Roman Riabenko's questions

我按照MikroTik 帮助文件中的 Hurricane Electric 示例在 MikroTik 上设置了 6to4 SIT 隧道。

它有效，但与某些资源的连接非常慢并且经常超时。例如，在升级和重新配置guix 期间，默认服务器的下载速度徘徊在 50 KiB/s 左右，并且在下载内核时通常最终失败，可能是因为它是一个大包。

隧道代理的技术支持建议1280的MTU太小，应该使用1480。事实上，如果我将隧道接口的 MTU 更改为该值，连接速度就会变得正常并以 MiB 为单位进行计数。我不知道为什么会这样，但可能是因为在某些时候网络设备不需要将较大的数据包分解成较小的片段，这需要一些开销。

但我遇到了另一个问题：与某些服务器的连接挂起。guix pull挂起。针对有问题的 URL运行curl -v会导致 TLS 协商超时 ( curl: (28) SSL connection timeout) 或加密库失败 ( curl: (35) gnutls_handshake() failed: Помилка у функції pull.)。

对服务器进行 ping 操作可以正常工作，但使用 MTU 大小（ping6 -s后跟八位字节数）的消息进行 ping 操作会收到Packet too big第一个 ping 操作的响应，然后丢弃其余的操作。TCP 连接成功，但 TLS 协商超时。MTU 对于与此服务器的连接来说太大。

RFC 4213规定：

使用静态隧道 MTU 的节点将隧道接口视为具有固定接口 MTU。默认情况下，MTU 必须介于 1280 和 1480 字节（含）之间，但它应该为 1280 字节。

RFC 6343有一个关于“PMTUD 失败”的部分，该部分链接到RFC 2923，建议 IPv6 回退到 MTU 1280，除非可以修复“ICMP 黑洞”。

MikroTik 的示例配置建议使用 1280 以避免 MTU 协商的必要性。还有一个clamp-tcp-mss默认打开的设置：

控制是否更改接收到的 TCP SYN 数据包的 MSS 大小。启用后，如果当前 MSS 大小超过隧道接口 MTU（考虑 TCP/IP 开销），路由器将更改接收到的 TCP SYN 数据包的 MSS 大小。接收到的封装后的数据包仍将包含原始的MSS，只有解封装后MSS才会发生变化。

这也许可以解释为什么 ping 偶尔允许我通过隧道成功发送高达 65527（显然是 65535 减 8）的大量消息。但是，这会尝试匹配隧道 MTU，而我需要确定每个连接的 MTU，该 MTU 可能小于隧道 MTU。我该如何做到这一点，这样我就不需要降低隧道 MTU？

我在配备 Ryzen 5 4500U 处理器的笔记本电脑上的 Debian 10.6“buster”虚拟机中使用 Windows 10 作为来宾，该处理器配备 AMD® Renoir 集成显卡，但在这台笔记本电脑上它仅运行llvmpipe. 我在来宾上安装了SPICE 工具。

指针的滞后非常明显，以至于变得有点烦人。开始客人后的一天变得更糟。基本上，看起来来宾中的指针稍微落后于主机上的指针，并且稍微加速到主机上光标的位置。我的计算机上的 Linux VM 没有这种行为。在 Windows 10 客户机中启用或禁用“增强指针精度”选项时，指针行为没有任何差异。此外，指针有时会“分裂”成两个指针：一个用于主机，另一个用于客户机，相应地进行修饰。

下面是视频客户端的XML配置部分：

<video>
  <model type="virtio" heads="1" primary="yes">
    <acceleration accel3d="no"/>
  </model>
  <address type="pci" domain="0x0000" bus="0x00" slot="0x02" function="0x0"/>
</video>

我尝试将加速度更改为“是”，但没有帮助。

官网有我笔记本电脑的新版BIOS。从网站下载的是一个 zip 存档，其中包含一个可执行文件和一个 README.txt，它指示在 Windows 下单击该可执行文件。我正在运行 Debian“破坏者”。安装 Windows 似乎更新 BIOS 的工作量太大。我用 fileroller 打开了可执行文件，并将其中的所有文件提取到一个空的 FAT32 格式的闪存驱动器上。在所有文件中都有一个“abobios.bin”，看起来很有希望。不幸的是，笔记本电脑在启动时无法从 USB 闪存驱动器中获取它。似乎没有在 BIOS 本身中更新 BIOS 的选项。除了在我当前安装的 Debian 上安装 Windows 之外，还有其他方法可以更新 BIOS 吗？

$ echo `sudo dmidecode --string bios-vendor` `sudo dmidecode --string bios-version`
Insyde Corp. V1.03
$ echo `sudo dmidecode --string baseboard-manufacturer` `sudo dmidecode --string baseboard-product-name` `sudo dmidecode --string baseboard-version`
RO Kona_RN V1.03

编辑：更新中包含的刷机工具是来自 Insyde Software Corp. 的 Insyde H20FFT（Flash Firmware Tool）版本 2.00.11.00。

我正在尝试对我的 Debian 笔记本电脑上的网站安全访问进行故障排除。当我尝试在 Gnome web (Epiphany)、Gnome 提要、urlwatch或中访问该站点时openssl，它会失败。Gnome web 声明该网站无法验证。请参阅下面的输出openssl。但是 Chromium 和 Firefox 加载站点时没有任何问题，并声明连接是安全的。我如何检查它是否是我的系统中的错误，我可以修复，或者网站上的错误配置，Chromium 和 Firefox 只是以某种方式解决？

$ openssl s_client -connect fg.gov.ua:443
CONNECTED(00000003)
depth=0 C = UA, postalCode = 04053, L = Kyiv, street = vul.Sichovykh Striltsiv 17, O = "Deposit Guarantee Fund, State Organisation", OU = IT, CN = *.fg.gov.ua
verify error:num=20:unable to get local issuer certificate
verify return:1
depth=0 C = UA, postalCode = 04053, L = Kyiv, street = vul.Sichovykh Striltsiv 17, O = "Deposit Guarantee Fund, State Organisation", OU = IT, CN = *.fg.gov.ua
verify error:num=21:unable to verify the first certificate
verify return:1
---
Certificate chain
 0 s:C = UA, postalCode = 04053, L = Kyiv, street = vul.Sichovykh Striltsiv 17, O = "Deposit Guarantee Fund, State Organisation", OU = IT, CN = *.fg.gov.ua
   i:C = GB, ST = Greater Manchester, L = Salford, O = Sectigo Limited, CN = Sectigo RSA Organization Validation Secure Server CA
---
Server certificate
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
subject=C = UA, postalCode = 04053, L = Kyiv, street = vul.Sichovykh Striltsiv 17, O = "Deposit Guarantee Fund, State Organisation", OU = IT, CN = *.fg.gov.ua

issuer=C = GB, ST = Greater Manchester, L = Salford, O = Sectigo Limited, CN = Sectigo RSA Organization Validation Secure Server CA

---
No client certificate CA names sent
Peer signing digest: SHA256
Peer signature type: RSA-PSS
Server Temp Key: X25519, 253 bits
---
SSL handshake has read 2390 bytes and written 381 bytes
Verification error: unable to verify the first certificate
---
New, TLSv1.3, Cipher is TLS_AES_256_GCM_SHA384
Server public key is 2048 bit
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
Early data was not sent
Verify return code: 21 (unable to verify the first certificate)
---
---
Post-Handshake New Session Ticket arrived:
SSL-Session:
    Protocol  : TLSv1.3
    Cipher    : TLS_AES_256_GCM_SHA384
    Session-ID: D05774AA93DE22018DD221D4D56BBA7AC8B2C15ED3BE7BC7C75396FCB75F6FA4
    Session-ID-ctx: 
    Resumption PSK: EA673D1A4985E74D6CA74F5105FF311757CF08251515A0C3F92A39362B66C22CD264B61F87F09EAD2DD3355FEA948503
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    TLS session ticket lifetime hint: 300 (seconds)
    TLS session ticket:
    0000 - 09 64 75 0e e1 89 54 b2-b8 43 89 59 36 88 88 cc   .du...T..C.Y6...
    0010 - 18 50 a2 ef 53 9c d8 f7-8f b2 fa e9 89 a5 73 34   .P..S.........s4
    0020 - 07 4b 64 dc 14 d4 dc e4-be 29 c4 a4 99 b8 da 15   .Kd......)......
    0030 - d1 09 c4 6b fc d0 61 c0-59 5e d8 e7 0a 40 31 ca   ...k..a.Y^...@1.
    0040 - 42 2d 00 9b ae fd e3 b1-50 5e 08 04 46 2c a7 b7   B-......P^..F,..
    0050 - 3b 8a 61 28 c1 23 37 5a-05 23 14 d3 45 91 40 d5   ;.a(.#7Z.#..E.@.
    0060 - b9 ae 3d 3c 6b 61 1b 5f-5e 7a 05 1a b9 10 ab 61   ..=<ka._^z.....a
    0070 - 09 b9 08 6c ab 5e 3b f7-15 7a 98 d5 91 b1 7c 7e   ...l.^;..z....|~
    0080 - a8 45 51 e3 74 24 35 40-ba 7c b8 e5 35 8e a4 22   .EQ.t$5@.|..5.."
    0090 - d4 47 63 59 d2 e2 c7 8b-d2 35 46 27 dc 2f 13 51   .GcY.....5F'./.Q
    00a0 - 6b 8f bf ba 16 0b 18 ae-e2 f0 e9 df 5a 79 56 a1   k...........ZyV.
    00b0 - 76 8d 4c 66 ef 16 07 fd-91 b5 5a f7 87 93 e6 b0   v.Lf......Z.....
    00c0 - ed e5 22 2b 26 9e 70 aa-39 4b 4c c0 c9 ff fc 83   .."+&.p.9KL.....
    00d0 - 22 f8 5c 4f 3c 91 04 c3-88 65 2a ec 6b 78 d0 16   ".\O<....e*.kx..

    Start Time: 1597841026
    Timeout   : 7200 (sec)
    Verify return code: 21 (unable to verify the first certificate)
    Extended master secret: no
    Max Early Data: 0
---
read R BLOCK
---
Post-Handshake New Session Ticket arrived:
SSL-Session:
    Protocol  : TLSv1.3
    Cipher    : TLS_AES_256_GCM_SHA384
    Session-ID: 75A45FF3AAA8E24217131F365A8953BEA5FF6D2666A858ECF56F7219F33115DA
    Session-ID-ctx: 
    Resumption PSK: 043BB4F8848D3F069467B3638A887DE50B10A697BDA8D9A18180CC82ACF0D72C67B527AD8ADFC9BAD1DDF08E7C83808F
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    TLS session ticket lifetime hint: 300 (seconds)
    TLS session ticket:
    0000 - 09 64 75 0e e1 89 54 b2-b8 43 89 59 36 88 88 cc   .du...T..C.Y6...
    0010 - c7 09 c9 47 b4 46 29 74-cb ff f6 a1 25 09 73 78   ...G.F)t....%.sx
    0020 - 84 1e 40 a7 40 61 19 39-58 ec 4b 34 20 c9 e7 3f   ..@.@a.9X.K4 ..?
    0030 - b7 21 1a 30 a7 cb ad c3-e4 53 dd f9 74 b6 4b 08   .!.0.....S..t.K.
    0040 - c9 7f 11 26 a0 77 3f f1-9a ff 58 2a f0 1f aa f9   ...&.w?...X*....
    0050 - 12 52 06 c9 08 25 9c 16-4e f2 f7 43 64 f2 3b 4d   .R...%..N..Cd.;M
    0060 - b1 dc c7 62 94 ce c8 91-1e 66 cb 0d 11 aa 37 3e   ...b.....f....7>
    0070 - 2a 63 14 ad 2d 00 bf 29-09 53 35 fd 33 52 98 5f   *c..-..).S5.3R._
    0080 - 82 5b fd 01 b1 bd 8c 22-81 76 d7 26 32 e7 0e e7   .[.....".v.&2...
    0090 - 9e bd a4 56 bc da 96 75-08 ce e3 76 9c 2d 6a b2   ...V...u...v.-j.
    00a0 - 81 02 70 74 5d e4 92 1a-94 ed 9e db c5 40 68 ff   ..pt]........@h.
    00b0 - 07 f3 f5 69 b5 cb 3b 88-20 7c 17 61 7c 72 be 95   ...i..;. |.a|r..
    00c0 - b9 d1 01 4e 6c 96 b0 4c-a0 30 e1 ae 7f 88 27 81   ...Nl..L.0....'.
    00d0 - 44 1c 7b 7f 23 d8 bc 57-21 df 92 8a af 49 d9 e6   D.{.#..W!....I..

    Start Time: 1597841026
    Timeout   : 7200 (sec)
    Verify return code: 21 (unable to verify the first certificate)
    Extended master secret: no
    Max Early Data: 0
---
read R BLOCK
closed

编辑：

考虑到答案，我决定检查如果服务器提供链，SSL 验证是否会成功。根据 Firefox 中有关网站的信息，我在本地保存了 Firefox 用于网站的中间证书。有了它，我成功地openssl verify在服务器证书上运行了。我得出结论，我的系统具有必要的根证书。Firefox 可能将中间证书用作解决方法，该证书是从其他地方以前使用缓存的。

$ openssl verify -show_chain -untrusted intermediate.pem server.pem
server.pem: OK
Chain:
depth=0: C = UA, postalCode = 04053, L = Kyiv, street = vul.Sichovykh Striltsiv 17, O = "Deposit Guarantee Fund, State Organisation", OU = IT, CN = *.fg.gov.ua (untrusted)
depth=1: C = GB, ST = Greater Manchester, L = Salford, O = Sectigo Limited, CN = Sectigo RSA Organization Validation Secure Server CA (untrusted)
depth=2: C = US, ST = New Jersey, L = Jersey City, O = The USERTRUST Network, CN = USERTrust RSA Certification Authority

作为旁注，我发现我可以ssl_no_verify: true在urlwatch作业配置中使用来跳过验证。

更新：

我通过电子邮件发送了网站的反馈热线，并按照答案中的建议将它们指向 RFC。该网站现在运行良好。

我有一个 .html 文件，它是使用 Firefox 中的“将书签导出到 HTML...”工具创建的。当我尝试使用 Gnome Web Browser (Epiphany) 打开它时，浏览器会下载文件而不是显示。如何在浏览器中打开文件？

我处理的是管理员有意配置的 Windows 10 桌面（Windows 10 Enterprise 2015 LTSB），以允许用户运行软件，但不允许用户在没有管理员的情况下在系统范围内安装软件。许多应用程序旨在成功安装在这样的环境中，例如 Chrome、Firefox、Telegram、Viber、WhatsApp 等。它们安装到用户配置文件并在开始菜单、文件关联等中正确显示。但是如果我转到设置 > 系统> 应用程序（或我的语言中类似的东西），所有卸载应用程序的选项都是灰色的。如何在没有管理员的情况下正确删除它们，包括应用程序、关联文件、配置、开始菜单项等？

我经常需要在文档中的 MS Word 365 桌面应用程序中插入标签并交叉引用其文本。我将它们应用于合同中的法律定义，交叉引用可确保在整个文档中正确使用这些术语。

我使用功能区应用标签：插入>超链接>标签（在我的界面语言中为Вставлення > Посилання > Закладка ）。是否可以使用键盘快捷键打开分配标签的对话框？

我也曾经使用功能区进行交叉引用：插入>超链接>交叉引用>标签（在我的界面语言中为Вставлення > Посилання > Перехресне посилання > Закладка ）。我刚刚成功分配了一个自定义快捷方式以在自定义快捷方式设置中打开交叉引用对话框（在 MS Word 选项的功能区配置部分中）。但是我之前每次插入不同类型的交叉引用（例如对段落的交叉引用）时，仍然需要切换到标签。是否可以使用单个键盘快捷键打开对话框并在标签处准备好？

我在使用 Gnome 3 安装 Debian sid 时删除了gnome-online-accounts和gnome-online-miners其他不需要的软件包。我仍然在控制中心有“在线帐户”（我的语言版本中的“Облікові записи в інтернеті”）部分。徽标不见了，但它仍然存在。如果我单击任何选项，则会加载一个带有登录屏幕的窗口。如何gnome-online-accounts正确删除，以便控制中心完全没有“在线帐户”部分？有可能还是故意不支持？

编辑：我找到了一个似乎可行的解决方案，我将其作为答案发布在下面。但我会欣赏更好解释的解决方案、建议和解释是否是开发人员希望我解决问题的方式。