![Gemini_Generated_Image_ps8kh3ps8kh3ps8k.png](/static/img/5e4bb326b7244c8d95dcb34a4a68c3f6.Gemini_Generated_Image_ps8kh3ps8kh3ps8k.webp)

本地 AI 工作站真正折腾人的，往往不是模型本身，而是磁盘空间、镜像网络、显卡直通和前端调用这些细节。我把 WSL2 + Docker + Ollama/Open WebUI 的踩坑过程整理成一套能长期复用的底座。



看着市面上百花齐放的开源大模型，谁不想在本地养一个专属的、保护隐私的 AI 助手？

手持 **i7-14700K + 64GB 内存 + RTX 4070 SUPER (12GB 显存)** 的配置，本以为在 Windows 下装个环境轻轻松松，结果却踩了无数关于 C 盘爆满、显存溢出、网络代理失效以及模型“胡言乱语”的深坑。

如果你也是 12GB 显存的玩家，或者正在被 WSL2 的默认设置折磨，请直接**抄作业**。这篇文章将手把手带你避开所有暗礁，搭建一个满血运行的本地 AI 工作站。

---

## 阶段一：基础搭建与 C 盘“大逃亡”

在 Windows 下跑 AI，目前最稳的方案是使用 WSL2（Windows 下的 Linux 子系统）。但微软默认会把它装在 C 盘，一旦后续下载十几个 G 的大模型，你的 C 盘会瞬间爆红。

**核心战略：先安装，立刻“搬家”到 D 盘。**

### 1. 一键安装 Ubuntu
右键点击 Windows 的“开始”菜单，选择 **“终端 (管理员)”** 或 **“PowerShell (管理员)”**，执行：
```powershell
wsl --install
```
安装完成后**重启电脑**，并在弹出的 Ubuntu 终端里设置初始账号和密码。

### 2. 乾坤大挪移（释放 C 盘）
既然 D 盘空间大（比如咱们那 1007G 的空间），就必须把它挪过去。继续在 PowerShell (管理员) 中一行行执行：
```powershell
# 彻底关闭 WSL
wsl --shutdown

# 打包导出到 D 盘根目录（可能需要几分钟）
wsl --export Ubuntu D:\ubuntu_backup.tar

# 注销原系统（关键操作！瞬间释放 C 盘空间）
wsl --unregister Ubuntu

# 在 D 盘新建文件夹并重新导入
wsl --import Ubuntu D:\WSL_Data D:\ubuntu_backup.tar

# 清理过渡文件
del D:\ubuntu_backup.tar
```

---

## 阶段二：打通任督二脉（资源限制与镜像网络）

WSL2 是一只贪婪的性能野兽，如果不加限制，它会吃光你的物理内存。此外，默认的 NAT 网络模式是本地跑服务和挂代理的噩梦。我们需要给它写一份**“配置文件”**。

1. 按下 `Win + R` 打开运行窗口，输入 `%USERPROFILE%` 回车。
2. 在该目录下新建一个文本文件，命名为 **`.wslconfig`**。
3. 填入以下终极调优代码并保存：

```ini
[wsl2]
# 限制最大使用内存（建议设为物理内存的 1/3 或 1/2，我有 64G，所以给 24G）
memory=24GB
# 限制使用的 CPU 核心数
processors=8
# 自动回收空闲内存
guiApplications=false

[experimental]
# 开启镜像网络（核心！让 WSL 和 Windows 共享局域网 IP，告别端口转发）
networkingMode=mirrored
# 开启 DNS 隧道
dnsTunneling=true
# 自动同步代理（WSL 将自动使用 Windows 系统的局域网代理，拉取镜像直接起飞）
autoProxy=true
```
保存后，在 PowerShell 执行 `wsl --shutdown` 重启服务使其生效。*(注：启动时如果提示 `localhostForwarding` 无效，属于正常现象，忽略即可。)*

---

## 阶段三：显卡直通与 Docker 环境配置

在 WSL2 时代，只要你的 Windows 宿主机装了最新的 NVIDIA 显卡驱动，WSL 内部天然就能调用显卡，无需在 Linux 里重复装驱动。

进入 Ubuntu 终端（在 PowerShell 输入 `wsl`），依次执行以下命令：

### 1. 一键安装 Docker
```bash
curl -fsSL https://get.docker.com -o get-docker.sh
sudo sh get-docker.sh
```

### 2. 安装 NVIDIA 容器工具（让 Docker 认识显卡）
直接复制这整段并回车：
```bash
curl -fsSL https://nvidia.github.io/libnvidia-container/gpgkey | sudo gpg --dearmor -o /usr/share/keyrings/nvidia-container-toolkit-keyring.gpg \
  && curl -s -L https://nvidia.github.io/libnvidia-container/stable/deb/nvidia-container-toolkit.list | \
    sed 's#deb https://#deb [signed-by=/usr/share/keyrings/nvidia-container-toolkit-keyring.gpg] https://#g' | \
    sudo tee /etc/apt/sources.list.d/nvidia-container-toolkit.list
```
更新并重启服务：
```bash
sudo apt-get update
sudo apt-get install -y nvidia-container-toolkit
sudo nvidia-ctk runtime configure --runtime=docker
sudo systemctl restart docker
```

---

## 阶段四：一键起飞：Ollama + Open WebUI 部署

创建一个工作目录并编写 `docker-compose.yml`，一次性把后端（Ollama）和前端（Open WebUI）拉起来。

```bash
mkdir -p ~/ai-workspace && cd ~/ai-workspace
nano docker-compose.yml
```

填入以下内容（这里将模型路径直接映射到了 D 盘，进一步保护系统盘）：

```yaml
services:
  ollama:
    image: ollama/ollama:latest
    container_name: ollama
    volumes:
      - /mnt/d/ollama:/root/.ollama
    deploy:
      resources:
        reservations:
          devices:
            - driver: nvidia
              count: all
              capabilities: [gpu]
    restart: unless-stopped

  open-webui:
    image: ghcr.io/open-webui/open-webui:main
    container_name: open-webui
    volumes:
      - ./webui_data:/app/backend/data
    ports:
      - 3000:8080
    environment:
      - 'OLLAMA_BASE_URL=http://ollama:11434'
      - 'HF_ENDPOINT=https://hf-mirror.com' # 国内镜像加速
    restart: unless-stopped
```
保存退出（`Ctrl+O`, `Enter`, `Ctrl+X`），然后一键启动：
```bash
sudo docker compose up -d
```
此时，打开浏览器访问 `http://localhost:3000`，注册管理员账号，你的 AI 基地就建好了！

---

## 阶段五：12G 显卡的“天命之选”与极限调优

> ⚠️ **巨坑警告：千万不要去乱下 `.gguf` 文件手动导入！** 极易丢失对话模板（Template）和停止词，导致 AI 像精神分裂一样胡言乱语。**一定要通过官方命令拉取！**

对于 12GB 显存的 RTX 4070 SUPER，**Qwen 3.5 (9B)** 是完美的“甜点级”选择。它能 100% 塞进显存，速度极快，且原生支持视觉（Vision）多模态。

### 1. 拉取模型
在 Ubuntu 终端执行：
```bash
docker exec -it ollama ollama pull qwen3.5
```

### 2. 显存压榨（解决出字龟速问题）
如果你发现模型出字慢，大概率是因为“上下文缓存 (Context)”吃光了显存，导致运算掉进了 CPU。
1. 在 Open WebUI 中，点击模型旁边的**齿轮设置** -> **高级参数**。
2. 将 **Context Length (上下文长度)** 从默认的 4096 改为 **`2048`** 并保存。
3. **终极验证：** 对话时，在终端输入 `docker exec -it ollama ollama ps`。只要 `PROCESSOR` 栏显示 **`100% GPU`**，你的 4070S 就已经满血释放，出字速度将如丝般顺滑！

---

## 阶段六：后期维护（空间回收与终极“后悔药”）

WSL2 的 `.vhdx` 虚拟硬盘文件有一个“只大不小”的毛病。清理了 Docker 废弃镜像后，你需要手动给它“抽脂”。

### 1. 压榨虚拟硬盘（回收 D 盘空间）
关闭 WSL (`wsl --shutdown`) 后，在 PowerShell (管理员) 执行 `diskpart`，依次输入：
```text
select vdisk file="D:\WSL_Data\ext4.vhdx"
attach vdisk readonly
compact vdisk
detach vdisk
exit
```

### 2. 打快照备份（吃后悔药）
在折腾出一个完美的纯净环境后，养成打快照的好习惯：
```powershell
wsl --export Ubuntu D:\Ubuntu_Perfect_Snapshot.tar
```
以后系统被玩崩了，只需 `unregister` 删掉坏的，再 `import` 这个备份包，三分钟满血复活。

至此，一个不吃 C 盘、满血释放 GPU、网络畅通无阻的本地 AI 工作站彻底大功告成。放开手脚去折腾吧！

wsl2部署本地 AI 工作站

![Gemini_Generated_Image_cx0rzvcx0rzvcx0r.png](/static/img/56a5d724f268f6a5056096bd2622a4b3.Gemini_Generated_Image_cx0rzvcx0rzvcx0r.webp)

服务器出问题时，最怕脑子里只剩“我以前用过那个命令”。这份 Linux 和 Docker 命令备忘录就是给自己救急用的，巡检、排障、清理、重启都能快速翻到。



# 💻 个人专属：Linux & Docker 终端运维备忘录

> **💡 使用说明：** 复制命令前，将 `[ ]` 及其内部的中文替换为你实际的路径、文件名或 IP 端口。

## 零、 🚀 客户机远程起手式 (Win环境极速连机)

> **实战技巧**：在客户电脑上免装任何 SSH 客户端，直接使用系统自带终端。

```bash
# 1. 客户机按 Win+R 输入 powershell 回车，直接 SSH 连入内网/公网机器
ssh root@[服务器或NAS_IP]

# 2. 若目标机器修改了默认 22 端口，使用 -p 参数指定端口
ssh -p [端口号] root@[服务器或NAS_IP]

# 3. 退出客户机 SSH 连接，深藏功与名
exit
```

## 一、 📂 导航与目录操作 (查探地形)

```bash
# 1. 查看我当前到底在哪个目录下（迷路必备）
pwd

# 2. 列出当前目录下的所有文件和文件夹（含隐藏文件）
ls -a

# 3. 进入指定的文件夹
cd [目标文件夹的完整路径或相对路径]

# 4. 返回上一级目录
cd ..

# 5. 瞬间回到最高权限的“家”目录 (/root)
cd ~

# 6. 在最近去过的两个目录之间反复横跳
cd -
```

## 二、 📄 文件增删改查 (大挪移)

```bash
# 1. 创建新文件夹（即使中间的父级目录不存在也会一并创建）
mkdir -p [新文件夹的完整路径]

# 2. 重命名文件/文件夹
mv [旧名字] [新名字]

# 3. 移动文件/文件夹到指定目录
mv [要移动的文件名] [目标路径]

# 4. 复制文件（常用于修改配置前的备份）
cp [原文件名] [备份文件名，如 config.yaml.bak]

# 5. 复制整个文件夹
cp -r [原文件夹名] [新文件夹名]

# 6. 【高危】强制删除文件或文件夹（无提示，删前务必核对！）
rm -rf [要删除的文件或路径]
```

## 三、 📝 文本查看与写入 (免 vi 大法)

```bash
# 1. 流式写入文件（极其适合粘贴大段 yaml 配置，避免缩进错乱）
cat > [要新建或覆盖的文件名] <<EOF
[在这里点击右键，粘贴你的所有配置代码]
EOF

# 2. 瞬间看完整个文件内容
cat [文件名]

# 3. 实时盯着日志文件看最后 100 行（排错神器，按 Ctrl+C 退出）
tail -fn 100 [日志文件名]

# 4. 给脚本文件赋予可执行权限
chmod +x [脚本文件名.sh]
```

## 四、 🔍 搜索与系统状态排查

```bash
# 1. 全盘搜索某个找不着的文件
find / -name "[要找的文件名]" 2>/dev/null

# 2. 查看某个端口有没有被成功占用
ss -tlnp | grep [端口号]

# 3. 查看服务器实时 CPU、内存占用情况（按 q 退出）
top

# 4. 查看系统磁盘真实挂载路径（找 NAS 数据盘必备）
df -h

# 5. 飞牛 OS / Ubuntu (Debian系) 更新软件源并安装
apt update && apt install -y [软件名]

# 6. 阿里云 (CentOS系) 更新软件源并安装
yum makecache && yum install -y [软件名]
```

## 五、 🌐 网络与代理设置 (连通性测试)

```bash
# 1. 让当前黑窗口临时走代理（关掉窗口即失效）
export http_proxy="http://[代理IP]:[代理端口]"
export https_proxy="http://[代理IP]:[代理端口]"

# 2. 测试某个网站能否连通（带详细握手过程）
curl -v [目标网址，如 [https://github.com](https://github.com)]

# 3. 测试目标 IP 或域名的延迟与丢包（按 Ctrl+C 停止）
ping [目标IP或域名]

# 4. 测试目标服务器的指定端口是否开放
curl -v telnet://[目标IP]:[目标端口]
```

## 六、 🐳 Docker 核心运维

### 1. 镜像管理与源配置

```bash
# 永久修改 Docker 镜像源（覆盖写入）
cat > /etc/docker/daemon.json <<EOF
{
  "registry-mirrors": [
    "[主镜像源地址]",
    "[备用镜像源地址]"
  ]
}
EOF
systemctl daemon-reload && systemctl restart docker

# 替换 Docker 镜像源为毫秒镜像
echo '{"registry-mirrors": ["https://docker.1ms.run"]}' | sudo tee /etc/docker/daemon.json > /dev/null && systemctl daemon-reload && systemctl restart docker

# 恢复官方默认直连（删除自定义源文件并重启）
rm -f /etc/docker/daemon.json
systemctl daemon-reload && systemctl restart docker

# 拉取最新镜像
docker pull [镜像名]:[标签，如 latest]
```

### 2. 容器生命周期 (启停删)

```bash
# 查看正在运行的容器
docker ps

# 查看所有容器（含已停止的）
docker ps -a

# 启动、停止、重启指定容器
docker start [容器名或ID]
docker stop [容器名或ID]
docker restart [容器名或ID]

# 删除已停止的容器（加 -f 为强制删除运行中的）
docker rm [容器名或ID]

# Docker Compose 重载大招（改完 yaml 路径后必备，自动删旧建新）
docker compose down && docker compose up -d
```

### 3. 容器排错与重型清理

```bash
# 查看容器内部报错日志（实时滚动查虫）
docker logs -f --tail 100 [容器名]

# 进入容器内部执行命令（如进 bash 或 sh 查看内部结构）
docker exec -it [容器名] /bin/sh

# 查看所有容器的 CPU 与内存消耗
docker stats

# 终极大扫除：一键清理所有未运行的容器、无用网络和悬空镜像（释放硬盘神器）
docker system prune
```

## 七、 🛠️ 自动化装机神器 (一键脚本大全)

> **实战技巧**：在客户机 SSH 连通后，直接复制下方命令一键配好基础环境。

```bash
# 1. 科技Lion 全能运维面板 (国内加速版，建站/面板/装应用必备)
bash <(curl -sSL https://ghproxy.net/https://raw.githubusercontent.com/kejilion/sh/main/kejilion.sh)

# 2. LinuxMirrors 一键换系统源 (解决 apt/yum 下载极慢或报错)
bash <(curl -sSL https://linuxmirrors.cn/main.sh)

# 3. LinuxMirrors 一键装 Docker 并换加速源
bash <(curl -sSL https://linuxmirrors.cn/docker.sh)

# 4. 极致装机短链（个人专属备用方案）
curl -sSL https://sh.zym588.space/i.sh -o i.sh && sudo bash i.sh

```

Linux常用命令备忘录

![Gemini_Generated_Image_zes25tzes25tzes2.png](/static/img/bdfab41775ebf8ac3226c6c6c8ecc733.Gemini_Generated_Image_zes25tzes25tzes2.webp)

想让 NAS 上的流量走得更听话，Mihomo 是绕不开的一环。这里把 Docker 部署、Web 面板、TUN 模式和分流配置放在一起，方便以后换环境时照着恢复。



Mihomo（原 Clash Meta）搭配官方 Web 面板（MetacubeXD），不仅能实现极其精细的分流策略，其强大的 TUN 模式更能让整台 NAS（包括里面的其他 Docker 容器）直接享受代理网络，告别镜像拉取缓慢的烦恼。

### 阶段一：环境准备与目录结构

在开始写配置之前，我们需要先搭建好骨架，并提前下载好 Mihomo 运行必需的地理位置数据库。如果不提前准备这些数据文件，容器启动时可能会因为无法连网下载而无限重启。

**1. 创建目录结构**
通过 SSH 登录你的 NAS，创建目录

**2. 下载 Geo 数据文件**
在 `data` 目录中，使用 `wget` 手动下载以下三个核心文件（如果你的网络目前拉取困难，可以先在电脑上通过代理下载好，再上传到这个文件夹）：

* `geoip.dat`
* `geosite.dat`
* `country.mmdb`
*(提示：可以前往 GitHub 的 `MetaCubeX/meta-rules-dat` 仓库获取最新版本)*

相关命令：

```js
# 新建文件夹 mihomo 和 子目录
mkdir -p /volume1/docker/mihomo/{config,data}

# 进入 data 目录
cd /volume1/docker/mihomo/data

# 最新的 Geo 数据文件
wget -O geoip.dat    https://github.com/MetaCubeX/meta-rules-dat/releases/download/latest/geoip.dat
wget -O geosite.dat  https://github.com/MetaCubeX/meta-rules-dat/releases/download/latest/geosite.dat
wget -O country.mmdb https://github.com/MetaCubeX/meta-rules-dat/releases/download/latest/country-lite.mmdb

# 如果下载不动，可以加个代理
wget -O geoip.dat https://gh-proxy.com/https://github.com/MetaCubeX/meta-rules-dat/releases/download/latest/geoip.dat
wget -O geosite.dat https://gh-proxy.com/https://github.com/MetaCubeX/meta-rules-dat/releases/download/latest/geosite.dat
wget -O country.mmdb https://gh-proxy.com/https://github.com/MetaCubeX/meta-rules-dat/releases/download/latest/country-lite.mmdb
```





---

### 阶段二：核心配置 `config.yaml`

千万不要手动把节点信息一条条复制进配置文件里！利用 `proxy-providers` 订阅功能，让 Mihomo 每天自动拉取、更新节点。

在 `data` 目录下创建 `config.yaml` 文件，填入以下内容。**注意：只需将你的“Clash 订阅链接”替换进去即可，不要随意修改缩进。**

```（单机场全自动版）yaml
# --- 基础设置 ---
mixed-port: 7890
allow-lan: true
mode: rule
log-level: info
external-controller: 0.0.0.0:9090
secret: "123456" # 登录 Web 面板的密码，务必修改

# --- TUN 模式 (透明网关核心) ---
tun:
  enable: true
  stack: mixed
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

# --- DNS 防污染设置 ---
dns:
  enable: true
  ipv6: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  nameserver:
    - 114.114.114.114
    - 223.5.5.5

# --- 订阅源配置 (核心避坑区) ---
proxy-providers:
  my_airport: # 你的机场代号
    type: http
    url: "这里粘贴你的 Clash 订阅链接" # <--- 唯一需要你填链接的地方
    path: ./airport.yaml
    interval: 86400 # 每天自动更新
    health-check:
      enable: true
      url: http://www.gstatic.com/generate_204
      interval: 300

# --- 策略组配置 ---
proxy-groups:
  - name: "主出口"
    type: select
    proxies:
      - "自动选路"
      - DIRECT

  - name: "自动选路"
    type: url-test
    use:
      - my_airport # 必须与上面 provider 的名字完全一致
    url: http://www.gstatic.com/generate_204
    interval: 300
    tolerance: 50

# --- 分流规则 ---
rules:
  - GEOIP,LAN,DIRECT
  - GEOIP,CN,DIRECT
  - MATCH,主出口

```

```（双机场自动版）
mixed-port: 7890
allow-lan: true
bind-address: "*"
mode: rule
log-level: info

external-controller: 0.0.0.0:9090
secret: "123456"                  # 可选，用于设置访问密码

tun:
  enable: true
  stack: mixed
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53
    - tcp://any:53

dns:
  enable: true
  ipv6: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  nameserver:
    - 114.114.114.114
    - 223.5.5.5
  fallback:
    - tls://8.8.8.8:853
    - tls://1.1.1.1:853

proxy-providers:
  airport1:                     # 随便起名，建议有意义
    type: http
    url: "https://机场1的订阅链接"          # 替换成你的第1个链接
    path: ./airport1.yaml
    interval: 86400             # 每天更新一次
    health-check:
      enable: true
      url: "https://www.gstatic.com/generate_204"
      interval: 300

  airport2:
    type: http
    url: "https://机场2的订阅链接"          # 第2个
    path: ./airport2.yaml
    interval: 86400
    health-check:
      enable: true
      url: "https://www.gstatic.com/generate_204"
      interval: 300

proxy-groups:
  # 主出口组：你可以在这里手动选机场，或用自动策略
  - name: "主出口"
    type: select                  # 手动选择模式（最常用）
    proxies:
      - "机场1-自动"
      - "机场2-自动"
      - DIRECT
      - REJECT

  # 每个机场单独做 url-test（延迟最低自动选节点）
  - name: "机场1-自动"
    type: url-test
    use:
      - airport1                # 只用这个 provider 的节点
    url: "http://www.gstatic.com/generate_204"
    interval: 300
    tolerance: 50               # 延迟波动容忍（可选）

  - name: "机场2-自动"
    type: url-test
    use:
      - airport2
    url: "http://www.gstatic.com/generate_204"
    interval: 300

  # 可选：全部节点合并 + 自动选延迟最低的（适合追求极致速度）
  - name: "全部-最低延迟"
    type: url-test
    use:
      - airport1
      - airport2
    url: "http://www.gstatic.com/generate_204"
    interval: 300
    tolerance: 100

rules:
  - GEOIP,LAN,DIRECT
  - GEOIP,CN,DIRECT
  - MATCH,主出口           # 改成你的主出口组名


```



> **避坑指南：** 配置文件中 `proxy-groups` 里的 `use` 标签必须严格对应 `proxy-providers` 里定义的名字。如果你只用一个机场，**绝对不要**在策略组里残留类似 `airport2` 的未定义名称，否则容器会报 `Parse config error: proxy group not found` 并直接闪退。

---

### 阶段三：Docker Compose 编排

我们将采用“双容器”架构：一个跑内核（负责代理），一个跑面板（负责可视化）。

在 `mihomo` 根目录下创建 `docker-compose.yml` 文件：

```yaml
services:
  mihomo:
    image: metacubex/mihomo:latest
    container_name: mihomo-core
    restart: unless-stopped
    network_mode: host
    pid: host
    ipc: host
    cap_add:
      - NET_ADMIN # TUN 模式必需的内核网络权限
    security_opt:
      - apparmor=unconfined
    volumes:
      - ./data:/root/.config/mihomo # 映射刚才写的配置文件和 Geo 数据
      - /dev/net/tun:/dev/net/tun   # 映射虚拟网卡设备
      - /etc/localtime:/etc/localtime:ro

  metacubexd:
    image: ghcr.io/metacubex/metacubexd:latest
    container_name: mihomo-web
    restart: unless-stopped
    network_mode: bridge # 面板不需要 host 网络
    ports:
      - "9091:80" # 浏览器访问端口，可自定义
    volumes:
      - ./config:/config/caddy
      - /etc/localtime:/etc/localtime:ro

```

> **避坑指南：** 尽量使用官方原版镜像名称，不要在 `docker-compose.yml` 中硬编码第三方加速前缀（如 `docker.1ms.run`）。如果遇到拉取失败 (`unknown blob`)，应在系统的 `/etc/docker/daemon.json` 中配置如 `docker.m.daocloud.io` 或 `hub.rat.dev` 等稳定的加速源。

---

### 阶段四：启动与排错

**1. 启动容器**
在终端运行以下命令一键启动：

```bash
docker-compose up -d

```

**2. 核心排错思路**
作为 IT 运维老手，遇到启动失败时，优先检查以下几点：

* **拉取失败 (Connection Refused)：** 检查宿主机底层是否残留了失效的全局代理环境变量，特别是 `/etc/docker/daemon.json` 中是否被硬编码了 `proxies` 字段，如果有，直接删除并 `systemctl restart docker`。
* **无限重启 (Exited 1)：** 查看日志 `docker logs mihomo-core`。如果是 `unknown blob`，说明镜像损坏，执行 `docker system prune -a` 清理后重试。

**3. 访问控制面板**

* 浏览器打开 `http://你的NAS_IP:9091`。
* **后端地址**：填入 `http://你的NAS_IP:9090`。
* **密钥**：填入你在 `config.yaml` 中设置的 `secret` 密码。
* 连接成功后，在“代理”页面即可看到自动测速和选路的节点列表。

---

只要 Mihomo 处于运行状态，你的 NAS 就已经拥有了透明代理能力。你现在可以去尝试重新拉取之前那个慢得让人抓狂的镜像了，速度绝对会给你惊喜。

Docker部署mihomo

![Gemini_Generated_Image_tu99o2tu99o2tu99.png](/static/img/d92fc86d18c2c004c17b6f4b705190b6.Gemini_Generated_Image_tu99o2tu99o2tu99.webp)

旁路由这东西好用，但也容易把家里网络折腾到全员断网。我把 OpenWrt 放进 Docker 里跑，尽量在保留原系统稳定性的同时，把去广告、代理和网关能力接进 HomeLab。



在 ARM 开发板（例如 Orange Pi 3B）上搭建 HomeLab 时，通常会同时运行多个服务容器，为了给局域网提供额外的网络接管、去广告等功能，同时又不破坏开发板原有的 Ubuntu 系统生态，使用 Docker 部署 OpenWrt 旁路由是兼顾性能与灵活性的最佳方案。

本文将详细记录利用 Docker 的 MacVLAN 网络，在 ARM64 架构下部署 OpenWrt 的全过程，以及配置出错后的“一秒重置”技巧。

## 环境准备与网络规划

部署前，需先确认当前局域网的基础网络信息。以下配置以常见的家庭网络环境为例：

* **物理网卡名称**：`eth0`
* **局域网网段**：`192.168.124.0/24`
* **主路由（网关）IP**：`192.168.124.1`
* **OpenWrt 规划 IP**：`192.168.124.100`（需确保未被占用）

## 部署流程

### 1. 开启物理网卡混杂模式

要让 Docker 容器拥有与宿主机同网段的独立 IP，必须借助 MacVLAN 网络。前提是物理网卡必须开启混杂模式（Promiscuous Mode），以允许网卡接收目标 MAC 地址非本机的流量。

执行以下命令开启：

```bash
sudo ip link set eth0 promisc on

```

### 2. 创建 Docker MacVLAN 网络

创建一个名为 `macnet` 的网络，将网段与网关与主路由对齐。

```bash
docker network create -d macvlan \
  --subnet=192.168.124.0/24 \
  --gateway=192.168.124.1 \
  -o parent=eth0 macnet

```

> **避坑指南**：如果执行时提示 `invalid pool request: Pool overlaps with other one on this address space`，说明当前 Docker 中存在冲突的网段配置。执行 `docker network prune` 清除未使用过的网络即可解决。

### 3. 拉取并运行 OpenWrt 容器

针对 ARM64 (aarch64) 架构，推荐使用国内维护的 `sulinggg/openwrt:armv8` 镜像，内置了丰富的常用网络与系统插件。

```bash
docker run --restart always --name openwrt -d \
  --network macnet \
  --privileged \
  sulinggg/openwrt:armv8 /sbin/init

```

### 4. 配置固定 IP

容器启动后，默认的网络配置通常无法直接与现有局域网互通，需要进入容器修改静态 IP。

进入容器终端：

```bash
docker exec -it openwrt bash

```

编辑网络配置文件：

```bash
vi /etc/config/network

```

找到 `config interface 'lan'` 块，按 `i` 键进入编辑模式，修改对应的网段信息：

```text
config interface 'lan'
    option type 'bridge'
    option ifname 'eth0'
    option proto 'static'
    option ipaddr '192.168.124.100'  # 规划的旁路由 IP
    option netmask '255.255.255.0'
    option gateway '192.168.124.1'   # 主路由 IP
    option dns '192.168.124.1'       

```

修改完成后，按 `Esc` 键，输入 `:wq` 保存并退出。

重启容器内的网络服务使配置生效：

```bash
/etc/init.d/network restart

```

### 5. 访问后台

配置生效后，在浏览器中访问 `http://192.168.124.100` 即可进入 ImmortalWrt 登录界面（默认账号为 `root`，密码为 `password` 或留空）。

---

## 进阶技巧：容器备份与一键复原

在折腾 OpenWrt 插件时，极易因设置不当导致网络崩溃。Docker 部署的最大优势在于“试错成本极低”。在完成上述基础网络配置并成功登录后台后，建议立刻将当前状态“存档”。

在宿主机终端执行打包命令：

```bash
docker commit openwrt my-openwrt:v1

```

此后，如果 OpenWrt 被玩坏，只需强行删除容器：

```bash
docker rm -f openwrt

```

然后使用刚刚保存的镜像重新运行即可“满血复活”，省去了重新进入终端修改网络配置的步骤：

```bash
docker run --restart always --name openwrt -d \
  --network macnet \
  --privileged \
  my-openwrt:v1 /sbin/init

```

Docker 部署 OpenWrt 旁路由

![Gemini_Generated_Image_u7ocq8u7ocq8u7oc.png](/static/img/d19761dc5c35bc836ce3d199b5642a01.Gemini_Generated_Image_u7ocq8u7ocq8u7oc.webp)

OpenClaw 真正跑起来以后，才发现部署不是只有一个 docker compose。换源、运行环境、配置文件和启动顺序都要理清楚，这篇把 Linux 完整体部署流程重新梳了一遍。



# 一、 Ubuntu 镜像源设置

在一台全新的 Ubuntu 虚拟机上，首先要替换国内软件源以保证下载速度。

## 1. 备份原始文件
```bash
sudo cp /etc/apt/sources.list.d/ubuntu.sources /etc/apt/sources.list.d/ubuntu.sources.bak

```

## 2. 一键替换为阿里云源

使用 `sed` 命令一键把官方域名替换为阿里云域名：

```bash
sudo sed -i 's/cn.archive.ubuntu.com/mirrors.aliyun.com/g' /etc/apt/sources.list.d/ubuntu.sources
sudo sed -i 's/security.ubuntu.com/mirrors.aliyun.com/g' /etc/apt/sources.list.d/ubuntu.sources

```

## 3. 更新系统索引

换完源后，刷新系统仓库：

```bash
sudo apt update

```

---

# 二、 (可选) 安装 Tailscale 实现内网穿透

如果没有公网 IP，强烈建议使用 Tailscale 打通局域网限制，方便随时随地访问控制台。

1. **一键安装 Tailscale**

```bash
curl -fsSL https://tailscale.com/install.sh | sh

```

2. **使用密钥直接静默登录** (请将 `tskey-...` 替换为实际的专属 Auth Key)

```bash
sudo tailscale up --authkey=tskey-au-xxxxxxxxxxxxx

```

3. **查看内网 IP**
执行以下命令，获取分配给这台虚拟机的 `100.x.x.x` 专属内网 IP：

```bash
tailscale ip -4

```

---

# 三、 OpenClaw 本体安装与核心配置

## 1. 跑官方一键安装脚本

该脚本会自动拉取代码、配置 Node.js 环境并初始化工作空间：

```bash
curl -sSL https://openclaw.ai/install.sh | bash

```

## 2. 刷新环境变量

让系统识别刚刚安装的 `openclaw` 命令：

```bash
source ~/.bashrc && source ~/.profile

```

## 3. 优化 NPM 网络环境

由于后续需要安装各种插件，建议把 npm 的源换成国内镜像（淘宝/阿里云维护）：

```bash
npm config set registry https://registry.npmmirror.com

```

## 4. 修改底层网络绑定 (极其重要)

执行 `nano ~/.openclaw/openclaw.json` 打开配置文件，找到 `bind` 字段，进行如下修改：

```json
"bind": "lan" 

```

> **为什么要改写成 lan？**
> 因为在 OpenClaw 的新逻辑里，`lan` 模式会自动把服务绑定到所有网卡（等同于以前的 `0.0.0.0`），这样通过 Tailscale 穿透进来的流量才能正常访问控制台。

修改后重启网关：

```bash
openclaw gateway restart

```

## 5. 添加信任域名 (CORS 跨域配置)

如果配置了专属域名，需要将其加入白名单：

```bash
openclaw config set gateway.controlUi.allowedOrigins '["https://chat.zym588.space"]'

```

执行完后，再次重启网关：

```bash
openclaw gateway restart

```

---

# 四、 解决控制台 Token 报错与设备验证

在重启或者更换域名后访问网页控制台，往往会报错 `gateway token mismatch`（令牌不匹配）。这通常是因为浏览器缓存了旧的 Token。

**操作步骤：**

1. 在服务器终端输入以下命令获取新 Token：

```bash
openclaw dashboard --no-open

```

2. 终端会输出一个类似 `http://127.0.0.1:18789/#token=xxxxxx` 的链接。
3. 提取出 `#token=` 后面那一长串字符复制下来。
4. 回到报错的网页，点击左侧菜单底部的 **设置 (Settings)**，找到填写 **Token (令牌)** 的输入框。
5. 将复制的新字符粘贴进去，点击 **连接 (Connect)**。

**处理新设备拦截：**
连接成功后如果被系统拦截并提示设备未授权，需回到终端执行：

```bash
# 1. 查看当前待审批的设备请求
openclaw devices list

# 2. 批准该设备接入（替换下方括号内为列表中实际显示的设备 ID）
openclaw devices approve [设备ID]

```

---

# 五、 安装与配置企业微信插件

为了在手机微信上直接与 AI 对话，需要接入企业微信渠道。

1. **安装专属插件**

```bash
openclaw plugins install @wecom/wecom-openclaw-plugin

```

安装完成后启动网关：

```bash
openclaw gateway start

```

2. **添加渠道交互向导**
在终端中输入以下命令：

```bash
openclaw channels add

```

* 在 select channel 步骤，选择 `WeCom (企业微信)`。
* 进入企业微信管理后台，创建机器人应用，获取并输入机器人的 **Bot ID** 和 **Secret**。
* 一路回车，最后选择 `finish`。

3. **双向配对授权**

* 返回企业微信手机端，向刚刚创建的机器人发送任意消息。机器人会回复一串包含配对码的信息。
* 在服务器终端中，执行最终配对命令完成授权绑定：

```bash
openclaw pairing approve wecom [在此处填入自定义的设备名称]

```

---

# 六、 接入大模型 API (以讯飞星火为例)

千万不要在网页端 UI 进行自定义大模型的配置（容易触发 JSON 格式 Bug）。必须使用命令行的交互工具。

在终端执行：

```bash
openclaw configure

```

根据屏幕提示依次选择：

1. 选中 **`Model`** (模型) 并回车继续。
2. 核心避坑：当询问 Model/auth provider 时，**绝对不要选 OpenAI**，向下翻阅，选择 **`Custom Provider (Any OpenAI or Anthropic compatible endpoint)`**。
3. 协议选择 **`OpenAI`**。

接着按顺序填入以下参数：

* **Base URL**: 粘贴 `https://maas-coding-api.cn-huabei-1.xf-yun.com/v2`
* **API Key**: 粘贴星火大模型的专属密钥
* **Model ID**: 输入 `astron-code-latest`

一路回车保存，配置完成！