https://www.bigdick.live • 这是Web Feed，又称为Atom Feed，把现在的网址复制到新闻阅读器即可订阅本站文章。造访「About Feeds」来了解更多资讯。 造访网站 近期文章 更新于 $DATE date CloudFlare 孙瑜的个人首页：生物信息、数据科学、软件工程，以及公开简历、项目和文章。 Zola2024-09-15T00:00:00+00:00https://www.bigdick.live/tags/cloudflare/atom.xml 2024-09-15T00:00:00+00:00 2024-09-15T00:00:00+00:00 孙瑜 https://www.bigdick.live/blog/ipv6-public/ <h2 id="tai-chang-bu-kan">太长不看</h2> <p>大家都是有<strong>IPv6</strong>的公网地址的，所以：</p> <ul> <li><strong>光猫</strong>：打开IPv6支持，桥接模式</li> <li><strong>路由器</strong>：native模式</li> <li><strong>CloudFlare（下简称CF）</strong>： <ul> <li>域名丢CF托管（按需决定是否走CF代理）</li> <li>按需添加规则</li> </ul> </li> <li><strong>设备</strong>：跑<a class="external" rel="noopener external" target="_blank" href="https://github.com/jeessy2/ddns-go">ddns-go</a></li> <li><strong>Caddy</strong>：按需反代、自动HTTPS</li> </ul> <h2 id="guang-mao-pian">光猫篇</h2> <p>这块长话短说，先抛出一个大前提：喜欢动手折腾的同学，能接受自购企业级光猫（中兴、华为等等均可）最好，恩山论坛上有备受推崇的几个型号及各种对比，我就不赘述了。</p> <p>如果你一定要坚持光猫是运营商提供服务的载体，安装/调试/维护它是运营商工作的一部分，我只想提两个要点：</p> <p><strong>第一</strong>，<strong>投诉</strong>不能当时解决问题，但绝对是解决问题的<strong>唯一</strong>手段。</p> <p>虽然某些运营商工作人员非常敷衍，但还是希望大家理性投诉，一个大的原则是先礼后兵，不要<strong>越级</strong>（投诉）：你不能让认真工作的人突然莫名其妙被领导敲打一下（甚至被扣钱），这很离谱。</p> <p>经过了长达3个多月的拉锯战，问题终于得以解决<sup class="footnote-reference" id="fr-1-1"><a href="#fn-1">1</a></sup>，下面列举我实际的投诉（中国联通）顺序，供大家参考：</p> <ol> <li>先联系安装师傅（帮装宽带或者近期派工单的师傅）</li> <li>（<strong>省级</strong>）打客服：10010</li> <li>（<strong>总部</strong>）打集团投诉热线：10015 （<strong>工作时间：08:30-17:30</strong>）</li> <li><a class="external" rel="noopener external" target="_blank" href="https://yhssglxt.miit.gov.cn/web/appealInformation">投诉到工信部</a></li> </ol> <p>要有长期作战的准备，因为直到投诉到工信部之前，可能还是之前总联系你的几个客服（话务员）和安装师傅在和你绕来绕去，反复让你<strong>描述同样的问题</strong>，再复述<strong>完全不一致</strong>的问题给你听，或者直接问你：</p> <p><strong>您家宽带是上不了网了是吗？</strong></p> <p>希望大家与人为善，因为他们也很无奈，case 来了就要接，想找技术好的人找不着。这就是GQ现状啊。</p> <p><strong>第二</strong>，光猫<strong>当换则换</strong>。</p> <p>当你申请装宽带时，如果当地运营商有陈旧的存货，而你又没有提出要求，是可能优先给你装<strong>旧光猫</strong>的。 这些光猫的IPv6支持形同虚设。没错，你点进去（管理员账户）有相关的设置，但只能分配一个地址给你。 然后你就可以在IPv6的海洋中遨游了：你只能访问IPv6的服务而不能提供任何服务，因为<strong>光猫的内置防火墙规则</strong>给你干得死死的<sup class="footnote-reference" id="fr-2-1"><a href="#fn-2">2</a></sup>，又或者给设备发放地址的<strong>前缀有问题</strong>。</p> <p>这些光猫有些共通特点：</p> <ul> <li>设置界面中完全没有IPv6相关的防火墙设置</li> <li>尚能发送WIFI信号<sup class="footnote-reference" id="fr-3-1"><a href="#fn-3">3</a></sup></li> </ul> <h2 id="lu-you-qi-pian">路由器篇</h2> <h2 id="cfpian">CF篇</h2> <p>由于OMV没有特别爽的照片管理应用，所以我在NAS上安装了PhotoPrism（下简称<strong>PP</strong>）。</p> <p>那么就催生了我对网络的以下几个需求：</p> <ul> <li>PP需要走HTTPS<sup class="footnote-reference" id="fr-4-1"><a href="#fn-4">4</a></sup></li> <li>PP最好可以通过域名访问</li> <li>URL（子域名）最好容易记忆，不要有端口号等出现</li> <li>HTTP请求可以被重定向到HTTPS</li> <li>仅在IPv4网络环境下亦可访问</li> </ul> <p>下面分别展开叙述。</p> <h3 id="0-yu-ming-bang-ding-dong-tai-ipv6di-zhi">0. 域名绑定动态IPv6地址</h3> <p>先把域名托管到CF，这个不做赘述了。</p> <p>然后开启一个<a class="external" rel="noopener external" target="_blank" href="https://github.com/jeessy2/ddns-go">ddns-go</a>服务：</p> <pre class="giallo z-code"><code data-lang="yaml"><span class="giallo-l"><span class="z-entity z-name z-tag z-yaml">services</span><span class="z-punctuation z-separator z-key-value">:</span></span> <span class="giallo-l"><span class="z-entity z-name z-tag z-yaml"> ddns-go</span><span class="z-punctuation z-separator z-key-value">:</span></span> <span class="giallo-l"><span class="z-entity z-name z-tag z-yaml"> image</span><span class="z-punctuation z-separator z-key-value">:</span><span class="z-string"> jeessy/ddns-go</span></span> <span class="giallo-l"><span class="z-entity z-name z-tag z-yaml"> restart</span><span class="z-punctuation z-separator z-key-value">:</span><span class="z-string"> always</span></span> <span class="giallo-l"><span class="z-entity z-name z-tag z-yaml"> network_mode</span><span class="z-punctuation z-separator z-key-value">:</span><span class="z-punctuation z-definition z-string z-string"> &quot;host&quot;</span></span> <span class="giallo-l"><span class="z-entity z-name z-tag z-yaml"> volumes</span><span class="z-punctuation z-separator z-key-value">:</span></span> <span class="giallo-l"><span class="z-punctuation"> -</span><span class="z-string"> ./ddns-go:/root</span></span></code></pre> <p>Token的获取方式：</p> <p><img src="https://www.bigdick.live/blog/ipv6-public/dns_zone_token.gif" alt="dns_zone_token.gif" /></p> <h3 id="1-zai-ipv4xia-fang-wen">1. 在IPv4下访问</h3> <p>这步很简单，只要让域名走CF的代理就可以。</p> <p><img src="https://www.bigdick.live/blog/ipv6-public/proxied.png" alt="proxied.png" /></p> <p>CF在全球范围内运营维护了大量同时支持IPv4/v6的边缘节点，并在其上应用负载均衡。经过这样的设置后，哪怕客户端的网络环境只支持IPv4，CF也会将其发送的请求代理到客户端附近的边缘节点上，而这些节点支持IPv6，这样就实现了<code>4</code> to <code>6</code>。</p> <h3 id="2-duan-kou-ying-she">2. 端口映射</h3> <blockquote> <p>中国联通在上游禁用了以下端口（欢迎评论补充其他情况）：</p> <ul> <li>80</li> <li>443</li> <li>8080</li> <li>53</li> </ul> </blockquote> <p>我们在<a href="https://www.bigdick.live/blog/ipv6-public/#1-zai-ipv4xia-fang-wen">第<strong>1</strong>步</a>中配置域名走了CF的代理，但CF的代理仅在<a class="external" rel="noopener external" target="_blank" href="https://developers.cloudflare.com/fundamentals/reference/network-ports/#network-ports-compatible-with-cloudflares-proxy">特定的几个端口</a>上生效，因此只能充分利用它们。</p> <p>比如，我决定用<code>/photo</code>子路径指向我NAS上的PP服务，并使用CF的<code>2053</code>端口来代理访问PP的HTTP请求：</p> <p><strong>操作指引</strong>：<strong>Dashboard</strong> → <strong>Rules</strong> → <strong>Origin Rules</strong> → <strong>Create rule</strong></p> <p><img src="https://www.bigdick.live/blog/ipv6-public/origin_rule.png" alt="origin_rule" /></p> <h3 id="3-caddyfan-xiang-dai-li">3. Caddy反向代理</h3> <blockquote> <p>Caddy需要自行编译以增加对CF的支持，过程不再赘述，详见我<a href="https://www.bigdick.live/blog/nas/#caddy">配置NAS的post中的对应部分</a>。</p> </blockquote> <p>先去CF拿个给Caddy用的token。过程和<a href="https://www.bigdick.live/blog/ipv6-public/#0-yu-ming-bang-ding-dong-tai-ipv6di-zhi">第<strong>0</strong>步</a>中描述的类似，详细配置如下：</p> <p><img src="https://www.bigdick.live/blog/ipv6-public/custom_token.png" alt="custom_token" /></p> <p>有了token后可以参照Caddy官方文档<a class="external" rel="noopener external" target="_blank" href="https://caddyserver.com/docs/running#environment-variables">配置daemon的环境变量</a>。</p> <p>然后写好<code>/etc/caddy/Caddyfile</code>：</p> <pre class="giallo z-code"><code data-lang="plain"><span class="giallo-l"><span>{</span></span> <span class="giallo-l"><span> auto_https disable_redirects</span></span> <span class="giallo-l"><span>}</span></span> <span class="giallo-l"></span> <span class="giallo-l"><span>nas.bigdick.live:2053 {</span></span> <span class="giallo-l"><span> reverse_proxy :2342</span></span> <span class="giallo-l"></span> <span class="giallo-l"><span> tls {</span></span> <span class="giallo-l"><span> dns cloudflare {env.CF_API_TOKEN}</span></span> <span class="giallo-l"><span> }</span></span> <span class="giallo-l"><span>}</span></span></code></pre> <p>这里详细解释一下为什么要在Caddy中禁用自动重定向到HTTPS：</p> <ul> <li><code>80</code>和<code>443</code>端口都被运营商在上游禁用了</li> <li>当然可以更改 Caddy 的 <a class="external" rel="noopener external" target="_blank" href="https://caddyserver.com/docs/caddyfile/options">HTTP 和 HTTPS 端口</a>，但全局应用这些配置会影响到 Caddy 代理的其他服务</li> <li>如果在<a href="https://www.bigdick.live/blog/ipv6-public/#2-duan-kou-ying-she">第<code>2</code>步</a>中同时转发HTTP和HTTPS的请求到两个不同的端口，则需要<strong>两个</strong>Origin Rules，复杂且不经济</li> </ul> <p>重启Caddy生效：</p> <pre class="giallo z-code"><code data-lang="shellscript"><span class="giallo-l"><span class="z-entity z-name z-function">systemctl</span><span class="z-string"> daemon-reload</span></span> <span class="giallo-l"><span class="z-entity z-name z-function">systemctl</span><span class="z-string"> restart caddy</span></span></code></pre><h3 id="4-shi-yong-cfjiang-httpqing-qiu-zhong-ding-xiang-zhi-https">4. 使用CF将HTTP请求重定向至HTTPS</h3> <p><strong>操作指引</strong>：<strong>Dashboard</strong> → <strong>Rules</strong> → <strong>Redirect Rules</strong> → <strong>Create rule</strong></p> <p>具体的设置就很简单了，匹配规则等和Origin Rules类似，按照页面指引填写并保存即可。</p> <hr /> <ol> <li>先下单，派了个单，安装师傅说“<strong>正在开三中全会</strong>”，这种“敏感操作”搞不了</li> <li>我说师傅您给我管理员密码我自己配置成桥接</li> <li>桥接之后设备还是无法向公网提供IPv6服务，排查了路由器和操作系统的防火墙后确定是光猫问题</li> <li>打10010下了个新工单，向安装师傅反映光猫IPv6防火墙不可配置问题（我说给我SSH或者Telnet方式都行了）</li> <li>（我理解是）安装师傅的领导敷衍他</li> <li>反复催促下安装师傅表示我们管不了，给了光猫厂家电话，说你直接问去</li> <li>不知道那个厂家是不是不做了，电话打不通</li> <li>开始投诉到10015</li> <li>接了大概20多个回访、问询和答复电话，当中有将近10次要从头描述问题（<strong>您家宽带是上不了网了是吗？</strong>）</li> <li>我要求提供光猫的操作手册或文档，客服又反馈去了</li> <li>皮球又提到步骤<strong>4</strong>的安装师傅身上，他表示我家用的光猫已经全线停止使用了</li> <li>我要求换光猫，所以师傅和我约了时间上门</li> <li>上门后他表示改不了桥接，问我借了笔记本电脑试图<code>telnet</code>去获取密码，但命令都打错了，大怒，叫我再下一个工单去问管理员密码</li> <li>我要来管理员密码之后终于可以自己配置了，问题最终得以解决</li> </ol> <section class="footnotes"> <ol class="footnotes-list"> <li id="fn-1"> <p>大概分享一下狗血过程： <a href="#fr-1-1">↩</a></p> </li> <li id="fn-2"> <p>且每个厂家的的每个型号的光猫的SSH/TELNET方式均不同，也不面向宽带用户提供文档，难以复用经验 <a href="#fr-2-1">↩</a></p> </li> <li id="fn-3"> <p>一些运营商的新光猫早就不发送WIFI了：<strong>降低运营成本</strong> <a href="#fr-3-1">↩</a></p> </li> <li id="fn-4"> <p>仅为PP的默认设定，但可以<a class="external" rel="noopener external" target="_blank" href="https://docs.photoprism.app/getting-started/config-options/#web-server">关闭HTTPS</a>。照片这种涉及隐私的数据还是最好不要明文传输，因此我选择尊重PP的这一设定 <a href="#fr-4-1">↩</a></p> </li> </ol> </section>

和联通斗智斗勇的第10010天