vict0ri4

解决 Gentoo 中 Corectrl 编译报错问题

Thu, 27 Aug 2026 00:00:00 GMT

⚠️ 状态说明（2026-10）

本文记录的是 2026 年 8 月 Gentoo 下 CoreCtrl 1.5.2 的一个特定编译错误。Gentoo overlay 可能已在后续版本（如 1.5.2-r2）中修复了该依赖问题，请优先尝试直接安装。

此外，CoreCtrl 项目已进入维护模式，不再添加新功能或硬件支持；如需活跃开发的 GPU 控制工具，可考虑 LACT。

gentoo-solution-corectrl

介绍

由于dev-libs/quazip-1.5版本中直接移除了qt5和qt6两个带有Qt版本选择的 USE 标记，导致在gentoo中编译kde-misc/corectrl-1.5.2时提示以下信息：

emerge: there are no ebuilds built with USE flags to satisfy "dev-libs/quazip[qt6]".
!!! One of the following packages is required to complete your request:
- dev-libs/quazip-1.5::gentoo (Missing IUSE: qt6)
(dependency required by "kde-misc/corectrl-1.5.2::farmboy0" [ebuild])
(dependency required by "kde-misc/corectrl" [argument])
...

这个错误是因为 corectrl 的 ebuild 中写死了需要 dev-libs/quazip[qt6]（即安装了 qt6 USE 标志的 quazip），但新版的 quazip 已经默认且仅支持 Qt6，因此移除了 qt6 这个 USE 标志，导致 Portage 在依赖树中找不到满足条件的包。

解决方案

找到 corectrl 的 ebuild 文件

find /var/db/repos -name "corectrl-1.5.2.ebuild" 2>/dev/null 不出意外的话，路径会是 /var/db/repos/farmboy0/kde-misc/corectrl/corectrl-1.5.2.ebuild。

编辑 ebuild 文件

sudo vi /var/db/repos/farmboy0/kde-misc/corectrl/corectrl-1.5.2.ebuild 找到包含 dev-libs/quazip[qt6] 的那一行（通常在 RDEPEND 或 DEPEND 变量里），改为dev-libs/quazip[qt6(+)]

重新生成 Manifest 文件

cd /var/db/repos/farmboy0/kde-misc/corectrl/ sudo ebuild corectrl-1.5.2.ebuild manifest

安装

sudo emerge -av kde-misc/corectrl

在 Linux 下用 USB 网卡开 WiFi 热点

Thu, 27 Aug 2026 00:00:00 GMT

在 Linux 下用 USB 网卡开 WiFi 热点

主机：Gentoo Linux（OpenRC）日期：2026-10-18

前言

此文章用于记录我自己在一台 Gentoo 机器上用 USB 无线网卡开热点的过程。

免责声明

本文介绍的是通用 WiFi 热点（AP）搭建技术，仅适用于完全可控的网络环境，例如：

家庭独立宽带

实验室或工作场所分配的独立网络

自己的流量卡

严禁在以下环境使用：

校园网

公司内网

公共 WiFi

请遵守所在网络的用户协议，任何滥用行为与本文作者无关。

先理解数据流向

手机连上 wlan0，dnsmasq 给它发一个 192.168.42.x 的地址。之后它的上网流量到达本机，内核转发（net.ipv4.ip_forward=1），再做一次源地址转换（masquerade），最后从 enp37s0 出去。

整条链路上有四件事要做。hostapd 管无线信号和认证，dnsmasq 只管发 IP，NAT 管地址转换，sysctl 管打开转发。

其中 NAT 是绕不过去的：192.168.42.0/24 是私网网段，上游路由器不认识它，回程流量回不来就上不了网。区别只在于用什么工具做（nftables、iptables、firewalld、ufw 都行，见下文）。防火墙过滤则是可选的，本来就有防火墙的机器才需要额外放行。

前提

先确认两张网卡的名字。下面以 wlan0 和 enp37s0 为例：

ip -br link | grep -i wl     # 无线网卡，做热点的那个
ip -br link | grep -i en     # 有线网卡，接上游的那个

无线网卡需要支持 AP 模式（nl80211）。USB 网卡里 mt7921u、rtl8812au 这些通常都支持。不支持的话，hostapd 启动时会报 nl80211: Failed to set interface wlan0 into AP mode 这样的错误。

拿不准的话，装好 iw（见下节）后可以用 iw list 查：Supported interface modes 下列出 * AP 就说明支持。

依赖包

要搭建这样一个热点需要安装 hostapd、dnsmasq、wireless-regdb、iw 四个软件包。wireless-regdb 提供各国的无线监管域数据，hostapd 里的 country_code=CN 要用到它；iw 用来确认网卡是否支持 AP 模式。

sudo emerge -av hostapd dnsmasq wireless-regdb iw

另外还需要一个做 NAT 的工具。如果你的系统本来就有防火墙（nftables / iptables / firewalld / ufw），直接用它就行，不用额外装；如果什么防火墙都没有，那就装一个，本文以 nftables 为例：

sudo emerge -av nftables

别的发行版包名基本也差不多，只需把安装软件的命令替换成对应发行版的即可。

搭建

hostapd

sudo nano /etc/hostapd/hostapd_2g.conf

interface=wlan0
driver=nl80211
ssid=MyHotspot
hw_mode=g
channel=6
ieee80211n=1
wmm_enabled=1

# 监管域
country_code=CN
ieee80211d=1

auth_algs=1
wpa=2
wpa_passphrase=<你的密码>
wpa_key_mgmt=WPA-PSK
wpa_pairwise=CCMP
rsn_pairwise=CCMP

记得把上面配置里的 "<你的密码>" 替换成你实际想设置的 WiFi 密码。

dnsmasq

sudo nano /etc/dnsmasq.d/hotspot.conf

interface=wlan0
bind-interfaces

# 网段需要与下面 NAT 规则里的网段一致
dhcp-range=192.168.42.100,192.168.42.200,12h

dhcp-option=3,192.168.42.1 # 本机默认网关
dhcp-option=6,223.5.5.5 # 公共 DNS，客户端不经过本机

# 记录每次 DHCP 交互，排查 "连上但分配不到 IP" 时很有用，不需要时也可以注释掉
log-dhcp
log-facility=/var/log/dnsmasq-hotspot.log
log-async=25

内核转发

sudo nano /etc/sysctl.d/99-hotspot.conf

# 客户端要能出网，必须打开 IPv4 转发
net.ipv4.ip_forward = 1

# 我完全不转发 IPv6，有需要可以自行开启
net.ipv6.conf.all.forwarding = 0

# 接上游的有线口不接收 RA
net.ipv6.conf.enp37s0.accept_ra = 0

sudo sysctl -p /etc/sysctl.d/99-hotspot.conf

放入 /etc/sysctl.d/ 是为了让内核参数单独有个文件管，和 NAT / 防火墙规则分开。

NAT

客户端用的是私网地址，上游不认识，必须在本机出口上把源地址换成 enp37s0 的地址。

下面列出几种做法，挑一种即可：

nftables（net-firewall/nftables 不提供 /etc/nftables.conf，需要自己建。如果这个文件已经存在，则只在末尾追加下面这段，不要整体替换，因为你可能已经有一整套防火墙规则在里面）：

sudo nano /etc/nftables.conf

#!/usr/bin/nft -f

define WAN    = "enp37s0"
define LANNET = 192.168.42.0/24

destroy table ip hotspot_nat

table ip hotspot_nat {
	chain postrouting {
		type nat hook postrouting priority srcnat; policy accept;
		oifname $WAN ip saddr $LANNET masquerade
	}
}

sudo nft -f /etc/nftables.conf

追加到已有文件时注意两点：

首行的 #!/usr/bin/nft -f 只在新建文件时需要，追加时不要带上。
define 必须在使用之前出现。两行 define 放进文件靠前的 define 区，destroy table ip hotspot_nat 和 table ip hotspot_nat {...} 放到文件末尾。

整段贴在末尾会让 define 出现在使用之后，nft 会直接报错。

LANNET 必须和上面 dnsmasq 的 dhcp-range 对得上，否则 masquerade 匹配不到。

iptables（很多系统还在用）：

sudo iptables -t nat -A POSTROUTING -s 192.168.42.0/24 -o enp37s0 -j MASQUERADE

先用 sudo iptables -S FORWARD | head -1 看一眼策略，如果是 DROP，还得放行转发，否则客户端照样上不了网：

sudo iptables -A FORWARD -i wlan0 -o enp37s0 -j ACCEPT
sudo iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

FORWARD 默认是 ACCEPT 的机器不用加这两条。

firewalld 和 ufw 都要改"默认转发策略 + masquerade"，但改的位置完全不同：

firewalld：把 enp37s0 划进 external 区并打开 masquerade，两条都带 --permanent：firewall-cmd --zone=external --change-interface=enp37s0 --permanent、firewall-cmd --zone=external --add-masquerade --permanent，最后 firewall-cmd --reload 生效。
ufw：没有 zone 这个概念，要在 /etc/ufw/before.rules 最前面加一段 nat 规则，再把 /etc/default/ufw 里的 DEFAULT_FORWARD_POLICY 改成 ACCEPT：
```
*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 192.168.42.0/24 -o enp37s0 -j MASQUERADE
COMMIT
```
改完 sudo ufw reload 生效。

NAT 规则怎么开机生效，取决于你用的工具，各发行版一般都有现成方案。

nftables：用 Gentoo 自带的 net-firewall/nftables 服务。它是快照模型，适合机器上只维护这一份规则的情况，按顺序执行：
```
sudo nft -f /etc/nftables.conf
sudo rc-service nftables save
sudo rc-update add nftables default
```
这个服务启动时会检查 /var/lib/nftables/rules-save，文件不存在就直接拒绝启动。rc-update 只是加开机链接、不启动服务，所以 save 真正要赶在下次重启之前跑过。

快照的含义是：/etc/nftables.conf 只在 nft -f 时读一次，save 把当时内核里的整份规则写进 rules-save，开机加载的是它。所以每次改完规则，除了 nft -f，还要再 rc-service nftables save 一次，否则重启会回退到上一次快照。

正因为快照会把内核里所有表一起写进去，而服务加载前又会 flush ruleset，所以机器上要是有 tailscale、libvirt 这类自己建表的软件，就别用这个服务，改用接管服务的做法。
iptables：sudo rc-service iptables save + sudo rc-update add iptables default。
firewalld：本身就是常驻服务，--permanent 的改动自动持久，不用额外操作。

防火墙过滤（可选）

如果机器没有配置防火墙，或者防火墙默认放行，等下面 hotspot 服务跑起来热点就能用了，这节可以跳过。

如果机器上有 policy drop 这类默认拒绝的防火墙，需要额外放行这几样：

wlan0 上的 DHCP（udp/67）：不给 dnsmasq 放行，客户端连上了也拿不到 IP
wlan0 → enp37s0 的转发
转发链里的 ct state established,related accept

（如果把 dnsmasq 改成下发本机地址 dhcp-option=6,192.168.42.1，让客户端走本机 DNS，那还要再加一条 udp/53 的放行。本文下发的是 223.5.5.5，客户端不经过本机，所以不用开。）

最后一条最容易漏：policy drop 只放行"客户端 → 上游"这一个方向，服务器回来的包方向是反的，匹配不到任何规则，全靠 conntrack 放行。少了它客户端能拿到 IP，但什么都连不上——DNS 查询和网页访问一起失败。

hotspot

新建 /etc/init.d/hotspot：

#!/sbin/openrc-run
# 职责：配置无线接口 + dnsmasq + hostapd
#   - NAT / 防火墙 -> 由你选定的那套工具负责
#   - ip_forward -> /etc/sysctl.d/99-hotspot.conf （由 sysctl 服务加载）

rc_need="net"

IFACE=wlan0
GATEWAY=192.168.42.1

DNSMASQ_PID=/run/hotspot_dnsmasq.pid
HOSTAPD_PID=/run/hotspot_hostapd.pid

# 等某个 pidfile 出现、且对应进程还活着
_wait_pidfile() {
	local pf="$1" timeout="$2" i=0 pid
	local max=$(( timeout * 10 ))      # 每次 0.1 秒
	while [ "$i" -lt "$max" ]; do
		if [ -r "$pf" ]; then
			pid="$(cat "$pf" 2>/dev/null)"
			if [ -n "$pid" ] && kill -0 "$pid" 2>/dev/null; then
				return 0
			fi
		fi
		sleep 0.1
		i=$(( i + 1 ))
	done
	return 1
}

start() {
	ebegin "Starting hotspot"

	# USB 网卡由 udev 异步注册，开机时未必已经就绪，所以轮询等待（上限 15 秒）
	local i=0
	while [ "$i" -lt 150 ]; do
		ip link show "$IFACE" >/dev/null 2>&1 && break
		sleep 0.1
		i=$(( i + 1 ))
	done
	if ! ip link show "$IFACE" >/dev/null 2>&1; then
		eerror "接口 $IFACE 在 15 秒内未出现，热点无法启动"
		return 1
	fi

	ip link set "$IFACE" up
	ip addr add "$GATEWAY/24" dev "$IFACE" 2>/dev/null

	# --- dnsmasq ---
	dnsmasq --conf-file=/etc/dnsmasq.d/hotspot.conf --pid-file="$DNSMASQ_PID"
	if ! _wait_pidfile "$DNSMASQ_PID" 5; then
		eerror "dnsmasq 启动失败或未在 5 秒内就绪"
		return 1
	fi

	# --- hostapd ---
	hostapd -B -P "$HOSTAPD_PID" /etc/hostapd/hostapd_2g.conf
	if ! _wait_pidfile "$HOSTAPD_PID" 10; then
		ewarn "hostapd 未在 10 秒内就绪（可能需要更久初始化射频），但它已在后台运行"
	fi

	eend 0
}

stop() {
	ebegin "Stopping hotspot"
	pkill -f "hostapd.*hostapd_2g.conf" 2>/dev/null || true
	pkill -f "dnsmasq.*hotspot.conf" 2>/dev/null || true
	rm -f "$HOSTAPD_PID" "$DNSMASQ_PID" 2>/dev/null || true
	ip addr del "$GATEWAY/24" dev "$IFACE" 2>/dev/null || true
	eend 0
}

启用服务

sudo chmod +x /etc/init.d/hotspot
sudo rc-update add hotspot default
sudo rc-service hotspot start

hotspot 是 rc_need="net"，等网络就绪才会启动。

如果你是用 nftables 管理 NAT，还要把它加进开机流程，做法见前面 NAT 那节。

用 systemd 的发行版则需把上面的 start/stop 写成 service unit。别的 OpenRC 发行版思路相同，但网络服务名和配置路径未必一致——本文的 rc_need="net" 依赖 Gentoo netifrc 提供的 net 虚拟服务，Alpine 上对应的服务叫 networking，照抄前先确认。

验证

服务起来之后，按顺序检查，哪一步断了就对应哪一段配置：

第一步：服务都活着。 本机上看：

rc-service hotspot status
pgrep -af hotspot          # 应该能看到 dnsmasq 和 hostapd 各一个
ip -4 addr show wlan0      # 应该能看到 192.168.42.1/24

wlan0 上没有 192.168.42.1/24，说明 hotspot 的 start 没走完，往上翻它启动时的报错。

顺手确认 NAT 规则在：nftables 用 sudo nft list table ip hotspot_nat，iptables 用 sudo iptables -t nat -L POSTROUTING -n，能看到 masquerade 就行。

第二步：手机拿到了地址。 手机连上热点后，看它分配的 IP 是不是 192.168.42.100–192.168.42.200 之间的地址。

如果连不上热点：hostapd 没起来，看「无线接口被占用」和「网卡被 rfkill 软阻塞」两节
如果连上了但一直转圈拿不到 IP：dnsmasq 没应答，看 /var/log/dnsmasq-hotspot.log

第三步：能通到上游。 在手机上依次 ping 三个地址，断在哪一层很清楚：

目标	通了说明	不通说明
`192.168.42.1`	到本机这一跳正常	`wlan0` 地址或 dnsmasq 网关选项有问题
`223.5.5.5`	转发和 NAT 都正常	`ip_forward` 没开，或 NAT / 转发规则没生效
任意域名	DNS 解析也正常	DNS 不通，检查 `dhcp-option=6` 下发的是否可达

192.168.42.1 通、223.5.5.5 不通，先查 NAT 和转发这一层：回到 NAT 那节确认规则真的加载了（nft list ruleset 或 iptables -t nat -L POSTROUTING -n），以及 net.ipv4.ip_forward 是 1。

最后：重启再走一遍。 上面几步只证明了这一次运行是好的。快照没 save、rc-update 没加上、dhcpcd 又抢了地址，这些问题全都要等重启才会暴露。sudo reboot 之后按第一步和第三步复查一遍，都正常才算真的搭好了。

故障排除

无线接口被占用

如果这块网卡之前当客户端用过，net.wlan0 服务或 wpa_supplicant 进程可能还握着它。此时 hostapd 会报 nl80211: Interface wlan0 is in use 这样的错误。先确认：

rc-service net.wlan0 status
pgrep -a wpa_supplicant

如果有就停掉，再重启热点：

sudo rc-service net.wlan0 stop
sudo pkill wpa_supplicant
sudo rc-service hotspot restart

网卡被 rfkill 软阻塞

rfkill list 里 Soft blocked: yes 时 hostapd 也起不来：

rfkill list
sudo rfkill unblock wlan

如果看到的是 Hard blocked: yes，那是机身上的物理开关或 BIOS 关掉了无线，软件解不开，得先去把开关打开。

dhcpcd 抢占地址

dhcpcd 可能会在这块网卡上尝试 DHCP，失败后留下一个 169.254.x.x 的地址和 /16 路由。因此需要在 /etc/dhcpcd.conf 里加一行：

denyinterfaces wlan0

然后重启 dhcpcd，注意要加 --nodeps。dhcpcd 被 hotspot、libvirtd、tailscale 的服务引用，普通 rc-service dhcpcd restart 会让 OpenRC 先把这些依赖服务停掉，却不会自动拉起来，结果是热点、tailscale、虚拟机一起掉线，wlan0 上的 192.168.42.1/24 也会消失。

sudo rc-service dhcpcd --nodeps restart
ip -4 addr show wlan0     # 确认没有 169.254.x.x 残留

如果之前已经产生过 169.254.x.x，denyinterfaces 不会自动删掉它，只能手动清理：

sudo ip addr del 169.254.x.x/16 dev wlan0

日常管理

sudo rc-service hotspot  start     # 开热点
sudo rc-service hotspot  stop      # 关热点（NAT 规则保留，但此时无流量匹配）
sudo rc-service hotspot  restart   # 重启热点

改完 NAT / 防火墙规则后，按你所用工具的方式重载。以 nftables 为例：

sudo nft -f /etc/nftables.conf     # 立即生效
sudo nft list ruleset              # 确认规则在

如果用的是前面提到的 Gentoo 官方快照模型，还要再 sudo rc-service nftables save 一次，否则重启后会回退到上一次快照。

周围 AP 多、连接不稳时可以换信道。默认 channel=6，换成 1 或 11 通常明显好些，改完执行 sudo rc-service hotspot restart 生效。

我在gentoo下的nftables防火墙设计

Fri, 19 Jun 2026 00:00:00 GMT

前言

此文章用于记录我自己维护防火墙的方法，记录在Gentoo/OpenRC环境下维护防火墙时逐渐形成的思路。

一些说明

gentoo发行版有自己官方的nftables服务，通常执行rc-update add nftables default即可使用，但随着我的需求增大，不少端口我都需要手动控制，比如sunshine串流，热点配置等，此时官方的save/restore模型就不够用了。

portage中有etc-update机制，正确设置可以保证修改不会被重新emerge nftables冲掉。下面我先说官方的配置具体是怎样的，再说怎么接管nftables服务。

官方配置

gentoo 的 nftables 服务是快照模型：先把规则装进内核，然后

sudo rc-service nftables save

它会把 nft list ruleset 的输出写进 /var/lib/nftables/rules-save，开机时再从这个文件读回来。ebuild 装完提示的也是这个用法。

加载那一步实际执行的是

printf 'flush ruleset\ninclude "%s"\n' "${NFTABLES_SAVE}" | nft -f -

flush ruleset 是写死在 /usr/libexec/nftables/nftables.sh 里的，改 /etc/conf.d/nftables 也去不掉。在快照模型下这么做其实是合理的，因为快照本身是全量的，机器上所有表都在里面，清空再整体装回来也不会丢东西。但我的用法不是这样。tailscale、libvirt 等软件会往内核里加入自己的防火墙配置，这种情况下官方的一条 flush ruleset 就会把它们的表一起清掉，结果可想而知，tailnet 不通、虚拟机没网，用rc-service看状态又全是 started，很容易往错的方向查。为了避免这些问题，所以我接下来打算接管官方服务。

接管官方服务

/etc/init.d/nftables 属于 net-firewall/nftables 这个包，但它在 /etc 里，而 /etc 是配置目录，不是包来管理的。portage 对待配置目录的规则写在 emerge(1) 里：

The purpose of this feature is to prevent new package installs from clobbering existing configuration files.

具体做法是，安装时如果发现同名文件已经存在，就把要装的那个改名成 ._cfg0000_foo 放在旁边，等用户自己决定怎么合并。所以升级一个包不会动改过的文件，只会在旁边多放一个待合并的新版本。这是设计出来的行为，不是副作用。

而且这里还有一层。make.conf(5) 里有个默认开启的 FEATURES：

config-protect-if-modified This causes the CONFIG_PROTECT behavior to be skipped for files that have not been modified since they were installed.

意思是，如果某个文件从装好到现在都没有被修改过(mtime)，portage 就会认为没必要保护它，升级时直接换成新的；该文件一旦修改过，它从此就会进入保护状态，生成 ._cfg0000_ 并询问用户选择如何处理。

所以直接把自己的逻辑写进 /etc/init.d/nftables 是比较合理的做法，服务名保持不变，用起来也几乎感受不到区别。

但要千万注意执行etc-update命令后提示到此文件需要更新时要看清楚，千万不要选-3。选-3会用官方脚本把你这份覆盖掉，而官方脚本加载时执行的是 flush ruleset 加上 include 那个 0 字节的 rules-save，结果将会是清空全部表、且不加载任何规则，机器变成完全没有防火墙。而且 -3 是全局覆盖，作用于整个扫描范围，一次会把所有包所有待合并文件全部覆盖。为了保险还是建议手动创建备份文件cp -a /etc/init.d/nftables /etc/init.d/nftables.bak，用于防止手贱选了-3选项配置被清除后没有及时做备份。

服务脚本

以下配置仅供参考：

#!/sbin/openrc-run
# ============================================================================
#  /etc/init.d/nftables
#
#  作用: 加载 /etc/nftables.conf, 只管理我自己的表。
#
#  升级注意:
#    /etc 在 CONFIG_PROTECT 里, 升级本包时会在旁边生成
#    /etc/init.d/._cfg0000_nftables。合并时选 -7 即可保留本脚本:
#        sudo etc-update /etc/init.d
# ============================================================================

description="nftables firewall (single source: /etc/nftables.conf)"

NFT_FILE="/etc/nftables.conf"

# 写成 "族:表名" 的形式, 空格分隔; 要与 nftables.conf 里的定义保持一致。
MY_TABLES="inet:<过滤表> ip:<NAT表>"

extra_commands="check"
extra_started_commands="check reload"

depend() {
	need localmount
	before net
}

check() {
	ebegin "语法检查 ${NFT_FILE}"
	nft -c -f "${NFT_FILE}"
	eend $? "语法/语义有问题, 上面是报错位置"
}

start() {
	ebegin "加载 nftables 规则 (${NFT_FILE})"
	nft -f "${NFT_FILE}"
	eend $? "加载失败 —— 当前处于无防火墙状态"
}

stop() {
	ebegin "移除本服务的表 (${MY_TABLES})"
	for t in ${MY_TABLES}; do
		fam="${t%%:*}"
		name="${t##*:}"
		# 先确认存在再删, 保证 stop 可以重复执行。
		if nft list table "${fam}" "${name}" >/dev/null 2>&1; then
			nft delete table "${fam}" "${name}" || true
		fi
	done
	eend 0
}

reload() {
	ebegin "重新加载 nftables 规则 (${NFT_FILE})"
	nft -f "${NFT_FILE}"
	eend $? "重载失败, 旧规则仍在生效"
}

记得将MY_TABLES 两处占位符换成在 /etc/nftables.conf 里定义的实际表名，否则 stop 时查不到表会直接跳过。

写好后再给/etc/init.d/nftables可执行权限，加进 default 运行级，再启动一次：

sudo chmod +x /etc/init.d/nftables
sudo rc-update add nftables default
sudo rc-service nftables start

配合其他软件的防火墙配置来管理自己的防火墙规则

tailscale、libvirt 等等其他软件都有自己的一套防火墙配置。这些配置通常不需要也不建议用户来手动更改，它们启动停止时自己会处理。

所以用户在管理nftables时只需遵守以下原则：

1、不随意执行sudo nft flush ruleset

2、排除防火墙问题时检查是否与软件自带的防火墙配置有冲突

sudo nft list tables
sudo nft list chain ip filter

nft list tables 列出的表通常比自己的多，看一眼链名就能认出是谁建的，比如 ts-input、ts-forward 是 tailscale 的。自己的表名带上能一眼区分的名字，查问题的时候省事。

还有一类误判是容器。网上很多配置会写 iifname "podman*" accept、oifname "veth*" accept 之类的转发规则，但那是 rootful 加 bridge 网络才有意义。用 rootless 配 pasta 的话，容器流量在内核看来就是本机进程自己发出去的，走 output 链，根本不经过 forward。那些规则不会生效，纯粹是死代码。先看一眼有没有网桥接口就知道自己属于哪种：

ip -br link

日常维护

改完先检查再加载：

sudo nft -c -f /etc/nftables.conf
sudo rc-service nftables reload

ct state established,related accept 每个链都应该要有。它放行本机主动发起的连接的回程包，不用给每个服务写双向规则。forward 链上漏了这条，表现是有 IP、能解析域名，但所有网页都打不开 —— 因为回程包没有任何规则能匹配上。

重建表用 destroy 而不是 flush：

destroy table inet <过滤表>
destroy table ip <NAT表>

destroy 只删指定的表，表不存在也不报错，适合每次全量加载；flush ruleset 会把别人的表一起清掉。

平时不用手动 start，服务已经在 default 运行级里了，开机自己会加载。start 只在手动 stop 过之后才需要。

若想加一个新服务的端口，顺序是先用

ss -tulnp | grep <关键字>

看清楚它实际监听的是什么协议、哪个端口，再把对应端口加进 /etc/nftables.conf。

Gentoo 安装记录

Sun, 15 Mar 2026 00:00:00 GMT

gentoo-installation-steps

gentoo linux安装记录

引言

记录一次安装gentoo的过程，文档中可能存在不太合理的部分。请以官方文档为准，本篇文章只能作为参考。先说我的安装条件
Gentoo版本： [Gentoo Linux 23.0/openrc]
内核版本： [7.2.2-cachyos-r4]
文件系统： [btrfs,vfat]
启动方式： [UEFI+grub]

硬件信息

处理器 [AMD Ryzen r3 3300x]
显卡 [AMD Radeon RX5700]
内存 [16GB DDR4]
硬盘 [256GB NVMe SSD]

准备工作

选择合适的方法安装Gentoo
Gentoo可以以许多不同的方式安装。
它可以从官方Gentoo安装介质（如我们的可引导ISO文件）下载和安装。安装介质可以安装在USB盘上或通过网络引导环境访问。或者，Gentoo可以从非官方介质安装，如已安装的发行版或非Gentoo可启动磁盘（如 Linux Mint）。
Gentoo LiveGUI提供 KDE 桌面环境的 LiveGUI 可能会使一些用户更容易安装 Gentoo。除了提供好用的桌面环境，LiveGUI 通过 NetworkManager 组件也提供了简单的 WiFi 设置。
我是先去https://mirrors.ustc.edu.cn/gentoo/releases/amd64/autobuilds/ 下载iso镜像，选install-amd64-minimal和livegui-amd64都行。我用livegui-amd64，方便复制粘贴。

下载后使用烧录工具将镜像写入到u盘。

进入livecd

插入写好镜像的u盘，进入live系统，连接wifi或插上网线。

打开konsole命令控制台，输入
sudo passwd # 先设置一个简单管理密码，因为这只是一个临时使用的live系统，非常复杂的密码反而会引起不便。

输入su并输入刚才的设置的密码进入root用户。

接下来给磁盘分区，我用的是fdisk工具，livecd中也自带parted等分区工具，看个人习惯来使用吧。
**注意！在分区之前务必及时备份数据！
fdisk /dev/nvme0n1 # 如果是sata硬盘就应该是/dev/sda1
以下是我的分区方案（仅供参考）

Disk /dev/nvme0n1: 232.89 GiB, 250059350016 bytes, 488397168 sectors
Disk model: WDC WDS250G2B0C-00PXH0
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disklabel type: gpt
Disk identifier: 2A4768D8-9813-4CE2-BE64-1CB13C1F959A

Device           Start       End   Sectors   Size Type
/dev/nvme0n1p1    2048   1050623   1048576   512M EFI System
/dev/nvme0n1p2 1050624 488396799 487346176 232.4G Linux filesystem

格式化分区
mkfs.vfat -F 32 /dev/nvme0n1p1 # 给nvme0n1p2使用vfat文件系统
mkfs.btrfs -f /dev/nvme0n1p2 # 给nvme0n1p1使用btrfs文件系统

之后给nvme0n1p2细分btrfs子卷
mkdir -p /mnt/btrfs
mount -o subvolid=5 /dev/nvme0n1p2 /mnt/btrfs
cd /mnt/btrfs
btrfs subvolume create @
btrfs subvolume create @home
btrfs subvolume create @boot
btrfs subvolume create @var
btrfs subvolume create @snapshots
btrfs subvolume set-default @ /mnt/btrfs # 设 @ 为默认子卷
btrfs subvolume list /mnt/btrfs # 验证一下
umount /mnt/btrfs

挂载
mount -o subvol=@,compress=zstd:1,commit=30,ssd,discard=async,space_cache=v2 /dev/nvme0n1p2 /mnt/gentoo
mkdir -p /mnt/gentoo/{boot/efi,home,var}
mount -o subvol=@boot /dev/nvme0n1p2 /mnt/gentoo/boot
mount -o subvol=@home,nodatacow /dev/nvme0n1p2 /mnt/gentoo/home
mount -o subvol=@var,nodatacow /dev/nvme0n1p2 /mnt/gentoo/var
mount -o subvol=@snapshots /dev/nvme0n1p2 /mnt/gentoo/.snapshots
mount /dev/nvme0n1p1 /mnt/gentoo/boot/efi

进到刚挂载好的目录
cd /mnt/gentoo

安装 Gentoo 安装文件

下载stage3压缩包
links https://mirrors.ustc.edu.cn/gentoo/releases/amd64/autobuilds/ #在里面选择显示日期和时间的目录后回车，比如20260308T170100Z，这个显示日期和时间的目录一般会有好几个，我一般选择的是最新的，避免更新时间长。例如，我用systemd就选择stage3-amd64-systemd-20260308T170100Z.tar.xz

tar xpvf stage3-amd64-systemd-20250914T170345Z.tar.xz # 解压

nano -w /mnt/gentoo/etc/portage/make.conf # 设置gcc编译选项

# detailed example.
COMMON_FLAGS="-march=native -O3 -pipe -finline-functions" #我用gcc -O3优化
CFLAGS="${COMMON_FLAGS}"
CXXFLAGS="${COMMON_FLAGS}"
FCFLAGS="${COMMON_FLAGS}"
FFLAGS="${COMMON_FLAGS}"
#CPU_FLAGS_X86="" # 此项待会再填
MAKEOPTS="-j9 -l8" #3300x有8线程，如果没有设置zram怕内存溢出导致livecd卡死就保守一点用-j6

# NOTE: This stage was built with the bindist USE flag enabled

# This sets the language of build output to English.
# Please keep this setting intact when reporting bugs.
LC_MESSAGES=C.utf8

CHOST="x86_64-pc-linux-gnu"
EMERGE_DEFAULT_OPTS="--with-bdeps=y --verbose=y --keep-going"
ACCEPT_LICENSE="*"
ACCEPT_KEYWORDS="amd64"
L10N="en-US zh-CN en zh"
LINGUAS="en-US zh-CN en zh"
AUTO_CLEAN="yes"
GRUB_PLATFORMS="efi-64"
VIDEO_CARDS="amdgpu radeonsi"
ALSA_CARDS="hda-intel"
INPUT_DEVICES="evdev"

PORTAGE_NICENESS="15"

GENTOO_MIRRORS="https://mirrors.tuna.tsinghua.edu.cn/gentoo https://mirrors.zju.edu.cn/gentoo/ http://mirrors.zju.edu.cn/gentoo/ https://mirrors.ustc.edu.cn/gentoo/ https://mirrors.nju.edu.cn/gentoo/ http://mirrors.nju.edu.cn/gentoo/ https://mirror.lzu.edu.cn/gentoo http://mirror.lzu.edu.cn/gentoo https://mirrors.aliyun.com/gentoo/ http://mirrors.aliyun.com/gentoo/ https://mirrors.163.com/gentoo/ http://mirrors.163.com/gentoo/ "


#gentoo的特色之一，gentoo的大部分软件包都会有不同的USE标志，在这里的设置是全局的，意思是你要给所有支持这个USE标志的软件包都默认启用这个标志，如果你只希望给单独的软件包设置特定的USE标志，别急，我后面点会讲到。
#USE="-pulseaudio -iptables -pipewire -jack -kde -gnome -xfce -wayland fortran lto pgo graphite openmp minizip elogind dbus policykit X cjk vdpau vaapi vulkan egl gles2 glfw opengl openal alsa nftables" #这是我会用到的USE标志，仅供参考。而且不推荐在刚安装系统时就同时启用这么多标志。这些后续我会一点一点的加上。

配置软件镜像源 mkdir -p -v /mnt/gentoo/etc/portage/repos.conf
cp -v /mnt/gentoo/usr/share/portage/config/repos.conf /mnt/gentoo/etc/portage/repos.conf/gentoo.conf

nano -w /mnt/gentoo/etc/portage/repos.conf/gentoo.conf

[DEFAULT]
main-repo = gentoo
sync-uri = rsync://mirrors.ustc.edu.cn/gentoo-portage #加入中国源

[gentoo]
location = /var/db/repos/gentoo
...

安装 Gentoo 基础系统

复制DNS信息
cp --dereference /etc/resolv.conf /mnt/gentoo/etc/

挂载系统必要环境，并进入Chroot环境
mount --types proc /proc /mnt/gentoo/proc
mount --rbind /sys /mnt/gentoo/sys
mount --make-rslave /mnt/gentoo/sys
mount --rbind /dev /mnt/gentoo/dev
mount --make-rslave /mnt/gentoo/dev
mount --rbind /run /mnt/gentoo/run
mount --make-rslave /mnt/gentoo/run
chroot /mnt/gentoo /bin/bash
mkdir -p /var/db/repos/gentoo
env-update
source /etc/profile
export PS1="(chroot) ${PS1}"

安装 Gentoo ebuild 存储库的快照。该快照包含一组文件，这些文件通知 Portage 可用的软件标题（用于安装）、系统管理员可以选择的配置文件、打包或配置文件特定的新闻项目等。
emerge-webrsync

安装cpuid2cpuflags，检测cpu指令集
emerge --ask app-portage/cpuid2cpuflags
cpuid2cpuflags # 将输出值全部拷贝到/mnt/gentoo/etc/portage/make.conf中，作为“CPU_FLAGS_X86= ”的值，并取消对“CPU_FLAGS_X86= ”这一行的注释。

配置系统时区
nano -w /etc/locale.gen
将以下几项取消注释，如果没有就手动加上

en_US ISO-8859-1
en_US.UTF-8 UTF-8
zh_CN GBK 
zh_CN.UTF-8 UTF-8

下一步是运行 locale-gen 命令。此命令生成 /etc/locale.gen 文件中指定的所有语言环境。
locale-gen

（可选）重新将整个基本系统从stage1编译到stage3

目的是把原来官方提供的所有组件替换成自己编译的（包括GCC编译器和所有基本系统组件），这样一来整个系统的所有程序和组件都是针对自己电脑CPU架构优化编译的了，争取性能最大化。唯一的坏处就是会花费更多的精力和时间。如果你只是想简单的安装gentoo系统体验一下，就推荐跳过此步骤。
./var/db/repos/gentoo/scripts/bootstrap.sh # 这个脚本执行完检测后重新编译安装emerge包管理器，在我这台机器上花费了十多分钟的时间。

重新编译安装完emerge包管理器后，bootstrap.sh脚本还会继续检测当前系统环境，最后很可能会警告提示你当前系统里的gcc编译器缺少对fortran的支持、zlib库缺少对minizip的支持，然后退出脚本。
nano -w /etc/portage/make.conf

...
USE="fortran lto pgo graphite openmp minizip"

先启用以上USE标志，其他USE标志继续注释着先。

emerge --ask gcc # 重新编译gcc，你会看到你会看到刚才加上的那些use标志高亮了，意味着这次编译会应用上这些use标志。这会花费很长时间，大约2-3个小时吧。

之后退出当前chroot环境再重新进入。
exit
chroot /mnt/gentoo /bin/bash
env-update && source /etc/profile && export PS1="(chroot) ${PS1}"

重新运行一次脚本检测。
./var/db/repos/gentoo/scripts/bootstrap.sh

不出意外的话最后会成功通过检测，并提示你系统已经成功“bootstrapped”了，并要求你执行emerge -e @system。那我们就从stage2到stage3（重新编译：基本系统的所有组件base system）。
emerge -e @system emerge -e @world # 此过程将会非常耗时，3300x编译大约用了2个半小时

接下来，正式安装gentoo系统（如果选择跳过上面的可选步骤就直接从这里继续）

到这里就可以把make.conf文件中剩下的use都启用上了，然后更新一下。
emerge -avuDN @world

eselect profile list
eselect profile set X # 我打算用openrc+窗口管理器，所以选了default/linux/amd64/23.0/，有其他需求的就选择其他对应的profile
env-update
如果profile发生了改变，也应该再次更新软件包。
emerge -avuDN @world

设置系统locale
eselect locale list
eselect locale set X # 这里建议选择en-US.utf8，大部分TTY终端都不支持中文。

创建并配置/etc/fstab文件，用以指示系统开机自动挂载的必要设备/分区
blkid >> /etc/fstab # 将输出结果追加到fstab配置文件末尾，然后根据追加的内容进行下述修改
nano -w /etc/fstab # 请参考我的配置，建议使用uuid的形式设置（不建议使用/dev/sdX？的形式）(是uuid，而不是partuuid哦)

# <fs>			                           <mountpoint>	<type> <opts>		                                              <dump> <pass>
UUID=bd7589dd-daa7-4245-9ce5-4d1cc9e128cb  /            btrfs  defaults,noatime,ssd,commit=60,nodiscard,subvol=@          0 0
UUID=bd7589dd-daa7-4245-9ce5-4d1cc9e128cb  /home        btrfs  defaults,noatime,ssd,commit=60,nodiscard,subvol=@home      0 0
UUID=bd7589dd-daa7-4245-9ce5-4d1cc9e128cb  /boot        btrfs  defaults,noatime,ssd,commit=60,nodiscard,subvol=@boot      0 0
UUID=bd7589dd-daa7-4245-9ce5-4d1cc9e128cb  /var         btrfs  defaults,noatime,ssd,commit=60,nodiscard,subvol=@var       0 0
UUID=bd7589dd-daa7-4245-9ce5-4d1cc9e128cb  /.snapshots  btrfs  defaults,noatime,ssd,commit=60,nodiscard,subvol=@snapshots 0 0
tmpfs  /tmp  tmpfs  defaults,noatime,mode=1777,size=4G  0 0

安装必须的文件系统支持，否则无法访问硬盘上的分区！！
emerge --ask sys-fs/e2fsprogs #ext4
emerge --ask sys-fs/xfsprogs #xfs
emerge --ask sys-fs/dosfstools #fat32
emerge --ask sys-fs/ntfs3g #ntfs
emerge --ask sys-fs/fuse-exfat #exfat
emerge --ask sys-fs/exfat-utils #exfat
emerge --ask sys-fs/btrfs-progs #btrfs

配置 Linux 内核

编译内核前，先安装一些必要工具
emerge --ask eix sudo pciutils usbutils hwinfo gentoolkit euses dev-vcs/git eselect-repository

可选工具
emerge --ask neovim fastfetch zsh bottom

下载安装wifi网卡和intel核显的必要驱动固件
emerge --ask sys-kernel/linux-firmware

安装更新Intel CPU的微码文件
emerge --ask sys-firmware/intel-microcode sys-apps/iucode_tool

gentoo的特色之二，就是鼓励自行配置系统内核。
编译内核的方式与过程多种多样，下面我来详细说说。
从以下两个方法中选一个。
第一种方法：直接安装gentoo-kernel-bin软件包
emerge --ask gentoo-kernel-bin # 此命令能自动完成内核编译，主打一个方便。但这样的缺点也很明显，没有改变任何内核设置。几乎所有功能都包含在了内核里面。一般想省时省事用这个方法比较合适。

第二种方法：自定义内核
使用genkernel工具
emerge --ask gentoo-sources # 先安装内核源码
emerge --ask genkernel # 安装genkernel eselect kernel list # 查看内核
eselect kernel set X # 选择内核
genkernel --menuconfig kernel # 进到linux内核配置界面，genkernel默认使用gentoo-kernel的内核配置，此配置通常开箱即用，你也可以在此基础上做精简，比如精简掉你用不到的网卡、声卡、显卡等驱动和文件系统等。
除了可以设为N或Y还可以将一些配置以模块形式加载（即设为M）。还请避免过度精简导致开机时内核启动卡住，这时就需要自己排除问题了。

**TIPS：**genkernel还有一些其他的用法，可以使用genkernel --help来查看或者去看gentoo的genkernel文档，等下就会说到如何用genkernel来配置initramfs，https://wiki.gentoo.org/wiki/Genkernel/zh-cn。

或者直接进linux内核目录，手动完成整个编译流程
emerge --ask gentoo-sources # 先安装内核源码
eselect kernel list # 查看当前内核
eselect kernel set X # 选择当前内核
cd /usr/src/linux #进入linux内核目录

(可选)如果之前已经安装过genkernel，会把linux的默认配置换成gentoo-kernel的内核配置，如果只想用linux的默认配置就执行以下命令。
mv .config bak.config # 备份gentoo-kernel的内核配置（如果还需要此配置的话）
make x86_64_defconfig # 使用linux默认配置
使用linux默认配置通常不能开箱即用，你需要检查文件系统(vfat、ext4等)、驱动(声卡、网卡、显卡等)、init子系统(systemd or openrc)、启动项(bios or uefi)等配置是否合理开启，只有满足条件内核才能正常启动运行。

make menuconfig # 进入内核配置界面
make -j6 #用6线程来编译内核
make modules_install #编译模块
make install #完成整个内核编译过程

若使用以上第二或第三种方法安装linux内核，可能还需要配置initramfs，可以用genkernel也可以用dracut，推荐用genkernel。
genkernel --install initramfs

使用以上三种方法的任意一种来完成内核安装操作后，一定需要配置引导加载程序。
配置引导加载程序也有很多种，推荐以grub为主，https://wiki.gentoo.org/wiki/Grub。
要配置grub，请执行以下命令。
emerge --ask sys-boot/grub # 安装grub
grub-install --target=x86_64-efi --efi-directory=/boot --bootloader-id=Gentoo
grub-mkconfig -o /boot/grub/grub.cfg

配置时间

systemd随附了timedatectl命令，用于管理时区，要查看当前时区请执行该命令。
之后执行timedatectl list-timezones命令来列出可用的时区。
要更改时区（例如，更改至德国的时区），使用命令timedatectl set-timezone Europe/Berlin即可。

配置网络

emerge --ask dhcpcd
如果你需要连接无线网络，我推荐iwd这个软件包。
emerge --ask net-wireless/iwd
具体请看官方文档，内核配置也要根据文档中的配置来更改。
https://wiki.gentoo.org/wiki/Iwd

启动网络服务
systemctl enable dhcpcd iwd

配置系统用户

visudo
把“%wheel ALL=(ALL) ALL”这一行去掉注释

useradd -m -G users,wheel,audio,usb,video -s /bin/bash <你的用户名>
passwd root #更改root账户密码
passwd <你的用户名> #更改你自己的用户密码
echo <主机名> > /etc/hostname

最后的安装收尾和清理工作，卸载之前挂载的分区

rm /stage3-*.tar.xz
exit # 退出chroot环境
umount -lR /mnt/gentoo
到此整个gentoo系统就安装结束了，重启电脑进入你的新系统好好享受吧

(可选)备份gentoo

第一种备份方式：以压缩包形式备份
切换到根目录
cd /

创建备份（排除临时和虚拟文件系统），可根据自己需要来选择排除掉的文件，比如不需要排除/home中的文件就把--exclude=/home 删掉。
tar --create --gzip --file /backup.tar.gz --exclude=/backup.tar.gz --exclude=/home --exclude=/proc --exclude=/sys --exclude=/dev --exclude=/run --exclude=/tmp --exclude=/mnt --exclude=/media --exclude=/lost+found / # 实测从刚安装结束时就压缩文件大小约为2G左右，请自行保存好该压缩包。

如果你要恢复该备份，请在此之前先保存好自己在该硬盘中想要保存的数据。然后用u盘进livecd系统把原本的系统盘格式化，请务必考虑清楚后再执行以下操作。
进入livecd环境
mkfs.btrfs -f /dev/nvme0n1p1 #给nvme0n1p1使用btrfs文件系统
mkfs.vfat -F 32 /dev/nvme0n1p2 #给nvme0n1p2使用vfat文件系统
重新挂载分区
mount /dev/nvme0n1p1 /mnt/gentoo
mkdir /mnt/gentoo/boot
mount /dev/nvme0n1p2 /mnt/gentoo/boot
进到挂载nvme0n1p1的目录
cd /mnt/gentoo
将备份的压缩包复制到/mnt/gentoo目录中。
cp <你所备份的压缩包路径> ./
解压压缩包
tar xpvf backup.tar.gz
复制DNS信息
cp --dereference /etc/resolv.conf /mnt/gentoo/etc/
挂载系统必要环境，并进入Chroot环境
mount --types proc /proc /mnt/gentoo/proc
mount --rbind /sys /mnt/gentoo/sys
mount --make-rslave /mnt/gentoo/sys
mount --rbind /dev /mnt/gentoo/dev
mount --make-rslave /mnt/gentoo/dev
mount --rbind /run /mnt/gentoo/run
mount --make-rslave /mnt/gentoo/run
chroot /mnt/gentoo /bin/bash
mkdir -p /var/db/repos/gentoo
env-update
source /etc/profile
export PS1="(chroot) ${PS1}"

第二种方式：如果你和我一样都使用btrfs文件系统，可以利用btrfs特性来创建快照。
备份系统
cd / # 回到根目录
mkdir -p /mnt/.snapshots # 创建备份目录
mount -o compress=zstd:3,subvol=/ /dev/nvme0n1p1 /mnt # 挂载btrfs根分区
rm -rf /var/cache/portage/* # 清理gentoo的软件包缓存（减少快照体积）
btrfs subvolume snapshot -r /mnt/@ /mnt/.snapshots/@-$(date +"%Y%m%d") # 创建只读快照
umount /mnt # 卸载临时挂载

恢复系统
进入livecd环境
mount -o compress=zstd:3,subvol=/ /dev/nvme0n1p1 /mnt # 挂载 btrfs 根分区
btrfs subvolume snapshot /mnt/.snapshots/@-yyyymmdd /mnt/@-restore # 从快照创建临时恢复子卷
修改 fstab 指向临时子卷
vi /etc/fstab # 将"subvol=@" 改为 "subvol=@-restore"
cp /etc/fstab /mnt/@-restore/etc/fstab # 同步修改到临时子卷的fstab
grub-mkconfig -o /boot/grub/grub.cfg # 重建 Grub 引导配置
reboot # 重启系统
这样备份系统快速方便，过程不算太复杂。缺点就是只能在btrfs文件系统上这样备份。

如果你格式化或迁移了硬盘，fstab的内容也要做出相应的修改。
重新更新引导加载程序
grub-install --target=x86_64-efi --efi-directory=/boot --bootloader-id=Gentoo
grub-mkconfig -o /boot/grub/grub.cfg
重启后备份完成，这种备份方式兼容性强，支持各文件系统，就是压缩解压要花点时间。

两种备份方式也可以一起使用，最后也没什么要说的了，祝你使用gentoo愉快~

参考文献

Gentoo Linux amd64 Handbook： Installing Gentoo https://wiki.gentoo.org/wiki/Handbook:AMD64/Full/Installation
Gentoo安装流程分享(step by step)，第一篇之基本系统的安装 https://zhuanlan.zhihu.com/p/122222365

vict0ri4

解决 Gentoo 中 Corectrl 编译报错问题

gentoo-solution-corectrl

介绍

解决方案

找到 corectrl 的 ebuild 文件

编辑 ebuild 文件

重新生成 Manifest 文件

安装

在 Linux 下用 USB 网卡开 WiFi 热点

在 Linux 下用 USB 网卡开 WiFi 热点

前言

先理解数据流向

前提

依赖包

搭建

hostapd

dnsmasq

内核转发

NAT

防火墙过滤（可选）

hotspot

启用服务

验证

故障排除

无线接口被占用

网卡被 rfkill 软阻塞

dhcpcd 抢占地址

日常管理

我在gentoo下的nftables防火墙设计

前言

一些说明

官方配置

接管官方服务

服务脚本

配合其他软件的防火墙配置来管理自己的防火墙规则

日常维护

Gentoo 安装记录

gentoo-installation-steps

gentoo linux安装记录

引言

硬件信息

准备工作

进入livecd

安装 Gentoo 安装文件

安装 Gentoo 基础系统

（可选）重新将整个基本系统从stage1编译到stage3

接下来，正式安装gentoo系统 （如果选择跳过上面的可选步骤就直接从这里继续）

配置 Linux 内核

配置时间

配置网络

配置系统用户

最后的安装收尾和清理工作，卸载之前挂载的分区

(可选)备份gentoo

参考文献

接下来，正式安装gentoo系统（如果选择跳过上面的可选步骤就直接从这里继续）