自托管
5 篇文章
- 给 Pangolin 叠两层 WAF：CrowdSec 查你是谁，雷池看你说什么上一篇我给 WAF 泼了冷水，这次还是装上了，而且是两层：CrowdSec 按 IP 信誉和行为封人，一处发现、7 台机器 5 秒内一起封；雷池用语义分析逐个检查请求内容。两者都以 Traefik 插件的形式挂在 Pangolin 入口上，不用另起反向代理，也不用交出证书。实测每个请求多 2.2ms。过程中踩了 8 个坑：插件启动时联网下载会让全站 404、雷池插件会把整个上传读进内存、CrowdSec 插件默认出错就全站拦截，还有一个差点让博客读者整批被挡在门外的 CDN 问题，以及一个能伪造任意来源 IP 的请求头。文末附完整配置。
- 服务器上线 100 秒，就有人来敲门：一次登录日志排查与 AI 时代的自保清单让 AI 帮我查 7 台服务器的登录日志，结果看到一台「节拍器」：每 40 秒一次、一周一万三千多次的低速爆破。顺着日志还翻出了写进日志的明文密码、被另一个 AI 会话悄悄删掉的 history，以及一扇自己打开却没注意的后门。AI 让攻击更便宜，也让我们自己的操作更难追溯；网站被篡改、被挂暗链还可能招来「喝茶」。文末附 SSH、fail2ban、暴露面、日志留存和 AI agent 使用规范的实操清单。
- 把电脑上的 DSH 带到手机：局域网访问与 Pangolin 公网入口使用 lens077/deepseek-harness 的 Web 界面，在手机上查看任务、处理待办和继续会话。说明 pnpm dev 的真实启动行为、局域网转发方法，以及 Pangolin + Newt 的必要参数和认证边界。
- 把家里的 Mac 接到公网：Pangolin 服务端部署与 Newt 自启动实战用一台公网 VPS 为 Mac 本地服务提供 HTTPS 入口：从 Pangolin、Gerbil、Traefik 的 Docker Compose 部署，到 Newt 接入、资源认证、macOS launchd 自启动、凭据恢复和分层排错。
- 自建 ntfy：Docker 服务端部署与手机、桌面客户端接入从 Docker 部署、HTTPS 反向代理、账号与主题权限，到 Android、iOS 和桌面订阅；结合 Alertmanager 转发脚本说明发布配置，并区分客户端订阅凭据与服务端发布 Token。