如果是考虑数据私密性，那自己搭建就要搭建在自己的服务器上（物理控制），否则数据还不是在云服务商的手里。

用云服务器搭建我只能想到两个理由，人数多了以后费用便宜，或者有功能定制的需求。否者直接上可靠的第三方，还不用操心运维。另外在考虑安全问题的时候，最好仔细思考自己到底需要什么样的安全还有能为之付出多少成本？如果要自己动手，那么自己到底聊不了解如何正确的部署安全措施？

本地加密再上传云端，目前我所知性能和效率平衡最好的是 gocryptfs，和其它的对比可以参考

https://nuetzlich.net/gocryptfs/comparison/

总的来说效率非常高，不会破坏文件元数据，会泄露的信息只有目录结构和文件大小（单文件加密的难题）。而且这玩意被 Nordvpn 做成了 Nordlocker，有商业支持，用起来应该更简单了。

不过网盘本身还要靠谱，换我就担心加密的文件会不会被删。。。如果自己搭建 NAS，一定要考虑好备份策略。

码率决定了可以容纳的信息量上限。但具体一个视频中包含了多少信息，包含了哪些信息，是由编码方式、编码参数等决定的。

所以简单的来讲，对同一水平的编码方式，除非使用极端的编码参数，否者码率越高品质越好，相近码率各有千秋。

固定设备的 ip 地址，然后在路由器上用 iptables 给来源于这些 ip 的连接打上 fwmark，然后组合 ip rule 和 ip route 让带有这个 mark 的包走另一张路由表。如果是端口转发，就让带有这个 mark 的数据包走转发。

@loukky stubby 的这个特性应该只是传递 edns，估计下游客户端也不确定自己的公网 ip，所以传递了不准确的信息。

目前支持指定 edns 的客户端很少，openwrt 上就更少了，https-dns-proxy 的旧版本可以做到，但最近也删掉了。所以这个确实很麻烦，简单的处理方法是国内的网站就直连国内的 dns 进行解析。

过代理的话就要利用 edns 特性，stubby 可以试一试

edns_client_subnet_private : 0

国内选云存储确实操心，我也是废了很多时间在这个问题上，但并没有找到一致的解决方案。我个人认为，目前最优方案是分割需求，采取不同的工具：

1. 根据内容采用不同的服务，照片就 google photo 或者 icloud。我的照片大多从手机上来，这两者是同步最方便（其他网盘甚至都不能及时保证同步），最省电的。而且万一梯子被墙，大不了就是这两天照片同步不了，不是什么大问题。

图书，pdf，文章我用 evernote。国内外能访问，月 10G，手机电脑客户端都很方便，还能打标签，记笔记，全文搜索。

工作文档坚果云，dropbox。同步速度快，技术可靠。onedrive 的客户端（除 win 外）实在是难用，而且我经常遇到同步失败，可能是本地运营商的问题，也可能是客户端的问题，但总之是没法拿来工作的。而 gdrive 我听同事抱怨过几人合作，文件损坏的情况。工作文档力求可靠，绝对不能出错，而且我这里通常文件不大，所以技术是第一位的。

备份 onedrive + arq 5，前者解决存储，后者解决备份技术，量大便宜。

2. 国内国外访问分割开，这个没办法，就算自建也绕不开 wall。所以工作文档，我是国内用坚果云，国外用 dropbox。备份用 onedrive，如果人在国外 gdrive 可能更划算？

希望我的经验能帮到你，我也期待更好的解决方案。

@dangyuluo 是的，但一是要强调实践上正确使用，二是这种保密是针对传输的数据内容（也就是说不包括双方 ip，数据大小，传输时间等信息）

如果指的是传输的数据保密，那么在 ssh 正确配置的前提下，实践上只有安全和连不上两种可能。

只是备份的话，Backblaze 每月 6$，不限量，而且提供很可靠的备份工具。

在你这里买 vultr 和官网有什么不同么？

@czhfrank 那就只能先找工具下载，然后为了安全自己验证签名了，比如

https://apps.evozi.com/apk-downloader/?id=com.bilibili.app.in

@czhfrank ... 不能直接去 b 站下载？

ApkMirror 是有验证安装包签名，并给出证书指纹的，比如

https://imgur.com/dnWkvAP

你也可以自己验证。

@18x
@MicrosoftAccount

已收到官方回复，谢谢

@18x 而且都不检查证书引用的 crl 和 ocsp ...

@18x 是的，我能重复你 revoked.grc.com 这里的结果。

但是除了 revoked.badssl.com 会被替换，所有 https://www.digicert.com/digicert-root-certificates.htm 上的 revoked demo 都会被替换，比如

https://assured-id-root-g3-revoked.chain-demos.digicert.com/
https://assured-id-root-g2-revoked.chain-demos.digicert.com/
https://global-root-ca-revoked.chain-demos.digicert.com/

所以我还是觉得 adguard 不能正确检查证书吊销状态。

@MicrosoftAccount

而且这个证书的确在 CRL 里

https://i.imgur.com/TzJS2fW.png