码上星辰的技术札记

文章对比 Linux Bridge 与 OVS，并给出飞牛NAS嵌套虚拟化桥接实操。Linux Bridge 内核原生、简单稳定、性能好、零依赖，适合 KVM 与嵌套虚拟化；OVS 功能更全，支持 SDN、Overlay、QoS，但部署复杂、排障成本高。实操用 NetworkManager 创建 br0、绑定 enp1s0 并配置 IP/网关/DNS，再为 libvirt 定义 br0-network，给 VM 添加 virtio 网卡，使其直接获取局域网 IP；Windows VM 需装 VirtIO 驱动。结论：嵌套虚拟化优先 Linux Bridge，跨主机 Overlay、SDN 或多租户再考虑 OVS。

先用 virsh list 查看虚拟机，再用 virsh edit 编辑，在 driver 行加入 discard='unmap'，保存报错按 i 强存后开机。Linux 执行 fstrim -av 回收 TRIM 空闲空间；Windows 装 virtio 驱动后，用“碎片整理和优化驱动器”确认媒体类型并优化。若未回收，删除快照后重试。Linux 可用 fstrim.timer 查看定时释放，Windows 默认每天自动运行。

KSM内存去重适合虚拟化场景，多个VM运行同一OS时内存几乎只占一个虚拟机多一点；代价是持续扫描增加CPU开销，内存越大越明显。只有相同内存页可合并，克隆尤其链式克隆效果最好，实测12G虚拟机内存可合并到仅2G。临时开启需配置KSM参数，关闭smart_scan可跳过未命中页，若内存未降改用更激进参数，约10-30秒见效。也可将调优脚本配合systemd服务开机启动，重启后开启虚拟机约10秒内存明显下降。

飞牛NAS（fnOS）从50G在线扩容到55G的指南，适用于GPT分区、MD RAID、LVM加ext4或btrfs架构。扩容前须确认磁盘、分区、MD设备、RAID模式、VG/LV名称和文件系统类型，直接照搬命令可能失败甚至丢数据。RAID1可用mdadm --grow --size=max在线扩展；Linear模式不支持在线扩展，需停止阵列后用--update=devicesize重组。随后修复GPT、扩展分区、扩展RAID、pvresize、lvextend，最后ext4用resize2fs，btrfs用btrfs filesystem resize max。飞牛默认禁用root，需sudo；扩容前建议备份，缩容复杂危险不建议。

FnOS（飞牛NAS）可通过 virtio-9p 将宿主机目录共享给 KVM 虚拟机，无需网络配置，经 virtio 总线传输，性能优于 NFS/Samba。操作需先确认目录并修复整条路径权限，关闭虚拟机后用 virsh dumpxml 在 XML 中添加 filesystem，配置 source dir 与 target 标签，推荐 passthrough 模式。虚拟机内加载 9p 模块，创建挂载点，按 trans=virtio、version=9p2000.L 和 target 标签挂载，标签必须一致；可写 fstab 加 _netdev 自动挂载。该方案适合共享模板、大容量存储及多虚拟机共用目录，支持多目录和删除。权限、标签不匹配会报 no channels available 或 Permission denied，写入需 UID/GID 匹配，可改用 mapped-xattr，并用 cache=loose、msize=262144 优化性能。

本教程介绍在飞牛NAS（FnOS）上用qcow2的backing file实现KVM虚拟机链式克隆。先创建源虚拟机，Windows需先sysprep并关机，复制磁盘为模板镜像后设为只读；再用qemu-img create指定模板生成克隆盘，最后在飞牛中新建虚拟机导入qcow2开机。克隆可秒级完成，初始仅约256KB至数百KB，远小于模板4.5GB，便于批量部署和节省磁盘。注意模板不可修改或删除，否则所有克隆无法启动；克隆与模板共用hostname、MAC、SSH密钥等，首次启动后应修改hostname并重新生成SSH密钥。

内核级升级可能导致自行安装的显卡驱动无法正常加载。处理时先确认原始驱动确切版本，可从安装源文件名获取，如 NVIDIA-Linux-x86_64-535.230.02-grid.run 中的 535.230.02，后续命令需替换为实际版本。随后移除现有DKMS模块并重新 add、build、install；更新 initramfs，手动加载 nvidia、nvidia_uvm、nvidia_drm、nvidia_modeset。最后用 nvidia-smi 验证，正常输出驱动信息后重启，使飞牛正确识别显卡。

有人的DG1驱动同样挂掉，可按步骤排查。先用lspci确认显卡被识别，再用dmesg查看i915日志；若提示设备4908未被正确支持，且lshw显示UNCLAIMED，说明驱动未认领。原因是i915有设备ID白名单，DG1的4908与内核参数中的7d55不匹配，导致拒绝加载。修复时编辑GRUB配置，将force_probe改为4908或*，更新GRUB后重启飞牛。强行加载可能带来稳定性风险，需留意。

飞牛应用商店的英伟达560驱动卸载不彻底，会在开机时继续加载，导致驱动报错、后续安装vGPU等驱动失败或显示异常。本教程说明彻底清理方法：先在应用商店卸载560驱动，再通过SSH以root停止相关服务、结束占用GPU进程，清除nvidia-driver-trim及库包，卸载nvidia内核模块，删除内核目录和/var下残留文件，移除nouveau blacklist，并重新生成depmod与initramfs，最后重启确认无驱动加载报错。作者称已用GPT-5分析安装脚本并双重测试有效。清理后可继续安装其它显卡驱动。

NVIDIA Container Toolkit 是连接容器运行时与主机 NVIDIA GPU 驱动的工具集，可在 Docker、containerd、Podman 等中运行 GPU 加速容器。它通过 --gpus all 等标志启用 GPU，确保容器内 CUDA 与主机驱动兼容，避免版本冲突，并支持安全隔离和精细指定 GPU，适用于深度学习、推理、科学计算、图形渲染等。安装前需已装驱动，并具备科学上网或全局代理；先添加 NVIDIA 仓库 GPG 密钥和包源，再更新并安装 nvidia-container-toolkit，按需将 Docker 配置为默认使用 NVIDIA 运行时。测试时运行带 --gpus all 的 CUDA 镜像，容器内执行 nvidia-smi，能显示显卡信息即成功。

飞牛有公网IP时，按单机模式配置：在雷池添加站点、配置并启用授权登录，添加局域网IP组。用公网IP加雷池监听端口访问，非局域网需身份验证，局域网免验证。若飞牛App无法使用，可将当前公网IP加入后解决。安全上关闭路由器对飞牛5666、5667的转发，仅转发雷池端口；IPv6在飞牛防火墙阻止。飞牛默认防篡改，不能直接修改默认规则。自建Frp内网穿透方法相同，但雷池装在Frpc端，站点反代到其监听端口，最后阻止其余端口，仅允许雷池监听端口。

文章指出，Windows主要依赖图形化，除VMware外的虚拟机在VNC下可能出现画面延迟、卡顿，因图像渲染需消耗性能；VNC主要用于故障排除，只要虚拟机上电就有画面输出。内容按系统分为Windows10、Server2019及以上，以及Windows7、Server2016、2012版本，后者可通过“此电脑”右键或控制面板操作。远程连接时，被控端用Win+R运行cmd并输入ipconfig查看IP；控制端输入该IP，账户一般为administrator或安装系统设置的用户名，密码为自设密码。传输文件或复制文本时，可在远程端复制，再到被控端直接粘贴。