纸翼

一、我要实现什么#

硬件和环境如下：

• RK3576，Debian 12 ARM64，4 GB 内存；
• 128 GB NVMe SSD；
• 64 GB U 盘；
• 一台有公网 IP 的 Linux 服务器；
• Windows 电脑；
• 校园网或手机热点。

目标有两种访问方式：

1
Windows Z/Y 盘：
2
Windows -> Tailscale/Headscale -> RK -> Samba -> /srv/cloud
3

4
公网网页：
5
Browser -> HTTPS/Nginx -> FRP -> RK Nginx -> Key 鉴权
6
        -> FileBrowser Quantum -> SSD/USB

两条链路操作的是同一份文件，不需要同步。公网服务器只转发流量，不保存云盘数据。

二、为什么要拆成这些组件#

三、先检查开发板#

1
cat /etc/os-release
2
uname -a
3
uname -m
4
free -h
5
lsblk -o NAME,MODEL,SIZE,TYPE,FSTYPE,MOUNTPOINTS,TRAN
6
df -hT
7
ip -br address
8
ip route

重点是通过型号、容量和传输类型分清 eMMC、NVMe 和 U 盘。本文假设系统在 mmcblk0，SSD 是 /dev/nvme0n1，U 盘是 /dev/sda。

如果先用手机热点联网：

1
nmcli device wifi list
2
nmcli device wifi connect '<SSID>' password '<PASSWORD>' ifname wlan0
3
ping -c 3 1.1.1.1

校园网若是 802.1X，不能只填账号密码，还要知道 EAP 类型、二阶段认证和 CA 证书策略。我先用普通热点把环境配好，再迁移到校园网，这样排障变量更少。

四、为什么发现设备后还要挂载#

lsblk 能看到磁盘，只代表内核发现了块设备。应用只能通过 Linux 目录树访问文件系统，所以还必须把分区挂载到目录。

本方案没有把 SSD 和 U 盘做 RAID、LVM 或联合文件系统，而是分别挂载：

1
/srv/cloud
2
├── SSD  -> NVMe ext4
3
└── USB  -> U 盘 ext4

这样一块设备拔出或损坏不会连带破坏另一块盘。代价是它们不是一个可自动汇总容量的文件系统。

下列格式化命令会清空目标磁盘。务必先用 lsblk、blkid 和 findmnt 确认设备，绝对不要对系统 eMMC 执行。

1
wipefs -a /dev/nvme0n1
2
parted -s /dev/nvme0n1 mklabel gpt mkpart primary ext4 0% 100%
3
mkfs.ext4 -L RK_SSD /dev/nvme0n1p1
4

5
wipefs -a /dev/sda
6
parted -s /dev/sda mklabel gpt mkpart primary ext4 0% 100%
7
mkfs.ext4 -L RK_USB /dev/sda1
8

9
blkid /dev/nvme0n1p1 /dev/sda1

创建服务用户和挂载点：

1
groupadd --system cloud
2
useradd --system --gid cloud --home-dir /nonexistent \
3
  --shell /usr/sbin/nologin cloud
4
install -d -m 0770 -o cloud -g cloud /srv/cloud/SSD /srv/cloud/USB

把真实 UUID 写入 /etc/fstab：

1
UUID=<SSD_UUID> /srv/cloud/SSD ext4 defaults,noatime,nofail,x-systemd.device-timeout=10s 0 2
2
UUID=<USB_UUID> /srv/cloud/USB ext4 defaults,noatime,nofail,x-systemd.device-timeout=10s 0 2

1
systemctl daemon-reload
2
mount -a
3
chown cloud:cloud /srv/cloud/SSD /srv/cloud/USB
4
chmod 0770 /srv/cloud/SSD /srv/cloud/USB
5
findmnt /srv/cloud/SSD /srv/cloud/USB
6
df -hT /srv/cloud/SSD /srv/cloud/USB

如果挂载失败却继续向空目录写文件，数据会落到 eMMC 上，这是必须防范的坑。

五、部署 Headscale#

先把 headscale.example.com 解析到公网服务器。Debian 12 可安装 Headscale 官方 DEB：

1
HEADSCALE_VERSION=0.29.3
2
wget -O /tmp/headscale.deb \
3
  "https://github.com/juanfont/headscale/releases/download/v${HEADSCALE_VERSION}/headscale_${HEADSCALE_VERSION}_linux_amd64.deb"
4
apt install -y /tmp/headscale.deb nginx certbot

配置的核心内容：

1
server_url: https://headscale.example.com
2
listen_addr: 127.0.0.1:8080
3
trusted_proxies:
4
  - 127.0.0.1/32
5
  - ::1/128
6

7
prefixes:
8
  v4: 100.64.0.0/10
9
  allocation: sequential
10

11
database:
12
  type: sqlite
13
  sqlite:
14
    path: /var/lib/headscale/db.sqlite
15

16
dns:
17
  magic_dns: true
18
  base_domain: tail.example.com

Headscale 只监听回环，公网由 Nginx 终止 TLS。Nginx 反向代理必须传递 Upgrade，因为 Tailscale Control Protocol 会通过 WebSocket POST 工作。

1
systemctl enable --now headscale
2
curl -fsS http://127.0.0.1:8080/health
3
headscale users create cloud

仓库中提供了完整的 Headscale 配置和 Nginx 示例。

六、注册 RK 和 Windows#

RK 安装 Tailscale：

1
curl -fsSL https://tailscale.com/install.sh | sh
2
systemctl enable --now tailscaled

在 Headscale 服务器生成单次、短期预认证 Key：

1
headscale preauthkeys create --user cloud --expiration 1h --reusable=false

在 RK 使用一次后即可丢弃明文：

1
tailscale up \
2
  --login-server=https://headscale.example.com \
3
  --authkey='<PREAUTH_KEY>' \
4
  --hostname=rk3576-cloud
5
tailscale status
6
tailscale ip -4

Windows 安装 Tailscale 后，用另一个单次 Key 注册：

1
& "$env:ProgramFiles\Tailscale\tailscale.exe" up `
2
  --login-server=https://headscale.example.com `
3
  --authkey='<ANOTHER_PREAUTH_KEY>' `
4
  --hostname='windows-client'

这里容易误解：预认证 Key 只用于首次把设备登记到 Tailnet。登记完成后设备用自己的节点密钥自动连接，所以每次重启不需要登录账号。

七、Samba 和 Windows Z、Y 盘#

1
apt install -y samba

在 /etc/samba/smb.conf 添加：

1
[global]
2
    interfaces = lo
3
    bind interfaces only = yes
4
    smb ports = 445
5
    map to guest = never
6

7
[RKSSD]
8
    path = /srv/cloud/SSD
9
    browseable = yes
10
    read only = no
11
    valid users = cloud
12
    force user = cloud
13
    create mask = 0660
14
    directory mask = 0770
15

16
[RKUSB]
17
    path = /srv/cloud/USB
18
    browseable = yes
19
    read only = no
20
    valid users = cloud
21
    force user = cloud
22
    create mask = 0660
23
    force create mode = 0660
24
    directory mask = 0770
25
    force directory mode = 0770

1
smbpasswd -a cloud
2
testparm -s
3
systemctl enable --now smbd
4
tailscale serve --bg --tcp=445 tcp://127.0.0.1:445
5
tailscale serve status

我还给 smbd 和 FileBrowser 增加了 mountpoint 启动前检查。任意一块盘没有真正挂载时，文件服务会拒绝启动，避免数据误写进 eMMC 上的空目录。

在 Windows 管理员 PowerShell 中：

1
net use Z: "\\<RK_TAILSCALE_IP>\RKSSD" /user:cloud * /persistent:yes
2
net use Y: "\\<RK_TAILSCALE_IP>\RKUSB" /user:cloud * /persistent:yes

星号让 Windows 交互输入 Samba 密码，避免明文出现在命令历史。此后 Z: 是 SSD，Y: 是 U 盘，容量也会分别正确显示。

八、FileBrowser 为什么要配置两个 source#

最初我把 /srv/cloud 配成一个名为 RK Cloud 的 source，网页能看到 SSD 和 USB 文件夹，却无法正确显示容量。

原因是 /srv/cloud 本身位于 eMMC，SSD 和 U 盘只是它下面的两个挂载点。一个 source 对应一个文件系统统计，无法把两个独立挂载的容量自动相加。

最终配置改成：

1
server:
2
  port: 18082
3
  listen: "127.0.0.1"
4
  sources:
5
    - path: "/srv/cloud/SSD"
6
      name: "SSD"
7
      config:
8
        defaultEnabled: true
9
        private: true
10
    - path: "/srv/cloud/USB"
11
      name: "USB"
12
      config:
13
        defaultEnabled: true
14
        private: true
15

16
auth:
17
  methods:
18
    password:
19
      enabled: false
20
    proxy:
21
      enabled: true
22
      header: "X-Forwarded-User"
23

24
frontend:
25
  disableUsedPercentage: false

这样网页左侧会显示 SSD、USB 两个入口和各自的占用条。配置文件和 systemd 服务在仓库的 filebrowser/、systemd/ 中。

安装 ARM64 版本：

1
wget -O /tmp/filebrowser-quantum \
2
  https://github.com/gtsteffaniak/filebrowser/releases/download/v1.5.5-stable/linux-arm64-filebrowser
3
install -m 0755 /tmp/filebrowser-quantum /usr/local/bin/filebrowser-quantum
4
systemctl enable --now filebrowser-quantum

九、单 Key 登录的实现#

公网 Web 不开放 FileBrowser 的管理后台和密码登录。自定义网关提供：

• rk1.<id>.<random> 形式的高熵 Key；
• scrypt 散列存储；
• HMAC 签名、Secure、HttpOnly、SameSite=Lax Cookie；
• 12 小时会话；
• 10 分钟内连续失败限速；
• Key 过期、撤销、轮换；
• 全局会话重置。

部署仓库中的 gateway/cloud_auth.py 后：

1
cloudkey init
2
cloudkey add owner --expires never
3
cloudkey list

add 和 rotate 只显示一次明文，应该立刻保存到密码管理器。管理命令还有：

1
cloudkey add guest --expires 7d
2
cloudkey rotate owner
3
cloudkey revoke guest
4
cloudkey sessions-reset

RK Nginx 先向 cloud-auth 发内部鉴权请求，成功后才把 X-Forwarded-User 注入 FileBrowser。FileBrowser 只监听回环地址，否则任何能直连 18082 的人都能伪造认证头。

十、FRP 和公网 HTTPS#

公网服务器 FRPS 的关键配置：

1
bindAddr = "0.0.0.0"
2
bindPort = 10925
3
proxyBindAddr = "127.0.0.1"
4

5
auth.method = "token"
6
auth.token = "<RANDOM_64_HEX_TOKEN>"

token 可以现场生成：

1
openssl rand -hex 32

RK 的 FRPC：

1
serverAddr = "203.0.113.10"
2
serverPort = 10925
3
loginFailExit = false
4
auth.method = "token"
5
auth.token = "<SAME_TOKEN>"
6

7
[[proxies]]
8
name = "rk-cloud-web"
9
type = "tcp"
10
localIP = "127.0.0.1"
11
localPort = 18080
12
remotePort = 18082

loginFailExit = false 配合 systemd 的 Restart=always，校园网短暂断开后会自动恢复。

公网 Nginx 只需要把云盘域名代理到本机 127.0.0.1:18082：

1
location / {
2
    proxy_pass http://127.0.0.1:18082;
3
    proxy_http_version 1.1;
4
    proxy_set_header Host $host;
5
    proxy_set_header X-Forwarded-Host $host;
6
    proxy_set_header X-Forwarded-Proto https;
7
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
8
    proxy_set_header X-Real-IP $remote_addr;
9
    proxy_request_buffering off;
10
    proxy_buffering off;
11
    client_max_body_size 0;
12
}

先把 cloud.example.com 解析到公网服务器，再用 Certbot 申请证书。仓库的 server/ 目录包含 HTTP、HTTPS、FRPS 和 unavailable 页面示例。

十一、这次实际遇到的几个问题#

1
# 公网服务器
2
systemctl status frps nginx
3
ss -lntp | grep -E ':(10925|18082)\b'
4

5
# RK
6
systemctl status frpc-cloud nginx cloud-auth filebrowser-quantum
7
journalctl -u frpc-cloud -n 100 --no-pager
8
curl -I http://127.0.0.1:18080/login

1
chown -R cloud:cloud /srv/cloud/SSD/目标目录
2
chmod -R u+rwX,g+rwX,o-rwx /srv/cloud/SSD/目标目录

十二、验收与重启测试#

RK 本地：

1
systemctl --no-pager status \
2
  tailscaled smbd filebrowser-quantum cloud-auth nginx frpc-cloud
3
findmnt /srv/cloud/SSD /srv/cloud/USB
4
df -hT /srv/cloud/SSD /srv/cloud/USB
5
tailscale serve status

公网服务器：

1
systemctl --no-pager status headscale frps nginx
2
curl -fsS https://headscale.example.com/health
3
curl -I https://cloud.example.com/login

最后分别在网页 SSD、USB 两个来源执行上传、读取、重命名、删除，再去 Z: 盘确认变化。仓库中的 tests/public_crud.ps1 可以自动完成两块盘的公网 CRUD 测试，并在 finally 中清理测试文件。

完成后必须重启 RK 再测一次。只有挂载、Tailnet、Samba、Tailscale Serve、FileBrowser、鉴权、FRPC 全部能自动恢复，才算真正可用。

十三、安全和备份#

这套方案缩小了暴露面，但它不是备份系统：

• 445 只放在 Tailnet，绝不直接开放公网；
• FileBrowser 与鉴权服务只监听回环；
• FRP 远端代理只绑定公网服务器回环；
• 所有公网文件流量经过 HTTPS；
• Key、FRP token、Samba 密码、预认证 Key和 SSH 私钥绝不入库；
• 网页和 SMB 删除的是同一份真实文件，默认没有回收站；
• 重要文件必须另做离线或异地备份，并测试恢复。

结语#

这套架构把“自己的设备像本地盘一样用”和“陌生设备临时用网页访问”分开处理：前者用 Tailnet + SMB 获得原生体验，后者用 HTTPS + Key 获得低门槛访问。RK 保存数据，公网服务器只做控制和转发，SSD 与 U 盘保持独立，故障边界也比较清晰。

如果要完全复现，建议以 cloud 仓库的部署指南 为准，逐项替换示例值，并在每一层完成本地检查后再继续下一层。