九维我操你爹
非常熟练地进入了 rescue 模式……
非常熟练地敲完一段魔法咒语……
啊,大家假期快乐
苹果测试工程师的日常
今天有个需求是在防火墙上屏蔽一个指定地理范围的 IP,因为归属一个地区的 IP 列表总是在变化的,所以需要能在防火墙上实时更新规则 #ipset #iptables 虽然是已经该弃用的技术,但为了实现尽可能最大的兼容性还是尝试用它们实现了上面的需求 出乎意料的是,好像从来没有人提出过下面这些问题(至少我怎么都没搜索到)。干脆就自己动手测试出了答案,这里分享给大家: Q1: 使用 ipset 维护需要匹配的 IP 地址片段,当更新 ipset 时,真的需要重新加载 iptables 规则吗? (Refer…
先来说下为什么会有这么扭曲的配置:
1. 为什么要把容器配置成主机网络,再去在 DOCKER-USER CHAIN 上添加防火墙规则?
因为以默认的网桥模式运行的话,容器就看不到传入连接的真实 IP 了。为了尽可能保证安全,容器实际上是通过 ports 的「长语法」模式,只在监听的端口上配置的主机网络模式。而且针对 sysctl/capabilities/user 都做了限制

---

然后说下我觉得还挺得意的设计:
iptables 的规则是通过一个脚本配置的,脚本实现了幂等性所以可以随时中断、重新执行

而脚本是通过 drop-in 配置写进了 docker.service 的 ExecStartPre 参数的,完全避免了进一步依赖 iptables-save 这样的工具去实现规则持久化;并且这也确保了在 docker 容器启动时防火墙规则一定已经就绪了

实现上面这套巧思几乎穷尽了我对 systemd 等工具的全部了解,我觉得把这些平时很少用到但其实很使用的参数和技巧分享出来会很有意思,希望有帮助到你 ;-)
今天有个需求是在防火墙上屏蔽一个指定地理范围的 IP,因为归属一个地区的 IP 列表总是在变化的,所以需要能在防火墙上实时更新规则
#ipset #iptables 虽然是已经该弃用的技术,但为了实现尽可能最大的兼容性还是尝试用它们实现了上面的需求
出乎意料的是,好像从来没有人提出过下面这些问题(至少我怎么都没搜索到)。干脆就自己动手测试出了答案,这里分享给大家:

Q1: 使用 ipset 维护需要匹配的 IP 地址片段,当更新 ipset 时,真的需要重新加载 iptables 规则吗?
(Refer to: https://unix.stackexchange.com/questions/596215/how-to-block-china-and-keep-it-blocking-after-reboot-having-problems-in-impleme)
A1: 没有必要,对 ipset 的修改会实时反应在防火墙上。无论是新增一条记录还是删除一条记录都是如此。

Q2: 如果一个容器的网络类型被设置为 host(`network: host`),在 DOCKER-USER CHAIN 上添加的规则会对该容器生效吗?
A2: 不要想得太复杂,会生效。
Cloudflare Fonts 将于十月份可用

通过对网页HTML的识别将其中 Google Fonts 相关引用重写合并(CSS)嵌入同一域名同一网页请求中,同时将 Google 字体相关资源就近缓存在 Cloudflare 节点,使外部字体资源引用所需多次请求降低到一次,配合 Cloudflare、浏览器对 HTTP2/3 的支持:减少额外 DNS 解析、复用 TLS 连接,从而提高访问性能、优化用户体验
*由 Cloudflare 居间接管第三方字体加载引用,将减少网站访客信息向不必要第三方传递,提高整体隐私安全性

Cloudflare Fonts: enhancing website font privacy and speed
#Cloudflare #Fonts #缓存
Via @Cloudflare_CN
站好长假前最后一班岗,出发!
以下是稍微有点恶的内容所以不喜欢的话可以先划走:

就在刚才我保险起见换上的一次性内裤起作用了……我就猜到如果用头孢控制感染的话我精心呵护了半年的肠道菌群会再次失控,以一种我根本无法控制的形式爆发动乱
​只能说和这副破烂身体打了二十多年交道不算白打吧🙃
62歳の男性は先月、東京・千代田区で20代の女性に対し、マッサージの施術を装って乱暴したとして不同意性交の疑いで逮捕されました。
警視庁によりますと、男性は「同意したと思っていた」と容疑を否認していました。
東京地検は今月26日付で男性を不起訴処分としました。
理由は明らかにしていません。

https://news.tv-asahi.co.jp/news_society/articles/000317426.html?display=full

😅😅
刚上床疼到全身发抖🥲
苹果测试工程师的日常
https://vxtwitter.com/niuniu_8964/status/1705985981172850875
今天又看到一个类似的新闻:
https://vxtwitter.com/bbcchinese/status/1706574173529891140

其实不只是推行环保,推行任何进步价值都一样,关键应该有两点:
第一,不能想当然;
第二,要诚实,不能硬要推行一个明知道有重大缺陷的方案

啊对,任何方案要做到尽善尽美都很难,有的人因此养成了口头禅:没有什么办法是十全十美的
但是不应该以此作为逃避的借口。解决一个问题的同时引入新的问题,就要问问自己,这样做值得吗?自己究竟是造成了更多的问题,还是只是把损失和风险转移给其他人了呢? BBC News 中文 (@bbcchinese)
《被嫌弃的松子的一生》
——这部电影怎么说呢?如果你和我说这是一部纪录片,那我可能最多会质疑它的表现手法和其他大多数纪录片不太一样,也许不合适
因此我对这部电影的感受就是看得很痛苦,但我愿意把它和《芭比》、《银河铁道999》相提并论,共同称为今年排名第一的电影
(对不起了《窖井盖》,总得有人当第二不是)

痛苦就是因为前面说的那个道理:这部电影的情节太过真实。我甚至不愿意去假设艺术创作时将多个人现实生活中的经历杂糅在一块的可能性,而是直接相信现实中就有松子这样的女人
而发生在松子身上的事情,我相信任何人只要置身处地于那样的场景下,都一定会觉得这 120 分钟全部都过得很煎熬

电影中有句话是这样说的:一个人的价值,不在于他得到过多少,而在于他付出过多少。那松子的人生一定是无价的,因为她终其一生都在付出
但是这样的一个人却是被(众人)嫌弃的松子,这是什么道理呢?我推荐不知道答案的朋友也去电影里找寻一下
朋友弗一入职就请事假请年假出(回)国旅行潇洒一周时间
妞请 wfh 假请病假拔完智齿回家辗转反侧一个时辰睡不着觉
我们都有光明的未来😷
Back to Top