知行迭代 - 最近更改 [zh-cn]

Mount

2026-04-30T12:17:31Z

永久挂载

←上一版本		2026年4月30日 (四) 12:17的版本
第30行：		第30行：
	# 固定目录权限为755（dmask=022），文件权限为644（fmask=133）		# 固定目录权限为755（dmask=022），文件权限为644（fmask=133）
	UUID=your-uuid /media/mydisk ntfs-3g uid=1000,gid=1000,dmask=022,fmask=133 0 0		UUID=your-uuid /media/mydisk ntfs-3g uid=1000,gid=1000,dmask=022,fmask=133 0 0

			# 先重新加载 systemd 配置
			sudo systemctl daemon-reload
			# 挂载所有 fstab 中未挂载的条目
			sudo mount -a
	</syntaxhighlight>		</syntaxhighlight>

OpenSnitch

2026-04-30T02:46:52Z

创建页面，内容为“OpenSnitch 是 Linux 上一款的交互式应用防火墙，灵感来自 macOS 上的 Little Snitch。它最特别的地方在于能监控并拦截应用程序发起的对外网络连接， == 简介 == === 核心组件 === OpenSnitch 主要由两个核心部分组成，理解这两部分有助于后续的操作： * '''守护进程 (opensnitchd)'''：这是运行在后台的核心服务，负责实际拦截网络连接并根据规则进行匹配。需要将…”

新页面

OpenSnitch 是 Linux 上一款的交互式应用防火墙，灵感来自 macOS 上的 Little Snitch。它最特别的地方在于能监控并拦截应用程序发起的对外网络连接，

== 简介 ==
=== 核心组件 ===

OpenSnitch 主要由两个核心部分组成，理解这两部分有助于后续的操作：

* '''守护进程 (opensnitchd)'''：这是运行在后台的核心服务，负责实际拦截网络连接并根据规则进行匹配。需要将其设置为系统服务，以实现开机自启。
* '''用户界面 (opensnitch-ui)'''：这是一个图形界面程序，用于显示网络请求弹窗、管理防火墙规则以及查看网络统计信息。它会在系统托盘区显示图标。

当某个尚未配置规则的进程尝试建立网络连接时，守护进程会拦截该连接，并向用户弹出一个对话框询问如何处理（允许或拒绝）。用户做出的选择会被保存为一条新规则，此后同一进程再次尝试连接时，规则将自动生效。

== 安装 ==

=== Debian / Ubuntu 及衍生版 ===
Ubuntu 23.04 及以上，直接使用apt安装。
sudo apt install opensnitch
Ubuntu 22.04 及更低版本：从 GitHub Releases 下载 <code>.deb</code> 软件包。访问 OpenSnitch 的 [https://github.com/evilsocket/opensnitch/releases GitHub Releases 页面]，下载最新版本。

安装完成后，启动并启用守护进程服务：
<syntaxhighlight lang="bash">
sudo systemctl enable --now opensnitch
</syntaxhighlight>

=== 其他发行版 ===

* '''Fedora / RHEL 系'''：在 [https://github.com/evilsocket/opensnitch/releases Releases 页面] 下载 <code>.rpm</code> 软件包，并使用 <code>sudo dnf install</code> 或 <code>sudo rpm -ivh</code> 命令进行安装。
* '''Arch Linux'''：可通过 AUR 安装，例如使用 <code>yay -S opensnitch</code> 命令。
* '''NixOS'''：在 <code>configuration.nix</code> 配置文件中添加 <code>services.opensnitch.enable = true;</code> 并重建系统。

== 基本使用方法 ==

=== 首次启动与初始设置 ===

# 在应用菜单中找到并启动 “OpenSnitch UI”。程序窗口可能不会直接打开，但会在系统托盘区域出现一个图标。
# 右键点击系统托盘图标，选择 '''“Open main window”'''（打开主窗口）。
# 官方建议的策略是：在新系统上，先将默认动作设为“允许”，让 OpenSnitch 运行几天以学习正常的网络行为并记录规则。之后再切换至更严格的模式，手动审查并调整规则。

=== 处理弹窗与创建规则 ===

这是 OpenSnitch 最核心的交互方式。当某个尚未配置规则的应用发起网络连接时，会弹出如下的配置对话框：

* '''动作 (Action)'''：选择 '''Allow'''（允许）或 '''Deny'''（拒绝）。
* '''持续时间 (Duration)'''：
** '''Until restart'''：仅对本次会话有效，重启后失效。
** '''For a session'''：在用户登出之前有效。
** '''Always'''：创建永久规则，这是最常用的选项。
* '''范围 (Scope)'''：可以选择此规则仅应用于当前应用程序、该应用程序及其所有子进程，或是全局生效。

=== 使用主窗口管理规则 ===

主窗口是管理防火墙规则的控制中心。

* '''Events（事件）'''标签页：实时显示所有被拦截或允许的连接历史记录，可以清晰地查看哪个应用连接到了哪个 IP 地址和端口。
* '''Applications（应用）'''标签页：列出所有已配置规则的应用程序。在此可以双击某条规则进行修改，或点击左上角的 '''“+”''' 按钮手动添加新规则。
* '''Hosts（主机）'''标签页：按域名或 IP 地址聚合统计连接情况。

==== 手动创建规则示例 ====

假设需要永久阻止对 <code>www.example.org</code> 的所有访问，可以按以下步骤操作：

# 在主窗口点击 '''“+”''' 按钮。
# 为规则命名，例如 <code>Block Example</code>。
# 将 '''Action''' 设置为 <code>Deny</code>，'''Duration''' 设置为 <code>Always</code>。
# 切换到 '''Network''' 标签页，在 '''“To this host”''' 字段中输入 <code>www.example.org</code>。
# 点击 '''Save''' 保存规则。

== 高级配置与技巧 ==

=== 配置文件位置 ===

* '''守护进程规则存储路径'''：<code>/etc/opensnitchd/rules/</code>
* '''守护进程配置文件'''：<code>/etc/opensnitchd/default-config.json</code>
* '''系统防火墙规则（用于绕过 OpenSnitch）'''：<code>/etc/opensnitchd/system-fw.json</code>

可以通过编辑上述 <code>.json</code> 文件来批量导入或备份规则。例如，一条允许 <code>tor</code> 进程的规则示例如下：

<syntaxhighlight lang="json">
{
"tor": {
"name": "tor",
"enabled": true,
"action": "allow",
"duration": "always",
"operator": {
"type": "simple",
"sensitive": false,
"operand": "process.path",
"data": "/nix/store/.../bin/tor"
}
}
}
</syntaxhighlight>

=== 进程监控方式 ===

OpenSnitch 支持三种监控进程发起连接的方式，可以在配置文件中进行调整：

* '''<code>ebpf</code>（推荐）'''：性能最佳，功能最强，能够拦截由内核发起的连接。需要 Linux 内核版本 5.5 或更高。
* '''<code>audit</code>'''：利用 Linux 审计子系统，性能较好。
* '''<code>proc</code>'''：通过读取 <code>/proc</code> 文件系统获取信息，作为备选方案。

=== 避免干扰（VPN 或信任服务） ===

如果希望某些流量完全不被 OpenSnitch 处理（例如 VPN 的守护进程），可以将其加入“系统防火墙规则”中。编辑 <code>/etc/opensnitchd/system-fw.json</code> 文件，添加相应的 iptables 或 nftables 规则。这样做可以提升性能并避免潜在的配置冲突。

== 故障排除 ==

=== 没有弹窗，应用直接被阻止？ ===

* 这可能是因为之前创建了静默规则但已忘记。请检查组件中的规则列表。
* 也可以尝试在图形界面的 '''Preferences -> Nodes''' 选项中，启用 '''“Debug invalid connections”''' 功能。这能让未匹配到规则的连接也弹出提示，便于调试。

=== 如何调试启动问题？ ===

# 先停止后台服务：<code>sudo systemctl stop opensnitch</code>。
# 在前台手动启动守护进程并开启调试输出，以便查看具体错误信息：<code>sudo /usr/bin/opensnitchd -debug</code>。
# 如果图形界面崩溃，可以在终端中直接输入 <code>opensnitch-ui</code> 命令，并观察输出的错误信息。

=== 图形界面显示异常（如出现黑块）？ ===

如果在使用 Wayland 显示服务器或某些窗口管理器时遇到界面渲染问题，可以尝试在启动图形界面之前设置以下环境变量：

<syntaxhighlight lang="bash">
export QT_QPA_PLATFORM=xcb
opensnitch-ui
</syntaxhighlight>

Ubuntu

2026-04-30T02:30:08Z

安全软件

←上一版本		2026年4月30日 (四) 02:30的版本
第216行：		第216行：
	{\| class="wikitable sortable"		{\| class="wikitable sortable"
	\|+ Ubuntu 常用安全软件对比		\|+ Ubuntu 常用安全软件对比
	! 软件名称 !! 类别 !! 描述 !! 安装~~/启用方式~~		! 软件名称 !! 类别 !! 描述 !! 安装
	\|-		\|-
	\| [[UFW]] \|\| 防火墙 \|\| Uncomplicated Firewall，Ubuntu 默认的前端防火墙工具，简化 iptables 配置，基于“默认拒绝”策略控制网络访问 \|\| 通常预装~~<br><code>sudo ufw enable</code>~~		\| [[UFW]] \|\| 防火墙 \|\| Uncomplicated Firewall，Ubuntu 默认的前端防火墙工具，简化 iptables 配置，基于“默认拒绝”策略控制网络访问 \|\| 通常预装
	\|-		\|-
	\| [[iptables]] \|\| 防火墙 \|\| Linux 内核原生防火墙框架，通过规则链（表/链）对数据包进行过滤、转发和地址转换（NAT），是 UFW 的底层实现 \|\| 通常预装~~<br>直接编辑规则：<code>sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT</code>~~		\| [[iptables]] \|\| 防火墙 \|\| Linux 内核原生防火墙框架，通过规则链（表/链）对数据包进行过滤、转发和地址转换（NAT），是 UFW 的底层实现 \|\| 通常预装
	\|-		\|-
	\| [[AppArmor]] \|\| 强制访问控制 \|\| Linux 安全模块（LSM），为每个程序配置访问权限“白名单”，限制其对文件、网络、能力的访问，实现最小权限原则 \|\| ~~通常预装，通过sudo aa-status查看状态~~		\| [[AppArmor]] \|\| 强制访问控制 \|\| Linux 安全模块（LSM），为每个程序配置访问权限“白名单”，限制其对文件、网络、能力的访问，实现最小权限原则 \|\| 通常预装
	\|-		\|-
	\| Fail2ban \|\| 入侵防御 \|\| 监控服务日志（如 SSH、Apache），通过正则匹配识别恶意行为（如反复失败登录），自动调用防火墙封禁源 IP \|\| <code>sudo apt install fail2ban~~</code><br>配置监狱：<code>sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local</code><br><code>sudo systemctl enable fail2ban --now~~</code>		\| Fail2ban \|\| 入侵防御 \|\| 监控服务日志（如 SSH、Apache），通过正则匹配识别恶意行为（如反复失败登录），自动调用防火墙封禁源 IP \|\| <code>sudo apt install fail2ban</code>
	\|-		\|-
	\| ClamAV \|\| 反病毒扫描 \|\| 开源杀毒引擎，检测病毒、木马、恶意软件及其他威胁，支持多线程扫描和定期数据库更新 \|\| <code>sudo apt install clamav clamav-daemon~~</code><br>更新病毒库：<code>sudo freshclam</code><br>扫描目录：<code>clamscan -r /home~~</code>		\| ClamAV \|\| 反病毒扫描 \|\| 开源杀毒引擎，检测病毒、木马、恶意软件及其他威胁，支持多线程扫描和定期数据库更新 \|\| <code>sudo apt install clamav clamav-daemon</code>
	\|-		\|-
	\| Firejail \|\| 沙盒隔离 \|\| 轻量级容器化工具，通过命名空间和 seccomp ~~限制程序访问文件系统、网络、进程等资源，实现应用级隔离~~ \|\| <code>sudo apt install firejail firejail-profiles</code>~~<br>运行沙盒：~~<code>~~firejail firefox~~</code><br>~~私有目录：~~<code>~~firejail --private ~/sandbox bash~~</code>		\| Firejail \|\| 沙盒隔离 \|\| 轻量级容器化工具，通过命名空间和 seccomp 限制程序访问文件系统、网络、进程等资源，实现应用级隔离。运行不安全代码，在Firejail也不安全。\|\| <code>sudo apt install firejail firejail-profiles</code>
			\|-
			\| [[OpenSnitch]] \|\| 应用层防火墙 \|\| GNU/Linux 交互式应用防火墙，灵感来自 macOS 的 Little Snitch。监控并控制每个进程的传出连接，首次连接时弹出提示让用户决定允许或拒绝，可基于进程路径、目标 IP、域名、端口等条件创建精细规则 \|\| Ubuntu 23.04 及以上：<code>sudo apt install opensnitch</code><br>Ubuntu 22.04 及更低版本：从 GitHub Releases 下载 <code>.deb</code> 包安装
	\|}		\|}

	===禁止软件联网===		===禁止软件联网===
	* 使用Firejail		* 使用Firejail

AppArmor

2026-04-30T02:22:41Z

创建页面，内容为“AppArmor 是一个易于使用的 Linux 安全模块，它通过为每个程序设置配置文件，来限制程序的具体能力，从而实现强制访问控制（MAC）。它与 SELinux 类似，但主要优势在于配置相对简单，适合初学者和安全运维。 ==快速入门== ===AppArmor核心概念=== 模式 (Modes) *Enforce (强制模式)：严格禁止超出权限的行为，并记录违规日志。 *Complain (记录模式)：不实际…”

新页面

AppArmor 是一个易于使用的 Linux 安全模块，它通过为每个程序设置配置文件，来限制程序的具体能力，从而实现强制访问控制（MAC）。它与 [[SELinux]] 类似，但主要优势在于配置相对简单，适合初学者和安全运维。

==快速入门==
===AppArmor核心概念===
模式 (Modes)
*Enforce (强制模式)：严格禁止超出权限的行为，并记录违规日志。
*Complain (记录模式)：不实际拦截，只记录“如果执行此操作会违规”的日志。非常适合测试和开发新规则。

配置文件 (Profiles)
*纯文本文件，通常位于 /etc/apparmor.d/。
*命名规则：将程序路径中的 / 替换为 .（例如，/bin/ping 的配置文件是 /etc/apparmor.d/bin.ping）。

==资源==
===官网===

Ubuntu

2026-04-30T01:58:58Z

安全设置

@@ 第212行： / 第212行： @@
 }}
-==安全设置==
+==安全==
-====常见问题====
+* 使用AppArmor
 I: The initramfs will attempt to resume from /dev/sda2
 <syntaxhighlight lang="bash">

Samba

2026-04-30T01:12:32Z

linux挂载

←上一版本		2026年4月30日 (四) 01:12的版本
第76行：		第76行：


	命令行挂载：		使用[[mount]]命令行挂载：
	<syntaxhighlight lang="bash" >		<syntaxhighlight lang="bash" >
	# 安装 cifs-utils 来支持挂载命令		# 安装 cifs-utils 来支持挂载命令

Mount

2026-04-30T01:11:42Z

@@ 第70行： / 第70行： @@
 | 2
 |}
 {{了解更多

Samba

2026-04-30T00:47:18Z

@@ 第69行： / 第69行： @@
 或使用“映射网络驱动器”功能连接到共享。
 ==资源==
 ===官网===

KVM虚拟机

2026-04-29T13:56:22Z

@@ 第159行： / 第159行： @@
 * 配置虚拟机，使用网桥
 方法1，使用virt-manager界面配置。创建或编辑虚拟机，在网络设置中选择：Source mode选Bridge，Network source选一个，Device name填br0。
 ==资源==

Ubuntu

2026-04-29T06:53:33Z

常见问题

@@ 第83行： / 第83行： @@
 </syntaxhighlight>
 应用程序和桌面创建快捷方式。.desktop 文件是 Linux 桌面环境中用于定义应用程序启动器、菜单项或快捷方式的配置文件。常用文件内容如下：
 *Name：应用程序的显示名称（必填）。
@@ 第109行： / 第110行： @@
 cp ~/.local/share/applications/example.desktop ~/Desktop/
 </syntaxhighlight>
 ===常用软件===
@@ 第378行： / 第398行： @@
 * 崩溃报告可能包含敏感信息，因此在提交之前请确保你了解报告的内容。
 * 如果你经常遇到某个应用程序崩溃，建议检查是否有更新版本可用，或者查看相关的支持论坛以获取帮助。
 ==资源==

KVM虚拟机

2026-04-27T14:41:04Z

配置桥接网路

←上一版本		2026年4月27日 (一) 14:41的版本
第94行：		第94行：

	# 关闭原物理连接（防止冲突）		# 关闭原物理连接（防止冲突）
	sudo nmcli con down "~~Wired connection 2~~"		sudo nmcli con down "netplan-enp5s0"

	# 激活网桥		# 激活网桥
第159行：		第159行：
	* 配置虚拟机，使用网桥		* 配置虚拟机，使用网桥
	方法1，使用virt-manager界面配置。创建或编辑虚拟机，在网络设置中选择：Source mode选Bridge，Network source选一个，Device name填br0。		方法1，使用virt-manager界面配置。创建或编辑虚拟机，在网络设置中选择：Source mode选Bridge，Network source选一个，Device name填br0。


	==资源==		==资源==