![Gemini_Generated_Image_lbogaylbogaylbog.png](/static/img/e665e7a9c8ad24734382fc23e3fe2c76.Gemini_Generated_Image_lbogaylbogaylbog.webp)

接到那种“页面要快、要稳、还不想买服务器”的小需求时，OSS 静态托管反而比一堆反代更省心。这篇就是我用阿里云香港节点做免备案官网的一次完整取舍。



### 前言
最近接了一个“小私活”：给一位做实业的老板做一个极其简单的企业展示页。需求很典型：
1. **要快：** 手机点开瞬间就能看。
2. **要省：** 不想买云服务器，不想交年费。
3. **要稳：** 别动不动就因为家里断电或 DDNS 抽风打不开。
4. **要逼格：** 必须有独立域名，必须带“小绿锁”HTTPS。

在反复权衡了 **DDNS+内网穿透** 和 **云服务器部署** 后，我选择了最“优雅”的方案：**阿里云 OSS 香港节点静态托管**。今天就把这套“点烟级”的造火箭流程记录下来。

---

### 一、 核心架构：为什么选择 OSS + 香港节点？

* **避开备案：** 选“中国香港”节点，直接绕过 ICP 备案，域名秒解析，即刻上线。
* **隐藏端口：** OSS 绑定自定义域名后，默认监听 80/443 端口，彻底告别 `:8888` 这种难看的尾巴。
* **极致省钱：** 静态网页那点流量和存储，一个月可能也就几毛钱，充 10 块钱能用到公司倒闭。
* **高可用：** 阿里背书，不宕机，不维护，真正的“写完即焚”。

---

### 二、 避坑实录：那些让你怀疑人生的“小妖精”

在折腾过程中，我遇到了三个最经典的坑，在这里划重点：

#### 1. 默认域名变“下载”
**现象：** 上传完 `index.html`，点击阿里云给的长链接，浏览器直接弹下载，不显示网页。
**真相：** 阿里云的安全策略。OSS 默认域名禁止直接预览 HTML。
**解药：** 必须绑定**自定义域名**，用你自己的域名访问就正常了。

#### 2. SSL 证书的“捉迷藏”
**现象：** 证书列表全是好几千块一年的企业证书，找不到免费版。
**真相：** 免费版被藏在了“个人测试证书”里。
**解药：** 购买时选择“个人测试证书（免费）”，每个账号每年有 20 个 0 元额度。

#### 3. 图片“碎裂”与 404
**现象：** 网页文字出来了，但图片全是红叉。
**真相：** * **大小写敏感：** Linux 环境（OSS）下，`pic1.jpg` 和 `pic1.JPG` 是两个东西！
* **权限覆盖：** Bucket 设为公共读了，但单独上传的文件有时需要再次确认权限。

---

### 三、 动手实操：五分钟部署流程

#### 1. 库房搭建（OSS 设置）
* 创建 Bucket，地域选 **中国（香港）**。
* 读写权限设为 **公共读**。
* 在“静态页面”菜单里，把 **默认首页** 设为 `index.html`。

#### 2. 脸面设计（前端代码）
为了让老板满意，我设计了一套“轻奢风”模板。核心思路是：
* **CSS Grid：** 适配手机端的海报墙布局。
* **Fade-in 动画：** 元素交替浮现，增加高级感。
* **一键拨号：** `<a href="tel:...">` 手机点一下直接呼叫老板。

```html
<style>
    @keyframes fadeInUp {
        from { opacity: 0; transform: translateY(20px); }
        to { opacity: 1; transform: translateY(0); }
    }
    .fade-in { animation: fadeInUp 1s ease forwards; }
</style>
```

#### 3. 灵魂注入（域名与 HTTPS）
* 在 OSS **域名管理** 开启“自动添加 CNAME 解析”。
* 申请免费证书后，直接在控制台点击 **“一键部署至 OSS”**。
* **必做：** 开启“强制 HTTPS”，让所有访问都带上安全锁。

---

### 四、 总结与心得

这次折腾让我意识到，很多时候我们习惯了在 HomeLab 里搞各种复杂的 Nginx 反代、FRP 穿透，但对于这种纯展示的生产环境，**“简单”才是最高级的优雅**。

OSS 静态托管不仅是存文件的地方，它更像是一个免维护的超级 Web 服务器。对于小微企业、个人名片、甚至是你的静态博客（如 Hexo/Hugo），这套方案几乎是目前的“版本答案”。

**费用总结：**
* **域名：** 几十块/年
* **存储：** 几分钱/月
* **流量：** 几毛钱/GB
* **心情：** 看到绿锁和老板转账时的愉悦，无价。

---

**zym588's Blog**
*记录每一次折腾，让技术更有温度。*

利用阿里云 OSS 打造免备案企业官网

![Gemini_Generated_Image_9i38o09i38o09i38.png](/static/img/38a24f37cb32198ce1e82a7dc9b4566c.Gemini_Generated_Image_9i38o09i38o09i38.webp)

几台电脑来回切，最烦的不是工具不好用，而是每台机器都像刚重装。这里我把 OneDrive 当成配置中转站：WindTerm、SSH、WSL2 和小脚本都放进去，能同步的同步，塞不下的就交给 NAS。



## 多端折腾不掉队：我的 OneDrive 跨设备配置同步实践（PC/Mac/HomeLab）

### 1\. 前言：折腾党的“环境焦虑”

作为一名在不同设备之间反复横跳的“双修”玩家，我最怕的不是配置服务器，而是\*\*“环境不一致”\*\*。

刚在 WindTerm 里写好一个复杂的 Docker 组合命令，回到家发现 Mac 上的终端还是“出厂设置”；或者在 PC 上调优了 WSL2 的镜像网络模式，换台机器又要翻文档重新配。

今天分享我如何利用 **OneDrive**（哪怕只有 5GB 免费空间）把这些零碎的配置缝合在一起。

-----

### 2\. 核心架构：热数据同步 vs 冷数据备份

在开始前，必须明确我的存储策略，否则 5GB 空间瞬间就会爆掉：

  * **热数据 (OneDrive)：** 软件配置文件、SSH 密钥、Docker Compose 脚本、个人笔记（Markdown）。这些文件极小（KB 级），但修改频繁，需要秒级同步。
  * **冷数据 (NAS/ZimaCube)：** 视频素材、Docker 镜像文件、系统 ISO。这些通过 Alist 挂载或局域网 SMB 访问。

-----

### 3\. 实战案例：WindTerm 的“瞬移”配置

WindTerm 是目前我最推荐的 SSH 工具，因为它不仅强，而且是**纯绿色软件**，配置都在安装目录下。

#### **具体步骤：**

1.  **路径迁移：** 将整个 WindTerm 文件夹移入 OneDrive 目录下（例如 `OneDrive\Tools\WindTerm`）。
2.  **锁定本地副本：** 右键点击该文件夹，勾选 **“始终保留在此设备上”**。
      * **理由：** 这样即便在 200KB/s 的限速下，软件启动时也是直接读取硬盘，不会因为网络波动导致加载配置卡顿。
3.  **参数化同步：** 记得利用 WindTerm 的“参数”功能。我配置了“端口占用终结者”和“一键清理 Docker”等按钮，这些通过 `.json` 存储的逻辑会在 PC 和 Mac 间实时同步。

-----

### 4\. 高阶玩法：WSL2 与 SSH 的“全局一致性”

除了工具，系统底层的配置更需要同步。

  * **SSH 密钥同步：** 我将 `.ssh` 文件夹（含 `config` 和私钥）放在 OneDrive 建立软链接。这样我在 PC 上连接 Tailscale 内网节点（100.64.0.x）时，换到 Mac 上无需重新导入密钥，开箱即用。
  * **WSL2 镜像模式配置：** 我在 OneDrive 里维护了一份 `.wslconfig` 模板，开启了 `networkingMode=mirrored`。每当我在 PC 上更新了网络策略（比如解决 `localhostForwarding` 失效问题），我只需简单拷贝，Mac 端的虚拟机环境也能立刻同步最强网络体验。

-----

### 5\. 针对“5GB + 200KB/s”的生存指南

如果你像我一样目前使用的是 5GB 免费版，且直连速度只有 200KB/s，请记住这三条军规：

1.  **拒绝“碎文件地狱”：** 绝对不要同步 `node_modules` 或 `.git` 文件夹。如果你是前端开发者，记得把项目放在同步区之外，只把 `deploy.sh` 脚本放进来。
2.  **强制开启“按需同步”：** 确保非核心文件夹显示为“蓝色小云朵”，只给最关键的配置文件打上“实心绿勾”。
3.  **代理加持：** 在 OneDrive 的设置中配置好你的加速通道，200KB 变 20MB 只需要一个勾选。

-----

### 6\. 结语：折腾的本质是提高效率

利用 OneDrive 并不是为了备份，而是为了**消除设备间的边界感**。

当你发现无论坐在哪台电脑前，你的快捷命令都在手边，你的服务器列表实时更新，你的 WSL2 网络环境始终如一时，这种折腾带来的掌控感才是最爽的。

Onedrive初体验

![Gemini_Generated_Image_ps8kh3ps8kh3ps8k.png](/static/img/5e4bb326b7244c8d95dcb34a4a68c3f6.Gemini_Generated_Image_ps8kh3ps8kh3ps8k.webp)

本地 AI 工作站真正折腾人的，往往不是模型本身，而是磁盘空间、镜像网络、显卡直通和前端调用这些细节。我把 WSL2 + Docker + Ollama/Open WebUI 的踩坑过程整理成一套能长期复用的底座。



看着市面上百花齐放的开源大模型，谁不想在本地养一个专属的、保护隐私的 AI 助手？

手持 **i7-14700K + 64GB 内存 + RTX 4070 SUPER (12GB 显存)** 的配置，本以为在 Windows 下装个环境轻轻松松，结果却踩了无数关于 C 盘爆满、显存溢出、网络代理失效以及模型“胡言乱语”的深坑。

如果你也是 12GB 显存的玩家，或者正在被 WSL2 的默认设置折磨，请直接**抄作业**。这篇文章将手把手带你避开所有暗礁，搭建一个满血运行的本地 AI 工作站。

---

## 阶段一：基础搭建与 C 盘“大逃亡”

在 Windows 下跑 AI，目前最稳的方案是使用 WSL2（Windows 下的 Linux 子系统）。但微软默认会把它装在 C 盘，一旦后续下载十几个 G 的大模型，你的 C 盘会瞬间爆红。

**核心战略：先安装，立刻“搬家”到 D 盘。**

### 1. 一键安装 Ubuntu
右键点击 Windows 的“开始”菜单，选择 **“终端 (管理员)”** 或 **“PowerShell (管理员)”**，执行：
```powershell
wsl --install
```
安装完成后**重启电脑**，并在弹出的 Ubuntu 终端里设置初始账号和密码。

### 2. 乾坤大挪移（释放 C 盘）
既然 D 盘空间大（比如咱们那 1007G 的空间），就必须把它挪过去。继续在 PowerShell (管理员) 中一行行执行：
```powershell
# 彻底关闭 WSL
wsl --shutdown

# 打包导出到 D 盘根目录（可能需要几分钟）
wsl --export Ubuntu D:\ubuntu_backup.tar

# 注销原系统（关键操作！瞬间释放 C 盘空间）
wsl --unregister Ubuntu

# 在 D 盘新建文件夹并重新导入
wsl --import Ubuntu D:\WSL_Data D:\ubuntu_backup.tar

# 清理过渡文件
del D:\ubuntu_backup.tar
```

---

## 阶段二：打通任督二脉（资源限制与镜像网络）

WSL2 是一只贪婪的性能野兽，如果不加限制，它会吃光你的物理内存。此外，默认的 NAT 网络模式是本地跑服务和挂代理的噩梦。我们需要给它写一份**“配置文件”**。

1. 按下 `Win + R` 打开运行窗口，输入 `%USERPROFILE%` 回车。
2. 在该目录下新建一个文本文件，命名为 **`.wslconfig`**。
3. 填入以下终极调优代码并保存：

```ini
[wsl2]
# 限制最大使用内存（建议设为物理内存的 1/3 或 1/2，我有 64G，所以给 24G）
memory=24GB
# 限制使用的 CPU 核心数
processors=8
# 自动回收空闲内存
guiApplications=false

[experimental]
# 开启镜像网络（核心！让 WSL 和 Windows 共享局域网 IP，告别端口转发）
networkingMode=mirrored
# 开启 DNS 隧道
dnsTunneling=true
# 自动同步代理（WSL 将自动使用 Windows 系统的局域网代理，拉取镜像直接起飞）
autoProxy=true
```
保存后，在 PowerShell 执行 `wsl --shutdown` 重启服务使其生效。*(注：启动时如果提示 `localhostForwarding` 无效，属于正常现象，忽略即可。)*

---

## 阶段三：显卡直通与 Docker 环境配置

在 WSL2 时代，只要你的 Windows 宿主机装了最新的 NVIDIA 显卡驱动，WSL 内部天然就能调用显卡，无需在 Linux 里重复装驱动。

进入 Ubuntu 终端（在 PowerShell 输入 `wsl`），依次执行以下命令：

### 1. 一键安装 Docker
```bash
curl -fsSL https://get.docker.com -o get-docker.sh
sudo sh get-docker.sh
```

### 2. 安装 NVIDIA 容器工具（让 Docker 认识显卡）
直接复制这整段并回车：
```bash
curl -fsSL https://nvidia.github.io/libnvidia-container/gpgkey | sudo gpg --dearmor -o /usr/share/keyrings/nvidia-container-toolkit-keyring.gpg \
  && curl -s -L https://nvidia.github.io/libnvidia-container/stable/deb/nvidia-container-toolkit.list | \
    sed 's#deb https://#deb [signed-by=/usr/share/keyrings/nvidia-container-toolkit-keyring.gpg] https://#g' | \
    sudo tee /etc/apt/sources.list.d/nvidia-container-toolkit.list
```
更新并重启服务：
```bash
sudo apt-get update
sudo apt-get install -y nvidia-container-toolkit
sudo nvidia-ctk runtime configure --runtime=docker
sudo systemctl restart docker
```

---

## 阶段四：一键起飞：Ollama + Open WebUI 部署

创建一个工作目录并编写 `docker-compose.yml`，一次性把后端（Ollama）和前端（Open WebUI）拉起来。

```bash
mkdir -p ~/ai-workspace && cd ~/ai-workspace
nano docker-compose.yml
```

填入以下内容（这里将模型路径直接映射到了 D 盘，进一步保护系统盘）：

```yaml
services:
  ollama:
    image: ollama/ollama:latest
    container_name: ollama
    volumes:
      - /mnt/d/ollama:/root/.ollama
    deploy:
      resources:
        reservations:
          devices:
            - driver: nvidia
              count: all
              capabilities: [gpu]
    restart: unless-stopped

  open-webui:
    image: ghcr.io/open-webui/open-webui:main
    container_name: open-webui
    volumes:
      - ./webui_data:/app/backend/data
    ports:
      - 3000:8080
    environment:
      - 'OLLAMA_BASE_URL=http://ollama:11434'
      - 'HF_ENDPOINT=https://hf-mirror.com' # 国内镜像加速
    restart: unless-stopped
```
保存退出（`Ctrl+O`, `Enter`, `Ctrl+X`），然后一键启动：
```bash
sudo docker compose up -d
```
此时，打开浏览器访问 `http://localhost:3000`，注册管理员账号，你的 AI 基地就建好了！

---

## 阶段五：12G 显卡的“天命之选”与极限调优

> ⚠️ **巨坑警告：千万不要去乱下 `.gguf` 文件手动导入！** 极易丢失对话模板（Template）和停止词，导致 AI 像精神分裂一样胡言乱语。**一定要通过官方命令拉取！**

对于 12GB 显存的 RTX 4070 SUPER，**Qwen 3.5 (9B)** 是完美的“甜点级”选择。它能 100% 塞进显存，速度极快，且原生支持视觉（Vision）多模态。

### 1. 拉取模型
在 Ubuntu 终端执行：
```bash
docker exec -it ollama ollama pull qwen3.5
```

### 2. 显存压榨（解决出字龟速问题）
如果你发现模型出字慢，大概率是因为“上下文缓存 (Context)”吃光了显存，导致运算掉进了 CPU。
1. 在 Open WebUI 中，点击模型旁边的**齿轮设置** -> **高级参数**。
2. 将 **Context Length (上下文长度)** 从默认的 4096 改为 **`2048`** 并保存。
3. **终极验证：** 对话时，在终端输入 `docker exec -it ollama ollama ps`。只要 `PROCESSOR` 栏显示 **`100% GPU`**，你的 4070S 就已经满血释放，出字速度将如丝般顺滑！

---

## 阶段六：后期维护（空间回收与终极“后悔药”）

WSL2 的 `.vhdx` 虚拟硬盘文件有一个“只大不小”的毛病。清理了 Docker 废弃镜像后，你需要手动给它“抽脂”。

### 1. 压榨虚拟硬盘（回收 D 盘空间）
关闭 WSL (`wsl --shutdown`) 后，在 PowerShell (管理员) 执行 `diskpart`，依次输入：
```text
select vdisk file="D:\WSL_Data\ext4.vhdx"
attach vdisk readonly
compact vdisk
detach vdisk
exit
```

### 2. 打快照备份（吃后悔药）
在折腾出一个完美的纯净环境后，养成打快照的好习惯：
```powershell
wsl --export Ubuntu D:\Ubuntu_Perfect_Snapshot.tar
```
以后系统被玩崩了，只需 `unregister` 删掉坏的，再 `import` 这个备份包，三分钟满血复活。

至此，一个不吃 C 盘、满血释放 GPU、网络畅通无阻的本地 AI 工作站彻底大功告成。放开手脚去折腾吧！

wsl2部署本地 AI 工作站

![Gemini_Generated_Image_cx0rzvcx0rzvcx0r.png](/static/img/56a5d724f268f6a5056096bd2622a4b3.Gemini_Generated_Image_cx0rzvcx0rzvcx0r.webp)

服务器出问题时，最怕脑子里只剩“我以前用过那个命令”。这份 Linux 和 Docker 命令备忘录就是给自己救急用的，巡检、排障、清理、重启都能快速翻到。



# 💻 个人专属：Linux & Docker 终端运维备忘录

> **💡 使用说明：** 复制命令前，将 `[ ]` 及其内部的中文替换为你实际的路径、文件名或 IP 端口。

## 零、 🚀 客户机远程起手式 (Win环境极速连机)

> **实战技巧**：在客户电脑上免装任何 SSH 客户端，直接使用系统自带终端。

```bash
# 1. 客户机按 Win+R 输入 powershell 回车，直接 SSH 连入内网/公网机器
ssh root@[服务器或NAS_IP]

# 2. 若目标机器修改了默认 22 端口，使用 -p 参数指定端口
ssh -p [端口号] root@[服务器或NAS_IP]

# 3. 退出客户机 SSH 连接，深藏功与名
exit
```

## 一、 📂 导航与目录操作 (查探地形)

```bash
# 1. 查看我当前到底在哪个目录下（迷路必备）
pwd

# 2. 列出当前目录下的所有文件和文件夹（含隐藏文件）
ls -a

# 3. 进入指定的文件夹
cd [目标文件夹的完整路径或相对路径]

# 4. 返回上一级目录
cd ..

# 5. 瞬间回到最高权限的“家”目录 (/root)
cd ~

# 6. 在最近去过的两个目录之间反复横跳
cd -
```

## 二、 📄 文件增删改查 (大挪移)

```bash
# 1. 创建新文件夹（即使中间的父级目录不存在也会一并创建）
mkdir -p [新文件夹的完整路径]

# 2. 重命名文件/文件夹
mv [旧名字] [新名字]

# 3. 移动文件/文件夹到指定目录
mv [要移动的文件名] [目标路径]

# 4. 复制文件（常用于修改配置前的备份）
cp [原文件名] [备份文件名，如 config.yaml.bak]

# 5. 复制整个文件夹
cp -r [原文件夹名] [新文件夹名]

# 6. 【高危】强制删除文件或文件夹（无提示，删前务必核对！）
rm -rf [要删除的文件或路径]
```

## 三、 📝 文本查看与写入 (免 vi 大法)

```bash
# 1. 流式写入文件（极其适合粘贴大段 yaml 配置，避免缩进错乱）
cat > [要新建或覆盖的文件名] <<EOF
[在这里点击右键，粘贴你的所有配置代码]
EOF

# 2. 瞬间看完整个文件内容
cat [文件名]

# 3. 实时盯着日志文件看最后 100 行（排错神器，按 Ctrl+C 退出）
tail -fn 100 [日志文件名]

# 4. 给脚本文件赋予可执行权限
chmod +x [脚本文件名.sh]
```

## 四、 🔍 搜索与系统状态排查

```bash
# 1. 全盘搜索某个找不着的文件
find / -name "[要找的文件名]" 2>/dev/null

# 2. 查看某个端口有没有被成功占用
ss -tlnp | grep [端口号]

# 3. 查看服务器实时 CPU、内存占用情况（按 q 退出）
top

# 4. 查看系统磁盘真实挂载路径（找 NAS 数据盘必备）
df -h

# 5. 飞牛 OS / Ubuntu (Debian系) 更新软件源并安装
apt update && apt install -y [软件名]

# 6. 阿里云 (CentOS系) 更新软件源并安装
yum makecache && yum install -y [软件名]
```

## 五、 🌐 网络与代理设置 (连通性测试)

```bash
# 1. 让当前黑窗口临时走代理（关掉窗口即失效）
export http_proxy="http://[代理IP]:[代理端口]"
export https_proxy="http://[代理IP]:[代理端口]"

# 2. 测试某个网站能否连通（带详细握手过程）
curl -v [目标网址，如 [https://github.com](https://github.com)]

# 3. 测试目标 IP 或域名的延迟与丢包（按 Ctrl+C 停止）
ping [目标IP或域名]

# 4. 测试目标服务器的指定端口是否开放
curl -v telnet://[目标IP]:[目标端口]
```

## 六、 🐳 Docker 核心运维

### 1. 镜像管理与源配置

```bash
# 永久修改 Docker 镜像源（覆盖写入）
cat > /etc/docker/daemon.json <<EOF
{
  "registry-mirrors": [
    "[主镜像源地址]",
    "[备用镜像源地址]"
  ]
}
EOF
systemctl daemon-reload && systemctl restart docker

# 替换 Docker 镜像源为毫秒镜像
echo '{"registry-mirrors": ["https://docker.1ms.run"]}' | sudo tee /etc/docker/daemon.json > /dev/null && systemctl daemon-reload && systemctl restart docker

# 恢复官方默认直连（删除自定义源文件并重启）
rm -f /etc/docker/daemon.json
systemctl daemon-reload && systemctl restart docker

# 拉取最新镜像
docker pull [镜像名]:[标签，如 latest]
```

### 2. 容器生命周期 (启停删)

```bash
# 查看正在运行的容器
docker ps

# 查看所有容器（含已停止的）
docker ps -a

# 启动、停止、重启指定容器
docker start [容器名或ID]
docker stop [容器名或ID]
docker restart [容器名或ID]

# 删除已停止的容器（加 -f 为强制删除运行中的）
docker rm [容器名或ID]

# Docker Compose 重载大招（改完 yaml 路径后必备，自动删旧建新）
docker compose down && docker compose up -d
```

### 3. 容器排错与重型清理

```bash
# 查看容器内部报错日志（实时滚动查虫）
docker logs -f --tail 100 [容器名]

# 进入容器内部执行命令（如进 bash 或 sh 查看内部结构）
docker exec -it [容器名] /bin/sh

# 查看所有容器的 CPU 与内存消耗
docker stats

# 终极大扫除：一键清理所有未运行的容器、无用网络和悬空镜像（释放硬盘神器）
docker system prune
```

## 七、 🛠️ 自动化装机神器 (一键脚本大全)

> **实战技巧**：在客户机 SSH 连通后，直接复制下方命令一键配好基础环境。

```bash
# 1. 科技Lion 全能运维面板 (国内加速版，建站/面板/装应用必备)
bash <(curl -sSL https://ghproxy.net/https://raw.githubusercontent.com/kejilion/sh/main/kejilion.sh)

# 2. LinuxMirrors 一键换系统源 (解决 apt/yum 下载极慢或报错)
bash <(curl -sSL https://linuxmirrors.cn/main.sh)

# 3. LinuxMirrors 一键装 Docker 并换加速源
bash <(curl -sSL https://linuxmirrors.cn/docker.sh)

# 4. 极致装机短链（个人专属备用方案）
curl -sSL https://sh.zym588.me/i.sh -o i.sh && sudo bash i.sh

```

Linux常用命令备忘录

![Gemini_Generated_Image_zes25tzes25tzes2.png](/static/img/bdfab41775ebf8ac3226c6c6c8ecc733.Gemini_Generated_Image_zes25tzes25tzes2.webp)

想让 NAS 上的流量走得更听话，Mihomo 是绕不开的一环。这里把 Docker 部署、Web 面板、TUN 模式和分流配置放在一起，方便以后换环境时照着恢复。



Mihomo（原 Clash Meta）搭配官方 Web 面板（MetacubeXD），不仅能实现极其精细的分流策略，其强大的 TUN 模式更能让整台 NAS（包括里面的其他 Docker 容器）直接享受代理网络，告别镜像拉取缓慢的烦恼。

### 阶段一：环境准备与目录结构

在开始写配置之前，我们需要先搭建好骨架，并提前下载好 Mihomo 运行必需的地理位置数据库。如果不提前准备这些数据文件，容器启动时可能会因为无法连网下载而无限重启。

**1. 创建目录结构**
通过 SSH 登录你的 NAS，创建目录

**2. 下载 Geo 数据文件**
在 `data` 目录中，使用 `wget` 手动下载以下三个核心文件（如果你的网络目前拉取困难，可以先在电脑上通过代理下载好，再上传到这个文件夹）：

* `geoip.dat`
* `geosite.dat`
* `country.mmdb`
*(提示：可以前往 GitHub 的 `MetaCubeX/meta-rules-dat` 仓库获取最新版本)*

相关命令：

```js
# 新建文件夹 mihomo 和 子目录
mkdir -p /volume1/docker/mihomo/{config,data}

# 进入 data 目录
cd /volume1/docker/mihomo/data

# 最新的 Geo 数据文件
wget -O geoip.dat    https://github.com/MetaCubeX/meta-rules-dat/releases/download/latest/geoip.dat
wget -O geosite.dat  https://github.com/MetaCubeX/meta-rules-dat/releases/download/latest/geosite.dat
wget -O country.mmdb https://github.com/MetaCubeX/meta-rules-dat/releases/download/latest/country-lite.mmdb

# 如果下载不动，可以加个代理
wget -O geoip.dat https://gh-proxy.com/https://github.com/MetaCubeX/meta-rules-dat/releases/download/latest/geoip.dat
wget -O geosite.dat https://gh-proxy.com/https://github.com/MetaCubeX/meta-rules-dat/releases/download/latest/geosite.dat
wget -O country.mmdb https://gh-proxy.com/https://github.com/MetaCubeX/meta-rules-dat/releases/download/latest/country-lite.mmdb
```





---

### 阶段二：核心配置 `config.yaml`

千万不要手动把节点信息一条条复制进配置文件里！利用 `proxy-providers` 订阅功能，让 Mihomo 每天自动拉取、更新节点。

在 `data` 目录下创建 `config.yaml` 文件，填入以下内容。**注意：只需将你的“Clash 订阅链接”替换进去即可，不要随意修改缩进。**

```（单机场全自动版）yaml
# --- 基础设置 ---
mixed-port: 7890
allow-lan: true
mode: rule
log-level: info
external-controller: 0.0.0.0:9090
secret: "123456" # 登录 Web 面板的密码，务必修改

# --- TUN 模式 (透明网关核心) ---
tun:
  enable: true
  stack: mixed
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

# --- DNS 防污染设置 ---
dns:
  enable: true
  ipv6: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  nameserver:
    - 114.114.114.114
    - 223.5.5.5

# --- 订阅源配置 (核心避坑区) ---
proxy-providers:
  my_airport: # 你的机场代号
    type: http
    url: "这里粘贴你的 Clash 订阅链接" # <--- 唯一需要你填链接的地方
    path: ./airport.yaml
    interval: 86400 # 每天自动更新
    health-check:
      enable: true
      url: http://www.gstatic.com/generate_204
      interval: 300

# --- 策略组配置 ---
proxy-groups:
  - name: "主出口"
    type: select
    proxies:
      - "自动选路"
      - DIRECT

  - name: "自动选路"
    type: url-test
    use:
      - my_airport # 必须与上面 provider 的名字完全一致
    url: http://www.gstatic.com/generate_204
    interval: 300
    tolerance: 50

# --- 分流规则 ---
rules:
  - GEOIP,LAN,DIRECT
  - GEOIP,CN,DIRECT
  - MATCH,主出口

```

```（双机场自动版）
mixed-port: 7890
allow-lan: true
bind-address: "*"
mode: rule
log-level: info

external-controller: 0.0.0.0:9090
secret: "123456"                  # 可选，用于设置访问密码

tun:
  enable: true
  stack: mixed
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53
    - tcp://any:53

dns:
  enable: true
  ipv6: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  nameserver:
    - 114.114.114.114
    - 223.5.5.5
  fallback:
    - tls://8.8.8.8:853
    - tls://1.1.1.1:853

proxy-providers:
  airport1:                     # 随便起名，建议有意义
    type: http
    url: "https://机场1的订阅链接"          # 替换成你的第1个链接
    path: ./airport1.yaml
    interval: 86400             # 每天更新一次
    health-check:
      enable: true
      url: "https://www.gstatic.com/generate_204"
      interval: 300

  airport2:
    type: http
    url: "https://机场2的订阅链接"          # 第2个
    path: ./airport2.yaml
    interval: 86400
    health-check:
      enable: true
      url: "https://www.gstatic.com/generate_204"
      interval: 300

proxy-groups:
  # 主出口组：你可以在这里手动选机场，或用自动策略
  - name: "主出口"
    type: select                  # 手动选择模式（最常用）
    proxies:
      - "机场1-自动"
      - "机场2-自动"
      - DIRECT
      - REJECT

  # 每个机场单独做 url-test（延迟最低自动选节点）
  - name: "机场1-自动"
    type: url-test
    use:
      - airport1                # 只用这个 provider 的节点
    url: "http://www.gstatic.com/generate_204"
    interval: 300
    tolerance: 50               # 延迟波动容忍（可选）

  - name: "机场2-自动"
    type: url-test
    use:
      - airport2
    url: "http://www.gstatic.com/generate_204"
    interval: 300

  # 可选：全部节点合并 + 自动选延迟最低的（适合追求极致速度）
  - name: "全部-最低延迟"
    type: url-test
    use:
      - airport1
      - airport2
    url: "http://www.gstatic.com/generate_204"
    interval: 300
    tolerance: 100

rules:
  - GEOIP,LAN,DIRECT
  - GEOIP,CN,DIRECT
  - MATCH,主出口           # 改成你的主出口组名


```



> **避坑指南：** 配置文件中 `proxy-groups` 里的 `use` 标签必须严格对应 `proxy-providers` 里定义的名字。如果你只用一个机场，**绝对不要**在策略组里残留类似 `airport2` 的未定义名称，否则容器会报 `Parse config error: proxy group not found` 并直接闪退。

---

### 阶段三：Docker Compose 编排

我们将采用“双容器”架构：一个跑内核（负责代理），一个跑面板（负责可视化）。

在 `mihomo` 根目录下创建 `docker-compose.yml` 文件：

```yaml
services:
  mihomo:
    image: metacubex/mihomo:latest
    container_name: mihomo-core
    restart: unless-stopped
    network_mode: host
    pid: host
    ipc: host
    cap_add:
      - NET_ADMIN # TUN 模式必需的内核网络权限
    security_opt:
      - apparmor=unconfined
    volumes:
      - ./data:/root/.config/mihomo # 映射刚才写的配置文件和 Geo 数据
      - /dev/net/tun:/dev/net/tun   # 映射虚拟网卡设备
      - /etc/localtime:/etc/localtime:ro

  metacubexd:
    image: ghcr.io/metacubex/metacubexd:latest
    container_name: mihomo-web
    restart: unless-stopped
    network_mode: bridge # 面板不需要 host 网络
    ports:
      - "9091:80" # 浏览器访问端口，可自定义
    volumes:
      - ./config:/config/caddy
      - /etc/localtime:/etc/localtime:ro

```

> **避坑指南：** 尽量使用官方原版镜像名称，不要在 `docker-compose.yml` 中硬编码第三方加速前缀（如 `docker.1ms.run`）。如果遇到拉取失败 (`unknown blob`)，应在系统的 `/etc/docker/daemon.json` 中配置如 `docker.m.daocloud.io` 或 `hub.rat.dev` 等稳定的加速源。

---

### 阶段四：启动与排错

**1. 启动容器**
在终端运行以下命令一键启动：

```bash
docker-compose up -d

```

**2. 核心排错思路**
作为 IT 运维老手，遇到启动失败时，优先检查以下几点：

* **拉取失败 (Connection Refused)：** 检查宿主机底层是否残留了失效的全局代理环境变量，特别是 `/etc/docker/daemon.json` 中是否被硬编码了 `proxies` 字段，如果有，直接删除并 `systemctl restart docker`。
* **无限重启 (Exited 1)：** 查看日志 `docker logs mihomo-core`。如果是 `unknown blob`，说明镜像损坏，执行 `docker system prune -a` 清理后重试。

**3. 访问控制面板**

* 浏览器打开 `http://你的NAS_IP:9091`。
* **后端地址**：填入 `http://你的NAS_IP:9090`。
* **密钥**：填入你在 `config.yaml` 中设置的 `secret` 密码。
* 连接成功后，在“代理”页面即可看到自动测速和选路的节点列表。

---

只要 Mihomo 处于运行状态，你的 NAS 就已经拥有了透明代理能力。你现在可以去尝试重新拉取之前那个慢得让人抓狂的镜像了，速度绝对会给你惊喜。