与“远程”相关的文章 - 𝓍𝑜𝓎𝑜𝓏𝑜.𝓃𝑒𝓉

赶紧修复这个潜伏了18年的 nginx 漏洞

报道称 NGINX 被曝一组高危漏洞，已潜伏约 18 年，威胁全球约三分之一的网络服务器。

本次曝光的漏洞如下：

CVE-2026-42945 - (9.2 Critical)

CVE-2026-42946 - (8.3 High)

CVE-2026-40701 - (6.3 Medium)

CVE-2026-42934 - (6.3 Medium)

攻击者无需登录认证，只需发送一条特制 HTTP 请求，就能让 NGINX 工作进程崩溃；在合适条件下，还可能拿到服务器远程代码执行权限。

修复方案一

NGINX 升级到 1.31.0 或 1.30.1

修复方案二

若你使用的是 OpenResty 或宝塔面板，没有更新的 nginx 版本选择，那么手动修复此漏洞。

将 rewrite 规则中的未命名正则捕获改成命名捕获。

示例：

原来的写法：

rewrite ^(.*)$ /index.php?s=$1 last;

修改为：

rewrite ^(?<a>.*)$ /index.php?s=$a last;

参考文献：

xoyozo 半个月前

319

Windows Server 服务器没有安装物理声卡，如何播放声音

安装虚拟声卡 VB-Cable 搞定。

若重启后未生效，在服务中启动 Windows Audio、Windows Audio Endpoint Builder 和 Multimedia Class Scheduler（如果有），并设置为自动启动。

如何希望使用 OBS 录制系统声音，在 OBS 菜单 - 文件 - 设置 - 音频 - 桌面音频中选择正确的音源（如“远程音频”）。

xoyozo 1 个月前

204

Ollama 使用笔记

一、安装 Ollama

从官网下载安装 Ollama。

你可以更改大模型存放目录，也可以开放远程访问。

查看版本号：

ollama --version

二、在 shell 中安装和运行模型

在 Models 中选择一个你想部署的模型，复制安装命令，并在终端中执行。

官方建议：应该至少有 8 GB 的 RAM 来运行 7b 版本，16 GB 的 RAM 来运行 13b 版本，32 GB 的 RAM 来运行 33b 版本。

本文以 deepseek-r1:7b 为例。

下载模型

ollama pull deepseek-r1:7b

Tip: 下载即将完成时速度可能会变得非常慢，只要按 Ctrl+C，再重新执行一次命令，就会继续正常下载。

显示模型信息

ollama show deepseek-r1:7b

运行模型（一次性响应）

ollama run deepseek-r1:7b "写一首诗"

运行模型（进入聊天模式）

ollama run deepseek-r1:7b

结束当前会话

/bye

列出所有模型

ollama list

列出当前加载的模型

ollama ps

停止当前正在运行的模型

ollama stop deepseek-r1:7b

删除一个模型

ollama rm deepseek-r1:7b

三、使用 REST API 调用模型

修改端口

ollama serve --port 11434

/api/generate 接口：生成一次性响应

curl http://localhost:11434/api/generate -d '{
  "model": "deepseek-r1:7b",
  "prompt":"为什么天空是蓝色的？"
}'

/api/chat 接口：与模型聊天

curl http://localhost:11434/api/chat -d '{
  "model": "deepseek-r1:7b",
  "messages": [
    { "role": "user", "content": "你好呀！" }
  ]
}'

四、在 .NET 中调用

1、直接 HTTP 调用（基础方案）

创建 HttpClient，使用 PostAsJsonAsync 请求，使用 ReadFromJsonAsync 读取结果。

2、使用 OllamaSharp 库（推荐方案）

创建 OllamaApiClient，使用 SelectedModel 设置模型，使用 GenerateAsync 获得结果。或创建对话 ollama.Chat()，并 Send 内容。

3、.NET Aspire 集成（企业级方案）

适合微服务架构，结合容器化部署。

“OllamaSharp 库”和“.NET Aspire 集成”两种方案怎么选？

OllamaSharp 库：定位轻量级模型交互 SDK，适用于独立应用、微服务中的 AI 组件等场景，技术复度低，支持模型对话/生成/管理、流式响应、多模态支持，需自行实现监控、熔断。

.NET Aspire 集成：定位企业级云原生 AI 服务编排框架，适用于多服务协同的分布式系统，技术复度高，支持服务编排、健康检查、弹性伸缩、混合云部署，内置可观测性仪表盘、自动故障转移。

决策建议：初创项目用 OllamaSharp 快速试错，用户量破千后通过 Aspire 重构。两者并非互斥，可在 Aspire 中封装 OllamaSharp 客户端，兼顾灵活性与运维能力。

xoyozo 11 个月前

5,275

如何开放 Ollama 远程访问

Ollama 默认是仅本地访问，接口地址是：http://localhost:11434

开放外部访问需要设置两个环境变量：

OLLAMA_HOST=0.0.0.0
OLLAMA_ORIGINS=*

第一步，设置环境变量

macOS：

在终端中运行命令

launchctl setenv OLLAMA_HOST "0.0.0.0"
launchctl setenv OLLAMA_ORIGINS "*"

Windows：

打开“环境变量”配置框

添加两个用户变量：

Linux：

使用 systemctl 设置环境变量

调用 systemctl edit ollama.service 编辑 systemd 服务配置

在 [Service] 下方添加：

[Service]
Environment="OLLAMA_HOST=0.0.0.0"
Environment="OLLAMA_ORIGINS=*"

第二步，重启 Ollama

环境变量配置完成后，重启 Ollama。

第二步，开启“Expose Ollama to the network”

打开 Ollama 客户端，在 Settings 中开启。

第三步，开放防火墙端口

Windows：

进入“高级安全 Windows Defender 防火墙” → “入站规则” → 新建规则 → 允许 TCP 端口 11434。

第四步，验证

获取本机局域网 IP。

Windows：ipconfig

Linux/macOS：ifconfig

访问网址：http://<ip>:11434

若返回 Ollama is running 则表示连接正常。

xoyozo 1 年前

5,605

在 ASP.NET Core 网站中使用远程接口鉴权

前几天实现了在 nginx 中使用 lua 实现远程鉴权，今天想试试在 IIS 中能不能实现相同的功能。查询资料发现需要使用 URL 重写和 HTTP 请求模块，没有深究。干脆使用 ASP.NET 中间件来实现吧。

在 StratUp.cs 的 Configure 方法中，或 Program.cs 文件中添加以下代码：

// 远程鉴权
app.Use(async (context, next) =>
{
    var ip = context.Connection.RemoteIpAddress!.ToString();
    var ua = context.Request.Headers.UserAgent.ToString();
    var host = context.Request.Host.Host;
    var uri = new Uri(context.Request.GetDisplayUrl()).PathAndQuery;

    var client = new HttpClient();
    client.Timeout = TimeSpan.FromSeconds(1); // 设置超时时间

    try
    {
        var requestUrl = "https://鉴权地址/";

        var requestMessage = new HttpRequestMessage(HttpMethod.Get, requestUrl);
        requestMessage.Headers.Add("X-Real-IP", ip);
        requestMessage.Headers.Add("User-Agent", ua);
        requestMessage.Headers.Add("X-Forwarded-Host", host);
        requestMessage.Headers.Add("X-Forwarded-Uri", uri);

        // 发送请求
        var response = await client.SendAsync(requestMessage);

        // 检查响应状态码
        if (response.StatusCode == HttpStatusCode.Forbidden)
        {
            // 如果返回403，则拒绝访问
            context.Response.StatusCode = (int)HttpStatusCode.Forbidden;
            await context.Response.WriteAsync("Access Denied");
        }
        else
        {
            // 如果返回其他状态码，则继续执行管道中的下一个中间件
            await next();
        }
    }
    catch (TaskCanceledException ex) when (ex.CancellationToken.IsCancellationRequested)
    {
        // 如果请求超时（任务被取消），则继续执行管道中的下一个中间件
        await next();
    }
    catch
    {
        // 如果遇到错误，则继续执行管道中的下一个中间件
        await next();
    }
});

代码很简单，使用 HttpClient 发送请求，若返回 403 则拒绝访问，其它情况继续执行业务逻辑，超时或报错的情况按需修改即可。

若鉴权接口在私网中，建议将鉴权接口域名和私网 IP 添加到 hosts 文件中。

xoyozo 1 年前

1,323

在 access_by_lua_block 获取系统 CPU 使用率

http {
    ...

    lua_shared_dict cpu_cache 1m;  # 定义共享字典用于缓存 CPU 使用率
    access_by_lua_block {
        local cpu_cache = ngx.shared.cpu_cache
        local cache_time = cpu_cache:get("cache_time") or 0
        local current_time = ngx.now()

        if current_time - cache_time > 5 then  -- 每 5 秒更新一次
            local cpu_info = io.popen("top -bn1 | grep 'Cpu(s)'"):read("*all")
            local cpu_usage = cpu_info:match("(%d+%.%d+) id")  -- 获取空闲 CPU 百分比
            local cpu_used = 100 - tonumber(cpu_usage)  -- 计算使用率

            cpu_cache:set("cpu_usage", cpu_used)
            cpu_cache:set("cache_time", current_time)
        end

        local cpu_usage = cpu_cache:get("cpu_usage")
        ngx.log(ngx.INFO, "CPU 使用率: " .. cpu_usage .. "%")
        -- 将 cpu_usage 发送到远程鉴权接口，可根据服务器压力来决定是否拒绝一些不重要的请求
    }
}

代码解析：

共享字典：使用 lua_shared_dict 定义一个共享字典 cpu_cache，用于存储 CPU 使用率和缓存时间。

获取 CPU 使用率：在 access_by_lua_block 中，检查缓存时间，如果超过 5 秒，则重新获取 CPU 使用率，并更新共享字典。

记录日志：使用 ngx.log 将 CPU 使用率记录到 Nginx 日志中。

注意事项：

确保 Nginx 配置中已经加载了 Lua 模块（如 ngx_http_lua_module）。

根据实际需求调整缓存时间，以平衡性能和数据的实时性。

尝试过使用 ifconfig 或 ip 命令获取网卡流量，在宝塔面板中失败了，怀疑是权限问题，有空再研究。临时方案是鉴权接口定时调用宝塔面板 API 或阿里云控制台 API 来获取 ECS 的 CPU 和带宽使用率。

如何配置 nginx 远程鉴权

xoyozo 1 年前

1,052

在宝塔面板中使用 lua 实现远程接口鉴权

使 lua 支持 resty.http

在 access_by_lua_block 代码块中实现远程鉴权：

#鉴权-START
#resolver 223.5.5.5; # cat /etc/resolv.conf
access_by_lua_block {
    local http = require("resty.http")
    local httpc = http.new()
    httpc:set_timeout(500)  -- 连接超时
    local res, err = httpc:request_uri("https://鉴权地址/", {
        method = "GET",
        headers = {
            ["X-Real-IP"] = ngx.var.remote_addr,
            ["User-Agent"] = ngx.var.http_user_agent,
            ["X-Forwarded-Host"] = ngx.var.host,
            ["X-Forwarded-Uri"] = ngx.var.request_uri,
        },
        ssl_verify = false, -- 禁用 SSL 验证
        timeout = 500,     -- 读取超时
    })

    if not res then
        ngx.log(ngx.ERR, "Failed to request: " .. err)
    end
        
    if res and res.status == 403 then
        ngx.exit(ngx.HTTP_FORBIDDEN)
        -- return ngx.redirect("https://一个显示403友好信息的页面.html")
    end
}
#鉴权-END

注意更改接口地址和友情显示 403 页面地址。

本示例仅捕获 403 状态码，500、408 等其它异常情况视为允许访问，请根据业务需求自行添加状态码的判断。

若超时也会进入 if not res then 代码块。

建议将此代码部署在 nginx 主配置文件的 http 代码块中（宝塔面板中的路径：/www/server/nginx/nginx/conf/nginx.conf），如果你只想为单个网站鉴权，也可以放在网站配置文件的 server 块中。

若鉴权接口在私网中，建议将鉴权接口域名和私网 IP 添加到 hosts 文件中。

附

直接输出字符串

ngx.header.content_type = "text/plain";
ngx.say("hello world!")

输出到日志
```
ngx.log(ngx.ERR, "Response status: " .. res.status)
```
日志在网站的站名.error.log 中查看。

宝塔面板查看方式：日志 - 网站日志 - 异常
若想获取服务器 CPU 使用率等信息并传递给远程鉴权接口，请参考此文。
常见问题

no resolver defined to resolve

原因：没有定义 DNS 解析器

解决方法：在 http 块或 server 块中添加 resolver 8.8.8.8 valid=30s;，推荐使用接入商自己的公共 DNS，如果走内网，推荐使用本机 DNS。

unable to get local issuer certificate

原因：没有配置 SSL 证书信息

解决方法：添加 request_uri 参数：
```
ssl_verify = true,  -- 启用 SSL 验证
ssl_trusted_certificate = "证书路径",  -- 指定 CA 证书路径
```
或
```
ssl_verify = false,  -- 禁用 SSL 验证
```
若您不想用 lua，可以用 nginx 原生自带的 auth_request 模块来实现。

若 WAF 返回拒绝访问时需要 302 跳转（即 return ngx.redirect(...)），那么最好加上禁止缓存的标识，防止 CDN 污染：

if res and res.status == 403 then
    -- ===== 禁止 CDN 缓存此响应 =====
    ngx.header["Cache-Control"] = "no-store, no-cache, must-revalidate, proxy-revalidate"
    ngx.header["Pragma"] = "no-cache"
    ngx.header["Expires"] = "0"
    -- 可选：添加标记头，方便调试
    ngx.header["X-WAF-Action"] = "blocked"
    return ngx.redirect("https://...")
end

xoyozo 1 年前

3,058

nginx 通过一个远程接口鉴权

鉴权方式有许多，譬如可以用 lua 的 access_by_lua 来实现，这里用 nginx 自带的 auth_request，虽然功能简单，但效率更高。

第一步，确保 nginx 已编译安装 auth_request 模块，见此文。

第二步，打开需要鉴权的网站的 nginx 配置文件，添加以下代码块：

    #鉴权-START
    location / {
        auth_request /auth;
        error_page 403 = @error403;
        
        #PHP-INFO-START  PHP引用配置，可以注释或修改
        include enable-php-**.conf;
        #PHP-INFO-END
    }
    location = /auth {
        internal;
        proxy_pass https://鉴权地址;
        proxy_pass_request_body off;
        proxy_set_header Content-Length "";
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header User-Agent $http_user_agent;
        proxy_set_header X-Forwarded-Host $host;
        proxy_set_header X-Forwarded-Uri $request_uri;
        proxy_intercept_errors on;
        #proxy_read_timeout 1s; # 超时会报 500
    }
    location @error403 {
        #default_type text/plain;
        #return 403 'forbidden';
        return 302 https://一个显示403友好信息的页面.html;
    }
    #鉴权-END

一般放在所有的 location 之前。

这里自定义请求头 X-Forwarded-Host 与 X-Forwarded-Uri 用来传递 host 与 uri。API 应从 Header 中相应取值。

宝塔面板中是通过 include enable-php-**.conf; 的方式调用 PHP ，那么可以将此行移入上面的 location / 代码块中，因为此代码块能匹配所有的请求路径。

最后，若鉴权接口在私网中，将鉴权接口域名和私网 IP 添加到 hosts 文件中。

xoyozo 1 年前

1,739

从零搭建一台阿里云 ECS（Linux / Alibaba Cloud Linux / CentOS）并迁移网站

购买 ECS
解析域名（非网站域名）、修改实例名称、主机名
设置阿里云（重要）
远程连接进入 ECS（若解析未生效可以先用 IP）（若新服默认使用 22 端口，可在阿里云控制台登录系统，或先在安全组临时放行 22 端口）
修复系统漏洞
将磁盘挂载到目录（fdisk、df 命令参考：https://xoyozo.net/Blog/Details/SSH）
安装宝塔面板（本文以宝塔面板方案为例，选择任何你喜欢的环境部署方案都行）。可以在阿里云控制台ECS实例页安装扩展程序
临时放行宝塔面板端口，进入宝塔面板（http方式），或用命令更改宝塔面板端口
配置面板 SSH、添加新的安全端口、面板设置
更改 SSH 默认端口（参：https://xoyozo.net/Blog/Details/change-default-port）
安装 nginx、PHP 等
通过 lua 接入 WAF
配置 PHP 扩展（Redis、sqlsrv（注意选择兼容的版本）、memcached 及端口）
创建网站，配置网站（路径、伪静态等）
迁移网站文件（参：https://xoyozo.net/Blog/Details/SSH）
仔细对比新旧网站的配置文件（特别是 .php 的访问权限，参：https://xoyozo.net/Blog/Details/nginx-location-if）
设置写入目录（使用 rsync 同步的文件会同步用户和权限）
解析域名（先改 hosts 测试网站功能）
更改内网其它 ECS 上的 hosts
关闭原 ECS（能马上发现问题，不然等运行一段时间才发现问题就麻烦点）
设置 FTP
迁移“计划任务”
所有网站和软件的配置文件都要使用 WinMerge 进行对比
移除“宝塔面板-安全”和“阿里云-ECS-安全组”中不用的端口
再次检查阿里云设置
私网中若有 ECS 的 hosts 中域名直接绑定到私网 IP 的，做相应更改
其它：ERP 添加到期提醒、WAF 增加该 ECS、备份工具增加该 ECS

大家在看

最新发布

查询 / 检测

编程

前端

行业

本站 API

博客 (39)

大家在看

最新发布