Lentikr's Blog'

Fedora环境完善（一）

Tue, 07 Apr 2026 00:00:00 GMT

上一期我们完成了incus部署，本期主要解决Windows虚拟机的访问问题以及incus场景下的软路由配置，以实现更灵活的网络访问。最后提供一个本人Vibe Coding出的incus TUI管理脚本，方便日常使用。

incus Windows VM相关#

更合理的部署方式#

上期我们提到，在incus中配置Windows虚拟机时需要注入VirtIO驱动，并使用手动加载的方法成功进行了注入。后来我又尝试了使用Distrobuilder重新封装Windows的iso镜像这种方法，这里一并介绍。这种方法需要先在本机安装Distrobuilder，我这里采用的是从源码构建的方法（官方未提供Fedora环境下的预编译包）。

Terminal window

1
wget https://linuxcontainers.org/downloads/distrobuilder/distrobuilder-3.3.1.tar.gz
2
tar -zxvf distrobuilder-3.3.1.tar.gz
3
cd distrobuilder-3.3.1/
4
make
5
sudo dnf install perl-hivex genisoimage swtpm
6
# genisoimage是distrobuilder最后会调用的iso生成工具，swtpm是Win11虚拟机中设置tpm模块需要的

进行镜像封装与系统初始化

Terminal window

1
sudo /home/zero/go/bin/distrobuilder repack-windows --windows-arch=amd64 --windows-version=w11 /var/lib/incus/iso/win11.iso ~/win11-incus.iso --drivers=/usr/share/virtio-win/virtio-win.iso
2
sudo mv ~/win11-incus.iso /var/lib/incus/iso/
3
sudo chmod 644 /var/lib/incus/iso/win11-incus.iso
4
sudo chcon -t svirt_home_t /var/lib/incus/iso/win11-incus.iso
5

6
incus init win11 --empty --vm
7
incus config set win11 image.os Windows
8
incus config set win11 limits.cpu 4
9
incus config set win11 limits.memory 8GiB
10
incus config device override win11 root size=64GiB
11
incus config set win11 security.csm false
12
incus config set win11 security.secureboot true
13
incus config device add win11 vtpm tpm
14
incus config device add win11 install-media disk source=/var/lib/incus/iso/win11-incus.iso boot.priority=10

随后进入VM进行系统安装即可直接识别磁盘。

incus-agent编译安装#

incus-agent是运行在Incus 虚拟机 (VM) 内部的一个守护进程。它的主要作用是作为宿主机Incus服务与虚拟机内部系统之间的“桥梁”，实现原本只有容器（Container）才能轻松完成的高级交互功能。

直接执行命令
文件传输
状态监控与指标
生命周期管理（更优雅的关机/重启，命令没变，但是变成了incus-agent向VM发送相关指令）

dnf可以直接安装incus-agent，但这通常只包含与宿主机系统架构一致的版本，比如本机就只有x86_64环境下Linux平台的incus-agent。如果要支持多平台的虚拟机，比如Linux+Windows，需要自己编译好对应平台的incus-agent，并为incus设置好环境变量INCUS_AGENT_PATH

Terminal window

1
sudo systemctl edit incus
2

3
# 写入下面内容
4
[Service]
5
Environment=INCUS_AGENT_PATH=/opt/incus/agent
6

7
# 重载incus服务并检查是否修改成功
8
sudo systemctl daemon-reload
9
sudo systemctl restart incus
10
systemctl cat incus
11
systemctl show incus -p Environment

下面我们就需要手动编译Windows平台的incus-agent并置于INCUS_AGENT_PATH中，下面是我的操作过程

Terminal window

1
git clone https://github.com/lxc/incus ~/src/incus
2
cd ~/src/incus/
3
# 最好与从Fedora仓库安装的incus版本一致
4
git tag | grep 6.19
5
incus version
6
git checkout v6.19.1
7

8
sudo mkdir -p /opt/incus/agent
9
sudo CGO_LDFLAGS_ALLOW="-Wl,-z,now" CGO_ENABLED=0 GOOS=windows GOARCH=amd64 go build -trimpath -tags=agent,netgo -o /opt/incus/agent/incus-agent.windows.x86_64 ./cmd/incus-agent/

这里需要注意的是，如果设置了INCUS_AGENT_PATH，需要把本系统通过包管理器安装的incut_agent文件也放过来（可以使用符号链接的方式），并遵从命名规则（如incus-agent.linux.x86_64）。随后对于Windows，需要手动加载Agent驱动。

Terminal window

1
incus config device add win11 agent disk source=agent:config

在Win中进入对应CD以管理员权限执行install.ps1脚本即可。这里的安装脚本我运行后会在中途退出，并且查看系统服务，发现Incus Agent这个服务无法启动，最后是通过将编译出的incus-agent.exe这个文件粘贴进C:\Program Files/incus-agent这个目录下再启动服务成功的。

RDP访问#

对于incus环境中的Windows虚拟机，使用RDP的方式访问体验是最好的，下面是rdp访问的相关设置。

在Windows的设置中开启远程访问功能并为当前用户添加相关权限。
在宿主机（Fedora）中安装xfreerdp（wayland下最佳的RDP解决方案）
使用xfreerdp进行RDP访问

Terminal window

1
xfreerdp \
2
/v:"$HOST" \
3
/u:"$USER" \
4
/p:"$PASSWORD" \
5
/gfx +dynamic-resolution /cert:ignore /network:auto /scale:180

这里其实不建议以明文的方式传入密码，会在系统日志、.bash_history中以明文形式存储（当然个人电脑其实也无所谓）。如果想要更高的安全性，可以使用secret-tool，这是一个用于安全存储和管理敏感信息的命令行工具，可以避免敏感信息的硬编码。secret-tool本身不存储数据，它通过D-Bus与后端服务进行通信。常见的后端有GNOME Keyring、KeePassXC、KWallet等。由于我本人使用KeePassXC进行密码管理，所以就沿用KeePassXC的方案了。

在KeePassXC中的软件设置中启用保密服务集成后，在数据库自身的设置->保密服务集成中设定一个保存secret的群组。随后即可使用命令行添加、查询与删除敏感信息（也可以直接在KeePassXC的GUI界面直接操作），基本语法如下：

Terminal window

1
# 添加敏感信息
2
secret-tool store --label="我的标签" 属性名1 属性值1 属性名2 属性值2 ...
3
## 示例
4
secret-tool store --label="GitHub API Key" service github user alice
5

6
# 查询敏感信息
7
## lookup是精确匹配，属性对必须写全
8
secret-tool lookup service github user alice
9
## search可以匹配部分属性，会打印出该条目的标签、敏感信息值及所有属性
10
secret-tool search service github
11

12
# 删除敏感信息（精确匹配/部分匹配均可）
13
secret-tool clear service github user alice
14
secret-tool clear service github

借助secret-tool，我Vibe Coding了以下脚本实现便捷的RDP登陆，实现的效果是列出脚本中储存的RDP主机显示名，回车后直接连接进入RDP桌面，其HOST、USER、PASSWORD均由脚本自动获取。

1
#!/usr/bin/env bash
2
set -euo pipefail
3

4
command -v fzf >/dev/null 2>&1 || {
5
  echo "缺少 fzf"
6
  exit 1
7
}
8

9
# 格式：显示名|HOST|USER
10
# USER 直接写最终传给 xfreerdp /u: 的内容
11
# 本地账号示例：.\admin
12
# 微软账号示例：name@outlook.com
13
ENTRIES=(
14
  "工位主机|x.x.x.x|.\admin"
15
  "incus_Win11|192.168.x.x|.\Administrator"
16
)
17

18
selected="$(
19
  printf '%s\n' "${ENTRIES[@]}" |
20
    awk -F'|' '{printf "%s\t%s\t%s\n", $1, $2, $3}' |
21
    fzf --delimiter=$'\t' --with-nth=1,2,3 \
22
      --prompt='RDP > ' \
23
      --height=40% \
24
      --reverse
25
)" || exit 0
26

27
IFS=$'\t' read -r NAME HOST USER <<<"$selected"
28

29
PW="$(secret-tool lookup service rdp server "$HOST" 2>/dev/null || true)"
30

31
[[ -n "$PW" ]] || {
32
  echo "没找到密码：$HOST / $USER"
33
  exit 1
34
}
35

36
nohup xfreerdp \
37
  /v:"$HOST" \
38
  /u:"$USER" \
39
  /p:"$PW" \
40
  /gfx +dynamic-resolution /scale:180 /f /cert:ignore /network:auto \
41
  /log-level:OFF \
42
  </dev/null >/dev/null 2>&1 &
43

44
disown 2>/dev/null || true

展开收起

incus openwrt软路由部署#

部署openwrt的思路其实很简单，就是配置两个网卡，一个网卡使用NAT接通主机网络，另一个网卡为非NAT，并将需要由Openwrt路由的VM置于其中。

首先我们需要创建一个仅内网虚拟机用的子网，即Openwrt的LAN口所在的网络，用于给其他VM提供网络。

Terminal window

1
incus network create lablan \
2
  ipv4.address=192.168.50.254/24 \ # 这里可以填成想要的其他网段
3
  ipv4.dhcp=false \
4
  ipv4.nat=false \
5
  ipv6.address=none \
6
  dns.mode=none

安装Openwrt系统，这里直接使用eSir大佬集成好基本插件的固件。

Terminal window

1
cd ~/Downloads
2
# 解压为img
3
gzip -dk 'openwrt-stable-24.10.5-buddha-version-v1[2026]-x86-64-generic-squashfs-uefi.img.gz'
4
ls -lh *.img

从硬盘镜像导入incus VM，需要使用incus-tools

Terminal window展开收起

1
sudo dnf install incus-tools
2

3
sudo incus-migrate
4
The local Incus server is the target [default=yes]:
5

6
What would you like to create?
7
1) Container
8
2) Virtual Machine
9
3) Virtual Machine (from .ova)
10
4) Custom Volume
11

12
Please enter the number of your choice: 2
13
Name of the new instance: openwrt
14
Please provide the path to a disk, partition, or qcow2/raw/vmdk image file: /home/zero/Downloads/openwrt-stable-24.10.5-buddha-version-v1[2026]-x86-64-generic-squashfs-uefi.img
15
Does the VM support UEFI booting? [default=yes]:
16
Does the VM support UEFI Secure Boot? [default=yes]: no
17

18
Instance to be created:
19
  Name: openwrt
20
  Project: default
21
  Type: virtual-machine
22
  Source: /home/zero/Downloads/openwrt-stable-24.10.5-buddha-version-v1[2026]-x86-64-generic-squashfs-uefi.img
23
  Source format: raw
24
  Config:
25
    security.secureboot: "false"
26

27
Additional overrides can be applied at this stage:
28
1) Begin the migration with the above configuration
29
2) Override profile list
30
3) Set additional configuration options
31
4) Change instance storage pool or volume size
32
5) Change instance network
33
6) Add additional disk
34
7) Change additional disk storage pool
35

36
Please pick one of the options above [default=1]: 1
37
Instance openwrt successfully created

展开收起

为Openwrt添加LAN口网卡（WAN口的NAT是默认配置，不需要手动添加）：

Terminal window

1
incus config device add openwrt lan nic network=lablan   hwaddr=00:16:3e:50:00:02

进入Openwrt进行网络配置：

Terminal window

1
incus start openwrt --console
2
# 这里可能最后需要手动按一下Enter才能进入shell

/etc/config/network展开收起

1
vim /etc/config/network
2

3
config interface 'loopback'
4
        option device 'lo'
5
        option proto 'static'
6
        option ipaddr '127.0.0.1'
7
        option netmask '255.0.0.0'
8

9
config globals 'globals'
10
        option ula_prefix 'fda8:dbe1:e3c9::/48'
11
        option packet_steering '1'
12

13
config device
14
        option name 'br-lan'
15
        option type 'bridge'
16
        list ports 'eth1' # 这里填ip list里那张LAN口对应的网卡，默认的eth0应该是NAT卡，所以这里通常应该需要是eth1
17

18
config interface 'lan'
19
        option device 'br-lan'
20
        option proto 'static'
21
        option ipaddr '192.168.50.2' # 这里改成你LAN口所在网络的网段内，填2是怕与宿主机冲突
22
        option netmask '255.255.255.0'
23
        option ip6assign '60'
24

25
config interface 'wan'
26
        option device 'eth0' # 这里注意是eth0了
27
        option proto 'dhcp'
28

29
config interface 'wan6'
30
        option device 'eth0' # eth0
31
        option proto 'dhcpv6'
32

33

34
# 修改完后执行
35
/etc/init.d/network restart

展开收起

之后打开设置的LAN地址即可访问到Openwrt的配置站点（这里是192.168.50.2）。

随后的问题就是如何将新建的/已有的VM设置为使用Openwrt做路由。首先我们先创建一个使用Openwrt路由的incus Profile，此后新建的VM只要使用这个Profile就会自动接入这个网络了，同理，已有的VM也可以通过使用该Profile接入Openwrt软路由。

Terminal window

1
incus profile create openwrt-lan
2
incus profile device add openwrt-lan eth0 nic network\=lablan name\=eth0
3
incus profile show openwrt-lan

将已有的VM的Profile覆盖为openwrt-lan（在incus中，Profile中的设置按层级关系确定，即高层覆盖低层，低层已定义但高层未修改的部分沿用）

Terminal window

1
# 先关闭相关的虚拟机
2
incus stop ubuntu24
3
# 指定Profile（覆盖)
4
incus profile assign ubuntu24 default,openwrt-lan
5
incus start ubuntu24

启动新虚拟机时指定Profile（incus中允许指定多个profile，后面的profile优先级更高）

Terminal window

1
incus launch images:ubuntu/24.04 ubuntu2 --profile default --profile openwrt-lan

incus VM/Container管理脚本#

为了方便incus的使用，Vibe Coding了一个TUI管理脚本，实现的功能有incus后台服务的启停、VM/Container管理，主要涉及状态管理、信息查询、快照的简单管理等。

1
#!/usr/bin/env bash
2
set -euo pipefail
3

4
SCRIPT_SELF="$(cd -- "$(dirname -- "${BASH_SOURCE[0]}")" && pwd)/$(basename -- "${BASH_SOURCE[0]}")"
5

6
need() {
7
  command -v "$1" >/dev/null 2>&1 || {
8
    printf '缺少命令: %s\n' "$1" >&2
9
    exit 1
10
  }
11
}
12

13
for cmd in incus fzf systemctl awk sed grep date; do
14
  need "$cmd"
15
done
16

17
RED=$'\033[31m'
18
GREEN=$'\033[32m'
19
YELLOW=$'\033[33m'
20
BOLD=$'\033[1m'
21
RESET=$'\033[0m'
22

23
SERVICE_SOCKET="incus.socket"
24
SERVICE_UNIT="incus.service"
25

26
fzf_has_footer=0
27
if fzf --help 2>&1 | grep -q -- '--footer'; then
28
  fzf_has_footer=1
29
fi
30

31
fzf_base=(
32
  --ansi
33
  --layout=reverse
34
  --height=100%
35
  --border
36
  --cycle
37
  --no-info
38
  --tabstop=8
39
)
40

41
service_running() {
42
  systemctl is-active --quiet "$SERVICE_SOCKET" &&
43
    systemctl is-active --quiet "$SERVICE_UNIT"
44
}
45

46
service_emoji() {
47
  if service_running; then
48
    printf '🟢'
49
  else
50
    printf '🔴'
51
  fi
52
}
53

54
service_action_text() {
55
  if service_running; then
56
    printf '停止相关服务'
57
  else
58
    printf '启动相关服务'
59
  fi
60
}
61

62
instance_state_emoji() {
63
  case "$1" in
64
  RUNNING) printf '🟢' ;;
65
  STOPPED | STOPPING) printf '🔴' ;;
66
  *) printf '🟡' ;;
67
  esac
68
}
69

70
sanitize_csv_field() {
71
  local v="${1:-}"
72
  v="${v#\"}"
73
  v="${v%\"}"
74
  printf '%s' "$v"
75
}
76

77
pause_msg() {
78
  printf '\n%b%s%b\n' "$BOLD" "$1" "$RESET" >&2
79
  printf '按回车继续...' >&2
80
  read -r _
81
}
82

83
confirm() {
84
  local prompt="${1:-确认？}"
85
  local ans
86
  local opts=("${fzf_base[@]}" --height=10 --prompt="$prompt > " --header='Enter 确认 / Esc 取消')
87
  ((fzf_has_footer)) && opts+=(--footer='Enter 确认  ·  Esc 取消')
88

89
  if ! ans="$(
90
    printf '%s\n' "否" "是" |
91
      fzf "${opts[@]}"
92
  )"; then
93
    return 1
94
  fi
95

96
  [[ "$ans" == "是" ]]
97
}
98

99
count_kind() {
100
  local kind="$1"
101
  local rows total=0 running=0 state
102

103
  if ! service_running; then
104
    printf '0\t0\n'
105
    return 0
106
  fi
107

108
  rows="$(incus list "type=$kind" -c s -f csv,noheader 2>/dev/null || true)"
109

110
  while IFS= read -r state; do
111
    [[ -z "${state:-}" ]] && continue
112
    state="$(sanitize_csv_field "$state")"
113
    ((total += 1))
114
    [[ "$state" == "RUNNING" ]] && ((running += 1))
115
  done <<<"$rows"
116

117
  printf '%s\t%s\n' "$total" "$running"
118
}
119

120
kind_cn() {
121
  case "$1" in
122
  virtual-machine) printf '虚拟机' ;;
123
  container) printf '容器' ;;
124
  *) printf '%s' "$1" ;;
125
  esac
126
}
127

128
main_statusline() {
129
  local vm_total vm_running ct_total ct_running service_text
130

131
  IFS=$'\t' read -r vm_total vm_running < <(count_kind "virtual-machine")
132
  IFS=$'\t' read -r ct_total ct_running < <(count_kind "container")
133

134
  if service_running; then
135
    service_text="$(printf '%b运行中%b' "$GREEN" "$RESET")"
136
  else
137
    service_text="$(printf '%b未启动%b' "$RED" "$RESET")"
138
  fi
139

140
  printf '服务: %s    VM: %s/%s    容器: %s/%s' \
141
    "$service_text" "$vm_running" "$vm_total" "$ct_running" "$ct_total"
142
}
143

144
render_main_row() {
145
  local key="$1"
146
  local icon="$2"
147
  local label="$3"
148
  printf '%s\t%s %s\n' "$key" "$icon" "$label"
149
}
150

151
render_action_row() {
152
  local key="$1"
153
  local icon="$2"
154
  local label="$3"
155
  printf '%s\t%s %s\n' "$key" "$icon" "$label"
156
}
157

158
instance_record() {
159
  local kind="$1"
160
  local name="$2"
161
  local out
162

163
  out="$(incus list "type=$kind" -c ns4S -f csv,noheader 2>/dev/null || true)"
164
  awk -F',' -v n="$name" '$1 == n { print; exit }' <<<"$out"
165
}
166

167
instance_meta() {
168
  local kind="$1"
169
  local name="$2"
170
  local row state ip snaps
171

172
  row="$(instance_record "$kind" "$name")"
173

174
  if [[ -z "$row" ]]; then
175
    printf 'UNKNOWN\t-\t0\n'
176
    return 0
177
  fi
178

179
  IFS=',' read -r _name state ip snaps <<<"$row"
180

181
  state="$(sanitize_csv_field "${state:-}")"
182
  ip="$(sanitize_csv_field "${ip:-}")"
183
  snaps="$(sanitize_csv_field "${snaps:-}")"
184

185
  [[ -z "$ip" ]] && ip="-"
186
  [[ -z "$snaps" ]] && snaps="0"
187

188
  printf '%s\t%s\t%s\n' "$state" "$ip" "$snaps"
189
}
190

191
render_instance_row() {
192
  local name="$1"
193
  local state="$2"
194

195
  printf '%s\t%s %s\n' \
196
    "$name" \
197
    "$(instance_state_emoji "$state")" \
198
    "$name"
199
}
200

201
build_instance_rows() {
202
  local kind="$1"
203
  local out name state
204

205
  if ! service_running; then
206
    printf '__SERVICE__\t🔴 Incus 服务未运行\n'
207
    return 0
208
  fi
209

210
  out="$(incus list "type=$kind" -c ns -f csv,noheader 2>/dev/null || true)"
211

212
  if [[ -z "${out//[$'\t\r\n ']/}" ]]; then
213
    printf '__EMPTY__\t📭 当前没有%s\n' "$(kind_cn "$kind")"
214
    return 0
215
  fi
216

217
  while IFS=',' read -r name state; do
218
    [[ -z "${name:-}" ]] && continue
219

220
    name="$(sanitize_csv_field "$name")"
221
    state="$(sanitize_csv_field "${state:-}")"
222

223
    render_instance_row "$name" "$state"
224
  done <<<"$out"
225
}
226

227
toggle_service() {
228
  if service_running; then
229
    confirm "停止 Incus 相关服务？" || return 0
230
    sudo systemctl stop "$SERVICE_SOCKET" "$SERVICE_UNIT"
231
  else
232
    confirm "启动 Incus 相关服务？" || return 0
233
    sudo systemctl start --now "$SERVICE_SOCKET" "$SERVICE_UNIT"
234
  fi
235
}
236

237
toggle_instance() {
238
  local kind="$1"
239
  local name="$2"
240
  local state ip snaps
241

242
  IFS=$'\t' read -r state ip snaps < <(instance_meta "$kind" "$name")
243

244
  if [[ "$state" == "RUNNING" ]]; then
245
    incus stop "$name"
246
  else
247
    incus start "$name"
248
  fi
249
}
250

251
launch_vm_vga() {
252
  local name="$1"
253

254
  if ! command -v remote-viewer >/dev/null 2>&1 && ! command -v spicy >/dev/null 2>&1; then
255
    pause_msg "未检测到 SPICE 客户端（remote-viewer 或 spicy），无法打开 VGA 控制台。"
256
    return 0
257
  fi
258

259
  if command -v setsid >/dev/null 2>&1; then
260
    setsid -f sh -c '
261
      exec incus console "$1" --type=vga >/dev/null 2>&1 </dev/null
262
    ' sh "$name" || true
263
  else
264
    nohup sh -c '
265
      exec incus console "$1" --type=vga >/dev/null 2>&1 </dev/null
266
    ' sh "$name" >/dev/null 2>&1 &
267
    disown 2>/dev/null || true
268
  fi
269
}
270

271
enter_container_shell() {
272
  local name="$1"
273

274
  clear
275
  incus exec "$name" -- sh -lc '
276
    if command -v bash >/dev/null 2>&1; then
277
      exec bash -l
278
    elif command -v ash >/dev/null 2>&1; then
279
      exec ash
280
    else
281
      exec sh
282
    fi
283
  '
284
}
285

286
snapshot_show_any() {
287
  local inst="$1"
288
  local snap="$2"
289
  incus snapshot show "$inst" "$snap" 2>/dev/null ||
290
    incus snapshot show "$inst/$snap" 2>/dev/null ||
291
    true
292
}
293

294
snapshot_delete_any() {
295
  local inst="$1"
296
  local snap="$2"
297
  incus snapshot delete "$inst" "$snap" 2>/dev/null ||
298
    incus snapshot delete "$inst/$snap" 2>/dev/null ||
299
    true
300
}
301

302
build_snapshot_rows() {
303
  local inst="$1"
304
  local out snap taken expires stateful mode
305

306
  printf '__CREATE__\t🆕 新建快照（时间戳）\n'
307

308
  out="$(incus snapshot list "$inst" -c nTEs -f csv,noheader 2>/dev/null || true)"
309

310
  while IFS=',' read -r snap taken expires stateful; do
311
    [[ -z "${snap:-}" ]] && continue
312

313
    snap="$(sanitize_csv_field "${snap:-}")"
314
    taken="$(sanitize_csv_field "${taken:-}")"
315
    expires="$(sanitize_csv_field "${expires:-}")"
316
    stateful="$(sanitize_csv_field "${stateful:-}")"
317

318
    [[ -z "$expires" ]] && expires="-"
319

320
    mode="disk-only"
321
    case "$stateful" in
322
    true | TRUE | yes | YES) mode="stateful" ;;
323
    esac
324

325
    printf '%s\t📸 %s\t%s\t%s\t%s\n' \
326
      "$snap" "$snap" "$taken" "$expires" "$mode"
327
  done <<<"$out"
328
}
329

330
preview_main() {
331
  local vm_total vm_running ct_total ct_running
332

333
  printf '%bIncus 总览%b\n' "$BOLD" "$RESET"
334
  printf '%s\n\n' '=============================='
335

336
  if service_running; then
337
    printf '服务状态 : %b运行中%b\n' "$GREEN" "$RESET"
338
  else
339
    printf '服务状态 : %b未启动%b\n' "$RED" "$RESET"
340
  fi
341

342
  IFS=$'\t' read -r vm_total vm_running < <(count_kind "virtual-machine")
343
  IFS=$'\t' read -r ct_total ct_running < <(count_kind "container")
344

345
  printf '虚拟机   : %s / %s 运行中\n' "$vm_running" "$vm_total"
346
  printf '容器     : %s / %s 运行中\n' "$ct_running" "$ct_total"
347

348
  printf '\n%b说明%b\n' "$BOLD" "$RESET"
349
  printf '• 左侧列表只显示状态与名称\n'
350
  printf '• 详细信息请看右侧预览\n'
351
  printf '• VGA 控制台会后台打开，不阻塞当前 TUI\n'
352
  printf '• 容器连接会进入交互式 shell\n'
353
}
354

355
preview_instance() {
356
  local kind="$1"
357
  local name="$2"
358
  local state ip snaps
359

360
  if [[ "$name" == "__EMPTY__" ]]; then
361
    printf '%b%s%b\n' "$BOLD" "列表为空" "$RESET"
362
    printf '%s\n\n' '=============================='
363
    printf '当前没有%s。\n' "$(kind_cn "$kind")"
364
    printf '你仍然可以按 Esc 返回上一级。\n'
365
    return 0
366
  fi
367

368
  if [[ "$name" == "__SERVICE__" ]]; then
369
    printf '%b%s%b\n' "$BOLD" "服务未运行" "$RESET"
370
    printf '%s\n\n' '=============================='
371
    printf 'Incus 服务当前未启动。\n'
372
    printf '请先回到主页启动相关服务。\n'
373
    return 0
374
  fi
375

376
  IFS=$'\t' read -r state ip snaps < <(instance_meta "$kind" "$name")
377

378
  printf '%b实例概览%b\n' "$BOLD" "$RESET"
379
  printf '%s\n\n' '=============================='
380
  printf '名称     : %s\n' "$name"
381
  printf '类型     : %s\n' "$(kind_cn "$kind")"
382
  printf '状态     : %s\n' "$state"
383
  printf 'IPv4     : %s\n' "$ip"
384
  printf '快照数   : %s\n' "$snaps"
385

386
  printf '\n%b详细信息%b\n' "$BOLD" "$RESET"
387
  printf '%s\n' '------------------------------'
388
  incus info "$name" 2>/dev/null | sed -n '1,40p' || true
389
}
390

391
preview_snapshot() {
392
  local inst="$1"
393
  local snap="$2"
394

395
  printf '%b快照概览%b\n' "$BOLD" "$RESET"
396
  printf '%s\n\n' '=============================='
397
  printf '实例     : %s\n' "$inst"
398
  printf '快照     : %s\n\n' "$snap"
399
  snapshot_show_any "$inst" "$snap"
400
}
401

402
main_menu() {
403
  while true; do
404
    local header selected opts=()
405

406
    header="$(printf '%b%s%b\n%s' \
407
      "$BOLD" "Incus 面板" "$RESET" \
408
      "$(main_statusline)")"
409

410
    opts=(
411
      "${fzf_base[@]}"
412
      --delimiter=$'\t'
413
      --with-nth=2
414
      --prompt='主页 > '
415
      --header="$header"
416
      --preview="$SCRIPT_SELF __preview_main"
417
      --preview-window='right:56%:wrap:noinfo'
418
    )
419
    ((fzf_has_footer)) && opts+=(--footer='Enter 选择  ·  Esc 退出')
420

421
    if ! selected="$(
422
      {
423
        render_main_row "svc" "$(service_emoji)" "$(service_action_text)"
424
        render_main_row "vms" "🖥️" "虚拟机列表"
425
        render_main_row "cts" "📦" "容器列表"
426
        render_main_row "ext" "🚪" "退出"
427
      } | fzf "${opts[@]}"
428
    )"; then
429
      break
430
    fi
431

432
    case "${selected%%$'\t'*}" in
433
    svc) toggle_service ;;
434
    vms) instance_list_menu "virtual-machine" ;;
435
    cts) instance_list_menu "container" ;;
436
    ext) break ;;
437
    esac
438
  done
439
}
440

441
instance_list_menu() {
442
  local kind="$1"
443
  local rows selected name header total running opts=()
444

445
  while true; do
446
    rows="$(build_instance_rows "$kind")"
447
    IFS=$'\t' read -r total running < <(count_kind "$kind")
448

449
    header="$(printf '%b%s列表%b\n总数: %s    运行中: %s' \
450
      "$BOLD" "$(kind_cn "$kind")" "$RESET" \
451
      "$total" "$running")"
452

453
    opts=(
454
      "${fzf_base[@]}"
455
      --delimiter=$'\t'
456
      --with-nth=2
457
      --prompt="$(kind_cn "$kind") > "
458
      --header="$header"
459
      --preview="\"$SCRIPT_SELF\" __preview_instance '$kind' {1}"
460
      --preview-window='right:56%:wrap:noinfo'
461
    )
462
    ((fzf_has_footer)) && opts+=(--footer='Enter 实例菜单  ·  Esc 返回')
463

464
    if ! selected="$(
465
      printf '%s\n' "$rows" | fzf "${opts[@]}"
466
    )"; then
467
      return 0
468
    fi
469

470
    name="${selected%%$'\t'*}"
471

472
    case "$name" in
473
    __EMPTY__ | __SERVICE__)
474
      continue
475
      ;;
476
    *)
477
      instance_menu "$kind" "$name"
478
      ;;
479
    esac
480
  done
481
}
482

483
instance_menu() {
484
  local kind="$1"
485
  local name="$2"
486

487
  while true; do
488
    local state ip snaps header selected toggle_key connect_key opts=()
489

490
    IFS=$'\t' read -r state ip snaps < <(instance_meta "$kind" "$name")
491

492
    if [[ "$state" == "RUNNING" ]]; then
493
      toggle_key="stop"
494
    else
495
      toggle_key="start"
496
    fi
497

498
    if [[ "$kind" == "virtual-machine" ]]; then
499
      connect_key="vga"
500
    else
501
      connect_key="shell"
502
    fi
503

504
    header="$(printf '%b%s%b\n状态: %s    IP: %s    快照: %s' \
505
      "$BOLD" "$name" "$RESET" "$state" "$ip" "$snaps")"
506

507
    opts=(
508
      "${fzf_base[@]}"
509
      --delimiter=$'\t'
510
      --with-nth=2
511
      --prompt="${name} > "
512
      --header="$header"
513
      --preview="\"$SCRIPT_SELF\" __preview_instance '$kind' '$name'"
514
      --preview-window='right:56%:wrap:noinfo'
515
    )
516
    ((fzf_has_footer)) && opts+=(--footer='Enter 执行  ·  Esc 返回')
517

518
    if ! selected="$(
519
      {
520
        if [[ "$toggle_key" == "stop" ]]; then
521
          render_action_row "stop" "⏹️" "停止实例"
522
        else
523
          render_action_row "start" "▶️" "启动实例"
524
        fi
525

526
        if [[ "$connect_key" == "vga" ]]; then
527
          render_action_row "vga" "🖥️" "后台打开 VGA 控制台"
528
        else
529
          render_action_row "shell" "⌨️" "进入容器 Shell"
530
        fi
531

532
        render_action_row "snap" "📸" "快照管理"
533
        render_action_row "back" "⬅️" "返回"
534
      } | fzf "${opts[@]}"
535
    )"; then
536
      return 0
537
    fi
538

539
    case "${selected%%$'\t'*}" in
540
    start | stop)
541
      toggle_instance "$kind" "$name"
542
      ;;
543
    vga)
544
      launch_vm_vga "$name"
545
      ;;
546
    shell)
547
      enter_container_shell "$name"
548
      ;;
549
    snap)
550
      snapshot_menu "$name"
551
      ;;
552
    back)
553
      return 0
554
      ;;
555
    esac
556
  done
557
}
558

559
snapshot_menu() {
560
  local inst="$1"
561

562
  while true; do
563
    local rows selected snap header opts=()
564

565
    rows="$(build_snapshot_rows "$inst")"
566

567
    header="$(printf '%b快照管理%b\n实例: %s' \
568
      "$BOLD" "$RESET" "$inst")"
569

570
    opts=(
571
      "${fzf_base[@]}"
572
      --delimiter=$'\t'
573
      --with-nth=2,3,4,5
574
      --prompt="快照 > "
575
      --header="$header"
576
      --preview="if [ {1} = __CREATE__ ]; then printf '将使用时间戳创建新快照\n'; else \"$SCRIPT_SELF\" __preview_snapshot '$inst' {1}; fi"
577
      --preview-window='right:56%:wrap:noinfo'
578
    )
579
    ((fzf_has_footer)) && opts+=(--footer='Enter 选择  ·  Esc 返回')
580

581
    if ! selected="$(
582
      printf '%s\n' "$rows" | fzf "${opts[@]}"
583
    )"; then
584
      return 0
585
    fi
586

587
    snap="${selected%%$'\t'*}"
588

589
    if [[ "$snap" == "__CREATE__" ]]; then
590
      incus snapshot create "$inst" "snap-$(date +%Y%m%d-%H%M%S)"
591
      continue
592
    fi
593

594
    snapshot_action_menu "$inst" "$snap"
595
  done
596
}
597

598
snapshot_action_menu() {
599
  local inst="$1"
600
  local snap="$2"
601

602
  while true; do
603
    local header selected opts=()
604

605
    header="$(printf '%b%s/%s%b\n选择快照操作' \
606
      "$BOLD" "$inst" "$snap" "$RESET")"
607

608
    opts=(
609
      "${fzf_base[@]}"
610
      --delimiter=$'\t'
611
      --with-nth=2
612
      --prompt="快照操作 > "
613
      --header="$header"
614
      --preview="\"$SCRIPT_SELF\" __preview_snapshot '$inst' '$snap'"
615
      --preview-window='right:56%:wrap:noinfo'
616
    )
617
    ((fzf_has_footer)) && opts+=(--footer='Enter 执行  ·  Esc 返回')
618

619
    if ! selected="$(
620
      {
621
        render_action_row "restore" "⏪" "恢复快照"
622
        render_action_row "diskonly" "💽" "仅恢复磁盘"
623
        render_action_row "rename" "✏️" "重命名快照"
624
        render_action_row "delete" "🗑️" "删除快照"
625
        render_action_row "back" "⬅️" "返回"
626
      } | fzf "${opts[@]}"
627
    )"; then
628
      return 0
629
    fi
630

631
    case "${selected%%$'\t'*}" in
632
    restore)
633
      confirm "恢复 ${inst}/${snap}？" || continue
634
      incus snapshot restore "$inst" "$snap"
635
      ;;
636
    diskonly)
637
      confirm "仅恢复 ${inst}/${snap} 的磁盘状态？" || continue
638
      incus snapshot restore "$inst" "$snap" --diskonly
639
      ;;
640
    rename)
641
      printf '新快照名: '
642
      read -r newname
643
      [[ -n "${newname:-}" ]] || continue
644
      incus snapshot rename "$inst" "$snap" "$newname"
645
      snap="$newname"
646
      ;;
647
    delete)
648
      confirm "删除 ${inst}/${snap}？" || continue
649
      snapshot_delete_any "$inst" "$snap"
650
      return 0
651
      ;;
652
    back)
653
      return 0
654
      ;;
655
    esac
656
  done
657
}
658

659
case "${1:-}" in
660
__preview_main)
661
  preview_main
662
  exit 0
663
  ;;
664
__preview_instance)
665
  preview_instance "$2" "$3"
666
  exit 0
667
  ;;
668
__preview_snapshot)
669
  preview_snapshot "$2" "$3"
670
  exit 0
671
  ;;
672
esac
673

674
main_menu

展开收起

Fedora 43物理机部署复盘

Fri, 03 Apr 2026 00:00:00 GMT

一直很希望尝试一下平铺式桌面，在虚拟机中跟着up主Reaper_6的视频Fedora 颜值拉满：Niri+ Dank Material Shell 一步到位体验了一下，感觉窗口管理确实要比堆叠桌面高效得多了。终究还是不满足于仅在VM中使用，最终决定把个人的主力环境部署成这个组合。中间遇到了很多坑，也借助LLM解决了不少的问题，这里做一个大概完成后的复盘。由于整个过程较为分散，跌跌撞撞，基本没有留下太多截图，总体通过个人印象与bash命令历史等来记录一下过程中的问题与大概的解决方案，已经尽量详实。

环境#

笔记本：联想小新Pro 14 2023款

CPU: AMD锐龙7 7840HS（核显）
内存: 32GB
系统：Win11(为运行wsl已开启Hyper-V虚拟化)

Fedora 43系统安装#

关闭硬盘的BitLocker加密保护

由于之前是Windows11系统，默认情况下硬盘应该已经被BitLocker加密初始化了，要安装双系统，应该先将硬盘内容解密，以免出现相关问题

由于我只有一个1T的硬盘，全部分给了Windows的C盘，所以可以使用下面的命令查看BitLocker状态，可以看到硬盘是已经被BitLocker加密了的

Terminal window展开收起

1
> manage-bde -status C:
2
BitLocker 驱动器加密: 配置工具版本 10.0.26100
3
 版权所有 (C) 2013 Microsoft Corporation。保留所有权利。
4

5
 卷 C: [Windows]
6
 [OS 卷]
7

8
 大小: 951.64 GB
9
 BitLocker 版本: 2.0
10
 转换状态: 仅加密了已用空间
11
 已加密百分比: 100.0%
12
 加密方法: XTS-AES 128
13
 保护状态: 保护关闭
14
 锁定状态: 已解锁
15
 标识字段: 未知
16
 密钥保护器: 找不到

展开收起

如果有恢复密钥，建议先把恢复密钥备份好（作用是在主板/TPM/BIOS变更、启动异常、Windows系统损坏、启动项更改等应急情况下解密硬盘数据）
使用下面的命令彻底解密C盘
Terminal window
```
1
manage-bde -off C:
```

上面的解密命令是一个异步命令，执行完之后需要使用下面的命令查看当前解密进度，直到提示已完全解密为止

Terminal window展开收起

1
> manage-bde -status C:
2
BitLocker 驱动器加密: 配置工具版本 10.0.26100
3
 版权所有 (C) 2013 Microsoft Corporation。保留所有权利。
4

5
 卷 C: [Windows]
6
 [OS 卷]
7

8
 大小: 951.64 GB
9
 BitLocker 版本: 无
10
 转换状态: 完全解密
11
 已加密百分比: 0.0%
12
 加密方法: 无
13
 保护状态: 保护关闭
14
 锁定状态: 已解锁
15
 标识字段: 无
16
 密钥保护器: 找不到

展开收起

关闭Windows快速启动
- 控制面板 → 电源选项 → 选择电源按钮的功能 → 更改当前不可用的设置 → 取消勾选“启用快速启动”
- 随后重启一次
为Fedora分配安装空间
- 磁盘管理 → 右键Windows(C:) → 压缩卷 → 输入想要的容量 →确认
- 注意上述操作完成后应该多了一块未分配空间，不要执行任何操作（新建卷、格式化、分配盘符等）
制作Fedora 43启动U盘

制作启动盘会清空U盘数据，建议使用空U盘或提前备份数据
- Fedora Media Writer，易用性很高且是官方推荐的启动盘制作工具
- 因为我想要比较定制化、节省空间的安装，所以我选择的是Fedora Everything 43 Network Install这个镜像，可以在安装时选择要安装哪些软件包
- 选择iso镜像（这里也提供选从网络下载的选项） → 选择U盘 → 刻录
- 刻录完之后建议就弹出U盘，因为在某些情况下Windows可能会写入额外的元数据，导致后续在引导过程中的Test this media在4.8%进度时误报FAIL（参考）
使用启动U盘安装Fedora 43
- 重启后按Fn+F12进入临时启动设备选择，选择Test this media & Install Fedora 43
- 检查通过后就会进入Fedora的安装界面
- 最小化安装：Base Environment选择Fedora Custom Operating System，Additional software全不选
- 这里最可能有问题的是INSTALLATION DESTINATION这里，由于我们按是双系统来安装的，所以需要挂载Windows的EFI分区，为保险起见我没有选择Automatic，选择Custom进行手动分区
  - 在我的场景中显示的未知分区有
    - nvme0n1p1 260 MiB：Windows的EFI分区
    - nvme0n1p2 16 MiB：Windows的保留分区
    - nvme0n1p3 651.64 GiB ntfs：Windows的C盘
    - nvme0n1p4 1.95 GiB ntfs：Windows恢复分区
    - sda 115.59 GiB iso9660：当前使用的启动U盘
  - 选中nvme0n1p1（EFI分区）
    - Mount Point：/boot/efi
    - Desired Capacity、Device Type、File System不动，Reformat、Encrypt不勾选
    - Update Settings
  - 新建/boot
    - 左下角+
      - Mount Point：/boot
      - Desired Capacity：1 GiB或1024 MiB
      - 确认创建
    - 随后左边会多出一个新选项，选中它后在右边确认
      - Mount Point：/boot
      - Device Type：Standard Partition
      - File System：改成ext4
      - Reformat：可以勾选，这个新分区可以保持格式化
      - Encrypt：不要勾
      - Label：任意，如fedora-boot
  - 新建根分区/
    - 左下角+
      - Mount Point：/boot
      - Desired Capacity：留空（会分配剩余可用空间）
      - 确认创建
    - 选中新建的根分区，在右边确认
      - Mount Point：/
      - Device Type：如果它显示成 Btrfs 相关类型，就保持
      - File System：建议保持 btrfs
      - Encrypt：不勾选
      - Reformat：可以勾选
      - Volume：保持默认fedora_fedora
        
        整个Btrfs卷/池的名字
      - Label：可以留空
      - Name：root
        
        这里设置的是挂载在Btrfs里的子卷名
      - Update Settings
安装完成后重启会自动进入GRUB引导，选择启动的系统（Fedora/Windows）

环境配置#

由于我是最小化安装，不带有桌面环境，进入后为命令行界面

一条命令安装DankLinux（太方便啦！）
Terminal window
```
1
curl -fsSL https://install.danklinux.com | sh
```
- 选择窗口管理器（推荐niri）和终端（我选的ghostty）
- 安装过程中需要提供用户密码
- 安装脚本运行完毕后安装DankLinux专属登录界面
  Terminal window
```
1
sudo dnf copr enable avengemedia/danklinux
2
sudo dnf install dms-greeter
```
- 重启即可进入niri桌面环境
- System Check中出现缺少的包自行安装补齐即可

Android on Linux?Waydroid!#

既然已经使用Linux系统了，Android其实也是一个定制化的Linux衍生系统，那么理论上来讲在Linux中运行Android应该比Windows更加原生和高效，通过询问LLM，我了解到Waydroid这个方案，应该是Linux中无感运行Android软件的最终解决方案

Waydroid：一种基于容器的启动完整Android系统的方法，在运行Wayland桌面环境的常规GNU/Linux系统上
Waydroid安装
- 具体应参考官方安装文档，对于Fedora系统可以直接从官方软件包仓库进行安装
  Terminal window
```
1
sudo dnf install waydroid
```
- 初始化——下载安装lineage系统（参考）
  - 在国内网络环境下不建议直接运行Waydroid的可视化界面进行初始化，网络原因可能导致镜像下载失败
  - 选择手动下载lineage的system和vendor镜像（在官方的SourceForge页面下载），注意一定要选择与本机架构相同的镜像版本（例如本机为x86_64），本人选择的镜像文件分别为
    - lineage-20.0-20260312-MAINLINE-waydroid_x86_64-vendor.zip
    - lineage-20.0-20260312-VANILLA-waydroid_x86_64-system.zip
  - 解压上述镜像文件后应该为一个system.img一个vendor.img，两个文件都放到/usr/share/waydroid-extra/images目录下后，执行
    Terminal window
    1 sudo waydroid init -f
    即可初始化成功
  - waydroid服务状态查看/启动/设置自启动（似乎这并不意味着启动Waydroid里的Android系统，但要启动Android系统需要这个服务），建议直接设置自启动
    Terminal window
    1 sudo systemctl status waydroid-container.service 2 sudo systemctl start waydroid-container.service 3 sudo systemctl enable waydroid-container.service
  - 在我们的环境下配置完成后直接在App Launcher启动Waydroid即可进入Android系统！
- 网络问题相关配置
  - 似乎刚进入时网络不通，应该是防火墙设置的问题，我们需要开放UDP的53和67端口、启用转发并添加对waydroid网卡的信任。以防出现问题（参考），我这里修改了Waydroid的网络配置文件/usr/lib/waydroid/data/scripts/waydroid-net.sh，将LXC_USE_NFT设为false，这里的作用是让Waydroid使用iptables而不是nftables
  - 对于Fedora系统使用firewall-cmd进行配置，其他系统请查询对应命令
    Terminal window
    1 firewall-cmd --zone=trusted --add-port=67/udp 2 firewall-cmd --zone=trusted --add-port=53/udp 3 firewall-cmd --zone=trusted --add-forward 4 firewall-cmd --zone=trusted --add-interface=waydroid0 5 # 持久化 6 firewall-cmd --runtime-to-permanent
- 解决arm64 apk安装问题
  - 默认情况下Waydroid只支持本机架构的apk安装，但市面上有很多软件不提供x86架构的安装包，这需要我们为Waydroid安装一个转译层，安装完成后即可无痛安装arm64架构的apk了，这里直接使用社区开发的waydroid_scripts进行一键安装即可
    Terminal window
    1 git clone https://github.com/casualsnek/waydroid_script 2 cd waydroid_script 3 python3 -m venv venv 4 venv/bin/pip install -r requirements.txt 5 # AMD平台下libndk效率较高，Intel平台或许可以尝试libhoudini 6 sudo venv/bin/python3 main.py install libndk
  - waydroid_scripts还提供很多其它功能，如安装google全家桶、microg、magisk面具、隐藏状态栏等，请参考项目README
- 拷贝安装包到Waydroid的Download目录下
  Terminal window
```
1
sudo cp ~/Downloads/xxx.apk ~/.local/share/waydroid/data/media/0/Download
```

虚拟机？脱离VMware生态，拥抱KVM+QEMU#

Linux下的虚拟化，最出名的尤属KVM+QEMU这个原生级方案，通过LLM了解到Incus这个容器/虚拟机管理器，可以通过命令行的形式非常便捷地进行容器与虚拟机管理
安装Incus（可参考官方安装文档）

virt-viewer是一个用于显示虚拟机图形界面的轻量级客户端。通过SPICE或VNC协议连接到由QEMU/KVM启动的虚拟机窗口，后续的incus console命令就是对virt-viewer的调用封装
Terminal window
```
1
sudo dnf install incus virt-viewer
2
newgrp incus-admin
3
sudo usermod -aG incus-admin $USER
4
sudo systemctl start --now incus.socket incus.service
5
incus admin init
```

配置防火墙规则

Terminal window

1
sudo firewall-cmd --zone=trusted --add-interface=incusbr0 --permanent

配置并启动一个带桌面环境的Ubuntu虚拟机

Terminal window

1
# 虚拟机初始化
2
incus init images:ubuntu/24.04/desktop my-ubuntu --vm
3
incus config set my-ubuntu limits.cpu 4
4
incus config set my-ubuntu limits.memory 4GiB
5

6
# 安装音频驱动（如果启动后出现了音频设备报错）
7
sudo dnf install qemu-audio-spice qemu-ui-spice-core
8

9
# 启动虚拟机（start是让虚拟机跑起来，但不会弹出虚拟机的桌面）
10
incus start my-ubuntu
11
# 连接虚拟机桌面（在另一个终端运行）
12
incus console my-ubuntu --type=vga
13
# 关闭虚拟机
14
incus stop my-ubuntu

Windows#

在incus中配置Windows虚拟机比Linux虚拟机略复杂一些，主要原因是Windows不自带KVM的VirtIO驱动，会导致进入安装程序后看不到硬盘，网络可能也会有问题。

（本段内容由AI提供，本人还未实践）这个问题最佳的解决方案应该是使用Distrobuilder重新封装Windows的iso镜像文件，这种方法会自动将VirtIO驱动注入到Windows的安装程序(WinPE)和系统镜像中，进入安装界面后能直接看到incus分配的虚拟硬盘，无需再手动加载驱动。这种方式生成的镜像会预置好incus-agent的基础环境，方便后续通过命令行管理，且在重封装时会针对虚拟化环境做优化。

本人在Gemini的“误导”下使用的是手动加载驱动的方法注入VirtIO驱动。

安装virtio-win

Terminal window

1
sudo wget https://fedorapeople.org/groups/virt/virtio-win/virtio-win.repo -O /etc/yum.repos.d/virtio-win.repo
2
sudo dnf install virtio-win

配置Win11虚拟机

Terminal window展开收起

1
incus init win11 --empty --vm
2
incus config set win11 limits.cpu 4
3
incus config set win11 limits.memory 8GiB
4
incus config device override win11 root size=64GiB
5
incus config set win11 security.secureboot true
6
incus config set win11 security.csm false # 使用UEFI模式启动
7

8
# 解决权限问题？不知道是否必要这样做
9
sudo mkdir -p /var/lib/incus/iso
10
sudo mv ~/Downloads/win11.iso /var/lib/incus/iso/
11
sudo chmod 644 /var/lib/incus/iso/win11.iso
12
sudo chcon -t svirt_home_t /var/lib/incus/iso/win11.iso
13

14
# 添加安装介质与VirtIO驱动
15
incus config device add win11 install-media disk source=/var/lib/incus/iso/win11.iso boot.priority=10
16
# 其实有一个直接的命令（如下），但使用这条命令我实操的时候没找到对应驱动
17
## incus config device add win11 virtio-drivers disk source=/usr/share/virtio-win/virtio-win.iso
18
incus config set win11 raw.qemu -- "-drive file=/usr/share/virtio-win/virtio-win.iso,index=3,media=cdrom,if=ide"

展开收起

安装Win11虚拟机
- 通过raw.qemu挂载了virtio-win.iso后，在安装界面的“你想将Windows安装在哪里？”窗口（此时是一片空白），需要点击“加载驱动程序”(Load driver)，然后按以下路径寻找：
  - viostor → w11 → amd64
    - 解释：viostor是块设备存储驱动，w11对应Windows 11，amd64是64位架构。
- 随后就可以正常进行Win系统的安装了

在Win11虚拟机中安装VirtIO驱动支持（否则鼠标会被困在里面！）

Terminal window

1
# 先把虚拟机关机
2
incus config unset win11 raw.qemu
3
incus config device remove win11 install-media
4
incus config device add win11 virtio-drivers disk source=/usr/share/virtio-win/virtio-win.iso
5
# 随后开机、连接进入Win后像安装VMware Tool一样安装VirtIO驱动

VMWare 以用户systemd形式自动挂载共享文件夹

Wed, 01 Apr 2026 00:00:00 GMT

VMware 共享文件夹自动挂载指南#

本文由Codex完成，本人仅在Fedora 43系统（niri+dms）上测试成功，其它系统请自行测试

适用场景：

宿主机使用 VMware
已在 VMware 里开启 Shared Folders
希望在图形会话登录后自动挂载

这份方案默认使用“用户级 systemd 服务”来完成自动挂载。

优点：

不需要修改 /etc/fstab
不依赖桌面环境的自动挂载组件
不需要 root 权限
对 Wayland compositor 场景更稳
后续新增共享文件夹后，不需要改服务文件

1. 前提检查#

确认系统已安装 VMware Tools：

Terminal window

1
rpm -q open-vm-tools open-vm-tools-desktop

确认相关命令存在：

Terminal window

1
which vmhgfs-fuse vmware-hgfsclient vmtoolsd

确认 VMware 已经把共享目录暴露给客户机：

Terminal window

1
vmware-hgfsclient

如果这里能列出共享目录名，例如：

1
Share
2
Work

说明 VMware 共享文件夹功能已经正常。

2. 创建用户级 systemd 服务#

创建目录：

Terminal window

1
mkdir -p ~/.config/systemd/user

写入服务文件 ~/.config/systemd/user/vmhgfs-mount.service：

1
[Unit]
2
Description=Mount VMware shared folders in the user session
3
Documentation=https://github.com/vmware/open-vm-tools
4
ConditionVirtualization=vmware
5
ConditionPathExists=/usr/bin/vmhgfs-fuse
6

7
[Service]
8
Type=simple
9
ExecStartPre=/usr/bin/mkdir -p %h/hgfs
10
ExecStartPre=/usr/bin/bash -lc '/usr/bin/mountpoint -q %h/hgfs && /usr/bin/fusermount3 -u %h/hgfs || true'
11
ExecStart=/usr/bin/bash -lc '/usr/bin/vmhgfs-fuse .host:/ %h/hgfs -f -o uid=$(id -u),gid=$(id -g),auto_unmount'
12
ExecStop=/usr/bin/bash -lc '/usr/bin/mountpoint -q %h/hgfs && /usr/bin/fusermount3 -u %h/hgfs || true'
13
Restart=on-failure
14
RestartSec=2
15

16
[Install]
17
WantedBy=default.target

展开收起

说明：

挂载点固定为 ~/hgfs
.host:/ 表示挂载“所有共享文件夹”的根
这不是硬编码某一个共享目录
uid=$(id -u) 和 gid=$(id -g) 会在服务启动时读取当前用户的实际编号
因此不需要假设当前用户一定是 1000:1000
后续你在 VMware 里新增共享目录后，重新登录或重启后会自动出现在 ~/hgfs/ 下

3. 启用服务#

Terminal window

1
systemctl --user daemon-reload
2
systemctl --user enable --now vmhgfs-mount.service

检查状态：

Terminal window

1
systemctl --user status --no-pager vmhgfs-mount.service

--no-pager 的作用是禁止 systemctl 调用分页器（例如 less），让结果直接一次性输出完，适合脚本和非交互环境。

如果你修改过服务文件，记得重新加载：

Terminal window

1
systemctl --user daemon-reload
2
systemctl --user restart vmhgfs-mount.service

4. 验证挂载结果#

查看挂载状态：

Terminal window

1
findmnt ~/hgfs

查看共享目录：

Terminal window

1
ls -la ~/hgfs

正常情况下会看到类似：

1
~/hgfs/Share
2
~/hgfs/Work

5. 后续维护#

如果你在 VMware 里新增了共享目录：

通常重新登录图形会话即可生效
或者手动刷新服务

Terminal window

1
systemctl --user restart vmhgfs-mount.service

如果你删除了某个共享目录：

重新登录或重启服务后，对应目录会从 ~/hgfs 下消失

6. 卸载或回滚#

停止并禁用服务：

Terminal window

1
systemctl --user disable --now vmhgfs-mount.service

删除服务文件：

Terminal window

1
rm -f ~/.config/systemd/user/vmhgfs-mount.service
2
systemctl --user daemon-reload

如果还需要移除挂载点目录：

Terminal window

1
rmdir ~/hgfs

7. 设计说明#

这份配置选择的是“登录后自动挂载”，不是“系统开机但用户未登录时就挂载”。

这样做的原因：

vmhgfs-fuse 本身非常适合在用户会话里运行
不需要 root 配置
对 niri + dms 这类轻量会话环境更直接
挂载目录在用户家目录下，权限模型更简单
服务启动时动态读取当前用户的 UID/GID，适合跨机器复用

如果你需要的是系统级挂载，例如固定挂到 /mnt/hgfs，可以另做一个 root 级的 systemd mount/service 方案，但那是另一套配置。

网安四大顶会中的LLM/Agent相关文章调研

Wed, 14 Jan 2026 00:00:00 GMT

引言#

近年来，大型语言模型（LLM）在网络安全领域的研究和应用突飞猛进。安全领域四大顶会（IEEE Symposium on Security and Privacy、USENIX Security Symposium、ACM Conference on Computer and Communications Security和 Network and Distributed System Security Symposium）陆续出现了大量关于 LLM 的论文，这些工作涵盖了安全工具、攻防研究、误用检测、评测基准以及系统级隐私等多个方向。通过访问公开的论文页面和相关会议资源，我们对2023‑2026年间四大顶会上与LLM/Agent相关的研究进行梳理与分类。

主要研究类别#

1-基于 LLM 的安全任务及智能体应用#

这一类别关注利用 LLM 的理解、推理和生成能力来自动化传统安全任务或构建智能体工作流，是当前最活跃的研究方向。典型成果包括：

自动化渗透测试与漏洞挖掘: PentestGPT 和 PentestAgent 提出基于 LLM 的端到端渗透测试框架，通过自定义模块结合外部工具完成信息收集、漏洞分析与利用等任务，显著提升测试覆盖率(paper)。USENIX 2025 的 APPATCH 利用适应性提示调度实现自动补丁生成，自动修复 97 个零日漏洞(paper)。NDSS 2024 的 ChatAFL 将 LLM 用于从协议文档中提取语法和状态信息，提升模糊测试对协议状态的覆盖率(paper)。
代码分析与漏洞修复: NDSS 2025 的 From Large to Mammoth 比较多种 LLM 在 Java/C/C++ 漏洞检测中的性能，指出上下文窗口大小对检测能力的重要性(paper)。USENIX 2025 的 Depth Gives a False Sense of Privacy 将内部状态反演看作翻译任务，证明较长提示也可以被准确恢复(paper)。USENIX 2024 的用户研究发现，利用 LLM 代码助手的初学者产生关键安全缺陷的概率仅略高于未使用者(paper)。
符号执行与模糊测试增强: IEEE S&P 2026 的 Agentic Concolic Execution 和 deepSURF 等工作通过将 LLM 作为推理引擎协助符号执行或 fuzzer，发现 Rust 等语言中的内存漏洞。
安全运营与多智能体协作: S&P 2026 的 LLMs in the SOC 研究了人机协作在安全运营中心中的应用，分析了 LLM 作为辅助决策工具的优势。CCS 2025 的 AgentSentinel 构建实时安全防御框架，使用多智能体合作保护计算机端活动。

上述工作表明，研究者正将 LLM 与现有安全工具（扫描器、调试器、求解器等）结合，形成能够分解任务、动态规划和上下文维护的“链式工作流”。这种多智能体协作不仅提高了任务自动化程度，还为复杂场景引入了人机协同机制。

2-LLM 攻击与防御研究#

随着 LLM 服务走向公众，针对模型本身的安全研究迅速增多，主要集中在越狱（jailbreak）、提示注入、隐私攻击和对抗样本等方面：

越狱攻击与防护: USENIX 2024 的 LLM‑Fuzzer 自动生成越狱提示并大规模评估安全模型，发现经过安全调优的 LLM 仍易受攻击(paper)。NDSS 2026 的 Odysseus 通过将恶意查询和响应藏在图像中实现跨模态越狱，成功率高达 99%(paper)。USENIX 2025 的 JBShield 在隐藏表示中建模 toxic 与 jailbreak 概念，用于检测和修改模型响应，从而将攻击成功率从 61% 降至 2%(paper)。
提示注入与 prompt 泄露: S&P 2025 的 Fun‑tuning 针对基于微调接口的优化型提示注入攻击，揭示专有模型的脆弱性。NDSS 2025 的 IsolateGPT 通过执行隔离架构保护用户应用程序免受外部 prompt 注入，实现 30% 以内的额外开销(paper)。USENIX 2025 的 Machine Against the RAG 则展示如何在检索增强生成系统中通过插入恶意“阻塞文档”导致拒答(paper)。
隐私攻击与防御: USENIX 2025 的 Mind the Inconspicuous 发现通过连续插入多个结束标记可以使输入更靠近模型的拒绝边界，提高越狱成功率(paper)。NDSS 2026 的 Shadow in the Cache 揭示 KV‑cache 中存在反演、碰撞和注入攻击风险，并提出 KV‑Cloak 进行防护(paper)。S&P 2026 的 MetaBreak 利用特殊令牌操纵在云端服务中绕过安全策略。
安全对齐和水印: NDSS 2026 的 Safety Misalignment Against LLMs 评估了系统提示修改、微调和模型编辑的安全失对齐攻击，并提出自监督表示攻击与防御策略(paper)。NDSS 2026 的 Character‑Level Perturbations Disrupt LLM Watermarks 证明简单字符扰动即可破坏水印，并利用遗传算法在黑盒设置下优化攻击(paper)。

这些工作揭示了现有安全措施的不足，并促进了越狱检测、隐私保护和安全调优等新型防御机制的发展。

3-LLM 在模糊测试、漏洞利用和协议分析中的应用#

LLM 能生成结构化语法或推理内部状态，被广泛应用于自动发现漏洞与生成攻击载荷：

协议模糊测试：NDSS 2024 的 ChatAFL 使用 LLM 从文本规范中提取协议语法和状态信息，大幅提高 AFLNet 对多状态协议的覆盖率(paper)。
增强型模糊框架：USENIX 2024 的 LLM‑Fuzzer 为大规模越狱评估生成多样化的 jailbreak prompt(paper)。IEEE S&P 2025 提出的 Fuzz‑Testing Meets LLM-Based Agents结合图像生成模型进行越狱，也属于此类。
漏洞利用生成与评估：NDSS 2026 的 LLMPirate 利用 LLM 自动生成硬件电路的盗版设计，并能规避现有检测措施(paper)；USENIX 2025 的 Flashboom Attacks 探讨利用 LLM 诱导代码审计工具忽视真正漏洞。

4-LLM 滥用与内容检测#

随着 LLM 成为信息生成工具，利用其生成网络钓鱼、虚假论文等恶意内容的风险增加，相应的检测与治理研究也在兴起：

钓鱼与恶意内容生成：IEEE S&P 2024 的研究表明商用 LLM 可以生成拟真的钓鱼诈骗邮件。CCS 2024 的 On the Detectability of ChatGPT Content 讨论检测 AI 生成文本的挑战。
内容审核与链式思维：IEEE S&P 2024 的 Moderating New Waves of Online Hate 结合链式推理提升 LLM 对仇恨言论的审核效果。CCS 2024 的 Legilimens 从聊天式 LLM 中提取概念特征，建立高效的内容审核框架，在五个 LLM 和九种越狱方法上表现优异(paper)。
机器人协议与治理：CCS 2025 的研究分析了机器人网络爬虫和 LLM 服务在 robots.txt 管理上的混乱，指出大量配置错误和违反现象，呼吁建立可执行的治理机制(paper)。

5-LLM 应用与评测基准#

为了评估 LLM 在安全领域的能力并指导模型改进，相关研究者提出了多个基准测试和经验研究：

CS‑Eval：该基准涵盖 42 类任务，从知识、能力和应用层面全方位评估 LLM 在网络安全方面的表现arxiv.org。
人机协作与反思：NDSS 2026 的 Decompiling the Synergy 通过 153 名从业者调查和实验指出，LLM 可大幅提升初学者的逆向工程速度和质量，但对专家帮助有限且容易导致幻觉(paper)。USENIX 2023 的 Lost at C 发现 AI 代码助手不会显著提升安全错误率(paper)。
测评与对齐缺陷：NDSS 2026 的 SoK Chasing Shadows 总结了 LLM 安全研究中的九大缺陷，指出 72 篇论文均存在至少一个问题，并提出未来研究指南(paper)。

6-系统级隐私与安全漏洞#

研究者还发现 LLM 服务和框架在系统层面存在新的攻击面和隐私泄露风险：

缓存与推理框架漏洞：NDSS 2026 的 Cache Me, Catch You 调查 KV 缓存、多模态缓存和语义缓存的安全漏洞，发现攻击者可操控输出或投毒，并已为 vLLM、SGLang、GPTCache 等框架修复漏洞(paper)。进一步，Shadow in the Cache 提出的 KV‑Cloak 在不显著影响准确率的情况下保护 KV 缓存(paper)。
RAG 知识库攻击：USENIX 2025 的 PoisonedRAG 在检索增强生成系统的知识库中注入少量恶意文本便能诱导 LLM 产生特定答案，成功率高达 90%，现有防御难以应对(paper)。这一发现促使研究人员提出更完善的过滤与监控策略。
多模态安全：NDSS 2026 的 Q‑MLLM 使用向量量化阻断像素‑补丁和语义级对抗攻击，在防御成功率和计算开销之间取得良好平衡(paper)。

7-其他#

恶意服务与地下经济：USENIX 2024 的 Malla 调查 212 个地下“恶意服务”（Mallas），发现它们滥用未过滤的大模型，并通过 jailbreak 技术提供生成虚假证件、恶意代码等服务(paper)。该研究呼吁对 LLM 服务实行更严格的监督与取证。
硬件设计盗版与攻击：NDSS 2026 的 LLMPirate 表明 LLM 可生成盗版硬件设计并规避检测(paper)；S&P 2025 的 Prompt Inversion Attack 展示在协同推理环境中可恢复输入提示(paper)。
隐私保护与对齐研究：S&P 2025 的 Alleviating the Fear of Losing Alignment 探讨微调过程中保持安全对齐的方法；S&P 2025 的研究分析中国用户对医疗咨询 LLM 的隐私预期。

总结#

整体来看，安全四大顶会中关于 LLM 的研究呈现出以下趋势：

应用从单点调用走向多智能体工作流：研究者不仅利用 LLM 回答安全问题，更通过定义角色明确的 Agent 协同完成漏洞挖掘、渗透测试、代码修复等复杂任务。RAG 等技术被广泛用于弥补模型知识时效性(paper)。
攻防并重，模型安全成为焦点：越狱、提示注入、隐私窃取等攻击层出不穷，催生了 JBShield、KV‑Cloak、SelfDefend 等防御方案；同时也暴露了安全对齐不牢和水印脆弱等问题(paper)。
误用检测与规范治理亟需发展：钓鱼邮件、仇恨言论、虚假内容检测及 robots.txt 管理凸显 LLM 被恶意滥用的风险，引发了对内容审核和治理政策的讨论(paper)。
系统层面的安全隐患受关注：从 KV‑cache 到 RAG 知识库，研究表明 LLM 服务链条中存在新的攻击面，需要从系统架构、模型推理和外部数据源等方面设计全面的安全措施(paper)。
评测基准与经验研究不断完善：CS‑Eval 等基准帮助系统评估模型安全能力，SoK 工作揭示了现有研究的不足，强调方法论严谨性和 reproducibility(paper)。

未来，随着大模型在更多安全场景落地，如何在保障隐私和对齐的前提下构建可解释、高效且可靠的智能安全系统，将是研究的核心挑战。