技术不行，危言耸听。

作者混淆了开发者和最终用户。开发者可以选择信任任意证书。而最终用户可以选择停止信任任意系统证书。
如果设备是受管设备，企业也可以添加证书来审计加密流量。

即使 root 也无法修改系统证书是假的。
把证书库移动到 apex 是好事，这可以让 OEM 不再更新的手机继续更新系统证书。比如之前 Let's Encrypt 的 R3 证书无法推送到不再更新的手机，现在可以了。
而 root 是可以修改/apex 目录的，和/system 没有技术上的区别。作为例子，lsposed 的 dex2oat 包装器就修改了 apex 的 art 组件。

香港很久之前就是 1000Mbps 上下对等。
最近搬家，变成 2000Mbps 上下对等了

https://www.speedtest.net/result/13867698770

N5105 升级 pve-kernel-5.19 ，然后 sources.list 里面加上 non-free 源升级 intel-microcode 之后，问题似乎得到解决。

N6005 升级 pve-kernel-5.19 ，并且在 sources.list 里面加上 **sid** 的 non-free 源升级 intel-microcode 之后，似乎也能解决。

@yry0008 我更新试过一段时间，似乎有改善。但是也有人报告 5.19 会死。

在 PVE 论坛有个讨论：
https://forum.proxmox.com/threads/vm-freezes-irregularly.111494/

似乎 5.19 有改善。

没必要，直接用墨鱼：

https://source.android.com/docs/setup/create/cuttlefish

同硬件配置，但是这边遇到的问题不是软重启，而是 pve 虚拟化的 pcdn 会在高负载下死机。仅仅是 kvm 死机，pve 本身和其他虚拟机不会有问题。死机时查看虚拟机没任何内核日志，pve 内核日志也没有有用信息，此时会发现 CPU 的其中一个核被 kvm 吃满，强行重启 kvm 可以解决，但是一定时间后问题会再现。尝试更换不同内核或者 pve 版本能缓解问题。改用 lxc 或者 docker 不会出现问题。

我们正在研究用 qemu 实现打包，到时候应该就不需要这些 apt install 了

key attestation

其他只会更不方便

@flowdesign 真的想 bond 可以尝试用 mode6 ，这不需要对端支持。

DMZ 开启之后，外网访问某个端口会直接转发到 DMZ 设备。

然而 NAT1 的意思是，当内网设备访问外网 IP A 的时候，会在路由 NAT 表记录一个端口映射，这样 IP A 就能通过这个临时开放的端口与内网设备通讯，**并且**其他非 IP A 的 IP B 也能利用这个端口映射与内网设备通讯。

所以总结一下其中其中区别就是，DMZ 是**不需要**内网设备主动告诉路由打开某个端口的，但是 NAT1 需要。（还有另一个区别就是 DMZ 的内网端口和外网端口是保持一致的）

DMZ 和 NAT1 虽然一定程度上能同时存在，但是还是会有冲突的时候。

@flowdesign 光猫需要设置聚合的，bond 0 聚合就是要求两端都配置 bond 不然会坏掉（看下面的 kernel 文档）。你的问题看起来就是光猫没设置 bond 。我估计是需要用 telnet 之类的设置 bond 。所谓网上说的支持 bond 我估计是自带的 kernel 支持，但是没有 web ui 。

https://www.kernel.org/doc/Documentation/networking/bonding.txt

The balance-rr, balance-xor and broadcast modes generally
require that the switch have the appropriate ports grouped together.
The nomenclature for such a group differs between switches, it may be
called an "etherchannel" (as in the Cisco example, above), a "trunk
group" or some other similar variation. For these modes, each switch
will also have its own configuration options for the switch's transmit
policy to the bond. Typical choices include XOR of either the MAC or
IP addresses. The transmit policy of the two peers does not need to
match. For these three modes, the bonding mode really selects a
transmit policy for an EtherChannel group; all three will interoperate
with another EtherChannel group.

@flowdesign

> 光猫端没有做太多的额外设置

那你光猫设置聚合了吗？我没看你说设置了。

mode0 的 bond 需要对端交换机兼容的，这个光猫支持设置 mode0 的 bond 的吗？

@phpfpm 那或许你可以试试 mode6 的 bond 。这个模式的 bond 会在出口时候根据链路负载重写源 MAC 地址来实现负载均衡。而这并不需要对端交换机的支持。所以你可以在 Openwrt 上设置 mode6 的 bond 而无需在 XDR-5480 上设置 bond 。但是这种做法需要在 L2 进行“路由”比较吃性能，R2S 不知道吃不吃得消。

@phpfpm https://www.tp-link.com/us/support/faq/1583/ 根据官方 FAQ ，这似乎是 mode4 的。

br-lan 是个网桥，用来把多个接口放到同一个局域网（广播域）中。bond 的 IP 即使同一个网段但是不放网桥就不是同一个局域网，转发需要路由的。你把 BOND 的子网掩码设置成 /32 吧，然后把 bond 的接口塞 br-lan 里面，然后就能走 bond 访问网关了。

@phpfpm bond 不用做网关，如果是旁设备，可以把 bond 设备加到 br-lan 然后 br-lan 设置网关是 XDR-5480 即可。