Ubuntu LTS 的白嫖支持也只有五年，之后的 ESM 要花钱买的，也就是说支持 10 年得花钱。
社区支持 5 年算正常水平了。而且 Debian 和 CentOS 一样没有花钱买商业支持这种选项。

@villivateur
好像 UDP 还是有办法的，但需要双方通过别的渠道预先约定使用的端口号(Port1,Port2)。
HostA 发送 IpA:Port1->IpB:Port2 的 probe 包，HostB 发送 IpB:Port2->IpA:Port1 的 probe 包。
双方都完成第一次 probe 后，第二个 probe 包应该就可以送达对方了。
不清楚 STUN 支不支持这种用法。
TCP 应该是不能用这个方法的。

@MrTLJH
Apple 的数字遗产联络人指南，可以解除激活锁，但依然不能避免清除数据（但同步到 icloud 的数据可以获取），而且需要账户所有者预先设置。

https://support.apple.com/zh-cn/HT208510

这不是 iphone 特有的问题，大多数手机都不能在不进行额外设置的情况下都做不到通过在线账户解除加密锁定，因为这会导致设备厂商事实拥有解密所有自家设备的能力，无论中外，这种实现都被认为是危险的。

有个问题，这些平台的风控，保护平台自身利益优先于保护用户利益。我已经见过很多打着用户安全的名号要求用户提交实名资料的网站了。
而且将保障安全的主动性交给黑箱的平台风控可不是什么好主意。风控帮你拦截危险那算做好事，要是没拦住、把你自己拦在门外，甚至为了自身商业利益静悄悄的把你装的安全门拆了，你就有苦说不出了。

二级路由做 AP 是最省事稳定的方法。如果有原因必须跑二级 NAT ，那你可以试试 DHCPv6-PD 下游委派，这个要求运营商分发小于 /64 的前缀，例如 /60 ，可以在网络接口页 pppoe-wan 接口的 IPv6-PD 看到分发的前缀。
然后一级路由做如下设置
```
network.lan.ip6assign='58'
network.lan.ip6hint='1' （注意这是十六进制）

dhcp.wan.master='1'
dhcp.lan.dhcpv6='server' （这两句我认为对家宽是有必要的）
```
可以理解为，openwrt 会将 wan 口申请的前缀追加 ip6hint 使其长度达到 ip6assign ，然后将这个前缀分配至 lan 下游的二级路由。由于 SLAAC 要求不大于 /64 的前缀，所以这个方法需要运营商提供短前缀。
具体例子看 Wiki( https://openwrt.org/docs/guide-user/network/ipv6/configuration#downstream_configuration_for_lan_interfaces )

另外注意 Openwrt 默认规则拦截 IPv6 入站流量，有暴露服务需要的记得改防火墙规则。

我就想到两个条件（同时满足）下才有搞旁路由的价值：
1. 主路由（硬路由）跑不了想跑的网络应用，可能是性能不足或者存储空间不够，但能支持 VLAN ；
2. 能跑高计算需求应用的盒子只有一个网口（基本就是 N1 ）。

如果只满足 1 ，那直接盒子做主路由，硬路由当 AP 用。如果只满足 2 ，直接在主路由上跑全部应用就是了。

@jfdnet 这要看具体用旁路由跑什么，如果是重定向所有 DNS 请求到旁路由做智能 DNS ，那旁路由挂了就等于整个网络挂了。

我觉得一般不会在意，要这都不行那是不是算歧视癌症患者了？

@phpfpm
1. RA=Router Advertisement （路由通告），这是所有 IPv6 设备必须支持的功能，不管何种地址分配方式均需要 RA ，用来通告可用前缀和网关链路地址，Android 还会通过 RA 获取 DNS 服务器，好像 macos 和 windows 都不会通过 RA 获取 DNS 服务器。
2. DNS 响应是否包含 A 记录 /AAAA 记录与 DNS 服务器 IP 是 IPv4 还是 IPv6 无关，也就是说，DNS 服务器地址是从何种方式获得跟 DNS 响应没有任何关系。

实际上我非常怀疑所谓 DNS 双选的意义，因为它是通过不返回 A 记录或者不返回 AAAA 记录实现的。

如果你不检查一下证书有效性，那你根本不知道跟你进行加密通信的是不是李鬼，可能存在 MITM 攻击。

看这个知乎回答是不是解答你的疑惑吧。我的理解是浏览器并不想破坏“跨域表单”这个用法。

为什么跨域的 post 请求区分为简单请求和非简单请求和 content-type 相关？ - 贺师俊的回答 - 知乎
https://www.zhihu.com/question/268998684/answer/344949204

至于第三方 Cookies 是另一个话题。以下为个人见解可能有错：拦截第三方 cookies=跨站(cross-site)请求的响应的 Set-Cookie 头会被忽略+SameSite 属性不能为 None 。

标准入职体检不查甲功吧，一般有点关联也就肝功能。

我建议的做法是，主路由（也就是发送 RA 的路由）配置禁用 DHCPv6 （有状态和无状态都禁用），配置发送的 RA 不包含 RDNNS option （ RA option 25 ，RFC5006 ），或者将这个选项覆写为旁路由地址。Openwrt 支持这些配置。

Android 据说仅支持 RA option 25 ，macos 和 win 仅支持 DHCPv6 DNS option ，所以理论上只要禁用 DHCPv6 就够了。

需要注意，DNS 服务器是 v4 还是 v6 并不影响 DNS 响应本身是否包含 AAAA 记录（ IPv6 记录）

如果按 FHS 规范的话是这样的：PREFIX 为 /usr/local （/usr 下通常是发行版软件包），主程序在$PREFIX/bin ，共享库在$PREFIX/lib ，配置文件在$PREFIX/etc ，数据在 /var/<appname>，日志在 /var/log/<appname>。如果还需要添加 systemd 服务单元，可以放 /etc/systemd/system 或者 /usr/local/lib/systemd/system 。
不过这样放太散乱了，不如把所有东西放一个独立目录下方便备份和搬运。典型做法是都放 /opt/<appname>，下设 bin 、etc 、lib 、var 等等。

反正 4G 也不愁卖。
牙膏得一年一年慢慢挤。

@chuanbin
Smart Key 弹窗程序里的版本号是 3.0.10.0 ，商店软件包版本号是 4.2.33.0 。
迷惑行为。

@chuanbin 商店更新一下 Lenovo Hotkeys ，以前叫 Lenovo Utilities ，我用的版本是 3.0.10.0 。
另外我没装联想电脑管家，功能由商店的 Lenovo Vantage 代替，虽然也不怎么干净。

我觉得 Let's Encrypt 只提供三个月有效期是有一定好处的，就是用户可以较早被动发现自动化 renew 流程的问题。因为一直很烦怎么测试 renew 流程，我的私服都是用集成 ACME 的 Web 服务器，例如 Caddy 。
如果用一年期证书，运维可能就懒得做自动化 renew 了。

看了下我两年前买的小新 Pro13 。Smart Key 倒是单独做的，可以自定义双击启动程序（通过 Lenovo HotKeys 实现）。不过 Insert 做成了 PrtSc 的副功能键（ Fn+PrtSc=Insert ）。
看来是 PM 从自身需求出发考虑的，估计他们 PrtSc 用得比 Insert 多。