White-tailed Kites in Flight

展开 606 字的全文

Red-tailed Hawk Family

Recently, a pair of Red-tailed Hawks had three babies. I hadn't seen them for a while, and now they've grown up quite a bit. I heard that one of the chicks fell out of the nest onto the grass but was fortunately rescued without any injuries and even got tagged. Now, all three chicks are healthy and already practicing their flying skills.

0 Smith Point Rd, Reedville, VA 22539

不要假设别人已经知道任何事情。

如果你希望别人知道一件事情，你唯一能做的事情就是持续表达。

即使别人已经知道，如果你表达的方式足够精良，别人不会太介意再听一遍。

a nice blog page design:

https://www.multicore.blog/p/the-boox-palma-cant-replace-your

要解决边际效用递减带来的无聊，我必须去做一些从来没有做过的，但是又很有兴趣继续做下去的事情。会是什么呢？

Cycles

FFmpeg Commands for Planet

展开 2410 字的全文

Planet supports posting videos. You can attach one video per post. Here is a site with many videos:

https://yihanphotos.eth.sucks/

This page collects useful FFmpeg commands that can enhance video posts for Planet.

Install FFmpeg

FFmpeg is a versatile tool for processing videos.

You can download a static build from the FFmpeg website:

https://ffmpeg.org/download.html#build-mac

Or install via Homebrew.

brew install ffmpeg

Convert to HEVC

HEVC is the next-generation video format, capable of significantly reducing file size while maintaining visual fidelity. As of May 2024, it is already widely supported.

https://caniuse.com/hevc

Use this command to re-encode videos to HEVC:

ffmpeg -i input.mp4 -c:v libx265 -crf 28 -c:a copy -tag:v hvc1 -movflags faststart output-x265.mp4

It is worth noting that the -movflags faststart option is very important for video files intended for web hosting. This option places metadata at the beginning of the video file, allowing browsers to parse it without requiring the entire file to be downloaded.

-crf 28 is used to adjust compression quality. Its valid range is from 0 to 51, where 0 represents lossless compression, 23 is the default, and 51 is the lowest quality possible. A lower value indicates higher quality.

Upscaling with Nearest Neighbor

This command is particularly useful for processing retro gaming videos. For example, to upscale a video by 4x:

ffmpeg -i input.mp4 -crf 18 -vf "scale=iw*4:ih*4:flags=neighbor" output-4x.mp4

Example output:

Ensure Metadata is at the Beginning

This command ensures that the metadata is placed at the beginning of the file, which is important for web streaming. It does not alter the actual video data; therefore, there is no recompression. It only changes the location of the metadata.

ffmpeg -i input.mp4 -codec copy -movflags faststart output.mp4

You can verify the result with the mp4box tool, which can be installed with Homebrew:

brew install mp4box

Use mp4box to inspect a video file:

mp4box -info output.mp4

If you see this line in output, it means the file is good for web streaming:

Progressive (moov before mdat)

This page will be updated regularly as we discover more useful ways to enhance video posts for Planet.

Icon for GameDB

Great Blue Heron Eating a Crayfish

What if we've already found the perfect solution, and all our other attempts simply confirm that the existing solution is working?

信息的生产和消费，已经有了运转良好的地方——就像 Whole Foods 已经建立了一个良好运转的从农场到货架的系统，为什么大家还要去那些运作不良的地方买菜？

目前看来，至少 NOSTR 和 Plebbit 都还只是停留在思维试验的阶段，并不是真的能够让我每天去用的东西。

Great Blue Heron Catching Crayfish

凯文·凯利73岁生日的101条人生建议(中文翻译)

展开 5835 字的全文

Hi 大家好，

我是Justin。有一阵子没写文章了，正好看到凯文·凯利(Kevin Kelly)发布了他73岁生日的人生建议，想到我两年前翻译过他70岁生日写的103条人生忠告。当时我发布后没多久，KK就把他写的Blog删了，出版成了书: Excellent Advice for Living: Wisdom I Wish I'd Known Earlier，中文版是中信出版社出版的《宝贵的人生建议: 我希望早点知道的智慧》。

如今这101条人生建议是他新写的，并不包含在该书中。我如两年前一般翻译如下，希望对读者朋友有所帮助。对原文感兴趣的朋友也可以到KK Blog阅读: 101 Additional Advices

6年前，我送给我的孩子们在他们那个年纪我希望获得68条人生建议，以这样的方式来庆祝我的68岁生日。此后每次生日我都会加上一些新的建议，直到我据此写了一整本书。这本书去年出版了，书名是 Excellent Advice for Living。很多朋友告诉我说这本书他们读得很慢，每天读一点。还有几天就是我73岁生日了，照例我又给出了一共101条额外的，我希望自己早点知道的人生建议。这些都是书里没有的，全都是新的。如果你喜欢这些建议，或者能从中读出共鸣，那我的 Excellent Advice 书里还有460条。这些建议都很好地被整理在了硬装本里，书本是很方便的尺寸，可以随时用来送给比你更年轻的人。 - KK

批评一个东西最好的方式是改善它，让它变得更好。
每天至少承认一次“我不知道”可以让你变成一个更好的人。
不要再去想你的人生目标是什么啦，那个话题太过宏大。反过来，思考你接下来两年应该做什么就好了。
要做有效但不可预测的事情。就比如，你要像难以建模和模仿的AI一样去行动，这样你就是不可替代的。
无论你和谁拥抱，都要做晚松手的那个。
不要把好东西(好酒或昂贵的瓷器)保存起来，就为了几乎不会出现的使用场景，而应该用得上的时候就尽量用。
最好的园艺建议: 找到你种得好的东西然后种很多很多。
永远不要犹豫投资自己，比如为一个课程，一节课，或者学习一种新的技能而付费。这些小小的花费带来的回报是巨大的。
尝试用你的的爱与拥抱来定义自己，而不是恨与拒绝。
通过阅读大量的历史，你会发现过去有多么荒唐，这样你也能接受荒唐的未来了。
要让一个房间看起来高级(luxurious)，请清掉一些东西，而不是往里面塞更多的东西。
父母还在世的时候要多采访他们。一边提问一边作笔记。你会学到很多令人惊讶的事情。你也可以请一个人，把他们的故事写成口述历史，或拍成纪录片，或出一本书。这将是给父母以及你的家庭的一份绝妙的礼物。
如果你觉得一个人很普通，那你肯定不太了解他。“普通”只是一种幻觉。你的任务是要发现他们独有的天赋。
在购买任何实物(比如纪念品、家具、书、工具、鞋子、设备等)之前，先问问你自己: 这些东西会放在哪里？如果没有能安放这些物品的地方，那就别买。只有先放弃一些东西，才有空间让新的进来。
你可以给任何人一个二次机会，但没有第三次。
如果有人发消息跟你说他要迟到了，请把他预估的时间加倍来看。如果他说5分钟后到，那就是10分钟;如果说10分钟，那就是20分钟;如果说20分钟，那就是40分钟。
多任务同时操作只是一个神话。不要在走路、跑步、登山或开车的时候发消息，停下来一分钟发完再走，不会有人因此多想你一会的。
如果你能比世界上任何一个人更投入某件事情，你就能成为这件事情做得最好的人。
对自己的过去问一句"假如…会怎样?"(what-if?)只是在浪费时间;对未来问一句"假如…会怎样?"则能鼓舞绝佳的生产力。
尝试创作出能鼓舞别人也去尝试创作的艺术或事物。
试试每个月一次走不同的路回家，从不同的门进自己的屋子，坐在不同的餐桌椅上。别让生活一成不变。
你生活的地方──所在城市和国家──比任何其他因素对你的生活幸福感的影响都大。住在哪里也是你人生中少数几个可以自由选择和改变的事情之一。
时不时办一场令人难忘的派对。虽然开销可能比较高，但很久以后，你只会记得这个令人难忘的派对，而不会记得银行卡里还有多少钱。
大部份争论其实根本就不是关于争论本身，所以大部份争论也就不可能通过争论来赢得争论。
最靠谱的获得成功的方式，就是发明一个属于自己的对成功的定义。先把你的箭射出去，然后再在箭射中的地方画一个靶心，这样你绝对是赢家！
要重新装修自己家的时候，可以用大块的纸板做成同样大小的东西来示意，比如用纸板做一个假的橱柜。看到这些相同尺寸的示意摆件时，你很可能会改变原来的想法。而且，纸板只需要剪刀和胶带就能轻松改变。
你的人生中至少得有一件事情是你很享受的，即使并不是你擅长的。这就是你的娱乐时光，也是能让你保持年轻的事情。永远不需要因为花时间玩而感到愧疚。
对自己而言很重要的事情也是可以改变的，这不是愚蠢的结果，而是智慧的象征。
你有5分钟的时间可以对一个新的想法采取行动，不然它就会消失。
重要的事情一般不紧急，紧急的事情一般不重要。所以想要把重要的事情解决掉，就不要等到它变成紧急。
三种情况你绝对不会应该买太多而后悔: 倒水泥的时候，选购电池的时候，以及为你的派对准备冰块的时候。
应对大事所需要的耐心，来自你平时应对小事所培养起来的耐心。
不要害怕失败，要害怕平庸。
当你事情没有进展卡住了或事情太多被淹没了，请聚焦在能让你的项目往前挪动的最小可行的事情上。
在博物馆里，你需要花至少10分钟才能真的看见眼前的艺术品。所以，至少看5件艺术品每件10分钟，而不是看100件艺术品每件30秒。
要想获得稳定的满意度，可以努力改善自己过得最差的日子，而不是关注自己过得最好的日子。
三个字让你的选择变得更加明智: 看到每个选项都问一句:"…然后呢?"("…and then what?")
如果可能的话，每个房间都应该有两面采光。只有一面采光的房间通常更少使用，所以如果做得到的话，还是让每个房间都有两面采光。
除非你已经看到会议的议程以及知道该在会上做什么决定了，否则不要接受一个工作会议的邀请。如果这个会议没有任何决定需要你做的，那就更别参加了。
你没有义务去喜欢世界上所有人，你也可以憎恨某一个人。但是你需要对所有人──包括你不喜欢的人──保持基本的尊重。
如果你发现自己在拖延，不要反抗。直接跳进去，实现100%的拖延。你试着在5分钟内什么也别做，就这样。你绝对做不到。5分钟后，你已经准备好并且渴望要开始工作了。
如果你想知道手术做得咋样，别问医生，问护士们。
觉得自己不够好(其实没啥好处)，和少关注一点自己(益处多多)之间有深层的区别。(Justin注: 这里是KK的一个word play: thinking less of yourself 和 thinking of your self less)
鲜明的观点，清晰的表达，但别太死板是智慧生活的小妙招。要经常自问: 什么可以改变我的想法呢？
其实你无法真的变成“你”。想要成为“一种”东西不是单个个体能做到的。这里的悖论就是，你需要全世界所有其他人的存在，来让你变得独特。
如果你需要旁人的紧急支援，请直接告诉他们应该做什么。通过给他们具体的任务，你才能让他们从迷茫的旁观者变成有用的助手。
我们最常见的错误就是在不重要的事情上做得很棒。
不要为一家你不愿意花钱投资的公司工作，因为当你在里面工作的时候，你其实一直在投资你最有价值的东西: 你的时间。
快速失败。经常失败。面向未来失败。如果你在失败中越做越好，失败就不是一种耻辱。
善举本身就是一种回报。当你行善的时候，人们会质疑你的动机，而且你的善举很快就会被人忘记。但无论如何，都要行善。
最佳睡眠助手: 首先，你得变得非常疲惫。
无论哪种意义的成功，它背后都有某种非金钱形式的代价。想要维持这种成功，你就得乐于支付这些代价。
不要因为你花了很多时间犯下这个错，就继续困在这个错误里。
对于小任务来说，最佳动手时机就是现在。
如果有人打电话说你被诈骗了，十有八九他们自己就是诈骗犯。直接挂掉就好了。如果担心的话，自己找到源头打过去。(Justin注: 猜测这里源头 source 应该是指被诈骗的东西的源头，比如电话说你的银行卡被盗了，那你就打给银行。)
当你尝试完成一件特别困难的事情时，请让你的朋友帮你。
要让自己愿意在一开始看起来像个傻子，这样才能在后面显得像个天才。
以十年为单位思考，以天为单位行动
在这个世界上你能做的最自私的事情就是慷慨对人。你的慷慨将带来十倍回报。
尝试找到你愿意跟他一起啥也不干的人，然后经常跟他一起啥也不干。你们的关系越长久，你就活得越久。
忘掉钻石这种东西吧，探索在鹅卵石间的隐藏世界，去寻找被其他人忽略的东西。
给自己写一个讣告，要那种你自己真正想要的，并且可以每天努力让它实现的。(Justin: 有点像"悼词美德"的意味。)
不要在你感到饥饿、愤怒、孤独或疲惫(HALT)的时候做任何重要的决定。你都宕机了，那就停下吧。(Justin注: 这里是KK的word play, HALT是hungry, angry, lonely 和 tired的首字母缩写，也是单词halt停止的意思。所以后一句原文是: Just halt when you are HALT.)
其他大部份人对你的期待只是想知道他们被看见了而已，所以告诉他们，你看到他们了。
采用不同的方式工作，通常比很努力的工作更高效。
当你尝试新事物的时候，不要把它视为"成功/失败"的实验，而是看成"成功/学习如何成功"的实践。
当你有一个很好的"为什么"去追求时，没有什么"怎么做"可以阻止你。
当你灵感枯竭的时候，出去走两步。一次好的散步可以清空大脑──新的东西就会进来。
觉得你现在拥有的已经足够了，是最高形式的财富。
教育其实已经过于昂贵。但还是要支付的，因为无知比它昂贵多了。
最便宜的心理治疗，是花时间跟能让你开怀大笑的人在一起。
永远保持彻底地诚实，但是要把你的诚实作为礼物，而不是武器。你的诚实应该让其他人受益。
什么时候表明你正在从事适合你的工作呢？就是别人觉得很痛苦的枯燥的部分，你都觉得很享受。
嫉妒是毒药。相反，你应该分享别人成功的喜悦，把别人的成功也当作你的成功。庆祝别人的成功并不需要你付出什么，但却可以提高大家的喜悦，也包括你。
越坚持不懈，就越有机会成为幸运的人。
要讲好一个故事，你必须给人惊喜，不然那就是一个报告而已。
在一场长时间的游戏中，每一小步愈发重要，因为长线来看小步优势能累积出更大的成就。
如果你比其他人更幸运，那么请造一张更长的桌子，而不是更高的围栏。
很多失败可以带来结束，但更多的失败能带来开始。最艰难的任务就是开始。没有开始就没有完成，所以请让自己擅长开始。
请注意讲话的语气。很多时候一个想法被拒绝是因为讲述它的语气不对。谦逊可以掩盖很多瑕疵。
当你是正确的时候，你啥也没学到。
所有的小事累积起来最终定义了你的人生。请谨慎选择你的日常小事。
好奇和暴怒是可以同时存在的，所以，请避免暴怒。(Justin注: KK word play: curious 和 furious)
大学并不关注分数的。没人关心你在大学拿了多少分。大学是关于探索的。尝试探索各种事情。
诡异但真实: 如果你持续地给予，你会持续的拥有。
整理你的城市之前，先清扫你的家门口。
决策看起来像不可更改的，像只能单向开的门。但其实大部份决策都是双向的。别被决策困住了，需要的话你随时可以掉头。
每一个错误都是一次将错就错的机会。
你永远不会遇到一个成功的悲观主义者。如果你也想获得非凡的成就，请变得擅长乐观。
除非没人在看，否则你永远不能说它是一场慈善。
当你想到某个卑鄙的人时──一个暴君，杀人犯，或施虐者──别希望他们受到伤害。要希望他们欢迎孤儿们到他们家里，分享他们的食物给饥饿的人。要祝他们拥有善良的品质。如此共情，你能增加自己的幸福感。
要擅长接受指正而不觉得自己被冒犯了。
发明圣诞节与新年之间的那个礼拜是为了让你有充足的时间打磨厨刀，给车子吸尘，以及整理你桌面的文件夹的。
成功没有公式，不过失败有两个: 不去尝试，以及无法坚持。
我们高估了智力的价值。你的IQ需要与其他美德协作。人生中最重要的事情是没有办法仅通过逻辑达成的。
如果你认可某人的工作，你应该告诉他，不过更好的做法是，也告诉他的老板。
对于感情的处理，一点耐心可以省去多年的后悔。
谦虚是基本上是关于你对自己多幸运有多诚实的反映。
进展很慢比没有进展好上一百万倍。
崇高的秘诀: 对自己期待很多，对他人期待很少。
赢得朋友的方法是，让自己成为一个朋友。

Vol. 116 久违的无主题闲聊

展开 972 字的全文

itch.io is such a great project. does it need crypto? or crypto needs such a project more? its integration with paypal just works. big corporations like paypal can afford great ux.

White-tailed Kites Mating

❤️❤️🐣🐣🐣🐣

群晖新套件：HeadScale 开源的Tailscale服务器端

展开 4105 字的全文

https://imnks.com/6935.html 原文

套件截图

https://i.imnks.com/2022/11/989809734.png!I

参数设置UI界面

https://i.imnks.com/2022/11/1877059077.png!I

使用教程 2023.2.27更新

1、套件默认的配置文件目录说明

headscale需要的配置文件已建好了，后续套件升级过程会自动备份还原

主配置文件 config.yaml 位于 /var/packages/headscale/target/bin/

db.sqlite private.key 位于 /var/packages/headscale/target/config/

2、HeadScale安装的宿主机要求

有公网IP，如是动态公网IP还需要有DDNS解析。

需要公网IP端口映射的端口：8181，也就是参数中的：listen_addr 8181，可以自行修改按实配置

重点重点重点！！！：端口映射OK后，例如参数 8181 对外映射为 18181，那么HeadScale参数配置中：server_url: http://0.0.0.0:8181 需要修改为 http://你的公网IP或者域名:18181。参数中的其它0.0.0.0不要修改，只需要改：server_url！！！（旧版本升级后如果如果无法访问，修改其它参数中 127.0.0.1 为 0.0.0.0）

https://i.imnks.com/2023/02/1375760695.png!I

如有域名需ssl连接，请自行修改参数中域名证书的位置，建议放到套件config目录里：

## Use already defined certificates:
tls_cert_path: "/volume1/public/archive/cert.pem"
tls_key_path: "/volume1/public/archive/privkey.pem"

或者使用HeadScale配置中的Let's encrypt自动申请证书：域名提前自行解析到公网IP

# Email to register with ACME provider
acme_email: ""
# Domain name to request a TLS certificate for:
tls_letsencrypt_hostname: ""

3、创建分组空间 namespace

举例分组名称 imnks，ssh连接宿主群晖执行：

cd /var/packages/headscale/target/bin
headscale namespaces create imnks
#查看已建的空间
headscale namespaces list

https://i.imnks.com/2022/11/170941698.png!I

4、Tailscale客户端连接到HeadScale

群晖安装Tailscale套件后无需登录，ssh连接客户端群晖执行：

http://你的公网IP或者域名:8181，这个按照实际端口映射情况修改，比如内网8181映射为18181，对外就是18181

cd /var/packages/Tailscale/target/bin
tailscale up --login-server=http://你的公网IP或者域名:8181 --accept-dns=false

https://i.imnks.com/2022/11/3922305128.png!I

复制上面执行后得到的网址，修改127.0.0.1为服务端的公网IP或者域名及对外映射端口，在任意的浏览器打开访问

https://i.imnks.com/2023/02/2076759424.png!I

复制上面的代码，修改 USERNAME 为你的分组空间名称，ssh连接宿主群晖执行：

cd /var/packages/headscale/target/bin
headscale nodes register --user USERNAME --key nodekey:123xxx
#查看已注册的设备
headscale nodes list

https://i.imnks.com/2022/11/3175132911.png!I

PS说明：群晖端如需恢复到连接Tailscale官方：卸载套件，SSH连接群晖执行下面代码，之后重新安装套件即可。

#DSM7 （volume1指套件安装存储空间，自行核对）
sudo rm -rf /volume1/@appdata/Tailscale
#DSM6
sudo rm -rf /usr/syno/etc/packages/Tailscale

5、Windows客户端连接到HeadScale

Windows客户端所在的电脑访问：http://你的公网IP或者域名:8181/windows

https://i.imnks.com/2023/02/2489961957.png!I

点击 Windows registry file 下载注册表：http://你的公网IP或者域名:8881/windows/tailscale.reg

修改127.0.0.1为服务端的公网IP或者域名，双击运行reg文件，按照提示操作导入Windows系统

https://i.imnks.com/2022/11/2900142939.png!I

安装和运行官方版本的Tailscale客户端，并点击图标打开网页

https://i.imnks.com/2023/02/2076759424.png!I

类似获取到到加入秘钥，在HeadScale服务器上ssh连接执行：修改 USERNAME 为你的分组空间名称

cd /var/packages/headscale/target/bin
headscale nodes register --user USERNAME --key nodekey:123xxx
#查看已注册的设备
headscale nodes list

https://i.imnks.com/2022/11/536598492.png!I

PS说明：Win端如需恢复到连接Tailscale官方：卸载软件，删除C:/Users/用户名/AppData/Local/Tailscale，重新安装软件即可。

6、linux、mac客户端加入教程

请查看参考文章，不再一一叙述

7、关于打通多个局域网互访

参考：http://junyao.tech/posts/a5fad85a.html

如果其它节点设备没法访问群晖IP，在安装了Tailscale的群晖执行:

#启用TUN
/var/packages/Tailscale/target/bin/tailscale configure-host
synosystemctl restart pkgctl-Tailscale.service

效果测试

电脑端访问HeadScale给群晖分配的IP http://100.64.0.1:5000/

https://i.imnks.com/2022/11/2806179621.png!I

参考文章

http://junyao.tech/posts/e8e7dd51.html

https://icloudnative.io/posts/how-to-set-up-or-migrate-headscale/

https://lxnchan.cn/headscale.html

Headscale 的部署方法和使用教程

展开 15686 字的全文

本文由简悦 SimpRead 转码，原文地址 icloudnative.io

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-21-11-13-q1TRI3.png

目前国家工信部在大力推动三大运营商发展 IPv6，对家用宽带而言，可以使用的 IPv4 公网 IP 会越来越少。有部分地区即使拿到了公网 IPv4 地址，也是个大内网地址，根本不是真正的公网 IP，访问家庭内网的资源将会变得越来越困难。

部分小伙伴可能会选择使用 frp 等针对特定协议和端口的内网穿透方案，但这种方案还是不够酸爽，无法访问家庭内网任意设备的任意端口。更佳的选择还是通过 VPN 来组建大内网。至于该选择哪种 VPN，毫无疑问肯定是 WireGuard，WireGuard 就是 VPN 的未来。我已经不止一次向大家推荐使用 WireGuard 了，我累了，不想再讲了，你爱 JB 用辣鸡 OpenVPN 之类的就用吧，你开心就好。

WireGuard 相比于传统 VPN 的核心优势是没有 VPN 网关，所有节点之间都可以点对点（P2P）连接，也就是我之前提到的全互联模式（full mesh），效率更高，速度更快，成本更低。

WireGuard 目前最大的痛点就是上层应用的功能不够健全，因为 WireGuard 推崇的是 Unix 的哲学，WireGuard 本身只是一个内核级别的模块，只是一个数据平面，至于上层的更高级的功能（比如秘钥交换机制，UDP 打洞，ACL 等），需要通过用户空间的应用来实现。

所以为了基于 WireGuard 实现更完美的 VPN 工具，现在已经涌现出了很多项目在互相厮杀。笔者前段时间一直在推崇 Netmaker，它通过可视化界面来配置 WireGuard 的全互联模式，它支持 UDP 打洞、多租户等各种高端功能，几乎适配所有平台，非常强大。然而现实世界是复杂的，无法保证所有的 NAT 都能打洞成功，且 Netmaker 目前还没有 fallback 机制，如果打洞失败，无法 fallback 改成走中继节点。Tailscale 在这一点上比 Netmaker 高明许多，它支持 fallback 机制，可以尽最大努力实现全互联模式，部分节点即使打洞不成功，也能通过中继节点在这个虚拟网络中畅通无阻。

没错，我移情别恋了，从 Netmaker 阵营转向了 Tailscale，是渣男没错了。

Tailscale 是什么

Tailscale 是一种基于 WireGuard 的虚拟组网工具，和 Netmaker 类似，最大的区别在于 Tailscale 是在用户态实现了 WireGuard 协议，而 Netmaker 直接使用了内核态的 WireGuard。所以 Tailscale 相比于内核态 WireGuard 性能会有所损失，但与 OpenVPN 之流相比还是能甩好几十条街的，Tailscale 虽然在性能上做了些许取舍，但在功能和易用性上绝对是完爆其他工具：

开箱即用

无需配置防火墙
没有额外的配置

高安全性 / 私密性

自动密钥轮换
点对点连接
支持用户审查端到端的访问记录

在原有的 ICE、STUN 等 UDP 协议外，实现了 DERP TCP 协议来实现 NAT 穿透
基于公网的控制服务器下发 ACL 和配置，实现节点动态更新
通过第三方（如 Google） SSO 服务生成用户和私钥，实现身份认证

简而言之，我们可以将 Tailscale 看成是更为易用、功能更完善的 WireGuard。

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-14-50-Q4bWmK.png

光有这些还不够，作为一个白嫖党，咱更关心的是免费与开源。

Tailscale 是一款商业产品，但个人用户是可以白嫖的，个人用户在接入设备不超过 20 台的情况下是可以免费使用的（虽然有一些限制，比如子网网段无法自定义，且无法设置多个子网）。除 Windows 和 macOS 的图形应用程序外，其他 Tailscale 客户端的组件（包含 Android 客户端）是在 BSD 许可下以开源项目的形式开发的，你可以在他们的 GitHub 仓库找到各个操作系统的客户端源码。

对于大部份用户来说，白嫖 Tailscale 已经足够了，如果你有更高的需求，比如自定义网段，可以选择付费。

我就不想付费行不行？行，不过得往下看。

Headscale 是什么

Tailscale 的控制服务器是不开源的，而且对免费用户有诸多限制，这是人家的摇钱树，可以理解。好在目前有一款开源的实现叫 Headscale，这也是唯一的一款，希望能发展壮大。

Headscale 由欧洲航天局的 Juan Font 使用 Go 语言开发，在 BSD 许可下发布，实现了 Tailscale 控制服务器的所有主要功能，可以部署在企业内部，没有任何设备数量的限制，且所有的网络流量都由自己控制。

目前 Headscale 还没有可视化界面，期待后续更新吧。

Headscale 部署

Headscale 部署很简单，推荐直接在 Linux 主机上安装。

理论上来说只要你的 Headscale 服务可以暴露到公网出口就行，但最好不要有 NAT，所以推荐将 Headscale 部署在有公网 IP 的云主机上。

首先需要到其 GitHub 仓库的 Release 页面下载最新版的二进制文件。

$ wget --output-document=/usr/local/bin/headscale \
   https://github.com/juanfont/headscale/releases/download/v<HEADSCALE VERSION>/headscale_<HEADSCALE VERSION>_linux_<ARCH>
 $ chmod +x /usr/local/bin/headscale

复制

创建配置目录：

$ mkdir -p /etc/headscale

复制

创建目录用来存储数据与证书：

$ mkdir -p /var/lib/headscale

复制

创建空的 SQLite 数据库文件：

$ touch /var/lib/headscale/db.sqlite

复制

创建 Headscale 配置文件：

$ wget https://github.com/juanfont/headscale/raw/main/config-example.yaml -O /etc/headscale/config.yaml

复制

修改配置文件，将 server_url 改为公网 IP 或域名。如果是国内服务器，域名必须要备案。我的域名无法备案，所以我就直接用公网 IP 了。
如果暂时用不到 DNS 功能，可以先将 magic_dns 设为 false。
server_url 设置为 http://<PUBLIC_IP>:8080，将 <PUBLIC_IP> 替换为公网 IP 或者域名。
可自定义私有网段，也可同时开启 IPv4 和 IPv6：
```
ip_prefixes:
  # - fd7a:115c:a1e0::/48
  - 10.1.0.0/16
```
复制

创建 SystemD service 配置文件：

# /etc/systemd/system/headscale.service
[Unit]
Description=headscale controller
After=syslog.target
After=network.target
 [Service]
Type=simple
User=headscale
Group=headscale
ExecStart=/usr/local/bin/headscale serve
Restart=always
RestartSec=5

# Optional security enhancements
NoNewPrivileges=yes
PrivateTmp=yes
ProtectSystem=strict
ProtectHome=yes
ReadWritePaths=/var/lib/headscale /var/run/headscale
AmbientCapabilities=CAP_NET_BIND_SERVICE
RuntimeDirectory=headscale
 [Install]
WantedBy=multi-user.target

复制

创建 headscale 用户：

$ useradd headscale -d /home/headscale -m

复制

修改 /var/lib/headscale 目录的 owner：

$ chown -R headscale:headscale /var/lib/headscale

复制

修改配置文件中的 unix_socket：

unix_socket: /var/run/headscale/headscale.sock

复制

Reload SystemD 以加载新的配置文件：

$ systemctl daemon-reload

复制

启动 Headscale 服务并设置开机自启：

$ systemctl enable --now headscale

复制

查看运行状态：

$ systemctl status headscale

复制

查看占用端口：

$ ss -tulnp|grep headscale

tcp LISTEN 0 1024 [::]:9090 [::]:* users:(("headscale",pi

d=10899,fd=13))

tcp LISTEN 0 1024 [::]:50443 [::]:* users:(("headscale",pi

d=10899,fd=10))

tcp LISTEN 0 1024 [::]:8080 [::]:* users:(("headscale",pi

d=10899,fd=12))

复制

Tailscale 中有一个概念叫 tailnet，你可以理解成租户，租户与租户之间是相互隔离的，具体看参考 Tailscale 的官方文档： What is a tailnet。Headscale 也有类似的实现叫 namespace，即命名空间。我们需要先创建一个 namespace，以便后续客户端接入，例如：

$ headscale namespaces create default

复制

查看命名空间：

$ headscale namespaces list

ID | Name | Created

1 | default | 2022-03-09 06:12:06

复制

Tailscale 客户端接入

目前除了 iOS 客户端，其他平台的客户端都有办法自定义 Tailscale 的控制服务器。

OS	是否支持 Headscale
Linux	Yes
OpenBSD	Yes
FreeBSD	Yes
macOS	Yes
Windows	Yes 参考 https://github.com/juanfont/headscale/blob/main/docs/windows-client.md
Android	https://github.com/juanfont/headscale/issues/58#issuecomment-950386833
iOS	暂不支持

我们先来看下 Linux 平台的接入。

Linux

Tailscale 官方提供了各种 Linux 发行版的软件包，但国内的网络你懂得，软件源根本用不了。好在官方还提供了静态编译的二进制文件，我们可以直接下载。例如：

$ wget https://pkgs.tailscale.com/stable/tailscale_1.22.2_amd64.tgz

复制

解压：

$ tar zxvf tailscale_1.22.2_amd64.tgz
x tailscale_1.22.2_amd64/
x tailscale_1.22.2_amd64/tailscale
x tailscale_1.22.2_amd64/tailscaled
x tailscale_1.22.2_amd64/systemd/
x tailscale_1.22.2_amd64/systemd/tailscaled.defaults
x tailscale_1.22.2_amd64/systemd/tailscaled.service

复制

将二进制文件复制到官方软件包默认的路径下：

$ cp tailscale_1.22.2_amd64/tailscaled /usr/sbin/tailscaled
$ cp tailscale_1.22.2_amd64/tailscale /usr/bin/tailscale

复制

将 systemD service 配置文件复制到系统路径下：

$ cp tailscale_1.22.2_amd64/systemd/tailscaled.service /lib/systemd/system/tailscaled.service

复制

将环境变量配置文件复制到系统路径下：

$ cp tailscale_1.22.2_amd64/systemd/tailscaled.defaults /etc/default/tailscaled

复制

启动 tailscaled.service 并设置开机自启：

$ systemctl enable --now tailscaled

复制

查看服务状态：

$ systemctl status tailscaled

复制

Tailscale 接入 Headscale：

# 将 <HEADSCALE_PUB_IP> 换成你的 Headscale 公网 IP 或域名
$ tailscale up --login-server=http://<HEADSCALE_PUB_IP>:8080 --accept-routes=true --accept-dns=false

复制

这里推荐将 DNS 功能关闭，因为它会覆盖系统的默认 DNS。如果你对 DNS 有需求，可自己研究官方文档，这里不再赘述。

执行完上面的命令后，会出现下面的信息：

To authenticate, visit:

http://xxxxxx:8080/register?key=905cf165204800247fbd33989dbc22be95c987286c45aac303393704

1150d846

复制

在浏览器中打开该链接，就会出现如下的界面：

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-17-06-08qWbz.png

将其中的命令复制粘贴到 headscale 所在机器的终端中，并将 NAMESPACE 替换为前面所创建的 namespace。

$ headscale -n default nodes register --key 905cf165204800247fbd33989dbc22be95c987286c45aac3033937041150d846
Machine register

复制

注册成功，查看注册的节点：

$ headscale nodes list

ID | Name | NodeKey | Namespace | IP addresses | Ephemeral | Last seen | Onlin

e | Expired

1 | coredns | [Ew3RB] | default | 10.1.0.1 | false | 2022-03-20 09:08:58 | onlin

e | no

复制

回到 Tailscale 客户端所在的 Linux 主机，可以看到 Tailscale 会自动创建相关的路由表和 iptables 规则。路由表可通过以下命令查看：

查看 iptables 规则：

$ ip route show table 52

复制

macOS

macOS 客户端的安装相对来说就简单多了，只需要在应用商店安装 APP 即可，前提是你需要一个美区 ID。。。

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-17-33-3uRFwF.png

安装完成后还需要做一些骚操作，才能让 Tailscale 使用 Headscale 作为控制服务器。当然，Headscale 已经给我们提供了详细的操作步骤，你只需要在浏览器中打开 URL：http://<HEADSCALE_PUB_IP>:8080/apple，便会出现如下的界面：

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-17-39-arYdfv.png

你只需要按照图中所述的步骤操作即可，本文就不再赘述了。

修改完成后重启 Tailscale 客户端，在 macOS 顶部状态栏中找到 Tailscale 并点击，然后再点击 Log in。

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-17-43-pTW3r7.png

然后立马就会跳转到浏览器并打开一个页面。

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-17-46-AbzngB.png

接下来与之前 Linux 客户端相同，回到 Headscale 所在的机器执行浏览器中的命令即可，注册成功：

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-17-51-Gcjcmy.png

回到 Headscale 所在主机，查看注册的节点：

$ iptables -S
-P INPUT DROP
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-N ts-forward
-N ts-input
-A INPUT -j ts-input
-A FORWARD -j ts-forward
-A ts-forward -i tailscale0 -j MARK --set-xmark 0x40000/0xffffffff
-A ts-forward -m mark --mark 0x40000 -j ACCEPT
-A ts-forward -s 100.64.0.0/10 -o tailscale0 -j DROP
-A ts-forward -o tailscale0 -j ACCEPT
-A ts-input -s 10.1.0.5/32 -i lo -j ACCEPT
-A ts-input -s 100.115.92.0/23 ! -i tailscale0 -j RETURN
-A ts-input -s 100.64.0.0/10 ! -i tailscale0 -j DROP

$ iptables -S -t nat
-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P OUTPUT ACCEPT
-P POSTROUTING ACCEPT
-A ts-postrouting -m mark --mark 0x40000 -j MASQUERADE

复制

回到 macOS，测试是否能 ping 通对端节点：

$ headscale nodes list

ID | Name | NodeKey | Namespace | IP addresses | Ephemeral | Last seen | Onlin

e | Expired

1 | coredns | [Ew3RB] | default | 10.1.0.1 | false | 2022-03-20 09:08:58 | onlin

e | no
2 | carsondemacbook-pro | [k7bzX] | default   | 10.1.0.2     | false     | 2022-03-20 09:48:30 | online  | no

复制

也可以使用 Tailscale CLI 来测试：

$ ping -c 2 10.1.0.1
PING 10.1.0.1 (10.1.0.1): 56 data bytes
64 bytes from 10.1.0.1: icmp_seq=0 ttl=64 time=37.025 ms
64 bytes from 10.1.0.1: icmp_seq=1 ttl=64 time=38.181 ms

--- 10.1.0.1 ping statistics ---
2 packets transmitted, 2 packets received, 0.0% packet loss
round-trip min/avg/max/stddev = 37.025/37.603/38.181/0.578 ms

复制

如果你没有美区 ID，无法安装 App，可以直接使用命令行版本，通过 Homebrew 安装即可：

Android

Android 客户端就比较麻烦了，需要自己修改源代码编译 App，具体可参考这个 issue。编译过程还是比较麻烦的，需要先修改源码，然后构建一个包含编译环境的 Docker 镜像，最后在通过该镜像启动容器编译 apk。

我知道很多人一看麻烦就不想搞了，这个问题不大，我送佛送到西，提供了一条龙服务，你只需 fork 我的 GitHub 仓库 tailscale-android：

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-21-25-utX9zr.png

然后在你的仓库中点击 Settings 标签，找到 Secrets 下拉框中的 Actions 选项：

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-21-32-OQT9m7.jpg

选择 New repository secret 添加一个 secret 叫 HEADSCALE_URL，将你的 Headscale 服务公网地址填入其中：

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-21-35-ep7qXR.png

添加在这里的配置，将只对你可见，不用担心会泄露给他人。

然后点击 Actions 标签，选择 Release Workflow。

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-21-53-CXAfAl.png

你会看到一个 Run workflow 按钮，点击它，然后在下拉框中点击 Run workflow。

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-22-02-SaxiiT.png

流水线就会开始执行，执行成功后就会在 Release 页面看到编译好的 apk。

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-22-05-wxjatP.png

接下来的事情就简单了，下载这个 apk 到你的 Android 手机上安装就好了。安装完成后打开 Tailscale App，选择 Sign in with other。

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-22-14-34ZnDn.jpeg

然后就会跳出这个页面：

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-21-11-10-jbk5KL.jpeg

将其中的命令粘贴到 Headscale 所在主机的终端，将 NAMESPACE 替换为之前创建的 namespace，然后执行命令即可。注册成功后可将该页面关闭，回到 App 主页，效果如图：

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-22-19-GET2os.jpeg

回到之前的 GitHub 仓库，刚才我们是通过手动触发 Workflow 来编译 apk 的，有没有办法自动编译呢？只要 Tailscale 官方仓库有更新，就立即触发 Workflow 开始编译。

那当然是可以实现的，而且我已经实现了，仔细看 GitHub Actions 的编排文件：

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-22-29-QJvXwt.png

红框圈出来的部分表示只要仓库的 main 分支有更新，便会触发 Workflow。现在的问题是如何让 main 分支和上游官方仓库一致，一直保持在最新状态。

这个问题使用第三方 Github App 就可以解决，这个 App 名字简单粗暴，就叫 Pull，它的作用非也很简单粗暴：保持你的 Fork 在最新状态。

Pull 的使用方法很简单：

打开 Pull App 页面
点击右上角绿色的 install 按钮

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-22-44-fRwr6j.png

在选项页面，使用默认的 All repositories 即可（你也可以选择指定的仓库，比如 tailscale-android），然后点击绿色的 install 按钮：

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-22-46-flOKJW.png

简单三步，Pull App 就安装好了。接下来 Pull App 会每天定时帮你更新代码库，使你 fork 的代码始终是最新版的。

Windows

Windows Tailscale 客户端想要使用 Headscale 作为控制服务器，只需在浏览器中打开 URL：http://<HEADSCALE_PUB_IP>:8080/windows，便会出现如下的界面：

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-20-23-30-zcQX3F.png

按照其中的步骤操作即可。

其他 Linux 发行版

除了常规的 Linux 发行版之外，还有一些特殊场景的 Linux 发行版，比如 OpenWrt、威联通（QNAP）、群晖等，这些发行版的安装方法已经有人写好了，这里就不详细描述了，我只给出相关的 GitHub 仓库，大家如果自己有需求，直接去看相关仓库的文档即可。

OpenWrt： https://github.com/adyanth/openwrt-tailscale-enabler
群晖： https://github.com/tailscale/tailscale-synology
威联通： https://github.com/ivokub/tailscale-qpkg

iOS

Tailscale iOS 客户端源代码没有开源，目前还无法破解使其使用第三方控制服务器，遗憾~~

打通局域网

到目前为止我们只是打造了一个点对点的 Mesh 网络，各个节点之间都可以通过 WireGuard 的私有网络 IP 进行直连。但我们可以更大胆一点，还记得我在文章开头提到的访问家庭内网的资源吗？我们可以通过适当的配置让每个节点都能访问其他节点的局域网 IP。这个使用场景就比较多了，你可以直接访问家庭内网的 NAS，或者内网的任何一个服务，更高级的玩家可以使用这个方法来访问云上 Kubernetes 集群的 Pod IP 和 Service IP。

假设你的家庭内网有一台 Linux 主机（比如 OpenWrt）安装了 Tailscale 客户端，我们希望其他 Tailscale 客户端可以直接通过家中的局域网 IP（例如 192.168.100.0/24）访问家庭内网的任何一台设备。

配置方法很简单，首先需要设置 IPv4 与 IPv6 路由转发：

$ /Applications/Tailscale.app/Contents/MacOS/Tailscale ping 10.1.0.1
pong from coredns (10.1.0.1) via xxxx:41641 in 36ms

复制

客户端修改注册节点的命令，在原来命令的基础上加上参数 --advertise-routes=192.168.100.0/24。

$ brew install tailscale

复制

在 Headscale 端查看路由，可以看到相关路由是关闭的。

$ echo 'net.ipv4.ip_forward = 1' | tee /etc/sysctl.d/ipforwarding.conf
$ echo 'net.ipv6.conf.all.forwarding = 1' | tee -a /etc/sysctl.d/ipforwarding.conf
$ sysctl -p /etc/sysctl.d/ipforwarding.conf

复制

开启路由：

$ tailscale up --login-server=http://<HEADSCALE_PUB_IP>:8080 --accept-routes=true --accept-dns=false --advertise-routes=192.168.100.0/24

复制

其他节点查看路由结果：

$ headscale nodes list|grep openwrt

6 | openwrt | [7LdVc] | default | 10.1.0.6 | false | 2022-03-20 15:50:46 | onlin

e | no

$ headscale routes list -i 6

Route | Enabled

192.168.100.0/24 | false

复制

现在你在任何一个 Tailscale 客户端所在的节点都可以 ping 通家庭内网的机器了，你在公司或者星巴克也可以像在家里一样用同样的 IP 随意访问家中的任何一个设备，就问你香不香？

总结

目前从稳定性来看，Tailscale 比 Netmaker 略胜一筹，基本上不会像 Netmaker 一样时不时出现 ping 不通的情况，这取决于 Tailscale 在用户态对 NAT 穿透所做的种种优化，他们还专门写了一篇文章介绍 NAT 穿透的原理，中文版翻译自国内的 eBPF 大佬赵亚楠，墙裂推荐大家阅读。放一张图给大家感受一下：

!https://jsdelivr.icloudnative.io/gh/yangchuansheng/imghosting3@main/uPic/2022-03-21-10-52-TzXGEZ.png

本文给大家介绍了 Tailscale 和 Headscale，包括 Headscale 的安装部署和各个平台客户端的接入，以及如何打通各个节点所在的局域网。下篇文章将会给大家介绍如何让 Tailscale 使用自定义的 DERP Servers（也就是中继服务器），See you~~

------ 他日江湖相逢再当杯酒言欢 -------

在海边公园散步时突然想，要是有一台 N64 就好了。

Great Horned Owlet

At sunset golden hour.