nvme 就是普通的 pcie 设备，该怎么直通就怎么直通

wireguard + netns 按照需求将程序启动在不同的 netns 里面

btrfs su sn cr /home /.snapshot/home -r
btrfs send /.snapshot/home | pigz --best > /path/to/nas
另一台电脑上
cat /path/to/nas | pigz -d | btrfs receive /.snapshot

就算返回了临时变量的引用，但是也不意味着临时变量引用对应的地址会挪作他用，一般来说紧接着就用了而未进行压栈也大概率展示用不到

https://celluloid-player.github.io/
优点是功能简单

开源项目应该没有传统意义上的“收购”？
情况大概两类
- 开源协议允许闭源重分发：这时候商业公司直接 fork 出来改个名字自己发行闭源版本就行了 -> 不用给钱，可能有的开源协议要求有 credits ，加上就行了
- 开源协议不允许闭源重分发：商业公司需要获得所有作者（或通过 CLA 之类的协议委托的有重新授权的权利的人）的许可，对于已有的代码进行重新授权 -> 可能要花钱收买

DOT/DOH 可能是因为证书不好签？

@Ljcbaby
> cve-2021-4034 之类的试试？

polkit 也是靠 suid 二进制提权的，这里整个 /usr 都没了 o+x 权限，估计只有进单用户想办法了

不能改 kernel cmdline 吗，可以的话先进单用户把权限改回去

软路由+NAS+计算服务器 all boom in one
安装的是 Fedora Server ，存储是 btrfs ，磁盘监控是 smartd+esmtp 通知

@Tink oracle 好像不设置成付费帐号不会扣费，于是可以愉快的玩耍，不用担心像亚马逊一样反薅

@asdasdqqq 这个路径升级会覆盖，用 systemctl edit docker 创建 drop-in 配置文件

@asdasdqqq 这种情况下给 docker 的 service 一个 RequiresMountsFor=/path/to/mount/point 的属性就行

remote-fs.target 的时机和 network-online.target 的时机应该是 systemd 会处理好的，是不是你的网络管理器的 online 检测服务没 enable

route add -host 152.69.*.* dev eth0.3 这一跳就成了 on-link 了。但实际上这一跳要发给网关。

不怕吵的话无脑 hc550

ssh key 放到硬件里面，openssh 支持 pkcs11 或者是 fido2 的硬件来存储证书，这才能做到万无一失，私钥谁也拿不到，要用私钥签名必须要用户按一下硬件按钮 /输入 pin

其他各种方式都会带来麻烦，比如 SELinux 的话你就需要给整个用户会话一个单独的上下文（默认情况下是 unconfined_t ），以及给 ssh 一个单独的上下文，分别配置权限。当然，对于系统服务的限制早就有 SELinux 的解决方案了，用户的 .ssh 文件夹是 ssh_home_t,多数系统服务的上下文(e.g. init_t)没权限访问。

要是用 systemd 的话如果你限制整个用户会话访问 ~/.ssh 那你启动的 ssh 也访问不了。你要是只限制系统服务也很简单,ProtectHome 就行，但是不够，用户自己运行有问题的程序你也没办法。

先退一步，检查下硬件型号相同的话怎样

包管理走 http 大多数情况下不是问题，中间人攻击不能塞给你投毒之后的元数据或者是包
但是有可能出现一类特殊的攻击，就是中间人服务器阻止你安装特定安全更新，从而达到攻击的目的

debian 系的做法是给安全更新单独的源，并且那个源貌似默认镜像站很少（也不建议用镜像站）于是饱受诟病