Obsidian Vault

對話摘要 2026-08-29

閱讀時間約 6 分鐘

對話摘要 2026-08-29

description: 1 note(s) today. name: ‘2026-08-29’

2026-08-29 每日安全審查

結果：今日冇發現新增風險或異常，安全態勢良好（已推 Telegram 619760664 13:02）

✅ 正常

  • QwenPaw 2.1.0 = 最新 stable（08-13）；2.2.0-beta.1/2.1.1-beta.3 仍係 beta 未升級
  • Patches 完整：secret_redaction.py / task_tracker.py:316 last_event_at / mcp.py:154 whitelist / progressive_disclosure.py
  • 審計日誌近 24H：0 真實 deny（qwenpaw.log 只有 Governance started INFO + /deny command registration）
  • 依賴無已知 CVE：cryptography 48.0.1 / requests 2.34.2（cryptography CVE 影響 ≤48.0.0，唔受影響）
  • Sandbox：sandbox_enabled=true（bwrap 模式；容器內 /sys/kernel/security/lsm 唔存在屬預期）
  • Host：fail2ban active、dnf-automatic.timer enabled、firewalld active、磁碟 72%（131/183G）、load 1.57、swap 100%（4.0/4.0G）
  • 容器：76 running、無 restarting/unhealthy、無 privileged、無 Web port 違規映射（僅 syncthing 22000/21027 + wg-easy 51820/udp 已知）
  • CF Tunnel oracle-ampere-tunnel：healthy（4 conns fra20/fra03，v2026.8.1 pin，opened 08-29 00:13，origin 130.61.229.191）
  • Access：全部 policy 用 Authentik 0abce3f9（Warp Login App email allowlist 為預期例外）；新 app floci（08-26）/awg-manager（08-24）均 Authentik
  • DNS benhoweb.com：無可疑新 record；wire A 今日 00:13 更新 = CF DDNS（IP 130.61.229.191 = tunnel origin 一致）
  • 依賴容器：fastmcp 3.4.7（image 已由 3.4.6 升）、crawl4ai 0.9.2 = 最新（CVE 全部 ≤0.8.9）、olw 0.7.0-synto、alist lrcfix-20260805

⚠️ 已知低風險（與 08-24/08-27 相同，續跟進）

  1. Syncthing 22000/tcp+udp、21027/udp 對外暴露（08-16 用戶部署，非 Web port）
  2. rpcbind 111 對外暴露（OL9 預設，冇見 NFS 使用）— 建議 systemctl disable rpcbind
  3. swap 100%（4/4G）持續耗盡 — 觀察
  4. firewall-cmd / sshd PasswordAuthentication 因 opc 無權限無法自動驗證（盲點，人手 sudo 複核）
  5. shinggo.xyz DNS 用現有 token 403（無 dns_records 權限）

建議

整體安全、零急迫行動，建議照舊。可選：停用 rpcbind、Syncthing 鎖內網、人手複核 SSH PasswordAuthentication=no。 備註：3x-ui 08-29 已剷除（443 特例消失）；amneziawg 443/udp 由 host kernel module awg0 提供（非容器）。

  • memory/2026-08-29/amneziawg-kernel-module-uek.md name: amneziawg-kernel-module-uek description: 喺 UEK aarch64 host 上成功安裝並載入 AmneziaWG kernel module（amneziawg 1.0.0，DKMS）並完成生產部署。根因：kernel 6.12.0-205.92.4.2.el9uek 用 GCC 14.2.1 編譯，host 預設 GCC 11.5 不支持 -fmin-function-alignment（需 GCC 12+）導致首次 DKMS build 失敗；裝 gcc-toolset-14 後 rebuild 成功。用戶最終決定用 kernel module 起正式 server：awg0（wire.benhoweb.com:443/udp，systemd awg-quick 管、boot 自動載入 module），userspace 容器退役入 legacy profile，awg-manager 獨立 standalone（172.21.0.53:8080）並修好 client config 混淆參數（原本 if False 寫死）+ AdGuard DNS 兩個 bug；Git commit 46b329a+1271735 push、Dockhand stack 79 sync+deploy 成功；E2E 全通。kernel update 會自動 rebuild module。08-29 502 事故：awg.benhoweb.com 502 根因係 tunnel ingress rule 50 仍指舊 amneziawg:8080（容器已收埋 → DNS no such host）；Account ID bab2663aff754ddd62e2eb0cdc6bb06f，zone token 冇權限，用 Infisical account-scoped CLOUDFLARE_API_TOKEN（長 53）PUT 改 awg-manager:8080（共 52 條 rule 只改 rule 50，v103 reload），cf_network 內驗證 resolve+200 ✓。08-29 同日後續修復：awg-manager 網頁 QR/conf 連結冇 URL-encode pubkey（base64 key 嘅 + 變空格）令 click 時 404「no mapping」；UI 加嘅 peer 唔會入 host kernel server（standalone 容器冇 NET_ADMIN，wg set awg0 靜默失敗）——修 app.py 兩處 URL encoding、刪測試 peer（真 pubkey 29jsNcKvl9PlQOmM9pXs9J54TqRK/2On14y0NIT0aig=，UDtDwW 其實係 server pubkey）、加 auto-sync（awg syncconf 要 strip Address/SaveConfig；systemd path unit 唔 work 改用 inotifywait watcher；驗證 POST→4 peers、DELETE→3）、修 Dockhand quoting、移除被 commit 嘅 config/wg0.conf symlink（Dockhand copy EEXIST）後 deploy 成功（health 200，kernel 3 peers）。08-29 晚間 Android 連唔到線：server 側全面檢查全正常（混淆參數已載入 kernel、UDP 443 listen、OCI SL 有 UDP 443、NSG 空 0 rules、DNS=92.5.180.200 直連冇 proxy）；awg0 RX 106KB/322 packets 但 TX 僅 952B/11 packets、RX 13 errors；hm2ZRy（10.8.1.4）完全冇 handshake/endpoint——初時 tcpdump 30s 0 packets 到 host，結論 server 正常、問題喺 client。08-29 深夜 A/B 測試：開 VPN 後 capture 證實 packet 有到 host（每 5 秒一批 jumba 混淆 UDP，223.74.104.110:8145→10.0.1.39:443）；conf 參數 Jc=5/Jmin=64/Jmax=1024/S1-4/H1-4 全部一致；Android 2.0.1（v2）vs server v3 版本假設被升級 3.1.20260813 後仍失敗推翻；停 kernel awg0 起 userspace amneziawg-go 3.1 server 後 Android 仍無 response，但純 userspace client↔server handshake 成功 → server/conf/protocol 全正常，問題鎖定 Android conf。✅ 已解決：用戶去 awg.benhoweb.com 重新下載 conf（帶齊混淆參數）再 import 即時連通（hm2ZRy handshake 49s、1.94MiB 收/81.67MiB 發）；根因=手機 conf 係 awg-manager 修復前生成嘅舊版（冇混淆參數 Jc/S/H），server 有混淆解唔到 → drop、唔回應；還原 kernel server 後用戶 App 自動重連成功（endpoint 223.74.104.110:8108 真實 public IP、handshake 33s、459KiB 收/2MiB 發）→ kernel module 完全正常，A/B 測試證明兩個 server 都冇問題。AmneziaWG 混淆 vs 普通 WireGuard：普通 WG handshake 係單一 packet ~148 bytes 格式固定可被 DPI 辨認封鎖；AWG 兩層混淆=Jumba（Jc/Jmin/Jmax/S1-4 拆包隨機化 + 隨機 padding）+ Header Protection（H1-4 加密 header），每次 handshake 嚟 6-7 個 100-1019 bytes packets；以前 userspace 版 entrypoint 會 strip 混淆參數=實際普通 WG，kernel server 有齊 Jc/S/H 先係真混淆模式（亦係舊 conf 連唔到新 server 原因）。08-29 早上 3x-ui 處置：用戶問點處置，assistant 建議直接移除（未執行，等確認）——3x-ui 容器係 Created 未運行已被 AmneziaWG 完全取代，IP 172.21.0.53 已重用俾 awg-manager、port 443 由 AmneziaWG 用；3x-ui=VLESS/VMess/Trojan 面板無混淆 vs AmneziaWG 混淆更強；移除理由=安全（熱門被掃描目標）、供應鏈（latest 外部 image 唔可控）、資源、乾淨；留後備會撞 IP 撞 port 唔可能同時行；移除會連 stack+容器+volume（data/db cert 設定）一齊刪。⚠️ 未決：等用戶答覆要移除定保留做後備。

關係圖譜

反向連結