PVE LXC 容器使用server客户端(hclient-cli)进行组网

## 故事背景 作为一个技术人员，相信大家或多或少都有自己的服务器，而我也不例外。为了更好地管理和使用服务器，我选择了Proxmox VE（PVE）作为我的虚拟化平台。在PVE中，我使用LXC容器来运行我的本地服务器和相关服务。 原本我是使用着自己的电信宽带免费开通的公网IP来供自己使用，同时也开了MC服务器，让朋友们一起游玩。但是由于搬家后的地方不支持电信宽带，我在去年的时候接触并下单了懒猫微服。尽管懒猫微服的组网功能很吸引我，但是由于去年的系统过于简陋也就退单了。 真正让我下决心的还是运营商公网IP政策收缩问题，在我新房宽带开通的时候属实是恶心到了。移动宽带的公网IP只能办理专线，电信的公网IP也改为了收费政策30/月（2025年6月后施行），尽管最后联通还是申请到了公网IP，但是谁也不能保证之后政策会如何改变。 相比过度阶段使用的FRP内网穿透，懒猫的组网支持双向的通讯，云服务器的备份可以通过添加懒猫的SMB或者webdav地址直接访问。而对比其他开源的组网方案，懒猫提供的客户端工具设置更加简单。 ## server客户端简介 在最早的设计里面，懒猫微服的组网使用过各种GUI客户端来实现的，包括Windows、Mac、Linux、Android、IOS，而服务端则是使用了[hclient-cli - github](https://github.com/lazycatcloud/hclient-cli)/[hclient-cli - gitee](https://gitee.com/lazycatcloud/hclient-cli)程序。用户需要手动配置CURL命令和参数来实现账户登陆等功能，十分的麻烦。 > ‼️目前github和gitee提供的release中的hclient-cli现在已经不在更新了。  新版本的网站将hclient-cli定义为了server客户端，当然我觉得这个名字更符合常理。并且最重要的是，server客户端新增加了版本显示和TUI界面，极大的方便了用户使用组网。  旧版本命令： ```bash root@debian:/opt/hclient# ./hclient-cli-linux-amd64 -h Usage of ./hclient-cli-linux-amd64: -api-addr string API监听地址,支持 (default "127.0.0.1:7777") -cfg string 配置文件路径 (default "/root/.config/hportal-client") -disable-api 不开启API配置服务器,建议仅在第一次运行时开启配置,然后关闭API server -http-addr string 提供的http服务器地址 (default "127.0.0.1:61090") -http-password string http代理设置auth密码（为空则随机生成，随机生成的密码位于配置文件夹下的http_proxy_password） -http-user string http代理设置auth用户名 -remotetun (internal only) -tun 是否开启系统tun模式,开启后系统层面可以直接访问微服资源. ``` 新版本命令： ```bash root@debian:/opt/hclient# ./hclient-cli -h Usage: hclient-cli [--address ADDR] hclient-cli help hclient-cli [--address ADDR] tui hclient-cli [--address ADDR] daemon [--proxy-listen-addr ADDR] [--tun MODE] [--proxy MODE] hclient-cli [--address ADDR] stop-daemon hclient-cli [--address ADDR] config <show|set> [flags] hclient-cli [--address ADDR] login <qr|manual|tfa> [flags] hclient-cli [--address ADDR] box <list|delete|enable|disable|set-default> [flags] hclient-cli [--address ADDR] init-box --pincode PINCODE --box-name NAME --admin USER [--password PASSWORD|--password-stdin] hclient-cli [--address ADDR] check hclient-cli [--address ADDR] install hclient-cli [--address ADDR] install --mode MODE [--tun MODE] [--exec-path PATH] [--skip-install-binary] hclient-cli [--address ADDR] upgrade hclient-cli [--address ADDR] uninstall hclient-cli [--address ADDR] upload-log [flags] Commands: tui Run interactive TUI daemon Run daemon in foreground stop-daemon Stop local daemon for current config config Show or update persisted CLI config login Headless login flows box Manage boxes init-box Initialize an unconfigured Lazycat Microserver check Check local environment, mainly TUN prerequisites install Install managed startup; supports fully non-interactive flags upgrade Upgrade managed binary from latest-version.json uninstall Remove managed startup and the installed managed binary upload-log Upload debug logs Flags: -address string daemon control address -version print CLI version ``` ### 下载运行Server客户端 Server版本可以直接在[官网下载](https://lazycat.cloud/download)，提供了linux/amd64、linux/arm64、linux-riscv64三个版本的二进制文件。 下载对应的版本后增加运行权限，直接运行即可。 ```bash # 以linux/amd64版本为例 右键对应的版本选择“复制链接地址”即可得到下载链接 wget https://dl.lazycatmicroserver.com/hclient-cli/v1.1.3/hclient-cli-linux-amd64 # 下载完成后增加运行权限 chmod +x hclient-cli-linux-amd64 # 运行TUI界面 根据提示安装TUN服务 并进行登陆 ./hclient-cli-linux-amd64 tui ```   同时，客服还提供了还提供了一键安装脚本（非官方）。 ```bash curl -fsSL https://gitee.com/aixinyin/scripts/raw/master/fix-hclient-cli.sh | sudo bash ```  > 不过我建议还是手动安装。 ### 跟踪Server客户端版本以及更多平台支持 在与微服官方老板们沟通之后，我得到了最新版本的地址，顺便看到了其他平台hclient-cli客户端的支持。 最新版本接口请求： ```bash curl https://dl.lazycat.cloud/hclient-cli/latest-version.json ``` 版本信息获取到的数据： ```json { "version": "v1.1.3", "artifacts": { "darwin-amd64": { "name": "hclient-cli-darwin-amd64", "sha256": "584b984cb8dd782701226b4faaad58c22113da95707e374f3bc47cfa1759c8d1" }, "darwin-arm64": { "name": "hclient-cli-darwin-arm64", "sha256": "7137f0a789c4f7d66d6b60f833bf6afa9a1b183f1b6362cdc21e65ae9661fd0b" }, "linux-amd64": { "name": "hclient-cli-linux-amd64", "sha256": "77bfdc49f3abfffd1b1c1cb8ea1962a80680a3dcdf9c360a8f103d640c34d84e" }, "linux-arm64": { "name": "hclient-cli-linux-arm64", "sha256": "b0bbb299e1b799bc74811562234e0ae93d97b8ff12f5091b1dc5fbc66c4d8963" }, "linux-riscv64": { "name": "hclient-cli-linux-riscv64", "sha256": "7f851753b7f0c75a5e194f868d9eb94cf32ec824af4148daf3a76f4ebe6ccdd5" }, "windows-amd64": { "name": "hclient-cli-windows-amd64.exe", "sha256": "f747d55a31e5ba49442fca1b5dc52fd8d7bb6bfff43ffe3f101345df5a2075cc" }, "windows-arm64": { "name": "hclient-cli-windows-arm64.exe", "sha256": "8f66053fea96842aeeb6be470312edc85ede814c21af745a6f9373406ea8ede9" } } } ``` 这样我们之需要替换对应的版本平台信息就可以拼接出对应的版本平台二进制文件的下载地址：`https://dl.lazycatmicroserver.com/hclient-cli/{.version}/{.artifacts.platform.name}`。 例如：linux/amd64平台的1.13版本的下载地址就是`https://dl.lazycatmicroserver.com/hclient-cli/v1.1.3/hclient-cli-linux-amd64`。 不过可惜的是，官方暂未提供更新日志。 ## 问题出现 我的设备比较多，所以打算每个设备都运行server客户端，这样最大程度利用懒猫微服进行组网互通。 | 设备 | 用途 | 平台 | 位置 ｜ |:-|:-:|:-|:-:| | 轻量应用无忧服务器 | 网站、GIT、密码 | linux/adm64 | 腾讯云 | | GMK K8 | PVE虚拟机 | linux/amd64 | 住房 | | PVE - 1Panel | 游戏服、应用服 | linux/amd64 | PVE-LXC环境 | | 群晖 DS 224+ | 照片、文件、备份 | linux/amd64 | 租房 | | 威联通 QNAP TS-453Dmini | 深度归档 | linux/amd64 | 租房 | 不过，在PVE的LXC服务器中安装时却出现了问题。报错提示：`Runtime startup failed`，具体信息为： ```bash open /root/.config/hportal-client/ shellapi_addr: no such file or directory ```  由于之前使用其他组网工具时也是开启TUN模式失败的问题，所以我也是第一时间接受了。 于是，问题又回到了LXC容器如何才能开启TUN模式。 ## 解决方案 在尝试了各种关键词组合查找方案之后，豆包给出了一个可靠的方案。 ### 0. 开启特权容器 由于我本身就是使用的特权容器，所以这一步我就跳过了，但是如果有用户不能接受特权模式运行，可以直接跳转到最后的参考文档中，进行对应的配置测试。 找到对应的虚拟机关机，然后点击选项，将`无特权的容器`改为`否`。  ### 1. 确认TUN设备是否可用 在容器内执行以下命令，确认 TUN 设备是否存在且可用： ```bash # 检查TUN设备是否存在 ls -l /dev/net/tun # 测试是否能打开TUN设备 cat /dev/net/tun ``` - 如果显示 No such file or directory：设备没有被挂载到容器 - 如果显示 Operation not permitted：有设备但没有访问权限 - 如果显示 cat: /dev/net/tun: File descriptor in bad state：✅ 设备正常工作 我执行后的结果： ```bash root@debian:/opt/hclient# cat /dev/net/tun cat: /dev/net/tun: Operation not permitted ``` > 我本身开启的是特权模式，所以这里能找到设备。 ### 2. 关闭容器，修改配置  **必须先关闭容器**再修改配置，否则修改会被覆盖： ```bash # 在PVE宿主机执行 pct stop <容器ID> ``` 编辑 /etc/pve/lxc/<容器ID>.conf 文件，在末尾添加以下 4 行： ```conf # 允许访问TUN/TAP字符设备（主设备号10，次设备号200） lxc.cgroup2.devices.allow: c 10:200 rwm # 绑定挂载宿主机的TUN设备到容器 lxc.mount.entry: /dev/net/tun dev/net/tun none bind,create=file # 解除AppArmor限制（PVE 8+必须加，否则即使有设备也会被拦截） lxc.apparmor.profile: unconfined # 开启基本系统挂载 lxc.mount.auto: proc:rw sys:rw ``` > 这让我想起来最初部署服务器的时候，司波图老师的教程（帮助文档有提到）中提到过的为LXC容器加入渲染器硬件。 ### 3. 启动容器并验证 ```bash 运行 # 启动容器 pct start <容器ID> # 进入容器 pct enter <容器ID> # 再次验证TUN设备 cat /dev/net/tun ``` 实际运行效果： ```bash root@Docker:/opt/app/hclient# cat /dev/net/tun cat: /dev/net/tun: 文件描述符处于错误状态 ``` 这样就可以继续运行`./hclient-cli-{your-platform} tui`进行安装TUN服务，并进行后续配置了。 ## 验证组网 由于云服务器提供的性能通常有限，而我本地则是8845HS处理器，所以运行轻量大模型的任务就在本地了。之前都是使用frp反向代理道服务器端口，占用一个端口不说，管理也十分麻烦。 现在可以通过[懒猫微服在线设备获取](https://lazycat.cloud/appstore/detail/in.zhaoj.lazycatonlinedevice)，查询到分配的设备专属域名，然后通过http://{domain}:{port}/api/tags来访问到家里的ollama了。   https://appstore.lazycat.cloud/#/shop/detail/in.zhaoj.lazycatonlinedevice ## 最后说两句 从易用角度，懒猫微服可以说是最易用的个人服务器。但是，当前我更愿意将其定义为年轻人的第一台开发服务器。[官方开发文档](https://developer.lazycat.cloud/)无疑也是一份技术学习手册，可以开阔思路。同时[局域网端口转发工具](https://lazycat.cloud/appstore/detail/cloud.lazycat.app.forward)也为开发者提供了更快的服务发布、测试等功能。 https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.forward 如果后续能融入[ActivityPub](https://zh.wikipedia.org/wiki/ActivityPub)的理念，我感觉会变得更加有意思。 ## 参考文档 - [豆包 —— Proxmox VE LXC TUN 设备无法使用及解决方案](https://www.doubao.com/thread/x5717d70a5daf8c058f4a67c87332a748) - [Giteee -- 司波图/通用PVE AIO安装教程](https://gitee.com/spoto/PVE_Generic_AIO/tree/master/1、创建基于LXC的Docker容器_（未完成）)

微服网络隔离，如何实现应用互联？

**懒猫微服平台中的应用默认享有网络隔离，类似Docker容器间隔离。若需两个应用互访，可通过端口转发工具配置实现。** [以Radarr和Jackett为例](https://playground.lazycat.cloud/#/guideline/295) **端口转发部分配置** 在懒猫商店下载局域网端口转发工具，用于映射Jackett应用端口被Radarr访问 https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.forward 局域网网路地址： ```bash 局域网出口类型：选择"微服虚拟网卡（仅微服应用容器内可访问）" 微服虚拟网卡：host.lzcapp 端口：9117（建议与应用内） ``` 目标转发地址： ```bash 转发目标类型：选择"微服应用" 微服应用:选择"Jackett"(这里注意一定看一下Jackett的状态是否running，如果显示stopped，关闭"端口转发应用"在重新打开 server tcp 9117 ```   配置完成后测试连接——>并保存 ## Radarr软件 Jackett软件配置完成后，从商店中查找并安装Radarr软件。下载安装完成后对其进行相关配置。 - 下载客户端 软件上架时会将下载器一起打包，所以这里就不需要配置下载器了，默认已经配置完成。下载器默认下载的路径为 “/home/下载” 目录。  - 索引器 点击索引器按钮菜单，点击“添加索引器”按钮，选择“Torznab”进行相关配置。 填写相关参数： ```bash 名称：建议填写Jackett中Indexer的名称 URL：点击Jackett中Indexer的Copy Torznab Feed 这里需要注意，默认复制出来的域名是https://jackett.微服名.heiyu.space/api/v2.0/indexers/Indexer名/results/torznab/ 需要修改两处："https"改为"http"；"jackett.微服名.heiyu.space"改为"host.lzcapp:9117" API Key：Jackett中左上角复制填入 ```  URL和API Key填写成功以后，点击“Categories”会自动弹出列表，在列表中选择需要的分类。   添加完成后点击测试，没有问题后点击保存，按照上面的方法可以添加多个索引。 

幻兽帕鲁服务器联机攻略

幻兽帕鲁正式版在七月发布了，这篇攻略教会你如何使用微服来一键开服。 先上成品图：   使用到的应用： https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.games.palworld https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.forward 应用安装： 商店点击安装应用后，首先输入管理员密码来初始化应用 同时会同步进行STEAMCMD和PALWORLD的服务端下载  Pal Saved目录设置为/game  REST API的 地址调整为```http://palworld:8212```,密码设置为：```S975bhn1 ```  然后点击确定，等待服务端下载完成。  若校验事件过长或配置时应用图标的启动变成橙色了，重启一下继续配置就好  等待服务器启动完成：  连接服务器方式： 由于幻兽帕鲁游戏连接不支持ipv6，需要使用ipv4进行连接，这里需要用到端口转发工具： 将应用的palworld服务的8211端口转发到本地，协议调整为UDP：   在游戏内输入：127.0.0.1:8211即可进入游戏   连接后即可进行游玩 

在懒猫中用 ani-rss 和 qBittorrent 下载番剧

## 看番是对的！ 多看番剧提升二次元浓度有助于技术提升 ( bushi https://appstore.lazycat.cloud/#/shop/detail/dev.libr.anirss https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.qbittorrent https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.forward ## 准备 懒猫微服客户端下载 ani-rss、qBittorrent、局域网端口转发工具 注意说明界面提供的**账号**和**挂载路径**    ## 使用 ### qBittorrent 1. 打开 qBittorrent，使用说明界面提供的账号登录 2. 登录后点击设置选项  3. 顶部选项卡切换到 `Web UI`，记住对应的端口  ## 局域网端口转发工具 使用端口转发工具将在懒猫中运行的 qBittorrent 暴露到局域网中以便其他服务访问 1. 打开局域网端口转发工具 2. 点击添加映射规则  3. 填写对应信息、测试、创建  ## ani-rss 1. 打开 ani-rss 使用说明界面提供的账号登录 2. 点击右上角设置  3. 填写下载设置，测试 qBittorrent 登录 ❗❗❗一定要使用下载说明界面提供的路径 `网盘下载目录挂载路径：/root/Downloads`，否则会下载到对应容器内，懒猫网盘里是找不到的  4. 修改其他你需要的设置 5. 添加订阅    6. 等待下载任务完成 ## 总结 多看番！看好番！ 订阅新番，在字幕组更新后，会自动下载最新一集，方便！ 第一次写攻略，如果有问题欢迎交流讨论指正！ 🤝

懒猫微服部署 Trivy Web UI 让应用镜像风险一键可见

# 懒猫微服部署 Trivy Web UI 让应用镜像风险一键可见 https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.liu.trivy ## Why - 为什么选择 Trivy Web UI？ ### 应用场景 - **应用审核前检查**：在懒猫微服应用商店审核镜像时，先确认是否存在高危漏洞。 - **初次部署体检**：自己准备安装的应用，在安装前或刚部署完成立即扫描。 - **安全敏感自检**：对安全要求较高的用户，定期抽查常用镜像的风险状态。 ### 解决的痛点 - 懒猫应用镜像无法从外网获取，传统 Trivy 无法直接扫描。 - 多人分别在终端执行 Trivy 时，重复下载体积巨大的漏洞数据库。 - 纯命令行操作门槛高，配置差异导致扫描策略不一致。 ### 方案优势 - **内网直连**：部署在懒猫微服内部，可直接访问受保护的商店镜像。 - **可视化体验**：表单化配置、实时日志、结果导出，降低安全工具的入门难度。 - **离线加速**：内置本地漏洞数据库，可通过环境变量自定义镜像源并定期更新。 - **漏洞库复用**：本地命令行可指向服务器漏洞库，避免重复下载资源。 ## What - Trivy 与 Trivy Web UI 是什么？ ### Trivy 的定位 - 轻量级安全扫描器，覆盖容器镜像、文件系统、依赖包、IaC 模板等多种资产。 - 支持 CVE 漏洞、配置合规、敏感信息等多维度检查。 ### Trivy Web UI 的角色 - 部署在懒猫微服上的 Web 管理界面，为 Trivy 提供可视化入口。 - 负责镜像源管理、仓库凭据录入、扫描配置、风险报告导出与历史追踪。 - 通过场景模板固化常用设置，帮助个人快速复用安全检查流程。 ## Who - 谁适合使用？ ### 目标用户 - 懒猫微服应用的审核人员，在审核流程中顺手检查镜像安全。 - 对懒猫微服生态安全特别敏感的个人用户，想在安装前后掌握镜像风险。 - 自行构建或修改镜像、希望在发布前做最后一次安全确认的个人开发者。 ### 前置准备 - 确认已在懒猫微服应用商店安装好 Trivy Web UI。 - 准备好目标镜像所在仓库的访问凭据（如有）。 - 了解自己对漏洞等级的接受阈值，方便设置过滤策略。 ## When - 什么时候使用？ ### 关键时刻 - 将镜像提交到懒猫微服应用商店审核之前。 - 在自己的懒猫微服上首次部署或升级第三方应用时。 - 发现相关镜像有新增漏洞通告、想确认风险程度时。 ### 使用节奏 - 审核和部署环节视为必做步骤，保障第一时间掌握风险。 - 如果对安全格外敏感，可建立自己的周期性扫描计划（如每月或每季度）。 - 当收到安全事件或社区提醒时，及时补扫重点镜像。 ### 扫描结果有效性 - Trivy 官方漏洞库每 6 小时构建更新一次，建议定期重新扫描关键镜像以获取最新风险评估。 - Trivy Web UI 内置的离线漏洞库会随应用更新而刷新，关注应用商店的版本更新提示即可。 - 对于长期运行的生产镜像，建议至少每月重新扫描一次，以发现新披露的漏洞。 ## Where - 在哪里部署与操作？ ### 部署位置 - 懒猫微服务器内置 Trivy 服务与 Web UI，无需额外安装。 -  - 服务监听固定端口（Trivy Server 的 API 端口为 59902）。 ### 可扫描的镜像来源 - 懒猫应用商店镜像（直接读取宿主机缓存）。 -  - 私人或团队自建的镜像仓库。 - 公有仓库：Docker Hub、阿里云容器镜像服务等，只要网络可达即可。 ### 访问终端 - 推荐使用桌面浏览器访问 Web UI，便于查看报告与管理模板。 - 若习惯命令行操作，可在局域网终端通过 Trivy CLI 调用服务器。 ## How - 如何配置与使用？ ### 一、初次登录与界面巡览 - 1. 打开懒猫微服应用入口，访问 Trivy Web UI。 -  - 页面底部会有应用版本号，以及该应用代码仓库的链接。 - 2. 使用平台账号登录，进入“镜像扫描配置”页面。 -  - 3. 熟悉页面布局：顶部为镜像地址与凭据，中部为扫描选项，高级选项与配置管理位于折叠面板，底部展示扫描历史。 -  ### 二、基础扫描配置 1. **指定镜像**：在“镜像地址”栏输入完整地址，或点击“从宿主机选择”读取本地镜像列表。 https://appstore.lazycat.cloud/#/shop/detail/top.j0k3r.lpk-inspector - 1. 你可以通过 懒猫应用查看器，在部署应用前就获取到应用依赖的镜像地址。 -  - 2. 你可以通过应用本身的 从宿主机选择 来获取运行中和本地全量的镜像地址列表。 -  2. **配置凭据**：如目标仓库需认证，填写用户名与密码，可选择启用 TLS 证书校验。 - 1. 如果是扫描 懒猫微服 **原生镜像**（镜像地址前缀是 registry.lazycat.cloud），不需要配置凭据，并且需要取消 `启用 TLS 证书校验 - 1. 如果是其他私有镜像仓库，请配置相关的凭据。 - 3. **安全提示**：默认不保存密码，每次需重新输入。若需保存密码便于重复扫描，可在应用配置中设置环境变量 `TRIVY_ALLOW_PASSWORD_SAVE=true`。建议使用只读权限的凭据以降低风险。 3. **选择扫描选项**： - 漏洞严重等级：限定需要关注的最低等级（默认全部）。 -  - **推荐策略**：生产环境或商店审核建议关注 HIGH 及以上；个人测试环境可只关注 CRITICAL，减少信息过载。 - 检测优先级：切换精准模式以降低误报，或选择速度优先。 -  - 包类型：是仅扫描基础镜像的漏洞，还是仅扫描应用自身的漏洞。 -  - 输出格式：JSON、HTML 等，方便保存记录或与他人分享。 -  - 详细说明请参考 Trivy 官方文档。 4. **配置输出选项**：确认输出格式，并在需要时勾选"只显示有修复方案的漏洞"等过滤项。 -  - 有些漏洞是展示没有修复版本的，如果你不需要看到这部分漏洞，可以勾选后忽略。 ### 三、场景模板管理 1. 展开“高级选项”中的配置管理区域。 -  2. 选择或新建模板名称，将当前配置保存为模板。 3. 典型模板建议： - `registry-review`：懒猫商店审核时使用，严格策略关注 HIGH 及以上漏洞。 - `self-hosted`：个人私有仓库镜像检查，可自定义安全等级。 - `public-registry`：检查 Docker Hub、阿里云等公有仓库的第三方镜像，建议关注 CRITICAL 和 HIGH。 4. 后续扫描时，通过下拉列表快速切换模板，保持自己的检查流程一致。 ### 四、执行扫描与分析结果 - 1. 点击“开始扫描”，系统会立即拉取镜像并运行 Trivy。 -  - 2. 在扫描过程中，可观察页面状态与进度提示，如需排查可打开实时日志。 - 3. 扫描完成后，历史记录区域会列出镜像名称、时间、状态与漏洞统计。 - 4. 点击“查看日志”了解细节，或选择“下载报告”获取离线文件，根据 CVE、风险等级、影响组件判断是否继续使用该镜像或采取替代方案。 -  ### 五、高级选项与调优 1. **调试模式**：勾选后显示更详细的执行日志，用于排错。 -  -  3. **自定义漏洞数据库镜像**：在懒猫微服的应用配置中设置环境变量，指向自备的漏洞库镜像地址。 -  - 示例环境变量配置： ```bash TRIVY_DB_REPOSITORY=ghcr.io/aquasecurity/trivy-db TRIVY_JAVA_DB_REPOSITORY=ghcr.io/aquasecurity/trivy-java-db ``` - 如需使用国内镜像加速或私有镜像源，修改上述地址即可。 3. **输出控制**：切换输出格式或启用调试按钮，便于和自己的记录方式或脚本配合。 ### 六、隐藏技巧：复用服务器漏洞库 https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.forward - 1. 确认懒猫微服的 Trivy 服务端口（默认 59902）对内网可访问。 -  - 2. 在任意终端执行： ``` trivy image --server http://懒猫微服IP:59902 镜像名 ``` -  - 3. CLI 会直接复用懒猫微服上的离线漏洞数据库，减少多台设备重复下载的带宽与存储消耗，同时保证扫描结果与 Web UI 保持一致。 ### 七、常见问题与故障排查 #### 镜像拉取失败 - **现象**：扫描日志显示"unable to pull image"或连接超时。 - **排查步骤**： 1. 检查镜像地址是否正确，确认包含完整的仓库路径（如 `registry.example.com/namespace/image:tag`）。 2. 如需认证，确认用户名和密码无误，并检查是否启用了 TLS 证书校验。 3. 验证懒猫微服的网络连通性，尝试在懒猫微服终端手动 `lzc-docker pull` 该镜像。 4. 对于私有仓库，确认凭据具有拉取权限。 #### 扫描超时或进度卡住 - **现象**：扫描长时间无响应或停留在某个阶段。 - **排查步骤**： 1. 大型镜像（如包含多个操作系统层）可能需要较长时间，建议耐心等待或查看实时日志。 2. 检查懒猫微服的磁盘空间是否充足，Trivy 需要临时存储镜像层。 3. 启用调试模式，查看详细日志定位卡住的具体步骤。 4. 如持续失败，尝试重启 Trivy 服务或重新部署应用。 #### 凭据配置错误 - **典型表现**：提示"authentication failed"或"401 Unauthorized"。 - **解决方法**： 1. 确认用户名和密码中没有特殊字符导致的转义问题。 2. 检查凭据是否已过期或账号是否被锁定。 3. 如使用 Token 认证，确认 Token 格式正确且权限足够。 4. 对于 Docker Hub，确认是否需要使用个人访问令牌（PAT）而非密码。 #### 漏洞数据库更新失败 - **现象**：扫描时提示"database is outdated"或无法连接漏洞库。 - **解决方法**： 1. 检查自定义的 `TRIVY_DB_REPOSITORY` 环境变量是否正确。 2. 确认懒猫微服能访问漏洞库镜像地址（如 ghcr.io）。 3. 如使用离线模式，等待 Trivy Web UI 应用更新以获取最新内置漏洞库。 4. 临时解决：在应用配置中切换到国内镜像加速地址。 ## How Much - 投入成本评估 ### 时间成本 - 首次建立模板与流程约需 5～10 分钟。 - 复用模板后发起扫描，通常 1 分钟内即可完成配置。 ### 资源成本 - 借助懒猫微服内置服务，无需额外服务器或授权费用。 - 内置漏洞库与 CLI 共享机制显著降低网络流量与磁盘占用。 ### 维护成本 - 关注 Trivy Web UI 的应用更新，及时获取最新漏洞库；若使用自定义镜像源，也需偶尔同步版本。 - 不时检查保存的模板和凭据，确保账号仍然可用并符合自己的安全期待。 ## 相关资源 - Trivy 官方文档：https://trivy.dev/latest/ - Trivy 安装指南：https://trivy.dev/latest/getting-started/ ## 结语 通过懒猫微服内置的 Trivy Web UI，你可以在本地网络中高效完成镜像安全扫描：一键套用模板、快速出具报告、复用漏洞库保持一致性。只需几分钟的配置，就能在应用审核或个人部署前做出明智决策，为懒猫微服的日常使用增添一层可靠的安全保障。

让网络安全更进一步——懒猫配置雷池WAF应用防火墙

- 首先，waf是什么？**WAF（[Web Application Firewall](https://baike.baidu.com/item/%E5%BA%94%E7%94%A8%E9%98%B2%E7%81%AB%E5%A2%99/5733317)）** 是 **Web 应用防火墙**，专门用于保护 Web 应用程序免受网络攻击的安全工具 - **一些核心功能如下：** 1. **防御常见攻击** 拦截如 **[SQL注入](https://baike.baidu.com/item/sql%E6%B3%A8%E5%85%A5)**、**[跨站脚本](https://baike.baidu.com/item/XSS%E6%94%BB%E5%87%BB)（XSS）**、**文件包含**、**[CSRF](https://baike.baidu.com/item/%E8%B7%A8%E7%AB%99%E8%AF%B7%E6%B1%82%E4%BC%AA%E9%80%A0)** 等针对应用层的攻击。 2. **[流量监控与过滤](https://baike.baidu.com/item/%E6%B5%81%E9%87%8F%E7%9B%91%E6%8E%A7)** 实时分析 HTTP/HTTPS 流量，识别并阻断恶意请求。 3. **防护[零日漏洞](hhttps://baike.baidu.com/item/0day)** 通过规则更新或机器学习，缓解未公开的漏洞利用。 对于家中nas这类微型服务器，众多app各自为战，**不做登录鉴权/没有ip过滤/使用带漏洞的组件库的容器（app）屡见不鲜**，这时就需要一个防火墙对后端应用进行保护。 而常见的二层/三层防火墙只是工作在网络方面，用于隔绝不同子网的安全域或提供ip包头的识别与拦截，无法对更上层的恶意请求进行识别与拦截。这时便需要应用防火墙WAF进行处理。**雷池WAF作为一款Web应用防火墙**，区别于传统防火墙，WAF 工作在应用层，对基于 HTTP/HTTPS 协议的 Web 系统有着更好的防护效果，使其免于受到黑客的攻击。 ## 安装步骤 ### 1、安装雷池并配置端口转发 首先从应用商店下载`Safeline雷池`与`局域网端口转发工具` https://appstore.lazycat.cloud/#/shop/detail/peterpig.lzcapp.safeline https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.forward 由于雷池首次启动需要对数据库进行初始化，因此首次启动将会失败，需要等待2分钟后手动右键关闭软件并重启一次  此时再打开雷池就能进入登陆界面  首次登录需要使用命令行进行一次密码重置与数据初始化操作，**为了避免命令行界面被恶意扫描**，需要手动进行端口转发，否则将无法访问命令行界面。 此时打开下载好的`局域网端口转发工具`，按照图示添加一个转发项  然后打开浏览器，输入http://127.0.0.1:23341/ 访问雷池容器的命令行，输入resetadmin回车即可重置管理员用户名与密码  **配置完密码后建议手动删除转发项，避免命令行界面被其他应用/病毒扫描从而暴露管理员权限** ### 2、配置雷池WAF 雷池安装完成后，我们便可进行反代配置，让所有流量通过雷池进行鉴别，从而保护后端的服务。 首先通过上文获取到的用户名和密码登录雷池管理界面，点击左侧的`防护应用`栏目  点击右上角的`添加应用`按钮  输入你所需要保护的应用地址和反向代理对外端口，此处以对外`12345`端口，代理局域网内**另一台**unraid服务器的**管理面板**为例  添加成功后便会显示在应用列表中，此时再去**步骤1**中的`端口转发工具`中放行对应`12345`端口，即可使用对应链接进行访问。**特别注意此处转发的应该为`safeline-tegine`容器而非`safeline-mgt`容器**   以此处的转发类型为微服域名为例，即可直接使用http://<微服名>.heiyu.space:12345/login访问到对应网页。  **同样的，配置完后所有安装了懒猫客户端的设备均可使用这一链接访问到该服务，变相实现了一种利用懒猫免穿透访问家中其他设备服务的效果**  如需直接暴露至公网，则可以在转发工具中选择**转发至通配符地址**，再在防火墙中放行懒猫ip的对应端口即可，以OPNsense为例，选择放行对应端口即可，严格一点的可以限定放行懒猫ip的对应端口  ### 3、测试 雷池配置成功后，即可在应用处开启前置身份验证等功能，各位按需选择     --- ### 高级操作 ### 1、 接入OIDC实现免密码登录 参考官方教程[雷池 WAF 帮助文档 - 身份认证 - OIDC](https://help.waf-ce.chaitin.cn/node/01973fc6-e0ea-7c45-8412-9a6ab6c70d62)  微服的不行，微服的OIDC目前无法自定义回调url，期待官方更新😁

局域网端口转发教程

https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.forward ## 局域网端口转发访问流程：  > 设备访问——>入口地址——>通过端口转发后——>访问目标地址 > 始终记住访问的永远是左边的地址 > 注意端口范围：**1~65535**（尽量用 **1024** 以上的端口，避免一些常用协议端口，避免转发一些使用过的端口，创建之前一定先检测连通性） ## 配置选项说明以及使用方法 ### 1、微服网卡 (仅微服所在局域网可访问) 限制在微服所在的局域网内访问，外部网络无法直接连接 适用于局域网内部的服务调用和数据传输 **适用使用举例**： 通过微服网卡IP——>访问——>微服应用服务  **通过微服网卡IP——>访问——>微服登录的客户端主机上的服务（目标地址的客户端要登录懒猫微服应用）** 这个可以用远程桌面，访问登录客户端的设备（示例演示的是一个手机上的 `python -m http.server` 的例子）   通过微服网卡IP——>访问——>其他网络地址：微服局域网设备或者微服127.0.0.1的服务（本身127.0.0.1的服务是指：**mainframe** 文件中有 `network_mode：host` 的，或者 **dockge** 部署的容器） 这个可以用远程桌面，微服局域网设备或者微服 `127.0.0.1` 的服务（示例演示 **dockge** 起的服务）   ### 2、微服虚拟网卡 (仅微服应用容器可访问) 适用于微服应用容器内部的通信，外部无法直接访问 提供隔离的网络环境，确保容器间通信的安全性 **懒猫微服平台中的应用默认享有网络隔离，类似Docker容器间隔离。若需两个应用互访，此选项来实现转发配置。** **适用使用举例：** 应用访问——> host.lzcapp:端口 ——>另一个应用服务 [以Radarr和Jackett为例](https://playground.lazycat.cloud/#/guideline/295)  <img src="https://lzc-playground-1301583638.cos.ap-chengdu.myqcloud.com/guidelines/1128/20250605165748091.png?imageSlim" alt="image-20250409140008473" style="zoom: 50%;" /> ### 3、微服域名 (仅登录微服务户端可访问) 通过域名访问，仅限于已登录微服务客户端的用户 提供基于身份验证的访问控制，增强安全性 **适用使用举例**： 登录客户端——>访问：$微服名.heiyu.space:端口——>微服登录的客户端主机上的服务（目标地址的客户端要登录懒猫微服应用） 这个可以用远程桌面，访问登录客户端的设备（示例演示的是一个python的例子）   登录客户端——>访问：$微服名.heiyu.space:端口——>其他网络地址：微服局域网设备或者微服127.0.0.1的服务（本身127.0.0.1的服务是指：mainframe中有network_mode：host的，或者dockge部署的容器） 这个可以用远程桌面，微服局域网设备或者微服 `127.0.0.1` 的服务（示例演示微服局域网的 **Ubuntu** 的 **ssh** 远程）  <img src="https://lzc-playground-1301583638.cos.ap-chengdu.myqcloud.com/guidelines/1128/image-20251118133025952.png?imageSlim" alt="image-20251118133025952" style="zoom:50%;" /> ### 4、微服务户端 (仅映射的客户端本地可访问) 服务仅映射到客户端本地，其他设备或用户无法访问 适用于需要本地化服务的场景，保护数据隐私 这个就相当与把微服应用服务、其他客户端的服务端口、其他地址服务端口，转到某一个设备上面，在那个设备上面使用127.0.0.1即可访问 **适用使用举例：** 登录客户端——>本地客户端访问 `127.0.0.1:端口` ——>微服应用服务、其他客户端的服务端口、其他地址服务端口  <img src="https://lzc-playground-1301583638.cos.ap-chengdu.myqcloud.com/guidelines/1128/image-20251118135613205.png?imageSlim" alt="image-20251118135613205" style="zoom: 50%;" /> ### 5、微服通配地址 (0.0.0.0) 绑定到所有网络接口，允许从任意地址访问 通常用于开放服务的场景，保护数据隐私 这一个配置可以代替以上除了 微服务户端 (仅映射的客户端本地可访问) 的所有配置 ## 目标转发地址 #### 1、微服应用 **操作过程**： 选择应用（映射懒猫已运行的应用服务） 选择服务(mainfest.yml里的service名称) 选择服务协议（默认tcp/udp） 可下拉选择映射的端口 **主要用途**： 应用的服务暴露与访问 **注意事项**： 应用需要running状态，如果启动了应用，但是列表里面没有running，可以点一下刷新 如果不知道转发应用那个端口，可以点击端口旁边的小问号，查看具体服务对应的具体端口   #### 2、微服客户端 **操作过程：** 选择客户端网络地址（主机名称） 选择服务协议（默认tcp/udp） 选择需要映射的端口 （可选）添加备注 **主要用途：** 客户端调试与访问 这个可以用作远程访问，前提是对端设备也登陆了懒猫微服客户端  #### 3、其他网络地址 操作过程： 输入目标网络地址 选择服务协议（默认tcp/udp） 输入需要映射的端口 （可选）添加备注 **主要用途：通用网络转发（如：dockge写127.0.0.1+端口compose里的端口、微服能通信的网络：写IP地址+服务端口）** 一定要测试连通性 可用用作远程访问微服同局域网的设备上的服务 dockge的写法  微服同局域网的写法  ## 添加转发LPK > 0.9.2 新增功能 我们在别的设备部署了服务，想要通过微服的域名访问，可以使用这个功能。  点击**转发LPK**会弹出**创建转发LPK界面** <img src="https://lzc-playground-1301583638.cos.ap-chengdu.myqcloud.com/guidelines/1128/image-20260325144411014.png?imageSlim" alt="转发本地py程序" style="zoom:50%;" /> - 子域名：打开应用的子域名，列如 {填写的子域名}.{你的盒子名}.heiyu.space - 名称：在控制台的名称 - 图标：在控制台显示的图标 - 上游地址：要转发的服务地址 - 协议可选 http 和 https，选择与转发服务相同的协议 - ip 要转发服务的地址 - 端口 转发服务的端口 - **跳过认证，可以在不登录微服的情况下使用（API类型的服务，推荐勾选这个选项，在发送请求时不需要在添加微服的认证请求头）** - 图标，在启动台展示的应用图片 - Package ID，自动生成不能修改 <img src="https://lzc-playground-1301583638.cos.ap-chengdu.myqcloud.com/guidelines/1128/image-20260325144838888.png?imageSlim" alt="image-20260325144838888" style="zoom:50%;" /> 点击创建后会自动安装一个应用到启动台里面 <img src="https://lzc-playground-1301583638.cos.ap-chengdu.myqcloud.com/guidelines/1128/image-20260325145059804.png?imageSlim" alt="image-20260325145059804" style="zoom:33%;" /> 打开后可以看到本地启动的服务，可以通过 <img src="https://lzc-playground-1301583638.cos.ap-chengdu.myqcloud.com/guidelines/1128/image-20260325145202696.png?imageSlim" alt="image-20260325145202696" style="zoom:33%;" /> ## NetMap LPK > 0.9.2 新增功能 其他设备部署的服务如果不是 web 相关的，就可以使用这个功能，把目标主机的所有服务全部都转发过来，通过域名来访问。 <img src="https://lzc-playground-1301583638.cos.ap-chengdu.myqcloud.com/guidelines/1128/image-20260325153044263.png?imageSlim" alt="image-20260325153044263" style="zoom:50%;" /> 我这里把我电脑的IP 通过微服转发，点击创建并安装 <img src="https://lzc-playground-1301583638.cos.ap-chengdu.myqcloud.com/guidelines/1128/image-20260325153208779.png?imageSlim" alt="image-20260325153208779" style="zoom:50%;" /> 安装之后在微服控制台中会出现一个新的图标，打开之后如下图： <img src="https://lzc-playground-1301583638.cos.ap-chengdu.myqcloud.com/guidelines/1128/image-20260325153326042.png?imageSlim" alt="image-20260325153326042" style="zoom:50%;" /> 我们访问这个 `archlinux.mhwy.heiyu.space` 域名的所有端口，都会被转发到 `192.168.3.225` 这台电脑上面。 <img src="https://lzc-playground-1301583638.cos.ap-chengdu.myqcloud.com/guidelines/1128/image-20260325153616979.png?imageSlim" alt="image-20260325153616979" style="zoom:50%;" /> 我本机开启了 SSH 服务，这里通过域名访问我本机的 ssh 这里可以看到已经访问成功了 > 注意，访问时需要确保端口转发工具创建的 LPK 是在运行的状态，不然是无法访问的。 ## 结语 端口转发玩法性很多，入口地址与目标地址可以有很多种搭配方式，规则保存之前一定要测试连通性

懒猫攻略-如何通过微服远程连接打印机

# 懒猫攻略-如何通过微服远程连接打印机  https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.forward ## 引言 Hello 大家好！想远程打文件但打印机不在身边？别急，这篇攻略带你快速上手 **懒猫微服**，实现远程打印全流程，简单、实用、一次配置，随时打印。 适用对象： 1.经常需要远程办公、但办公设备（如打印机）不在身边的用户 2.需要异地协助打印文件，如为家人、同事远程输出资料的用户 3.中小企业/教培机构，希望通过网络集中管理打印任务的技术人员 4.希望提高打印效率与灵活性的办公人员或IT管理员 希望能够教会大家如何使用以及正确配置！ ## 前置条件 在正式开始远程打印之前，我们需要先完成一些必要的准备工作，确保整个流程顺利进行。以下是使用 **懒猫微服** 实现远程打印所需的前置条件： **打印机** **PS:打印机必须拥有网络能够连接局域网**  **懒猫微服**  **使用懒猫微服远程打印需满足以下条件:** 1. 已安装并登录懒猫微服客户端 2. 本地网络正常，打印机已连接并可正常使用 3. 具备管理员权限，允许设置打印服务映射 4. 被控端（打印机所在设备）已开启并在线 5. 控制端与被控端已建立远程连接关系 ## 实现过程 1.安装并且登录懒猫微服客户端   2.使用局域网端口转发工具进行转发  3.配置打印机端口转发 **PS: 有一些打印机并不是通过9100端口进行工作的 需要大家在网上查询自己打印机的相关端口**  4.添加转发规则（**打印机端口:9100**）  5.测试连接性  6.Windows搜索打印机  7.添加打印机，需要等待片刻弹出我需要的打印机不在列表中。   8.选择使用IP地址或者主机名添加打印机  9.选择TCP/IP设备并且 填写主机名映射的域名 https://shou.heiyu.space:9100 端口名称 https://shou.heiyu.space:9100  10.继续下一步  11.安装打印机驱动设备  12.输入打印机名称  13.选择是否共享打印机  14.打印测试页 查看打印机是否输出  ## 结语 至此，通过本文的步骤，你已经掌握了使用 **懒猫微服** 实现远程连接打印机的完整流程。无论是在家办公，还是异地协助他人打印，掌握这一技能都能大大提升你的工作效率。如果在操作过程中遇到问题，建议检查前置条件或查看常见问题模块，确保每一步都正确无误。 现在，就去试试看吧，轻松开启你的远程打印之路！

Omnibox配置篇 --- 一站搞定你所有观影需求

https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.omnibox 首先打开应用，点击右上角“我的”  在点击右上角“管理”，进入管理员后台  ## 配置采集站资源 点击左侧“**影视站资源**”，点击右侧“**导入/导出**”  点击“**导入**”，点击”**选择文件**“  > 可从这个地址下载json配置（https://quwenjian.cc/#/?code=O8P6N） 选择下载好的json配置文件  点击“**导入JSON文件**”  你就能看到所添加的采集站点，点击全选，然后点击“**批量测速**”  接着你就可以对一些无法链接的资源进行删除或者修改其采集地址。  下图就是你配置之后的搜索效果，可点击首页影视作品，也可以进行搜索  随便点击一个之后就可以在线观看，可以点击右侧进行站点切换  ## 配置网盘资源（可选） ### 配置盘搜站点 点击左侧“盘搜应用”，点击“配置应用地址”  输入盘搜站点地址，可“**全选**“，然后点击“**保存**”即可  相应的资源站点就出来了  > 因pansou站点比较敏感，可以用[fofa](https://en.fofa.info/result?qbase64=cGFuc291)进行关键词搜索即可找到对应公开站点 ### 配置自己的网盘 点击左侧”**网盘授权**“，选择自己常用的网盘类型，点击右侧“**点击配置授权**”  我这边用夸克网盘做演示，点击夸克网盘右侧授权，这里要求输入cookies  浏览器登录你的夸克网盘，F12进入控制台，点击**Network（网络）**，找到左侧的**list**，右侧下拉看到**Cookies**，复制其值即可  回到应用，粘贴复制的值，点击保存即可  显示”**有效授权**“就表示成功了  > 其他网盘都有配置指示，填入相关参数即可 ## 电视直播配置（可选） ### 电视直播配置 点击左侧”**电视直播**“，点击”**添加**“，名称随便填写，地址请自行寻找对应的直播源，图中的地址仅供测试（https://raw.githubusercontent.com/hujingguang/ChinaIPTV/main/cnTV_AutoUpdate.m3u8）  配置后，点击上方”电视“，选择刚才配置的数据源，选择下方频道即可观看。  ### 自定义源 如果你有定制直播源需求的话，可以点击左侧**自定义源**，点击**远程导入**m3u8地址，然后在下方按照示例进行编辑，右侧会显示对应效果。你可以选择导出，再进行上面的添加操作即可重新导入新的直播源。  ### 平台直播 直播间的配置就很简单，选择好对应平台，找到房间号，对应输入信息就可以了 下面以B站直播为例，找到直播房间号  然后回到应用，选择左侧**平台直播**，点击**添加**，对应填写相关信息并保存，见下图  点击上方**直播**，就可以看到刚才添加的直播间  点击即可观看  ### 影视订阅（可选） 这个功能主要是用于一些TVbox，猫影视等空壳软件配置视频源，这样你就有属于自己的影视源，而不需要再去网上寻找了。 我这边以UZ软件为例，点击右上角**影视订阅**，对应复制UZ订阅地址  打开端口转发工具，选择局域网模式，按下图配置 https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.forward  打开UZ软件，设置里点击订阅源，点击+号，把粘贴刚才omnibox里的UZ地址，把前缀懒猫地址替换成你的懒猫IP地址，见下图，点击确定  稍等片刻就可以看到识别之前在omnibox里添加的视频源了。然后对应选择添加导入即可使用。  然后你就可以直接在软件里观看了。   **以上可选部分按自己需求可进行配置，并强制要求，只需配置采集站即可实现基本的观影需求**

用自己的域名实现内外网无缝访问懒猫微服内的应用

# 背景 目前使用懒猫微服已经成功替代我之前的 NAS 成为家庭服务中心了，使用懒猫微服客户端的场景下，默认就是不需要关注内外网，都能够直接访问到我的服务， 但是有一些服务使用第三方，或者原生的客户端，而且本身也有认证功能的情况，就需要一些适配工作， 使用第三方服务自身的认证加上 HTTPS，从而不需要登录懒猫客户端也能无视内外网访问应用。 好在懒猫微服商店的有足够的应用，很大程度的降低的配置的复杂度。 目标效果如下： 1. 无论在家里局域网，还是出门公网，都可以访问服务 2. 使用同一个域名自动适配内外网 3. 使用 HTTPS 加应用自身认证保证安全 # 准备工作 当然，如果想要很方便的访问到内网的服务，还是有一些前置的依赖项的： 1. 自己拥有域名并托管到 cloudflare 上，在此教程中以 example.com 举例 2. 最好的有自己的 ssl 证书，使用 let's encrypt 获取不复杂，在此教程中先默认有证书可用。 补充一句，如果确实没有 ssl 证书，可以考虑使用自签证书。 除了以上依赖，还用到了以下几个应用： https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.cloudfalredweb https://appstore.lazycat.cloud/#/shop/detail/app.ikw.lzc.caddy https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.forward 使用 Jellyfin 作为示例： https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.jellyfinsingle 然后我们就可以开始配置工作。 # 安装 ## 1. 配置端口转发，打通跨应用访问 https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.forward ### 目标服务转发 因为涉及不同的服务进行内外网转发，所以首先我们要将希望转发的服务，通过端口转发工具，转发至微服虚拟网卡，以便转发服务能访问到目标服务。 此处以 Jellyfin 为例，转发 `8096` 端口至 `host.lzcapp:8096`，端口不一定需要一样，不冲突即可。  ### Caddy 局域网内端口转发 由于我们还希望在内网的时候可以方便的访问各种服务，所以需要配置一个 Caddy 局域网端口，作为统一入口。 由于我们需要使用 HTTPS，所以一定需要使用 443 端口。  ## 2. 配置 Cloudflared，打通公网访问 https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.cloudfalredweb 参考[官方教程](https://developers.cloudflare.com/cloudflare-one/connections/connect-networks/)，配置 Cloudflared Tunnel 连通域名到懒猫微服的公网访问。 需要注意的是安装 cloudflared 时，直接安装懒猫微服商店中的 Cloudflared 即可。 当连接成功后，选择 `Public Hostname`，  并新增一个自定义子域名，例如 `movie.example.com`，然后保存即可。  此时，你应该已经拥有可以公网直接访问的 Jellyfin 了，而且自带了 HTTPS  ## 3. 配置 Caddy，打通内网访问 通过 Cloudflare Tunnel，我们已经可以通过公网访问 Jellyfin 了，但是我们肯定不希望在家里的时候，也走公网绕一圈，所以我们可以通过 Caddy，实现无缝内网访问。 https://appstore.lazycat.cloud/#/shop/detail/app.ikw.lzc.caddy Caddy 通过配置文件进行转发配置，配置文件位于 Caddy 的应用数据下 `Caddyfile/Caddyfile`， 首先将 ssl 证书也放到 Caddyfile 文件夹下， 然后加入以下内容，最后重启 Caddy 即可： ```Caddyfile movie.example.com { tls /etc/caddy/example.com.crt /etc/caddy/example.com.key reverse_proxy host.lzcapp:8096 } ``` 注意： 1. 第一行是 tls 配置，路径不要写错，`Caddyfile` 文件夹是映射至服务内 `/etc/caddy` 的 2. 第二行是转发配置，`reverse_proxy` 是固定的，域名和端口是前文配置的 ## 4. 路由器配置域名转发 由于域名托管在 Cloudflare，并且进行了 Tunnel 的配置，域名已经默认指向 Cloudflare， 但是我们回到家时，希望直接访问内网，所以需要在路由器上将域名指向懒猫的 IP。 不同的路由器配置方式不同，用户根据自己的路由器配置解析即可。 # 结语 到此，我们完成了所有配置，实现效果如下： 1. 无需启动懒猫微服客户端 2. 公网时，自动通过 Cloudflare Tunnel 访问服务 3. 内网时，自动通过内网访问服务 4. 全程 HTTPS 加密