Erythritol

使用 Docker Compose 和 Nginx 部署 Vaultwarden

Mon, 24 Aug 2026 02:00:00 GMT

Vaultwarden 是 Bitwarden 服务端的 Rust 重写版

为什么选用第三方而不选择官方？#

Vaultwarden 兼容官方客户端，空载内存占用只有几十 MB。一台便宜的1C1G VPS 就能跑得很稳

而官方服务端最低配置要求是2G Ram

替换示例参数

本文中的域名、端口、安装目录和证书路径都是示例，不能原样照搬。执行命令前，请按下表替换成自己的配置

示例值	用途	替换建议
`vault.example.com`	Vaultwarden 域名	换成已经解析到 VPS 的域名
`127.0.0.1:8080`	Vaultwarden 本机监听地址	端口冲突时换成未占用端口，并同步修改 Nginx
`/opt/vaultwarden`	安装与数据目录	换目录时同步修改本文所有相关命令
`/etc/ssl/vault.example.com/fullchain.pem`	TLS 证书	换成自己的证书完整链路径
`/etc/ssl/vault.example.com/private.key`	TLS 私钥	换成自己的证书私钥路径
`127.0.0.1:8443`	可选的 Nginx TLS 回落地址	仅在使用 Xray/3X-UI 回落时按实际配置修改

部署密码服务前

确认服务器已安装安全更新，并为域名配置有效的 HTTPS 证书。不要把管理密码、ADMIN_TOKEN、TLS 私钥或备份文件提交到公开仓库。

请求路径#

HTTPS 443

HTTP 127.0.0.1:8080

Bitwarden 客户端

Nginx

Vaultwarden 容器

SQLite 数据库

/opt/vaultwarden/data

HTTPS 443

HTTP 127.0.0.1:8080

Bitwarden 客户端

Nginx

Vaultwarden 容器

SQLite 数据库

/opt/vaultwarden/data

安装 Docker#

服务器上没有 Docker 的话，用官方便捷脚本安装：

VPS

1
curl -fsSL https://get.docker.com | sudo sh
2
sudo systemctl enable --now docker

确认 Docker Engine 和 Compose 插件都在：

VPS

1
docker --version
2
docker compose version

如果第二条命令报 docker: 'compose' is not a docker command，说明只装了引擎、没装 Compose 插件。不同发行版的包名不一样，Debian 系一般是 docker-compose-plugin。

创建安装目录#

程序配置和持久化数据我放在 /opt/vaultwarden：

VPS

1
sudo install -d -m 750 /opt/vaultwarden/data
2
cd /opt/vaultwarden

改用其他目录的话，后面的 .env、compose.yml、启动和备份命令都要一起改。

生成管理令牌#

Vaultwarden 的管理后台接受 Argon2 PHC 字符串。明文 ADMIN_TOKEN 会在启动日志里触发安全警告，所以最好生成哈希：

VPS

1
sudo docker run --rm -it vaultwarden/server:latest /vaultwarden hash

按提示输入管理密码，命令会输出一行以 $argon2id$ 开头的字符串。注意一点：登录管理后台时输入的是原始密码，不是这串哈希。

管理凭据

原始管理密码和 Argon2 哈希都不要公开。哈希还原不出密码，但可以拿去离线爆破，也能被复制到另一套 Vaultwarden 配置里冒充你的后台。

创建环境文件#

创建 /opt/vaultwarden/.env：

VPS

1
sudo nano /opt/vaultwarden/.env

写入下面的内容。域名换成自己的，ADMIN_TOKEN 替换为刚才生成的完整 Argon2 字符串，外层单引号要留着：

/opt/vaultwarden/.env

1
DOMAIN=https://vault.example.com
2
ADMIN_TOKEN='$argon2id$v=19$m=19456,t=2,p=1$REPLACE_WITH_YOUR_HASH'
3
SIGNUPS_ALLOWED=false
4
TZ=Asia/Shanghai

高亮的两行是必须改的第二行加单引号的作用是防止 Compose 把哈希里的 $ 解析成变量

接着收紧权限：

VPS

1
sudo chown root:root /opt/vaultwarden/.env
2
sudo chmod 600 /opt/vaultwarden/.env

SIGNUPS_ALLOWED=false 会关闭公开注册，建议保持关闭，后面可以通过管理后台邀请注册

创建 Compose 配置#

VPS

1
sudoedit /opt/vaultwarden/compose.yml

/opt/vaultwarden/compose.yml

1
services:
2
  vaultwarden:
3
    image: vaultwarden/server:latest
4
    container_name: vaultwarden
5
    restart: unless-stopped
6
    env_file:
7
      - .env
8
    ports:
9
      - "127.0.0.1:8080:80"
10
    volumes:
11
      - ./data:/data

高亮那行是整份配置里最重要的部分，容器的 80 端口映射到宿主机 127.0.0.1:8080，前缀里的 127.0.0.1 如果写成 "8080:80" 会绑到 0.0.0.0，任何人都能用 http://IP:8080 绕过 Nginx 直接摸到明文服务。

8080 被占用的话先找个空闲端口：

VPS

1
sudo ss -lntp

换端口时，Compose 里的映射和 Nginx 的 proxy_pass 必须一致，改一处漏一处就是 502

启动容器：

VPS

1
cd /opt/vaultwarden
2
sudo docker compose up -d
3
sudo docker compose ps

看日志和本机响应：

VPS

1
sudo docker compose logs --tail=100 vaultwarden
2
curl -I http://127.0.0.1:8080

curl 返回 200 OK 就说明容器这一层没问题了，然后配置 Nginx

配置 Nginx#

先确认域名已经解析到这台 VPS，证书覆盖 vault.example.com。然后创建站点配置：

VPS

1
sudo nano /etc/nginx/conf.d/vaultwarden.conf

/etc/nginx/conf.d/vaultwarden.conf展开收起

1
server {
2
    listen 80;
3
    listen [::]:80;
4
    server_name vault.example.com;
5

6
    return 301 https://$host$request_uri;
7
}
8

9
server {
10
    listen 443 ssl http2;
11
    listen [::]:443 ssl http2;
12
    server_name vault.example.com;
13

14
    ssl_certificate     /etc/ssl/vault.example.com/fullchain.pem;
15
    ssl_certificate_key /etc/ssl/vault.example.com/private.key;
16

17
    client_max_body_size 128M;
18

19
    location / {
20
        proxy_pass http://127.0.0.1:8080;
21
        proxy_http_version 1.1;
22

23
        proxy_set_header Host $host;
24
        proxy_set_header X-Real-IP $remote_addr;
25
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
26
        proxy_set_header X-Forwarded-Proto $scheme;
27

28
        proxy_set_header Upgrade $http_upgrade;
29
        proxy_set_header Connection "upgrade";
30

31
        proxy_read_timeout 3600s;
32
        proxy_send_timeout 3600s;
33
        proxy_buffering off;
34
    }
35
}

展开收起

高亮的是要修改的地方：两个证书路径、proxy_pass 的端口（前面改过就同步改），以及域名 vault.example.com。

client_max_body_size 128M 管的是附件上传上限。默认值只有 1M，往密码库里塞图片或文件时会被 Nginx 直接拒掉，返回 413。

Upgrade 和 Connection 是给 WebSocket 用的，Vaultwarden 靠它做多设备实时同步，少了这两行也能正常登录，只是在一台设备上改的密码不会立刻推到另一台

检查配置，再重载：

VPS

1
sudo nginx -t
2
sudo systemctl reload nginx

如果nginx -t 不通过就回去检查配置。重点查看 server_name 、证书文件路径、花括号、端口

可选：接入 Xray 或 3X-UI 回落#

没在用 Xray/3X-UI 回落的话，直接无视这节。

如果端口 443 由 Xray 接管，可以回落给 Nginx，Nginx 的 TLS 监听地址得和回落目标对上。假设回落目标是：

1
127.0.0.1:8443

那么 Nginx 的 HTTPS 监听要改成同一个端口：

/etc/nginx/conf.d/vaultwarden.conf展开收起

1
server {
2
    listen 80;
3
    listen [::]:80;
4
    server_name vault.example.com;
5

6
    return 301 https://$host$request_uri;
7
}
8

9
server {
10
  listen 443 ssl http2;
11
  listen [::]:443 ssl http2;
12
  listen 127.0.0.1:8443 ssl http2;
13
    server_name vault.example.com;
14

15
    ssl_certificate     /etc/ssl/vault.example.com/fullchain.pem;
16
    ssl_certificate_key /etc/ssl/vault.example.com/private.key;
17

18
    client_max_body_size 128M;
19

20
    location / {
21
        proxy_pass http://127.0.0.1:8080;
22
        proxy_http_version 1.1;
23

24
        proxy_set_header Host $host;
25
        proxy_set_header X-Real-IP $remote_addr;
26
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
27
        proxy_set_header X-Forwarded-Proto $scheme;
28

29
        proxy_set_header Upgrade $http_upgrade;
30
        proxy_set_header Connection "upgrade";
31

32
        proxy_read_timeout 3600s;
33
        proxy_send_timeout 3600s;
34
        proxy_buffering off;
35
    }
36
}

展开收起

这里的 8443 同样是示例，必须和自己的回落目标完全一致。

不要重复监听 443

Xray 和 Nginx 不能同时占用同一个 IP 的 TCP 443。改之前先跑一下，看清是谁在监听：

VPS

1
sudo ss -lntp | grep ':443'

创建首个用户#

访问管理后台，域名换成自己的：

1
https://vault.example.com/admin

用生成 Argon2 哈希时输入的原始密码登录，在后台上方点击Users邀请自己的邮箱

然后就可以进入主页，直接使用被邀请的邮箱作为账号注册

1
https://vault.example.com

更新 Vaultwarden#

更新前先备份，确认备份完成再拉新镜像重建容器：

VPS

1
cd /opt/vaultwarden
2
sudo docker compose pull
3
sudo docker compose up -d
4
sudo docker compose logs --tail=100 vaultwarden

我不建议给密码服务挂 Watchtower 之类的自动更新。这东西一挂，你连不上的可能不只是网页，还有所有设备上的密码库。先读版本说明，手上留着能恢复的近期备份。

备份与恢复#

数据库、附件和配置全在 /opt/vaultwarden/data。直接打包正在写入的 SQLite 文件可能拿到不一致的快照，所以最好是停一下容器：

VPS

1
cd /opt/vaultwarden
2
sudo docker compose stop vaultwarden
3
sudo tar -czf "/root/vaultwarden-data-$(date +%F-%H%M%S).tar.gz" \
4
  -C /opt/vaultwarden data
5
sudo docker compose start vaultwarden

备份文件落在 /root，里面是完整的密码库数据，要加密保存并定期复制到另一台设备。改过安装目录或备份目录的，命令要跟着改。

恢复之前先停容器，并且确认目标目录没写错。下面的命令会替换现有 data 目录：

VPS

1
cd /opt/vaultwarden
2
sudo docker compose stop vaultwarden
3
sudo mv data "data.before-restore-$(date +%F-%H%M%S)"
4
sudo tar -xzf /root/vaultwarden-data-YYYY-MM-DD-HHMMSS.tar.gz \
5
  -C /opt/vaultwarden
6
sudo docker compose start vaultwarden

第 3 行用 mv 而不是 rm，是给自己留条退路，恢复出来的数据不对时还能换回去。YYYY-MM-DD-HHMMSS 是占位符，换成实际的备份文件名。确认恢复正常后再决定要不要删掉 data.before-restore-*。

Telegram VPS 登录告警

Mon, 03 Aug 2026 02:20:00 GMT

这套配置在 Ubuntu VPS 的会话成功建立后调用 Telegram Bot API。通知包含主机名、登录用户、认证方式、来源 IP、IP 归属地和北京时间。它用来发现异常登录，不会阻止攻击者，也不能代替密钥登录和云平台 MFA

准备信息

获取Telegram Bot Token
在 Telegram 全局搜索框中输入：@BotFather
进入对话框输入/start 后输入/newbot开始新建机器人
系统提示Alright, a new bot. How are we going to call it? Please choose a name for your bot.
开始设置显示名称，我这里设置的是“vps登录告警”
命名规则：支持中文、空格、特殊符号
回车确认后系统提示 Good. Now let's choose a username for your bot. It must end in bot. Like this, for example: TetrisBot or tetris_bot.
接下来设置唯一寻址名，这是机器人的“全局唯一标识符”
命名规则：纯英文字母、数字或下划线的组合，且必须以 bot 结尾（例：vps_login_warning_bot）。全局唯一，不能与他人重复创建完毕后会返回给你一串API Token，这个要自己保存好不要泄露给任何人
最后为了防止机器人被随意拉入别人群聊在@BotFather对话框中发送/mybot 点击我们刚刚创建的机器人
依次点击：Bot Settings -> Allow Groups?->Turn groups off
获取自己的 Telegram chat_id
在 Telegram 全局搜索框中输入：@userinfobot
请务必核对精确匹配的用户名
在对话框中输入指令 /start 返回的第一行就是自己的chat_id

BOT_TOKEN 等同于机器人的控制凭据。不要把它写入聊天记录、Shell 历史、截图或公开仓库

保存凭据#

以下命令假定当前 Shell 具有 root 权限；否则在每条命令前加 sudo

先创建仅 root 可读的配置文件：

Terminal window

1
install -m 600 /dev/null /etc/ssh-login-telegram.env

然后通过标准输入写入凭据：

Terminal window

1
tee /etc/ssh-login-telegram.env

粘贴以下两行，将示例值替换为实际值。按 Enter 后按 Ctrl+D 保存：

Terminal window

1
BOT_TOKEN=replace-with-your-bot-token
2
CHAT_ID=123456

凭据泄露

一旦 Bot Token 出现在公开位置，应立即在 @BotFather 中撤销并生成新 Token，然后更新服务器上的文件

创建通知脚本#

创建脚本文件：

Terminal window

1
tee /usr/local/sbin/ssh-login-telegram

粘贴以下内容，按 Enter 后按 Ctrl + D。脚本只处理会话打开事件；IP 归属地查询失败时仍会发送告警，只是地点显示为“未知”

/usr/local/sbin/ssh-login-telegram展开收起

1
#!/bin/sh
2

3
[ "$PAM_TYPE" = "open_session" ] || exit 0
4
[ -r /etc/ssh-login-telegram.env ] || exit 0
5

6
. /etc/ssh-login-telegram.env
7

8
auth_method='未知'
9
auth_line=$(
10
  /usr/bin/awk -v user="$PAM_USER" -v ip="$PAM_RHOST" '
11
    index($0, "Accepted ") && index($0, " for " user " from " ip " ") { latest=$0 }
12
    END { print latest }
13
  ' /var/log/auth.log 2>/dev/null
14
)
15

16
case "$auth_line" in
17
  *"Accepted publickey "*) auth_method='SSH 密钥登录' ;;
18
  *"Accepted password "*) auth_method='密码登录' ;;
19
  *"Accepted keyboard-interactive"*) auth_method='交互式认证' ;;
20
esac
21

22
source_ip=${PAM_RHOST:-local}
23
location='未知'
24

25
case "$source_ip" in
26
  *[!0-9a-fA-F:.]*|'') ;;
27
  *)
28
    resolved_location=$(
29
      /usr/bin/python3 -c 'import json,sys,urllib.request; ip=sys.argv[1]; d=json.load(urllib.request.urlopen("https://ipwho.is/"+ip+"?lang=zh-CN", timeout=3)); print(" ".join(filter(None, (d.get("country"), d.get("region"), d.get("city")))))' "$source_ip" 2>/dev/null
30
    )
31
    [ -n "$resolved_location" ] && location=$resolved_location
32
    ;;
33
esac
34

35
now=$(TZ=Asia/Shanghai /bin/date '+%Y-%m-%d %H:%M:%S %Z')
36
message=$(printf 'VPS 登录告警\n主机: %s\n用户: %s\n登录方式: %s\n来源: %s（%s）\n时间: %s' \
37
  "$(hostname)" "$PAM_USER" "$auth_method" "$source_ip" "$location" "$now")
38

39
/usr/bin/curl --silent --show-error --fail --max-time 10 --request POST \
40
  --data-urlencode "chat_id=$CHAT_ID" \
41
  --data-urlencode "text=$message" \
42
  "https://api.telegram.org/bot${BOT_TOKEN}/sendMessage" \
43
  >/dev/null 2>&1

展开收起

限制脚本权限：

VPS

1
chown root:root /usr/local/sbin/ssh-login-telegram
2
chmod 700 /usr/local/sbin/ssh-login-telegram

先做独立测试#

在未接入 PAM 前，先手动调用脚本：

VPS

1
PAM_TYPE=open_session PAM_USER=test PAM_RHOST=8.8.8.8 /usr/local/sbin/ssh-login-telegram

Telegram 应收到中文通知，时间为北京时间。手动测试不会产生 SSH 认证日志，因此“登录方式”显示“未知”是正常的

未收到通知时，依次检查凭据、服务器出网、curl 和 python3 是否存在：

VPS

1
command -v curl python3
2
curl -I --max-time 10 https://api.telegram.org

接入 PAM#

编辑 PAM 配置并在文件末尾添加一行：

Terminal window

1
sudoedit /etc/pam.d/sshd

Terminal window

1
session optional pam_exec.so quiet type=open_session seteuid /usr/local/sbin/ssh-login-telegram

optional 使 Telegram、DNS 或归属地查询故障不影响 SSH 登录；type=open_session 让 PAM 只在会话建立时执行脚本。此规则在下一次新建 SSH 会话时生效，无需重启 SSH

验证真实登录#

保持当前连接不关闭，在本地新建 SSH 连接。成功登录后应很快收到告警，认证方式通常显示“SSH 密钥登录”或“密码登录”

脚本从 Ubuntu 的 /var/log/auth.log 匹配最新的 Accepted 记录。若系统只使用 systemd journal 而没有该文件，通知仍会发送，但认证方式会保持“未知”。这种情况下可执行 journalctl -u ssh --since '10 minutes ago' 确认日志来源，再按实际发行版调整脚本

安全边界#

IP 归属地查询会将登录来源 IP 发送给 ipwho.is。不接受这一点时，删除脚本中的归属地查询块即可
任何已经获得 root 权限的人都可以停用或篡改本地告警。应同时使用密钥登录、限制管理 IP、云平台 MFA 和独立的外部监控
多台 VPS 可以共用一个只用于运维告警的机器人，也可以各自使用不同机器人；不要复用与个人敏感聊天混用的机器人

修改 SSH 监听端口

Mon, 03 Aug 2026 02:10:00 GMT

修改 SSH 端口能减少针对默认 22 端口的无差别扫描，但它不是访问控制手段。真正有效的基础措施仍是 SSH 密钥、禁用不必要的密码登录、及时更新系统和限制管理入口

本文以 Ubuntu/Debian 为例，使用 25565 作为示例端口。端口必须是 1 到 65535 之间未被其他服务占用的整数

不要先断开旧会话

修改配置后，应从新的终端验证新端口能够登录，再关闭原连接。否则端口写错或防火墙遗漏时，可能需要通过云厂商控制台恢复

修改配置#

先编辑 SSH 服务端配置：

sudoeditvim

Terminal window

1
sudoedit /etc/ssh/sshd_config

Terminal window

1
sudo vim /etc/ssh/sshd_config

找到 Port 22或新增一行，写成：

Terminal window

1
# Port 端口
2
# 例如：
3
Port 25565

若文件中存在多条未注释的 Port，SSH 会同时监听多个端口。确认只保留自己需要的端口，避免误把旧端口继续暴露在公网

使用配置片段

也可以在/etc/ssh/sshd_config.d/新建 port.conf 并写入 Port 34377。先确认主配置中存在对应的 Include 行，避免以为配置已生效而实际未被读取

先校验，再重载#

重载之前先检查语法：

Terminal window

1
sudo sshd -t

没有输出代表语法通过。接着重载服务；Ubuntu 通常使用 ssh，部分发行版服务名为 sshd：

Ubuntu/DebianRHEL/CentOS/AlmaLinux

Terminal window

1
sudo systemctl reload ssh

Terminal window

1
sudo systemctl reload sshd

reload 不会中断已有 SSH 会话。若系统不支持重载，再使用 restart，但依然应先通过 sshd -t

Ubuntu24.04修改办法：

Terminal window

1
sudo vim /etc/ssh/sshd_config
2
sudo systemctl daemon-reload
3
sudo systemctl restart ssh

放行防火墙与云平台规则#

系统启用 UFW 时放行新端口：

VPS

1
sudo ufw allow 25565/tcp
2
sudo ufw status numbered

云服务器还需要在安全组或防火墙规则中允许 TCP 25565 入站。如果只改了系统配置而未放行云平台规则，公网连接仍会超时

用新连接验证#

保持原有会话，在本地新开一个终端：

本地终端

1
ssh -p 25565 root@IP

确认登录成功后，在服务器上检查监听状态：

VPS

1
sudo ss -lntp | grep ':25565'

最后再删除旧端口的防火墙规则。例如 UFW 显示旧规则编号后，可按编号删除：

VPS

1
sudo ufw status numbered
2
sudo ufw delete <旧规则编号>

不要在确认新端口可用前执行删除操作。完成后，可继续配置 Telegram SSH 登录告警，记录每次成功登录

无法连接时的排查顺序#

在 VPS 控制台或原 SSH 会话中执行 sudo sshd -t，确认配置语法正确
用 sudo ss -lntp | grep ssh 确认 SSH 是否在新端口监听
检查 UFW、iptables/nftables 以及云安全组是否都已放行该端口
从本地用 ssh -vvv -p 25565 root@ip 查看连接停在哪一步

如果旧会话已经断开且两个端口都不能访问，需要通过云厂商的 Web/VNC 控制台将配置恢复，再重载 SSH 服务

为 VPS 配置 SSH 密钥登录

Mon, 03 Aug 2026 02:00:00 GMT

使用 SSH 密钥有什么好处#

私钥留在本地设备，服务器不需要保存或接收登录密码，能避开大量针对密码的撞库和弱口令尝试
一把密钥可以安全地部署到多台自己管理的 VPS；需要撤销访问权限时，只需删除对应公钥
配合私钥口令后，即使私钥文件遗失，取得文件的人也不能直接登录服务器

本文以 Windows 客户端连接 Linux VPS 的 root 用户为例。若使用普通用户，只需把文中的 /root 换成该用户的家目录

先保留当前会话

部署和测试期间不要关闭已经登录 VPS 的终端。新密钥无法使用时，当前会话是最直接的恢复入口

在 Windows 生成密钥#

在 PowerShell 中执行。-a 64 会增加 Ed25519 私钥 KDF 的计算成本；-f 指定私钥文件名

PowerShell

1
ssh-keygen -t ed25519 -a 64 -f "$env:USERPROFILE\.ssh\文件名" -C "公钥注释"

参数讲解：

-t ed25519：指定密钥算法
-a 64：增加 passphrase（密钥密码）加密私钥时的哈希迭代次数（默认是 16）
-f “$env.ssh\文件名”：指定输出的文件路径和文件名
- $env:USERPROFILE 代表 Windows 当前用户的家目录（如 C:\Users\用户名）
-C “公钥注释”：写入公钥文件末尾的字符串标记，用于区分这个密钥的作用或所属设备

命令执行后会询问是否设置私钥口令。建议设置一个口令：即使私钥文件被复制走，也不能直接用于登录

之后会发现在文件夹下面会出现两个文件，一个有.pub后缀代表着公钥，另一个没有.pub后缀代表私钥

查看并复制公钥内容：

PowerShell

1
Get-Content "$env:USERPROFILE\.ssh\文件名.pub"

公钥以 ssh-ed25519 开头。复制这一整行（包括开头的ssh-ed25519和结尾的文件名）

私钥文件 vps_ed25519 不应上传、发送或粘贴到任何网站

把公钥写入 VPS#

在当前的 VPS 上，以目标用户身份执行以下命令。第一次配置时，install 会创建 .ssh 目录并设置正确权限

Terminal window

1
install -d -m 700 /root/.ssh

追加公钥：

Terminal window

1
tee -a /root/.ssh/authorized_keys

粘贴刚才复制的一整行公钥，按 Enter 后按 Ctrl+D 结束输入。最后收紧文件权限：

Terminal window

1
chmod 600 /root/.ssh/authorized_keys

多台服务器

同一把公钥可以部署到多台自己管理的 VPS；每台服务器都会在自己的 authorized_keys 中保存一行。私钥无需复制到服务器

验证登录#

在 Windows 另开一个 PowerShell 窗口。将端口和地址替换为实际值：

PowerShell

1
ssh -p 25565 -i "$env:USERPROFILE\.ssh\文件名" root@IP

首次连接会要求确认服务器指纹。应与 VPS 控制台或既有会话中看到的主机指纹核对；不要在未核对的情况下随意接受变更后的指纹。

登录成功后，确认服务器已识别出密钥认证：

VPS

1
sshd -T | grep -E 'pubkeyauthentication|passwordauthentication'

确认新窗口可以稳定登录后，才考虑在 SSH 配置中关闭密码登录。端口调整可参阅修改 SSH 端口；

登录告警可参阅

Telegram SSH 登录告警

在 Ubuntu VPS 上通过 PAM 在 SSH 成功登录后向 Telegram 发送包含来源 IP 和北京时间的告警。

2026-08-03运维#网络安全#SSH#Telegram#Linux#VPS#监控

常见问题#

仍然要求输入服务器密码#

通常是公钥没有完整写入、写到了错误用户的家目录，或 .ssh 与 authorized_keys 权限过宽。服务器上可检查：

VPS

1
ls -ld /root/.ssh
2
ls -l /root/.ssh/authorized_keys
3
tail -n 1 /root/.ssh/authorized_keys

目录应为 700，文件应为 600。最后一行应是 Windows 中复制的公钥

私钥文件找不到#

检查文件是否仍在默认目录：

PowerShell

1
Get-ChildItem "$env:USERPROFILE\.ssh\vps_ed25519*"

不要为图省事重新生成并覆盖旧私钥。若确实丢失私钥，在服务器上添加新公钥后，再删除对应的旧公钥

用 Cloudflare WARP 与 3X-UI 修正 Google 和 X 的 IP 地区识别

Wed, 15 Jul 2026 04:00:00 GMT

有些 VPS 的出口 IP 会被 Google、Gemini 或 X 识别为不符合预期的地区。例如，VPS 实际位于美国，Google 却把它识别为中国，或者 X 把西雅图 IP 识别成印度。本文采用一个比较轻量的方案：让 Cloudflare WARP 只提供本机 SOCKS5 代理，再由 3X-UI / Xray 按域名把指定请求转发到这个代理。

这套方案不需要额外安装 redsocks 或修改全局 iptables，也不会让 WARP 接管 VPS 上的全部流量。

使用前须知

WARP 的出口地区和 IP 由 Cloudflare 分配，不能保证固定为某个国家或城市。本文的目标是改变特定服务看到的出口网络，不是提供固定地区 IP。请确认你的使用场景符合 Cloudflare、目标服务和 VPS 服务商的条款。

一、工作原理#

整个请求链路如下：

1
客户端请求
2
    |
3
    v
4
3X-UI / Xray 路由规则
5
    |  geosite:google, geosite:twitter
6
    v
7
本机 SOCKS5 出站（127.0.0.1:40000）
8
    |
9
    v
10
Cloudflare WARP
11
    |
12
    v
13
Google、Gemini 或 X

只有匹配路由规则的域名会使用 warp 出站，其他流量仍然按照原来的 direct、DNS 或其他出站处理。

二、安装 Cloudflare WARP#

以下命令适用于 Debian / Ubuntu 系统，并且默认使用 root 权限。若当前用户不是 root，请在命令前加 sudo。

1. 更新软件包并安装依赖#

Terminal window

1
apt update
2
apt install -y curl gnupg lsb-release ca-certificates

2. 下载并保存 Cloudflare GPG 公钥#

Terminal window

1
curl -fsSL https://pkg.cloudflareclient.com/pubkey.gpg | gpg --yes --dearmor -o /usr/share/keyrings/cloudflare-warp-archive-keyring.gpg

3. 添加 Cloudflare APT 软件源#

Terminal window

1
echo "deb [arch=$(dpkg --print-architecture) signed-by=/usr/share/keyrings/cloudflare-warp-archive-keyring.gpg] https://pkg.cloudflareclient.com/ $(lsb_release -cs) main" > /etc/apt/sources.list.d/cloudflare-client.list

4. 安装 WARP 客户端#

Terminal window

1
apt update
2
apt install -y cloudflare-warp

5. 创建状态目录并接受服务条款#

Terminal window

1
mkdir -p /var/lib/cloudflare-warp
2
echo '{"accepted":true}' > /var/lib/cloudflare-warp/accepted-tos.json

6. 启用 WARP 服务#

Terminal window

1
systemctl enable --now warp-svc

可以先确认服务已经启动：

Terminal window

1
systemctl status warp-svc --no-pager

三、注册设备并启用本地 SOCKS5 代理#

1. 注册 WARP 设备#

不同版本的 warp-cli 命令名称可能略有差异，下面的写法优先使用新命令，旧版本则回退到 register：

Terminal window

1
warp-cli --accept-tos registration new || warp-cli --accept-tos register

2. 切换到代理模式#

代理模式只启动本地代理，不接管系统的全部流量：

Terminal window

1
warp-cli --accept-tos mode proxy

3. 设置 SOCKS5 监听端口#

这里使用 40000 作为示例端口，可以替换成其他未占用端口。后续 3X-UI 出站中的端口必须保持一致。

Terminal window

1
warp-cli --accept-tos proxy port 40000

4. 连接 WARP#

Terminal window

1
warp-cli --accept-tos connect

检查连接状态：

Terminal window

1
warp-cli --accept-tos status

四、先单独测试 WARP 出口#

在接入 3X-UI 之前，先确认 SOCKS5 代理本身可以工作：

Terminal window

1
curl -x socks5://127.0.0.1:40000 https://ifconfig.co

如果命令返回的 IP 与 VPS 原来的公网 IP 不同，说明 WARP 代理已经建立。可以同时执行下面两条命令进行对比：

Terminal window

1
# VPS 直连出口
2
curl https://ifconfig.co
3

4
# 经过 WARP 的出口
5
curl -x socks5://127.0.0.1:40000 https://ifconfig.co

测试失败时先不要配置 3X-UI

如果 curl 无法连接 127.0.0.1:40000，先检查 warp-svc 状态、代理模式和端口配置。3X-UI 只能使用已经正常工作的本地 SOCKS5 代理。

五、在 3X-UI 中添加 WARP 出站#

进入 3X-UI 的出站页面，添加一个新的出站，填写以下内容：

字段	值
协议	`socks`
标签	`warp`
地址	`127.0.0.1`
端口	`40000`
用户名	留空
密码	留空
Sockopt	保持默认关闭
Mux	保持默认关闭

在 3X-UI 中添加 SOCKS 出站

保存出站后，确认列表中出现 warp 标签，并且地址显示为 127.0.0.1:40000。

确认 WARP 出站已保存

监听地址

WARP 只监听 127.0.0.1，因此这个代理不会直接暴露到公网。3X-UI 和 Xray 运行在同一台 VPS 上时，使用回环地址即可访问。

六、添加 Google 和 X 的路由规则#

进入 3X-UI 的路由页面，切换到 路由规则，新增一条规则。

1. 规则字段#

最关键的字段如下：

字段	值
域名	`geosite:google,geosite:twitter`
出站标签	`warp`
IP、端口、协议	留空，除非你有额外分流要求

如果只需要解决 Google / Gemini，就填写：

1
geosite:google

如果还需要解决 X，再使用英文逗号追加：

1
geosite:google,geosite:twitter

添加 Google 和 X 的路由规则

确认出站标签选择的是上一节创建的 warp，不要误选 direct 或其他出站。

2. 保存并重启 Xray#

保存路由规则后，回到系统状态页面，重启 Xray，使新路由配置生效。

在 3X-UI 中重启 Xray

七、验证实际效果#

重启 Xray 后，可以在客户端重新打开目标服务。如果路由规则匹配成功，Google / Gemini 或 X 的出口就会经过 WARP。

Google / Gemini#

下面是路由调整前后的示例对比：

Google / Gemini 调整前的地区提示

Google / Gemini 调整后的页面

X#

X 的趋势和内容地区也可以用同样方式对比：

X 调整前的趋势地区

X 调整后的趋势地区

八、排错顺序#

WARP 端口无法连接#

Terminal window

1
systemctl status warp-svc --no-pager
2
warp-cli --accept-tos status
3
ss -lntp | grep 40000

确认 WARP 处于连接状态，并且本机确实有程序监听 127.0.0.1:40000。

直连测试成功，但 3X-UI 不生效#

按下面顺序检查：

3X-UI 出站协议是否为 socks。
地址是否为 127.0.0.1，端口是否与 WARP 代理端口一致。
路由规则的域名是否写成 geosite:google 或 geosite:twitter。
路由规则的出站标签是否选择 warp。
保存路由后是否重启了 Xray。
Xray 使用的 geodata 是否包含对应的 google 和 twitter 条目。

只想让 Google 走 WARP#

不要添加 geosite:twitter，只保留：

1
geosite:google

这样 X 和其他域名仍会按照原有规则处理。

九、停止或恢复 WARP#

暂时停止 WARP 连接：

Terminal window

1
warp-cli --accept-tos disconnect

重新连接：

Terminal window

1
warp-cli --accept-tos connect

如果不再需要 WARP 服务，可以停止并取消开机启动：

Terminal window

1
systemctl disable --now warp-svc

不要在没有删除 3X-UI warp 出站和相关路由的情况下直接卸载 WARP，否则 Xray 可能继续尝试连接一个不存在的本地代理。

参考资料#

傻瓜式安装并激活 Microsoft 365

Thu, 02 Jul 2026 07:37:17 GMT

一、下载 Office Tool Plus#

打开 Office Tool Plus 官网，下载并运行软件。

Office Tool Plus 下载页面

二、一键安装 Microsoft 365#

启动 Office Tool Plus 后，按下 Ctrl + Shift + P 打开命令框，输入下面的部署命令并确认：

Terminal window

1
deploy /add O365ProPlusRetail_zh-cn /O365ProPlusRetail.exclapps Access,Groove,Lync,OneDrive,OneNote,Outlook,OutlookForWindows,Publisher,Teams /channel Current /dlfirst /edition 64 /module 1

在 Office Tool Plus 中输入部署命令

这条命令会执行以下操作：

安装 64 位简体中文版 Microsoft 365；
使用 Current 更新通道；
排除 Access、OneDrive、OneNote、Outlook、Teams 等组件；
先下载安装文件，再开始部署。

确认命令后等待下载和安装完成即可。如果需要保留某个被排除的组件，可以从 exclapps 后面的列表中删除对应名称。

三、激活 Office#

再次按下 Ctrl + Shift + P，输入激活命令并确认：

Terminal window

1
ospp /unlics /unkeys /inslicid MondoVolume /sethst kms.loli.best /setprt 1688 /act

命令会清理现有许可证和密钥，安装批量许可证，并连接指定 KMS 主机完成激活。执行前请确认当前设备和许可证类型符合使用条件。

Office 激活完成后的结果

至此，Microsoft 365 已完成安装与激活。需要更细致地选择产品、语言、体系结构或安装组件时，可以参考 Office Tool Plus 作者博客中的部署说明。

绕过 Microsoft Store 下载应用安装包

Sun, 28 Jun 2026 07:34:11 GMT

如果你的Windows强制禁止了系统更新，或者 Microsoft Store 本身出现故障，那么大概率微软商店会出非常多的问题导致无法正常下载软件。这时可以从网页版 Microsoft Store 获取应用页面链接，再解析出可以直接下载的安装包。

本文以下载 Codex 为例。

本文使用的链接解析服务并非微软官方服务。下载完成后应核对文件扩展名、发布者和数字签名，不要安装来源不明的程序包。

一、找到应用页面#

打开网页版 Microsoft Store，搜索需要安装的应用。

在网页版 Microsoft Store 中搜索 Codex

进入应用详情页后，复制浏览器地址栏中的完整链接。

二、解析下载链接#

打开 Microsoft Store - Generation Project，把刚才复制的应用链接粘贴到输入框，然后点击右侧√按钮。

粘贴应用链接并解析

页面会列出该应用的多个安装包和依赖项。通常应选择与你的设备架构匹配、扩展名为 .msix 或 .msixbundle 的文件。

常见架构含义如下：

x64：大多数 Intel 或 AMD 处理器的 Windows 电脑；
arm64：使用 ARM 处理器的 Windows 设备；
neutral：不限定处理器架构；
x86：仅在应用明确要求 32 位版本时选择。

三、下载并安装#

点击所需的 .msix 或 .msixbundle 链接完成下载，然后双击文件，按照“应用安装程序”的提示进行安装。

选择 MSIX 安装包下载

如果双击后无法安装，可以先检查：

文件是否与系统架构匹配；
应用依赖包是否已经安装；
文件属性中的数字签名是否有效；
Windows 的“应用安装程序”是否可用。

可选：使用 ProductId 查询

除了粘贴完整应用链接，也可以复制链接中的 ProductId。

Microsoft Store 链接中的 ProductId

把 ProductId 粘贴到解析页面，并将左侧下拉框改为 ProductId，然后再执行查询。

选择 ProductId 查询方式