openssl genrsa -aes256 -out ca-key.pem 4096
```
这里需要输入一个密码，请牢记这个密码，后面要用到
```
openssl req -new -x509 -days 3650 -key ca-key.pem -sha256 -out ca.pem
```
这里需要输入密码、国家、省、市、组织、单位、Common name、邮箱等。Common name填写 ip地址
```
openssl genrsa -out server-key.pem 4096
```
```
openssl req -subj "/CN=$HOST" -sha256 -new -key server-key.pem -out server.csr
```
注意，将/CN=后面的$HOST替换成docker所在主机的域名或者IP地址。
## 使用 CA 签署公钥
```
echo subjectAltName = DNS:$HOST,IP:0.0.0.0 >> extfile.cnf
```
同样要替换$HOST为docker所在主机的域名或者IP地址

由于这是服务器公钥，所以这里的IP是指服务器IP。上面是允许所有IP远程访问，也可以只允许指定的IP访问。例如，只允许192.88.9.8进行连接

将 Docker 守护程序密钥的扩展使用属性设置为仅用于服务器身份验证：
```
echo extendedKeyUsage = serverAuth >> extfile.cnf
```
## 生成签名证书
```
openssl x509 -req -days 3650 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem -extfile extfile.cnf
```
## 继续创建客户端密钥和证书签名请求：
```
openssl genrsa -out key.pem 4096
```
```
openssl req -subj '/CN=client' -new -key key.pem -out client.csr
```
## 要使密钥适合客户端身份验证，请创建一个新的扩展配置文件：
```
echo extendedKeyUsage = clientAuth > extfile-client.cnf
```
## 现在，生成签名证书：
```
openssl x509 -req -days 3650 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out cert.pem -extfile extfile-client.cnf
```
## 生成后cert.pem，server-cert.pem您可以安全地删除两个证书签名请求和扩展配置文件：
```
rm -v client.csr server.csr extfile.cnf extfile-client.cnf
```

:::tip{title="默认umask值为 022，您的密钥对您和您的组来说是世界可读和可写的。"}
为保护您的密钥免受意外损坏，请移除其写入权限。要使它们只能由您读取，请按如下方式更改文件模式：
:::
```
chmod -v 0400 ca-key.pem key.pem server-key.pem
```
证书可以是全世界可读的，但您可能希望删除写入权限以防止意外损坏：
```
chmod -v 0444 ca.pem server-cert.pem cert.pem
```
# 让 Docker daemon只接受来自提供 CA 信任的证书的客户端的连接
## 把dockerd要用到的文件找个地方单独存放：
```
cp {ca,server-*}.pem /etc/docker/
```
## 在启动docker daemon时开启TSL认证，并指定ca、公钥秘钥：
:::tip{title="注意：基于 TLS 的 Docker 应该在 TCP 端口 2376 上运行。"}
:::
## 使用service
一般是使用service管理docker daemon，配置：
```
vim /lib/systemd/system/docker.service
```
### 修改ExecStart为如下：
`ExecStart=/usr/bin/dockerd -H fd:// -H unix:///var/run/docker.sock --containerd=/run/containerd/containerd.sock --tlsverify --tlscacert=/etc/docker/ca.pem --tlscert=/etc/docker/server-cert.pem --tlskey=/etc/docker/server-key.pem -H tcp://0.0.0.0:2376`

:::tip{title="修改后记得reload一下"}
:::
```
systemctl daemon-reload
```
重启docker daemon服务：
```
systemctl restart docker
```
# 客户端设置
## 将客户端密钥和签名证书拉取到客户端
使用scp命令拉取服务器上的客户端秘钥和签名证书：
```
C:\Users\xxx> scp root@$HOST:~/ca/{ca,cert,key}.pem ./.ca/docker
```
同样将 $HOST 替换成docker daemon所在服务器的ip或域名

Docker开启TLS保护的安全远程连接

![Screenshot 2024-08-16 at 15.44.21.png](/static/img/89376b2540988daf5f819007c4ed3485.Screenshot%202024-08-16%20at%2015.44.21.webp)
> 更新至官方 23.05.5 版本、arm 架构编译为例，若为其他平台（x86、树莓派等其他架构）则下文中获取内核的魔法值、菜单配置需自行更改



# 准备工作
## 环境
- 系统：Ubuntu 24.04.1 LTS (GNU/Linux 6.8.0-45-generic x86_64)
- 网络：科学上网
- 磁盘：大约有 70G 的空闲空间
- 内存：至少 4G 物理内存
- CPU：越快越好，影响编译速度
## 依赖
:::tip{title="以 root 用户执行以下命令或者有 root 权限的用户运行以下命令"}
:::
> **Debian / Ubuntu / Mint**

Modernized set for Ubuntu 24.04 that has Python 3.12 without python3-distutils: (OpenWrt main/master in Apr 2024)

```
sudo apt update
sudo apt install build-essential clang flex bison g++ gawk \
gcc-multilib g++-multilib gettext git libncurses5-dev libssl-dev \
python3-setuptools rsync swig unzip zlib1g-dev file wget
```
## 源码
:::tip{title="以下命令以普通用户执行，不要用 root"}
:::
先进入自己的工作目录，例如我的是`~/Downloads`

```
cd Downloads
```
> 下载源码（`-b` 指定分支/标签、 `--single-branch` 仅下载单个分支/标签、 `--depth=1` 只下载最新的一次提交 ）
```
git clone -b v23.05.5 --single-branch --depth=1 https://github.com/openwrt/openwrt.git
```
> 进入到该目录
```
cd openwrt
````
# 配置
## vermagic
:::tip{title="编译时，一定会遇到内核的魔法值不一样，需要完成如下修改："}
:::
### 获取值
获取值时，要注意后续选择平台，本文以 arm 平台为例
> 方式一：

执行以下脚本即可写入到 vermagic 文件中。注意： 23.05.5 为版本号
```
curl -s https://downloads.openwrt.org/releases/23.05.5/targets/ipq40xx/generic/openwrt-23.05.5-ipq40xx-generic.manifest | grep kernel | awk '{print $3}' | awk -F- '{print $3}' > vermagic
```
> 方式二：

1. 打开官方对应版本的下载链接：https://downloads.openwrt.org/releases
2. 点击：23.05.5 -> targets -> ipq40xx -> generic 页面最底下
3. 下载 Supplementary Files 中的 openwrt-23.05.5-ipq40xx-generic.manifest 文件
4. 使用文本编辑器打开该文件，记录下 kernel 最后面的字符串（不包含版本号“5.15.167-1-”）
5. 执行以下脚本写入到 vermagic 文件中

```
echo '8f9ae65a21e1c33e542689b57c4d70f0' > vermagic
```
### 修改内核配置文件
> 编辑配置文件
```
vim include/kernel-defaults.mk +121
```
> 找到这一行，然后注释掉！
```
# grep '=[ym]' $(LINUX_DIR)/.config.set | LC_ALL=C sort | $(MKHASH) md5 > $(LINUX_DIR)/.vermagic
```
> 再在下一行添加如下内容
```
cp $(TOPDIR)/vermagic $(LINUX_DIR)/.vermagic
```
## 时区
> 编辑配置文件
```
vim package/base-files/files/bin/config_generate +315
```
> 修改时区为 CST-8
```
set system.@system[-1].timezone='CST-8'
```
> 再在下一行添加如下内容
```
set system.@system[-1].zonename='Asia/Shanghai'
```
## 默认IP
默认管理IP为 192.168.1.1 ，可以根据自己的需求进行修改
> 编辑配置文件
```
vim package/base-files/files/bin/config_generate +165
```
> 修改如下内容
```
lan) ipad=${ipaddr:-"192.168.50.1"} ;;
```
## 软件包
添加第三方软件有两种方式：

1. 将软件包仓库地址写入 feeds.conf.default 文件中，可以参考 kenzok8 的软件包的说明文档
2. 使用 git clone 手动下载软件包放入到 package 文件夹中(本人使用这种方式)，添加 nft-fullcone 软件包
```
git clone https://github.com/fullcone-nat-nftables/nft-fullcone package/nft-fullcone
```
3. 不论是哪种方式加入第三方软件，都需要执行以下代码更新 feeds 包

```
./scripts/feeds update -a
./scripts/feeds install -a
```
## 菜单配置
执行以下命令打开菜单配置
```
make menuconfig
```
终于来到了一个图形化界面，该界面有如下操作

:::tip{title="提示"}
- `↑` `↓` 键：上下切换
- `PgUp` `PgDn` 键：上下翻页
- `Enter` 回车键：
-进入子菜单
-选择/确认
- `Sapce` 空格键：在 < > 上进行操作，按一次变为 <*>，按两次变为 < M >
- `Y` 键：选中，在 < > 上进行操作，操作后变为 <*>
- `N` 键：取消选中，在 <*> 上进行操作，操作后变为 < >
- `Esc` 键：连击两下，返回上层菜单，如果在主菜单则为退出配置
:::
配置根据自己的需要进行选择
- Target System -> Qualcomm Atheros IPQ40XX
- Subtarget -> generic
- Target Profile -> Linksys WHW03 V2
- [*] Package the OpenWrt-based Toolchain   
- Base system --->
 
    < > dnsmasq
    
    <*> dnsmasq-full
- Kernel modules  ---> Netfilter Extensions  --->

     \<M> kmod-nft-fullcone
     
     {M} kmod-nft-compat
- LuCI  ---> Collections --->
    
    <*> luci    
- LuCI  ---> Collections ---> Modules ---> 
    
    <*> luci-base
- LuCI  ---> Collections ---> Modules ---> Translations  --->
    
    <*> Chinese Simplified
    
    
如果不小心配错了，可以执行以下命令重新配置

```
rm -rf ./tmp && rm -rf .config
make menuconfig
```
## 预下载

先把编译时需要的文件下载下来（只是一部分，后面编译阶段还会下载，仍需保持网络畅通）

```
make download -j$(nproc)
```
# 编译

接下来就要进入漫长的编译时间了，使用 -j 参数可以指定编译时使用的线程数

亲测Thinkpad X1 Carbon i5 线程全开需要接近1小时完成
> 根据CPU核心数开启指定线程数执行编译
```
make V=s -j$(nproc)
```
> 如果编译过程中报错了，需要使用单线程模式，确认出错的地方，然后排查（注：有时候单线程就不报错了）
```
make V=s -j1
```
# 获取成果

编译完成后，文件所在位置是：
`~/Downloads/openwrt/bin/targets/ipq40xx/generic/`

用OpenWrt官方源码编译固件及插件

![Screenshot 2024-08-07 at 21.40.36.png](/static/img/53a50990673f9071137ee8d9e9f4f2c4.Screenshot%202024-08-07%20at%2021.40.36.webp)
Linux图形化界面拷贝文件，是可以显示时间的，而在终端中，cp/mv命令在执行过程中是不会显示进度条的，此时或许命令正在执行，亦或者命令执行卡死，所以我们无法知道其执行进度，当拷贝大文件时，只能耐心等待。
按照本文的操作方法，不仅可以在使用cp命令拷贝文件时显示进度条，mv移动文件时也能显示进度条。



# 实现原理
cp 和 mv 命令都是属于 coreutils 工具包下的，默认情况下就已经安装了，如果需要实现进度条功能，需要重新安装 coreutils 工具包时，并且在安装过程中加入补丁包。
coreutils 工具包不仅提供cp和mv命令，还提供了如echo、cat、df等众多命令，可自行使用”`dpkg -ql coreutils`"命令查看它提供的命令。
## 查看coreutils默认版本
```
dpkg -l | grep -w coreutils
```
# Ubuntu 24.04 LTS 实现办法
## 安装依赖包:	
```
sudo apt-get install gcc make unzip patch -y
```

## 下载、修补、编译coreutils并生成文件：./advcpmv/advcp和./advcpmv/advmv:
```
curl https://raw.githubusercontent.com/jarun/advcpmv/master/install.sh --create-dirs -o ./advcpmv/install.sh && (cd advcpmv && sh install.sh)
```

## 安装（复制）二进制文件到目标目录:
```
sudo mv ./advcpmv/advcp /usr/local/bin/
```
```
sudo mv ./advcpmv/advmv /usr/local/bin/
```

## 修改配置文件增加特效：
```
sudo vim /etc/profile
```

## 配置文件末尾增加:
```
alias cp='/usr/local/bin/advcp -g'
alias mv='/usr/local/bin/advmv -g'
```

## 使配置文件立即生效：
```
source /etc/profile
```

> 参考： https://github.com/jarun/advcpmv

让cp/mv命令也能显示进度条

如果你有写好的 Windows 11 安装 U 盘，也可以在安装过程中更改注册表来绕过 TPM、安全启动和内存检测。

:::info{title="适用场景"}
绕过 TPM、安全启动和内存检测，全新安装 Windows 11，但无法绕过双核 CPU 要求。
:::



1、从你的 Windows 11 安装 U 盘启动。

2、按下Shift + F10键打开「命令提示符」，执行regedit打开注册表编辑器。

3、导航至以下路径：
`HKEY_LOCAL_MACHINE\SYSTEM\Setup`

4、创建一个名为`LabConfig`的注册表键，然后创建以下 3 项目 DWORD（32 位）值，并将其值设置为1：
* `BypassTPMCheck`
* `BypassSecureBootCheck`
* `BypassRAMCheck`

![Screenshot 2024-07-05 at 15.00.56.png](/static/img/3fc0069550bf8c23836af337281d5dcb.Screenshot%202024-07-05%20at%2015.00.56.webp)

5、关闭注册表编辑器和命令提示符，按照正常流程继续安装 Windows 11 系统。

:::warning{title="注意"}
无法绕过双核 CPU 要求
:::

Windows 11安装时绕过 TPM、安全启动和内存检测

Jellyfin媒体库封面中文显示为口口口，你遇到了吗？

![2022-01-1643036771.jpg](/static/img/4deac48645a3a7fd5bf177f0e82247cc.2022-01-1643036771.webp)


# 更新


:::tip{title="提示"}
这可能是目前为止最佳解决方案了
:::
在docker的环境变量添加这两个，那么至少在每次更新版本后，不需要手动替换或者安装字体了
```
  -e DOCKER_MODS=linuxserver/mods:universal-package-install
  -e INSTALL_PACKAGES=fonts-noto-cjk-extra
```

:::note{title="注"}
采用这个方法后，下面的内容可以不用再看😀
:::



# 第一步：下载中文字体
        ① 可以在 [阿里字体库](https://www.iconfont.cn) 下载一份自己喜欢的字体文件（当然其他任何你喜欢的平台都可以）。
        
        ② 将下载好的字体文件中后缀为 .ttf 的文件复制到的单独的 fonts 文件夹中，并创建六个副本，分别为以下命名：

```
DejaVuSans-Bold.ttf
```
```
DejaVuSansMono-Bold.ttf
```
```
DejaVuSerif-Bold.ttf
```
```
DejaVuSans.ttf
```
```
DejaVuSansMono.ttf
```
```
DejaVuSerif.ttf
```
# 第二步：上传字体文件
        ① 打开Jellyfin容器，找到挂载的 config 目录

![Screenshot 2024-07-04 at 14.16.15.png](/static/img/eb60d96068d25ccb096bede9486eba16.Screenshot%202024-07-04%20at%2014.16.15.webp)

        ② 打开文件管理，找到对应的 config 文件夹 /path/to/Jellyfin/config/ ，将上一步整理好的 fonts 文件夹上传到该目录下。

:::tip{title="提示"}
或者通过终端工具上传此文件夹，比如我这里是/DATA/AppData/Jellyfin/

```
scp -r ./fonts root@your_server_ip:/DATA/AppData/jellyfin/
```
:::

        ③ 上传完成后如下图

![Screenshot 2024-07-04 at 14.27.41.png](/static/img/b216bba2b64117c8075bbea656d15fc9.Screenshot%202024-07-04%20at%2014.27.41.webp)
# 第三步：备份原字体文件，并上载新字体文件
        ① 打开portainer，点击jellyfin容器，点击Console-connect。
![Screenshot 2024-07-04 at 14.09.38.png](/static/img/9ae76a1438b11c973e9be954e9c2e5fa.Screenshot%202024-07-04%20at%2014.09.38.webp)

        ② 进入容器中的字体存放文件夹
```
cd /usr/share/fonts/truetype/dejavu/
```
        ③ 创建备份文件夹 ./backup
```
mkdir backup
```
        ④ 将原目录下的字体文件复制到备份文件夹中
```
cp *.ttf ./backup
```
        ⑤ 删除原字体文件
```
rm -rf *.ttf
```
        ⑥ 将刚刚我们上传的自己准备的字体文件复制到当前目录下
```
cp /config/fonts/*.ttf ./
```
        ⑦ 退出 Jellyfin 容器
```
exit;
```
# 第四步：重启Jellyfin服务

![Screenshot 2024-07-04 at 14.30.21.png](/static/img/d74749b27afd2de7587fe76bc8368b9f.Screenshot%202024-07-04%20at%2014.30.21.webp)

:::tip{title="提示"}
或者使用命令行重启
```
docker restart <container_id>
```
:::

# 结果：舒服了


![Screenshot 2024-07-04 at 14.46.52.png](/static/img/c6ef873fa2d9cd349f0ea07a8d99ab76.Screenshot%202024-07-04%20at%2014.46.52.webp)
:::tip{title="提示"}
重启后标题依然无法正常显示，打开Jellyfin，进入管理控制台-媒体库，逐个选择媒体库-刷新meta-覆盖全部后就能正常显示。
:::