Archived
9.9 KiB
9.9 KiB
0.前期准备
某些业务场景下需要构建安全可靠的网络隧道，来打通异地内网环境或从外部访问内网的私有资源。
经过实际测试，当 TS 服务器具有 IPv6 GUA 地址时，能稳定建立隧道。
本文将使用 Debian 云镜像以及 Tailscale 来制作内网组网服务器。
对于虚拟机创建部分，请参考 04.PVE创建模板虚拟机 ，其他 Cloud-Init 相关参数如下：
| 参数 | 值 | 说明 |
|---|---|---|
| 虚拟机名称 | SVR01 |
TS 服务器 主机名 |
| DNS 域 | fox.home.arpa |
TS 服务器 Cloud-Init |
| DNS 服务器 | 172.16.1.1 fdac::1 |
TS 服务器 Cloud-Init |
| IPv4 | 172.16.1.4/24 |
TS 服务器 Cloud-Init |
| IPv4 网关 | 172.16.1.1 |
TS 服务器 Cloud-Init |
| IPv6 | SLAAC |
TS 服务器 Cloud-Init |
1.配置系统
由于 TS 服务器具备路由功能，所以在配置方法和系统参数方面与内网 DNS 服务器有一些区别。
1.1.配置 SSH
与配置内网 DNS 服务器时一样，首先需要调整系统的 SSH 登录权限参数。
在虚拟机的命令行界面，使用 vim 编辑器编辑 sshd 服务的配置文件，执行以下命令。
## 编辑 ssh 配置文件
$ sudo vim /etc/ssh/sshd_config.d/server_sshd.conf
在配置文件中添加以下配置项，并保存。
## SSH 配置项
PasswordAuthentication yes
PermitEmptyPasswords no
UseDNS no
修改完成后，需要重启 SSH 服务。
## 重启 sshd
$ sudo systemctl restart ssh.service
1.2.配置软件源
使用 vim 编辑器编辑 debian.sources 配置文件，执行以下命令。
## 编辑 debian.sources 配置文件
$ sudo vim /etc/apt/sources.list.d/debian.sources
删除里面全部内容，添加以下配置项，并保存。
## 系统软件源配置项
Types: deb
URIs: https://mirrors.ustc.edu.cn/debian
Suites: bookworm bookworm-updates
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
Types: deb
URIs: https://mirrors.ustc.edu.cn/debian-security
Suites: bookworm-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
为了防止 Cloud-Init 服务意外修改软件源配置，需要添加文件保护，执行以下命令。
## 增加文件保护
$ sudo chattr +i /etc/apt/sources.list.d/debian.sources
## 检查文件保护
$ lsattr /etc/apt/sources.list.d/debian.sources
#### 示例输出
----i---------e------- /etc/apt/sources.list.d/debian.sources
进一步添加 TS 签名密钥以及软件源，执行以下命令。
## 添加 TS 签名密钥
$ curl -fsSL https://pkgs.tailscale.com/stable/debian/bookworm.noarmor.gpg | sudo tee /usr/share/keyrings/tailscale-archive-keyring.gpg > /dev/null
## 添加 TS 软件源
$ curl -fsSL https://pkgs.tailscale.com/stable/debian/bookworm.tailscale-keyring.list | sudo tee /etc/apt/sources.list.d/tailscale.list
1.3.安装软件
软件源设置完成后，需要更新系统，执行以下命令。
## 清理不必要的包
$ sudo apt clean && sudo apt autoclean && sudo apt autoremove --purge
## 更新软件源
$ sudo apt update
## 更新系统
$ sudo apt dist-upgrade
接下来安装系统必要软件，安装 iperf3 后，系统将询问是否将其作为系统服务开机自启，选择 no 即可。
## 安装系统软件
$ sudo apt install qemu-guest-agent zsh git htop tmux cron nftables sshguard neovim
## 安装系统自动更新工具
$ sudo apt install unattended-upgrades powermgmt-base python3-gi
## 安装网络工具
$ sudo apt install iperf iperf3 iftop lsof knot-dnsutils dnsmasq conntrack
## 安装 TS
$ sudo apt install tailscale
## 写入磁盘
$ sudo sync
1.4.调整内核模块
使用 neovim 编辑器编辑 内核模块 配置文件，执行以下命令。
## 创建 内核模块 配置文件
$ sudo nvim /etc/modules-load.d/server_modules.conf
在配置文件中添加以下配置项，并保存。
# This configuration file is customized by fox,
# Optimize netfilter related modules at system boot.
nf_conntrack
1.5.调整内核参数
使用 neovim 编辑器编辑 内核参数 配置文件，执行以下命令。
## 编辑 内核参数 配置文件
$ sudo nvim /etc/sysctl.d/99-sysctl.conf
在配置文件末尾输入以下配置项，注意配置中间的空格。
# This configuration file is customized by fox,
# Optimize sysctl parameters for local TS server.
kernel.panic = 20
kernel.panic_on_oops = 1
net.core.default_qdisc = fq_codel
net.ipv4.tcp_congestion_control = bbr
net.ipv4.ip_forward = 1
net.ipv6.conf.all.forwarding = 1
net.ipv6.conf.default.forwarding = 1
# Other adjustable system parameters
net.core.netdev_budget = 600
net.core.netdev_budget_usecs = 20000
net.core.rps_sock_flow_entries = 32768
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.conf.all.arp_ignore = 1
net.ipv4.conf.default.arp_ignore = 1
net.ipv4.conf.all.rp_filter = 2
net.ipv4.conf.default.rp_filter = 2
net.ipv4.conf.all.log_martians = 1
net.ipv4.igmp_max_memberships = 256
net.ipv4.route.error_burst = 500
net.ipv4.route.error_cost = 100
net.ipv4.route.redirect_load = 2
net.ipv4.route.redirect_silence = 2048
net.ipv4.tcp_challenge_ack_limit = 1000
net.ipv4.tcp_fin_timeout = 30
net.ipv4.tcp_keepalive_time = 120
net.ipv4.tcp_syncookies = 1
net.ipv6.conf.all.accept_ra = 0
net.ipv6.conf.default.accept_ra = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv6.conf.default.accept_source_route = 0
net.ipv6.conf.all.use_tempaddr = 0
net.ipv6.conf.default.use_tempaddr = 0
net.netfilter.nf_conntrack_acct = 1
net.netfilter.nf_conntrack_checksum = 0
net.netfilter.nf_conntrack_tcp_timeout_established = 7440
保存该配置文件后，重启系统或者执行以下命令让配置生效。
## 让内核参数生效
$ sudo sysctl -f
1.6.调整系统时间
默认情况下 Debian 云镜像的系统时间需要调整，执行以下命令将系统时区设置为中国时区。
## 设置系统时区
$ sudo timedatectl set-timezone Asia/Shanghai
## 检查系统时间
$ date -R
#### 系统时间示例输出
Mon, 26 Jun 2023 16:16:16 +0800
Debian 云镜像默认使用 systemd-timesyncd.service 同步时间，且需要调整为使用国内 NTP 服务器。
调整 NTP 服务器参数，执行以下命令。
## 创建 NTP 配置文件的文件夹
$ sudo mkdir -p /etc/systemd/timesyncd.conf.d
## 创建 NTP 配置文件
$ sudo nvim /etc/systemd/timesyncd.conf.d/server_ntp.conf
在配置文件中添加以下配置项，并保存。
## NTP 配置项
[Time]
NTP=ntp.tencent.com ntp.aliyun.com
保存该配置文件后，需重启 systemd-timesyncd.service 服务，并再次检查系统 NTP 服务器地址。
## 重启 chrony 服务
$ sudo systemctl restart systemd-timesyncd.service
## 检查系统 NTP 服务器
$ sudo systemctl status systemd-timesyncd.service
1.7.配置自动更新
配置系统自动更新策略，执行以下命令，使用键盘 左右方向键 进行选择，回车键 进行确认。
## 配置自动更新策略
$ sudo dpkg-reconfigure -plow unattended-upgrades
## 选择 “是” （“YES”）
#### 系统自动更新示例输出
Creating config file /etc/apt/apt.conf.d/20auto-upgrades with new version
进一步调整 20auto-upgrades 配置文件。
## 编辑 20auto-upgrades 配置文件
$ sudo nvim /etc/apt/apt.conf.d/20auto-upgrades
删除里面全部内容，添加以下配置项，并保存。
配置文件中，用来控制更新周期的参数为 APT::Periodic::Unattended-Upgrade ，7 表示更新周期为 7 天。
## 系统更新周期配置项
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "7";
APT::Periodic::AutocleanInterval "1";
APT::Periodic::CleanInterval "1";
进一步调整 50unattended-upgrades 配置文件。
## 编辑 50unattended-upgrades 配置文件
$ sudo nvim /etc/apt/apt.conf.d/50unattended-upgrades
根据 “注释” 中相关说明，调整配置文件。
因为该配置文件很长，完整的配置文件可查看 debian_ts_50unattended_upgrades.conf 以便对比。
## 删除以下行前面的注释符 // ，代表启用
"origin=Debian,codename=${distro_codename}-updates";
## 添加 TS 更新项目
"origin=Tailscale,codename=${distro_codename},label=Tailscale";
## 在配置文件末尾增加以下配置项，代表启用，并调整参数
Unattended-Upgrade::AutoFixInterruptedDpkg "true";
Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";
Unattended-Upgrade::Remove-New-Unused-Dependencies "true";
Unattended-Upgrade::Remove-Unused-Dependencies "true";
Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "03:00";
系统自动更新配置文件修改完成后，需要重设自动更新定时器，执行以下命令。
## 配置系统定时器
$ sudo systemctl edit apt-daily-upgrade.timer
根据配置文件中的提示，在中间空白处填入以下配置项。
## 定时器配置项
[Timer]
OnCalendar=
OnCalendar=02:00
RandomizedDelaySec=0
设置完成后，重启自动更新定时器并检查其状态，执行以下命令。
在输出结果中，看到系统自动更新的触发时间为 02:00 则表示设置正确。
## 重启触发器
$ sudo systemctl restart apt-daily-upgrade.timer
## 再次检查触发器状态
$ sudo systemctl status apt-daily-upgrade.timer