SSH

目标与前提 在一台 Dell XPS 13 9310 上装 Windows 11（最新版）和 Omarchy 双系统。 关于 Omarchy：它是 DHH（David Heinemeier Hansson）在 2025 年做的一套基于 Arch Linux + Hyprland 的预配置系统，前身是基于 Ubuntu 的 Omakub。底层还是 Arch，用 pacman 和 AUR；桌面用 Hyprland（Wayland 平铺式合成器），配好了 Waybar、walker、终端、hyprlock 等，并带一套可一键切换的主题系统。引导器用 Limine。官网 omarchy.org，代码在 GitHub basecamp/omarchy。 Omarchy 本身的介绍、系统更新和装软件的方法见 Omarchy Linux，本文只讲双系统安装。 本文是一份安装顺序的初稿，实际操作前请再核对当前版本的官方文档（basecamp/omarchy 仓库 manual/50-dual-boot-install.md）。 推荐顺序 先调 BIOS，再装 Windows，最后装 Omarchy。 Windows 每次安装都会重写 EFI 引导项，先装 Linux 会被覆盖；反过来 Omarchy 的 Limine 引导器能扫描并接管已存在的 Windows。所以顺序是固定的：Windows 在前，Omarchy 在后。 同类流程可参考本站已有的 dual boot windows and ubuntu。 阶段 0：准备 备份数据。 在 Windows 里更新 BIOS 到最新版本（或用 Dell 的更新 U 盘）。9310 早期 BIOS 对 NVMe 和电源管理有已知问题。 记快捷键：开机按 F2 进 BIOS 设置，按 F12 进一次性启动菜单。 阶段 1：先改 BIOS 这一步要在装 Windows 之前完成。 ...

Omarchy 是什么 Omarchy 是 DHH（David Heinemeier Hansson）在 2025 年做的一套基于 Arch Linux + Hyprland 的预配置系统，前身是基于 Ubuntu 的 Omakub。底层还是 Arch，用 pacman 和 AUR；桌面用 Hyprland（Wayland 平铺式合成器），带一套可一键切换的主题系统，引导器用 Limine。官网 omarchy.org，代码在 GitHub basecamp/omarchy。 我的机器 机器 说明 Dell XPS 13 9310 Windows 11 + Omarchy 双系统，安装过程见 Dual Boot Windows 11 and Omarchy on Dell XPS 13 9310 SER8（AMD CPU） Omarchy 4.0.4，和另一套 Arch + KDE 双系统 版本与脚本位置 查看版本： omarchy-version # e.g. 4.0.4-1 Omarchy 的功能大多是一组 omarchy-* shell 脚本，也可以用总命令 omarchy <子命令> 调用，比如 omarchy update。脚本位置随版本不同： ...

SSH 端口转发, ssh port forward 端口转发, ssh port forward 比如在一台远程主机上运行着 Grafana: 192.168.50.100:32178, 但是 192.168.50.100 只对 192.168.50.50 开放了 22 端口, 我想从 192.168.50.50 访问 192.168.50.100 的 Grafana 就可以用 ssh 的端口转发 # -L: local port forwarding # 在 192.168.50.50 上执行 ssh -L 32179:192.168.50.100:32178 192.168.50.100 -l user0 # 32179 本地端口, 用户可以在 192.168.50.50 上用浏览器直接访问本地的 32179 端口的 grafana, http://127.0.0.1:32179 # 192.168.50.100:32178, 要访问的 ip 和 端口, 在 192.168.50.50 上访问 127.0.0.1:32179 就相当于访问 192.168.50.100:32178 # 192.168.50.100 -l user0, ssh 连接的主机和用户名, 这里用了默认的 ssh 22 端口 ssh -L 2000:192.168.50.11:5432 192.168.50.10 -l root # 2000 本地端口 # 192.168.50.11 目标主机 # 5432 目标端口 # 192.168.50.10 跳板机, 运行 ssh 服务端的主机, 并且 从192.168.50.10 能访问 192.168.50.11:5432 https://wangdoc.com/ssh/port-forwarding.html ...

在 Windows 10（1809 及以后）和 Windows 11 上，系统自带 OpenSSH Server，安装并启动 sshd 服务后，Linux 或其他机器即可用 ssh 登录本机。 与 win11 ssh agent 的区别： 组件 作用 OpenSSH Client 本机作为客户端，ssh user@host 连别人 OpenSSH Authentication Agent 管理本机私钥（ssh-add） OpenSSH Server 本机作为服务端，让别人 ssh 进来 本文只讲 Server。 安装 OpenSSH Server（英文系统） 方法一：设置里搜索（推荐） 打开 Settings（Win + I） 顶部搜索框输入 optional features，进入 Optional features / Manage optional features 点 View features 或 Add an optional feature 搜索 openssh，勾选 OpenSSH Server，安装 也可从 Settings → Apps → Installed apps → Optional features 进入同一路径。 ...

后量子密钥交换警告 连接到旧版 OpenSSH 服务器时，新版客户端（OpenSSH 9.9+）会显示如下警告： ** WARNING: connection is not using a post-quantum key exchange algorithm. ** This session may be vulnerable to "store now, decrypt later" attacks. ** The server may need to be upgraded. See https://openssh.com/pq.html 原因： OpenSSH 9.9 引入了后量子密钥交换算法（如 mlkem768x25519-sha256），当服务端不支持该算法时，连接回退到经典算法，客户端发出警告，提示存在「先存后解」攻击风险。 推荐解决方案： 升级服务端 OpenSSH 到 9.9 或更高版本。 临时屏蔽警告（仅客户端）： 如果无法升级服务端，可以在 ~/.ssh/config 中对该主机设置 LogLevel ERROR，屏蔽 WARNING 级别的提示： Host bwg LogLevel ERROR 注意：此方法只是屏蔽了警告输出，并不能消除安全风险，仅适合临时或已评估风险的场景。 SSH 连接的两个阶段 SSH 建立连接时分为两个独立阶段，使用完全不同的密钥： 阶段一：密钥交换（Key Exchange） 在连接建立之初（握手阶段），客户端和服务器通过密钥交换算法协商出一个临时的共享会话密钥，用来加密后续所有通信。这个过程发生在身份认证之前，使用的是 DH/ECDH 等算法（如 curve25519-sha256）。 ...

ssh-agent, ssh agent, ssh forward ssh agent forward A > B > C 主机 A：运行 ssh-agent，并且已经加载私钥 主机 B：跳板机 主机 C: 目标机，已经配置好公钥，并且运行 sshd 检查主机 A ssh-agent 是否已经在运行 ps -ef | grep ssh-agent 主机 A ssh-agent 已经加载了密钥 ssh-add -l 主机 A 允许入站连接上的 SSH 代理转发, 将 AllowAgentForwarding 的值设置为 yes，表示允许进行代理转发， openssh 中 AllowAgentForwarding 默认值即为yes，所以，如果配置没有修改过，保持默认即可。 vim /etc/ssh/sshd_config AllowAgentForwarding yes 主机 A ssh 配置 ForwardAgent yes vim ~/.ssh/config #content host * ForwardAgent yes 主机 B 不需要运行 ssh-agent, 也不需要配置 ssh 的 ForwardAgent yes, 主机 B 在使用 ssh agent forward 连接 主机 C 成功之后，会创建 环境变量 $SSH_AUTH_SOCK ...

TCP Keep-Alives https://zhuanlan.zhihu.com/p/28894266 https://datatracker.ietf.org/doc/html/rfc1122#page-101 当客户端端等待超过一定时间后自动给服务端发送一个空的报文，如果对方回复了这个报文证明连接还存活着，如果对方没有报文返回且进行了多次尝试都是一样，那么就认为连接已经丢失，客户端就没必要继续保持连接了。如果没有这种机制就会有很多空闲的连接占用着系统资源。 KeepAlive并不是TCP协议规范的一部分，但在几乎所有的TCP/IP协议栈（不管是Linux还是Windows）中，都实现了KeepAlive功能。 如何设置它? 在设置之前我们先来看看KeepAlive都支持哪些设置项 KeepAlive默认情况下是关闭的，可以被上层应用开启和关闭 tcp_keepalive_time: KeepAlive的空闲时长，或者说每次正常发送心跳的周期，默认值为7200s（2小时） tcp_keepalive_intvl: KeepAlive探测包的发送间隔，默认值为75s tcp_keepalive_probes: 在tcp_keepalive_time之后，没有接收到对方确认，继续发送保活探测包次数，默认值为9（次） 在Linux内核设置 KeepAlive默认不是开启的，如果想使用KeepAlive，需要在你的应用中设置SO_KEEPALIVE才可以生效。 查看当前的配置： cat /proc/sys/net/ipv4/tcp_keepalive_time cat /proc/sys/net/ipv4/tcp_keepalive_intvl cat /proc/sys/net/ipv4/tcp_keepalive_probes 在Linux中我们可以通过修改 /etc/sysctl.conf 的全局配置： net.ipv4.tcp_keepalive_time=7200 net.ipv4.tcp_keepalive_intvl=75 net.ipv4.tcp_keepalive_probes=9 添加上面的配置后输入 sysctl -p 使其生效，你可以使用 sysctl -a | grep keepalive 命令来查看当前的默认配置 如果应用中已经设置SO_KEEPALIVE，程序不用重启，内核直接生效