完全在互联网上实现隐身的代价是巨大的，这意味着你要放弃很多东西，不过这一点不会是我在抵抗系列中会涉及的议题。

但如果你受不了你的电子邮箱被无尽的广告邮件和推销邮件所塞满，我们是否可以想办法减少一些打扰？

## 合适的邮件服务商

我明白这世界上就是有很多 Gmail 的铁粉，但是就算是这些人，只要还在大陆也不得不面对 Gmail 的访问问题，我并不相信他们声称的 100% Fully Time 互联世界，虽然晚收几分钟邮件或许也并不会有什么问题罢了。

Outlook 是我觉得在客观情况下，对更多人来说更 OK 的邮件服务，如果你有一个 outlook.com 的全拼邮箱，那简直最好不过了，这会让你在正式场合告知别人你的邮件地址时变得十分快捷。

另外一个我觉得还不错的选择是 Zoho.com, 在 Web 界面方面可能甩开了 Outlook 几条街。

## 为邮箱加一个马甲

现实的情况是，你的邮箱一定还会用来注册一些网站的帐号。

这件事情很头疼，临时邮箱看似是个好主意，但是有些临时起意注册的东西会在若干年后发现需要用到，而互联网的服务远远没有想象中的那么稳定，使用临时邮箱可能会令自己未来遇到一些小麻烦，尽管大部分小麻烦总能解决，可麻烦终归还是麻烦。

选择大厂的服务可能能够获取更稳定的服务，比如 Firefox Relay，然而即便是大厂提供的邮件马甲，似乎服务的关停也不会是不可能的事情。

为了抵抗这种不确定性，能够支持绑定自有域名的邮件马甲服务是非常重要的，这样一来，即便服务商因为各种原因中断了运营，我们也能轻易的将域名迁移到其他的邮件马甲服务上面。

Anonaddy.com 是我目前在用的服务，一年 12 美元，在将自己的域名配置好相关的 DNS 解析与设置后，可以对外暴露多个 custom@yourdomain.com，并将他们关联到指定的真实邮箱地址，如此一来，发往 custom@yourdomain.com 的邮件将自动按照预设的行为转发到真实的邮箱地址。

此外，Anonaddy.com 还允许你设置一个默认的转发规则，用于处理非预期的转发。比如，你并没有在 Anonaddy.com 创建一个名为 docker@yourdomain.com 的马甲，但是当你向 docker@yourdomain.com 发信时，Anonaddy.com 能够自动的将该邮件转发到默认的电子邮件上面。

至于要如何使用 Anonaddy.com 来减少垃圾邮件？ Anonaddy.com 为所有的转发规则添加了一个开关按钮，你可以仅在需要的时候将对应的转发开关打开，当转发规则是禁用的状态时，邮件将不会被转发到你的真实邮箱。

## 安全与效率的平衡

Anonaddy.com 是作者一个人在维护的项目，其代码是开源的，代码仓库托管于 Github, 对于隐私与安全这一方面，作者慷慨的提供了自建 Anonaddy 的方法（https://github.com/anonaddy/anonaddy#self-hosting）。

笔者对于自建 Anonaddy 暂无兴趣，一方面 Anonaddy.com 的价格与最小化自托管 Anonaddy 的成本差距不大，另一方面，自托管 Anonaddy 除了需要考虑服务本身的稳定，网络质量与服务商的稳定性同样是绕不开的问题。

至于隐私问题，十分重要的邮件可以不通过马甲直接发送到真实邮箱地址。毕竟，如果考虑更糟的情况，你的真实邮件服务商的安全与隐私就一定能够得到保障吗？

抵抗系列（1）-减少垃圾邮件

在 Jenkins 使用 distributed builds 时，可能会遇到一些特定的网络环境使得 Jenkins Master 无法通过 SSH Agent 一类的方式实现主动的与 Jenkins Node 建立链接。这时候往往会在 Jenkins Master 上开启一个 TCP Inboud Port， 让 Agent 节点主动连接到 Jenkins Master。这样需要为 Jenkins Master 多开放了一个端口，而如果 Jenkins Master 部署在 Kubernettes 的话，则需要另外引入一个 config-map 来为 Nginx Ingress 增加 TCP 服务暴露。

## 更好的实现

Jenkins 于 2.217 版本的增加了 Websocket 支持。

https://www.jenkins.io/blog/2020/02/02/web-socket/

使用 Websocket，当 Inbound Agent 启动时会与  https://jenkins.yourdomain.com/wsagents/ 建立 Websoket 连接，这是一个双向流式的长连接，它并不需要在 Jenkins Master 上开启更多的端口。

## 启用 Websocket

如果你使用的是 Nginx，请为 PATH: /wsagents/ 打开 websocket 支持，这里不做说明

### 配置 Nginx Ingress

很多资料都提到了 Nginx Ingress 需要添加注解以支持 Websocket，但是下面的 Ingress 示例中并没有添加注解。原因如下：

https://github.com/nginxinc/kubernetes-ingress/issues/322

`
The only reason I can think of where this would be the case, is if you are actually running the community ingress controller instead where the Upgrade and Connection headers are added based on NGINX map based conditions. Without the need for any annotation.
`

也就是说 community ingress controller 并不需要添加注解。

```yaml
kind: Ingress
apiVersion: extensions/v1beta1
metadata:
  name: jenkins-ingress
  namespace: sre-devops
  annotations:
    kubesphere.io/creator: admin
spec:
  tls:
    - hosts:
        - jenkins.yourdomain.com
      secretName: aks-ingress-tls
  rules:
    - host: jenkins.yourdomain.com
      http:
        paths:
          - path: /
            pathType: ImplementationSpecific
            backend:
              serviceName: jenkins-http-api
              servicePort: 80
```

### 配置 Agent 节点

开启 Websocket 的方式很简单，在 Jenkins Master 中点击添加一个 Node，然后勾选 Use WebSocket 即可。

将 4.0 版本以后的 agent.jar 上传至 Agent 节点，执行启动命令即可。

```Bash
java -jar agent.jar -jnlpUrl https://jenkins.yourdomain.com/computer/test/jenkins-agent.jnlp -secret @secret-file -workDir "/home/jenkins"
```

现在你可以在 Jenkins Master 中看到一个 Jenkins Agent 上线了。

Jenkins 使用 Inbound Agent

_前排提示，这绝不是一个最佳实践，它是在成本和硬件资源被限制的情况下，找到的一个折衷。_

## 故事背景

公司的网络拓补大概是这样的。最外面是一台防火墙，然后连着一台核心交换机（A），然后核心交换机上挂了若干台服务器和 AC，此外还有一台交换机（B）充当汇聚层。到这里为止，除了没有堆叠等高可用技术的使用，其实拓补层面上还算正常。

但是，要命的来了，在这台充当汇聚层的交换机（B）下面，又挂了 18 台傻瓜桌面交换机，每台傻瓜桌面交换机有 12 个口。

这种时候，如果办公室里面有一个人的电脑因为各种原因出现了问题，导致其出现了 ARP 攻击行为，整个办公室的所有傻瓜交换机都会出现问题而导致所有电脑都无法上网。

而更要命的是，这时候你登录到充当汇聚层的交换机（B）里面，你会发现根本没有办法判断到底广播风暴的源头是哪里。

最有效的办法就是换设备，将那些傻瓜桌面交换机都换成网管交换机，问题就很容易解决了。

那如果没有预算呢？而且还一定要保持 PC 的端 IP 地址没有变化（不能划分新的子网）呢？

## 应对思路

先看那些傻瓜交换机，这方面肯定没有什么办法了，毕竟开机就能用的东西，没有办法做任何配置。

所以，我们要达到的最理想的情况就是当发生广播风暴时，影响局限在一台傻瓜交换机里面。

我们知道 ARP 广播风暴的影响是通过二层网络作用的，而划分 VLAN 就能够起到隔离广播风暴的作用，如果我们能够给那台汇聚交换机（B）的每个端口划分一个 VLAN，那广播风暴将只能在一个 VLAN 里，从而不去影响其他的傻瓜交换机。

然而我们的情况并不允许我们划分新的子网，这是因为这家公司只是一个集团下辖的子公司，我们并不能随意的新增子网地址。

那有没有办法把一个子网地址，分布在不同的 VLAN 里，还要他们之间能够实现相互访问？

## Super VLAN

Super VLAN 利用 ARP Proxy 技术能够将

一个不完善的办公室网络解决方案

本文最后修订时间为 2022 年 07 月 25 日，以下描述基于本文最后修订时间可能会有调整。

## 前言

Maven Central [repo1.maven.org] 的服务器地址位于美国，即便是使用亚太的代理去访问有时候速度也是不怎么理想。

而国内的镜像站关的关，慢的慢，总之没有十分理想的替代品。

所幸的是，Apache Maven 的发起人 Jason van Zyl 创建了一个完整的中央仓库的镜像并托管在了 Google 云存储上。

## 项目地址

https://storage-download.googleapis.com/maven-central/index.html

Jason van Zyl 在 Blog 里面介绍了为什么要创建这个中央仓库的副本。

http://takari.io/2015/10/28/google-maven-central.html

得益于 GCS 覆盖了美国，欧洲，亚太的服务器节点，这个仓库要比 Maven Central [repo1.maven.org] 的速度快得多。

使用 GCS 的 Maven 中央仓库

可不可以在局域网内使用 Samba (共享文件夹) 来安装 Office 2016/2019 呢？

当然是可以的。

可不可以在安装 Office 2016/2019 时选择选择自己所需要的功能呢？

当然也是可以的。

## 创建描述文件

这是一份将会只生成 Word，Excel，PowerPoint，以及 Visio 的描述文件。

```xml
<Configuration>
  <Add OfficeClientEdition="64" Channel="PerpetualVL2019" AllowCdnFallback="True">
    <Product ID="ProPlus2019Volume">
      <Language ID="zh-cn" />
      <ExcludeApp ID="Access" />
      <ExcludeApp ID="Groove" />
      <ExcludeApp ID="Lync" />
      <ExcludeApp ID="OneDrive" />
      <ExcludeApp ID="OneNote" />
      <ExcludeApp ID="Outlook" />
      <ExcludeApp ID="Publisher" />
    </Product>
    <Product ID="VisioPro2019Volume">
      <Language ID="zh-cn" />
      <ExcludeApp ID="Groove" />
      <ExcludeApp ID="OneDrive" />
    </Product>
  </Add>
</Configuration>
```

描述文件也可以使用 Office Tool Plus 完成创建。

下载地址: [https://otp.landian.vip/zh-cn/](https://otp.landian.vip/zh-cn/)

## 下载安装文件

下载 Office Deployment Tool

[https://www.microsoft.com/en-us/download/details.aspx?id=49117](https://www.microsoft.com/en-us/download/details.aspx?id=49117)

安装后，能够看到一个 setup.exe 和若干个 xml 文件，你可以删掉那几个 xml 文件，也可以置之不理。

将我们的描述文件 configuration.xml 放到 setup.exe 所在的目录，并使用 CMD 执行如下命令

```cmd
setup.exe /download configuration.xml
```

一切顺利的话，你会看到一个名为 Office 的文件夹。

## 创建共享文件夹

使用 Windows 搭建一个共享文件夹，当然你也可以使用 Linux 搭建一个 Samba 服务器，然后将 setup.exe configuration.xml 以及 Office 放到这个共享文件夹中。

确保你能够在其他计算机上使用类似 `\\192.168.10.254\OFFICE2019\` 的方式访问到安装文件。

## 创建一个安装脚本

- Network-INSTALL-OFFICE.bat

```batch
@echo off

setlocal

::Store working directory to return after finished
set WORKDIR=%CD%

::Map and switch to a network drive and give it unmapped drive letter
pushd \\192.168.10.254\OFFICE2019\

::Store the name of the network drive so it can be unmapped when finished
Set NETDRIVE=%CD%
set NETDRIVE=%NETDRIVE:\=%

::Change back to the original directory
cd /d %WORKDIR%

::Run commands with the network drive mapped
%NETDRIVE%\setup.exe /configure

::Uncomment this to catch errors from the executable
::if %errorlevel% GTR o exit %errorlevel%

::Unmap the network drive
net use %NETDRIVE% /delete /y

endlocal
```

## 执行安装

只需要把安装脚本 Network-INSTALL-OFFICE.bat 拷贝到目标计算机上，然后双击执行即可安装。

根据本文的实际测试，千兆有线网络下，在 PD 虚拟机内安装完 Word, Excel, PowePoint 以及 Visio 总计耗时不到 5 分钟。