FreeBSD
FreeBSD 上的 nginx kTLS 支持
昨天，FreeBSD 13.2 正式发布了。 kTLS 是在 FreeBSD 13.0 中由 Netflix 赞助的新功能， 过去，TLS/SSL 应用程序对于通讯内容的加解密通常是在用户态进行的，这样一来， 系统在读取出数据和发出数据之前需要进行额外的上下文切换，并在内核和用户地址空间之间来回复制缓冲区来满足加解密的需要。 有了 kTLS 之后，内核可以在 sendfile(2) 时直接在内核上下文中完成加密和填充到网络协议栈的操作，从而减少了上下文切换和不必要的复制操作。
阅读全文…Postmortem: UPS 测试导致系统停机故障的事后回顾
摘要
事故影响
由于 UPS 测试触发了系统停机，导致 delphij.net 部分服务停止了约40分钟。服务从 2023-01-16 15:46:20 开始受到影响，至 16:26:55 完全恢复。 如果服务未能及时修复，潜在地将会进一步影响包括权威DNS（有多个独立的冗余，但依赖于持续的数据更新）在内的一些其他关键服务。
问题根源
在测试时对于 CyberPower UPS 测试特性的认识不足导致电池电量消耗至临界值， 由于对 nut 的配置未考虑这种情况直接将服务器关闭， 这使得必须亲自到机房才能完成服务的恢复。
阅读全文…试试看 CyberPower UPS
因为机房和家里 之前发生过一些停电的问题，因此这两处我都放了UPS。
UPS使用的铅酸电池是有一定寿命的，机房这台UPS是2016年5月上线的（当时是觉得已经到了5年，应该换掉了； 而当时查看价格发现购买一个UPS电池自己更换的原材料价值和买一个新的差不多，于是就直接整体换成了 APC BE600）。
阅读全文…Moving toward a standarized qsort_r(3)
History of qsort_r(3)
First introduced in Research Unix V3 and eventually standardized as part of C Standard Library as of ANSI/ISO C89, qsort(3) provided an abstract interface where programmers can perform sort operation over an array of objects, by supplying a pointer to that array, the total number of the member objects, the size of individual member object, as well as a compare function. The compare function is expected to take two parameters, both pointers to a member object, and it shall return a negative number, 0, or a positive number, if the first object is considered smaller, equal, or greater respectively.
阅读全文…BIOS 串口波特率设置
今天 Warner 改了一段注释，我于是学到了一些新的 犀利而无用的知识，在这记一笔。
当从 BIOS 引导时，假如是使用 FreeBSD 的 boot manager（写入VBR的boot0或boot0sio），
该 boot manager 实现了一个菜单，因为这个菜单的原因，实现串口异步通讯的代码就塞不下了，
于是 boot0sio 会调用 BIOS int 14h 去初始化串口。
然而 int 14h 提供的接口是1981年的设计（IBM 5150的BIOS是1981年4月24日发表的，
当时只有 8 kB），用来表达波特率的只有3个bit，这3 bit作为波特率除数表的索引值，
该表在1981年写死成了：1047, 768, 384, 192, 96, 48, 24, 12，因此最高的波特率就是
115200 / 12 = 9600。
由于 9600 还是比较慢（每秒只能传1200字节），因此现时的 BIOS / EFI 往往默认将串口波特率设为
115200，然而 FreeBSD 的 boot0sio 在引导时仍然会一上来就把串口波特率设为 9600，
解决方法是干脆不要用 boot0sio 而是使用 BIOS 提供的 Console Redirect 功能，
或是在编译时将 BOOT_COMCONSOLE_SPEED 设置为 0。
用 BHyVe 虚拟机解决 FreeBSD Wi-Fi 驱动的问题
BHyVe
https://www.FreeBSD.org/ 10.0-RELEASE 起，系统提供了一个最早由 NetApp 开发的使用处理器提供的虚拟化硬件支持 (目前是 Intel VT 和 AMD-V；针对 ARM 平台的支持也在 https://reviews.freebsd.org/D26976) 的虚拟化环境 https://wiki.freebsd.org/bhyve，这套虚拟化环境可以运行支持 VirtIO 规范的各种操作系统，并提供了 UEFI 支持。
阅读全文…用 FIDO key 来做 SSH key
OpenSSH 8.2 中新增了 FIDO/U2F 支持。
它支持两种密钥对类型： ecdsa-sk 和 ed25519-sk。需要注意的是并非所有的 FIDO Security Key
都实现了 ed25519-sk 的硬件支持：例如，截至2022年，Titan Security Key
就不支持 ed25519-sk。
使用 FIDO key 的 SSH key 在使用上和之前的 SSH key 类似， 主要的区别在于在登录时系统会确认用户是否在机器旁边（通常是碰一下 FIDO key）， 这可以显著地改善安全性：与之前的 SSH key 不同的是， 即使机器上的 U2F/FIDO SSH key 私钥文件被攻击者获得， 在没有硬件 FIDO key 的情况下也无法使用这个私钥。 对于对方同时能获得私钥文件和物理访问的情况， 参见 xkcd/538，就不要跟扳手过不去了。
阅读全文…用 poudriere 完成包管理
由于使用的 port 的编译选项与官方的往往不一致（例如我非常讨厌 gnutls、avahi 这两个包，此外有时我希望使用一个和官方不太一样的 OpenLDAP 版本， 或者采用不同的编译选项等等），我之前一直是 portmaster(8) 的用户。 portmaster 是 Doug Barton 早年用 shell 脚本写的一个 portupgrade(1) 的替代品，和后者相比，它不需要使用数据库，并且充分利用了 shell 的任务管理功能实现了尽可能利用 CPU 的计算能力，我个人也从这个脚本中学到了不少 shell 脚本的技巧。
不过，使用 portmaster 需要在每一台机器上都有一份 ports tree，并且由于直接操作的是本地的生产环境， 因此对于比较基础的库，如 gettext 之类，或是在升级操作系统时， 由于升级时间较久导致出现问题的可能性相对要大一些。 另一方面，使用 port 来管理第三方软件意味着需要把联编过程中的所有依赖软件包全都都装到生产环境中， 有时这是非常不经济的，例如大部分时候运行环境并不需要完整的跨平台 LLVM，等等，而使用 port 安装的话， 每一个系统中都需要整体重新联编一遍。
我之前已经用过很长时间的 poudriere 了。 这是一款现代化的联编系统，它充分利用了 FreeBSD 的一系列特性，包括 ZFS 快照/克隆、 tmpfs、 jail 等等，支持交叉编译。除此之外它还支持使用 ccache 来减少重复编译，等等。 不过，线上的机器出于习惯^H^H懒惰导致的惯性一直还是在沿用之前采用 portmaster 来进行更新。
阅读全文…多年以前搞的 8086 实模式模拟器竟然又派上了用场
最近张师傅在折腾一个模拟器，在感慨他老人家的工作不饱和之余， 我向他隆重介绍了我多年前埋到 FreeBSD 里的 x86模拟器。
这些代码我自己已经多年没有碰过了，后续也有一些其他开发人员在其上做了新的改进（比如没必要真的分配那么多内存给模拟器，
等等）。不过这份来自 SciTech Software Inc （是的，就是 DOS 时代写 UniVBE.exe 的那个公司），后来辗转经过 XFree86、
NetBSD 最终来到 FreeBSD 的模拟器的主体部分还是没有什么变化，稍微改一改就可以直接作为一个新的模拟器的基础了。
由于不依赖 VM86，它的可移植性要比需要 VM86 的要好很多。从调试方面，由于它的结构，只需要在 x86emu_exec_*
设置断点就可以很容易地在用户态挂调试器进行调试了。
重建了 IPv6 隧道
之前 提到我换了一家ISP。这家ISP目前尚未提供IPv6服务，因此想要用IPv6的话就需要自己动手。 此前也有一些其他朋友问过我关于为什么一定要有 IPv6，毕竟 狼来了 的故事已经讲了这么多年， 而且 十几年前 IPv4 的中央地址池其实就已经用完了，只是在工业界抱残守缺^H^H^H^H食古不化^H^H^H^H我也不知道该管这种行为叫什么， 总之苟延残喘了十几年依然没有把服务迁移到 IPv6 上去，所以目前用 IPv6 往往也只是满足一下一些技术宅的恶趣味， 例如看 kame.net 那只能动的海龟之类。
当然，我自己用 IPv6 有一些更加现实的动力，比如我的一些服务是只在 IPv6 上提供的，这样做可以把那些做的不好的客户端直接排除在外， 有点类似于在当年我把网站的 TLSv1.2 和更早版本的 TLS/SSL 支持全都砍掉一样。
话说回来，由于新的 ISP 出于一些我不理解的原因死活不愿意支持 ping （唯一可能的解释是，这样做会导致扫描起来容易不少，毕竟扫描 IPv4 地址段比扫描 IPv6 地址段要容易太多了， 但安全不能建立在别人不知道的基础上，anyway，打电话、开票之后未能解决该问题），而大河的隧道服务又要求必须可以 ping 到终点，于是陷入了死循环。
阅读全文…