:::info{title="看完本文会得到什么"}
1. Ubuntu 服务器&开发机常用的工具安装和配置
2. 如何舒适地在 Ubuntu 开发
:::



## 选择困难症

### 如果你此刻正在使用 Windows 作为你的开发机

我给你的建议是立刻马上启用 WSL2（Windows Linux Subsystem 2）下载和运行方式后文有详细介绍。

本文的目的就是分享如何在 Windows 也享受 Linux 的丝滑，我们开发人员还是尽量保证自己的本地的代码的调试环境略接近于代码真正在生产的运行环境，Linux 真的是香。

### 如果你此刻正在使用 Mac OS 作为你的开发机

那您不需要看本文，出门左转，因为 Mac OS 基本略等于 Linux 的开发环境，尤其是前端基本无差，而且我作为曾经只用 Mac OS 开发过 nodejs，C#，angular 的用户，Mac OS 用户是不太需要一个纯 Linux 环境的，大多数的开发工具和运行环境都能完美运行。

### 如果你正在犹豫到底选什么作为自己的开发环境

我建议你看完本文再做决定，我自己是三个系统都并行使用并且经过长期的斗争和折磨，最终决定，哪怕是我在家用 Windows 我也会需要用 Hyper-V 加上 WSL2 来创建多个 Linux 的开发，测试，模拟生产的各类环境。Linux 的真香不只是在所有厂商都选他做服务端，而是它比较干净和纯粹。

## 在 Windows 安装和启用 WSL2

### 1. 在 Microsoft Store 安装 Ubuntu 

启动 Microsoft Store，输入 Ubuntu 

![image.png](https://blog.shouyicheng.com/static/img/b2c738da731a3a69d53797606503b5ed.image.png)

### 2. 登录进入 Ubuntu 

#### Windows 10 用户

首先要下载安装 [Windows Terminal](https://github.com/microsoft/terminal)

**Windows 11 用户无需安装，微软已经在 Windows 11 上内置了 Windows Terminal**

#### 用 Windows Terminal 进入 Ubuntu  
首先打开 Windows Terminal，点击那个下拉小箭头，会出现

![image.png](https://blog.shouyicheng.com/static/img/75e6487553543a428448671600088969.image.png)

点击进入

> 这里有一个插曲，如果你之前没有设置环境变量，会报 `运行 Ubuntu.exe 报错 0x80070002`，解决方案是
> 在环境变量加入 %USERPROFILE%\AppData\Local\Microsoft\WindowsApps

![image.png](https://blog.shouyicheng.com/static/img/86dbac0869f4879ae2e6f30073c54aeb.image.png)

## 安装 fish shell

fish shell 是一款神级的命令行工具，在使用 fish 之后，敲击命令行的速度和体验都会有巨大提升，更多详情可以去官网看看 -> https://fishshell.com/

```
$ sudo apt install fish
```

初始化一台 Ubuntu 服务器&开发机

:::info{title="看完本文会得到什么"}
1. 使用 Powershell 脚本快速获取虚拟机 IP
2. 新建内网交换机让虚拟机 IP 固定成手动指定的静态 IP
3. 虚拟机访问外网
4. 虚拟机使用你宿主机的网络代理
:::



## Hyper-V 默认的 Default Switch 给虚拟机分配的是动态 IP
很多家用 Windows 的开发者如果有过搞机的经验，就会发现 Windows 自带的 Hyper-V 创建的虚拟机 IP 总会你重启了 Windows 之后 IP 会产生不可预知的改变，这对我们操作它十分不便。

不过也有一些快速的方法可以获取到虚拟机的 IP

我们假定你的虚拟机的名字叫做 `ubuntu-server`，那么请你以管理员身份打开 Powershell

```
#  (Get-VM -Name "*ubuntu-server*" | Select-Object -ExpandProperty NetworkAdapters)
```

你会看到


![image.png](https://blog.shouyicheng.com/static/img/4b6faeb3da31d131ea6f47bc9ddd7c95.image.png)

最后一个 IPAddresses 就是 Default Switch 给你的虚拟机本次分配的 IP，你通过这个 IP 是可以直接访问虚拟机的

```
# ssh root@172.24.20.200 # 我的虚拟机 IP 就是这个
```

## 给 Ubuntu 设置一个静态 IP

我们的思路是如下图：

Ethernet 就是我们宿主机 Windows 连接外网的本地以太网，可以是 WIFI 无线网卡所连接的网络，也可以是插着有线的网络。

Virtual-Switch 就是我们要去创建的虚拟交换机。

```mermaid
erDiagram
Ethernet ||--o{ Virtual-Switch : share
Virtual-Switch ||--|{ Ubunutu-VM : static-ip
Virtual-Switch ||--|{ Windows : static-ip
Ethernet }|..|{ Internet : access
```

### 新建一个内网虚拟交换机

![image.png](https://blog.shouyicheng.com/static/img/ee2970da55a680cbd15c059159b2a919.image.png)

请忽略我截图中已经创建了一个虚拟机交换机了。

![image.png](https://blog.shouyicheng.com/static/img/11d75bc4f73c974ac5c9f9cd858328f6.image.png)

### 在新的内网虚拟交换机上为宿主机设置一个静态 IP


![image.png](https://blog.shouyicheng.com/static/img/31ee4812a587a154096714221c348b84.image.png)


![image.png](https://blog.shouyicheng.com/static/img/db29a60d1dc1b0268895d2fda7f5966e.image.png)

### 为 Ubuntu 虚拟机更换虚拟交换机


![image.png](https://blog.shouyicheng.com/static/img/3e5ca509833e3089210cce0f7d5c133e.image.png)


![image.png](https://blog.shouyicheng.com/static/img/e862fec531a12f7cb6af82245d710ee3.image.png)

### 进入 Ubuntu 虚拟机，给它指定一个静态 IP


:::warning{title="注意"}
因为你已经修改了网络配置，所以你现在从宿主机是无法通过 ssh 连接进 Ubuntu虚拟机的，因此这一步你必须通过 Hyper-V 提供的连接界面进入虚拟机
:::

进入之后，直接获取 sudo 权限

```
$ sudo -s
```

查看当前网络配置

```
$ cd /etc/netplan/
$ cat 00-installer-config.yaml
```

你会看到如下配置

```
network
  ethernetes:
    eth0:
      dhcp4: true
  version: 2
```

为了以防万一，我们先备份这个默认的文件

```
$ cp 00-installer-config.yaml 00-installer-config.yaml.bak
```

然后我们修改 `00-installer-config.yaml`

```
$ vi 00-installer-config.yaml
```
把它的内容换成

```
network:
  version: 2
  renderer: networkd
  ethernets:
    eth0:
      addresses:
        - 192.168.137.2/24
      nameservers:
        addresses: [192.168.137.1] # 这个是 Windows 宿主机在当前虚拟交换机下的 IP
      routes:
        - to: default
          via: 192.168.137.1
```

紧接着我们需要让 Ubuntu 重新加载网络配置

```
$ netplan apply
```

恭喜你，这一步就是成功了。

然后你可以回到的宿主机上通过 ssh 访问了

```
$ ssh your-username@192.168.137.2
```

### 想虚拟机交换机共享外网访问权限


![image.png](https://blog.shouyicheng.com/static/img/d170186671e87fadb225b6c9e6be71e1.image.png)


:::warning{title="注意"}
这里会弹出一个窗口让你是否确认，并且确认之后，它会重置你宿主机 Windows 在这个虚拟机交换机上的 IP，所以你还需要重复前面第二步的步骤，把宿主机的 IP 改回 192.168.137.1
:::

测试虚拟机外网的连通性

```
$ curl https://www.baidu.com
```

如果不能访问外网，我们还需要修改一下 Ubuntu 的 DNS 配置

### 设置 Ubuntu 的 DNS

第一步成为 root

```
$ sudo -s
```

首先查看 

```
$ cat /etc/resolv.conf
```

```
# This is /run/systemd/resolve/resolv.conf managed by man:systemd-resolved(8).
# Do not edit.
#
# This file might be symlinked as /etc/resolv.conf. If you're looking at
# /etc/resolv.conf and seeing this text, you have followed the symlink.
#
# This is a dynamic resolv.conf file for connecting local clients directly to
# all known uplink DNS servers. This file lists all configured search domains.
#
# Third party programs should typically not access this file directly, but only
# through the symlink at /etc/resolv.conf. To manage man:resolv.conf(5) in a
# different way, replace this symlink by a static file or a different symlink.
#
# See man:systemd-resolved.service(8) for details about the supported modes of
# operation for /etc/resolv.conf.

nameserver 127.0.0.53
options edns0
```

我们不能直接修改它，它是被生成出来的，所以我找到最原始的配置文件

```
$ vi /etc/systemd/resolved.conf
```

把里面的内容改成

```
[Resolve]
DNS=8.8.8.8
FallbackDNS=1.1.1.1
#Domains=
#LLMNR=no
#MulticastDNS=no
#DNSSEC=no
#DNSOverTLS=no
#Cache=no-negative
#DNSStubListener=yes
#ReadEtcHosts=yes
```

重启服务

```
$ systemctl daemon-reload
$ systemctl restart systemd-resolved.service
```

生成新的连接文件

```
$ mv /etc/resolv.conf /etc/resolv.conf.bak
$ ln -s /run/systemd/resolve/resolv.conf /etc/resolv.conf
```
验证 dns

```
$ dig www.baidu.com
```


## Ubuntu 反向访问宿主机

首先我们宿主机的在这张虚拟交换机上的 IP 也是一直固定的 192.168.137.1，我们将虚拟机的网络请求全都交给宿主机去代理，举个简单的例子

在 Ubuntu 虚拟机里面执行
```
curl --proxy "http://192.168.137.1:7890" "https://www.google.com" -k
```


:::note{title="注"}
我宿主机 Windows 有一个监听端口 7890 的代理可以访问到 Google，而我虚拟机自身没有代理，它是通过虚拟交换机跳转到宿主机的本地网络，进而访问外网的，所以如果不设置 --proxy "http://192.168.137.1:7890"  这个参数的话，虚拟机是访问不了 Google 的。
:::

有了这个思路，你可以为你的虚拟机发挥更多想象。

## 常见问题

Q. 我重启了 Windows 之后，Hyper-V 的虚拟机也一起重启了，发现虚拟机无法访问外网？

A. 按照如下顺序排除
  1. 你的宿主机上的有线网/WIFI 是否关闭了对虚拟交换机的网络共享。我遇到过重启之后 WIFI 就自动关闭了对虚拟交换机的共享，每次开机我都要谨慎检查一下
  2. 查看你虚拟机的 DNS是否再次被重置，比如你安装了某些 Linux 上的 DNS 的 apt 包，他们会修改 `/etc/resolv.conf` 文件
  3. 为了一劳永逸，用管理员身份启动 Powershell 执行如下脚本
  
      ```
       New-ItemProperty -Path HKLM:\Software\Microsoft\Windows\CurrentVersion\SharedAccess -Name EnableRebootPersistConnection -Value 1 -PropertyType dword
      ```

Q. 我想让我的 Hyper-V 里面的 Ubuntu 虚拟机永远不断网，永远不休眠，怎么实现？
A. 按照如下设置

找到你宿主机的 WIFI/有线宽带，点开[配置]

![image.png](https://blog.shouyicheng.com/static/img/214a4e0ee6ff07899ff2663b84808336.image.png)

把电源管理里面的 `允许计算机关闭此设备以节约电源`勾掉，这样你的电脑只要不休眠就不会断网。

![image.png](https://blog.shouyicheng.com/static/img/8ebfb6d345872fb23065f349ce9c6e51.image.png)

然后就是 Windows 自身要永久保持不休眠的状态

在系统设置找到电源选项，如下设置即可。

![image.png](https://blog.shouyicheng.com/static/img/3bc370c3d062fffef1284451d0ca5d44.image.png)

![image.png](https://blog.shouyicheng.com/static/img/790d045c0ae5321a08f32b58c23a1b64.image.png)

Hyper-V Ubuntu 静态IP+外网访问+使用宿主机做网络代理 

:::info{title="看完本文会得到什么"}
1. 用 Hyper V 启动一个 Ubuntu Server 版的虚拟机
1. 使用 docker 启动一个 vanBlog 实例
2. 将自己家里电脑上的博客网站，通过 nps 让别人可以访问
:::



:::warning{title="前方高能"}
本文是为了配合 nps 进行内网穿透将自己家里的电脑暴露在外网去访问，因此您必须阅读前面几篇前序的文章才能继续本教程，否则您将一头雾水的来，一头雾水的走
:::

请完成打勾的文章的阅读
- [x] [nps 从零启动 - 1. 服务端](https://blog.shouyicheng.com/post/3)
- [x] [nps 从零启动 - 2. 客户端 Linux 篇](https://blog.shouyicheng.com/post/2)
- [x] [nps 从零启动 - 3. 网站三要素：域名&nginx&HTTPS 证书](https://blog.shouyicheng.com/post/1)
- [x] [nps 从零启动 - 4. nginx + nps 灵活搭配使用](https://blog.shouyicheng.com/post/4)

##  用 Hyper-V 搭建一个 Ubuntu Server 的虚拟机

> 为什么要用虚拟机？

因为我本质上不想我家里的电脑“真正”暴露在外网，鬼知道 Windows 上有什么漏洞，正如现在所有云服务厂商，除非是有特殊需求一定要求用实体物理机放在机房做服务器，我们现在买菜，网购，刷抖音大部分的服务都是运行在虚拟里内的，甚至都是虚拟机里面的虚拟机，然后再来一层容器的封装隔离，方便某一个单一系统的资源隔离和资源分配，所以我只是借鉴了生产环境里面的一层隔离，实际上我可能也是多虑了，但是多设计了一层，就多了一些繁琐的工作，同时也学到了一些之前没接触过的知识，我觉得产出的价值比投入的要多，所以我也建议你跟我一样，学起来。

上述那一段配合下面的图更好理解：

```mermaid
erDiagram
nps-services ||--o{ Services-hosted-by-Docker : npc-nps
Services-hosted-by-Docker ||--o{ Ubuntu-on-Hyper-V : Docker
Ubuntu-on-Hyper-V ||--|{ Windows-Home-PC : hosted-by
nps-services  }|..|{ Nginx : reverse-proxy
Nginx  }|..|{ Domain : dns-provider
Domain  }|..|{ Users : type-domain-via-web-browser
```

首先去 Ubuntu 官网下载最新的 Ubuntu Server 的 ISO 文件 -> [Get Ubuntu Server](https://ubuntu.com/download/server)，我下载的版本是 `ubuntu-22.04.1-live-server-amd64.iso`。

> 这里要吐槽微软 Windows 11 自带的 Hyper-V 里面内置的 Ubuntu 是桌面版操作系统，不适合做服务器，另外他默认给的磁盘很小，而且不方便拓展，就是个笑话。详细请看：https://www.frodehus.dev/resize-disk-for-ubuntu-hyper-v-quick-create-image/

### 创建 Ubuntu Server 虚拟机的步骤


![image.png](https://blog.shouyicheng.com/static/img/df9150babba3d9c464c3811f844d9660.image.png)


![image.png](https://blog.shouyicheng.com/static/img/49e064e1055717ecd4d209aadb8fb762.image.png)


![image.png](https://blog.shouyicheng.com/static/img/3f502ef01779490fa5002951f584771e.image.png)

![image.png](https://blog.shouyicheng.com/static/img/71b7021bc1cd532a24b2756ebc5eaa9a.image.png)

![image.png](https://blog.shouyicheng.com/static/img/93ca779e14464e9f48ff28fcb6189db3.image.png)

![image.png](https://blog.shouyicheng.com/static/img/e8295fb5d0ee068548fefb5355c9b262.image.png)

### 设置启动选项

![image.png](https://blog.shouyicheng.com/static/img/55fe04ae18431a1e98f466d052003b64.image.png)

然后双击虚拟机点击启动，就会开始安装 Ubuntu Server。


![image.png](https://blog.shouyicheng.com/static/img/a077de2ac7c807562205ddcde668792e.image.png)

### 安装 Ubuntu Server 的时候不要使用官方源
![1459790-20210220154510789-2109120508.png](https://blog.shouyicheng.com/static/img/36e0d6043a1a6d8aac229392db96ed2a.1459790-20210220154510789-2109120508.png)

## 搭建 Ubuntu Server 运行环境

首先我们通过 ssh 从本地 Windows 连接到虚拟机内部，通过 Hyper-V 的操作界面可以打开虚拟机，输入你安装系统时候的账户和密码就可以成功登录，登录之后输入

```
$ ip r
```

获取虚拟机的 IP，一般是 172 开头的那个，本文假设你的虚拟机 IP 地址是：172.24.203.45

然后你打开 Windows 的 Powershell 或者是 Windows Terminal 连接进去

```
$ ssh username@172.24.203.45
```

### 安装 docker & docker compose

请查看官方文档 https://docs.docker.com/engine/install/ubuntu/

:::note{title="强烈推荐"}
请在安装完了之后，根据官方文档设置https://docs.docker.com/engine/install/linux-postinstall/
**让当前用户不再需要输入 sudo 就能操作 docker**
:::

### 启动 vanBlog

创建一个文件夹 ./vanBlog

```
$ cd ./vanBlog
```

新建一个文件 `docker-compose.yml`,拷贝如下内容:

```yaml
version: "3"

services:
  vanblog:
    image: mereith/van-blog:latest
    restart: always
    environment:
      TZ: "Asia/Shanghai"
      # 图片资源允许的域名，英文逗号分隔。作者 logo 加载不出来请检查此项。不要带协议！
      VAN_BLOG_ALLOW_DOMAINS: "www.mereith.com"
      # 邮箱地址，用于自动申请 https 证书
      EMAIL: "someone@mereith.com"
    volumes:
      # 图床文件的存放地址，按需修改。
      - ${PWD}/data/static:/app/static
      # 日志文件
      - ${PWD}/log:/var/log
      # caddy 配置存储
      - ${PWD}/caddy/config:/root/.config/caddy
      # caddy 证书存储
      - ${PWD}/caddy/data:/root/.local/share/caddy
    ports:
      # 前面的是映射到宿主机的端口号，改端口的话改前面的。
      - 80:80
      - 443:443
  mongo:
    # 某些机器不支持 avx 会报错，所以默认用 v4 版本。有的话用最新的。
    image: mongo:4.4.16
    restart: always
    environment:
      TZ: "Asia/Shanghai"
    volumes:
      - ${PWD}/data/mongo:/data/db
```

然后启动 vanBlog

```
$ docker compose up -d
```

然后你回到 Windows ，打开 Edge 或者 Chrome 输入网址:

```
http://172.24.203.45
```

恭喜你，你已经成功拥有了一个 vanBlog 系统。

### 结合 nps 服务端，让自己虚拟机里面的博客被外网访问


:::warning{title="前序"}
本章节的前序是[nps 从零启动 - 2. 客户端 Linux 篇](https://blog.shouyicheng.com/post/2)，请在你的虚拟机里面安装 npc 客户端，并且成功连接到你外网服务器上的 nps 服务端
:::


### 为 vanBlog 设置域名

:::warning{title="前序"}
本章节的前序是[nps 从零启动 - 3. 网站三要素：域名&nginx&HTTPS 证书](https://blog.shouyicheng.com/post/1)，请在你的外网服务器上配置好 dns 以及 nginx + https 证书绑定
:::

假设你的域名是 `xyz.com`，请将你的 `./vanBlog/docker-compose.yml` 改成如下内容:

```yaml
version: "3"

services:
  vanblog:
    image: mereith/van-blog:latest
    restart: always
    environment:
      TZ: "Asia/Shanghai"
      VAN_BLOG_ALLOW_DOMAINS: "blog.xyz.com"
    volumes:
      - ${PWD}/data/static:/app/static
      - ${PWD}/log:/var/log
    ports:
      - 80:80
      # - 443:443 因为外网服务器上做了 443:HTTPS 证书的安装，所以 vanBlog 就是后端服务，因此可以隐藏 443 端口不需要让 nps 转发到这个端口，80 端口就可以满足需求
  mongo:
    image: mongo:4.4.16
    restart: always
    environment:
      TZ: "Asia/Shanghai"
    volumes:
      - ${PWD}/data/mongo:/data/db
```
主要是为了去除默认的自动申请的证书配置，因为我们的证书是在 nps 服务器上安装的，nginx 做了一层反向代理，所以我们真正运行 vanBlog 的运行环境上是不需要证书的，完美绕行。🤠

## 实现 blog.xyz.com 通过 nps-npc 穿透到你的 Ubuntu 虚拟机上


### 1. dns 解析将 blog.xyz.com CNAME 到 xyz.com

| Type | Name | Content|
| --- | --- | --- |
| A | xyz.com | 1.2.3.4|
| CNAME| blog.xyz.com | xyz.com|

我给出我当前网站的实例

![image.png](https://blog.shouyicheng.com/static/img/3c3f2db6332552295ec17a1c4dcee2d9.image.png)

请参照我为当前 shouyicheng.com 域名设置这样去设置你的 xyz.com 域名。


### 2. 服务器上的 nginx 上设置 blog.xyz.com 的请求统统交给 nps 去穿透

首先我们需要 nginx 将 blog.xyz.com 的请求转发给 nps,请 ssh 到你的服务器上

```
$ ssh root@1.2.3.4 # 假设你服务器 IP 地址是 1.2.3.4
```

新建专门为了转发 vanBlog 请求的 nginx 配置文件
```
$ vi vanBlog.conf
```

填入以下内容

```
server {
    server_name blog.xyz.com;

    listen 443 ssl;
    listen [::]:443 ssl;

    location / {

        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_pass_request_headers on;

        proxy_pass http://127.0.0.1:8080;
    }
}
```

这里需要重点解释的是

`proxy_pass http://127.0.0.1:8080;`

这个配置的意思是：当你在浏览器访问 `blog.xyz.com` 时候，nginx 会把请求都转发给服务器上本机内的 8080 端口。为什么要这样设置？

> 因为 nps 它就监控了这个端口，所有发往这个端口的请求，nps 都会根据你在 nps 控制台设置的规则，进行内网穿透，它将再次转发到你目标的 npc 客户端

nps 默认不是监听 8080 端口上的 http 请求的，关于这一点请一定阅读右边这篇文章 [nps 从零启动 - 4. nginx + nps 灵活搭配使用](https://blog.shouyicheng.com/post/4)

把 `vanBlog.conf` 拷贝到 nginx 的配置里面去

```
$ sudo cp ./vanBlog.conf /etc/nginx/conf.d/
```

然后刷新 nginx 配置

```
$ sudo nginx -s reload
```

### 3. 在 nps 管理控制面板上设置域名转发
请根据 [nps 从零启动 - 4. nginx + nps 灵活搭配使用](https://blog.shouyicheng.com/post/4)的步骤，打开 nps 的服务端管理控制后台页面，
在左侧的域名解析填入如下内容

> 因为 nginx 会将 blog.xyz.com 的请求转发给服务端的 nps 监听的 8080 端口，而 nps 在接收到 nginx 转发过来的 blog.xyz.com 的端口的时候，会根据你如图中设置的域名解析进行内网穿透到你客户端的端口


![image.png](https://blog.shouyicheng.com/static/img/b6ad7b7ce04e4f911c05d90bb9ba7744.image.png)

我的域名是 blog.shouyicheng.com，而这里你应该换成你的域名，而另外一个关键参数是客户端 ID，你在创建 npc 客户端的时候，系统会默认给你分配一个数字 ID，你在创建域名解析的时候就填入这个客户端 ID。


### 4. vanBlog 监听本地的 80 端口，npc 正确启动连接到 nps 服务端，对 nps 穿透过来的请求进行应答

这里需要回到你 Hyper-V 里面的 Ubuntu Server 机器上来做检查

```
$ docker ps
```

你会看到

```
CONTAINER ID   IMAGE                           COMMAND                  CREATED        STATUS        PORTS                                                                                            NAMES
7391b6953ccb   mereith/van-blog:latest         "sh entrypoint.sh"       15 hours ago   Up 15 hours   0.0.0.0:80->80/tcp       
```

然后根据[nps 从零启动 - 2. 客户端 Linux 篇](https://blog.shouyicheng.com/post/2)的操作为你的 Ubuntu 安装

然后确认 npc 状态

```
# npc status
```

确认连接成功之后。



打开你的博客网站: https://blog.xyz.com 

如果一切顺利的话，你已经成功的打通了这一个链路上所有的请求和服务应答。

完美收官。

nps 从零启动 - 5.[终篇]实战搭建公网可访问 vanBlog 实例

:::info{title="看完本文会得到什么"}
1. 理解 nginx + nps 的本质区别
2. 掌握 nginx + nps 协作配置的方法
:::




## 同时安装了 nginx + nps 发现启动的时候出现了端口冲突

恭喜你，你遇到了服务端配置里面第一个需要动脑子的环节。

我们先看看为什么 nginx + nps 同时安装并且不对他们俩做任何配置修改的时候，为什么会出现端口冲突？

首先我们看 nginx 的配置文件，众所周知，nginx 默认就是会监听你服务器上的 80 端口

```
$ cat /etc/nginx/sites-available/default
```

你会看到如下内容


```
##
# You should look at the following URL's in order to grasp a solid understanding
# of Nginx configuration files in order to fully unleash the power of Nginx.
# https://www.nginx.com/resources/wiki/start/
# https://www.nginx.com/resources/wiki/start/topics/tutorials/config_pitfalls/
# https://wiki.debian.org/Nginx/DirectoryStructure
#
# In most cases, administrators will remove this file from sites-enabled/ and
# leave it as reference inside of sites-available where it will continue to be
# updated by the nginx packaging team.
#
# This file will automatically load configuration files provided by other
# applications, such as Drupal or Wordpress. These applications will be made
# available underneath a path with that package name, such as /drupal8.
#
# Please see /usr/share/doc/nginx-doc/examples/ for more detailed examples.
##

# Default server configuration
#
server {
	listen 80 default_server;
	listen [::]:80 default_server;

	# SSL configuration
	#
	# listen 443 ssl default_server;
	# listen [::]:443 ssl default_server;
	#
	# Note: You should disable gzip for SSL traffic.
	# See: https://bugs.debian.org/773332
	#
	# Read up on ssl_ciphers to ensure a secure configuration.
	# See: https://bugs.debian.org/765782
	#
	# Self signed certs generated by the ssl-cert package
	# Don't use them in a production server!
	#
	# include snippets/snakeoil.conf;

	root /var/www/html;

	# Add index.php to the list if you are using PHP
	index index.html index.htm index.nginx-debian.html;

	server_name _;

	location / {
		# First attempt to serve request as file, then
		# as directory, then fall back to displaying a 404.
		try_files $uri $uri/ =404;
	}

	# pass PHP scripts to FastCGI server
	#
	#location ~ \.php$ {
	#	include snippets/fastcgi-php.conf;
	#
	#	# With php-fpm (or other unix sockets):
	#	fastcgi_pass unix:/run/php/php7.4-fpm.sock;
	#	# With php-cgi (or other tcp sockets):
	#	fastcgi_pass 127.0.0.1:9000;
	#}

	# deny access to .htaccess files, if Apache's document root
	# concurs with nginx's one
	#
	#location ~ /\.ht {
	#	deny all;
	#}
}


# Virtual Host configuration for example.com
#
# You can move that to a different file under sites-available/ and symlink that
# to sites-enabled/ to enable it.
#
#server {
#	listen 80;
#	listen [::]:80;
#
#	server_name example.com;
#
#	root /var/www/example.com;
#	index index.html;
#
#	location / {
#		try_files $uri $uri/ =404;
#	}
#}

```

这里最关键的配置是

```
listen 80 default_server;
listen [::]:80 default_server;
```

而 nps 的服务端的默认配置文件如何？

```
$ cat /etc/nps/conf/nps.conf
```

它的内容如下：

```
appname = nps
#Boot mode(dev|pro)
runmode = dev

#HTTP(S) proxy port, no startup if empty
http_proxy_ip=0.0.0.0
http_proxy_port=80
https_proxy_port=443
https_just_proxy=true
#default https certificate setting
https_default_cert_file=conf/server.pem
https_default_key_file=conf/server.key

##bridge
bridge_type=tcp
bridge_port=8024
bridge_ip=0.0.0.0

# Public password, which clients can use to connect to the server
# After the connection, the server will be able to open relevant ports and parse related domain names according to its own configuration file.
public_vkey=123

#Traffic data persistence interval(minute)
#Ignorance means no persistence
#flow_store_interval=1

# log level LevelEmergency->0  LevelAlert->1 LevelCritical->2 LevelError->3 LevelWarning->4 LevelNotice->5 LevelInformational->6 LevelDebug->7
log_level=7
#log_path=nps.log

#Whether to restrict IP access, true or false or ignore
#ip_limit=true

#p2p
#p2p_ip=127.0.0.1
#p2p_port=6000

#web
web_host=a.o.com
web_username=admin
web_password=123
web_port = 8080
web_ip=0.0.0.0
web_base_url=
web_open_ssl=false
web_cert_file=conf/server.pem
web_key_file=conf/server.key
# if web under proxy use sub path. like http://host/nps need this.
#web_base_url=/nps

#Web API unauthenticated IP address(the len of auth_crypt_key must be 16)
#Remove comments if needed
#auth_key=test
auth_crypt_key =1234567812345678

#allow_ports=9001-9009,10001,11000-12000

#Web management multi-user login
allow_user_login=false
allow_user_register=false
allow_user_change_username=false


#extension
allow_flow_limit=false
allow_rate_limit=false
allow_tunnel_num_limit=false
allow_local_proxy=false
allow_connection_num_limit=false
allow_multi_ip=false
system_info_display=false

#cache
http_cache=false
http_cache_length=100

#get origin ip
http_add_origin_header=false

#pprof debug options
#pprof_ip=0.0.0.0
#pprof_port=9999

#client disconnect timeout
disconnect_timeout=60
```

这里最关键的配置是

```
http_proxy_port=80
https_proxy_port=443
```

所以他们哥俩默认都在抢占 80 端口。

## 让他们俩不再冲突，而是协作

找到了冲突的配置，我们就要修改一小部分，首先我们确认我们的思路

服务器上 80/443 端口，如果你有计划未来在服务器上做其他用处，那么就不建议 nps 占用这个端口，因为 nps 虽然也能做本地转发，但是比较费劲，你本地既要做服务端又要做服务端，多此一举。

另外也是最重要的一点

:::note{title="nginx 更适合做代理"}
我们把 nginx 当作第一道的看门人，它可以精准的代理这个星球上绝大多数的请求，而且它的相关代理配置你可以很轻松找到别人写好的配置，直接抄作业就好，nps 我们还是让他专司其职，专注于内网穿透。
:::

而且未来如果你服务端其他端口有转发需求，你完全可以交给 nps，所以我们确定思路

1. 80/443 端口上所有的转发需求就交给 nginx
2. 除了 80/443 端口之外的所有转发需求就交给 nps


## 对症下药

我们只需要修改 nps 服务端的配置文件

```
$ vi /etc/nps/conf/nps.conf
```

修改内容如下

`http_proxy_port=80` -> `http_proxy_port=8080` # 让 nps 监听 8080 上的 http 内网穿透转发请求
`https_proxy_port=443` -> `https_proxy_port=8443`# 让 nps 监听 8443 上的 https 的内网穿透转发请求
`web_port = 8080` -> `web_port = 8090` # 这是 nps 自身的管理后台的端口，它不能跟其他端口冲突，否则你打不开管理控制台

修改完毕之后，重启刷新配置

```
# sudo nps reload
```

### 验证修改

打开 nps 管理控制台

```
http://1.2.3.4:8090
```

如果你能看到控制台就说明一切 ok 了。

nps 从零启动 - 4. nginx + nps 灵活搭配使用

:::info{title="看完本文会得到什么"}
1. 使用 Cloudflare 注册一个域名并且配置 Cloudflare 域名解析
2. acme.sh 的安装和使用
3. nginx 绑定免费的 HTTPS 证书
:::



## 网站的域名

国外的首推 Cloudflare，国内腾讯，阿里云都可以，这个东西价格差别不大，不过国内的域名想要绑定到你国内买的服务器上是需要域名备案的，这个很有可能会阻挡很多初学者的热情，所以个人建议还是在 Cloudflare 上购买，因为之后的 dns 域名解析也会用到 Cloudflare 的服务。


![image.png](https://blog.shouyicheng.com/static/img/4a294eaf0766fda95309f3a28d76714f.4a294eaf0766fda95309f3a28d76714f.image.png)

### 域名的 dns 解析

注意看左边的导航，你要选择你自己注册的域名，然后进入左边的 DNS 子菜单。

![image.png](https://blog.shouyicheng.com/static/img/8c6164c13f71fed924e18e1e0a52b1e0.8c6164c13f71fed924e18e1e0a52b1e0.image.png)

本文之后需要引用到你注册的这个域名，假设

- 你的域名是 `xyz.com`
- 你的服务器 IP 是 `1.2.3.4`

那么你需要跟示例图中一样，新建一个 Type = A 的记录，Name 填写 `@` ，Content 填写 `1.2.3.4`。
另外记住把 Proxy 关掉，跟示例图一样操作。这个是 Cloudflare 提供的免费帮你做代理的功能，因为我们要自己绑定自己的证书，而且我们需要先把直连做好，再来启用 Cloudflare 这项高级功能。 

## HTTPS 证书的申请和绑定

因为 HTTPS 证书是基于信任的通信机制，安全是第一位，如果你想得到一个合法并且被其他人认可的证书，那么首先你就得证明你当前需要绑定域名的服务器的 IP 和你申请的域名是一对一绑定的

:::warning{title="注意"}
免费的证书并不代表就是假的证书
:::

### 获取 Cloudflare API Token

> 为什么 acme.sh 需要它？

acme.sh 这个脚本本质上是通过调用你域名解析厂商的 API 来验证这个域名是不是注册你名下的，并且已经跟你的服务器进行了解析绑定，也就是需要先验证前面说的**信任**

第一步，点击右上角弹出菜单选择：`My Profile`，然后点击子菜单 `API Tokens`

![image.png](https://blog.shouyicheng.com/static/img/8e3ec12d9bf5cb02d6070ca5172ec91a.8e3ec12d9bf5cb02d6070ca5172ec91a.image.png)

第二步，点击蓝色的大按钮：`Create Token`


![image.png](https://blog.shouyicheng.com/static/img/92959284ed6cd65e3dd7ee6753383004.92959284ed6cd65e3dd7ee6753383004.image.png)

然后选择 第一个 `Edit zond DNS` 对应的蓝色按钮 `Use template`

![image.png](https://blog.shouyicheng.com/static/img/eedefc71d2d63b052dc50df31f69d581.eedefc71d2d63b052dc50df31f69d581.image.png)

根据如下进行选择，然后点击最下方蓝色按钮 `Continue to summary`

![image.png](https://blog.shouyicheng.com/static/img/6dd6acd29d480a8c469acb0935bb1042.6dd6acd29d480a8c469acb0935bb1042.image.png)

最后一页是确认框，点击 `Create Token` (这张就不截图了太简单了）

生成完毕之后他会给你一个一大串的字符串，拷贝到你的电脑上，暂时保存一下。我假设你申请到的字符串是 `abcdefg1234567`

紧接着需要找到你需要操作的域名的两个重要 ID

### Zone ID 和 Account ID

点击回到首页，找到你的域名，点击进去，就会进入域名的管理界面

![image.png](https://blog.shouyicheng.com/static/img/2e8d9577e7ea40e7daa8fd24c99de34b.2e8d9577e7ea40e7daa8fd24c99de34b.image.png)

我假设你的 Zone ID 是 `z123`，你的 Account ID 是 `a456`

所有物料都就绪了，我们需要进入我们的服务器进行操作。

### 使用 acme.sh 自动获取证书

更多关于 acme.sh 的详细介绍请点击官方 github [https://github.com/acmesh-official/acme.sh](https://github.com/acmesh-official/acme.sh)


:::warning{title="请使用 root 权限"}
ssh 登录的时候尽量使用 root，一些 vps 默认并不允许 root 用户登录，但是它给你分配的默认的用户是具备 root 权限的，所以你需要执行 sudo -s 来成为 root 用户
:::
```
$ ssh root@1.2.3.4 #不是 root 用户没关系，只要你能获取 sudo 权限 sudo -s 就可以
```

然后安装 acme.sh

```
$ curl https://get.acme.sh | sh -s email=yourname@example.com # 这里推荐使用你 Cloudflare 注册的邮箱
```

紧接着你会看见如下输出

```
  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
                                 Dload  Upload   Total   Spent    Left  Speed
100  1032    0  1032    0     0   1465      0 --:--:-- --:--:-- --:--:--  1467
  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
                                 Dload  Upload   Total   Spent    Left  Speed
100  212k  100  212k    0     0   212k      0  0:00:01  0:00:01 --:--:--  221k
[Sun Sep 25 19:10:03 CST 2022] Installing from online archive.
[Sun Sep 25 19:10:03 CST 2022] Downloading https://github.com/acmesh-official/acme.sh/archive/master.tar.gz
[Sun Sep 25 19:10:09 CST 2022] Extracting master.tar.gz
[Sun Sep 25 19:10:10 CST 2022] It is recommended to install socat first.
[Sun Sep 25 19:10:10 CST 2022] We use socat for standalone server if you use standalone mode.
[Sun Sep 25 19:10:10 CST 2022] If you don't use standalone mode, just ignore this warning.
[Sun Sep 25 19:10:10 CST 2022] Installing to /root/.acme.sh
[Sun Sep 25 19:10:10 CST 2022] Installed to /root/.acme.sh/acme.sh
[Sun Sep 25 19:10:11 CST 2022] Installing alias to '/root/.bashrc'
[Sun Sep 25 19:10:11 CST 2022] OK, Close and reopen your terminal to start using acme.sh
[Sun Sep 25 19:10:13 CST 2022] Installing cron job
no crontab for root
no crontab for root
[Sun Sep 25 19:10:15 CST 2022] Good, bash is found, so change the shebang to use bash as preferred.
[Sun Sep 25 19:10:27 CST 2022] OK
[Sun Sep 25 19:10:27 CST 2022] Install success!
```

查看当前文件目录

```
$ ls -a
```
确认当前目录下包含一个 叫做 `.acem.sh` 的文件夹。

### 把前一步从 Cloudflare 获取的 3 个重要字段写入服务器的环境变量当中

```
$ export CF_Token="abcdefg1234567"
$ export CF_Account_ID="a456"
$ export CF_Zone_ID="z123"
```

:::note{title="注"}
注意，上面字符串请替换成你获取的内容。
:::

执行如下命令获取证书，这个是高级一点的泛域名证书，意思就是你的子域名 例如 `blog.xyz.com` 都是可以通过信任的，例如你当前博客的这个域名也是使用这种证书。

```
$ acme.sh --issue -d xyz.com  -d '*.xyz.com'  --dns dns_cf
```

:::note{title="acme.sh默认的证书提供商是 ZeroSSL"}
如果你还是想用 letsencrypt 可以在尾部加上 `--server  letsencrypt`
```
acme.sh --issue -d shouyicheng.com  -d '*.shouyicheng.com'  --dns dns_cf  --server  letsencrypt
```
:::

成功之后会打印证书存储在你服务器上的地址：

```
[Sun Sep 25 20:18:58 CST 2022] Your cert is in: /root/.acme.sh/xyz.com/xyz.com.cer
[Sun Sep 25 20:18:58 CST 2022] Your cert key is in: /root/.acme.sh/xyz.com/xyz.com.key
[Sun Sep 25 20:18:58 CST 2022] The intermediate CA cert is in: /root/.acme.sh/xyz.com/ca.cer
[Sun Sep 25 20:18:58 CST 2022] And the full chain certs is there: /root/.acme.sh/xyz.com/fullchain.cer
```

### 使用 HTTPS 证书

#### 安装 nginx 

与 nginx 一样可以做代理的软件太多了，Caddy 和 Traefik 都做的很好，如果你很熟悉证书的在每个代理软件下的配置，后面就不用看了。

```
$ sudo apt install nginx
```

然后你用你的浏览器打开你的域名 http://xyz.com 或者直接用 IP 访问 http://1.2.3.4 ， 应该是都可以看到


![image.png](https://blog.shouyicheng.com/static/img/2e81cac041dad7197a65cdbc0d970631.2e81cac041dad7197a65cdbc0d970631.image.png)

现在我们来配置 nginx

:::warning{title="注意"}
之后所有操作都需要 root 权限
:::

进入 `/etc/nginx`，

```
$ cd /etc/nginx
```

然后修改 `/etc/nginx/sites-available/default` 文件

>（vim 或者 nano 都可以，不过有一个神器是 [VSCode - Remote development over SSH](https://code.visualstudio.com/docs/remote/ssh-tutorial) 这个之后我单开一篇来介绍。


改成如下内容：

```
##
# You should look at the following URL's in order to grasp a solid understanding
# of Nginx configuration files in order to fully unleash the power of Nginx.
# https://www.nginx.com/resources/wiki/start/
# https://www.nginx.com/resources/wiki/start/topics/tutorials/config_pitfalls/
# https://wiki.debian.org/Nginx/DirectoryStructure
#
# In most cases, administrators will remove this file from sites-enabled/ and
# leave it as reference inside of sites-available where it will continue to be
# updated by the nginx packaging team.
#
# This file will automatically load configuration files provided by other
# applications, such as Drupal or Wordpress. These applications will be made
# available underneath a path with that package name, such as /drupal8.
#
# Please see /usr/share/doc/nginx-doc/examples/ for more detailed examples.
##

# Default server configuration
#
server {
	listen 80 default_server;
	listen [::]:80 default_server;

	# SSL configuration
	#
	listen 443 ssl default_server;
	listen [::]:443 ssl default_server;
	#
	ssl_certificate     /root/.acme.sh/xyz.com/fullchain.cer;
	ssl_certificate_key /root/.acme.sh/xyz.com/xyz.com.key;	
	# Note: You should disable gzip for SSL traffic.
	# See: https://bugs.debian.org/773332
	#
	# Read up on ssl_ciphers to ensure a secure configuration.
	# See: https://bugs.debian.org/765782
	#
	# Self signed certs generated by the ssl-cert package
	# Don't use them in a production server!
	#
	# include snippets/snakeoil.conf;

	root /var/www/html;

	# Add index.php to the list if you are using PHP
	index index.html index.htm index.nginx-debian.html;

	server_name _;

	location / {
		# First attempt to serve request as file, then
		# as directory, then fall back to displaying a 404.
		try_files $uri $uri/ =404;
	}

	# pass PHP scripts to FastCGI server
	#
	#location ~ \.php$ {
	#	include snippets/fastcgi-php.conf;
	#
	#	# With php-fpm (or other unix sockets):
	#	fastcgi_pass unix:/var/run/php/php7.4-fpm.sock;
	#	# With php-cgi (or other tcp sockets):
	#	fastcgi_pass 127.0.0.1:9000;
	#}

	# deny access to .htaccess files, if Apache's document root
	# concurs with nginx's one
	#
	#location ~ /\.ht {
	#	deny all;
	#}
}


# Virtual Host configuration for example.com
#
# You can move that to a different file under sites-available/ and symlink that
# to sites-enabled/ to enable it.
#
#server {
#	listen 80;
#	listen [::]:80;
#
#	server_name example.com;
#
#	root /var/www/example.com;
#	index index.html;
#
#	location / {
#		try_files $uri $uri/ =404;
#	}
#}
```

然后需要执行 

```
$ sudo nginx -s reload
```
让 nginx 刷新配置。

然后重新通过 https://xyz.com 访问，恭喜你的网站已经成功安装并且启用了 HTTPS 证书。


![image.png](https://blog.shouyicheng.com/static/img/9481d5261ddfa46e6c8db3ac1c83857b.9481d5261ddfa46e6c8db3ac1c83857b.image.png)

## 让证书自动续签并且自动刷新

acme.sh 的官方也说了，不应该直接使用 `/root/.acme.sh/xyz.com/` 这个文件夹内的证书，因为它保不齐哪个版本就不放在这里了，所以我们还要更进一步设置一下。

### 使用 acme.sh 安装证书到指定位置

在 `/root/` 目录下创建如下文件 `/certs/xyz.com`

```
$ cd /root
$ mkdir -p certs/xyz.com/
```

然后安装将证书安装到这个文件夹内

```
$ acme.sh --install-cert -d example.com \
--key-file       /root/certs/xyz.com/key.pem  \
--fullchain-file  /root/certs/xyz.com/cert.pem \
--reloadcmd     "sudo nginx -s reload"
```

因为证书存储在新的位置，所以我们需要返回 nginx 修改证书位置，找到如下配置

```
ssl_certificate     /root/.acme.sh/xyz.com/fullchain.cer;
ssl_certificate_key /root/.acme.sh/xyz.com/xyz.com.key;	
```
将它改成

```
ssl_certificate     /root/certs/xyz.com/cert.pem;
ssl_certificate_key /root/certs/xyz.com/key.pem;	
```

然后重新载入 nginx 配置

```
$sudo nginx -s reload
```


## 出现端口冲突？

如果你是从[nps 从零启动 - 1. 服务端](https://blog.shouyicheng.com/post/3) 开始操作的，那么当你安装了 nginx 之后就会出现端口冲突，请看 [nps 从零启动 - 4. nginx + nps 灵活搭配使用](https://blog.shouyicheng.com/post/4)