水月居幸福遊記

 與其說是保護使用者的電腦，更覺得是搞個讓使用者搞不懂的東西，好讓使用者討厭然後不想管，以便那些工程師掌控使用者的電腦，這就是一直以來對於 (U)EFI 的使用感受，說實在的這東東對於使用者來說非常的不直覺，好在現在多重開機早已是化石，而想要用 usb 裝置來開機的人，可以先視為准怪客(直到排除不良動機)，然而，usb live 實在太誘人，加上 persistence ，真香…  錯誤訊息： Secure boot violation Invalid signature detected. Check secure boot policy in setup  工作環境：   UEFI bios   Secure Boot: Enable       Ventoy Multiple Live System 有勾選項 * Secure Boot *       話說沒事不要亂升級 BIOS 如果電腦一直動得好好的，就算新版的出來也別亂動，尤其是電腦已經老了，老了還會正常動就是好事，不然就得爬文，因為這事兒， gpt 給的答案，沒有解決問題，為了 linux live 的 microcode 升級了 BIOS 所以，有了這篇，其實之前遇過，但是選好了 efi 就開成功了，或許那時沒有偏執的想要 secure boot 吧…  是的，最簡單的解法就是 disable Secure Boot ，(disable)但(當)是(然)就(能)因(開)為(是)不(廢)愛(話)，就因為想要 Secure Boot ，就累了，先說，升級了 BIOS 之後就沒了 legacy 的開機項可以選了，白話：原本可以選 USB 或是 UEFI USB 還有原生的 Windows Boot Manager ，升完級就沒了 USB 開機可選了，升級之後也沒有眼睛糖果的介面可以用，還是那個藍白風格的老牌 BIOS ，看不出是 UEFI 的 UEFI ，一定是頭又撞到破洞了，才升級被這玩意兒玩…  話說，欲練神功、揮刀自宮 ………………………………………………………………………… …………………………………………………………………………………………...

 工作環境：   Ventoy 多重開機     ubuntu 22.04     persistence   先說結果：   升級 BIOS，但是…     你可能會遇到 關於 UEFI 及 Secure Boot  的麻煩事，詳見明天的文章  假如你用的是 Ubuntu 22.04 在一些有年紀的機器上，遇到標題所示的錯誤訊息：Firmware Bug: TSC_DEADLINE disabled due to Errata: please update microcode to version: 0x22 (or later)，雖然有 persistence 加身，但是碰到要 sudo initramfs -u 時，會因為 /cow 唯讀掛載的屬性而失敗，這個如果有人打怪成功，歡迎分享    如果你用新的 24.* 的版本，雖然不會在開機時告訴你，但是其實在 dmesg 裏還是有記錄到相關訊息的  很多地方說，安裝 intel/amd-microcode 然後重開，不知是否因為 ventoy live 的環境唯讀掛載的屬性，即使裝了也沒有用  又如試用了 24 版的 live 結果，恐怕安裝新版 microcode 也不能究竟   和 gpt 磨唧了許久，終於 gpt 吐出了：你可以繞過…和…直接升級 BIOS，要我幫你…  ……………那你可以一開始就說嗎？還讓我幫你除錯去賺付費使用者的$$  升級之後，果然錯誤訊息沒有了，但是，得折騰麻煩事，當做打怪嚕…     收工！ 

 DeepSeek 在農曆年前之際投下了一個震撼彈，好在並沒有對科技類美股有太多著墨，也就逃過了黑棒，但是 DeepSeek 聽起來好像很香，又好像很多人已經自建了 LLM 在幫助自已的日常工作，那麼，來折騰一下這好久沒有的折騰好了……  工作環境：     Windows     LM studio     一堆 AI module      也不知道那裏看到的，找到了好香的 LM Studio 說是可以用來運行這些 AI 模型，做為一個使用者，懶得折騰那些學理了，最好就是無腦用，沒錯，無腦用，略(無)過(視)那些長篇大論，就像還不了解為什麼冰箱可以把東西變冰之前，就已經把冰箱用得行雲流水一般般地無腦用，然後，第一個 AI 好像叫做 Llama 吧，就這麼理所當然地在面前供你諮詢了，一切那麼美好，問了就答，速度還算不錯，雖然用的是個6年的老電腦，對談還算輕鬆     想當然爾，接下來就是把 DeepSeek 下載下來，依樣畫狐狸地執行、諮詢、免洗，然後就想當然爾地撞上南牆…     LM Studio 的訊息一直說是系統的好像是 buffer 還是記憶體不足之類的，一爬文發現，AI 真的是蠻吃系統資源的，不管是 *pu 還是記憶體，一開始是查到要幾百g的記憶體才能跑得動，還好，真的是被嚇大的，先被嚇一嚇然後繼續用這十幾g記憶體的老電腦繼續給它玩下去，後來找到有人提到 8B 的那個 DeepSeek 8g 記憶體就可以跑，那那那，老電腦這點記憶體還是有的啊，雖然要擠掉別的程式，又搞當了一些程式，但是，沒跑起來！     問問 LM studio 本人的原生 llama 好了，一直說是要調整 CPU GPU RAM , My sysytem settings, MOIS** bla bla，好笑， LM studio 可以調的參數本就不多，而 llama 說的就找不到，找得到的就不能調，XD，股溝大神也搜不出個什麼來，只好土法練鋼，練(亂)了(搞)幾下，還真給碰上了耗子，就把為數不多，能調的選項中有個名叫 Guardrails 的模型加載防護給...

 在日常的工作排程中，時間控制是少不了的，所以需要取得目前的日期和時間，而有些工作還會涉及到跨日執行，所以，記下批次檔昨天、今天、明天和時間的相關操控方式  工作環境：     Windows 11          時間與地區 > 語言與地區 > 地區 > 國家與地區：臺灣 ；地區格式：推薦項目   #昨天、今天、明天 #如果結果不如預期，你可能要利用上述的工作環境設定，檢查一下時間與地區的相關設定，因為使用不同的設定，日期與時間表示的格式和順序可能會有所不同 @echo off setlocal enableextensions disabledelayedexpansion REM 獲取當前日期和時間 for /f "tokens=2 delims==" %%a in ('wmic OS Get localdatetime /value') do set "dt=%%a" set "td.YY=%dt:~2,2%" set "td.YYYY=%dt:~0,4%" set "td.MM=%dt:~4,2%" set "td.DD=%dt:~6,2%" REM 去掉日期元素的補零 set /a "y=%td.YYYY%", "m=100%td.MM% %% 100", "d=(100%td.DD% %% 100)" REM 計算今天的日期 set "today.YYYY=%y%" set "today.YY=%y:~-2%" set "today.MM=%m:~-2%" set "today.DD=%d:~-2%" REM 計算明天的日期 set /a "d+=1" REM 計算每月的天數 set /a "ml=30+((m+m/8) %% 2)" & if %m% equ 2 set /a "ml=ml-2+(3-y %% 4)/3-(99-y %% 100)/99+(399-y %% 400)/399" ...

 你又需要管理者的協助了…但如果你就是管理者？管著自已的電腦，權限開好開滿…  orz...orz...orz...orz...orz...orz...orz...orz...orz...orz...orz...管理者是什麼？能吃嗎？ automation 遇到無法預期的錯誤，你可能須要聯絡管(你)理(自)者(已)  工作環境：     Windows + Excel 終極解法：啟動你的 VPN 連到認證主機，然後就沒有然後了，治百病，真的 醫腳痛法：就是會好也不完全的意思，還有新的坎在後面等著你，但是你可能現在、馬上非交一份報告出去止血先頂著的話，高手在民間，真有解 1、在你的 VBA 前面加一個 for each x in SEQ_coll 的語法再執行你的巨集 2、On Error Resume Next 3、在搜尋結果的最下面，把 AccessibilityCplAdmin 1.0 Type Library 開起來 如果你看到這一行了，偷(大)偷(聲)和(告)你(訴)說(你)，你應該別看這麼多，連 VPN 認證最好用，一開始就說了，XD))))....... 血止住了，治病重要 收工！

 如果你使用 office 變得越來越難用，一堆奇奇怪怪的問題，用最笨的重裝法也解決不了，有時侯，你只是需要再開起你的 VPN 連回去認證，是的，網路上一堆奇怪的解法，MMMMMM，終究不如你花時間把 VPN 的密碼找出來，花個幾秒鐘連一下 VPN，治百病！！！  工作環境：     Windows + Office 狀況：      突然之間註冊精靈跑出來，然後，因為還可以用，所以可能會一直撐、一直撐……     接著你就會多得到一個正在解備安裝程式之類的對話框，每次你新開一個 office 程式，他就出來把你檔個5、6秒，讓你乾著急，但是你還可以用，所以你可能還會撐、繼續撐、再撐…     然後你一直可以執行的巨集不能動了，X！明明之前一堆警告訊息也沒事，然後你就開始爬文，好不容易在搜尋結果的最下方找到解法了，但是，上面說的那些就是無解，就算你把 setup.exe 改名也沒用，是的，沒用！沒用！沒用！     人用 Windows 不得不低頭…，乖乖花時間把密碼翻(挖)出來，一連線，什麼毛病也沒了     好樣的，人沒說不讓你用，但是你不乖乖回去報到，卡關還是要的      不過也好奇，有人遇到4部曲嗎？      卡好卡滿是什麼狀況呢？      撐到絕處的世界是什麼呢？     收工！

 記錄一下，根據這份文份 Appendix G. Private DNS Namespaces 建議可以用做家用網路的網域，希望不會消失的太快     intranet     internal     private     corp     home     lan

 要建個私人的家用的名稱伺服器(DNS Server)，需求很簡單，幫自已的3C設備命名，能夠簡單地找到到底是那個 IP ，只限內部使用，最好是能像外部公開的 DNS 一樣，可以自建不同網段、不同子網域名，限縮使用者，不用防毒，不用安全連線，不用擋廣告，這… 應該不難……………………………吧！？ 工作環境：     ubuntu TLS          coredns 如果用 BIND 那些個設定檔會讓人想哭，要再設個內部用的名稱解析…，不知道從什麼時侯開使，這些個功能設定越來越簡單，功能越來越多，所以找到了 coreDNS ，只要寫個最基本的 docker-compose.yml ，把要對應的 ip 和 名稱，限制存取的網段，寫到一個檔案，docker compose up -d ，將將將將，就可以執行了，也太強，所以說人會老，軟體會變強。 記得先把DNS伺服器的位址改到已經設好的伺服器上，別用舊的，然後在使用者端試著用名稱查找和連線，可行！ 別忘了設定防火牆讓使用者連進來查詢  sudo ufw allow 53/udp sudo ufw allow 53/tcp sudo ufw reload sudo ufw enable       收工！   =================== 範例 ==================  Corefile # Corefile 配置 . {     # 啟用日誌記錄，可以幫助診斷問題     log     # 允許區域轉發和內部域名解析     forward . /etc/resolv.conf          # 內部域名區域定義     hosts {         # 網段 192.168.1.0/24 的解析 什麼網段都可以    ...

@ echo off REM 使用 %date% 和 %time% 建立時間戳   set "timestamp=%date:~0,4%%date:~5,2%%date:~8,2%%time:~0,2%%time:~3,2%"   set "timestamp=%timestamp: =0%"   echo %timestamp%

 接上第2條hdmi螢幕線之後，桌面不見了只剩下一整個深灰的視窗 工作環境：     raspberry pi 4          rasbian          xrandr   重建設定檔      sudo mv .config .configBackup      sudo mv .cache .cacheBackup      由於只有一整片灰底視窗 沒有工具圖示可以點      用 ctrl + f# 或是 alt ctrl t 來進入指令模式     如果你用快捷鍵無法切換不同的終端          chvt # 雙螢幕要設鏡像模式 xrandr 要有 X 環境才能用哦，純文字/終端/指令模式請往下看 grub 設定      先看螢幕支援的規格           xrandr -q     單純鏡像           xrandr --output HDMI-1 --same-as HDMI-2 如果還要調解析度      xrandr --output HDMI-2--mode 1920x1080 --output HDMI-1 --mode 1680x1050 --same-as HDMI-2 如果解析度不同可能要在重開機後調整其中一個螢幕的解析度      xrandr --output HDMI-2 --mode 1920x1080   可以寫成一個腳本建捷徑到桌面處理 ln -s /sourc/path /shortcut/tuneHdmiResolution.sh 試過 lxsession autostart 和...

 因為安裝系統時設定了加密硬碟(使用 LUK)結果要開機之前都要先輸入密碼才能開機，所以無法遠端 ssh 登入系統，因為……硬碟沒有解密，就開不了機…… @@" 工作環境：     ubuntu server LTS >22          md-crypt_0 LUK 加密硬碟          open-ssh server  裝 dropbear-initramfs 在開機階段讓遠端能夠連進來     sudo apt install dropbear-initramfs 設定 dropbear 參數      sudo nano /etc/dropbear/initramfs/ 產生 ssh 金鑰：     sudo ssh-keygen -t rsa 或是使用 windows 中的 PUTTYGEN.exe > generate > 一直移動滑鼠 > save public key (authorized_keys) > save private key (authorized_keys.ppk)     會長得像這樣      ssh-rsa AAAA.... rsa-key-notes 配置 dropbear 使用金鑰連線 -c 的參數讓你連線就執行硬碟解密的指令      DROPBEAR_OPTIONS="-s -j -k -p 2222 -c cryptroot-unlock" 配置 dropbear 使用金鑰     /etc/dropbear/initramfs/authorized_keys 把剛才的 ssh 金鑰內容貼進去 配置 ssh 使用者的金鑰      ~/.ssh/auth orized_keys 把剛才的 ssh 金鑰內容貼進去      ...

 因為現在的程式越來越愛佔用 C 槽的空間，造成 Windows 通知空間即將用完的消息，所以買了新的，大的SSD硬碟來換，想單藍，用以前的備份還原大法要來搬系統碟，往日用的備份還原大法不好用，甚至開不進工具 PE/Live 的環境，頭痛… 工作環境：    Windows 11   Windows recovery tools USB key (以下稱修復碟，很重要，要修復開機區必備) 先說結論：如果不想挑戰用指令修復 Windows 開機面對挫折感，可以把時間省下來，直接裝上新碟重裝系統，花的時間會是一樣的，甚至比較少，還覺得樂勝 方法：   關 secure boot，BitLocker  先想盡辦法把源硬碟內容複製/克隆到新的 SSD 硬碟裏，然後開始(無盡的)開機區修復工作  源硬碟拔除，裝置新 SSD 硬碟  修復碟做好後用 F12 開機選項開進修復的命令模式，(你可能需要從(GPT) UEFI 開機模式，轉成 MBR 開機模式)    C:    cd Boot    ren BCD BCD.bak    bcdboot c:\Windows /s C: /f ALL    bootrec /rebuildbcd (應該會問你是不是要把 C: 加到開機選項裏，單藍是答 Y) 重新開機，如果沒開起來就去找別篇文章吧……   收工！   ========================= 其實試過很多方式 都失敗失敗失敗 =========================  回想起來，做得最好的動作就是，重開機，無限重開機…  進入進階啟動(WinRE)   Win11: 開始 > 設定 > 系統 > 復原 > 進階啟動 > 立即重新開機   Win10: 開始 > 設定 > 更新與安全性 > 復原  進階啟動修復 > 自動修復，當然是失敗，不然就不用寫這篇筆記了  用對拷機好了，硬體接一接，按鈕按一按就好，不香嗎？  的確不香，...

 不熟批次檔(.bat/.cmd)，但是家人不可能用 Linux ，還是得客製一下，能動為準 工作環境：     Windows Home          .bat          工作排程器          curl          python(沒有的話，輸出的結果會粘在一起) token varify 確認 apiToken 是正確的 curl "https://api.cloudflare.com/client/v4/user/tokens/verify" -H "Authorization : Bearer tokenHere" get zoneID 把 zoneID 記下來 curl -X GET "https://api.cloudflare.com/client/v4/zones" -H "Authorization : Bearer tokenHere" -H "Content-Type:application/json" get dns records 找到你要更新的網址名稱 name(FQDN，不是zone_name)，把它的 id(不是zone_id) 記下來 curl -X GET "https://api.cloudflare.com/client/v4/zones/zoneIDHere/dns_records" -H "authorization : Bearer tokenHere" -H "Content-Type:application/json" | c:\somewhere\python -m json.tool target dns record to update(.bat)************ curl ipinfo.io/ip > ip.txt set /p IP=<ip.txt curl -X PUT "https://api.cloudflare.com/client/v4/zones/zoneIDHere/dns_...

 記錄一下使用 shell script 更新 cloudflare 的 DNS 記錄(DDNS)  工作環境：     Linux          curl          jq 使用 curl 和 cloudflare API 溝通，就可以達成更新 DNS 記錄的目的，基本上就是提供 zone ID 和 API Token 給 cloudflare ，指定要更新的域名(FQDN)，當然，要抓到目前使用的「對外」的 IP 位址一併提供  範例：updateCfDDNS flkjfldajldfj ddns.your.domain lfkdalfjldjf;lajd;lf #!/bin/sh # update DDNS records with curl using cloudflare API # input: zoneID, FQDN, APIToken, get internet IP addr. # output: none but DNS record update dynamicly # pre-requirements: config cloudflare API token # post-requirement: config crontab to update DDNS regularly # usage: updateCfDDNS zoneID FQDN APIToken if [ -z $1 ]         then                 echo "please provide zoneId, fqdn, apiToken, thank you..." else MYIP = ` curl https://ipinfo.io/ip` RECID = ` curl -X GET "https://api.cloudflare.com/client/v4/zones/ ${1} /dns_records?name= ${2...

 記錄一些可以取得對外的 IP 位址的網站： https://adresameaip.ro/ip   https://api.ipify.org   https://icanhazip.com   https://ipinfo.io/ip      

 原本是想用 immich app 來達成增量備份的目的，就像 icloud 那樣，手機有新照片就自動傳上 icloud 、手機上殺照片時，已經上傳的照片還會留在 icloud 上(然後就因為越存越多所以要花錢買空間來存手機資料)，結果變成了鏡像同步備份(手機上殺了檔，伺服器上就不會有檔) 工作環境：     immich app: 開 background + foreground backup 開啟自動備份功能  於是把之前找的解決方案又 review 了遍，再試個替代方案出來，nextcloud, photoprism, syncthing, damefly, home gallery, warmwhole, croc, pandrop, localsend ......，大多是 server 端解決方案，可以透過網路上傳，然後有網頁可以看照片，有些還支援影片播放，但是不一定有 iphone 的 app 可以用，有 app 的，也可能不是原生的，用的是第三方的 app ，而且可能會看起來怪怪的，反正狀況很多，然而，搜尋的時侯覺得很奇怪，沒有什麼討論串，可能是想太多了，應該有很簡單的解法  回頭檢查 iphone 原生的 「儲存到檔案」/「連接伺服器」 的功能，不知道從什麼時侯開始，「檔案」app 裏出現了「連接伺服器」 的功能，不支援 ssh 所以就別想在這裏 scp (無法使用 ssh:無法完成此項操作，因為不支援此URL)，可以使用網芳來連，可以讀寫，就和在電腦上操作一樣，反應久了點就是了： 選一些照片，超過100個檔案以上就很卡，分段選檔吧 按左下角開啟其他的 app /功能 的圖示(有個向上的箭頭) 選「儲存到檔案」，一開始會跳進 icloud，按左上角回到上一層，會出現「已共享」的區塊 選右上角有三個點的圓形餅乾，「連接伺服器」 打好網芳的位址(smb://1.2.3.4)，id，password 選好你要上傳檔案的資料夾 儲存 過了很久的一下下，傳好檔案會跳回照片 app 繞了一圈還是回到 samba ...... 續骨靈藥，金盒久藏啊~~ 收工！ ========================================= 跌倒記錄： 官網討論區上一直說是用手機原生的 app 管理照...

 簡單地說，immich app 就是個相片同步的 app，真要做到增量備份，現階段還真是沒辦法…… 工作環境：   Linux Server     immich server on docker     immich app on iphone 1.100 雖然說官方說是透過 iphone 自已的「照片」app 殺掉手機上的照片，並不會影響到 immich server 上已經上傳的照片，但是…… 在開啟 backup (foreground/background) 時，app 會讓手機的資料和伺服器上的資料同步，不管你是不是用「照片」app 殺照片 突然想起，沒有試手動上傳，不透過自動 backup 的同步功能是不是就能實現增量備份，不過，醬子的話，就太不方便了，不符合懶人模式，真要手動上傳，就接電腦選照片上傳了，何必搞伺服器又搞 app 搞了老半天，根本上就是出在不想開電腦呀@@" 所以，immich app 就拿來同步/鏡像手機裏的照片吧…… 想要增量備份，回頭找網芳      收工！

 Port Knocking 就像是敲門暗號依序敲 2長1短3長 才開門的概念，之前有看到文章提到在 Linux 上實做用來強化安全性，沒想到路由器上面也可以做，更沒想到的是就連設個暗號也能從敲門變成撞門 工作環境：     某牌路由器          firewall rules for port knocking  基本上照著官網上的 port knocking 設定實作就行     要啟用 input DROP all 之前記得先開個後門，否則……所有設備都會連不進來就 GG …… 要啟用 input DROP all 之前記得先開個後門，否則……所有設備都會連不進來就 GG …… 要啟用 input DROP all 之前記得先開個後門，否則……所有設備都會連不進來就 GG ……     以下設定要放在 input DROP all 之前     目標設定  先設定要開啟的服務 dst. port 開啟時，允許的來源為一個自訂的清單（自行增加設定成類似 fin-ips 的群組清單) ，port knocking 嘛最基本的設定值就是 port ，當然你也可以進一步鎖定來源的介面和目的地…等等的參數 敲門設定（N次）  第1次：設定要敲門的 dst. port  ，同樣的，可以進一步鎖定來源的介面和目的地....等等的參數，然後（action）將來源的 ip 加入群組清單（knock1）  第2次起：設定本次要敲門的 dst. port  ，然後指定 ip 來源是上次的清單（knock1）同樣的，可以進一步鎖定來源的介面和目的地....等等的參數，然後（action）將來源的 ip 加入群組清單（knock2），依此類推N次…  最後一次：設定本次要敲門的 dst. port  ，然後指定 ip 來源是上次的清單（knock#）同樣的，可以進一步鎖定來源的介面和目的地....等等的參數，然後（action）將來源的 ip 加入群組清單（fin-ips），這樣就能和目標設定參數相呼應，形成閉環 以後，你指定防護的目標服務，必需...

 話說現在的網站都要有 https 沒有那個 s 好像犯天條似的，即使是在內網也要搞個 s 來玩玩，如果你已經當了勇者把伺服器放上公網，也歡迎你分享設定，肯定香啊~，做為一個膽小時間又少的使用者，還是來設一下 s 吧！ 工作環境：     debian linux          docker               immich               nginx(做為反向代理用)                反向代理有很多選項，試了很多沒遇上好運，回頭用了最基本的 nginx，或許下次可以試試 caddy 吧 首先，開2個 docker 的網路並且設定 docker network create inner_network docker netowrk create reverse_proxy_network   在開始設定之前，記得把之前的 immich-app 停下來 docker compose down 設定一下 docker-compose.yml ：進到你的 immich-app/docker-compose.yml 把每個 service 的 networks 改一下 如果 service 名稱是 immich 開頭的： networks:   - inner_network   - reverse_proxy_network 其他的 networks:   - inner_network networks 的總述 networks:   proxy:     driver: bridge   internal:     driver: bridge  引用 nginx：   nginx :     container_name : ng...

 之前有提到為了躲避 nextcloud all-in-one 的群坑，所以先擱(割)置(捨)難搞的 nextcloud aio 轉投 immich-app 的懷抱，畢竟原本的目的就沒有要包山包海，主要是要把照片和影片存出來而已 工作環境：     內網的 debian linux          docker(-compose)               immich 後來發現上次用的註解法不是最佳解，所以開大門走大路把整個 immich 抓回來裝： git clone https: //github.com/immich-app/immich.git install.sh 然後到 immich-app 裏把 docker-compose.yml 改一下，可以改一下這個 environment:   - TZ=${TZ} .env 可以改一下這個 UPLOAD_LOCATION=/你想放資料/的位置 TZ=Asia/Taipei 然後 docker compose up -d 連到主機網址 http://192.168.100.100:2283 就可以用了 上傳的檔案在 /你想放資料/的位置/library/admin/ 裏面 是的，你沒有看錯，是 http 不是 https  很在意的人再搞一下 反向代理吧，先醬子將就用著 收工！