HE-SB-技术栈

2026 年，用最硬核的方式打开 GPG（二）

2026-02-02T05:57:40+08:00

本文是《2026 年，用最硬核的方式打开 GPG》系列文章的第 2 篇，在之前的文章中，已经完成了 GPG 四合一密钥的生成和备份。本文将详细介绍如何在已有密钥完整备份的前提下，在本地电脑（包括 Windows 和 Linux 系统）导入之前备份的子密钥，和配置远程服务器（以 Linux 系统为例），进行 git commit 签名和 SSH 登录。

下一篇文章将会介绍如何使用子密钥对文件和消息进行签名，加密等操作。

本文假设一切准备工作已经完成，现在应该有以下文件以备使用：

完整的四合一私钥备份 EC_full_secret.asc
吊销证书 EC_revocation.asc
仅包含子密钥，不含主密钥的三合一私钥文件 subkeys_only.asc
用于复制到远程服务器鉴权的 SSH 公钥文件 EA_openssh.txt
用于 GitHub 和个人网站的公钥文件 EC_public.asc

其中 1 和 2 请确保离线保存在安全的存储介质中，除非万不得已，否则不会用到。本文将使用 3 4 5 这三个文件，其中 3 在导入并信任后，应当彻底删除，后续有新的机器需要配置时，再用当前已配置好的机器现场导出供其使用。

00. Windows 11 配置

0.1 安装 GPG

官网下载安装包：https://gpg4win.org/download.html

直接选择最新版本的 Gpg4win，一路下一步安装。

安装完成后，新开一个 PowerShell 窗口，执行 gpg --version 确认，不出意外的话应该正常输出 GPG 版本信息。

0.2 导入密钥并添加信任

准备好本文开头提到的三合一私钥文件（subkeys_only.asc），执行以下命令：

1
2
3
4
5
6


# 导入密钥
gpg --import .\subkeys_only.asc
# 查看导入的密钥信息，记录主密钥的 Key ID（以下记为 <EC_ID>）
gpg --list-keys --keyid-format LONG
# 添加信任
gpg --edit-key <EC_ID> trust

接下来的交互式命令中，依次输入 5（添加最高等级的信任），y（确认），save（保存并退出），最后执行 gpgconf --kill all 重启 GPG 程序，即可完成本地环境对新添加密钥的信任。

注意，永远不要给其他人的密钥添加最高等级的信任！

0.3 配置 OpenSSH 使用 `EA` 子密钥鉴权

这一步是为了使用 EA 子密钥作为 SSH 连接远程机器时的身份认证，避免为 SSH 专门再生成一组密钥对，更方便统一管理。

首先配置 GPG 配置文件，启用 SSH 支持：

1
2


"", "enable-ssh-support", "enable-win32-openssh-support" | Out-File -FilePath $env:APPDATA\gnupg\gpg-agent.conf -Encoding utf8 -Append
"", "use-agent" | Out-File -FilePath $env:APPDATA\gnupg\gpg.conf -Encoding utf8 -Append

然后新开一个管理员权限的 PowerShell 窗口，配置系统环境变量：

1

[System.Environment]::SetEnvironmentVariable("SSH_AUTH_SOCK", "\\.\pipe\openssh-ssh-agent", "User")

现在 OpenSSH 连接远程服务器时，会自动调用 gpg-agent 程序来获取密钥鉴权了。但是默认情况下，gpg-agent 不会把所有的子密钥都推给 OpenSSH，而是需要显式地告诉 gpg-agent，该把哪个子密钥提供给 OpenSSH 用于 SSH 认证。要做到这一点，需要将对应子密钥的 Keygrip 写入 sshcontrol 配置文件：

1
2
3
4


# 查看带 A 权限的子密钥的 Keygrip，记为 <K_EA>
gpg --list-secret-keys --keyid-format LONG --with-keygrip
# 将子密钥的 Keygrip 加入配置文件
"", "<K_EA>" | Out-File -FilePath $env:APPDATA\gnupg\sshcontrol -Encoding utf8 -Append

现在所有的配置文件都准备完毕，还需要重启 gpg-agent 来使新的配置文件生效，然后禁用 Windows 自带的 ssh-agent，避免干扰 gpg-agent. 在管理员权限的 PowerShell 窗口执行下面的命令：

1
2
3
4
5
6


# 重启 gpg-agent
gpgconf --kill gpg-agent
gpg-connect-agent "GETINFO version" /bye
# 停止并禁用 ssh-agent
Stop-Service ssh-agent -ErrorAction SilentlyContinue
Set-Service -Name ssh-agent -StartupType Disabled

最后一步，Windows 启动时不会像 Linux 那样通过 systemd 自动拉起 gpg-agent 代理，所以需要额外的配置，确保每次打开 PowerShell 时 gpg-agent 是启动的状态：

1
2
3
4


# 修改 PowerShell 配置文件
"", "# 确保 gpg-agent 启动", "gpg-connect-agent --quiet /bye" | Out-File -FilePath $PROFILE -Encoding utf8 -Append
# 使配置文件生效
. $PROFILE

现在一切配置完成，下面验证一下：

1
2
3
4


# 首先验证 OpenSSH 能否通过 gpg-agent 获取到子密钥
ssh-add -l
# 比较 OpenSSH 获取到的子密钥哈希与之前导出的公钥哈希是否一致
$GPG = gpg --export-ssh-key <EC_ID> | ssh-keygen -l -f -; $SSH = ssh-add -l | Select-String "ED25519"; echo "GPG: $GPG", "SSH: $SSH"

不出意外的话，第一个命令应当正确输出 256 SHA256:<SHA256_HASH> (none) (ED25519) ，其中 <SHA256_HASH> 是密钥的 SHA256 哈希值；第二条命令会输出两行内容，比较两行输出中间的 <SHA256_HASH> 部分是否一致，一致则说明配置完成。如果不一致，或第一个命令报错 / 没有输出哈希，那么需要自行 Google 一下是哪里出了问题。

0.4 配置 git 使用 `ES` 子密钥签名 commit

这部分参考下文的 Linux 部分自行配置，俺本人没有 Windows 环境下的 git.

01. Linux 配置

绝大部分正常的 Linux 发行版都自带了 GPG 套件，所以这部分直接从导入密钥开始。

如果你的发行版确实没有自带，那么你首先需要自行研究如何安装 GPG. （都用这种发行版了，相信安装 GPG 对你来说应该不是问题）

1.1 导入密钥并添加信任

准备好本文开头提到的三合一私钥文件（subkeys_only.asc），执行以下命令：

1
2
3
4
5
6


# 导入密钥
gpg --import ./subkeys_only.asc
# 查看导入的密钥信息，记录主密钥的 Key ID（同上文，以下仍记为 <EC_ID>）
gpg --list-secret-keys
# 添加信任
gpg --edit-key <EC_ID> trust

与上文 Windows 部分的操作相同，在接下来的交互式命令中，依次输入 5（添加最高等级的信任），y（确认），save（保存并退出），最后执行 gpgconf --kill all 重启 gpg 程序，即可完成本地环境对新添加密钥的信任。

注意，永远不要给其他人的密钥添加最高等级的信任！

1.2 配置 OpenSSH 使用 `EA` 子密钥鉴权

这一步是为了使用 EA 子密钥作为 SSH 连接远程机器时的身份认证，避免为 SSH 专门再生成一组密钥对，更方便统一管理。

配置过程与上文 Windows 部分相似，但是 Linux 系统下会更简单一些。

首先配置 GPG 配置文件，启用 SSH 支持：

1

echo 'enable-ssh-support' >> ~/.gnupg/gpg-agent.conf

然后配置系统环境变量：

1
2
3
4
5


# 在 .zshrc 中添加环境变量
echo 'export SSH_AUTH_SOCK=$(gpgconf --list-dirs agent-ssh-socket)' >> ~/.zshrc
echo 'gpgconf --launch gpg-agent' >> ~/.zshrc
# 使用新的配置文件重启 zsh，使新的环境变量生效
source ~/.zshrc

如果你用的不是 zsh，那么需要自行在你的终端配置文件中添加上面两个环境变量，并使其生效。

接下来将 EA 子密钥的 Keygrip 写入 sshcontrol 配置文件：

1
2
3
4


# 查看 EA 子密钥的 Keygrip，记为 <K_EA>
gpg --list-secret-keys --keyid-format LONG --with-keygrip
# 将子密钥的 Keygrip 加入配置文件
echo "<K_EA>" >> ~/.gnupg/sshcontrol

现在所有的配置文件都准备完毕，重启 gpg-agent 来使新的配置文件生效：

1
2
3
4


# 重启 gpg-agent
gpg-connect-agent updatestartuptty /bye
gpgconf --kill gpg-agent
gpgconf --launch gpg-agent

现在一切配置完成，下面验证一下：

1
2
3
4


# 首先验证 OpenSSH 能否通过 gpg-agent 获取到子密钥
ssh-add -l
# 比较 OpenSSH 获取到的子密钥哈希与之前导出的公钥哈希是否一致
diff <(gpg --export-ssh-key <EC_ID> | ssh-keygen -l -f -) <(ssh-add -l | grep ED25519)

同 Windows 部分类似，不出意外的话，第一个命令应当正确输出 256 SHA256:<SHA256_HASH> (none) (ED25519) ，其中 <SHA256_HASH> 是密钥的 SHA256 哈希值；第二条命令会输出两行内容，比较两行输出中间的 <SHA256_HASH> 部分是否一致，一致则说明配置完成。如果不一致，或第一个命令报错 / 没有输出哈希，那么需要自行 Google 一下是哪里出了问题。

1.3 配置 git 使用 `ES` 子密钥签名 commit

先查看 ES 子密钥的 Key ID, 记为 <ES_ID>:

1

gpg --list-keys --keyid-format LONG

然后修改 git 配置：

1
2
3
4
5


# 配置 git 使用 ES 子密钥
git config --global user.signingkey <ES_ID>
# 配置 commit 时使用密钥签名
git config --global commit.gpgsign true
git config --global tag.forcesignannotated true

注意，密钥的 uid 信息中的邮箱地址需要和 GitHub 账号绑定的邮箱一致。

如果 GitHub 上设置了隐藏邮箱，或者使用了别的邮箱，可以参考 GitHub 官方文档来配置。

02. VPS 配置

2.1 导出 `EA` 子密钥的公钥到远程服务器

首先准备好本文开头提到的 SSH 公钥文件（EA_openssh.txt），其中应该只有一行内容，即以 ssh-ed25519 开头的，EA 子密钥对应的 OpenSSH 格式的公钥，下面将其拷贝到远程服务器上。

如果本地是 Windows 11 系统：

1
2
3
4
5


# 如果服务器上之前配置过公钥
Get-Content EA_openssh.txt -Raw | ssh user@remote_server "cat >> ~/.ssh/authorized_keys"
# 如果服务器之前是用密码登录的，没有配置过公钥
# 那么使用下面这个命令，会提前创建好 .ssh 文件夹并配置好权限，避免报错
Get-Content EA_openssh.txt -Raw | ssh user@remote_server "mkdir -p ~/.ssh; chmod 700 ~/.ssh; cat >> ~/.ssh/authorized_keys; chmod 600 ~/.ssh/authorized_keys"

如果本地是 Linux 系统：

1

ssh-copy-id -i EA_openssh.txt user@remote_server

要验证是否已成功使用新的密钥连接，可以先 SSH 连接到远程服务器，然后执行：

1

sudo journalctl -u ssh | grep 'Accepted publickey' | tail -n 10

观察输出内容末尾的 <SHA256_HASH> 是否与前文中的 EA 子密钥对应的值一致。

如果确认无误，就可以按照相同的流程，将公钥复制到所有的远程服务器上。

2.2 删除旧的 RSA 密钥对（如果没有，可以跳过本小节）

经过上一小节的配置，确认好新的 EA 子密钥鉴权没有问题后，就可以删除旧的 RSA 密钥了。

首先彻底删除本地的 RSA 密钥对：

1
2


# 彻底删除本地旧 RSA 密钥对
rm ~/.ssh/id_rsa ~/.ssh/id_rsa.pub

如果是 Windows 系统，那么这两个文件在 C:\Users\<username>\.ssh 这个文件夹下。

接下来删除远程服务器上旧的 RSA 公钥：

1
2
3
4
5


# 在远程服务器执行
# 删除 authorized_keys 中所有包含 ssh-rsa 的行
sed -i '/ssh-rsa/d' ~/.ssh/authorized_keys
# 或者编辑文件，手动删除不需要的公钥信息
vim ~/.ssh/authorized_keys

03. GitHub 配置

3.1 配置 SSH 公钥

准备好本文开头提到的 SSH 公钥文件（EA_openssh.txt），复制文件内容，打开 GitHub 设置中的 SSH and GPG keys ，点击 New SSH key，将刚才复制的 SSH 公钥粘贴进 Key 中，Title 可以留空，也可以任意填写，Key type 选项保持默认的 Authentication Key.

然后在本地执行 ssh -T git@github.com 验证是否能正常使用 EA 子密钥来通过 SSH 连接 GitHub 仓库，输出应该类似这样：

1

Hi <username>! You've successfully authenticated, but GitHub does not provide shell access.

3.2 配置 GPG 公钥

准备好本文开头提到的公钥文件（EC_public.asc），复制文件内容，打开 GitHub 设置中的 SSH and GPG keys ，点击 New GPG key，将刚才复制的公钥粘贴进 Key 中，Title 可以留空，也可以任意填写。

在 GitHub 上配置好 GPG 公钥后，可以直接通过类似 https://github.com/<username>.gpg 的链接，来访问用户已配置的公钥。

例如，可以通过 https://github.com/he-sb.gpg 这个链接来访问俺的 GPG 公钥。

但这个功能好像有点问题，如果用户配置了多个公钥，那么这个链接只会提供用户最早配置的那个公钥……

04. 结语

经过本文的配置，在主密钥保持离线状态的情况下，将三个各司其职的子密钥安全地导入了本地环境，并添加了最高等级的信任。现在最常用的 SSH 鉴权和 git commit 签名已经可以正常工作了。

下一篇文章将会介绍如何使用子密钥对邮件或文件进行签名，加密等操作。

参考链接：

2026 年，用最硬核的方式打开 GPG（一）

2026-02-02T05:24:35+08:00

本文是《2026 年，用最硬核的方式打开 GPG》系列文章的第 1 篇。本文将详细介绍如何从头开始，创建属于自己的 GPG 密钥对，并生成对应的吊销证书，以及导出对应的备份文件。

下一篇文章将会介绍如何使用生成的密钥。

00. 前言

关于 GPG，PGP，非对称加密等等这些概念，各种百科和科普文章已经很多了，本文不再赘述。

这里简单解释一下俺为什么要折腾这个：

基于可靠的数学原理，它有能力在赛博空间证明“俺是谁”（安全的鉴权）。
基于可靠的数学原理，它有能力证明俺的文件未经篡改（安全的签名）。
基于可靠的数学原理，它有能力避免俺不想公开的文件被窃取（安全的加密）。

本系列暂不会涉及 Yubikey 等硬件的配置（因为俺没有……），如果后续有涉及，会更新新的文章来记录。

本文较长，各位可以根据目录自行跳转到感兴趣的部分查看。

01. 生成密钥对

在开始操作之前，可能有比较帅的网友要问了：“哎，你不是在《使用 GPG 签名 Git Commit》这篇文章中已经生成过 GPG 密钥对，而且已经用它来给 GitHub 上的 commit 签名了吗？”

确实，但是：

当时生成的密钥对是 RSA4096 算法，性能较差，而且公钥导出时很长，不方便粘贴。
RSA 算法依赖随机数生成器的质量，安全性不够。
当时图方便，只生成了一个全功能的主密钥，没有分离权限，不够安全。
~~Key ID 不够靓，不能装逼，而且换电脑时忘了备份，找不到了……~~

所以这次从头开始，使用性能更好安全性也更高的 Ed25519 算法，生成一个四合一的密钥对，进行一次充分兼顾当下环境的安全和效率的最佳实践。

通过本小节的操作，将会生成一个四合一的密钥：

主密钥（后续称为 EC）：Ed25519 算法，具有 C（Certify，认证）权限
签名子密钥（后续称为 ES）：Ed25519 算法，具有 S（Sign，签名）权限
鉴权子密钥（后续称为 EA）：Ed25519 算法，具有 A（Authenticate，身份验证 / 鉴权）权限
加密子密钥（后续称为 CE）：Cv25519 算法，具有 E（Encrypt，加密）权限

如果你对密钥的指纹（40 位十六进制数字，末 16 位作为 Key ID）没有特殊要求，或者你看不懂这句话，那么直接按照【普通操作】这一小节的步骤操作，然后跳过【高端操作】小节，从【生成吊销证书】继续阅读。

如果你也想像俺一样使用类似 2BB2666666666666 这样炫酷的指纹，那么可以跳过【1.1 普通操作】这一小节，详细研究【1.2 高端操作】小节。

1.1 普通操作

终端输入 gpg --full-generate-key.
选择 ECC (sign and encrypt), 俺这里是输入 9, 回车确认。
选择 Curve 25519, 俺这里是输入 1, 回车确认。
选择密钥的过期时间，俺选择 0 也就是永不过期，各位可以按需选择。
输入 y 后回车确认。
Real name 不一定使用真名，可以随便填写一个想要展示给别人看的名字。
Email address 输入邮箱地址。
Comment 个性签名或者别的想展示给别人看的信息，没什么想写的可以留空，直接回车跳过。
此时会将 uid 信息再展示一次，确认无误后输入 O 确认。
设定一个高强度密码，用键盘的方向键切换选项，输入两次后选择 OK 保存。

此时 gpg 会输出类似下面的信息：

1
2
3
4
5
6
7
8


gpg: directory '/home/he-sb/.gnupg/openpgp-revocs.d' created
gpg: revocation certificate stored as '/home/he-sb/.gnupg/openpgp-revocs.d/67992DB2CEA0D623DC761430E379BEB325A8928D.rev'
public and secret key created and signed.

pub ed25519 2026-02-01 [SC]
 67992DB2CEA0D623DC761430E379BEB325A8928D
uid he-sb <test@gmail.com>
sub cv25519 2026-02-01 [E]

这里的 67992DB2CEA0D623DC761430E379BEB325A8928D 就是主密钥和公钥的指纹，最后 16 位 E379BEB325A8928D 就是 Key ID，也就是最后展示给别人的公钥 ID.

注意到这里生成的密钥对，主密钥同时具有 S 和 C 权限，而且只有一个 E 权限的子密钥，不符合权限分离的要求。所以接下来需要去掉主密钥的 S 权限，然后新增 ES 和 EA 子密钥：

编辑主密钥：gpg --edit-key <EC_ID>, 其中 <EC_ID> 是主密钥的 Key ID.
修改主密钥的权限，去掉 S, 只保留 C.
1. 输入 change-usage 后回车，然后输入 S 回车，仔细查看 Current allowed actions: 这行，后面只有 Certify 说明 S 权限去掉了。
2. 输入 Q 回车，输入刚才设定的密码后回车确认。
添加 ES 子密钥。输入 addkey 回车确认。
1. 选择 ECC (sign only), 俺这里是输入 10, 回车确认。
2. 选择 Curve 25519, 俺这里是输入 1, 回车确认。
3. 选择子密钥的过期时间，俺选择 0 也就是永不过期，各位可以按需选择。
4. 输入两次 y 回车，输入刚才设定的密码后回车确认。
添加 EA 子密钥。因为 A 权限的子密钥没法直接添加，所以先添加一个 S 子密钥，然后再修改它的权限（因为这两种权限的密钥，加密算法都是 Ed25519，所以生成时不需要区分，只需生成后修改权限）。
1. 先按上一步的操作，再添加一个 S 子密钥。
2. 然后输入 key 3 选择第 3 个子密钥，也就是最后添加的，第 2 个 S 子密钥，此时这个子密钥的 Key ID 旁会多出一个 * 号。
3. 输入 change-usage, 回车。
4. 先输入 S 后回车，接着输入 A 后再回车（顺序不重要，这一步目的是去掉原本的 S 权限，添加 A 权限）。
5. 输入两次 y 回车，输入刚才设定的密码后回车确认。
最后输入 save 保存并退出。

最后执行 gpg --list-keys --keyid-format LONG 确认一下生成的密钥，输出应该类似这样：

1
2
3
4
5
6
7
8


/home/he-sb/.gnupg/pubring.kbx
--------------------------------
pub ed25519/E379BEB325A8928D 2026-02-01 [C]
 67992DB2CEA0D623DC761430E379BEB325A8928D
uid [ultimate] he-sb <test@gmail.com>
sub cv25519/98D55538F914D4A9 2026-02-01 [E]
sub ed25519/84B2DB48987F8778 2026-02-01 [S]
sub ed25519/030F72DCC734450B 2026-02-01 [A]

其中 E379BEB325A8928D 就是 EC 的 Key ID, 98D55538F914D4A9 是 CE 的 Key ID, 84B2DB48987F8778 是 ES 的 Key ID, 030F72DCC734450B 是 EA 的 Key ID.

公开的公钥信息，别人看到的是主密钥的 <EC_ID>.
加密时，对方看到的加密指纹是 <CE_ID>.
签名时，比如 git commit, 对方看到的是 <ES_ID>.
鉴权时，对方看到的是 <EA_ID>.

1.2 高端操作

计算 GPG 靓号的原理部分，可以参考 @DejavuMoe 大佬的某科学的 PGP 算号指南这篇文章，本文就不再赘述。

至于具体用来算号的工具，这里要特别感谢 @TransparentLC 大佬的 GPU 算号项目：

这两个项目原理是一样的，只是实现方式不同。webgl-vanity-gpg 只需要浏览器打开一个网页就可以开始算，通过 WebGL 调用显卡的图形能力；而 opencl_vanity_gpg 提供了编译好的二进制可执行文件，支持 Windows, Mac, Linux 三个平台的命令行环境，通过 OpenCL 调用显卡的计算能力。

基准性能对比可以参考两个项目的 README，俺这里提供一下自己的实测值（系统均为 Windows 11 LTSC 2024 IoT 版）：

显卡 WebGL 速率 (hash/s) OpenCL 速率 (hash/s)

AMD RX 7700 XT 7.14B 13.67B

AMD Radeon 680M 1.12B 2.41B

显卡	WebGL 速率 (hash/s)	OpenCL 速率 (hash/s)
AMD RX 7700 XT	7.14B	13.67B
AMD Radeon 680M	1.12B	2.41B

实测下来 OpenCL 版的效率明显要更高，算号速度是 WebGL 版的 2 倍左右。如果你条件有限，只能用 WebGL 版，那么也是可以的，不过有条件的话还是推荐使用 OpenCL 版，指定靓号格式更加方便，性能也显著更好。

1.2.1 算号

这部分最为枯燥，任选上面提到的两个项目之一，参考项目文档，指定你喜欢的靓号格式，开始挂机。

俺这里使用的是 OpenCL 版，在 PowerShell 中开始算号：

1
2
3
4
5
6


# 假设想要的靓号是 13 连号的 Ed25519 类型的密钥
# 用作 C 权限的主密钥或 S/A 权限的子密钥
.\opencl_vanity_gpg.exe --output opencl-keys --pattern 'Z ZZZZ ZZZZ ZZZZ'
# 如果需要生成 13 连号的 Cv25519 类型的密钥
# 用作 E 权限的子密钥
.\opencl_vanity_gpg.exe --output opencl-keys -c cv25519--pattern 'Z ZZZZ ZZZZ ZZZZ'

命令执行后，会开始不断循环算号，每个生成的靓号对应的私钥文件都会保存在当前路径下的 opencl-keys 文件夹内，文件名都是类似 8A01DEE8BE638FCE17191021799BBBBBBBBBBBBB-sec.asc 的形式，其中 -sec.asc 之前的部分，即 8A01DEE8BE638FCE17191021799BBBBBBBBBBBBB 是完整的 40 位密钥指纹，这部分的最后 16 位，即 799BBBBBBBBBBBBB 是 Key ID，也就是期待中的靓号。定期查看其中有没有中意的，生成了满意的靓号之后就可以回到 PowerShell 窗口 Ctrl + C 结束算号程序了。

中间等待的时长取决于你指定的靓号格式，以及一点运气。一般指定的位数越多，时间越长。

WebGL 版查看项目说明即可，操作上更为简单直观，此处不再赘述。如果你使用其他算号项目，那么自行研究。

最终会得到 4 个密钥文件：

准备用作主密钥的 EC-sec.asc
准备用作签名子密钥的 ES-sec.asc
准备用作鉴权子密钥的 EA-sec.asc
准备用作加密子密钥的 CE-sec.asc

由于算号程序生成的密钥都是一个 Ed25519 主密钥和一个 Cv25519 子密钥成对生成的，所以这 4 个密钥文件其实是 4 个密钥对：

EC ES EA 这三个密钥对，其中的 Ed25519 主密钥的 Key ID 都是靓号，而他们绑定的 Cv25519 子密钥的 Key ID 都是随机的。后续会通过一些操作剥离这三个 Cv25519 子密钥，仅保留三个 Ed25519 靓号。
CE 这个密钥对，比较特殊。它的 Ed25519 主密钥的 Key ID 是随机的，而 Cv25519 子密钥的 Key ID 是后续待使用的靓号（当然了，这是因为生成它时，将筛选靓号的规则仅应用在了子密钥上）。后续操作会剥离它的 Ed25519 主密钥，仅保留 Cv25519 靓号。
- 不过这会导致一个不便的情况，密钥对的文件名是主密钥的指纹，只看文件名是看不出来 Cv25519 子密钥的 Key ID 是否是想要的靓号的。俺个人建议：
  - 要么生成 CE 子密钥时使用 WebGL 版本的算号程序，网页内点击每个主密钥指纹时，下方会同时显示主密钥和子密钥的指纹，方便查看。
  - 要么查看 PowerShell 内输出的日志，确定哪个密钥对中的 Cv25519 子密钥是准备使用的靓号。

保留好这 4 个密钥文件，下面开始缝合操作，把他们合并为一个完整的密钥对。

1.2.2 缝合密钥

消耗一些电费和时间后，终于得到了 4 个满意的靓号。下面来将它们合并起来，将三个 Ed25519 类型的靓号的其中一个作为主密钥，另外两个和 Cv25519 类型的靓号一起作为子密钥组合起来，最终得到一个四合一的密钥。

首先必须确认每个密钥的创建时间，作为主密钥的 EC 必须是创建时间最早的那个，三个子密钥的创建时间则互不影响。

下面先合并 EC 和 ES，其中 EC 作为主密钥，ES 作为子密钥：

导入两个密钥：gpg --import EC-sec.asc ES-sec.asc.
查看密钥的时间戳信息：gpg --list-keys --keyid-format LONG --with-colons.
- 输出的信息中，在 16 位 Key ID 右侧的 10 位数字就是时间戳，找到子密钥 ES 的时间戳，记为 T_ES.
查看密钥的 keygrip: gpg --list-keys --keyid-format LONG --with-keygrip.
- 输出的信息中，找到子密钥 ES 的 keygrip, 记为 K_ES.
编辑主密钥：gpg --expert --faked-system-time="T_ES\!" --ignore-time-conflict --edit-key <EC_ID>.
- 注意 T_ES 后面紧跟着的 \!，一定不能漏掉。
- <EC_ID> 是主密钥 EC 的 Key ID.
首先删除不需要的子密钥。由于当前只有一个子密钥，所以输入 key 1 选中第 1 个子密钥，如果有多个，按照子密钥的序号修改数字来选中，选中后的子密钥旁会有一个 * 号。输入 delkey 删除这个子密钥，回车确认。询问是否确认时，输入 y 回车确认删除。
然后输入 addkey 添加子密钥，回车确认。
1. 选择从现有密钥导入（Existing key），俺这里是输入 13, 回车确认。
2. 输入第 3 步记录的 K_ES, 回车确认。
3. 此时需要选择导入的子密钥的权限，因为 ES 是 Ed25519 算法，可选的有 S 或者 A 权限，默认是 S，不需要修改，输入 Q 后回车完成。
  - 如果此时缝合的是 EA, 那么需要先输入 S 后回车，接着输入 A 后再回车（顺序不重要，这一步目的是去掉默认的 S 权限，添加 A 权限）。
  - 如果此时缝合的是 CE, 因为是 Cv25519 算法，权限只能是 E, 不需要修改）。
4. 选择子密钥的过期时间，俺选择 0 也就是永不过期，各位可以按需选择。
5. 输入两次 y 确认。
修改主密钥的权限，默认是 S 和 C, 这里需要去掉 S, 只保留 C.
1. 输入 change-usage 后回车，然后输入 S 回车，仔细查看 Current allowed actions: 这行，后面只有 Certify 说明 S 权限去掉了。
2. 输入 Q 退出。
修改 uid 信息。算号程序默认的 uid 是 Dummy <dummy@example.com>, 需要修改成自己的信息。
1. 输入 adduid 后回车。
2. Real name 不一定使用真名，可以随便填写一个想要展示给别人看的名字。
3. Email address 输入邮箱地址。
4. Comment 个性签名或者别的想展示给别人看的信息，没什么想写的可以留空，直接回车跳过。
5. 此时会将 uid 信息再展示一次，确认无误后输入 O 确认。此时应该有两个 uid 信息，第一个是默认的 Dummy <dummy@example.com>, 第二个是刚刚添加的自己的信息。
  - 如果有想修改的，可以根据提示输入字母修改对应的信息。
6. 输入 uid 1 选中第 1 个 uid, 此时 Dummy <dummy@example.com> 左侧会多出一个 * 号，输入 deluid 删除这个 uid, 再输入 y 确认删除即可。
输入 save 保存并退出。

这样 EC 和 ES 就合并好了，接下来参考上面的步骤，分别将 EA 和 CE 也作为子密钥合并给 EC.

全部缝合完后，执行 gpg --list-keys --keyid-format LONG 查看主密钥和三个子密钥的 Key ID 和权限信息是否正确无误，输出应该类似下面这样：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


gpg: checking the trustdb
gpg: no ultimately trusted keys found
/home/he-sb/.gnupg/pubring.kbx
--------------------------------
pub ed25519/<EC_ID> 2016-07-20 [C]
 <EC_fingerprint>
uid [ unknown] he-sb <test@example.com>
sub ed25519/<ES_ID> 2022-01-21 [S]
sub ed25519/<EA_ID> 2022-01-21 [A]
sub ed25519/<CE_ID> 2022-01-21 [E]

pub ed25519/<ES_ID> 2022-01-21 [SC]
 <ES_fingerprint>
uid [ unknown] Dummy <dummy@example.com>
sub cv25519/<random_ID> 2022-01-21 [E]

pub ed25519/<EA_ID> 2018-03-14 [SC]
 <EA_fingerprint>
uid [ unknown] Dummy <dummy@example.com>
sub cv25519/<random_ID> 2018-03-14 [E]

pub ed25519/<random_ID> 2025-11-04 [SC]
 <random_fingerprint>
uid [ unknown] Dummy <dummy@example.com>
sub cv25519/<CE_ID> 2025-11-04 [E]

忽略下面的三个密钥对信息，后续会清理掉。只关注 <EC_ID> 的权限，uid, 子密钥及其权限。确认无误后：

导出合并完成的四合一密钥：gpg --armor --export-secret-keys <EC_ID> > EC.asc, 其中 <EC_ID> 是主密钥的 Key ID.
删除整个 gpg 数据库，清理掉无用的中间数据：sudo rm -rf ~/.gnupg.
重新导入四合一密钥：gpg --import EC.asc.

再次执行 gpg --list-keys --keyid-format LONG 查看密钥信息，应该只有很干净的四合一密钥了，类似这样：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


gpg: checking the trustdb
gpg: no ultimately trusted keys found
/home/he-sb/.gnupg/pubring.kbx
--------------------------------
pub ed25519/8FF6666666666666 2016-07-20 [C]
 ************************8FF6666666666666
uid [ unknown] he-sb <test@example.com>
sub ed25519/2BB2666666666666 2022-01-21 [S]
sub ed25519/5201111111111111 2022-01-21 [A]
sub ed25519/00CCFFFFFFFFFFFF 2022-01-21 [E]

1.2.3 编辑密钥

缝合完密钥后，四合一密钥还不能直接使用。因为刚才 DIY 出来的密钥对，主密钥和子密钥没有交叉签名，后续使用时会导致子密钥无法被信任，而且还没有给密钥配置密码，缺少一道安全保险。下面来分别善后。

首先来看交叉签名：

终端输入 gpg --edit-key <EC_ID>, 其中 <EC_ID> 是 EC 主密钥的 Key ID.
输入 toggle, 回车确认，进入私钥编辑模式。
观察 ES 子密钥的顺序，假设是第 1 个，那么输入 key 1 (同理，如果 ES 子密钥是第 2 个，那么这一步输入 key 2, 以此类推), 选中 ES 子密钥，此时 ID 旁会出现一个 * 号。
输入 cross-certify, 进行交叉签名。如果之前已经配置过了密码，此时会要求验证。
完成后输入 save 保存并退出。

这一步是必需的，如果没有交叉签名，有可能会出现 ES 子密钥被盗，然后挂在别人的主密钥下面，冒充你来签名的情况。而且没有交叉签名的 ES 子密钥，在签名 git commit 时，git log 中会警告 gpg: WARNING: signing subkey <ES_ID> is not cross-certified.

然后是配置密码：

终端输入 gpg --edit-key <EC_ID>, 其中 <EC_ID> 是 EC 主密钥的 Key ID.
然后输入 passwd, 回车确认。
在接下来的交互式界面中，依次给主密钥和子密钥配置密码。可以给主密钥和每个子密钥配置相同的密码，也可以各不相同。使用键盘的方向键来切换选项。
配置完成后输入 save 保存并退出。

这一步理论上不是必需的，如果不担心私钥文件泄露的问题，或者确信私钥文件不会被盗，那么可以不配置密码，不影响使用。但是风险在于，万一日后私钥文件真的泄露了，没有密码的私钥，攻击者是可以直接使用的。

而给密钥配置密码后，万一私钥文件泄露，攻击者在不知道密码的情况下是无法使用的。设置一个高强度的密码，可以在私钥文件泄露后，密码被黑客破解前，争取到一段足够长的时间，来发布吊销声明，或者做一些别的补救措施。

特别地，如果是给已有的没有密码的密钥配置密码，或者需要修改密码的话，需要确保主密钥是导入的状态，配置好密码后，需要重新导出私钥，旧的私钥文件是不包含新的密码信息的。

吊销证书，公钥和 SSH 公钥不需要重新导出，它们不包含密码信息。

02. 生成吊销证书

现在来做最后一份保险措施。万一日后因为某种原因，主密钥被盗了或者丢了，需要废弃整个密钥对，那么就需要一个吊销证书：

1

gpg --armor --output EC_revocation.asc --gen-revoke <EC_ID>

然后 GPG 会提示选择一个理由，按需选择即可。然后输入主密钥的密码（如果有的话）。

最终生成的 EC_revocation.asc 是明文的文本文件，一定要离线保存在安全的介质中。

后续如果有一天（希望永远不要有这么一天……），电脑丢了或者私钥泄露了，需要用到吊销证书：

在已导入了待吊销密钥的公钥的电脑上，导入吊销证书：gpg --import EA_revocation.asc.
分发通告，将更新后的公钥上传到密钥服务器：gpg --keyserver hkps://keys.openpgp.org --send-keys <EC_ID>.

这样就完成了密钥的吊销。之后当别人尝试使用你之前分发出去的公钥加密，或验证你的签名时，他们的 GPG 客户端会自动收到“该密钥已作废”的警告。

这一步生成的吊销证书是用来吊销主密钥的，吊销主密钥后，整个密钥对（包括主密钥对应的所有子密钥）都会被宣布作废。

如果只想作废某个子密钥，那么不需要用到吊销证书：

在导入了主密钥的电脑上，编辑密钥：gpg --edit-key <EC_ID>.

选中子密钥：key 2 (假设要吊销第 2 个子密钥)，被选中的子密钥 ID 旁会有个 * 号。

输入 revkey 吊销选中的子密钥。

输入 save 保存并退出。

03. 导出备份

珍贵的四合一密钥至此已经准备好了，但是最好不要直接开始使用，先做好备份措施：

导出完整的四合一私钥备份：gpg --armor --export-secret-keys <EC_ID> > EC_full_secret.asc.
上一节生成的吊销证书 EC_revocation.asc.
导出仅包含子密钥，不含主密钥的三合一私钥文件：gpg --armor --export-secret-subkeys <EC_ID> > subkeys_only.asc.
导出用于复制到远程服务器鉴权的 SSH 公钥：gpg --export-ssh-key <EC_ID> > EA_openssh.txt. 这个命令会自动提取出 EA 子密钥并转为 OpenSSH 格式，然后写入 EA_openssh.txt 文件。
导出完整公钥，用于 GitHub 或个人网站等地方公开：gpg --armor --export <EC_ID> > EC_public.asc.

04. 清理善后

确认备份完成后，直接删除本地的 GPG 数据库：

1

sudo rm -rf ~/.gnupg

这一步是为了：

确保本地数据库的干净，避免中间缝合密钥时，伪装的时间戳信息残留导致的一些奇怪 bug.
剥离主密钥。后续使用时，仅导入子密钥使用，主密钥始终离线保存，只在需要时才导入使用（比如添加或吊销子密钥），更加安全。

然后彻底删掉除了【03. 导出备份】小节提到的 5 个文件之外的所有文件，比如算号程序生成的原始靓号文件，中间缝合密钥过程中导出的 EC.asc 等。

05. 结语

经过本文的操作，现在本地的 GPG 数据库应该是还未使用的干净状态，且有以下文件以备使用：

完整的四合一私钥备份 EC_full_secret.asc
吊销证书 EC_revocation.asc
仅包含子密钥，不含主密钥的三合一私钥文件 subkeys_only.asc
用于复制到远程服务器鉴权的 SSH 公钥文件 EA_openssh.txt
用于 GitHub 和个人网站的公钥文件 EC_public.asc

其中 1 和 2 请确保离线保存在安全的存储介质中，除非万不得已，否则不会用到。

下一篇文章将会具体介绍如何使用 3 4 5 这三个文件。

参考链接：

FFmpeg 操作合集

2026-06-24T00:47:21+08:00

FFmpeg 是一个非常强大的多媒体编解码器，本文记录一下使用和学习过程中的一些基本操作和笔记，文末整理了俺保存的一些学习资源。

00. 安装

Linux 系统（以 Debian 12 为例）

首先不建议使用系统的包管理器直接安装，比如 sudo apt install -y ffmpeg, 这样安装的 FFmpeg 版本一般都很古早，遇到现代一点的编码格式比如 av1 vp9 这种很容易报错（如果你是 ~~高贵的~~ Arch 系发行版用户当俺没说……），建议是手动安装预编译好的最新版本：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# 下载预编译好的二进制可执行文件
curl -o ffmpeg-latest.tar.xz -fsSL https://github.com/BtbN/FFmpeg-Builds/releases/download/autobuild-2026-06-23-13-52/ffmpeg-n8.1.2-linux64-gpl-8.1.tar.xz
# 解压到当前目录下的 ffmpeg-latest 文件夹内
mkdir -p ./ffmpeg-latest && tar -xvf ffmpeg-latest.tar.xz -C ./ffmpeg-latest --strip-components=1
# 将可执行文件复制到系统内
sudo mv ./ffmpeg-latest/bin/ffmpeg /usr/local/bin/
sudo mv ./ffmpeg-latest/bin/ffprobe /usr/local/bin/
# 删除下载的文件和解压的文件夹
rm -rf ./ffmpeg-latest ./ffmpeg-latest.tar.xz
# 验证版本
ffmpeg -version

不出意外的话应该能看到输出了最新的版本号。如果之前已经通过包管理器安装了 FFmpeg，导致此时输出的版本号还是旧的，直接卸载旧的就行：

1

sudo apt purge ffmpeg && sudo apt autoremove

后续如果要更新 FFmpeg 版本，将上面下载预编译文件的链接替换为最新的即可。

Windows 系统

这部分内容参考在线视频下载神器 You-Get 的安装及使用 | HE-SB-技术栈的【安装 ffmpeg】部分即可，不再赘述。

01. 合并多个视频文件

1

ffmpeg -f concat -safe 0 -i 'list.txt' -c copy 'full.flv'

选项释义：

-f concat: 指定输入格式为 concat，即告诉 FFmpeg 程序，后面的 list.txt 不是视频文件，而是一个列表文件，需要按照这个文件来连续读取多个视频文件。
-safe 0: 权限设置。默认情况下，为了安全，FFmpeg 不允许读取包含相对路径或特殊字符的文件。设置为 0 表示允许读取任意路径的文件。
-i 'list.txt': 输入文件。这里的输入不是一个视频文件，而是一个包含视频文件路径列表的文本文件。
-c copy: 流拷贝模式。直接将视频/音频流从原文件拷贝到目标文件，不进行重新编码。速度极快（只取决于磁盘 I/O 速度）且质量无损。
'full.flv': 输出文件。合并后的最终文件名。

其中，list.txt 文件的内容格式是每行以 file 开头，后面是文件路径（如果只有文件名，没有路径，那么就只会在当前路径查找，没有就会报错)，内容类似这样：

1
2


file 'test-1.flv'
file 'test-2.flv'

这种方式合并视频，速度非常快（因为没有重新编解码），但是有严格的前提，就是 list.txt 内的所有待合并的视频文件，编码参数必须一致，包括分辨率、帧率、编码格式和音频参数等。如果不一致，合并后的视频文件会有问题（画面卡顿或无法播放），此时只能去掉 -c copy 参数，重新编码。

02. 分割视频

1
2


# 将一个长视频从 06:00:00 处分割为两个文件
ffmpeg -i 'full.flv' -t 06:00:00 -c copy -map 0 '1.flv' -ss 06:00:00 -c copy -map 0 '2.flv'

选项释义：

-i 'full.flv': 指定输入源文件。
-t 06:00:00: 限制输出的时长。这里表示截取从 00:00:00 到 06:00:00 的内容。
-c copy: 流拷贝模式。
-map 0: 强制映射输入文件（索引号为 0）中的所有流（包括所有视频轨、音频轨、字幕轨等）到输出文件。
'1.flv': 第一个输出文件的文件名。
-ss 06:00:00: 设定第二个文件的起始时间点。这里表示从 06:00:00 的位置开始。
'2.flv': 第二个输出文件的文件名。

注意到其中 -c copy 和 -map 0 出现了两次，因为这两个参数都是作用于输出文件的，这里有两个输出文件，对每个输出都要指定一次。

FFmpeg 在执行这条命令时，会打开一次 full.flv，然后开启两个写进程：

第一个进程从 full.flv 开头复制到 06:00:00 处停止。
第二个进程从 06:00:00 复制到文件结束。

03. 转换封装格式

1

ffmpeg -i 'test.flv' -c copy 'test.ts'

这个命令可以无损地将 flv 格式的视频转换为 ts 格式，注意只转换了封装格式，并没有重新编码。

参考链接：

curl 操作合集

2026-03-23T17:32:04+08:00

curl 是一个非常实用的命令行程序（是的，俺知道它也是一个函数库，但这和本文无关），并且几乎所有现代的 Linux 发行版都自带。在命令行编程，调试网络，测试 debug 等场景，几乎找不到比 curl 更方便，更万能的工具了，更详细的介绍可以看看 curl 官网对它的介绍，本文记录一些个人日常经常使用的命令，并配上选项介绍，文末整理了俺保存的一些学习资源。

00. 通过代理发起连接

使用 -x 选项来指定代理服务器，参数格式为 [protocol://]host[:port] ，不指定代理协议类型时默认为 http ，代理协议也可以是 socks4, socks5 或 socks5h 等，不指定端口时默认为 1080.

下面是几个示例：

1
2
3
4
5
6
7
8


# http 代理
## 下面两个命令是等价的
curl -x 192.168.1.111 https://example.com
curl -x http://192.168.1.111:1080 https://example.com
# socks5 代理（不代理 DNS 请求）
curl -x socks5://192.168.1.111:1080 https://example.com
# socks5 代理（代理 DNS 请求）
curl -x socks5h://192.168.1.111:1080 https://example.com

特别地，如果需要验证当前的出口 IP, 那么可以使用下面这个命令：

1

curl -x http://127.0.0.1:2080 https://www.cloudflare.com/cdn-cgi/trace

01. 下载文件

1

curl -O -fsSL https://example.com/test.zip

选项释义：

-O / --remote-name: 使用远程文件系统的文件名来保存下载的文件。
- 如果需要自定义下载的文件名，使用 -o <custom_file_name> 参数。
-f / --fail: 在服务器返回 HTTP 错误（例如 404 Not Found）时静默失败，不会输出错误页面，而是直接以非零的退出码结束。
- 在脚本中非常有用，可以方便地判断下载是否成功。
-s / --silent: 在下载过程中不显示进度条，或错误信息，只在下载失败时返回一个非零的退出码。
- 同上个选项，脚本中非常实用。
-S / --show-error: 在使用了 -s 选项的情况下，如果出现错误，依然会显示错误信息，方便调试。
-L / --location: 如果服务器返回重定向（例如 301 或 302 跳转），自动跟踪重定向到新的 URL。

02. 测量延迟 / 网站测速

1

curl -so /dev/null -w "\ntime_namelookup: %{time_namelookup}\ntime_connect: %{time_connect}\ntime_appconnect: %{time_appconnect}\ntime_pretransfer: %{time_pretransfer}\ntime_redirect: %{time_redirect}\ntime_starttransfer: %{time_starttransfer}\ntime_total: %{time_total}\n" https://www.google.com

选项释义：

-s / --silent: 同上节，静默模式。
-o /dev/null: 丢弃获取到的页面内容。
-w / --write-out: 请求完成后以指定的格式，输出指定的时间变量。

上面的命令执行后，输出类似下面这样：

1
2
3
4
5
6
7


time_namelookup: 0.004687
time_connect: 0.005549
time_appconnect: 0.179526
time_pretransfer: 0.180173
time_redirect: 0.000000
time_starttransfer: 0.365058
time_total: 0.365386

具体支持哪些变量，以及变量对应的意义是什么，请参见官方文档……

03. 附加 HTTP 请求头（Headers）

使用 -H / --header 选项来附加或覆盖请求头：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# 附加单个请求头
curl -H "<Header-Name>: <Value>" URL
# 附加多个请求头
curl -H "Authorization: Bearer <YOUR_TOKEN>" \
 -H "Accept: application/json" \
 https://api.example.com/user
# 覆盖默认请求头
## 这个例子会替换 curl 默认的 "User-Agent: curl/7.x.x" 请求头
curl -H "User-Agent: MyBrowser/1.0" https://example.com
# 删除默认请求头
## 这个例子发出的请求中将会没有 "User-Agent" 请求头
curl -H "User-Agent:" https://example.com

04. 改变 Method

curl example.com 命令默认使用 GET 方法，如果要发起其他类型的请求（比如 POST），需要通过 -X 选项来指定：

1
2


# 发起 POST 请求
curl -X POST http://prometheus.he-sb.home/-/reload

特别地，如果一个请求既需要使用 POST 方法，又要提交请求体信息（实际上大多数 POST 请求都是这样），那么可以使用 -d 选项添加请求体，此时可以省略 -X POST 选项：

1

curl -H "Content-Type: application/json" -d '{"name": "test"}' https://api.example.com

参考链接：

Linux 下对 ext4 分区在线无损扩容

2023-10-30T23:28:17+08:00

PVE 上的用来做监控的一台虚拟机，因为安装系统时经验不足，预分配的硬盘容量很快就快用满了。这台虚拟机装的比较早，当时为了图省事，图快，直接挂载了 ISO 镜像手动引导安装，而没有用 Cloud-Init 来引导，这就导致它作为一个私有云环境下的虚拟机，硬盘容量却不能自动扩展，非常地难受。。这篇博客主要记录一下手动在线扩容 ext4 分区的过程，填一下因为装系统时图省事，没有研究最佳实践而遗留下来的坑。

0. 安装必需的工具

1

sudo apt update && sudo apt intall -y parted resize2fs

parted 是硬盘分区工具，这里用来查看磁盘分区情况，按需删除不需要的分区，以及扩展分区容量
resize2fs 用来扩展文件系统容量，以使操作系统可以识别并使用扩展后的硬盘分区
俺这台机器系统是 Debian 11，如果是 CentOS 7 的话应该用 yum install 来安装

1. 开始扩容

查看当前磁盘的分区情况：

1
2
3
4
5
6
7


# 进入 parted 工具
$ sudo parted
GNU Parted 3.4
Using /dev/sda
Welcome to GNU Parted! Type 'help' to view a list of commands.
# 查看磁盘信息
(parted) print /dev/sda

俺这里硬盘容量是 20 GB，扩容前是 10 GB，本文开始前在 PVE 后台给该虚拟机对应的硬盘增加了 10 GB，因此目前的分区使用情况是：

/dev/sda1 - 9712 MB
- 根分区，文件系统是 ext4
/dev/sda2 - 1 KB
- 扩展分区
/dev/sda5 - 1022 MB
- swap 分区

其中需要扩容的是 /dev/sda1 ，但是因为其后有非空闲的分区（扩展分区和 swap 分区），不能直接扩展容量，所以下面分三步走：

删除扩展分区和 swap 分区
给根分区扩容
将 swap 功能添加回来

如果你只有 sda1 一个分区，说明没有扩展分区和单独的 swap 分区，那么可以直接开始扩容，跳过其他部分。

删除扩展分区和 swap 分区

如果磁盘上待扩容的分区后方没有其他分区，可以跳过本节，直接开始扩容。

首先关闭 swap：

1

$ sudo swapoff -a

编辑 /etc/fstab 和 /etc/initramfs-tools/conf.d/resume 这两个文件，删除 swap 所在的行，然后更新引导配置：

1
2


$ sudo update-initramfs -u
$ sudo update-grub

此时可以删除分区了：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# 进入 parted 工具
$ sudo parted /dev/sda
# 查看分区编号
(parted) print
# 删除 swap 分区
(parted) rm 5
# 再次查看分区
(parted) print
# 删除扩展分区
(parted) rm 2
# 保存更改并退出
(parted) quit

给根分区扩容

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


# 进入 parted 工具
$ sudo parted /dev/sda
# 查看磁盘信息
(parted) print
# 此时应该只有一个分区了，直接扩展这个分区
(parted)resizepart 1
Warning: Partition /dev/sda1 is being used. Are you sure you want to continue?
# 直接输入 yes 确认
Yes/No? yes
# 输入新的结束点
# 这里输入的数值，就是上方输出中 Disk: 后方的数值
End? [9713MB]? 21.5GB
# 扩展完成之后退出 parted
(parted) quit

此时分区容量已经扩展完成了，但是文件系统还未识别扩展的容量，所以扩展的容量还没法使用。下面扩展一下文件系统：

1

$ sudo resize2fs /dev/sda1

此时不出意外的话应该扩容完成了，可以使用 df -h 来查看容量。

将 swap 功能添加回来

如果不需要 swap，这部分可以直接跳过。

首先创建一个 swap 文件（俺这里创建一个 1 GB 大小的）：

1

$ sudo fallocate -l 1G /swapfile

修改文件权限：

1

$ sudo chmod 600 /swapfile

激活 swap 文件：

1
2


$ sudo mkswap /swapfile
$ sudo swapon /swapfile

使用 sudo swapon -s 或 free -m 命令，查看 swap 功能是否已激活。

开机自动挂载 swap：

1

$ sudo bash -c 'echo "/swapfile swap swap defaults 0 0" >> /etc/fstab'

参考链接：

给各设备安装自签名证书

2023-10-19T01:49:16+08:00

内网中的 HTTP 服务，都使用自签名证书升级为 HTTPS 了之后，还需要在各个设备上对自签名的证书手动添加信任，这篇文章总结一下各个系统下，如何添加自签名证书。

0. Linux

Arch / Manjaro

将证书复制至 /etc/ca-certificates/trust-source/anchors/ 目录下

1

$ sudo cp example.crt /etc/ca-certificates/trust-source/anchors/

安装证书

1

$ sudo trust extract-compat

Debian / Ubuntu / Alpine

将证书复制至 /usr/local/share/ca-certificates/ 目录下

1

$ sudo cp example.crt /usr/local/share/ca-certificates/

安装证书

1

$ sudo update-ca-certificates --fresh

1. Android

将证书下载到手机
（以原生安卓为例）打开【设置】，进入【安全与锁定屏幕 -> 加密与凭据】
点击【安装证书 -> CA 证书】，点击【仍然安装】
验证指纹或 PIN 后，选择下载好的证书文件，点击即可安装

如需卸载：

进入设置中的【加密与凭据 -> 信任的凭据 -> 用户】
选择要卸载的证书，点击【卸载】

2. Windows

将证书下载到计算机
双击打开证书文件
在打开的窗口中，单击【常规】选项卡中的【安装证书】
选择【将所有证书放在以下存储】，点击“浏览”
选择【受信任根证书颁发机构】，点击“确定”
点击“下一步” -> “完成” -> “确定”

3. iOS

在 iOS 和 iPadOS 中信任手动安装的证书描述文件 - 官方 Apple 支持 (中国)

参考链接：

如何制作和使用自签名证书 - 苏洋博客

使用 Prometheus 抓取硬盘 S.M.A.R.T 信息

2023-10-19T01:48:36+08:00

前言

家里的存储机器上有一块 16 T 的机械硬盘，还没有集成进家中的 PLG (Prometheus + Loki + Grafana) 监控系统中，需要将这块拼图给补全，监控起它的 S.M.A.R.T 信息，并配上相应指标的告警，省得哪天硬盘突然暴毙。因为家中的监控告警体系还在施工中，目前先补齐监控体系中必需的数据源和监控面板，后需再单独撰文记录告警体系的搭建。

采集指标

首先参考这篇博客，在宿主机上安装好 node-exporter，并开启 text-collector 功能，创建好指标文件存放的目录，然后再开始下面的环节。

然后安装要用到的软件包，其中：

获取硬盘 S.M.A.R.T 信息的脚本需要用到 smartctl 这个命令，是由 smartmontools 软件包提供的
- 关于 smartctl 命令的使用，可以参考 Linux 下关于硬盘 S. M. A. R. T 的相关操作 - LUG @ USTC 这篇文章
写入指标文件需要用到 sponge 命令，包含在 moreutils 软件包中

1

$ sudo apt update && sudo apt install -y smartmontools moreutils

下载脚本，并赋予执行权限：

1
2


$ wget https://raw.githubusercontent.com/prometheus-community/node-exporter-textfile-collector-scripts/master/smartmon.sh
$ chmod +x ./smartmon.sh

先手动执行脚本输出一次指标：

1

$ sudo /home/he-sb/node-exporter/smartmon.sh | sudo -u node-exporter sponge /var/lib/node_exporter/textfile_collector/smartmon.prom

注意：

脚本的路径最好用绝对路径，这样后需添加到 crontab 中时，方便直接复制命令，避免遗漏
使用 sponge 生成指标文件时，需要切换到 node-exporter 用户，直接使用 sudo 生成出来的指标文件，所有权是属于 root 用户和组的

然后检查一下是否生成了指标文件，以及 node-exporter 是否正确的将指标文件采集并输出了：

1
2


$ cat /var/lib/node_exporter/textfile_collector/smartmon.prom
$ curl localhost:9100/metrics

可以看到，node-exporter 输出的指标中，已经附加上了以 smartmon_ 开头的指标，可以正常被 Prometheus 采集了。

接下来配置 crontab 定时任务，每分钟自动刷写一次文件：

1
2
3


$ crontab -e
# 新增下面这行
* * * * * sudo /home/he-sb/node-exporter/smartmon.sh | sudo -u node_exporter sponge /var/lib/node_exporter/textfile_collector/smartmon.prom

然后就可以去 Grafana 配置可视化面板来展示并监控这些指标了。

配置监控面板

下面简单列举一下支持的面板，可以导入后根据需要来调整：

13654 - S.M.A.R.T Dashboard | Grafana Labs
- 推荐，直接导入就能用，信息展示简介清晰，该有的都有
16514 - SMART + NVMe status | Grafana Labs
- 不太推荐，导入后部分指标无法展示，需要调整查询语句，作者写了篇博客介绍如何使用这个面板，以及一些告警配置，可以参考一下

关于这些指标怎么用，如何确定该关注哪些指标，如何配置合理的告警条件，可以参考下面的文章：

Monitoring a mixed fleet of flash, HDD, and NVMe devices with node_exporter and Prometheus | Wireworld
- 上面提到的 16514 这个面板的作者分享的关于他如何监控自家的存储设备的文章
What SMART Hard Disk Errors Actually Tell Us
- 知名云存储和数据备份备份供应商 Backblaze 分享的文档，很有参考价值

小尾巴

最后，如果你和俺一样用的是希捷的机械硬盘（HDD），发现监控到的 Raw Read Error 和 Seek Error Rate 特别高，这是因为希捷的固件中，这两个指标中同时存放了【操作次数】和【错误次数】，原始值共 48 bit（二进制 48 位），转换到 16 进制共 12 位，其中高 4 位存放的是【错误次数】，低 8 位存放【操作次数】。也就是希捷硬盘的 S.M.A.R.T 数据中，这两个值需要转换为 16 进制来看，不够 12 位的在高位补 0，然后只看高 4 位才是对应指标的【错误次数】。

简单来说，只要这两个值没有超过 4294967295 就没有问题（十进制值，对应 16 进制的 FFFFFFFF），详细解释可以参考这篇文章。其他厂商的硬盘没有这个问题。

参考链接：

宿主机安装 Node Exporter

2026-01-13T22:56:32+08:00

最近遇到了一些场景，需要在宿主机安装 node-exporter 来监控指标：

某些指标只能在宿主机采集，容器内采集不方便 / 无法采集
某些机器有特定用途，不需要 / 无法安装 Docker

下面记录一下安装过程，系统环境基于 Debian 11 / 12，安装方式来自 node-exporter 的官方文档（理论上 CentOS 以及 Ubuntu 系统也是一样的）。

首先从 release 下载并解压官方编译好的 node-exporter 二进制程序：

1
2


$ curl -OL https://github.com/prometheus/node_exporter/releases/download/v1.6.0/node_exporter-1.6.0.linux-amd64.tar.gz
$ tar -xvf node_exporter-1.6.0.linux-amd64.tar.gz

然后创建一个 node_exporter 用户，用来执行 node-exporter 程序：

1

$ sudo useradd --no-create-home --shell /sbin/nologin node_exporter

将解压后的 node-exporter 程序移动到系统程序目录下，并将所属的用户和组信息修改为刚创建的 node-exporter ：

1
2


$ sudo mv node_exporter-1.6.0.linux-amd64/node_exporter /usr/local/bin/
$ sudo chown node_exporter:node_exporter /usr/local/bin/node_exporter

创建 systemd 配置文件：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


$ sudo bash -c 'cat <<EOF > /etc/systemd/system/node_exporter.service
[Unit]
Description=Node Exporter
Requires=node_exporter.socket

[Service]
User=node_exporter
Group=node_exporter
EnvironmentFile=/etc/sysconfig/node_exporter
ExecStart=/usr/local/bin/node_exporter --web.systemd-socket $OPTIONS

[Install]
WantedBy=multi-user.target
EOF'

创建 systemd 使用的 socket 文件，监听 9100 端口：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


$ sudo bash -c 'cat <<EOF > /etc/systemd/system/node_exporter.socket
[Unit]
Description=Node Exporter

[Socket]
ListenStream=9100

[Install]
WantedBy=sockets.target
EOF'

同样，这两个 systemd 配置文件的所有权也要变更为 node-exporter ：

1
2


$ sudo chown -R node_exporter:node_exporter /etc/systemd/system/node_exporter.service
$ sudo chown -R node_exporter:node_exporter /etc/systemd/system/node_exporter.socket

再创建一个配置文件，用于定义 node-exporter 除了监听端口之外的启动参数：

1
2
3


$ sudo bash -c 'cat <<EOF > /etc/sysconfig/node_exporter
OPTIONS="--collector.textfile.directory /var/lib/node_exporter/textfile_collector"
EOF'

比如这里就开启了 text-collector 功能，这个功能是让 node-exporter 从指定位置的文件中采集指标信息，然后附加到自己采集到的其他指标中输出。Prometheus 社区贡献了很多脚本，可以将许多 node-exporter 无法采集的指标（比如硬盘的 S.M.A.R.T 信息），转化为 Prometheus 支持的格式，然后写入文件中，这些指标就可以通过 node-exporter 的 text-collector 功能被采集，然后暴露给 Prometheus 拉取，进而可以让这些原本不支持 Prometheus 采集指标的程序，可以以一种相对优雅的方式，集成到围绕 Prometheus 构建的监控报警体系中去。

如果你不需要这个功能，那么 /etc/sysconfig/node_exporter 这个配置文件和下面将要创建的，用于存放供 text-collector 收集的指标文件的 /var/lib/node_exporter/textfile_collector 目录，都可以先不用配置，以后有需求时再配置也可以。

创建 text-collector 监听的指标文件存放路径，所有权同样改成 node-exporter ：

1
2


$ sudo mkdir -p /var/lib/node_exporter/textfile_collector
$ sudo chown -R node_exporter:node_exporter /var/lib/node_exporter

最后，让 systemd 重载配置，然后启动 node-exporter，同时允许开机自启：

1
2


$ sudo systemctl daemon-reload
$ sudo systemctl enable --now node_exporter

查看服务运行状态：

1

$ sudo systemctl status node_exporter

最后记得在防火墙放行 node-exporter 配置的监听端口（俺这里是 9100）：

1

$ sudo ufw allow 9100/tcp comment "node-exporter"

参考链接：

node_exporter/examples/systemd at master · prometheus/node_exporter

使用 Prometheus 监控 Home Assistant

2023-10-19T00:57:51+08:00

为了方便叙述，本文将使用 hass 指代 Home Assistant.

首先稍微解释一下为什么不用 hass 自己的 dashboard 来展示数据：

已经搭建了 PLG (Prometheus + Loki +Grafana) 监控系统，对于数据的监控和告警，统一在 Grafana 内配置和查看比较高效，不需要在 hass 再维护一套单独的 dashboard
hass 仅负责家中智能 IoT 设备的【操作 + 自动化】，数据监控交给 PLG 来做，贯彻单一职责原则，避免在单个系统内增加不必要的复杂度

关于 hass 和 PLG 的搭建，由于内容较多，俺打算后续单独撰文分别记录（先挖个大坑），本文仅记录如何将 hass 的数据暴露给 Prometheus.

00. 配置 hass 暴露监控指标

编辑 hass 的配置文件 configuration.yaml（如果你和俺一样是用 docker 安装 hass 的话，这个文件在容器内的 /config 路径下），在其中新增以下内容后重启 hass 即可：

1
2


# 启用 prometheus api
prometheus:

注意这两行内容均是顶格书写的，不要有任何缩进或空格。

重启完成后，进入 hass 后台，点击左下角的用户名，翻到页尾，创建一个长期访问令牌，创建成功后记得先复制出来备用，这个令牌仅会在创建成功时展示一次，如果忘了复制，就只能删掉重新创建一个了。

一般来说现在可以去配置 Prometheus 抓取数据了，想要验证的话，可以使用 cURL：

1
2
3


curl -X GET \
 https://ha.he-sb.home/api/prometheus \
 -H 'Authorization: Bearer <刚复制的令牌>'

01. 配置 Prometheus 抓取 hass 的数据

编辑 Prometheus 的配置文件，加入抓取 hass 的配置：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


 - job_name: 'hass'
 scrape_interval: 60s
 metrics_path: /api/prometheus
 # Long-Lived Access Token
 authorization:
 credentials: "此处粘贴刚复制的令牌"
 scheme: https
 tls_config:
 ca_file: "he-sb.home.crt"
 static_configs:
 - targets:
 - ha.he-sb.home

注意这里俺使用了 https 协议，自定义的内网域名，以及对应的自签名证书——因为俺的 hass 容器没有暴露端口，通过部署在同一台机器上且在同一个 docker 网络的 Traefik 容器反代 + 内网自建 DNS 服务，来提供内网的 https 访问，且 Prometheus 是使用 docker 部署在内网另外一台机器。

如果你也是类似的配置（比如使用 nginx 或者 caddy 反代等），那么需要注意：

scheme 需要为 https
ca_file 是自签名证书的文件路径

如果你和俺一样是用 docker 部署 Prometheus 的话，需要注意这个路径是容器内路径，不是宿主机的

ha.he-sb.home 替换为你自己的域名

如果你的 hass 部署方式比较简单，那么需要按需修改上方的配置：

如果没有配置 https 访问，那么需要删除 scheme 和 tls_config 部分
如果配置了 https 访问，但不是自签名证书（比如公网 DDNS 域名），那么只需要删掉 tls_config 部分
如果啥也没配置，直接通过【IP】或【IP + 端口】方式访问 hass 的，那么不仅需要删除 scheme 和 tls_config 部分，ha.he-sb.home 也要替换为 hass 所在机器的 IP + 端口

配置修改完成后，重启 Prometheus 使改动生效（如果你的 Prometheus 开启了 --web.enable-lifecycle 参数，那么直接在内网任意机器使用 POST 方式调用 Prometheus 的 /-/reload api 也可以重载配置文件，不需要重启），此时查看 Prometheus 后台的【Status - Targets】页面，应该能看到 hass 已经能被正确地抓取了。

02. 配置 Grafana 监控面板

俺暂时只配置了 4 个指标的监控：

空调实时功率
空调的月度用电量
PDU 插排的实时功率
PDU 插排的月度用电量

可以直接 import 下方的 json 内容，看一下实际效果再做调整即可。

点击展开

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
363
364
365
366
367
368
369
370
371
372
373
374
375
376
377
378
379
380
381
382
383
384
385
386
387
388
389
390
391
392
393
394
395
396
397
398
399
400
401
402
403
404
405
406
407
408
409
410
411
412
413
414
415
416
417
418
419
420
421
422
423
424
425
426
427
428
429
430
431
432
433
434
435
436
437
438
439
440
441
442
443
444
445
446
447
448
449
450


{
 "__inputs": [
 {
 "name": "DS_PROMETHEUS",
 "label": "Prometheus",
 "description": "",
 "type": "datasource",
 "pluginId": "prometheus",
 "pluginName": "Prometheus"
 }
 ],
 "__elements": {},
 "__requires": [
 {
 "type": "grafana",
 "id": "grafana",
 "name": "Grafana",
 "version": "10.1.1"
 },
 {
 "type": "datasource",
 "id": "prometheus",
 "name": "Prometheus",
 "version": "1.0.0"
 },
 {
 "type": "panel",
 "id": "stat",
 "name": "Stat",
 "version": ""
 },
 {
 "type": "panel",
 "id": "timeseries",
 "name": "Time series",
 "version": ""
 }
 ],
 "annotations": {
 "list": [
 {
 "builtIn": 1,
 "datasource": {
 "type": "grafana",
 "uid": "-- Grafana --"
 },
 "enable": true,
 "hide": true,
 "iconColor": "rgba(0, 211, 255, 1)",
 "name": "Annotations & Alerts",
 "type": "dashboard"
 }
 ]
 },
 "editable": true,
 "fiscalYearStartMonth": 0,
 "graphTooltip": 0,
 "id": null,
 "links": [],
 "liveNow": false,
 "panels": [
 {
 "datasource": {
 "type": "prometheus",
 "uid": "${DS_PROMETHEUS}"
 },
 "fieldConfig": {
 "defaults": {
 "color": {
 "mode": "thresholds"
 },
 "mappings": [],
 "thresholds": {
 "mode": "absolute",
 "steps": [
 {
 "color": "green",
 "value": null
 }
 ]
 },
 "unit": "watt"
 },
 "overrides": []
 },
 "gridPos": {
 "h": 7,
 "w": 3,
 "x": 0,
 "y": 0
 },
 "id": 2,
 "options": {
 "colorMode": "value",
 "graphMode": "area",
 "justifyMode": "auto",
 "orientation": "auto",
 "reduceOptions": {
 "calcs": [
 "lastNotNull"
 ],
 "fields": "",
 "values": false
 },
 "textMode": "auto"
 },
 "pluginVersion": "10.1.1",
 "targets": [
 {
 "datasource": {
 "type": "prometheus",
 "uid": "${DS_PROMETHEUS}"
 },
 "editorMode": "code",
 "expr": "homeassistant_sensor_power_w{entity=\"sensor.lumi_mcn02_f582_electric_power\",friendly_name=\"客厅空调 功率\"}",
 "instant": false,
 "legendFormat": "__auto",
 "range": true,
 "refId": "A"
 }
 ],
 "title": "客厅空调 功率",
 "transparent": true,
 "type": "stat"
 },
 {
 "datasource": {
 "type": "prometheus",
 "uid": "${DS_PROMETHEUS}"
 },
 "fieldConfig": {
 "defaults": {
 "color": {
 "mode": "thresholds"
 },
 "mappings": [],
 "thresholds": {
 "mode": "absolute",
 "steps": [
 {
 "color": "green",
 "value": null
 },
 {
 "color": "yellow",
 "value": 100
 },
 {
 "color": "red",
 "value": 150
 }
 ]
 },
 "unit": "watt"
 },
 "overrides": []
 },
 "gridPos": {
 "h": 7,
 "w": 3,
 "x": 3,
 "y": 0
 },
 "id": 1,
 "options": {
 "colorMode": "value",
 "graphMode": "area",
 "justifyMode": "auto",
 "orientation": "auto",
 "reduceOptions": {
 "calcs": [
 "lastNotNull"
 ],
 "fields": "",
 "values": false
 },
 "textMode": "auto"
 },
 "pluginVersion": "10.1.1",
 "targets": [
 {
 "datasource": {
 "type": "prometheus",
 "uid": "${DS_PROMETHEUS}"
 },
 "editorMode": "code",
 "expr": "homeassistant_sensor_power_w{entity=\"sensor.cuco_v3_682d_electric_power\",friendly_name=\"PDU 功率\"}",
 "instant": false,
 "legendFormat": "__auto",
 "range": true,
 "refId": "A"
 }
 ],
 "title": "PDU 功率",
 "transparent": true,
 "type": "stat"
 },
 {
 "datasource": {
 "type": "prometheus",
 "uid": "${DS_PROMETHEUS}"
 },
 "fieldConfig": {
 "defaults": {
 "color": {
 "mode": "thresholds"
 },
 "decimals": 1,
 "mappings": [],
 "thresholds": {
 "mode": "absolute",
 "steps": [
 {
 "color": "green",
 "value": null
 },
 {
 "color": "#EAB839",
 "value": 50
 }
 ]
 },
 "unit": "kwatth"
 },
 "overrides": []
 },
 "gridPos": {
 "h": 7,
 "w": 3,
 "x": 6,
 "y": 0
 },
 "id": 4,
 "options": {
 "colorMode": "value",
 "graphMode": "none",
 "justifyMode": "auto",
 "orientation": "auto",
 "reduceOptions": {
 "calcs": [
 "lastNotNull"
 ],
 "fields": "",
 "values": false
 },
 "textMode": "auto"
 },
 "pluginVersion": "10.1.1",
 "targets": [
 {
 "datasource": {
 "type": "prometheus",
 "uid": "${DS_PROMETHEUS}"
 },
 "editorMode": "code",
 "expr": "homeassistant_sensor_energy_kwh{entity=\"sensor.lumi_mcn02_f582_power_cost_month\",friendly_name=\"客厅空调 空调 power_cost_month\"}",
 "instant": false,
 "legendFormat": "__auto",
 "range": true,
 "refId": "A"
 }
 ],
 "title": "月用电量 - 客厅空调",
 "transparent": true,
 "type": "stat"
 },
 {
 "datasource": {
 "type": "prometheus",
 "uid": "${DS_PROMETHEUS}"
 },
 "fieldConfig": {
 "defaults": {
 "color": {
 "mode": "thresholds"
 },
 "decimals": 1,
 "mappings": [],
 "thresholds": {
 "mode": "absolute",
 "steps": [
 {
 "color": "green",
 "value": null
 },
 {
 "color": "#EAB839",
 "value": 70
 }
 ]
 },
 "unit": "kwatth"
 },
 "overrides": []
 },
 "gridPos": {
 "h": 7,
 "w": 3,
 "x": 9,
 "y": 0
 },
 "id": 3,
 "options": {
 "colorMode": "value",
 "graphMode": "none",
 "justifyMode": "auto",
 "orientation": "auto",
 "reduceOptions": {
 "calcs": [
 "lastNotNull"
 ],
 "fields": "",
 "values": false
 },
 "textMode": "auto"
 },
 "pluginVersion": "10.1.1",
 "targets": [
 {
 "datasource": {
 "type": "prometheus",
 "uid": "${DS_PROMETHEUS}"
 },
 "editorMode": "code",
 "expr": "homeassistant_sensor_energy_kwh{entity=\"sensor.cuco_v3_682d_power_cost_month\",friendly_name=\"PDU Switch power_cost_month\"}",
 "instant": false,
 "legendFormat": "__auto",
 "range": true,
 "refId": "A"
 }
 ],
 "title": "月用电量 - PDU",
 "transparent": true,
 "type": "stat"
 },
 {
 "datasource": {
 "type": "prometheus",
 "uid": "${DS_PROMETHEUS}"
 },
 "fieldConfig": {
 "defaults": {
 "color": {
 "mode": "palette-classic"
 },
 "custom": {
 "axisCenteredZero": false,
 "axisColorMode": "text",
 "axisLabel": "",
 "axisPlacement": "auto",
 "barAlignment": 0,
 "drawStyle": "line",
 "fillOpacity": 0,
 "gradientMode": "none",
 "hideFrom": {
 "legend": false,
 "tooltip": false,
 "viz": false
 },
 "insertNulls": false,
 "lineInterpolation": "linear",
 "lineWidth": 1,
 "pointSize": 5,
 "scaleDistribution": {
 "type": "linear"
 },
 "showPoints": "auto",
 "spanNulls": false,
 "stacking": {
 "group": "A",
 "mode": "none"
 },
 "thresholdsStyle": {
 "mode": "off"
 }
 },
 "mappings": [],
 "thresholds": {
 "mode": "absolute",
 "steps": [
 {
 "color": "green",
 "value": null
 },
 {
 "color": "red",
 "value": 80
 }
 ]
 },
 "unit": "watt"
 },
 "overrides": []
 },
 "gridPos": {
 "h": 7,
 "w": 12,
 "x": 0,
 "y": 7
 },
 "id": 5,
 "options": {
 "legend": {
 "calcs": [],
 "displayMode": "list",
 "placement": "bottom",
 "showLegend": true
 },
 "tooltip": {
 "mode": "single",
 "sort": "none"
 }
 },
 "targets": [
 {
 "datasource": {
 "type": "prometheus",
 "uid": "${DS_PROMETHEUS}"
 },
 "editorMode": "code",
 "expr": "homeassistant_sensor_power_w{entity=\"sensor.cuco_v3_682d_electric_power\",friendly_name=\"PDU 功率\"}",
 "instant": false,
 "legendFormat": "PDU",
 "range": true,
 "refId": "A"
 }
 ],
 "title": "PDU 功率",
 "transparent": true,
 "type": "timeseries"
 }
 ],
 "refresh": "1m",
 "schemaVersion": 38,
 "style": "dark",
 "tags": [],
 "templating": {
 "list": []
 },
 "time": {
 "from": "now-6h",
 "to": "now"
 },
 "timepicker": {},
 "timezone": "",
 "title": "hass",
 "uid": "b24eaa87-7074-4897-9986-fd99e6a83290",
 "version": 3,
 "weekStart": ""
}

03. 进阶配置

过滤部分实体的指标输出

默认情况下，hass 会暴露所有实体的指标，如果有部分实体不希望暴露给 Prometheus，那么可以修改 hass 的配置文件，增加 filter 配置，过滤掉一部分实体：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# 启用 prometheus api
prometheus:
 filter:
 exclude_entities:
 - light.kitchen_light
 exclude_entity_globs:
 - binary_sensor.*_occupancy
 include_entities:
 - light.kitchen_light
 include_entity_globs:
 - binary_sensor.*_occupancy

稍微解释下：

exclude_entities
- 需要过滤的实体 ID
- 仅过滤【完全匹配】的实体
exclude_entity_globs
- 使用通配符匹配，过滤匹配到的实体 ID
- 仅过滤【符合规则】的实体
include_entities
- 需要暴露的实体 ID
- 仅暴露【完全匹配】的实体
include_entity_globs
- 使用通配符匹配，暴露匹配到的实体 ID
- 仅暴露【符合规则】的实体

注意，如果配置了 include 规则，那么所有未命中的实体都【不会】被输出。

详细的配置和匹配规则请参考官方文档，本文不再赘述了。

参考链接：

Docker Compose 部署 Wallabag

2023-10-12T22:33:33+08:00

这是一篇在内网服务器上部署 wallabag 的踩坑过程记录，使用 docker compose 部署，并使用内网其他机器上已有的 PostgreSQL 数据库和 Redis 缓存，同时使用 traefik 作为前置的反向代理。

wallabag 是一个可以自己部署的网页剪藏 / 稍后读应用，可以方便地保存各种网页资源，不仅能保存链接，还可以抓取页面内容（从此不怕 404），同时支持 tag 和全文搜索，确实非常方便。然而网上搜到的 wallabag 部署教程多数都是基于官方示例，使用 MySQL / MariaDB 作为数据库，而且没有配置 Redis 缓存。这应该是为数不多使用 PostgreSQL 作为数据库的教程（用的人少，坑自然多些，不过俺已经替各位趟平了，可以放心阅读）。

至于为什么要用 PostgreSQL 作为数据库，是因为：

内网中还有其他应用在用，不希望每个应用都部署一个自己的数据库，一来不方便备份数据，二来对 HomeLab 场景下有限的计算和存储资源也是一种浪费
PostgreSQL 在大多数场景下可以替代 MySQL，在容器时代，大多数现代构建的镜像都支持使用 PostgreSQL 作为数据库，或者至少同时支持 PostgreSQL 和 MySQL 。俺认为长远来看这也是技术上的趋势，详见：

言归正传，下面开始踩坑之旅。

00. 启动容器

首先新建一个文件夹，用来部署 wallabag：

1
2


mkdir wallabag
cd wallabag

docker-compose.yml 文件内容（俺注释掉了官方示例中的 `healthcheck` 部分）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60


version: '3'

x-common: &default
 restart: unless-stopped
 networks:
 - traefik
 logging:
 driver: json-file
 options:
 max-size: '10m'
 environment: &default-environment
 TZ: Asia/Shanghai

services:
 wallabag:
 <<: *default
 image: wallabag/wallabag:2.6.2
 container_name: wallabag
 volumes:
 # 将图片挂载出来存储
 - ./data:/var/www/wallabag/web/assets/images
 environment:
 <<: *default-environment
 POSTGRES_USER: homelab_pgsql
 POSTGRES_PASSWORD: homelab_pgsql
 SYMFONY__ENV__DATABASE_DRIVER: pdo_pgsql
 SYMFONY__ENV__DATABASE_HOST: 192.168.1.11
 SYMFONY__ENV__DATABASE_PORT: '5432'
 SYMFONY__ENV__DATABASE_NAME: wallabag
 SYMFONY__ENV__DATABASE_USER: homelab_pgsql
 SYMFONY__ENV__DATABASE_PASSWORD: homelab_pgsql
 SYMFONY__ENV__LOCALE: zh
 SYMFONY__ENV__DOMAIN_NAME: https://wallabag.he-sb.home
 SYMFONY__ENV__SERVER_NAME: wallabag on HE-SB home
 SYMFONY__ENV__REDIS_HOST: 192.168.1.11
 SYMFONY__ENV__REDIS_PORT: '6379'
 # Redis 密码
 # Redis 部署时未配置密码的话删掉就行了
 SYMFONY__ENV__REDIS_PASSWORD: homelab_redis
 labels:
 traefik.enable: 'true'
 traefik.docker.network: traefik
 # http 配置
 traefik.http.routers.wallabag-http.entrypoints: http
 traefik.http.routers.wallabag-http.rule: Host(`wallabag.he-sb.home`)
 traefik.http.routers.wallabag-http.service: noop@internal
 traefik.http.routers.wallabag-http.middlewares: https-redirect@file
 # https 配置
 traefik.http.routers.wallabag.entrypoints: https
 traefik.http.routers.wallabag.tls: 'true'
 traefik.http.routers.wallabag.rule: Host(`wallabag.he-sb.home`)
 traefik.http.services.wallabag.loadbalancer.server.port: '80'
 # healthcheck:
 # test: ["CMD", "wget" ,"--no-verbose", "--tries=1", "--spider", "http://localhost"]
 # interval: 1m
 # timeout: 3s

networks:
 traefik:
 external: true

字段说明：

环境变量部分

POSTGRES_USER 和 POSTGRES_PASSWORD
- PostgreSQL 数据库的用户名和密码
SYMFONY__ENV__DATABASE_DRIVER
- 指定数据库类型为 PostgreSQL
SYMFONY__ENV__DATABASE_HOST
- 数据库地址
SYMFONY__ENV__DATABASE_PORT
- 数据库端口
- 如果 PostgreSQL 部署时没有修改端口，那么默认应该就是 5432 ，这一行可以直接删掉
SYMFONY__ENV__DATABASE_NAME
- 数据库名称
SYMFONY__ENV__DATABASE_USER 和 SYMFONY__ENV__DATABASE_PASSWORD
- PostgreSQL 数据库的用户名和密码
- 和上方环境变量的区别是，上面的是给容器内的初始化脚本用的，而这两个是给容器内的 php 程序用的（俺也不晓得为啥要整两份。。）
SYMFONY__ENV__LOCALE
- 修改默认语言为中文
- 原本的默认语言是英语（ en ）
SYMFONY__ENV__DOMAIN_NAME
- 程序反代后的完整 URL
- 需要带上协议名称（https / http）
SYMFONY__ENV__SERVER_NAME
- 程序的主机名
- 可以随便起一个，不是很影响，删掉也没关系
SYMFONY__ENV__REDIS_HOST 和 SYMFONY__ENV__REDIS_PORT
- Redis 的地址和端口
- 如果 Redis 也部署在同一台宿主机上，这里最好使用宿主机的局域网 IP，而不是 127.0.0.1
SYMFONY__ENV__REDIS_PASSWORD
- Redis 的密码
- 如果 Redis 部署时未配置密码，直接删掉这一行就好了

labels 部分

labels 部分是提供给 traefik 用于服务发现的，如果你用的是 NPM 或者 caddy 之类的反代，可以将容器的 80 端口暴露出来，然后直接将域名反代至容器暴露出来的端口，然后删掉 docker-compose.yml 文件中的 networks 和 labels 部分即可。

docker compose up -d 将容器启动后，访问 wallabag.he-sb.home ，不出意外的话应该会显示 500 错误，推测是因为俺直接连接了已有的 PostgreSQL 数据库，而 wallabag 在已有的数据库中新建数据库失败了，所以服务没法正常运行。下面来手动修复一下这个问题。

01. 解决问题

创建数据库表结构

1

docker exec -it wallabag /var/www/wallabag/bin/console doctrine:migrations:migrate --no-interaction --env=prod

中间会闪过若干个报错信息，先不用在意，能看到命令执行最后，输出了 finished 字样即可。此时刷新一下 wallabag 网页，应该可以正常展示登录界面了。

创建管理员账户

然而，此时无论输入什么用户名和密码（比如网上教程中都说 wallabag 刚安装好时的默认用户名密码都是 wallabag ），都会提示用户名密码错误，没法登录。这是因为容器刚启动时，因为创建新的数据库失败了，导致没有新建成功任何账户，而上文的数据库迁移命令仅能迁移已有的数据库表和模式，对于原本就没有的账户数据，并没有新增，这就导致了此时的数据库内实际上并没有任何用户数据。下面俺通过手动再执行一次安装命令，来解决这个问题。

1

docker exec -it wallabag /var/www/wallabag/bin/console wallabag:install -e prod

此时会有一些交互式的操作，俺在必要的地方增加了注释，注意看清提示信息再输入：

点击展开

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69


wallabag installer
==================

Step 1 of 4: Checking system requirements.
------------------------------------------

 ------------------------ -------- ----------------
 Checked Status Recommendation
 ------------------------ -------- ----------------
 PDO Driver (pdo_pgsql) OK!
 Database connection OK!
 Database version OK!
 curl_exec OK!
 curl_multi_init OK!
 ------------------------ -------- ----------------

 [OK] Success! Your system can run wallabag properly.

Step 2 of 4: Setting up database.
---------------------------------

# 因为已经通过数据库迁移命令创建成功了数据库
# 此处不需要重置数据库，避免影响其他数据
# 直接输入 no 后回车即可
 It appears that your database already exists. Would you like to reset it? (yes/no) [no]:
 > no

# 同上，输入 no 后回车即可
 Seems like your database contains schema. Do you want to reset it? (yes/no) [no]:
 > no

 Clearing the cache...

 Database successfully setup.

Step 3 of 4: Administration setup.
----------------------------------

# 进入这个流程的唯一目的就在这里
# 输入 yes 并回车，创建一个新的管理员账户
 Would you like to create a new admin user (recommended)? (yes/no) [yes]:
 > yes

# 要新建的用户名
# 不输入直接回车，会使用默认值 wallabag
 Username [wallabag]:
 > admin

# 设置密码
# 密码不会回显，而且只能输入一次，没有二次输入校验
# 注意别打错字，否则只能重新创建了
# 不输入直接回车，会使用默认值 wallabag
 Password [wallabag]:
 >

# 输入用户对应的邮箱
# 不输入直接回车，会使用默认值 wallabag@wallabag.io
 Email [wallabag@wallabag.io]:
 > wallabag@he-sb.home

 Administration successfully setup.

Step 4 of 4: Config setup.
--------------------------

 Config successfully setup.

 [OK] wallabag has been successfully installed.
 [OK] You can now configure your web server, see https://doc.wallabag.org

此时再次刷新 wallabag 网页，使用刚才创建的用户名和密码登录就可以正常使用了。

理论上可以不用先执行迁移数据库的命令，直接进入安装流程，然后在提示是否重置数据库和表结构的时候，都选择 yes ，来让 wallabag 重新生成数据库和表结构，然后再新增管理员账户，也是一样的效果。但是俺懒得试了，看到这篇的网友们如果愿意尝试一下，可以在评论中分享一下结果，方便后来的网友们

给挂载的图片目录增加写入权限

然而，到这里问题还是没有全部解决，如果此时尝试保存一篇带图片的文章，那么图片内容是没法保存的（无论源网页有没有反爬措施），然后再尝试删除这篇文章，又会跳出来一个 500 错误。这是因为在 docker-compose.yml 文件中，将容器内的 /var/www/wallabag/web/assets/images 目录挂载到了 data 这个宿主机文件夹，但是不知为何容器内的应用对这个路径没有写入权限。俺尝试在 docker-compose.yml 文件中增加 user: '1000:1000' 配置，但重建容器后发现容器压根启动不起来了，查看日志能看到这个报错：

Starting wallabag ...
/entrypoint.sh: line 28: can't create app/config/parameters.yml: Permission denied

推测是因为镜像构建过程中使用了其他用户，导致指定的 1000 用户并没有权限操作其中的文件，不过问题解决到这里，俺已经麻了，并不想再去翻 wallabag 官方的 dockerfile 。。最终俺选择简单粗暴地解决这个问题——先删掉刚才在 docker-compose.yml 文件中增加的 user: '1000:1000' 配置，然后在宿主机执行下面这个命令，将宿主机挂载目录的权限调整至 777 ，也就是允许（任何）其他用户读写：

1

sudo chmod -R 777 data

终究还是翻了一下官方的 dockerfile ，原来容器内的用户和组都是 nobody 。。。最根本的办法，就是在宿主机将挂载目录的归属指定为 nobody 用户和组。但是这个特殊的用户和组直接 sudo chown nobody:nobody data 是不行的，需要指定 uid 和 gid 才行：
1
sudo chown -R 65534:65534 data

最后再执行一下 docker compose up -d 重建容器就可以了（因为刚才修改了 compose 配置文件）。

02. 进阶教程

开启图片本地缓存

进入 wallbag 网页界面，登录后，点击右上角的头像，选择【内部设置】，点击【杂项】标签，下方的 在本地缓存图片 值默认是 0 ，改为 1 后点击“应用”按钮，就可以将网页中的图片缓存至本地（挂载出来的容器目录）了。

启用 Redis 作为异步导入的缓存

进入 wallbag 网页界面，登录后，点击右上角的头像，选择【内部设置】，点击【导入】标签，下方的 启用 Redis 来异步导入数据 值默认是 0 ，改为 1 后点击“应用”按钮，就可以开启 Redis 作为异步导入的缓存了。

此时再次点击右上角的头像，选择【导入】，应该能看到页面顶部有一行很显眼的提示：

导入是异步进行的。一旦导入任务开始，一个外部 worker 就会一次处理一个 job。目前的服务是： Redis

此时选择一个导入途径，比如俺选择了【Firefox】，然后点击“导入内容”，选择待导入的文件，点击“上传文件”，此时右上角应该会提示：

导入情况摘要: 1 个项目正在等待导入。

此时如果刷新一下【导入】页面，会发现右上角有个提示：

Messages in queue: 1

多次刷新也之后提示这一句，看上去导入任务并没有开始的样子。。

此时需要去手动执行一下同步任务才能开始：

1

docker exec -it wallabag /var/www/wallabag/bin/console wallabag:import:redis-worker firefox --env=prod

导入完成后，刷新一下 wallabag 网页，应该能看到导入的内容了。

参考链接：

HE-SB-技术栈

2026 年，用最硬核的方式打开 GPG（二）

00. Windows 11 配置

0.1 安装 GPG

0.2 导入密钥并添加信任

0.3 配置 OpenSSH 使用 EA 子密钥鉴权

0.4 配置 git 使用 ES 子密钥签名 commit

01. Linux 配置

1.1 导入密钥并添加信任

1.2 配置 OpenSSH 使用 EA 子密钥鉴权

1.3 配置 git 使用 ES 子密钥签名 commit

02. VPS 配置

2.1 导出 EA 子密钥的公钥到远程服务器

2.2 删除旧的 RSA 密钥对（如果没有，可以跳过本小节）

03. GitHub 配置

3.1 配置 SSH 公钥

3.2 配置 GPG 公钥

04. 结语

2026 年，用最硬核的方式打开 GPG（一）

00. 前言

01. 生成密钥对

1.1 普通操作

1.2 高端操作

1.2.1 算号

1.2.2 缝合密钥

1.2.3 编辑密钥

02. 生成吊销证书

03. 导出备份

04. 清理善后

05. 结语

FFmpeg 操作合集

00. 安装

Linux 系统（以 Debian 12 为例）

Windows 系统

01. 合并多个视频文件

02. 分割视频

03. 转换封装格式

curl 操作合集

00. 通过代理发起连接

01. 下载文件

02. 测量延迟 / 网站测速

03. 附加 HTTP 请求头（Headers）

04. 改变 Method

Linux 下对 ext4 分区在线无损扩容

0. 安装必需的工具

1. 开始扩容

删除扩展分区和 swap 分区

给根分区扩容

将 swap 功能添加回来

给各设备安装自签名证书

0. Linux

Arch / Manjaro

Debian / Ubuntu / Alpine

1. Android

2. Windows

3. iOS

使用 Prometheus 抓取硬盘 S.M.A.R.T 信息

前言

采集指标

配置监控面板

小尾巴

宿主机安装 Node Exporter

使用 Prometheus 监控 Home Assistant

00. 配置 hass 暴露监控指标

01. 配置 Prometheus 抓取 hass 的数据

02. 配置 Grafana 监控面板

03. 进阶配置

过滤部分实体的指标输出

Docker Compose 部署 Wallabag

00. 启动容器

01. 解决问题

创建数据库表结构

创建管理员账户

给挂载的图片目录增加写入权限

02. 进阶教程

开启图片本地缓存

启用 Redis 作为异步导入的缓存

0.3 配置 OpenSSH 使用 `EA` 子密钥鉴权

0.4 配置 git 使用 `ES` 子密钥签名 commit

1.2 配置 OpenSSH 使用 `EA` 子密钥鉴权

1.3 配置 git 使用 `ES` 子密钥签名 commit

2.1 导出 `EA` 子密钥的公钥到远程服务器