pve_toss_notes/07.PVE制作TS服务器.md at master

Archived

This repository has been archived on 2026-08-15. You can view files and clone it. You cannot open issues or pull requests or push a commit.

Files

T

CallMeR 12b5a4aec4 更新脚本名称 & 备注信息

2026-08-11 22:37:07 +08:00

19 KiB

Raw Permalink Blame History

0.前期准备

某些业务场景下需要构建安全可靠的网络隧道，来打通异地内网环境或从外部访问内网的私有资源。

经过实际测试，当 TS 服务器具有 IPv6 GUA 地址时，能稳定建立隧道。

本文将使用 Debian 云镜像以及 Tailscale 来制作内网组网服务器。

对于虚拟机创建部分，请参考 04.PVE创建模板虚拟机，其他 Cloud-Init 相关参数如下。

参数	值	说明
虚拟机名称	`SVR01`	TS 服务器 `主机名`
DNS 域	`fox.internal`	TS 服务器 `Cloud-Init`
DNS 服务器	`172.16.1.1`	TS 服务器 `Cloud-Init`
IPv4	`172.16.1.4/24`	TS 服务器 `Cloud-Init`
IPv4 网关	`172.16.1.1`	TS 服务器 `Cloud-Init`
IPv6	`SLAAC`	TS 服务器 `Cloud-Init`

1.配置系统

由于 TS 服务器具备路由功能，所以在配置方法和系统参数方面与内网 DNS 服务器有一些区别。

1.1.配置 SSH

与配置 Debian 模板虚拟机时一样，首先需要调整系统的 SSH 登录权限参数。

在虚拟机的命令行界面，使用 vim 编辑器编辑 sshd 服务的配置文件，执行以下命令。

## 编辑 SSH 配置文件
$ sudo vim /etc/ssh/sshd_config.d/10-server-sshd.conf

在配置文件中输入以下内容，并保存。

## SSH 配置项

PasswordAuthentication yes
PermitEmptyPasswords no
UseDNS no

修改完成后，需要重启 SSH 服务。

## 重启 ssh.service
$ sudo systemctl restart ssh.service

1.2.配置软件源

使用如下命令对 debian.sources 配置文件进行修改。

## 配置 Debian 系统默认软件源脚本
$ sudo bash -c 'cat > /etc/apt/sources.list.d/debian.sources <<EOF
Types: deb
URIs: https://mirrors.ustc.edu.cn/debian
Suites: trixie trixie-updates
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

Types: deb
URIs: https://mirrors.ustc.edu.cn/debian-security
Suites: trixie-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

EOF'

为了防止 Cloud-Init 服务意外修改软件源配置，需要添加文件保护，执行以下命令。

## 增加文件保护
$ sudo chattr +i /etc/apt/sources.list.d/debian.sources

## 检查文件保护
$ lsattr /etc/apt/sources.list.d/debian.sources

#### 示例输出
----i---------e------- /etc/apt/sources.list.d/debian.sources

1.3.安装软件

软件源设置完成后，需要更新系统，执行以下命令。

## 清理不必要的包
$ sudo bash -c 'apt clean && apt autoclean && apt autoremove --purge'

## 更新软件源
$ sudo apt update

## 更新系统
$ sudo apt full-upgrade

接下来安装系统必要软件，安装 iperf3 后，系统将询问是否将其作为系统服务开机自启，选择 no 即可。

## 安装系统软件
$ sudo apt install qemu-guest-agent btop curl tmux logrotate cron neovim zsh git

## 安装系统自动更新工具
$ sudo apt install unattended-upgrades powermgmt-base

## 安装网络工具
$ sudo apt install nftables sshguard lsof knot-dnsutils ethtool dnsmasq conntrack

## 安装 TS
$ curl -fsSL https://tailscale.com/install.sh | sh

## 安装网络检测工具（可选）
$ sudo apt install iftop iperf3 iperf

## 刷新 systemd 日志分类索引
$ sudo journalctl --update-catalog

## 写入磁盘
$ sudo sync

1.4.配置 ZSH

Zsh 是比 Bash 好用的 Shell 程序，使用 oh-my-zsh 进行配置。

## 安装 oh-my-zsh
$ sh -c "$(curl -fsSL https://install.ohmyz.sh)"

## 询问是否切换默认 shell，输入 Y

#### 示例输出
Time to change your default shell to zsh:
Do you want to change your default shell to zsh? [Y/n] y

## oh-my-zsh 安装后清理
$ cd && rm -rvf .bash_history .zsh_history .shell.pre-oh-my-zsh

1.5.配置默认编辑器

Debian 系统默认编辑器为 nano ，推荐将默认编辑器更换为 neovim ，执行以下命令。

## 修改系统默认编辑器（选择 nvim 所在条目，即可将 neovim 设为默认编辑器）
$ sudo update-alternatives --config editor

#### 系统默认编辑器示例输出
There are 4 choices for the alternative editor (providing /usr/bin/editor).

  Selection    Path                Priority   Status
------------------------------------------------------------
* 0            /bin/nano            40        auto mode
  1            /bin/nano            40        manual mode
  2            /usr/bin/nvim        30        manual mode
  3            /usr/bin/vim.basic   30        manual mode
  4            /usr/bin/vim.tiny    15        manual mode

Press <enter> to keep the current choice[*], or type selection number: 2
update-alternatives: using /usr/bin/nvim to provide /usr/bin/editor (editor) in manual mode

若需完全禁用 neovim 鼠标功能；即关闭所有鼠标交互，右键行为完全交给终端 / 控制台处理，需执行以下命令。

## 创建 nvim 配置目录
$ sudo mkdir -p /etc/xdg/nvim

## 配置 nvim 鼠标交互行为脚本
$ sudo tee /etc/xdg/nvim/sysinit.vim << 'EOF'
set mouse=

EOF

1.6.调整内核模块

编辑 内核模块 配置文件，执行以下命令。

## 创建 内核模块 配置文件
$ sudo editor /etc/modules-load.d/10-server-modules.conf

在配置文件中输入以下内容，并保存。

# This configuration file is customized by fox,
# Optimize netfilter related modules at system boot.

nf_conntrack

1.7.调整内核参数

编辑 内核参数 配置文件，执行以下命令。

## 编辑 内核参数 配置文件
$ sudo editor /etc/sysctl.d/99-sysctl.conf

在配置文件中输入以下内容，注意配置中间的空格。

# This configuration file is customized by fox,
# Optimize sysctl parameters for local TS server.

kernel.panic = 20
kernel.panic_on_oops = 1

net.core.default_qdisc = fq_pie
net.ipv4.tcp_congestion_control = bbr

net.ipv4.ip_forward = 1

net.ipv6.conf.all.forwarding = 1
net.ipv6.conf.default.forwarding = 1

# Other adjustable system parameters

net.core.netdev_budget = 800
net.core.netdev_max_backlog = 8192

net.core.rmem_default = 262144
net.core.wmem_default = 262144
net.core.rmem_max = 67108864
net.core.wmem_max = 67108864

net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0

net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0

net.ipv4.conf.all.arp_ignore = 1
net.ipv4.conf.default.arp_ignore = 1

net.ipv4.conf.all.rp_filter = 2
net.ipv4.conf.default.rp_filter = 2

net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0

net.ipv4.igmp_max_memberships = 256

net.ipv4.tcp_fastopen = 3
net.ipv4.tcp_fin_timeout = 30
net.ipv4.tcp_keepalive_time = 600
net.ipv4.tcp_max_syn_backlog = 4096
net.ipv4.tcp_notsent_lowat = 131072
net.ipv4.tcp_rmem = 4096 1048576 67108864
net.ipv4.tcp_wmem = 4096 1048576 67108864

net.ipv6.conf.all.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0

net.ipv6.conf.all.accept_source_route = 0
net.ipv6.conf.default.accept_source_route = 0

net.ipv6.conf.all.use_tempaddr = 0
net.ipv6.conf.default.use_tempaddr = 0

net.netfilter.nf_conntrack_acct = 1
net.netfilter.nf_conntrack_checksum = 1
net.netfilter.nf_conntrack_tcp_timeout_established = 7440

保存该配置文件后，重启系统或者执行以下命令让配置生效。

## 让内核参数生效
$ sudo sysctl --system

1.8.调整系统时间

默认情况下 Debian 云镜像的系统时间需要调整，执行以下命令将系统时区设置为中国时区。

## 设置系统时区
$ sudo timedatectl set-timezone Asia/Shanghai

## 检查系统时间
$ date -R

Debian 云镜像默认使用 systemd-timesyncd.service 同步时间，且需要调整为使用国内 NTP 服务器。

调整 NTP 服务器参数，执行以下命令。

## 创建 NTP 配置目录
$ sudo mkdir -p /etc/systemd/timesyncd.conf.d

## 创建 NTP 配置文件
$ sudo editor /etc/systemd/timesyncd.conf.d/10-server-ntp.conf

在配置文件中输入以下内容，并保存。

# This configuration file is customized by fox,
# Optimize system NTP server.

[Time]
NTP=ntp.aliyun.com ntp.tencent.com cn.pool.ntp.org

保存该配置文件后，需重启 systemd-timesyncd.service 服务，并再次检查系统 NTP 服务器地址。

## 重启 systemd-timesyncd.service
$ sudo systemctl restart systemd-timesyncd.service

## 检查系统 NTP 服务器
$ sudo systemctl status systemd-timesyncd.service

1.9.配置自动更新

配置系统自动更新策略，执行以下命令，使用键盘 左右方向键 进行选择，回车键 进行确认。

## 配置自动更新策略
$ sudo dpkg-reconfigure -plow unattended-upgrades

## 选择 “是”
<Yes>

开始调整 20auto-upgrades 配置文件。

## 编辑 20auto-upgrades 配置文件
$ sudo editor /etc/apt/apt.conf.d/20auto-upgrades

清空当前全部配置项后，输入以下内容，并保存。

配置文件中，用来控制更新周期的参数为 APT::Periodic::Unattended-Upgrade ，5 表示更新周期为 5 天。

## 系统更新周期配置项

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "5";
APT::Periodic::AutocleanInterval "1";
APT::Periodic::CleanInterval "1";

进一步调整 50unattended-upgrades 配置文件。

## 编辑 50unattended-upgrades 配置文件
$ sudo editor /etc/apt/apt.conf.d/50unattended-upgrades

因为该配置文件很长，完整的配置文件可查看 debian_ts_50unattended_upgrades.conf 以便对比。

## 删除以下行前面的注释符 // ，代表启用

"origin=Debian,codename=${distro_codename}-updates";

## 添加 TS 更新项目

"origin=Tailscale,codename=${distro_codename},label=Tailscale";

## 在配置文件末尾增加以下内容，代表启用，并调整参数

Unattended-Upgrade::AutoFixInterruptedDpkg "true";

Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";

Unattended-Upgrade::Remove-New-Unused-Dependencies "true";

Unattended-Upgrade::Remove-Unused-Dependencies "true";

Unattended-Upgrade::Automatic-Reboot "true";

Unattended-Upgrade::Automatic-Reboot-Time "13:00";

系统自动更新配置文件修改完成后，需调整自动更新定时器，执行以下命令。

## 配置系统定时器
$ sudo systemctl edit apt-daily-upgrade.timer

根据配置文件中的提示，在中间空白处填入以下内容。

## 定时器配置项

[Timer]
OnCalendar=
OnCalendar=12:00
RandomizedDelaySec=0

设置完成后，重启自动更新定时器并检查其状态，执行以下命令。

在输出结果中，看到系统自动更新的触发时间为 12:00 则表示设置正确。

## 重启触发器
$ sudo systemctl restart apt-daily-upgrade.timer

## 再次检查触发器状态
$ sudo systemctl status apt-daily-upgrade.timer

1.10.配置防火墙

修改防火墙配置之前，需检查 nftables.service 服务状态，确保该服务开机自启。

## 检查 nftables.service
$ sudo systemctl status nftables.service

## 设置 nftables.service 开机自启
$ sudo systemctl enable nftables.service

由于防火墙规则内容较多，请打开文件 debian_ts_nftables.conf ，复制全文内容，完整替换 nftables 配置文件中的现有配置。

## 编辑 nftables 配置文件
$ sudo editor /etc/nftables.conf

配置完成后，需重启 nftables.service 服务。

## 重启 nftables.service
$ sudo systemctl restart nftables.service

1.11.调整系统端口

为了正常使用 53 端口，需要对 systemd-resolved.service 进行配置，执行以下命令。

## 创建 systemd-resolved 配置目录
$ sudo mkdir -p /etc/systemd/resolved.conf.d

## 创建 systemd-resolved 配置文件
$ sudo editor /etc/systemd/resolved.conf.d/10-server-dns.conf

在配置文件中输入以下内容，并保存。

# This configuration file is customized by fox,
# Optimize system resolve parameters for local TS server.

[Resolve]
DNS=127.0.0.1
DNS=::1
DNSStubListener=no

保存该配置文件后，还需调整系统 resolv.conf 配置文件，执行以下命令。

## 创建 resolv.conf 软链接
$ sudo ln -sf /run/systemd/resolve/stub-resolv.conf /etc/resolv.conf

配置完成后，需重启 systemd-resolved.service 服务。

## 重启 systemd-resolved.service
$ sudo systemctl restart systemd-resolved.service

1.12.配置 Dnsmasq

检查 dnsmasq.service 服务状态，确保该服务开机自启。

## 检查 dnsmasq.service
$ sudo systemctl status dnsmasq.service

## 设置 dnsmasq.service 开机自启
$ sudo systemctl enable dnsmasq.service

Dnsmasq 的主配置文件一般位于 /etc 目录下，修改配置文件之前，执行以下命令。

## 创建 Dnsmasq 配置目录
$ sudo mkdir -p /etc/dnsmasq.d

创建 Dnsmasq 主配置文件，执行以下命令。

## 创建 Dnsmasq 主配置文件
$ sudo editor /etc/dnsmasq.d/10-server-dnsmasq.conf

在编辑器对话框中输入以下内容，并保存。

额外说明：

请根据系统内存使用情况，调整缓存参数 cache-size
配置文件中监听的网卡名为 eth0 和 tailscale0 ，请根据实际情况进行调整
配置文件中内网域名为 fox.internal ，请根据实际情况进行调整
Dnsmasq 上游 DNS 服务器分为三类，请根据实际情况进行调整
- server=/ts.net/100.100.100.100 ：TS 服务 MagicDNS 专用 DNS 服务器
- server=/fox.internal/172.16.1.1 ：内网域名解析 DNS 服务器，通常为主路由地址
- server 参数中的其他 DNS 服务器供 TS 服务器自身及其下游设备使用

# This configuration file is customized by fox,
# Optimize dnsmasq parameters for local TS server.

# Main Config

conf-dir=/etc/dnsmasq.d/,*.conf
conf-file=/etc/dnsmasq.conf

log-facility=/var/log/dnsmasq.log
log-async=20

cache-size=2048
max-cache-ttl=7200
fast-dns-retry=1800

interface=eth0,tailscale0
rebind-domain-ok=/fox.internal/

bind-dynamic
bogus-priv
domain-needed
no-hosts
no-negcache
no-resolv
no-round-robin
rebind-localhost-ok
stop-dns-rebind

# DNS Filter

server=/alt/
server=/bind/
server=/example/
server=/home.arpa/
server=/internal/
server=/invalid/
server=/lan/
server=/local/
server=/localhost/
server=/onion/
server=/test/

# DNS Server

server=/ts.net/100.100.100.100
server=/fox.internal/172.16.1.1
server=172.16.1.1

配置完成后，需重启 dnsmasq.service 服务。

## 重启 dnsmasq.service
$ sudo systemctl restart dnsmasq.service

2. Tailscale

根据不同的启动参数，TS 服务将具有不同的业务能力。

2.1.网卡调优

根据 TS 官方文档 Performance best practices 的技术指引，优化网卡的 rx-udp-gro-forwarding 与 rx-gro-list 参数可提升 UDP 转发性能。

本文将使用 ethtool 工具并结合 systemd 服务提供参数自动配置方案。

## 创建 tailscale-nic-optim 优化脚本
$ sudo editor /usr/local/bin/tailscale-nic-optim

在脚本文件中输入以下内容，并保存。

#!/bin/sh
#
# This script is customized by fox,
# Optimize NIC offload parameters for local TS server.
#

ETHTOOL_PATH=$(command -v ethtool)

if [ -z "$ETHTOOL_PATH" ]; then
    echo "Error: ethtool command not found. Please install ethtool."
    exit 1
fi

NETDEV=$(ip route show default | awk '{for (i=1; i<=NF; i++) {if ($i == "dev") {print $(i+1); exit;}}}')

if [ -z "$NETDEV" ]; then
    echo "Error: Could not determine default network device using 'ip route show default'."
    exit 1
fi

echo "Configuring network device $NETDEV using $ETHTOOL_PATH for Tailscale optimizations..."

"$ETHTOOL_PATH" -K "$NETDEV" rx-udp-gro-forwarding on rx-gro-list off

if [ "$?" -eq 0 ]; then
    echo "Configuration successful for $NETDEV."
    exit 0
else
    echo "Error: ethtool configuration failed. Check permissions or device status."
    exit 1
fi

设置脚本可执行权限，并防止脚本被意外修改。

## 设置脚本可执行权限
$ sudo chmod +x /usr/local/bin/tailscale-nic-optim

## 设置脚本文件防篡改
$ sudo chattr +i /usr/local/bin/tailscale-nic-optim

进一步创建 tailscale-nic-optim 服务配置文件，以满足系统自动化设置需求。

## 创建 tailscale-nic-optim.service 配置文件
$ sudo editor /etc/systemd/system/tailscale-nic-optim.service

在服务配置文件中输入以下内容，并保存。

# This configuration file is customized by fox,
# Optimize for TS UDP performance.

[Unit]
Description=Tailscale Network Optimization for Subnet/Exit Nodes
ConditionVirtualization=!container
After=network-online.target
Wants=network-online.target
Before=tailscaled.service

[Service]
Type=oneshot
ExecStart=/usr/local/bin/tailscale-nic-optim
RemainAfterExit=yes
StandardOutput=journal

[Install]
WantedBy=multi-user.target

由于修改了服务项，需要执行以下命令进行重载。

## 服务重载
$ sudo systemctl daemon-reload

执行以下命令让 tailscale-nic-optim 服务立即启动并置为开机自启状态。

## 设置 tailscale-nic-optim 服务开机自启
$ sudo systemctl enable --now tailscale-nic-optim.service

2.2.启动模式

若仅需 TS 组网功能，执行以下命令。

## TS 普通组网模式
$ sudo tailscale up

若需 TS 提供 Exit Node 功能，执行以下命令。

## TS Exit Node 模式
$ sudo tailscale up --advertise-exit-node --reset

## TS Exit Node 模式，但不使用 MagicDNS
$ sudo tailscale up --advertise-exit-node --accept-dns=false --reset

若需 TS 提供内网路由功能并能访问内网私有服务，执行以下命令。

额外说明：

请根据内网网段，调整 TS 内网路由参数 advertise-routes

## TS 内网路由模式
$ sudo tailscale up --advertise-exit-node --accept-routes --advertise-routes=172.16.1.0/24 --reset

执行命令后，TS 将自动显示登录链接，只需根据链接进行登录操作即可。

2.3.自动更新

目前 TS 将跟随系统自动更新，若需额外开启 TS 的自动更新功能，执行以下命令。

## TS 开启自动更新
$ sudo tailscale set --auto-update

## TS 关闭自动更新
$ sudo tailscale set --auto-update=false

2.4.定时任务

本步骤为可选操作，主要用于设置 TS 定时重启。

## 编辑系统定时任务，编辑器选择 nano
$ sudo crontab -e

在配置文件末尾，增加以下内容。

## 定时任务配置项

30 10 * * * /usr/bin/systemctl restart tailscaled.service

至此，TS 服务器已配置完成。

19 KiB Raw Permalink Blame History Unescape Escape

0.前期准备

1.配置系统

1.1.配置 SSH

1.2.配置软件源

1.3.安装软件

1.4.配置 ZSH

1.5.配置默认编辑器

1.6.调整内核模块

1.7.调整内核参数

1.8.调整系统时间

1.9.配置自动更新

1.10.配置防火墙

1.11.调整系统端口

1.12.配置 Dnsmasq

2. Tailscale

2.1.网卡调优

2.2.启动模式

2.3.自动更新

2.4.定时任务

19 KiB

Raw Permalink Blame History