一、问题背景与诊断

在某些云服务器环境（如本文提到的宿迁服务器）中，运营商可能会屏蔽标准的 NTP 端口（如 UDP 123），导致系统默认的时间同步服务失效。本文将介绍两种解决方案。

1.1 检查当前时间同步状态

首先，使用以下命令查看系统时间与同步状态：

1

timedatectl status

关键输出解读：

• **Local time**：本地时间（时区转换后）。
• **Universal time**：协调世界时（UTC）。
• System clock synchronized：核心指标。显示 yes 表示已同步，no 表示未同步。
• **NTP service**：显示当前活跃的时间同步服务（active 或 n/a）。

如果 System clock synchronized 显示为 no，则需要按照本指南进行配置。

1.2 设置正确的时区（可选但推荐）

确保系统时区设置为中国标准时间：

1

sudo timedatectl set-timezone Asia/Shanghai

二、方法一：使用系统自带的 systemd-timesyncd（推荐）

Ubuntu 16.04 及更高版本默认使用 systemd-timesyncd 服务进行时间同步。它轻量、集成度高，是首选方案。

2.1 配置自定义 NTP 服务器

编辑配置文件：

1

sudo nano /etc/systemd/timesyncd.conf

找到 [Time] 部分，取消 NTP= 行的注释，并填入自定义的 NTP 服务器地址。可以指定多个，用空格分隔。

1
2
3

[Time]
NTP=ntp.aliyun.com ntp.tencent.com
#FallbackNTP=0.debian.pool.ntp.org 1.debian.pool.ntp.org 2.debian.pool.ntp.org 3.debian.pool.ntp.org

常用国内 NTP 服务器：

• 阿里云：ntp.aliyun.com
• 腾讯云：ntp.tencent.com
• 国家授时中心：cn.pool.ntp.org、ntp.ntsc.ac.cn

2.2 重启服务并启用

1
2
3
4
5
6

# 重启 timesyncd 服务
sudo systemctl restart systemd-timesyncd
# 设置开机自启
sudo systemctl enable systemd-timesyncd
# 查看服务状态
sudo systemctl status systemd-timesyncd

2.3 验证同步结果

等待几分钟后，再次运行 timedatectl status。当 System clock synchronized 变为 yes 时，表示配置成功。

重要提示：同步不是即时的，需要等待服务完成一轮时间同步（通常几分钟内）。

三、方法二：安装并配置 ntp 服务

如果 systemd-timesyncd 因故无法工作（例如，安装了其他时间服务导致冲突），可以安装传统的 ntp 包。

3.1 安装 NTP 软件包

1
2

sudo apt update
sudo apt install ntp

安装过程会自动停止并禁用 systemd-timesyncd 服务。

3.2 配置 NTP 服务器

编辑 NTP 主配置文件：

1

sudo nano /etc/ntp.conf

找到 server 或 pool 配置行。注释掉默认的 pool *.debian.pool.ntp.org 行，添加自定义的服务器。

1
2
3
4
5
6
7
8

# 默认池（可注释掉）
# pool 0.debian.pool.ntp.org iburst
# pool 1.debian.pool.ntp.org iburst

# 添加自定义服务器（例如阿里云和腾讯云）
server ntp.aliyun.com iburst
server ntp.tencent.com iburst
server cn.pool.ntp.org iburst

• iburst 选项可以在服务启动时快速进行初始同步。

3.3 重启 NTP 服务

1
2
3

sudo systemctl restart ntp
sudo systemctl enable ntp
sudo systemctl status ntp

3.4 检查 NTP 同步状态

使用 ntpq 工具查看与上游 NTP 服务器的连接状态：

1

ntpq -p

输出关键列解读：

• **remote**：NTP 服务器地址。
• **refid**：服务器本身参考的上一级时间源。
• **st**：层级（stratum），数值越小越接近权威时间源。
• **t**：类型（u=单播，p=池）。
• **when**：距上次查询的秒数。
• **poll**：查询间隔（秒）。
• **reach**：八进制表示的连接成功历史（值 377 表示最近8次查询全部成功）。
• **delay**：网络延迟（毫秒）。
• offset：时间偏移量（毫秒），关键指标，绝对值越小越好。
• **jitter**：时间抖动（毫秒）。

理想状态：至少有一个服务器前有 *（当前主同步源）或 +（良好的备用源），且 reach 值不为 0。

3.5 手动强制同步（可选）

如果自动同步不理想，可以手动触发：

1

sudo ntpdate -s ntp.aliyun.com

注意：ntpdate 可能与正在运行的 ntpd 服务冲突。更安全的方式是重启 ntp 服务或使用 ntpd -gq（需先停止服务）。

四、故障排除与高级管理

4.1 查看详细的系统日志

1
2
3
4

# 查看 systemd-timesyncd 日志
sudo journalctl -u systemd-timesyncd
# 查看 ntp 服务日志
sudo journalctl -u ntp

4.2 处理服务冲突

如果同时安装了多个时间服务（如 chrony、ntp、systemd-timesyncd），它们会相互冲突。确保只启用一个：

1
2
3
4

# 禁用 systemd-timesyncd（如果使用 ntp）
sudo systemctl disable --now systemd-timesyncd
# 禁用 ntp（如果使用 systemd-timesyncd）
sudo systemctl disable --now ntp

4.3 检查硬件时钟（RTC）设置

确保硬件时钟设置为 UTC，避免双系统时间混乱：

1
2
3
4

# 查看当前设置
timedatectl | grep “RTC in local TZ”
# 如果显示 “yes”，则设置为 UTC
sudo timedatectl set-local-rtc 0

4.4 防火墙配置

如果使用自定义防火墙（如 ufw），确保放行 NTP 流量（UDP 123端口）：

1

sudo ufw allow out 123/udp

五、总结与建议

操作流程建议：

1. 首选方法一：配置 systemd-timesyncd。它更现代、更简单。
2. 如果方法一失败：再考虑安装 ntp。安装前可尝试卸载冲突软件：sudo apt remove ntp chrony。
3. 验证：无论哪种方法，最终都以 timedatectl status 显示 System clock synchronized: yes 为准。
4. 耐心等待：时间同步服务需要周期运行，配置后请等待数分钟再验证。

本文参考了 OPNsense中文手册 和 OPNsense 防火墙系列一 等优秀资料。

一、简介与核心概念

1.1 什么是 OPNsense？

OPNsense® 是一个基于 FreeBSD 的开源、易用且易于构建的防火墙和路由平台。它集成了商业防火墙中的大部分高级功能，同时具备开源项目的透明性和可验证性。

使命：为用户、开发人员和企业提供友好、稳定和透明的环境，使其成为使用最广泛的开源安全平台。

1.2 核心功能概览

• 防火墙与路由：状态检测防火墙、高级路由策略。
• VPN支持：IPsec、OpenVPN（站点到站点、移动用户）。
• 网络服务：DHCP/DHCPv6服务器、DNS转发器/解析器、动态DNS。
• 高级功能：
  • 流量整形与策略路由。
  • 入侵检测与防御（IDS/IPS）。
  • 正向缓存代理（Squid）。
  • 强制门户（多区域、凭证支持）。
  • 高可用性与硬件故障转移（含配置同步）。
• 管理与监控：内置报告工具、RRD图表、数据包捕获、配置备份与还原。

1.3 重要注意事项（避坑指南）

在开始前，请务必了解以下关键点：

1. NAT类型：OPNsense默认不支持全锥型NAT（NAT1），最高支持端口限制型NAT。可通过UPnP或端口转发缓解，但更推荐后者。
2. 性能影响：
   • 在PPPoE拨号等变动IP的接口上启用入侵检测，可能导致CPU占用过高。
   • 流量分析、图表等功能在异常断电后可能数据损坏，同样会引起高CPU占用。
3. 网络规划：前期规划至关重要！随意添加网卡会导致标识符和设备映射变动，影响高可用等功能的稳定性。
4. 虚拟化平台选择：
   • 强烈推荐使用PVE。在ESXi上运行高可用可能出现DUP!问题，且内存占用计算不准确。
   • ESXi上开启端口组混杂模式可解决DUP!，但会导致OpenWrt无法访问OPNsense，且影响Docker MacVlan。
5. 硬件兼容性：
   • 部分Intel 2.5G网卡存在BUG，可能导致无法发出DHCP Offer，请避免使用。
   • VLAN配置在物理机上可能存在问题。

二、安装准备与硬件要求

2.1 准备工作

• 两台电脑（用于测试，双网口以上）。
• 存储：大于20GB（推荐50GB）。
• 其他：RJ45网线、显示器和键盘。

2.2 硬件要求参考

以下为作者环境（i5-1135G7, 64G DDR4, 1T NVMe, ESXi 8）下的占用情况：

2.3 官方硬件要求指南

注意：实际需求取决于吞吐量和启用功能。例如，Squid代理、大型状态表、高并发强制门户会显著增加CPU和内存消耗。推荐使用英特尔（Intel）网卡以获得最佳性能和稳定性。

系统架构：支持 x86-32 (i386) 和 x86-64 (amd64)。对于新部署，强烈建议使用64位版本。

三、安装与基础配置

3.1 下载镜像

1. 访问 OPNsense官网下载页。
2. 选择：Architecture: amd64 -> Image Type: DVD -> Mirror: Aivian 或 Peking University。

3.2 安装系统

1. 在虚拟机或物理机上启动镜像。
2. 在登录提示符 (login:) 处输入：用户名 installer，密码 opnsense。
3. 选择键盘布局（默认回车即可）。
4. 选择 Install (UFS)。
5. 选择目标磁盘（通常为 da0）。
6. 按提示创建交换空间并确认安装。
7. 安装完成后，设置root密码并重启。务必在重启前移除安装介质。

3.3 初始设置向导

1. 使用同一网段的设备访问 https://192.168.1.1。
2. 跟随向导进行设置：
   • 语言：中文。
   • DNS：首选 223.5.5.5，辅助 119.29.29.29。
   • 启用DNSSEC支持和强化DNSSEC数据（推荐，可防DNS劫持。自建DNS请勿开启）。
   • 时区：Asia/Shanghai。
   • 配置WAN/LAN接口。
   • 重设root密码（可选）。
   • 重载系统完成配置。

3.4 更换软件镜像源

默认源速度较慢，建议更换：

1. 进入 系统 -> 固件 -> 设置。
2. 在 镜像 下拉框中选择 Aivian (HTTPS,Shangxing,CN)。
3. 或自定义源：选择 (custom)，填入：
   • 北京大学镜像源：http://mirrors.pku.edu.cn/opnsense/
   • 网易镜像源：http://mirrors.163.com/opnsense/

     注意：请勿自行改为 https。

4. 保存后，进入 状态 选项卡，点击 检查升级。

四、网络接口配置

4.1 接口分配

进入 接口 -> 分配，查看和管理接口。

• 标识符：如 WAN, LAN。
• 接口设备：系统识别的网卡名称（如 vmx0）。
• 如需添加新接口（如WAN），在下方 Assign a new interface 选择设备并填写描述（英文/数字）。

4.2 WAN口设置

进入 **接口 -> [WAN]**。

1. 基本设置：勾选 阻止私有网络 和 拦截bogon网络。
2. IPv4配置类型：
   • PPPoE拨号：选择 PPPoE，在下方的PPPoE配置中填入宽带账号密码。
   • DHCP：选择 DHCP。
   • 静态IP：选择 静态IPv4，填写IP、掩码，并添加上游网关（标记为默认网关）。
3. 保存。

4.3 LAN口设置

进入 **接口 -> [LAN]**。

1. 基本设置：取消勾选 阻止私有网络 和 拦截bogon网络。
2. IPv4配置类型：选择 静态IPv4。
3. 静态IPv4配置：填写内网IP地址（如 192.168.1.1）和子网掩码（如 24）。
4. 保存。

4.4 终端紧急配置网卡

如果不慎删除了管理口，可通过控制台恢复：

1. 登录终端，进入管理选项菜单。
2. 选择 1) 接口分配，按提示重新分配WAN、LAN等接口的物理网卡。
3. 选择 2) 接口设置，为指定接口（如LAN）重新配置IP地址等。
4. 按提示完成并重启相关服务。

五、防火墙规则配置

5.1 创建允许规则（示例：允许LAN访问外网）

进入 防火墙 -> 规则 -> LAN，点击 + 添加。

5.2 创建阻断规则（示例：禁止访问阿里DNS）

同样在LAN规则页面，点击 + 添加。

阻止：直接丢弃数据包。拒绝：返回拒绝数据包。

六、基础服务配置

6.1 系统DNS与Unbound DNS

1. 系统DNS（网关DNS）：
   • 进入 系统 -> 设置 -> 常规。
   • 在 网络 部分的 DNS服务器 中填入公共DNS（如 223.5.5.5），并为其选择对应的WAN网关。
2. Unbound DNS（局域网DNS）：
   • 进入 服务 -> Unbound DNS -> 常规，勾选 启用Unbound 和 启用DNSSEC支持。
   • 进入 查询转发，取消 使用系统DNS服务器，手动添加转发服务器（如 223.5.5.5）。
   • DoT加密查询（可选）：进入 DoT 选项卡，添加服务器，例如：
     • 服务器IP: 223.5.5.5
     • 端口: 853
     • 验证CN: dns.alidns.com

6.2 DHCPv4 服务

进入 **服务 -> DHCPv4 -> [LAN]**。

• 勾选 启用。
• 设置地址池范围，例如：从 192.168.1.10 到 192.168.1.245。
• 网关和DNS可不填，默认使用路由器地址。

6.3 网络时间协议（NTP）

进入 服务 -> 网络时间 -> 常规，可添加以下推荐的NTP服务器：

• 国内：ntp.aliyun.com, ntp.tencent.com, ntp.sjtu.edu.cn, cn.pool.ntp.org
• 国际：time.google.com, time.cloudflare.com, pool.ntp.org

七、IPv6 配置

7.1 公网IPv6（有PD前缀）

1. WAN口：接口 -> [WAN]，IPv6配置类型 选 DHCPv6。在DHCPv6客户端配置中，打开 仅请求IPv6前缀、发送IPv6前缀提示，前缀委派大小 设为 60（需与运营商下发一致）。
2. LAN口：接口 -> [LAN]，IPv6配置类型 选 跟踪接口，并在 跟踪IPv6接口 中打开 允许手动调整DHCPv6和路由器通告。
3. 启用IPv6：防火墙 -> 设置 -> 高级，在IPv6选项中打开 允许IPv6。
4. 分配地址：
   • DHCPv6：服务 -> DHCPv6 -> [LAN] 中启用并设置范围。
   • 或路由器通告：服务 -> 路由器通告 -> [LAN]，路由器通告 选 Assisted，勾选 通告默认网关，填入DNS服务器（如 2400:3200::1）。

7.2 NATv6（无PD前缀，使用内网IPv6）

1. WAN口：同上，配置DHCPv6获取地址。
2. LAN口：接口 -> [LAN]，IPv6配置类型 选 静态IPv6，使用ULA地址（如 fd00::1/64）。
3. 启用IPv6：同上。
4. 配置NAT出站规则：
   • 防火墙 -> NAT -> 出站，模式改为 混合生成出站NAT规则。
   • 添加两条手动规则（IPv4和IPv6），关键是将 转换/目标 设为 接口地址，并勾选 静态端口。这是实现端口限制型NAT的关键。
5. 分配地址：同7.1第4步，为LAN配置DHCPv6或路由器通告。

7.3 解决IPv6大包问题

若 test-ipv6.com 提示大包错误，需调整MSS：

• 在 接口 -> [WAN] -> 通用配置 中，设置 MSS 值。
• 计算公式：MSS = PPPoE MTU(通常1492) - 60，约为 1430。可尝试 1420 或 1400。
• 测试命令（Windows）：ping -l 1500 baidu.com 逐步减小 -l 后数值直到通，该值即为可用MSS。

八、进阶功能配置

8.1 流量整形（流控）

以创建HTTP流量优先级为例：

1. 创建管道：防火墙 -> 流控 -> 管道，创建上传/下载管道，设置带宽（如 160Mbit/s上传，1000Mbit/s下载）。
2. 创建队列：防火墙 -> 流控 -> 队列，为不同协议创建队列并绑定到管道，设置权重（值越低优先级越高）。
   • 例如：HTTP上传队列 权重50， 其他流量队列上传 权重80。
3. 创建规则：防火墙 -> 流控 -> 规则，创建规则将特定流量（如目标端口80/443）指向高优先级队列。
4. 在 防火墙 -> 流控 -> 状态 中查看队列状态。

8.2 别名（Aliases）

别名用于批量管理IP、端口等，是防火墙规则的强大工具。

• 类型：主机、网络、端口、URL Table (IPs)（可定期更新）、GeoIP等。
• 创建：防火墙 -> 别名，点击 **+**，选择类型并填入内容（如IP列表、URL）。
• 嵌套：可以在一个别名中引用其他别名。

8.3 端口转发

相比UPnP更安全可控。

1. 普通转发：防火墙 -> NAT -> 转发，点击 **+**。
   • 接口：WAN
   • 协议：TCP/UDP
   • 目标：WAN地址
   • 目标端口：外部端口
   • 重定向目标IP：内网主机IP
   • 重定向目标端口：内部端口
2. DNS重定向示例：将内网DNS请求重定向到指定服务器。
   • 接口：LAN
   • 勾选 目标 / 反转
   • 目标：LAN网络
   • 目标端口：DNS
   • 重定向目标IP：192.168.1.2
   • 重定向目标端口：DNS

8.4 高可用（HA）配置

前提：两台OPNsense，接口分配完全一致，并有一个专用HA接口用于心跳同步。

1. 配置CARP虚拟IP：在主防火墙的 接口 -> 虚拟IP -> 设置 中，为LAN（或WAN）添加CARP虚拟IP（如 192.168.1.1/24），设置VHID和密码。
2. 配置同步：
   • 主防火墙：系统 -> 高可用 -> 设置，启用同步，指定同步接口（HA口）、对端IP和密码，选择同步模块。
   • 备防火墙：同样位置，启用同步并勾选 禁用抢占、断开拨号接口。
3. 同步配置：在主防火墙状态页点击上传图标进行初始同步。
4. 检查：在 接口 -> 概况 中，主防火墙的虚拟IP旁有绿色图标，备防火墙为灰色。

8.5 性能优化（可调参数）

进入 系统 -> 设置 -> 可调参数，可添加以下参数提升性能（部分）：

1
2
3
4
5
6
7

hw.ibrs_disable=1                # 禁用Spectre V2缓解，提升性能
net.isr.maxthreads=-1            # 使用所有CPU核心处理网络中断
net.isr.bindthreads=1            # 将中断线程绑定到核心
net.inet.rss.enabled=1           # 启用接收方缩放
net.inet.rss.bits=2              # RSS位，根据核心数调整（核心数/4）
net.inet.tcp.soreceive_stream=1  # 启用优化的内核套接字接口
kern.ipc.maxsockbuf=16777216     # 增大套接字缓冲区（10G网卡）

注意：调整需谨慎，建议参考 FreeBSD网络性能调优指南。

8.6 网关组（故障转移/负载均衡）

1. 配置网关：系统 -> 网关 -> 配置，确保各WAN口网关监控状态为“正常”。
2. 创建网关组：系统 -> 网关 -> 组，点击 **+**。
   • 添加网关并设置优先级（故障转移），例如：WAN_GW为层级1，WAN2_DHCP为层级2。
   • 触发条件：丢包。
3. 修改策略路由：在LAN的防火墙出站规则中，将网关选项改为新建的网关组。

九、故障排除

9.1 CSRF check failure 错误

登录后出现此白色错误页，通常是因为浏览器缓存或会话问题。

• 解决方法：清除浏览器缓存和Cookie，使用无痕模式，或直接访问 https://192.168.1.1/（不带后续路径）。如仍不行，可尝试重启OPNsense的Web服务（非重启系统）。

9.2 网页反向代理设置

若通过Nginx等反向代理访问OPNsense管理界面，需在OPNsense中关闭某些检查：

• 进入 系统 -> 设置 -> 管理。
• 勾选：禁用Web GUI重定向规则、禁用DNS重绑定检查、禁用HTTP_REFERER强制检查。

9.3 开启SSH访问

• 进入 系统 -> 设置 -> 管理。
• 勾选：启用安全Shell、允许root用户登录、允许密码登录。
• 监听接口：可选择全部或指定接口。

版权声明：本文部分内容参考并整合了多位社区作者的经验，特别感谢 OPNsense中文手册 和博主“鐵血男兒”的分享。本文旨在为初学者提供一个清晰的指引，更多深入细节请查阅官方文档和社区论坛。

解决SuperMicro主板风扇转速过低告警

现象

系统启动后风扇忽高忽低，进入IPMI后台可以看到，看到传感器日志里大量的告警

造成此问题的原因是风扇转速过低，触发了超微的风扇转速允许的下限，从而强制满速运转，而在满速后主板又很快发现没有问题，且此时温度较低，风扇开始降速，直到降速到下限以下，重复此过程。

在进入IPMI后台管理界面后风扇速度有四种智能模式可调

• Standard: zone0和zone1 风速为50%

• Optimal: 风速为30%

• Full: 风速为100%

• Heavy IO: zone0 为50%，zone1 为75%

解决方法

1. 在服务器上安装IPMItool

1
2

apt install ipmitool # Ubuntu/Debian指令
yum install ipmitool # CentOS指令

2. 设置风扇转速

1
2
3

# 风扇名可以看告警里边的对应风扇名
ipmitool sensor thresh FAN1 lower 100 125 125
ipmitool sensor thresh FANA lower 100 125 125

3. Windows 下远程操作IPMI

ipmitool windows 版 下载地址

1
2

ipmitool -H [IPMI网口IP地址] -U [IMPI账户] -P [IPMI密码] sensor thresh FAN1 lower 100 125 125
ipmitool -H [IPMI网口IP地址] -U [IMPI账户] -P [IPMI密码] sensor thresh FANA lower 100 125 125

问题

如果你运行上面的命令后，风扇转速回落后马上又返回原样，这表明服务器的自动调速覆盖了你手动设置的转速。你需要切换服务器风扇策略为全速（Full Speed），在这个策略下服务器不会使用自动调节转速，因此也不会覆盖你手动设置的转速。

运行下面的命令切换到全速模式（也可以进入IPMI界面调整）：

1
2

ipmitool -H [IPMI网口IP地址] -U [IMPI账户] -P [IPMI密码] 0x30 0x45 0x01 0x01
# 最后一个0x01表示全速模式。如果为0x00则表示标准（Standard）；0x02表示最优（Optimal）

参考

1.解决超微 SuperMicro 主板风扇反复高低转速问题 - 哔哩哔哩 (bilibili.com)

超微服务器Supermicro X9/X10/X11设置风扇转速 - 辰宸的备忘录 (licc.tech)

ipmitool常用命令详解_ipmitool lan set_owlcity123的博客-CSDN博客

服务端配置

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

[common]
# TCP通信端口
bind_port = 7000 

#UDP通信端口
bind_udp_port = 7001

# 最大连接数
max_pool_count = 50

# 仪表板界面配置
dashboard_port=7500
dashboard_user=admin
dashboard_pwd=admin

# 允许使用的端口号,可以指定范围也可以用‘，’分割
allow_ports = 18081-18090,8080

服务端开机自启配置

1
2
3

sudo vim /etc/systemd/system/frps.service
sudo systemctl enable frps.service
sudo systemctl start frps.service

启动文件

1
2
3
4
5
6
7
8
9
10
11
12
13
14

[Unit]
Description = Frp Server Service
After = network.target

[Service]
Type = simple
User = nobody
Restart = on-failure
RestartSec = 5s
ExecStart = /usr/local/bin/frps -c /usr/local/etc/frp/frps.ini

[Install]
WantedBy = multi-user.target

客户端配置

1
2
3
4
5
6
7
8
9
10
11
12
13
14

[common]
#替换IP地址为服务端IP
server_addr=0.0.0.0
server_port=7000

# windows远程桌面
[rdp]
type=tcp
# 映射IP
local_ip=127.0.0.1 
# 映射端口（本地）
local_port=3389
# 远程端口（服务器）注意端口要在允许端口内切未被占用
remote_port=18087

准备工作

制作启动盘

官方镜像
Minimal CD Stage
国内加速
清华大学开源软件镜像站
中国科技大学开源镜像站

使用Rufus制作启动U盘.

连接网络

分区规划

参考 Linux硬盘分区

挂载分区

1
2
3
4
5
6
7
8

mkdir /mnt/gentoo
mount /dev/sdx? /mnt/gentoo
mkdir /mnt/gentoo/home
mount /dev/sdx? /mnt/gentoo/home
mkdir /mnt/gentoo/boot
mount /dev/sdx? /mnt/gentoo/boot
mkdir /mnt/gentoo/boot/efi
mount /dev/sdx? /mnt/gentoo/boot/efi

配置Portage

释放stage

1
2
3
4
5
6
7
8

# 使用命令行浏览器下载stage
links http://www.gentoo.org/main/en/mirrors.xml

# 发送stage3
scp stage3-amd64-*.tar.xz root@192.168.0.2:/mnt/gentoo
cd /mnt/gentoo
# 释放stage3
tar xpvf stage3-*.tar.bz2 --xattrs-include='*.*' --numeric-owner

挂载系统必要环境

1
2
3
4
5
6
7

mount --types proc /proc /mnt/gentoo/proc
mount --rbind /sys /mnt/gentoo/sys
#mount --make-rslave /mnt/gentoo/sys (不使用systemd，所以注释掉)
mount --rbind /dev /mnt/gentoo/dev
#mount --make-rslave /mnt/gentoo/dev (不使用systemd，所以注释掉)
mount --rbind /run /mnt/gentoo/run
#mount --make-slave /mnt/gentoo/run (不使用systemd，所以注释掉)

复制DNS

1

cp --dereference /etc/resolv.conf /mnt/gentoo/etc/

配置软件源

常规源

选择中国源，这一步是非必须的，提供的/etc/portage/make.conf里已经有中国的所有源了

1

mirrorselect -i -o >> /mnt/gentoo/etc/portage/make.conf   

创建主仓库

1
2
3
4
5
6
7
8
9
10
11

mkdir -p -v /mnt/gentoo/etc/portage/repos.conf

cp -v /mnt/gentoo/usr/share/portage/config/repos.conf /mnt/gentoo/etc/portage/repos.conf/gentoo.conf

# 加入中国源
nano -w /mnt/gentoo/etc/portage/repos.conf/gentoo.conf：    

## 源地址
sync-uri = rsync://mirrors.tuna.tsinghua.edu.cn/gentoo-portage/
#sync-uri = rsync://rsync.mirrors.ustc.edu.cn/gentoo-portage/
#sync-uri = rsync://mirrors.yun-idc.com/gentoo-portage/

二进制源

1
2
3
4
5
6
7
8
9
10
11
12
13
14

# 修改二进制源地址为国内源
nano -w /etc/portage/binrepos.conf/gentoobinhost.conf

# 原有内容
# ---
# These settings were set by the catalyst build script that automatically
# built this stage.
# Please consider using a local mirror.

[gentoobinhost]
priority = 1
# sync-uri = https://distfiles.gentoo.org/releases/amd64/binpackages/23.0/x86-64
sync-uri = https://mirrors.tuna.tsinghua.edu.cn/gentoo/releases/amd64/binpackages/23.0/x86-64/
# sync-uri = https://mirrors.ustc.edu.cn/gentoo/releases/amd64/binpackages/23.0/x86-64/

如果启用二进制源需要在USE中添加 getbinpkg binpkg-request-signature

生成fstab

1

genfstab -U /mnt/gentoo >> /mnt/gentoo/etc/fstab

生成的fstab格式如下

1
2
3

UUID=......      /boot/efi      vfat      noauto,defaults,noatime,umask=0077                               0 2
UUID=......      /              xfs       defaults,noatime                                                 0 1
UUID=......      /home          xfs       noatime,discard    

系统配置

进入新系统环境

从现在开始，所有的动作将立即在新 Gentoo Linux 环境里生效。

1
2
3
4

chroot /mnt/gentoo /bin/bash
env-update						
source /etc/profile
export PS1="(chroot) ${PS1}" # 切换提示符，避免混淆

同步stage

1

emerge-webrsync

^注意: gentoo handbook上提到可以使用emerge -rsync升级软件包数据库到最近2小时的最新版，这是没有必要的，而且下载的速度会极其慢，所以不推荐这样做。单用emerge-webrsync就可以同步数据库到最近3～4天内的最新版了。

设置profile

1
2

eselect profile list     #查看profile予设值
eselect profile set X    #这里先保持选择默认值，即“default/linux/amd64/17.1 (stable)”

检测cpu指令集

1
2
3
4
5
6
7

# 安装cpuid2cpuflags
emerge --ask app-portage/cpuid2cpuflags

# 查看CPU指令集
cpuid2cpuflags   

echo "*/* $(cpuid2cpuflags)" > /etc/portage/package.use/00cpu-flags

安装CCache(可选，加速编译)

1
2
3
4

emerge --ask ccache 
mkdir -p /var/cache/ccache
chown root:portage /var/cache/ccache -R
chmod 2775 /var/cache/ccache -R

在portage/make.conf中添加

1
2
3
4

FEATURES="ccache -test" 
CCACHE_DIR="/var/cache/ccache"

USE="... ${FEATURES}" # 在USE中添加${FEATURES} 

安装Aria2(可选，加快包下载)

1

emerge --ask net-misc/aria2

在portage/make.conf中添加配置

1
2
3
4
5
6
7

DISTDIR="/var/cache/distfiles"
FETCHCOMMAND="/usr/bin/aria2c -d \${DISTDIR} -o \${FILE} \
    --allow-overwrite=true --max-tries=5 --max-file-not-found=2 \
    --max-concurrent-downloads=5 --connect-timeout=5 --timeout=5 \
    --split=5 --min-split-size=2M --lowest-speed-limit=20K \
    --max-connection-per-server=9 --uri-selector=feedback \${URI}"
RESUMECOMMAND="${FETCHCOMMAND}"

配置编译选项

1

nano /mnt/gentoo/etc/portage/make.conf

^注意: 设置编译标志 -march=native (如果你知道自己处理器的代号，就用自己的处理器代号替换这里的native 比如我的是skylake，如果不确定就使用native)
^注意: 设置 MAKEOPTS=”-j8” 来定义安装软件时并行编译的数量 这个数字等于你的CPU线程数（也称为逻辑CPU数）参考MAKEOPTS WiKi

完整的配置文件如下(转自Gentoo安装流程分享(step by step)，第一篇之基本系统的安装，修改了下注释格式，删除不用的部分)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123

# These settings were set by the catalyst build script that automatically
# built this stage.
# Please consult /usr/share/portage/config/make.conf.example for a more
# detailed example.
# GCC编译配置 -O3代表优化级别,如果采用更高的-Ofast可能会导致部分软件包编译错误, 
# -march=native代表为本机cpu进行编译,如果是交叉编译需要去掉
COMMON_FLAGS="-march=skylake -O2 -pipe"
CFLAGS="${COMMON_FLAGS}"
CXXFLAGS="${COMMON_FLAGS}"
FCFLAGS="${COMMON_FLAGS}"
FFLAGS="${COMMON_FLAGS}"

# 源代码包构建时传递给`make`的参数
# 同时编译的线程数,根据cpu线程数和内存大小/2中较小的
MAKEOPTS="-j8"                

# 系统上托管的主软件包存储库,其默认值为 `/var/db/repos/gentoo`
PORTDIR="/var/db/repos/gentoo"

# Portage存储下载的源代码归档的位置，默认为新安装的`/var/cache/distfiles`
DISTDIR="/var/cache/distfiles"

#Portage临时文件的位置，默认为`/var/tmp`
# 如果内存足够大(8G、16G)，那么建议把编译程序时存放临时中间文件的目录设置
# 为内存的tmpfs(/tmp目录)，以减少编译时对硬盘的大量读写、延长硬盘使用寿命、
# 并加快编译速度；但如果你的内存较小(<=4G)，那么建议把此项注释掉，否则很多
# 程序会因内存容量不足而导致编译失败
PORTAGE_TMPDIR="/tmp"

# NOTE: This stage was built with the bindist Use flag enabled

# This sets the language of build output to English.
# Please keep this setting intact when reporting bugs.
LC_MESSAGES=C

# 同步镜像
GENTOO_MIRRORS="https://mirrors.tuna.tsinghua.edu.cn/gentoo"
# 备选
# GENTOO_MIRRORS="https://mirrors.ustc.edu.cn/gentoo/"
# GENTOO_MIRRORS="https://mirrors.aliyun.com/gentoo/"
# GENTOO_MIRRORS="https://mirrors.cloud.tencent.com/gentoo/"
# GENTOO_MIRRORS="https://mirrors.huaweicloud.com/gentoo/"

# emerge的默认选项
EMERGE_DEFAULT_OPTS="--keep-going --with-bdeps=y --quiet --ask --verbose"   

# 每次安装完包之后自动清理
AUTO_CLEAN="yes"  

# 指定软件包的可用性和稳定性级别。
# 如果更喜欢最新那这里用~amd64(接受安装和更新处于测试阶段的软件包)
ACCEPT_KEYWORDS="amd64"           
# 接受所有许可证的软件
ACCEPT_LICENSE="*"                

# 语言设置
L10N="en-US zh-CN en zh" 
LINGUAS="en_US zh_CN en zh"          

# intel集成显卡和nvidia显卡(不使用novueau)
VIDEO_CARDS="intel i965 iris nvidia"

# intel声卡
ALSA_CARDS="hda_intel"

# 输入设备 非笔记本去除后面的synaptics
INPUT_DEVICES="libinput synaptics"

# 设置GRUB版本
GRUB_PLATFORMS="efi-64"            

# 使用ccache来大大提高重新编译时的速度,安装ccache后解除注释
# CCACHE="parallel-fetch ccache"  
# ccache使用的目录
# CCACHE_DIR="/var/cache/ccache"     

# 使用aria2提高下载速度（不设置也无大碍，设置的话一定要注意指令拼写正确）,
# 安装aria2后解除注释
# FETCHCOMMAND="/usr/bin/aria2c -d \${DISTDIR} -o \${FILE} \
#   --allow-overwrite=true --max-tries=5 --max-file-not-found=2 \
#	--max-concurrent-downloads=5 --connect-timeout=5  --timeout=5 \
#	--split=5 --min-split-size=2M --lowest-speed-limit=20K \
#	--max-connection-per-server=9 --uri-selector=feedback \${URI}"
# RESUMECOMMAND="${FETCHCOMMAND}"

# USE变量
# 用户希望在系统中启用的Portage特性列表,影响Portage的行为。
# 由于这是一个增量变量，可以在不直接覆盖通过 Gentoo profile
# 实现的FEATURES值的情况下添加FEATURES值。
FEATURES=""

# gnome和kde及其相关组件
DESK_ENV="-gnome -gnome-shell -gnome-keyring -nautilus -kde icu"

# 不使用systemd plymouth consolekit 只使用elogind
# 旧教程会使用consolekit，elogind是consolekit未来的替代品
FUCKSV="-systemd -bindist -mdev elogind -oss -grub -plymouth -consolekit"

# 对于音频相关软件使用pulseaudio alsa jack特性
AUDIO="alsa jack pulseaudio"

SOFTWARE="sudo client git openmp minizip udev blkid efi hwdb smack \
    acpi ccache dbus policykit udisks cjk emoji -test"

# 网络相关
NET="network networkmanager connection-sharing wifi http2 dhclient \
    -dhcpcd policykit nftables"

# 图形相关
VIDEO="X vulkan layers glamor nvidia gallium"

# 定义需要的USE变量
USE="${DESK_ENV} ${FUCKSV} ${AUDIO} ${NET} ${VIDEO} ${SOFTWARE}"

# 二进制包保存路径
# PKGDIR="/var/cache/binpkgs"

# 使用二进制软件包,加入USE生效
# BIN_PKG="getbinpkg"

# emerge时用到的代理 需要代理时候自行设置
# http_proxy="http://127.0.0.1:8889" 
# https_proxy="http://127.0.0.1:8889"

永久禁用nouveau驱动模块

强烈要求你禁用Nouveau驱动！！能省掉以后很多莫名其妙的麻烦！

1
2
3
4
5
6
7

mkdir /etc/modprobe.d/
nano -w /etc/modprobe.d/blacklist.conf

# 写入以下内容
blacklist nouveau
blacklist lbm-nouveau
options nouveau modeset=0

即便在编译内核前就已经设置内核禁用Nouveau驱动了，但是内核安装时还是会默认把nouveau驱动作为内核模块自动加载。启用了nouveau驱动模块的内核会出现各式各样的莫名其妙的数不清的问题，所以为了避免以后出现这些问题，必须禁用nouveau模块。

内核配置和编译

安装内核源码

1
2
3
4
5

emerge --ask sys-kernel/gentoo-sources

# 如果安装多个版本内核时执行
eselect kernel list 	# 查看内核列表
eselect kernel set 1 	# 选择内核版本

某些驱动程序在工作之前需要在系统上安装其他固件。这通常是网络接口的情况，尤其是无线网络接口。此外，在使用开源驱动程序时，来自AMD，Nvidia和Intel等供应商的现代视频芯片通常需要外部固件文件。大多数固件都封装在sys-kernel / linux-firmware中：

1

emerge --ask --quiet sys-kernel/linux-firmware

除了独立显卡硬件和网络接口之外，CPU 可能也需要固件更新。通常这种固件被称为微码（microcode）。有时需要更新版本的微码来修补 CPU 硬件中的不稳定性、安全问题或其他复杂的错误。

AMD CPU 的微码更新在前面提到的 sys-kernel/linux-firmware 软件包内分发。Intel CPU 的微码可以在 sys-firmware/intel-microcode 包中找到，并且需要单独安装

1
2

# Intel CPU 执行
emerge --ask sys-firmware/intel-microcode

三种方法安装内核

安装系统时可选择安装二进制内核，系统安装完后再配置编译内核，参考 配置Linux内核 - Gentoo Wiki

1. 全自动安装

   当为基于 amd64 的系统安装和编译内核时，Gentoo 推荐使用 sys-kernel/gentoo-sources 软件包

   1	emerge --ask sys-kernel/installkernel

2. 混合安装(推荐方式)

   生成内核配置文件

   将genkernel的默认内核配置文件“generated-config”复制过来，里面已经设置好了绝大部分应用场景以及绝大部分硬件驱动的配置，非常方便，值得借过来使用，只需要在自己手动配置内核的时候将其加载，在其基础上做一点点轻微的修改或完全不修改都可以，对内核新手极其友好！

   1 2 3 4 5 6 7 8 9 10

   emerge --ask sys-kernel/genkernel # 以genkernel的配置文件为基础进行自定义配置 cp /usr/share/genkernel/arch/x86_64/generated-config /usr/src/linux/ # 备份 cp /usr/src/linux/generated-config /usr/src/linux/generated-config.bak # 编译 genkernel --mountboot --install all

   ^注意如果想在以后支持jack低延迟实时音频组件（Jack-Audio-Connection-Kit），则需要vim generated-config，手动设置“CONFIG_CGROUPS=y”、“CONFIG_CGROUP_SCHED=y”、“CONFIG_RT_GROUP_SCHED=y”，然后重新make menuconfig载入保存generated-config一遍，接下来再编译内核。
   ^注意: 使用nvidia显卡闭源驱动，需要将内核配置中“CONFIG_I2C_NVIDIA_GPU”这一项禁用，否则会和官方nvidia-drivers冲突！！！

3. 全手动安装

   1 2 3 4 5

   emerge sys-apps/pciutils cd /usr/src/linux # 配置内核 make menuconfig

![[Gentoo安装/IMG-20241210170128644.png]]
有些内核选项是必须的，必须编译到内核中，而不是作为模块加载。*表示包括到内核中，M表示作为模块加载，[]只有包括到内核中和排除在外两种选项，<>则有包括到内核中、排除在外和以模块加载三种选项。下面这些选项都必须以*方式编译到内核中。

devtmpfs支持。

1
2
3
4

Device Drivers --->
  Generic Driver Options --->
    [*] Maintain a devtmpfs filesystem to mount at /dev
    [*]   Automount devtmpfs at /dev, after the kernel mounted the rootfs

SCSI磁盘支持。

1
2
3

Device Drivers --->
   SCSI device support  --->
      <*> SCSI disk support

选择支持的文件系统。因为ESP分区用的FAT32格式化的，根目录用的XFS格式化的，所以这里这两项（FAT32也就是VFAT）必须包括到内核中，虚拟内存和proc文件系统也是必选的。其实这里还可以取消掉不需要的文件系统，但是对于新手不建议取消任何自己不明白的东西，很容易弄的最后内核没办法启动。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

File systems --->
  < > Second extended fs support
  < > The Extended 3 (ext3) filesystem
  <*> The Extended 4 (ext4) filesystem
  < > Reiserfs support
  < > JFS filesystem support
  < > XFS filesystem support
  < > Btrfs filesystem support
  DOS/FAT/NT Filesystems  --->
    <*> MSDOS fs support
    <*> VFAT (Windows-95) fs support
 
Pseudo Filesystems --->
    [*] /proc file system support
    [*] Tmpfs virtual memory file system support (former shm fs)

如果处理器是多核的，还需要开启SMP（对称多处理器支持）。

1
2

Processor type and features  --->
  [*] Symmetric multi-processing support

USB也必须启用

1
2
3
4
5
6
7
8
9
10
11

Device Drivers --->
  HID support  --->
    -*- HID bus support
    <*>   Generic HID driver
    [*]   Battery level reporting for HID devices
      USB HID support  --->
        <*> USB HID transport layer
  [*] USB support  --->
    <*>     xHCI HCD (USB 3.0) support
    <*>     EHCI HCD (USB 2.0) support
    <*>     OHCI HCD (USB 1.1) support

系统体系相关的内核配置

因为选择了multlib，所以32和64位的程序都会安装。为了支持32位程序，必须启用32位程序模拟功能。这里其实倒是不用怎么改，默认已经都选上了。

1
2
3
4
5
6
7
8
9
10
11
12

Processor type and features  --->
   [*] Machine Check / overheating reporting 
   [*]   Intel MCE Features
   [*]   AMD MCE Features
   Processor family (AMD-Opteron/Athlon64)  --->
      ( ) Opteron/Athlon64/Hammer/K8
      ( ) Intel P4 / older Netburst based Xeon
      ( ) Core 2/newer Xeon
      ( ) Intel Atom
      (*) Generic-x86-64
Binary Emulations  --->
   [*] IA32 Emulation

启用GPT支持，因为前面我用的GPT分区表，EFI启动方式，所以这两项也必须启用。

1
2
3
4

-*- Enable the block layer --->
   Partition Types --->
      [*] Advanced partition selection
      [*] EFI GUID Partition support

EFI的支持。

1
2
3
4
5
6
7
8

Processor type and features  --->
    [*] EFI runtime service support 
    [*]   EFI stub support
    [*]     EFI mixed-mode support
 
Firmware Drivers  --->
    EFI (Extensible Firmware Interface) Support  --->
        <*> EFI Variable Support via sysfs

1
2
3
4

# 编译内核
make -j12 #（CPU核心数根据机器cpu调整）      
make modules_install
make install

使用二进制内核

1
2

# 安装二进制内核
emerge --ask sys-kernel/gentoo-kernel-bin

可选：生成一个initramfs

在某些情况中需要建立一个initramfs——一个基于内存的初始化文件系统。最觉的原因是当重要的文件系统位置（如/usr/或/var/）在分离的分区。通过一个initramfs，这些分区可以使用initramfs里面的工具来完成挂载。

用dracut生成内核的initramfs，快速且方便，新手友好

1
2
3
4
5

emerge --ask sys-kernel/dracut

cd /boot

dracut --hostonly

或者使用genkernel生成内核的initramfs

1
2

cp /usr/src/linux/generated-config /etc/kernels/kernel-config-<内核版本号>-gentoo-x86_64
genkernel --install initramfs

系统环境配置

配置主机名

1
2
3
4

#nano -w /etc/conf.d/hostname

echo "HOSTNAME" > /etc/hostname

配置系统时区

1
2
3
4
5
6
7
8

ls /usr/share/zoneinfo
echo "Asia/Shanghai" > /etc/timezone

# 解决时间差8小时问题（双系统时会遇到Windows时间不对）
sudo rm /etc/localtime
sudo ln -sv /usr/share/zoneinfo/Universal /etc/localtime

sudo emerge --config sys-libs/timezone-data

配置编码

1
2
3
4
5
6
7
8

nano -w /etc/locale.gen 		#将以下几项取消注释，如果没有手动输入

en_US ISO-8859-1
en_US.UTF-8 UTF-8
zh_CN GBK 
zh_CN.UTF-8 UTF-8

locale-gen 						# 更新

设置系统locale

1
2
3
4
5
6
7
8

#查看可用系统时区和地区配置
eselect locale list  

#这里只能选择“en-US.utf8”！！假如设置成了中文后，整个系统的终端命令行会乱码！！！
eselect locale set X    

# 更新环境
env-update && source /etc/profile && export PS1="(chroot) ${PS1}"

配置sudo自动补全

1
2
3
4
5
6
7
8
9
10
11
12
13

sudo emerge --ask app-shells/bash-completion

# 添加 bash-completion 全局 USE 标记
sudo vim /etc/protage/make.conf
USE="... bash-completion"
sudo emerge --avuDN world

# 启用bash-completion的功能
sudo eselect bashcomp enable base
# sudo bashcomp-config enable base

# 查看哪些命令支持bash-completion
sudo eselect bashcomp list

安装网络工具

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

# 无线
emerge --ask net-wireless/iw
emerge --ask net-wireless/wpa_supplicant

# 有线
emerge --ask net-misc/netifrc # openrc 自带
# emerge --ask net-misc/systemd-networkd

# PPPoE环境
emerge --ask net-dialup/ppp

# 如果使用GUI可跳过
# 要在引导时激活网络接口，需要将它们添加到默认运行级别
# 首先使用 ifconfig 查看网络接口名称
cd /etc/init.d/
ln -s net.lo net.eno1 # 此处网卡名称需要和实际网卡名对应
rc-update add net.eno1 default

![[Gentoo安装/IMG-20241210170128726.png]]
安装配置networkmanager

最方便支持多种联网方式的工具是NetworkManager,基本满足所有需求，但同时它的依赖有点多。如果使用桌面环境的话建议安装。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28

nano -w /etc/portage/make.conf:
USE=“networkmanager connection-sharing dhclient policykit ppp wifi -dhcpcd”

emerge net-misc/networkmanager 

nano -w /etc/dhcp/dhclient.conf：
send host-name "Gentoo"    #your hostname

nano -w /etc/NetworkManager/NetworkManager.conf
[connectivity]
uri=http://nmcheck.gnome.org/check_network_status.txt


nano -w /etc/NetworkManager/NetworkManager.conf
[main]
plugins=keyfile
dns=dnsmasq
hostname-mode=none

rc-update del dhcpcd
rc-update add NetworkManager default
# systemctl disable dhcpcd
# systemctl enable networkmanager

#gpasswd -a <你的桌面使用用户名> plugdev   #没有这一步，用户将不能使用networkmanager，也就不能上网。不过先跳过这一步，在设置系统用户的时候再做。

nano -w /etc/dnsmasq.conf:
server=114.114.114.114

安装必要的工具

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32

# 系统日志
emerge --ask app-admin/sysklogd
rc-update add sysklogd default
# systemctl enable sysklogd
# systemctl start sysklogd

# 计划任务管理
emerge --ask sys-process/cronie
rc-update add cronie default
# systemctl enable cronie
# systemctl start cronie

# 文件索引
emerge --ask sys-apps/mlocate

# 电源管理
emerge --ask sys-power/acpid
rc-update add acpid default
# systemctl enable acpid
# systemctl start acpid

# CPU温度管理
emerge sys-power/thermald
rc-update add thermald default
# systemctl enable thermald 
# systemctl start thermald

# 设备管理工具
emerge --ask virtual/udev
rc-update add udev sysinit
# systemctl enable udev
# systemctl start udev

配置系统用户

安装sudo

1
2
3

emerge app-admin/sudo

nano -w /etc/sudoers

把 %wheel ALL=(ALL) ALL 这一行去掉注释，如果希望执行sudu不需要密码则取消注释%wheel ALL=(ALL) NOPASSWD:ALL

添加用户

1
2
3

groupadd sudo 
useradd -m -G users,wheel,usb,portage,video,audio,sudo -s /bin/bash [用户名]
chmod 700 /home/[用户名] -R

设置密码

1
2
3
4

# 设置root密码
passwd root

passwd {用户名}

添加操作系统启动项

在/etc/portage/make.conf中添加grub配置

1

GRUB_PLATFORMS="efi-64"

安装grub2

1
2

emerge --ask sys-boot/grub:2
emerge --ask sys-boot/os-prober # 用于识别其他分区的系统（双系统）

grub安装到硬盘并生成开机启动项

1
2

grub-install --target=x86_64-efi --efi-directory=/boot/efi --bootloader-id=Gentoo
grub-mkconfig -o /boot/grub/grub.cfg

1

mount -o remount,rw /sys/firmware/efi/efivarsos-prober

如果出现No space left on device，请运行以下命令，之后再重复上述步骤

1
2

mount -t efivarfs efivarfs /sys/firmware/efi/efivars
rm /sys/firmware/efi/efivars/dump-*

grub默认配置添加自定义配置，可提高intel cpu的稳定性和性能

1
2
3
4

nano -w /etc/default/grub：
GRUB_CMDLINE_LINUX_DEFAULT="intel_idle.max_cstate=0 processor.max_cstate=1"

grub-mkconfig -o /boot/grub/grub.cfg

清理

1
2
3
4
5
6
7
8
9
10
11
12

rm /stage3-*.tag.ge
# 退出chroot
exit

# 卸载
umount -lR /mnt/gentoo

# 重启
reboot

# 成功开机并进入系统后
grub-mkconfig -o /boot/grub/grub.cfg

如果开机不正常参考挂载文件系统(不要执行分区和mkfs操作)，可重新chroot进入系统修改错误的配置。

桌面环境

安装基础环境

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

# 从 x11-base/xorg-drivers-21.1 开始,x11-base/xorg-drivers更改 [USE 标志]设置
# 这将弃用x11-drivers/xf86-video-intel驱动程序，以支持内置的通用模式设置DDX驱动程序
# 具有video_cards_i915USE 标志集将继续安装 Intel DDX 驱动程序。
emerge --ask x11-base/xorg-drivers

# 英伟达显卡
emerge --ask x11-drivers/nvidia-drivers

# 安装xorg-server
emerge --ask x11-base/xorg-server

# 安装双显卡设置工具
emerge --ask x11-apps/xrandr 

# 让nvidia自动设置双显卡prime配置
sudo rm /etc/X11/xorg.conf 
sudo nvidia-xconfig --prime 

# 安装完更新当前系统组件环境
env-update && source /etc/profile

^注意: 以后每次重新编译安装内核kernel后，均须要运行一遍“emerge @module-rebuild”，重新编译安装nvidia驱动模块加载到内核之中，否则nvidia驱动无法加载！！！

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

lsmod | grep nvidia
sudo rmmod nvidia
sudo modprobe nvidia

lsmod|grep nvidia

sudo vim /etc/modules-load.d/nvidia.conf:
nvidia

sudo vim /etc/modprobe.d/nvidia-drm.conf:
options nvidia-drm modeset=1

sudo rc-update add modules boot
sudo reboot 

LightDM

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

# 安装LightDM，使用KDE可忽略
sudo emerge --ask gui-libs/display-manager-init
sudo emerge --ask x11-misc/lightdm 

# 如果不安装桌面管理器需要加入环境，登录后自动启动桌面
echo "XSESSION=\"awesome\"" > /etc/env.d/90xsession
env-update && source /etc/profile

# openrc
nano -w /etc/conf.d/display-manager
DISPLAYMANAGER="lightdm"

# 设置默认开机启动
rc-update add display-manager default
# 设置dubs默认开机启动，虽然display-manager也会启动它，但有时候会出现奇怪的问题
rc-update add dbus default

# 手动启动
rc-service dbus start 
rc-service display-manager start

# systemd
# systemctl enable lightdm.service

KDE

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

# 安装KDE桌面可忽略上边LightDM,同时需要删除USE中`-kde`
sudo emerge --ask x11-misc/sddm
sudo emerge --ask kde-plasma/plasma-meta

# 安装Dock
# 安装完打开latte-dock后会自动设置为开机自启动
sudo emerge --ask kde-misc/latte-dock

# 修改登陆管理器配置文件
nano -w /etc/conf.d/display-manager

# --- xdm内容
DISPLAYMANAGER="sddm"

#---

# 添加SDDM开机启动
sudo rc-update add xdm default
# 启动SDDM
sudo rc-service xdm start 

# Systemd
# sudo systemctl enable xdm
# sudo systemctl start xdm

Awesome

1
2
3
4
5
6
7
8
9
10
11
12
13

# awesome 平铺式桌面
emerge --ask x11-wm/awesome 

# 测试
mkdir -p ~/.config/awesome/
cp /etc/xdg/awesome/rc.lua ~/.config/awesome/rc.lua
awesome -k

# 壁纸支持
emerge --ask media-gfx/feh

# 在~/.config/awesome/theme/theme中添加一下内容
theme.wallpaper_cmd = { "wesetbg -f .config/awesome/themes/awesome-wallpaper.png" }

Mate

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

# 选择profile
eselect profile list
eselect profile set 0 # 选择default/linux/amd64/23.0/desktop
# 更新
emerge -auvDU @world

# Meta 桌面
emerge --ask mate-base/mate

# 修改xsession配置
nano -w /etc/env.d/90xsession
#--- 90xsession内容
XSESSION="Mate"

#--- 

# 修改LightDM配置(需要安装LightDM)
nano -w /etc/conf.d/display-manager
#--- display-manager内容
DISPLAYMANAGER="lightdm"

Xfce

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48

# xfce4桌面
emerge --ask xfce-base/xfce4-meta 

# 测试桌面启动指令
startxfce4 # 启动Xfce桌面

# Pulseaudio音量控制
emerge --ask xfce-extra/xfce4-volumed-pulse

# 蓝牙音乐播放组件
emerge --ask xfce-extra/xfce4-pulseaudio-plugin

# 显示所有正在运行的程序的列表，以及每个程序占用的CPU和内存消耗。 
emerge --ask xfce-extra/xfce4-taskmanager

# 监视和管理电源使用情况的应用程序。 这对笔记本电脑特别重要！
# 电源管理器允许用户调节屏幕亮度，选择最大性能或节电模式，
# 并在盖子关闭或按下按钮时设置休眠，暂停和关闭操作
emerge --ask xfce-extra/xfce4-power-manager

# 适合笔记本电脑用户。 它显示电池百分比，剩余时间，电源（交流或电池），风扇状态，警告，
# 甚至可以配置为在特定功率级别执行命令。 此功能可用于在电池电量几乎耗尽时将笔记本电脑置于休眠模式。
xfce-extra/xfce4-battery-plugin

# 添加几个窗口管理器主题
emerge --ask x11-themes/xfwm4-themes

# 一个X11终端，比准系统更可配置和有用 xterm 
emerge --ask x11-terms/xfce4-terminal

# Xfce的默认图形文件管理器。
emerge --ask xfce-base/thunar

# 允许用户从Thunar内预览某些类型的文件，例如图像和字体。
emerge --ask xfce-extra/tumbler

# manages自动挂载可移动介质和驱动器。
emerge --ask xfce-extra/thunar-volman

# 嵌入面板的一个小命令行。 它比打开终端运行命令更快。
emerge --ask xfce-extra/xfce4-verve-plugin

# 提供一种方便的方法，只需点击鼠标即可安装/etc/fstab中列出的设备。
emerge --ask xfce-extra/xfce4-mount-plugin

# 允许用户监视硬件传感器，例如CPU温度，风扇RPM，硬盘驱动器温度，主板电压等。
emerge --ask xfce-extra/xfce4-sensors-plugin

音频控制

1
2

emerge --ask alsa-utils
emerge --ask alsa-plugins

中文字体

1
2
3
4
5
6
7
8

emerge --ask media-fonts/arphicfonts
emerge --ask media-fonts/noto-cjk
emerge --ask media-fonts/source-han-sans
emerge --ask media-fonts/wqy-microhei
emerge --ask media-fonts/wqy-zenhei

eselect fontconfig list 
eselect fontconfig enable X X X # 选择所有wqy开头的项

输入法

1
2
3
4
5
6
7
8
9
10
11
12

# 输入法主题框架
# 其中， app-i18n/fcitx:5 是 fcitx 的主程序
# 　　　 app-i18n/fcitx-configtool:5 是它的配置工具
# 　　　 app-i18n/fcitx-qt:5 用于支持在 qt 程序上使用它
# 　　　 app-i18n/fcitx-gtk:5 用于支持在 gtk 程序上使用它
emerge -vj app-i18n/fcitx:5 app-i18n/fcitx-configtool:5 app-i18n/fcitx-qt:5 app-i18n/fcitx-gtk:5

# 安装完成后再用户的~/.xsession文件内添加
export XMODIFIERS="@im=fcitx"
export QT_IM_MODULE=fcitx
export GTK_IM_MODULE=fcitx
export SDL_IM_MODULE=fcitx

常用命令

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31

# 使用常规(基于源)更新
# --ask(-a)控制Portage显示要更新的软件列表，并提供是否更新选择
# --verbose(-v)在屏幕上输出完整的文件列表
# --update(-u)更新包的最佳版本
# --deep(-D)更新系统中的每个软件包
# --newuse(-N)USE标记变更后，要使用Portage检查USE标记的变动是否导致需要安装新的软件或将现有的软件包重新编译
sudo emerge --ask --verbose --update --deep --newuse @world

# 等价简写
emerge -avuDN @world

emerge -av --deepclean

#gentookit包里的一个软件，用来检查系统的依赖是否都满足,自动安装缺失的依赖
revdep-rebuild

# 使用二进制包更新系统
emerge --ask --verbose --update --deep --changed-use --getbinpkg @world

# 告诉 Portage 不要对一些指定的包或分类创建二进制包
emerge -uDN @world --buildpkg --buildpkg-exclude "virtual/* sys-kernel/*-sources"

# 合并use标记
etc-update 
-3 # 自动合并

# 刷新环境变量
source /etc/profile 

# 清理旧版本的内核
emerge --prune sys-kernel/gentoo-kernel sys-kernel/gentoo-kernel-bin

emerge 使用二进制包选项说明

USE变量说明 官方文档

USE是Gentoo为用户提供的最具威力的变量之一。很多程序通过它可以选择编译或者不编译某些可选的支持。例如，一些程 序可以在编译时加入对gtk或是对qt的支持。其它的程序可以在编译时加入或不加入对于SLL的支持。有些程序甚至可以在编译时加入对 framebuffer的支持（svgalib）以取代X11（X服务器）。
大多数的发行版会使用尽可能多的支持特性编译它们的软件包，这既增加了软件的大小也减慢了启动时间，而这些还没有算上可能会涉及到的大量依赖性问题。Gentoo可以让你自己定义软件编译的选项，而这正是USE要做的事。
在USE变量里可以定义关键字，它被用来对应相应的编译选项。例如，ssl将会把ssl支持编译到程序中以支持它。-X会移除其对于X服务器的支持（注意前面的减号）。gnome gtk -kde -qt4将会以支持GNOME（和GTK）但不支持KDE（和Qt）的方式编译软件，使系统为GNOME做完全调整（如果架构支持）。
默认的USE设置全放在了系统所使用的Gentoo配置文件的make.defaults文件中。Gentoo对它的配置文件们使用了一个（复杂的）继承系统，在这个阶段我们不去深入。最简单的检查当前活动的USE标记的办法是运行emerge –info并选择以USE开头的那一行:

1

emerge --info |grep ^USE

![[Gentoo安装/IMG-20241210170128821.png]]
可以在系统的/usr/portage/profiles/use.desc中找到可用的USE标记的完整描述。

1

less /usr/share/portage/profile/use.desc

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

### 常用软件

```bash
sudo emerge --ask media-video/mpv

# 电子邮件客户端
sudo emerge mail-client/thunderbird

# 视频播放器
sudo emerge media-video/mplayer

# 音乐播放器
sudo emerge media-sound/exaile

# 虚拟机
sudo emerge app-emulation/virt-manager
sudo emerge app-emulation/virtualbox

# VIM
sudo emerge app-editors/vim

参考文章

Gentoo AMD64 Handbook - Gentoo Wiki

开始使用gentoo linux——gentoo安装笔记（上）

开始使用gentoo linux——gentoo安装笔记（下）

Gentoo安装流程分享(step by step)，第二篇之KDE Plasma桌面的安装配置 - 知乎 (zhihu.com)

gentoo linux配置intel和nvidia双显卡电脑，使用prime方案 - 简书 (jianshu.com)

OpenIddict是一个ASP.NET Core身份验证库，可帮助您添加OpenID Connect和OAuth 2.0支持到ASP.NET Core应用程序中。下面是OpenIddict使用教程的步骤:

1. 安装OpenIddict，在项目中添加OpenIddict.Core和OpenIddict.EntityFrameworkCore Nuget包。
2. 配置OpenIddict，在Startup.cs文件中添加OpenIddict服务的配置。您可以选择使用内存或EFCore进行配置。以下是使用EF Core进行配置的示例：

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38

   services.AddDbContext<ApplicationDbContext>(options => { options.UseSqlServer(Configuration.GetConnectionString("DefaultConnection")); options.UseOpenIddict(); }); services.AddCustomOpenIddictApplication(); services.AddCustomOpenIddictAuthorization(); services.AddCustomOpenIddictScope(); services.AddCustomOpenIddictToken(); services.AddCustomOpenIddictValidation(); services.AddCustomOpenIddictUser(); services.AddOpenIddict() .AddCore(options => { options.UseEntityFrameworkCore() .UseDbContext<ApplicationDbContext>() .ReplaceDefaultEntities<ApplicationDbContext>(); }) .AddServer(options => { options.UseMvc(); options.EnableAuthorizationEndpoint("/connect/authorize") .EnableLogoutEndpoint("/connect/logout") .EnableTokenEndpoint("/connect/token") .EnableUserinfoEndpoint("/connect/userinfo"); options.RegisterScopes("openid", "profile", "email", "offline_access"); options.AllowImplicitFlow(); options.DisableHttpsRequirement(); options.AddSigningCertificate(File.ReadAllBytes(Configuration["Auth:Certificates:Path"]), Configuration["Auth:Certificates:Password"]); options.DisableAccessTokenEncryption(); options.SetAccessTokenLifetime(TimeSpan.FromHours(6)); });

3. 添加授权策略，在Startup.cs文件添加需要的授权策略。以下是一个例子：

   1 2 3 4 5

   services.AddAuthorization(options => { options.AddPolicy("EmployeeOnly", policy => policy.RequireClaim("EmployeeNumber")); options.AddPolicy("AdministratorOnly", policy => policy.RequireRole("Administrator")); });

4. 在您的应用程序中使用OpenIddict，您可以使用OpenIddict来实现您的OAuth 2.0或OpenID Connect需求。以下是一些常见的用例：

4.1 登录页面

使用OpenIddict进行身份验证，您可以使用如下代码在您的控制器中。您可以使用请求重定向到触发OpenID Connect流：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45

[HttpGet("~/login")]
public IActionResult Login()
{
    var request = HttpContext.GetOpenIddictServerRequest();
    
    return View(new LoginViewModel
    {
        Nonce = RandomNumberGenerator.GetInt32(),
        ReturnUrl = request.RedirectUri,
        Ticket = request.GetOpenIddictServerTransactionId(),
    });
}

[HttpPost("~/login")]
public IActionResult Login(LoginViewModel model)
{
    if (ModelState.IsValid)
    {
        var user = await _userManager.FindByNameAsync(model.Username);
        if (user == null)
        {
            ModelState.AddModelError("Username", "Username or password is incorrect.");
        }
        else if (!await _userManager.IsEmailConfirmedAsync(user))
        {
            ModelState.AddModelError("Email", "You must have a confirmed email to log in.");
        }
        else if (!await _userManager.CheckPasswordAsync(user, model.Password))
        {
            ModelState.AddModelError("Username", "Username or password is incorrect.");
        }
        else
        {
            // 创建一个新的身份验证票据.
            var ticket = await CreateTicketAsync(user);

            return SignIn(ticket.Principal, ticket.Properties, ticket.AuthenticationScheme);
        }
    }

    ViewData["returnUrl"] = model.ReturnUrl;
    ViewData["nonce"] = model.Nonce;
    ViewData["transactionId"] = model.Ticket;
    return View(model);
}

4.2 注册页面

您还可以使用OpenIddict来实现您的注册页面。以下是一个例子：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45

[HttpGet("~/register")]
public IActionResult Register()
{
    return View();
}

[HttpPost("~/register")]
public async Task<IActionResult> Register(RegisterViewModel model)
{
    if (ModelState.IsValid)
    {
        var user = new ApplicationUser
        {
            UserName = model.Email,
            Email = model.Email,
            FirstName = model.FirstName,
            LastName = model.LastName,
        };

        var result = await _userManager.CreateAsync(user, model.Password);
        if (result.Succeeded)
        {
            var code = await _userManager.GenerateEmailConfirmationAsync(user);
            var callbackUrl= Url.Action("ConfirmEmail", "Account", new { userId = user.Id, code = code }, protocol: HttpContext.Request.Scheme);
            
            await _emailSender.SendEmailAsync(model.Email, "Confirm your email",
                $"Please confirm your account by clicking this link: {callbackUrl}");

            return RedirectToAction(nameof(RegisterConfirmation));
        }

        foreach (var error in result.Errors)
        {
            ModelState.AddModelError("Email", error.Description);
        }
    }

    return View(model);
}

[HttpGet("~/register/confirmation")]
public IActionResult RegisterConfirmation()
{
    return View();
}

4.3 访问受保护的资源

最后，您可以使用OpenIddict来实现访问受保护资源的身份验证和授权。以下是一个例子：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

[HttpGet("~/manager")]
[Authorize(Roles = "Manager")]
public IActionResult ManagerDashboard()
{
    return View();
}

[HttpGet("~/employee")]
[Authorize(Policy = "EmployeeOnly")]
public IActionResult EmployeeDashboard()
{
    return View();
}

[HttpGet("~/administrator")]
[Authorize(Policy = "AdministratorOnly")]
public IActionResult AdministratorDashboard()
{
    return View();
}

1. 通过OpenIddict实现Token刷新

当访问受保护的API时，您可以使用OpenIddict来实现使用token刷新。以下是实现Token刷新的一个示例方法：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56

[HttpPost("~/api/token/refresh")]
public async Task<IActionResult> Refresh([FromForm]string refreshToken)
{
    var info = await HttpContext.AuthenticateAsync(OpenIddictServerDefaults.AuthenticationScheme);

    if (info == null)
    {
        return BadRequest(new
        {
            error = OpenIddictConstants.Errors.InvalidRequest,
            error_description = "The refresh token is no longer valid."
        });
    }

    var principal = info.Principal;

    var user = await _userManager.GetUserAsync(principal);
    if (user == null)
    {
        return BadRequest(new
        {
            error = OpenIddictConstants.Errors.InvalidRequest,
            error_description = "The refresh token is no longer valid."
        });
    }

    // 确保刷新令牌没有被撤销.
    if (!await _tokenManager.ValidateAsync(
        principal.GetId(),
        principal.GetClaim(OpenIddictConstants.Claims.JwtId)))
    {
        return BadRequest(new
        {
            error = OpenIddictConstants.Errors.InvalidRequest,
            error_description = "The refresh token is no longer valid."
        });
    }

    // 从数据库得到客户端应用程序详细信息
    var application = await _applicationManager.FindByClientIdAsync(
        principal.GetClaim(OpenIddictConstants.Claims.ClientId));
    if (application == null)
    {
        return BadRequest(new
        {
            error = OpenIddictConstants.Errors.InvalidRequest,
            error_description = "The client application associated with this token is no longer valid."
        });
    }

    var identity = await _userManager.CreateIdentityAsync(user, principal.GetScopes());

    var ticket = await CreateTicketAsync(application, identity, principal);

    return SignIn(ticket.Principal, ticket.Properties, ticket.AuthenticationScheme);
}

1. 通过OpenIddict实现密码恢复流程OpenIddict还可以实现忘记密码流程的重置密码，以下是一个简单的示例：

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68

   [HttpPost("~/forgot-password")] [AllowAnonymous] public async Task<IActionResult> ForgotPassword([FromForm] string email) { var user = await _userManager.FindByEmailAsync(email); if (user == null) { // 不要显示用户不存在，懂的都懂~ return Ok(); } var code = await _userManager.GeneratePasswordResetTokenAsync(user); code = WebEncoders.Base64UrlEncode(Encoding.UTF8.GetBytes(code)); var callbackUrl = Url.Action("ResetPassword", "Account", new { userId = user.Id, code = code }, protocol: HttpContext.Reque await _emailSender.SendEmailAsync( email, "Password Reset", $"Please reset your password by clicking here: <a href='{HtmlEncoder.Default.Encode(callbackUrl)}'>link</a>."); return Ok(); } [HttpGet("~/reset-password")] [AllowAnonymous] public IActionResult ResetPassword(string code = null, string userId = null) { return View(new ResetPasswordViewModel { Code = code, UserId = userId }); } [HttpPost("~/reset-password")] [AllowAnonymous] public async Task<IActionResult> ResetPassword([FromForm] ResetPasswordViewModel model) { if (!ModelState.IsValid) { return View(model); } var user = await _userManager.FindByIdAsync(model.UserId); if (user == null) { // 不要显示用户不存在 return View("ResetPasswordConfirmation"); } var decodedCode = Encoding.UTF8.GetString(WebEncoders.Base64UrlDecode(model.Code)); var result = await _userManager.ResetPasswordAsync(user, decodedCode, model.Password); if (result.Succeeded) { return RedirectToAction(nameof(ResetPasswordConfirmation)); } foreach (var error in result.Errors) { ModelState.AddModelError(string.Empty, error.Description); } return View(model); } [HttpGet("~/reset-password-confirmation")] [AllowAnonymous] public IActionResult ResetPasswordConfirmation() { return View(); }

2. 使用OpenIddict实现自定义Token发布方案

OpenIddict支持自定义Token发布方案，以适应各种需求。在以下示例中，我们将实现自定义发布方案来控制Token的过期时间：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55

public class CustomTokenEndpointHandler : OpenIddictServerHandler<OpenIddictServerOptions>
{
    public CustomTokenEndpointHandler(IServiceProvider services)
        : base(services)
    {
    }

    public override async Task HandleAsync([NotNull] OpenIddictServerHandleContext context)
    {
        if (context == null)
        {
            throw new ArgumentNullException(nameof(context));
        }

        // 从数据库检索客户机应用程序.
        var application = await context.HttpContext.GetOpenIddictServerApplicationAsync();
        if (application == null)
        {
            throw new InvalidOperationException("The client application cannot be retrieved.");
        }

        // 从授权服务器设置检索用户主体.
        var principal = context.HttpContext.User;

        // 确保允许应用程序使用指定的授权类型。
        if (!await ValidateClientRedirectUriAsync(application, context.Request))
        {
            throw new InvalidOperationException("The grant type is not allowed for this application.");
        }

        //注意：这个自定义令牌终端点总是忽略“scopes”参数，并根据授予的scopes/roles自动定义声明。
        var ticket = new AuthenticationTicket(principal, new AuthenticationProperties(),
            OpenIddictServerDefaults.AuthenticationScheme);
            
        // 根据请求的自定义授权类型自定义令牌生命周期.
        if (string.Equals(context.Request.GrantType, "urn:custom_grant", StringComparison.OrdinalIgnoreCase))
        {
            // Set the token expiration to 1 hour.
            ticket.Properties.ExpiresUtc = context.Options.SystemClock.UtcNow.AddHours(1);
        }
        else
        {
            // 将令牌过期时间设置为默认持续时间(5分钟)
            ticket.Properties.ExpiresUtc = context.Options.SystemClock.UtcNow.Add(
                context.Options.AccessTokenLifetime ?? TimeSpan.FromMinutes(5));
        }

        context.Logger.LogInformation("The custom token request was successfully processed.");

        await context.HttpContext.SignInAsync(ticket.Principal, ticket.Properties, ticket.AuthenticationScheme);

        // 将响应标记为已处理，以跳过管道的其余部分.
        context.HandleRequest();
    }
}

您需要将其添加到OpenIddict配置中：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

services.AddOpenIddict()
    .AddCore(options =>
    {
        // ...
    })
    .AddServer(options =>{
    // ...
    
    options.Handlers.Add(new CustomTokenEndpointHandler(services));
    
    // ...
})
.AddValidation(options =>
{
    // ...
});

此时，您可以使用 urn:custom_grant 授权类型来发出过期时间为1小时的Token，这可以通过以下方式完成：

1
2
3
4
5
6
7
8
9
10
11
12
13

var client = new HttpClient();

var request = new HttpRequestMessage(HttpMethod.Post, "http://localhost:5000/connect/token");
request.Content = new FormUrlEncodedContent(new Dictionary<string, string>
{
    ["grant_type"] = "urn:custom_grant",
    ["client_id"] = "your_client_id",
    ["client_secret"] = "your_client_secret",
    ["scope"] = "your_scopes_separated_by_spaces"
});

var response = await client.SendAsync(request);
var payload = await response.Content.ReadAsStringAsync();

总结

本文介绍了如何使用OpenIddict创建一个基本的身份验证和授权服务器。当然，在实现身份验证和授权服务器时有很多细节需要考虑，例如维护安全性、处理错误、管理用户和客户端应用程序等。希望这篇文章对您有所帮助！

Neovim 配置美化完整流程

环境说明

一、配置文件整体结构

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44

.
├── init.lua                      # 配置入口文件
└── lua
    ├── autocmds.lua              # 自动命令
    ├── basic.lua                 # 基础配置
    ├── colorscheme.lua           # 主题配置
    ├── keybindings.lua           # 快捷键设置
    ├── lsp
    │   ├── cmp.lua               # 代码补全配置
    │   ├── config                # 各语言服务器配置
    │   │   ├── bash.lua
    │   │   ├── css.lua
    │   │   ├── html.lua
    │   │   ├── json.lua
    │   │   ├── lua.lua
    │   │   ├── markdown.lua
    │   │   ├── pyright.lua
    │   │   ├── rust.lua
    │   │   └── ts.lua
    │   ├── formatter.lua         # 代码格式化
    │   ├── null-ls.lua           # 格式化/诊断
    │   ├── setup.lua             # LSP 初始化
    │   └── ui.lua                # UI 美化
    ├── plugin-config
    │   ├── bufferline.lua        # 顶部标签页
    │   ├── comment.lua           # 注释插件
    │   ├── dashboard.lua         # 启动页面
    │   ├── gitsigns.lua          # Git 增强
    │   ├── indent-blankline.lua  # 缩进线
    │   ├── lualine.lua          # 底部状态栏
    │   ├── nvim-autopairs.lua    # 自动括号
    │   ├── nvim-tree.lua         # 文件浏览器
    │   ├── nvim-treesitter.lua  # 语法高亮
    │   ├── project.lua           # 项目管理
    │   ├── surround.lua          # 成对编辑
    │   ├── telescope.lua        # 模糊搜索
    │   ├── toggleterm.lua        # 终端
    │   ├── vimspector.lua        # 调试
    │   └── which-key.lua         # 快捷键提示
    ├── plugins.lua               # 插件管理
    └── utils
        ├── fix-yank.lua
        ├── global.lua
        └── im-select.lua

文件说明