WireGuard+V2ray打造史上最安全隐匿且高速的内网穿透隧道

发布于

首先讲一下需求，其实需求简单无比， 那就是无论身处何时何地，只要有互联网，就可以访问内网资源 ，说得具体点，比如出差在外想访问家里NAS存储的文件，通过直接访问NAS的内网IP（比如192.168.2.10）就可以实现访问，就好像自己坐在家里一样

时代背景

传统的内网穿透方案只能实现某个端口的穿透，想换个端口又需要重新配置，而在本方案中，整个内网资源都是共享的，只需配置一次即可。缺点是需要一个 大带宽公网服务器 做转发（如果流量使用不大也可使用小带宽公网服务器），不做转发也需要一个公网服务器作为 信令服务器 交换各自IP做NAT打洞操作，但TCP打洞难度太大（需要 三次握手 ），一般是UDP打洞，但是UDP又会被 QoS ，而且打洞成功率还需要受NAT类型影响（Full Cone NAT打洞成功率高，且需要NAT两边都是该类型，简而言之该类型NAT会 记住内网主机出去的端口 ，如果NAT不记住，则端口全靠猜），所以话题绕回来了，想要稳定还是需要一个大带宽公网服务器做转发。

该方案简单来讲就是 WireGuard over WebSocket over HTTPS ，也是一种 UDP over TCP 的方案。那为什么这么简单的需求需要这么复杂的实现呢？因为需要大带宽公网服务器做转发，就牵扯出一些列问题，这里简单说一下时代背景：

  1. 国内商用带宽贵 ：因为国家政策要求民用带宽量大价低，所以运营商普遍用高价商宽补贴家庭带宽。首先，宽带是运营商管的，就是那三家垄断，国内网络基础设施只有三大运营商有资质建设，阿里云、腾讯云、华为云等数据中心都必须要跟运营商买带宽，价格没法谈，偏贵。所以想想为什么百度云要限速了吧，你下载1G的小电影所支持给运营商的带宽费用和百度支付的根本不在一个数量级。其次IP资源受美国控制，国内独立IP价格更贵。而海外的商用带宽却很便宜，因此大带宽公网服务器一般选择海外服务器，既然出国了，那出国流量都会受到婶查的影响。所以这是第二点背景
  2. 网X络X婶X茶 ：富强、民主、文明、和谐！@#￥#￥%...，这就需要我们满足 隐匿 的需求，隐匿其实是在安全层面之上的，不安全谈何隐匿。
  3. 运营商对UDP实施QoS ：因为WireGuard使用的是UDP，作者也说过使用UDP的一大原因是因为TCP over TCP性能太糟糕，所以作者其实也考虑了UDP over TCP的场景，其次运营商为什么要对UDP实施QoS，在之前的文章 《2021-11-21_5分钟了解游戏加速器的原理与搭建》 中有详细阐述，总之就是 控制UDP的成本高的离谱 ，那还不如一刀切，直接QoS掉。

所以这么简单的需求需要这么复杂的实现，背景都是一环套一环的。

前置条件

为便于理解本方案，请按顺序阅读之前的文章

  • 《2021-12-18_被Linux创始人称做艺术品的组网神器——WireGuard》
  • 《2021-12-24_一群匿名者打造的强大基础通信网络构建工具——V2ray》

开局一张图

如上图所示，peer1和peer3为位于NAT后的主机，peer2为位于公网的主机，peer1和peer3部署wireguard和v2ray，peer2部署wireguard、v2ray和一个常规HTTPS网站（使用nginx作为web服务器），整个服务对外只暴露443端口，非常安全。

名词约束：

  • peer1中的wireguard称为w1，v2ray称v1，同理w2，w3分别是peer1和peer3中的wireguard，v2，v3分别是peer1和peer3中的v2ray

本方案整体流程为

  1. w3将udp数据发送给监听在本地某端口的v3，此处为内网环境
  2. v3作为客户端请求nginx，并携带约定好的path， 此处为公网环境，对外看来就是普通HTTPS流量
  3. nginx接收到v3的请求后，发现其携带约定好的path，通过location配置，将该请求升级为Websocket长连接，并且将请求转发给v2。
  4. v2接收到请求后发现是v3发送，并且是dokodemo-door任意门协议，于是将流量发送到指定端口，被w2接收

通过上面4步，建立起了peer3到peer2的连接，同理重复上面4步，建立起peer1到peer2的连接，于是组网成功。

所以它是如何满足安全隐匿且高速的需求？

  • 安全：安全自不用说，如今互联网上 TLS 已成为主流，是整个互联网的安全基石。
  • 隐匿：在安全的基础之上，在HTTPS流量中包含WireGuard流量，流量经过外层HTTPS加密后在经过WireGuard加密，自然是隐匿的
  • 高速：理论上UDP是快于TCP的，但是由于QoS的存在，高速从何谈起？但是将UDP封装在TCP中，相较于被QoS的UDP，那自然是高速的。
  • 此方案还有一个好处是服务器故障可自动切换，假设另外一台和peer2配置相同，当peer2故障时，在DNS控制台处将域名指向的IP切换到新IP即可实现故障自愈（自愈时间视DNS更新时间而定）

环境准备 

3.68.156.128
fakesite.com

假设三台主机均为CentOS操作系统

peer2配置

HTTPS站点搭建

首先peer2上需要有一个正常访问的HTTPS网站，如果已经有一台服务器并且配置了HTTPS网站，直接使用即可

  1. 在域名控制台将域名DNS添加A记录，指向peer2的公网IP
  2. 在peer2安装nginx
yum -y install epel-release
yum -y install nginx
  1. 配置网站，写入如下配置
cat > /etc/nginx/conf.d/fakesite.com.conf<<EOF
server {
    # 和申请的域名一致
    server_name  fakesite.com;
   
    access_log  /etc/nginx/fakesite.com.log  main;
​
    location / {
        root   /usr/share/nginx/html;
        index  index.html index.htm;
    }
   
    error_page   500 502 503 504  /50x.html;
    location = /50x.html {
        root   /usr/share/nginx/html;
    }
​
    listen 80;
}
EOF
  1. 启动 nginx （输入 nginx 命令即可）并访问， curl http://fakesite.com 有返回说明成功
  2. 配置HTTPS，使用certbot配置HTTPS，配置好之后 curl https://fakesite.com 有返回说明成功 
# 安装certbot
yum -y install epel-release
yum -y install certbot-nginx
​
# 配置域名HTTPS，根据提示进行即可
certbot --nginx -d fakesite.com -d www.fakesite.com
  1. 配置v2ray访问path，在HTTPS配置好之后，配置文件会自动加上证书相关配置
server {
    # 和申请的域名一致
    server_name  fakesite.com;
   
    access_log  /etc/nginx/fakesite.com.log  main;
​
    location / {
        root   /usr/share/nginx/html;
        index  index.html index.htm;
    }
   
    error_page   500 502 503 504  /50x.html;
    location = /50x.html {
        root   /usr/share/nginx/html;
    }
​
    listen 443 ssl; # managed by Certbot
    ssl_certificate /etc/letsencrypt/live/fakesite.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/fakesite.com/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;
​
}

在此基础之上，需要配置v2ray访问的特定path，该path越复杂越好，此处以 someRandomPathHere 为例，如下所示：

  • 配置后端v2ray的path
  • 配置后端v2ray的端口
  • 配置后端v2ray监听在 127.0.0.1 ，因为不提供外部访问，只供nginx访问 
server {
  ...  
#=====================此处为增加部分（开始）====
    # 这是v1或者v3需要携带的path，越复杂越好，
    location /someRandomPathHere {
        proxy_redirect off;
        # 注意，这是转发给v2ray的
        proxy_pass http://127.0.0.1:1090;
        proxy_http_version 1.1;
        # 升级成websocket协议
        proxy_set_header Upgrade \$http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host \$http_host;
    }
#=====================此处为增加部分（结束）====
   ...
}

配置v2ray

v2ray配置如下，几点需要注意

  • "listen": "127.0.0.1" ：监听在 127.0.0.1
  • "port": 1090 ：监听在1090端口，和nginx proxy_pass 配置一致
  • "path": "/someRandomPathHere" ：path和nginx location 配置一致 
# 生成配置文件
mkdir -p ~/v2ray-wg
cat > ~/v2ray-wg/config.json <<EOF
{
    "log": {
        "loglevel": "debug"
    },
    "dns": {
        "servers": [
            "1.1.1.1",
            "8.8.8.8",
            "8.8.4.4"
        ]
    },
    "inbounds": [
        {
            "listen": "127.0.0.1",
            "port": 1090,
            "protocol": "vless",
            "settings": {
                "clients": [
                    {
                        "id": "c71c5890-56dd-4f32-bb99-3070ec2f20fa"
                    }
                ],
                "decryption": "none"
            },
            "streamSettings": {
                "network": "ws",
                "wsSettings": {
                  "path": "/someRandomPathHere"
                }
            }
        }
    ],
    "outbounds": [
        {
            "protocol": "freedom",
            "settings": {
                "domainStrategy": "UseIP"
            }
        }
    ]
}
EOF
​
​
# 启动v2ray
v2ray -c ~/v2ray-wg/config.json
​

启动v2ray之后，访问该path，如果得到一个 Bad Request 说明在nginx对接v2ray成功 

$ curl https://fakesite.com/someRandomPathHere
Bad Request

配置wireguard

wireguard配置如下，有几点需要注意

  • Address = 5.5.5.1/24 ：指peer2的wireguard自用内网IP
  • ListenPort = 10000 ：wireguard监听端口，很遗憾目前wireguard只能监听在 0.0.0.0 即所有网络设备接口上，不能监听在 127.0.0.1 上，但是默认情况下即使监听在了eth0上也需要配合iptables开放端口，所以也是安全的
  • iptables规则中的eth0网卡根据实际名称修改
cat > /etc/wireguard/wg.conf<<EOF
[Interface]
Address = 5.5.5.1/24
PostUp   = iptables -I FORWARD -i %i -j ACCEPT
PostUp   = iptables -I FORWARD -o %i -j ACCEPT
PostUp   = iptables -t nat -I POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT
PostDown = iptables -D FORWARD -o %i -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
ListenPort = 10000
PrivateKey = aHWomHYVWebT+lAPyZcofEfdQYXdFOXpVWRKD91OyXA=
​
# 配置peer1
[Peer]
PublicKey = 451o6In0DqSTyg1GE4WzrK4Z0BLuFXTrjdqjBJ/RLwc=
AllowedIPs = 5.5.5.2/32,192.168.2.0/24
​
​
# 配置peer3
[Peer]
PublicKey = QOY2VaTZLtof4rtSrTS42d2Ld8vOc8hJwNcJu9DA8h8=
AllowedIPs = 5.5.5.3/32
EOF

启动wireguard

wg-quick up wg

查看wg信息，此时还没有peer连接上来：

$ wg
interface: wg
  public key: 1yrnzlpVNhpQyyBj0oehVqCaL/06RjK/tcd3icMuZ0Q=
  private key: (hidden)
  listening port: 10000
​
peer: 451o6In0DqSTyg1GE4WzrK4Z0BLuFXTrjdqjBJ/RLwc=
  allowed ips: 5.5.5.2/32, 192.168.2.0/24
​
peer: QOY2VaTZLtof4rtSrTS42d2Ld8vOc8hJwNcJu9DA8h8=
  allowed ips: 5.5.5.3/32
​

peer1配置

配置v2ray

peer1上dev2ray配置有以下注意点

  • 在入站中配置任意门协议，且远程主机（即peer2）端口为10000，和peer2中的wireguard监听端口一致，这样才会往wireguard发送数据；且协议一定要是udp，因为wireguard只支持udp协议
  • "address": "fakesite.com" ：指向peer2的网站，端口为443
  • security": "tls" ： 需要启用tls ，因为是作为客户端去访问https站点！上面peer2中不需要启用tls是因为流量已经在 nginx处解密 了，到了v2ray就已是明文流量。 
mkdir -p ~/v2ray-wg
# 创建配置文件
cat > ~/v2ray-wg/config.json <<EOF
{
    "log": {
        "loglevel": "debug"
    },
    "inbounds": [
        {  
            //配置任意门协议
            //本地监听127.0.0.1供wireguard连接
            "listen": "127.0.0.1", 
            //本地监听端口
            "port": 10000,
            //任意门协议
            "protocol": "dokodemo-door",
            "settings": {
                //发送远程主机（即peer2）的IP
                "address": "127.0.0.1",
                //发送给远程主机（即peer2）的端口
                "port": 10000,
                //协议一定要是udp，因为wireguard就是udp的
                "network": "udp"
            }
        }
    ],
    "outbounds": [
        {
            "protocol": "vless",
            "settings": {
                "vnext": [
                    {
                        //指向peer2的网站，端口为443
                        "address": "fakesite.com",
                        "port": 443,
                        "users": [
                            {
                                "id": "c71c5890-56dd-4f32-bb99-3070ec2f20fa",
                                "encryption": "none"
                            }
                        ]
                    }
                ]
            },
            "streamSettings": {
                "network": "ws",
                //需要启用tls
                "security": "tls",
                "wsSettings": {
                  "path": "/someRandomPathHere"
                }
            }
        }
    ]
}
EOF
​
# 启动v2ray
v2ray -c ~/v2ray-wg/config.json

配置wireguard

peer1上的wireguard配置如下，有几点需要注意

  • Address = 5.5.5.2/24 ：指peer1的wireguard自用内网IP
  • iptables规则中的eth0网卡根据实际名称修改
  • Endpoint = 127.0.0.1:10000 ：配置peer2的连接为 127.0.0.1:10000 ，因为此时流量已经被本地的v2ray接管了，发送给peer1 127.0.0.1:10000 的流量都将从v2ray的任意门协议到达peer2上的 127.0.0.1:10000 ，peer2上已经配置了wireguard去接收该流量。
  • AllowedIPs = 5.5.5.0/24 ：整个内网流量全部转发给peer2
  • PersistentKeepalive = 15 ：每隔15s就给peer2发送心跳包，保持连接（因为NAT下，peer1的公网IP和端口不定时在变化） 
cat > /etc/wireguard/wg.conf<<EOF
[Interface]
Address = 5.5.5.2/24
PostUp   = iptables -I FORWARD -i %i -j ACCEPT
PostUp   = iptables -I FORWARD -o %i -j ACCEPT
PostUp   = iptables -t nat -I POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT
PostDown = iptables -D FORWARD -o %i -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
PrivateKey = oAaT5OjURGvVqs/pbMa2HAsZXpbwNQCEzW0MZBmGJ1Y=
​
# 配置peer2
[Peer]
PublicKey = 1yrnzlpVNhpQyyBj0oehVqCaL/06RjK/tcd3icMuZ0Q=
AllowedIPs = 5.5.5.0/24
Endpoint = 127.0.0.1:10000
PersistentKeepalive = 15
EOF

启动wireguard

wg-quick up wg

测试

查看peer1上wg信息，发现已经连上peer2了

$ wg
interface: wg
  public key: 451o6In0DqSTyg1GE4WzrK4Z0BLuFXTrjdqjBJ/RLwc=
  private key: (hidden)
  listening port: 37301
​
peer: 1yrnzlpVNhpQyyBj0oehVqCaL/06RjK/tcd3icMuZ0Q=
  endpoint: 127.0.0.1:10000
  allowed ips: 5.5.5.0/24
  latest handshake: 28 seconds ago
  transfer: 92 B received, 212 B sent
  persistent keepalive: every 15 seconds
​

再去peer2上查看wg信息，发现peer1也已经连上了

$ wg
interface: wg
  public key: 1yrnzlpVNhpQyyBj0oehVqCaL/06RjK/tcd3icMuZ0Q=
  private key: (hidden)
  listening port: 10000
​
peer: 451o6In0DqSTyg1GE4WzrK4Z0BLuFXTrjdqjBJ/RLwc=
  endpoint: 127.0.0.1:48832
  allowed ips: 5.5.5.2/32, 192.168.2.0/24
  latest handshake: Now
  transfer: 616 B received, 184 B sent
​
peer: QOY2VaTZLtof4rtSrTS42d2Ld8vOc8hJwNcJu9DA8h8=
  allowed ips: 5.5.5.3/32

在peer1上ping peer2的内网IP，发现可以ping通

$ ping 5.5.5.1
PING 5.5.5.1 (5.5.5.1) 56(84) bytes of data.
64 bytes from 5.5.5.1: icmp_seq=1 ttl=64 time=220 ms
64 bytes from 5.5.5.1: icmp_seq=2 ttl=64 time=71.5 ms
64 bytes from 5.5.5.1: icmp_seq=3 ttl=64 time=70.4 ms

peer3配置

配置v2ray

peer3和pee1 v2ray的配置是一模一样的，实际上，除了peer2，也就是位于公网的主机以外，其他peer的v2ray配置都是相同的，目的都是为了给wireguard搭建好底层隧道，暴露 127.0.0.1:10000 给wireguard，此处就不再赘述，配置好后启动即可。

配置wireguard

peer3上的wireguard配置如下，有几点需要注意

  • Address = 5.5.5.3/24 ：指peer3的wireguard自用内网IP
  • 因为peer3在该场景下指客户端，需要访问peer1的内网资源，所以不需要配置iptables转发规则
  • AllowedIPs = 5.5.5.0/24,192.168.2.0/24 ：整个内网流量全部转发给peer2，并且包含 192.168.2.0/24 网段，该网段转发给peer2后peer2再转发给peer1，peer1在转发给和peer1同局域网下的主机，不清除可参考之前的文章： 《2021-12-18_被Linux创始人称做艺术品的组网神器——WireGuard》
  • PersistentKeepalive = 15 ：每隔15s就给peer2发送心跳包，保持连接（因为NAT下，peer3的公网IP和端口不定时在变化） 
cat > /etc/wireguard/wg.conf<<EOF
[Interface]
Address = 5.5.5.3/24
PrivateKey = AA7GomiYl60DW5ZAGgn7VlwGWX8/Jw74qiYWPpknGWQ=
​
​
[Peer]
PublicKey = 1yrnzlpVNhpQyyBj0oehVqCaL/06RjK/tcd3icMuZ0Q=
AllowedIPs = 5.5.5.0/24,192.168.2.0/24
Endpoint = 127.0.0.1:10000
PersistentKeepalive = 15
EOF

启动wireguard

wg-quick up wg

测试

首先在peer2上看peer3是否连接上了，如下所示为连接上的情况

$ wg
interface: wg
  public key: 1yrnzlpVNhpQyyBj0oehVqCaL/06RjK/tcd3icMuZ0Q=
  private key: (hidden)
  listening port: 10000
​
peer: 451o6In0DqSTyg1GE4WzrK4Z0BLuFXTrjdqjBJ/RLwc=
  endpoint: 127.0.0.1:59366
  allowed ips: 5.5.5.2/32, 192.168.2.0/24
  latest handshake: 2 seconds ago
  transfer: 4.27 KiB received, 1.61 KiB sent
​
peer: QOY2VaTZLtof4rtSrTS42d2Ld8vOc8hJwNcJu9DA8h8=
  endpoint: 127.0.0.1:37201
  allowed ips: 5.5.5.3/32
  latest handshake: 18 seconds ago
  transfer: 424 B received, 184 B sent
​

此时在peer3上分别ping peer1（5.5.5.1）和peer2（5.5.5.2），能ping通说明至少wireguard的内网通了，然后在ping需要peer1转发的内网ip，如192.168.2.5，如果能通说明peer1的转发是没问题的

在保险一点可以telnet端口，在主机192.168.2.5上监听一个tcp端口1024

nc -lvp 1024

然后在peer3上telnet，能通说明隧道通讯成功，如下为成功的输出：

$ telnet 192.168.2.5 1024
Trying 192.168.2.5...
Connected to 192.168.2.5.
Escape character is '^]'.

端口梳理

整个连接流程一共涉及到4个端口，如下图所示， 其中暴露在公网的只有443端口！ ,虽然wireguard也监听在了 0.0.0.0:10000 ，但是一般需要设置iptables规则才能暴露在公网，后续也会介绍到，可以将peer2中运行的v2ray和wireguard关进docker里面，隔离网络。 

0.0.0.0:10000

结合docker

其中peer2可以将v2ray和wireguard关进docker中，因为peer2纯做流量转发，不需要共享peer2上的内网资源，而peer1和peer3可将v2ray运行在docker中，但是不建议将wireguard运行在docker中，因为docker实际上有一层网络隔离，如果wireguard运行在docker中，只有该容器本身会接入wireguard的内网中，但是宿主机的网络并没不会接入，但实际场景中peer1一般为家庭内网中的一台linux节点（如路由器等）也可以将wireguard运行在docker中。

总之一句话，需要宿主机加入wireguard网络，则在宿主机上运行，如果只是纯粹做流量转发，则可以在docker中运行wireguard。

将wireguard运行在docker中还有一个好处，正是由于docker的网络隔离，所以wireguard监听在0.0.0.0上而不用担心会不小心暴露在公网！

下面的例是将peer2中的wireguard和v2ray运行在docker中

创建网桥

创建网桥用于自定义容器IP

# 首先创建一个桥接网络，在自己的桥接网络上才能实现ip自定义
docker network create --subnet=172.18.0.0/16 mynet

运行v2ray

容器中v2ray的配置只有监听在 "listen": "0.0.0.0" 这个区别，且一定要监听在 0.0.0.0 ，监听在 127.0.0.1 只能在容器内部访问， 容器之间无法访问 。

配置v2ray，需要注意

  • "listen": "0.0.0.0" ：docker内部网络是隔离的，需要监听在0.0.0.0 
mkdir -p ~/v2ray-wg
cat > ~/v2ray-wg/config.json <<EOF
{
    "log": {
        "loglevel": "debug"
    },
    "dns": {
        "servers": [
            "1.1.1.1",
            "8.8.8.8",
            "8.8.4.4"
        ]
    },
    "inbounds": [
        {
            //docker内部网络是隔离的，需要监听在0.0.0.0
            "listen": "0.0.0.0",
            "port": 1090,
            "protocol": "vless",
            "settings": {
                "clients": [
                    {
                        "id": "c71c5890-56dd-4f32-bb99-3070ec2f20fa"
                    }
                ],
                "decryption": "none"
            },
            "streamSettings": {
                "network": "ws",
                "wsSettings": {
                  "path": "/someRandomPathHere"
                }
            }
        }
    ],
    "outbounds": [
        {
            "protocol": "freedom",
            "settings": {
                "domainStrategy": "UseIP"
            }
        }
    ]
}
EOF

运行v2ray，指定固定为 172.18.0.10 ，此处很重要

  • 意味着nginx location 处配置也需要指定该IP 
docker run -d \
--name v2ray-wg \
--network mynet \
--ip 172.18.0.10 \
--restart=always \
-v ~/v2ray-wg/config.json:/etc/v2ray/config.json \
v2fly/v2fly-core
​
# 如需删除，使用下面命令
# docker stop v2ray-wg && docker rm v2ray-wg

查看日志，有类似于 creating stream worker on 0.0.0.0:1090 的输出说明成功。 

$ docker logs -f v2ray-wg
​
app/dns: DNS: created UDP client initialized for 1.1.1.1:53
2021/12/26 06:03:37 [Info] app/dns: DNS: created UDP client initialized for 8.8.8.8:53
2021/12/26 06:03:37 [Info] app/dns: DNS: created UDP client initialized for 8.8.4.4:53
2021/12/26 06:03:37 [Debug] app/proxyman/inbound: creating stream worker on 0.0.0.0:1090
2021/12/26 06:03:37 [Info] transport/internet/websocket: listening TCP(for WS) on 0.0.0.0:1090

nginx处location配置修改， proxy_pass 需修改为 http://172.18.0.10:1090 

server {
  ...  
#=====================此处为增加部分（开始）====
    # 这是v1或者v3需要携带的path，越复杂越好，
    location /someRandomPathHere {
        proxy_redirect off;
        # 注意，这是转发给v2ray的，此处IP需修改为v2ray容器的固定IP
        proxy_pass http://172.18.0.10:1090;
        proxy_http_version 1.1;
        # 升级成websocket协议
        proxy_set_header Upgrade \$http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host \$http_host;
    }
#=====================此处为增加部分（结束）====
   ...
}

运行wireguard

wireguard配置和docker外一致

# 创建目录
mkdir -p ~/wg
# 创建配置
cat > ~/wg/wg.conf<<EOF
[Interface]
Address = 5.5.5.1/24
PostUp   = iptables -I FORWARD -i %i -j ACCEPT
PostUp   = iptables -I FORWARD -o %i -j ACCEPT
PostUp   = iptables -t nat -I POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT
PostDown = iptables -D FORWARD -o %i -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
ListenPort = 10000
PrivateKey = aHWomHYVWebT+lAPyZcofEfdQYXdFOXpVWRKD91OyXA=
​
# 配置peer1
[Peer]
PublicKey = 451o6In0DqSTyg1GE4WzrK4Z0BLuFXTrjdqjBJ/RLwc=
AllowedIPs = 5.5.5.2/32,192.168.2.0/24
​
​
# 配置peer3
[Peer]
PublicKey = QOY2VaTZLtof4rtSrTS42d2Ld8vOc8hJwNcJu9DA8h8=
AllowedIPs = 5.5.5.3/32
EOF

运行wireguard，指定固定IP为 172.18.0.11 ，此处很重要

  • 意味着客户端（即peer1或peer3）v2ray的任意门协议远程IP指定该IP
docker run -d \
--name=wg \
--cap-add=NET_ADMIN \
--cap-add=SYS_MODULE \
-e PUID=1000 \
-e PGID=1000 \
-v ~/wg/wg.conf:/config/wg0.conf \
-v /lib/modules:/lib/modules \
--network mynet --ip 172.18.0.11  \
--sysctl="net.ipv4.conf.all.src_valid_mark=1" \
--restart always \
linuxserver/wireguard
​
# 如需删除，使用下面命令
# docker stop wg && docker rm wg

查看日志输出，如下输出即为成功。

$ docker logs -f wg
....
Warning: `/config/wg0.conf' is world accessible
[#] ip link add wg0 type wireguard
[#] wg setconf wg0 /dev/fd/63
[#] ip -4 address add 5.5.5.1/24 dev wg0
[#] ip link set mtu 1420 up dev wg0
[#] ip -4 route add 192.168.2.0/24 dev wg0
[#] iptables -I FORWARD -i wg0 -j ACCEPT
[#] iptables -I FORWARD -o wg0 -j ACCEPT
[#] iptables -t nat -I POSTROUTING -o eth0 -j MASQUERADE

客户端v2ray任意门协议修改

因为peer2中wireguard固定IP有所变化，所以客户端（peer1或peer3）中v2ray的任意门协议需要的远程主机IP需要与之一致，即需设置为 172.18.0.11

以peer1中为例

  • "address": "172.18.0.11" ：发送远程主机（即peer2）的IP，此IP为peer2容器中wireguard的IP 
mkdir -p ~/v2ray-wg
# 创建配置文件
cat > ~/v2ray-wg/config.json <<EOF
{
    "log": {
        "loglevel": "debug"
    },
    "inbounds": [
        {  
            //配置任意门协议
            //本地监听127.0.0.1供wireguard连接
            "listen": "127.0.0.1", 
            //本地监听端口
            "port": 10000,
            //任意门协议
            "protocol": "dokodemo-door",
            "settings": {
                //发送远程主机（即peer2）的IP，此IP为peer2容器中wireguard的IP
                "address": "172.18.0.11",
                //发送给远程主机（即peer2）的端口
                "port": 10000,
                //协议一定要是udp，因为wireguard就是udp的
                "network": "udp"
            }
        }
    ],
    "outbounds": [
        {
            "protocol": "vless",
            "settings": {
                "vnext": [
                    {
                        //指向peer2的网站，端口为443
                        "address": "fakesite.com",
                        "port": 443,
                        "users": [
                            {
                                "id": "c71c5890-56dd-4f32-bb99-3070ec2f20fa",
                                "encryption": "none"
                            }
                        ]
                    }
                ]
            },
            "streamSettings": {
                "network": "ws",
                //需要启用tls
                "security": "tls",
                "wsSettings": {
                  "path": "/someRandomPathHere"
                }
            }
        }
    ]
}
EOF
​
# 启动v2ray
v2ray -c ~/v2ray-wg/config.json

修改后重启v2ray即可。

端口和IP梳理

红色部分即为IP指定变化的部分

注意事项

  • 文中v2ray配置中的UUID记得更改，请勿照抄
  • 文中v2ray配置中的Path记得更改，请勿照抄
  • 文中wireguard公钥私钥记得更改，请勿照抄

如果上面列出的都照抄，那么攻击者只需要知道你的网站域名，就可以访问你的内网资源，精心搭建的HTTPS隧道安全性不攻自破，切记切记。

  • 服务器域名切换故障自愈

peer2可配置多个相同节点，当其中一个故障后，在DNS控制台切换到其他节点，但此时需要注意有一个域名请求死循环，这种情况发生在peer3在wireguard中配置了DNS服务器的情况下，如下

[Interface]
Address = 5.5.5.3/24
PrivateKey = AA7GomiYl60DW5ZAGgn7VlwGWX8/Jw74qiYWPpknGWQ=
# 配置了内网DNS服务器
DNS = 192.168.2.1
...

当peer2故障域名切换到另一台相同节点后，v2ray会去请求域名指向的新IP，此时会将域名请求发送给 192.168.2.1 ，很明显此时 192.168.2.1 是不通的，因为v2ray连上并且wireguard工作正常后此内网ip才通，所以请求直接超时，解决办法有两种

  • 暂时屏蔽掉wireguard的DNS配置，让DNS请求走本来的通道，当和peer2连接上之后再放开该配置
  • 每次v2ray启动后主动去请求一下，迫使v2ray先请求域名，然后在启动wireguard

参考

来源：https://www.gushiciku.cn/pl/assy

评论

发表评论

此博客中的热门博文

近期折腾 tailscale 的一些心得

发布于
一、我的需求 最近自己装了一台高配台式机，打算当作自己的主力机器使用，笔记本电脑就作为一个移动 UI，工作都远程连到家里台式机使用。 为了满足这个需求，就需要 NAT 穿透，正好最近 mesh vpn 的概念很火，又看到 tailscale 正好对个人用户免费，于是就想试试看了。 二、TailScale 是什么 VPN 是什么？ 虽然国人看到 VPN 第一反应应该是“翻墙”，但 VPN 最初应该也是最普遍的用途应该是用来做内网打通， 这也是其名字虚拟私有网络的用意，VPN 让你可以在公开的网络线路上建立一个私有的子网， 然后将所有接入的机器都分配一个私有的内网地址，让他们可以通过 VPN 的私有网络互联。 比如最常见的需求就是，公司有一个内网办公环境，当你外出办公时，也希望你的电脑能够接入办公网络。 因为外网的机器和内网的机器不能互联，所以一般会有一个中心服务器， 所有的子节点都和中心服务器相连，然后中心服务器转发所有的流量。 这样做的缺点显而易见，首先是中心服务器（hub）会成为瓶颈。 其次，某种极端情况下，如果节点 A 和 节点 B 距离非常近，但是都离 hub 很远， 这样就会导致非常高的延迟。 那么我们就会想，能不能让节点间直接互联呢？ 这就是 mesh VPN，其实现就是 wireguard。 wireguard 的每一个节点都会存储其他所有节点的信息，并且和其他所有的节点都建立 tls 连接。 如果涉及到内网穿透的话，那么你需要找到一台处于网关位置的节点（内外网都可达），将其设置为 coordinator， 扮演类似于 hub 的角色， 分发穿透内外网的流量。 wireguard 的缺点在于： 配置比较繁琐 维护也比较困难，增删节点都需要改动所有节点的配置 基于上述这些痛点，tailscale 做了一些改进： 在原有的 ICE、STUN 等 UDP 协议外，实现了 DERP TCP 协议来实现 NAT 穿透 基于公网的 coordinator 服务器下发 ACL 和配置，实现节点动态更新 通过第三方（如 Google） SSO 服务生成用户和私钥，实现身份认证 简而言之，我们可以认为 tailscale 是更为易用版的、功能封装更为完善的 wireguard。 三、TailScale 能做到什么 只要你的机器可以连到公网，tailscale 可以让所有的...
阅读全文

高可用用户中心设计

发布于
概述 我们公司现在的账户体系比较混乱，每个系统都有一套自己的账户体系，没有办法进行统一的账户管理，比如统计一个人在哪个系统有账号，这样操作是比较麻烦的，还有就是我们如何进行用户行为分析，最终综合用户的信息进行用户的画像。这些都是需要解决的问题。 常规的用户设计是统一账号和统一登录验证，统一注册等信息。但是结合我们公司的实际，发现这样的话我们的系统可能会出问题，我们无法屏蔽很多细节。我们的现状是： 系统需要向用户隐藏是同一个公司的这个事实。也就是说我们做了用户中心的设计，但是不能让用户感知这个系统的存在。也就是说多个系统之间的登录都是需要隔离的。离论上不能做统一账号的登录，但是可以做统一账号的验证。 同一个系统可能有多个马甲app，我想马甲app之间也需要登录隔离，虽然他们调用的是同一个后台系统，那么我们不得不面对一个问题，同一个用户同时下单的逻辑处理，需要后台做这种处理，否则就会出现严重的并发错误，而开发人员可能都没有注意到这个事实的存在，从而导致一些稀奇古怪的事情出现。 web端与app端应该是需要同时登录的，我们好像没有web的要求，但是好像有微信的web端的事情。假如我们有web端的登录，那么问题来了，我们要不要实现二维码登录web。目前看是可以先不实现的，但是作为设计考量我们不得不考虑这些。 第三方账户的登录，我们是通过手机号作为唯一标识，那么不太好实现第三方的登录注册。但是我们可以后期实现，如果实现第三方的登录注册，那么问题来了，我们的设计貌似不支持，需要改动，就是改掉手机作为唯一标识的问题，但是想想好像是不影响的，只要数据能插入问题就不大，因为没有手机号，这些用户是不能登录需要手机的app，但是有的系统可以做特殊处理，从而支持第三方账户的登录注册。但是这样做也有缺点，就是用户利用多种方式进行注册，也就是说我们不得不解决一个问题就是用户可能存在多个账户的可能性。加入用户有微信注册的账户，然后又用手机登录，绑定微信，这个时候我们可能需要去系统中用微信的unionId或者openId查找一下是否有用户，有就不能绑定，没有才能绑定。如果有我们可能也知道了这个人有重复号的可能性。这个可能需要在做的时候处理。 验证保密问题，公司居然都没有人提到这点。不过也对我们是通过手机号进行验证的。但是如果以后我们不在使用手机号，可能我们需要验证问题。还需要判断用户的活动记录...
阅读全文

群晖硬软件的的各种坑及解决方案

发布于
  适用对象：   白群晖用户，不愿意折腾，对数据敏感性较强（装了很多家庭照片，文件，宝贵的**姐们）； 不适用对象： 黑群用户，有些问题会涉及到硬件，由于黑群配置差异极大，很难找到原因；关于硬件推荐：本人与群晖无任何商业联系，因此不在此帖推荐任何硬件，只是以个人角度说一下使用过硬件的一些优缺点； 最后更新日期： 2021 年 9 月 2 日 （DSM 7.0 , 以群晖的牙膏性，这篇文章应该在未来2年都不会过时）； 不折腾玩转群晖NAS的通用建议： 用企业级硬盘： 多花点钱买企业级硬盘，现在10-16T的企业级硬盘价格真的不贵，耐心搜索本版帖子就能找到靠谱商家的合适价格（2021 年9月差不多120块钱1T）。既然是用白群了，那就要知道群晖的是根据盘位费卖硬件的，尽量不要用普通硬盘，尤其是淘汰下来的N 年旧硬盘做 NAS，问题多多，每月都有人求助群晖“存储空间损毁”的问题。另外，NAS 盘，除了对静音有极致要求，现在也不推荐，不仅价格贵，性能低、还吃了好多亏（SMR红盘坏了好几块）。 加内存是性价比最高的性能提升方式： 群晖有一篇非常冷门的 文章 ，提到了RAID/网络/内存对性能的影响，简单的总结就是，8G->16G内存，性能可以提升 30%以上，16G->32G内存，写性能还能提升 30%。当然这个测试都是基于“旗舰级”硬件测试的，但对于家用机，200多块钱的内存升级仍是最有效的性能提升方式，推荐大家无脑堆到支持内存的上限。 RAID不是数据保险箱： **姐有价，数据无价，如果真的想要保护数据，仅靠NAS是不够的，RAID而是用来保证某硬盘损坏时候依然能提供相关服务，而不是用来保证数据不丢的。为了数据安全，切记使用 “3-2-1”法则 保证数据安全。否则接收开盘数据恢复价格1T=1k； 群晖机器的性价比计算方式是价格/盘位： 群晖各阶机型CPU性能差异不太明显，但后期扩充盘位费极贵。因此简单计算性价比的方式就是价格/盘位，从而能比较出 2、4、5、6、8 盘位机器的性价比。注意只关注主机有多少个盘位，不要把扩展 DX517 这种算进去，大部分家庭用户很难再去买一个 DX517 用于扩容，所以不要想着买两盘位的720+，想着未来在买一个 DX517做成7盘位，应该直接买1621+直接上到 6盘位。...
阅读全文

分析redis key大小的几种方法

发布于
当redis被用作缓存时，有时我们希望了解key的大小分布，或者想知道哪些key占的空间比较大。本文提供了几种方法。 一. bigKeys 这是redis-cli自带的一个命令。对整个redis进行扫描，寻找较大的key。例： redis-cli -h b.redis -p 1959 --bigkeys 输出： # Scanning the entire keyspace to find biggest keys as well as # average sizes per key type. You can use -i 0.1 to sleep 0.1 sec # per 100 SCAN commands (not usually needed). [00.00%] Biggest hash found so far 's_9329222' with 3 fields [00.00%] Biggest string found so far 'url_http://mini.eastday.com/mobile/170722090206890.html?qid=sgllq&ch=east_sogou_push&pushid=13' with 8 bytes [00.00%] Biggest string found so far 'foo' with 40 bytes [00.00%] Biggest hash found so far 's_9329084' with 4 fields [00.23%] Biggest zset found so far 'region_hot_菏泽地' with 625 members [00.23%] Biggest zset found so far 'region_hot_葫芦岛' with 914 members [00.47%] Biggest string found so far 'top_notice_list' with 135193 bytes [00.73%] ...
阅读全文

打造一个可国内访问的Blogger（Blogspot）方法

发布于
  Blog‍‌‍‌​‌‌‌‌​‌​‍‌​‍‌‍‍​‌‌‍‌​‌‍​‍‌​​‍‌‌‌​‌‍‌‌​‍‍‍​‍‍‌​​‍‌‍‌​‍‌‍‍​‌‌‍‌​‌‍​‍‌​​‍​‍‍‍​‌‍‍‌ger,一个干爽、免费的博客发布平台，作为主流的发布，提供免费的托管，免去了Typecho&Wordpress高昂的服务器费用，避免了Hexo&Jekyll静态博客无后台的缺陷，与CSDN、简书相比，可以绑定域名，界面干净，无广告【当然可以自己放自己的广告】。 实际上，当今写博客的软件数不胜数，主要分为一下三类： 服务器部署：典型代表：Wordpress\Typecho 无服务器托管：典型代表：Hexo\Jekyll\Gidea\Hugo\Hola等等 集成型网站：Blogger、简书、CSDN、cnblog、wodemo等等 上面所有软件，优缺点都有，具体看个人选择 当然，个人认为Typecho适合做个人博客，Hexo可以作为要求不高的人。集成性网站最主要的是只要安安心心写文章，不用管后端乱七八糟的代码。当然，最有问题的是大多数都不支持绑定域名，而且经常往网站上塞广告，自定义范围也不够。 接下来，我们扯扯集成博客中的一股清流：Blogger Blogger.com是由Pyra Labs公司创立，是目前全球用户数量最多的个人网志服务提供商。Pyra Labs和Blogger.com均被Google公司收购，成为其旗下的一项服务内容。 Blogger提供免费主机Blogspot.com存放博客，用户不必写任何代码或者安装服务器软件或脚本，通过所见即所得界面轻松地创建、发布、维护和修改自己的网志。 Blogger允许有经验的用户自行设计博客界面，其模板支持使用HTML和CSS进行编辑 实际上，由于Blogger托管于谷歌，写作域名  www.blogger.com  和托管域名  *.blogspot.com  均被MainLand所Ban。但是接下来来，我会讲讲如何打造一个能在国内大陆访问的Blogger 1. 注册Blogger 众所周知，请善用技术上网。 用谷歌账号登录 ( https://www.blogger.com ) ，没有？不是⑧不是吧不是扒，都0202年了，还不会去注册一个谷歌账号？ 进入控制台，新建一个博客： 绑...
阅读全文

星际蜗牛安装黑裙（群晖）制作家用nas

发布于
说重点，群晖安装 选哪个型号哪个版本呢？ 之前用的5.2版本功能不够多，docker装上去运行个迅雷，隔一段时间就卡死了。download station里的rss订阅时间长了也更新不了。同时考虑到同步办公文件，这次得找个稳定的版本安装。 网上流传一个ds3617的二合一版本，正好可以安装到固态上。装完以后开机显示的画面有乱码 ，虽然乱码不影响使用，可总感觉不够稳定，再加上第一次插上硬盘以后重启了下，发现硬盘损毁，更不敢用了。（现在回过头来发现，应该是我插上去的那块硬盘是从别的nas上拆下来的，系统不识别造成的吧 ） nas论坛上走一遭发现还是乖乖用优盘引导安装吧。 网上最多的是918、916、3617、3615四种型号，群晖版本一般是6.1.7、6.2、6.2.1，选来选去选了6.1.7版本的3615，网友说这个版本稳定运行几年了。希望它稳定运行到天荒地老 小白注解 ： 群晖安装文件分两部分，引导文件和系统安装文件，黑群晖为啥黑就是引导文件是大神破解的。系统安装文件都是官方的，不用修改。 软件下载 逛坛子发现有两个好东西，一个是XPEnology多功能工具箱V1.2，软件长这样，首页就是引导文件 第二页是系统安装文件 需要用到的工具也都集成在里面了， 但是我从这里面下载下来的引导文件解压不了。于是找到了第二个神器——黑群晖工具获取器。 打开软件点下加载，然后依次选择型号，版本就全出来了。这里面也带了工具软件，不过我没用。用黑群晖工具获取器下引导文件挺快的，浏览器下载就行，但是系统安装文件就不行了，没速度 ，换迅雷就OK了。 我把引导文件、系统安装文件还有其他工具软件一起放网盘里，大家可以直接下载。 所有文件我都是上传的压缩包，解压以后使用 。 百度网盘链接 : 提取码:sle3 工具准备 一台电脑，一个独立的 显示器 、显示器与NAS的连接线，usb接口键盘。 上面的安装的时候需要，安装完就不用了。 找个闲置的64m优盘，没有的话大一点也可以，就是浪费容量而已。这个优盘以后一直要插nas上了 你们准备完了吗？ OK，正式开始折腾 制作引导优盘 大致流程是 先记录优盘VID和PID 删除原优盘分区， 往优盘上写引导文件 修改引导文件。 首先，拿出64m的优盘，插电脑上，打开XPEnology多功能工具箱，去制作工具栏里找到ChipGenius， 打开，我装了360，...
阅读全文

Cloudflare免费版设置说明

发布于
一：域名接入 Cloudflare 这一步其实能说的不是很多，因为我已经添加过域名了，也不好意思随便加别人的域名来测试，所以就只跟大家简单的说说吧。 注册账号之后先把自己想接入 CDN 的域名添加好，然后应该会有 Cloudflare 的提示，告诉你要把域名的 NS 记录改成 Cloudflare 的： NS 记录的修改需要到你的域名注册商那边改，这个根据各商家面板的不同可能设置上稍有差异，请自行查找。域名注册商那边改好之后，应该在 Cloudflare 这边刷新一下就能看到已经帮你添加好的各种记录了，默认支持 CDN 的也已经帮你开启了 CDN 功能，如果没有，就自己按照原来的记录重新添加一份，然后最重要的把 A AAAA 记录这种开启 CDN 功能。 此处提一下，不知道大家知不知道 NS 记录的用途？当我们改成 Cloudflare 的 NS 之后，其实以后我们就不需要到域名注册商那边去添加各种 A AAAA 记录了，全部都在 Cloudflare 这边完成，因为已经被接管了。 另外请注意，域名接入的说明是针对免费版 Cloudflare 来说的，用的合作伙伴那种接入方法的我这里就不说了，一般人家面板上会告诉你怎么操作（其实也就是绑定下域名到域名注册商那边改一下 A AAAA 记录之类的）。 二：后台概览页面介绍 在正式给大家说明各类设置项之前，我们先来看看 Cloudflare 的概览界面： 上面那一排排的按钮就是各种设置项了，第一项就是概览。 概览页面可以看到一些常规的 CDN 缓存数据大小还有命中率什么的，页面左边是一些功能的快捷开关，方便我们平时有需要时随时开随时关，翻译已给大家奉上。 概览按钮后面接的是 Analytics 功能，主要是用来展示一些详细的统计数据之类的，因为基本不含设置项，而且与本文标题不太相关，所以就不多介绍直接跳过了。 三：DNS 设置 防止有些人还找不到我说的是什么设置项，我就直接上图说了： 标的框框这里是让你快速添加各种主机记录用的，后面的图标亮着代表开启 CDN 功能，不想开就手动点一下关闭就是了。 关于 DNS 的设置部分，因为主要就是各种记录的添加，所以没什么好说的，只需要注意给你要开启 CDN 的域名添加正确的记录就是了，记录的设置和在原来域...
阅读全文

N1 PT下载小钢炮固件下载及安装说明

发布于
Nano Disk Manager (NanoDM) 公测版由于功能尚未最终稳定。因此，更新会比较频繁。 强烈建议使用0411之后的版本, 不要再去下载0909版本了... 0909版本的任何问题或bug都不予处理. FAQ 缓存问题 (此问题仅存在于0909及之前的老固件): 如果你进某个页面总是跳回登录页面,或者直接没有显示任何东西 ，浏览器返回的是该页无法显示。 chrome浏览器缓存问题。 ctrl + shift + i , 然后右击浏览器顶部地址栏的刷新按钮， 选择第三项：“清空缓存并硬性重新加载”， 即可。 更多FAQ见： https://gitee.com/8ox86/phicomm-n1-issue 下载地址： https://rom.nanodm.net/N1/ ==================================================================================== 从n1原版android系统刷机操作步骤 1.有一个N1,准备个U盘. 不要太大，U盘大于512M即可. usb 2.0的最佳。 闪迪（SanDisk）酷豆（CZ33）16GB 或 8GB的测试通过，表现良好。lexar 8GB USB2.0 U盘表现更佳。 经测试，上次撸的台电（Teclast）锋芒 U盘 64G USB3.0很大概率上识别会有问题。 下载 phicomm-n1-s905-linux-hacklog-20190327-0136.img.7z , 用 7z 或 winrar 解压后,再校验img文件的md5. 注意校验md5 phicomm-n1-s905-linux-hacklog-20190327-0136.md5sum.txt 将镜像文件 phicomm-n1-s905-linux-hacklog-20190327-0136.img 通过工具写入U盘 (windows下可用 USB Image Tool 或etcher[ https://etcher.io]， linux gnome3环境下可直接用Disks工具写入) 关于img写入 推荐使用 usb-image-tool 写入 其它工具没有测试过.不保证其工作正常. 如果你下载的是一个.xz的...
阅读全文

Windows7系统目录迁移:Users,Program Files,ProgramData

发布于
微软设计了比如：我的文档、我的OOXX，之类的东西，在WIN7下面更连游戏、下载等等目录都设计好了，我也很乖巧的把各种文件都分门别类的放进去了。 同时也很厉害的设计在了“%HOMEDRIVE%”里面，各种的资料，这种软件的配置就全给放进去了 在XP的时候对于C盘的要求还不是那么大，但是在win7下就显的捉襟见肘了 再格式化，重装系统就全没了，囧，就也是必须移动出来的第二个理由 以前只是自己挪挪地儿，小改一下注册表，今天无意中参考了几篇文章，那搞的才是个全面啊，在膜拜只后就全给做笔记了，忽忽，先上牛人原文的 传送门 首先，不管你要怎么挪，请记住挪坏了我不会负责。其次，确定系统是刚刚安装好的，这样比较不会出现意外，也更有效优化，确定是用Administrator 登录。 移动Program Files目录到非系统盘 第一步，复制 Program Files 目录 不能直接用 资源管理器 复制，我们需要保留此目录的所有权限设置，（以前我就是直接在资源管理器面弄到，现在严重怀疑，我的机器时不时的抽风是不是和这个有关）假设要从C 盘移动到 D 盘： xcopy "C:\Program Files" "D:\Program Files\" /E /H /K /X /Y/C 第二步，修改注册表 Windows Registry Editor Version 5.00 [ HKEY_LOCAL_MACHINE \SOFTWARE\Microsoft\Windows\CurrentVersion ] "ProgramFilesDir" = "D:\\ProgramFiles" "CommonFilesDir" = "D:\\ProgramFiles\\Common Files" 第三步，重启 注意不是注销，因为 Program Files 里有很多文件是被系统服务使用的，注销并不能重启服务。 第四步，关闭 iphlpsvc 服务 因为它...
阅读全文

个性化推荐从入门到精通

发布于
今天的分享将为大家解答以下几个问题：你的公司是否适合采用个性化推荐？如果需要个性化推荐，该如何做好？产品运营在参与到一个推荐系统的构建当中，有哪些常见的坑？有哪些可以避开这些坑的一些简单方法？以及如何修炼成一个优秀的推荐产品经理？ 一、“四个关键”为你揭开推荐系统的神秘面纱 个人认为，推荐系统是根据用户以及不同的场景差异，对信息进行合理的排序、过滤，解决信息过载问题的一套机制。这个定义中包含四个关键点，如下： 1.“根据用户以及不同的场景差异” 对于很多刚开始做推荐的人可能会忽略这一点，大部分人在思考推荐时想的更多的可能是基于用户来做，但其实我从众多实践中发现，很多时候推荐产生价值不仅仅只是说以用户进行区分，相关场景的差异会对于最后推荐效果产生巨大的影响。 2.“推荐的本质是对信息进行合理的排序、过滤” 很多人认为推荐是一个魔盒，非常神奇，其实究其本质是企业有成千上万甚至上亿的 item，不管这些 item 是文章、视频，还是电商里面的商品，然后现在有某个人在一个具体的场景里面，企业需要把这些 item 给他看，那应该把哪个放在第一个？这就是推荐系统背后的运作原理。 3. “推荐系统要解决信息过载的问题” 举个例子，如果你的企业只做爆款商品，整个公司只卖两个商品，这样用户一看就明白了，显然也不需要推荐，所以做推荐的一个前提条件是你公司本身提供的业务里面的信息太多了，对于一个正常的自然人来说，他处理不了那么多信息的时候，企业才需要去帮助用户解决信息过载的问题，从而为用户设计这样一套机制。 4.“一套机制” 这点很好理解，推荐系统是由不同的算法、规则等构成的一套机制。这四点是我从产品视角为你解读了什么是推荐系统，以及他的一些简单作用。 二、推荐系统、广告系统、搜索系统三者有何不同？ 事实上，解决我在前面提到的一系列问题，推荐系统并不是唯一的方法。 比如，前面所提到的排序、过滤，做技术的同学应该很容易联想到，搜索和广告系统也涉及排序、过滤，且搜索也一定程度上解决了信息过载。那么，这三个系统，它到底有什么区别呢？ 我从 5 个方面对其进行了对比，下面将一一讲述： 1. 用户获取信息的方式。 广告与推荐系统，用户都是被动的，但搜索不一样，用户是主动搜索的，他需要输入一些关键词，会加入一些自己的意见和重点。 2. 点击率要求。 这三个系统...
阅读全文