1. 在上游 API 地址和客户端之间加一层本地转发，转发的时候把模型字段替换掉（纯本地操作）
2. Claude Desktop 只认 HTTPS，所以本地转发端口得套一层 HTTPS。

可以直接在本地使用 CC-switch 做一个转发，把任意三方模型包装成 claude 模型，配置映射关系即可正常使用 Claude Desktop。

1. 安装 Claude Desktop
2. 启动 APP，先不要登录，Mac 端在顶部菜单栏寻找

Help -> Troubleshooting -> Enable Developer mode

3. 继续在顶部选择

Developer -> Configure third-party inference

4. 打开 CC-switch 添加你的模型供应商，可以一键复制之前配好的 Claude
5. 点击启用，并且开启本地路由

macOS 26 出新之后，隔三岔五的弹窗更新，总让我担心手滑点到「立即更新」，虽然有二次确认。但最近更新频繁，我想找个一劳永逸的办法。

我想要屏蔽更新的几个原因：

• 强迫症看着那个红点难受
• 新系统老机器带不动，怕更新了变卡
• 工作环境需要稳定，不想瞎折腾，更新后担心开发环境炸掉
• macOS 26 的液态玻璃风格我很讨厌，同时也担心更新后部分 app 不能匹配

遂决定升级到 macOS 15.7.3 之后，彻底屏蔽 macOS 更新，同时消除小红点

下面的方法在 2026 年的 macOS 26（Tahoe）上仍然可用，但说实话，越新的系统对更新提示的「执念」越深。hosts 拦截能让更新下载失败，却不一定能干净地让小红点消失。所以我把方案分成两个层次：先上 hosts 兜底，再用配置描述文件做彻底屏蔽（这是 2026 年最推荐、最省心的做法）。

第一步：UI屏蔽软件更新及自动下载

1. 打开「设置」-「通用」-「软件更新」
2. 点击右边的 ⓘ 图标
3. 把「自动保持我的 Mac 最新」关掉

第二步：修改 hosts 屏蔽更新

这一步的操作是为了禁止连接到 macOS 更新服务器，编辑 hosts 文件：

sudo vim /etc/hosts

在文件末尾加入以下几行：

127.0.0.1 swscan.apple.com
127.0.0.1 swdist.apple.com
127.0.0.1 swdownload.apple.com
127.0.0.1 swcdn.apple.com
127.0.0.1 updates-http.cdn-apple.com
127.0.0.1 updates.cdn-apple.com
127.0.0.1 gdmf.apple.com
127.0.0.1 xp.apple.com
127.0.0.1 mesu.apple.com

然后刷新 DNS 缓存：

sudo dscacheutil -flushcache
sudo killall -HUP mDNSResponder

第三步：消除小红点

完成上一步之后，依然能看到 macOS 26 的更新提示，但点击更新会失败。此时先点击更新，在弹出的界面不要点击「检测更新」，然后按 command+option+esc 打开「强制退出」窗口，将「系统设置」强制退出，小红点就会消失

关于 hosts 方法的局限

需要说明的是，从 macOS 15（Sequoia）到 26（Tahoe），Apple 把更新检测和通知做得越来越「顽固」。上面的 hosts 屏蔽可以让升级包下载不下来，但小红点和「升级到 macOS Tahoe」的提示有时还是会冒出来，尤其是系统后台守护进程定时检查之后。如果你发现红点三天两头又回来了，那就直接用下面第四步的配置描述文件，一劳永逸。

第四步（2026 推荐）：用配置描述文件彻底屏蔽升级

这是 2026 年社区（macsysadmin、Jamf、Daring Fireball 等）一致推荐的做法，也是我个人认为最省心的方案。原理是给系统装一个「延迟软件更新」的描述文件，让 macOS 26 的升级入口在「软件更新」界面里直接消失，连红点都不给你留。个人 Mac 不需要企业 MDM，自己做一个 .mobileconfig 装上就行。

核心是 Restrictions（com.apple.applicationaccess）这个 payload 里的两个键：

• forceDelayedMajorSoftwareUpdates = true：隐藏大版本升级（也就是 macOS 26）
• managedInstallDelay = 90：延迟天数，最大 90 天

做一个描述文件

不需要从零手写 XML，用免费的 iMazing Profile Editor 或 Apple Configurator（App Store 可下）新建一个 profile，添加 General → Restrictions，勾上强制延迟主版本更新，天数填 90，导出成 .mobileconfig 文件即可。

安装描述文件

1. 双击导出的 .mobileconfig 文件，系统会提示「已下载描述文件」
2. 打开「设置」-「隐私与安全性」，下拉到底部找到「描述文件」，点击进入
3. 选中刚才的描述文件，点击「安装」，按提示输入密码确认

装完回到「软件更新」看一眼，原本的「升级到 macOS Tahoe」入口和红点就都不见了。这比 hosts 折腾舒服多了。

注意事项

• 90 天上限：延迟最多只能设 90 天，到期前重新安装一次新 profile 就能续上，长期不升级的话设个日历提醒
• 手动安装的限制：macOS 26 上手动安装的描述文件，部分 Restrictions 键的覆盖力不如 MDM 受管设备，但对隐藏 macOS 大版本升级这一项是够用的
• 想升级时：把描述文件删掉（描述文件界面里点「移除」），稍等片刻就能重新看到更新入口

已经点了更新、或更新包已经下载，怎么反悔

这段时间陆续有朋友问到同一个问题：手快点了「立即更新」，或者系统后台已经把更新包下载好了，还能不能取消。能，按走到哪一步来处理：

情况一：还没重启，更新正在下载或已经下载完

先去「设置」-「通用」-「软件更新」，点下载条目旁边的 ⓘ，新系统（Ventura 之后）一般会在这里给一个「删除更新」按钮，有就直接点，这是最干净的办法。

找不到这个按钮的话，更新包其实已经躺在硬盘里了：小版本更新在 /Library/Updates，大版本升级在根目录的「macOS Install Data」文件夹。先试试终端直接删：

sudo rm -rf /Library/Updates/*
sudo rm -rf "/macOS Install Data"

如果提示 Operation not permitted，不是命令的问题，是 SIP 在保护这些文件。处理起来繁琐一点：进恢复模式（Apple Silicon 关机后长按电源键，出现「载入启动选项」后点「选项」-「继续」；Intel 机器开机时按住 Cmd+R），在菜单栏「实用工具」里打开终端，执行 csrutil disable，重启回系统再执行上面的删除命令，删完记得再进一次恢复模式用 csrutil enable 把 SIP 开回去。

删完回「软件更新」页面确认没有挂起的更新，然后把上面第四步的描述文件装上（或者确认 hosts 条目还在），不然过几天它又悄悄给你下载回来。

情况二：已经重启、装完了

装完就没有「取消」这回事了，只能 Time Machine 整机回退，或者抹盘重装旧版本，代价大得多。所以真想留在旧系统，重点是别让它走到这一步——屏蔽描述文件就是干这个的。

怎么恢复

哪天想更新了，按你当初用的是哪种屏蔽方式来恢复：

• hosts 方式：把 /etc/hosts 里相关行注释掉或删掉，刷新 DNS 缓存，重新点击检查更新即可
• 配置描述文件方式：到「设置」-「隐私与安全性」-「描述文件」里把对应的 profile 移除，等一会儿就能重新看到 macOS 升级入口

写在最后

以前我也喜欢追新，软件更到最新，经历过多次开发环境崩溃重建之后，逐渐对折腾失去了兴趣，自从 21 年入了 arm 的 mac 之后，过去4年，每隔1-2年就要有一次开发环境崩溃，我为自己过于激进导致的浪费时间感到后悔。

今年正式用上了 Time Machine，同时把更新彻底屏蔽了，再也不怕手抖了。这套方法我从 2025 年底一直用到 2026 年中，期间 Apple 推了不少次 macOS 26 的升级提醒，我这边一点动静都没有。

动动小手，五分钟，免除烦人更新小红点困扰

为什么需要组网？

ZeroTier简介

ZeroTier是一款基于P2P技术的虚拟局域网（VPN）工具，它能够将分布在全球各地的设备连接在一个虚拟的局域网中。通过ZeroTier，您可以实现：

1. 远程访问：在公司用手机直接访问家里的NAS设备
2. 设备互联：让分布在不同地理位置的设备如同在同一个局域网内一样通信
3. 点对点直连：设备间直接通信，无需经过中转服务器，既快速又安全

工作原理

ZeroTier的工作原理涉及三个关键概念：

• PLANET（行星服务器）：ZeroTier网络的核心根服务器，负责网络发现和初始连接，相当于整个网络的"中枢"
• MOON（卫星服务器）：用户可以自建的私有根服务器，作为区域性的代理节点，帮助就近的设备更快地建立连接
• LEAF（叶子节点）：所有接入ZeroTier网络的终端设备，如电脑、手机、服务器等

设备之间的连接过程是：首先通过PLANET或MOON进行发现和协商，然后尽可能建立P2P直连，只有在无法直连的情况下才会通过中转方式进行通信。

为什么自建Planet服务器？

虽然ZeroTier官方提供了免费的PLANET服务器，但在实际使用中存在以下问题：

1. 网络延迟：官方服务器位于海外，国内用户访问延迟高且不稳定
2. 连接速度：本地化的PLANET服务器可以显著加快设备间的连接建立速度
3. 网络控制：自建服务器让您完全掌控网络配置，可根据需求进行优化调整
4. 安全性：私有化部署意味着网络流量不经过第三方服务器，更加安全可靠
5. 独立性：避免因官方服务器故障或网络波动影响业务正常运行

如何自建Planet服务器？

我们将使用xubiaolin/docker-zerotier-planet项目，通过Docker容器快速部署私有的Planet服务器。

环境准备

在开始安装之前，请确保您的服务器满足以下条件：

1. 拥有公网IP地址
2. 开放以下端口：
   • 3443/tcp（管理面板，默认可调整）
   • 9994/tcp（ZeroTier通信，默认可调整）
   • 9994/udp（ZeroTier通信，默认可调整）
3. 安装必要的软件依赖：
   • Docker（容器运行环境）
   • Git（获取项目代码）

部署步骤

1. 安装依赖软件

# Debian/Ubuntu系统
apt update && apt install git docker.io -y

# CentOS/Rocky Linux系统
yum update && yum install git docker -y

2. 克隆项目代码

# 官方地址
git clone https://github.com/xubiaolin/docker-zerotier-planet.git

# 如果网络受限，可使用加速地址
git clone https://ghproxy.imoyuapp.win/https://github.com/xubiaolin/docker-zerotier-planet.git

3. 运行部署脚本

cd docker-zerotier-planet
chmod +x deploy.sh
./deploy.sh

根据提示选择"安装"选项，脚本将自动完成部署过程，通常需要1-3分钟。

4. 获取配置文件

部署完成后，会在./data/zerotier/dist目录下生成planet和moon配置文件。您可以通过安装完成后提供的URL直接下载，或使用SCP等工具从服务器下载。

5. 访问管理面板

部署完成后，可通过http://服务器IP:3443访问管理面板，默认账号为admin，默认密码为password。

使用自建Planet服务器组网

创建网络

1. 登录管理面板后，点击"Networks"菜单
2. 点击"Add Network"按钮创建新网络
3. 输入网络名称，其他选项保持默认
4. 记录生成的网络ID，后续客户端配置需要用到

客户端配置

Windows客户端

1. 从ZeroTier官网下载并安装客户端
2. 将planet文件复制到C:\ProgramData\ZeroTier\One目录（需要显示隐藏目录）
3. 重启ZeroTier服务：
   • Win+S搜索"服务"
   • 找到ZeroTier One并重启
4. 使用管理员身份打开PowerShell，执行：

   zerotier-cli.bat join [网络ID]
   

5. 在管理面板中授权该设备

Linux客户端

1. 安装ZeroTier客户端
2. 进入目录/var/lib/zerotier-one
3. 替换目录下的planet文件
4. 重启服务：

   service zerotier-one restart
   

5. 加入网络：

   zerotier-cli join [网络ID]
   

6. 在管理面板中授权该设备

macOS客户端

1. 进入/Library/Application\ Support/ZeroTier/One/目录
2. 替换目录下的planet文件
3. 重启服务：

   cat /Library/Application\ Support/ZeroTier/One/zerotier-one.pid | sudo xargs kill
   

4. 加入网络：

   zerotier-cli join [网络ID]
   

5. 在管理面板中授权该设备

验证连接

在任意客户端执行以下命令验证连接状态：

zerotier-cli peers

如果看到PLANET角色且连接方式为DIRECT（直连），则表示配置成功。

常见问题与解决方案

连接问题

1. 检查防火墙设置：确保服务器和客户端都开放了相应端口
2. 云服务商安全组：在阿里云、腾讯云等平台后台放行端口
3. 网络类型限制：某些网络环境下UDP可能被QoS限制，可考虑使用OpenVPN等替代方案

权限问题

1. 客户端未授权：确保在管理面板中勾选了设备的"Authorized"
2. 文件权限错误：确保planet文件具有正确的读取权限

性能优化

1. 部署Moon服务器：对于大规模部署，可以在不同地区部署Moon服务器以提高连接效率
2. 监控连接状态：定期检查zerotier-cli peers输出，确保设备间维持DIRECT连接

安全建议

1. 及时修改默认密码：部署完成后应立即修改管理面板的默认账号密码
2. 启用HTTPS：为管理面板配置SSL证书，提高安全性
3. 定期备份配置：妥善保管生成的配置文件，特别是planet和moon文件
4. 访问控制：严格控制网络成员，仅授权可信设备加入

实际应用场景

1. 远程办公：员工在家访问公司内部系统和资源
2. 家庭网络：在外随时访问家中的NAS、智能家居设备
3. 游戏联机：为分布式的游戏服务器建立专用网络
4. 开发测试：为开发团队提供隔离的测试网络环境
5. IoT设备管理：统一管理分布在全球各地的物联网设备

搭建好 planet 之后，在阿里云服务器上想要直接访问远程设备，也需要加入搭建好的 planet 网络，因 planet 和 peer 在同一台机器，可能会出现端口冲突的情况（默认用 9993），需要自定义 zerotier-cli 的端口

编辑 /var/lib/zerotier-one/local.conf文件（如果不存在则创建）：

{
    "settings": {
        "primaryPort": 9994
    }
}

配置完成后，使用

zerotier-cli join [网络ID]

s 即可在页面看到已经加入的阿里云机器，及家中局域网的机器

远程访问方案梳理

1. 基于公网 IP 的直接访问方案

• 优点：直接利用公网 IP 访问，无需中转，速度快。支持 ipv4/ipv6。
• 缺点：依赖运营商分配公网 IP，安全风险高。
• 适用场景：有公网 IP 的网络环境，如部分企业专线、有公网 IP 的家庭网络。

2. VPN（虚拟专用网络）方案

• 优点：安全加密，可完整访问内网。
• 缺点：需服务器或依赖 Cloudflare 服务，配置复杂。
• 适用场景：企业办公环境。
• 软件推荐：OpenVPN、WireGuard。

3. 内网穿透方案

• 优点：无需公网 IP，配置灵活。
• 缺点：依赖中转服务器，且访问速度与中转服务器带宽有关，需要额外付费，并且可能有延迟。
• 适用场景：临时远程访问，如开发测试。
• 软件推荐：frp、ngrok。

4. ZeroTier 异地组网方案

• 优点：P2P 连接，配置简单。
• 缺点：免费版限制设备数量，且存在打洞失败几率，但可使用自建 planet 一类的来突破限制（需要服务器）。
• 适用场景：小型组网，如家庭网络。

5. Cloudflare Tunnel 方案

• 优点：安全性高，配置简单。
• 缺点：依赖 Cloudflare 服务，因众所周知的原因速度访问巨慢。
• 适用场景：Web 服务、应用访问。

个人比较推荐方案 1和方案 4，理由如下

1. 付费少
2. 配置相对简单
3. 打通之后，需要少量配置或无需配置即可实现多设备访问

本文先介绍如何使用公网 ip 来进行远程访问，本文先假定能够开通 ipv4,具体操作步骤如下

基于公网 IPV4 的直接访问方案

一、获取公网IP

1. 申请公网IP

• 联系宽带运营商客服申请开通公网IP
• 根据运营商政策可能需要更换套餐或支付额外费用
• 可能获得的公网IP类型：
  • 固定IPv4（地址不变，费用较高，一般申请不到）
  • 动态IPv4（光猫重启后地址可能会变化，所以需要域名配合ddns 解析）
  • 动态IPv6（现在运营商普遍支持，但需要配合动态 dns 解析）

2. 验证公网IP

• 访问 https://ip138.com/ 或直接百度搜 ip 查询当前 ip
• 使用命令行工具检查：
  • Windows: ipconfig /all
  • Linux/Mac: ifconfig 或 ip addr
• 注意区分内网IP（192.168.x.x、10.x.x.x等）和公网IP，且注意路由器或光猫是否响应 ping 命令

二、网络环境配置

1. 光猫设置

• 理想情况：直接在光猫配置端口转发
  • 需要运营商提供超级管理员密码
  • 配置较简单，性能较好
• 现实情况：多数无法获取超级管理员权限，且光猫性能垃圾，多设备连接了之后会异常卡
  • 需要将光猫改为桥接模式，自己额外接路由器
  • 可能需要运营商远程协助设置

可能遇到的问题及解决方案

1. 运营商不给开公网ip => 投诉
2. 运营商不给开桥接 =》 投诉

2. 路由器配置

• 选购支持端口转发的路由器
• 设置路由器PPPoE拨号
  • 输入宽带账号密码
• 配置端口转发
  • 选择需要转发的内部端口
  • 设置对应的外部端口
  • 指定内网设备IP地址
  • 选择协议类型（TCP/UDP）

可能遇到的问题及解决方案

1. 拿不到宽带账号密码 =》 投诉
2. 验证自己的路由器是否获取到公网 ip =》 https://ip138.com 看ip 是否与路由器后台 ip 一致，且不为192.168.xxx.xxx ，不为 10.xx.xx.xx
3. 验证端口转发是否生效 => 假定获取到的公网ip 为 222.71.193.9 配置的转发为 9999 端口转发到内网 192.168.1.200 机器的 5001 端口，则执行命令

> telnet  222.71.193.9 9999   回车
Trying  222.71.193.9...
Connected to  222.71.193.9.
Escape character is '^]'.       (出现这行表示正常，如果没出现则依次排查应用状态，防火墙状态，端口转发是否正确)

3. 防火墙设置

• 路由器防火墙配置
  • 开放必要端口
  • 设置访问控制规则
  • 启用基本安全防护
• 内网设备防火墙配置
  • 允许相关端口访问
  • 配置访问白名单
  • 启用安全防护措施

完成上述配置之后，在外网可以直接通过 http://公网ip:端口转发外部port 访问相关的 web 应用,此处的 ip 为公网 ip，port 为配置的外网端口转发，假定获取到的公网ip 为 222.71.193.9 配置的转发为 9999 端口转发到内网 192.168.1.200 机器的 5000 端口（群晖默认端口），则访问地址为 http://222.71.193.9:9999 ，但运营商给的是动态 ip，可能会在某些特定的时候自动改变，或者是在路由器重启时重新分配，重新分配之后，就原来的方式就不能访问了，所以为了使用方便，都希望直接使用某个域名来远程访问内部服务，接下来就需要介绍后续DDNS 了

DDNS （Dynamic DNS), 熟悉 DNS 的小伙伴都知道 DNS 是将域名转为 IP 地址的服务，直接复习下

 DDNS（动态域名系统）和DNS（域名系统）是两个相关但不同的概念。以下是它们的主要区别：

### DNS（域名系统）
- **全球性服务**：DNS是一个全球性的服务，它将人类易于记忆的域名转换为计算机使用的IP地址。
- **静态解析**：传统的DNS服务通常用于静态IP地址，即域名与IP地址的映射是固定的，不会随时间变化。
- **分布式系统**：DNS是一个分层的分布式系统，包括根服务器、顶级域名服务器、权威名称服务器和递归服务器。
- **缓存机制**：DNS查询结果通常被缓存，以提高解析速度和减轻DNS服务器的负载。
- **适用于静态IP**：对于拥有静态公网IP的用户或企业来说，传统的DNS服务是合适的。

### DDNS（动态域名系统）
- **动态IP支持**：DDNS服务允许用户将一个固定的域名与动态变化的IP地址关联起来，特别适用于家庭用户和小型办公室，他们的公网IP地址可能会因为重新连接互联网而变化。
- **自动更新**：DDNS服务会自动检测IP地址的变化，并更新DNS记录，确保域名始终指向当前的IP地址。
- **依赖第三方服务**：DDNS服务通常由第三方提供商提供，用户需要在服务提供商的平台上注册域名，并配置DDNS服务。
- **客户端软件**：用户通常需要在本地网络设备上安装客户端软件，该软件会监测IP地址的变化，并与DDNS服务提供商的服务器通信以更新DNS记录。
- **适用于动态IP**：对于没有静态公网IP的用户来说，DDNS服务是必要的，以便他们能够通过一个固定的域名来访问或管理他们的网络设备。

总结来说，DNS是一个全球性的域名解析服务，而DDNS是DNS服务的一个扩展，专门为动态IP地址提供域名解析服务。DDNS解决了动态IP地址环境下域名解析的问题，使得用户可以通过一个固定的域名来访问他们的设备，即使这些设备的IP地址可能会变化。

DDNS是直接将域名转化为动态 ip，这样我们配置好之后就直接能用固定的域名访问内网中的各种服务了

三、域名解析配置（可选）

1. 域名准备

• 购买域名
• 配置DNS服务器

2. DDNS配置

• 选择DDNS软件
  • DDNS-GO
  • Lucky
  • NO-IP
  • 花生壳
• 软件配置
  • 设置域名提供商API，网上教程太多 不过多赘述，参考各个软件官方文档即可
  • 配置更新间隔
  • 选择需要解析的域名
• 运行方式
  • 物理机直接运行
  • Docker容器运行
  • 路由器插件运行

3. 解析验证

• 测试域名解析是否正确

可能遇到的问题及解决方案

1. 测试域名解析是否正确 =>

❯ ping 你配置在 ddns 软件里的域名 比如
ping nas.abcdefg.com
PING nas.abcdefg.com (222.71.193.9): 56 data bytes
64 bytes from 222.71.193.9: icmp_seq=0 ttl=50 time=12.410 ms
64 bytes from 222.71.193.9: icmp_seq=1 ttl=50 time=13.020 ms
64 bytes from 222.71.193.9: icmp_seq=2 ttl=50 time=15.120 ms

重复出现的 ip与自己公网 ip 一致即可

如果在配置 ddns 之前如果都没问题，但是 ddns 解析有问题，可能需要关注下自己是否使用了相关代理软件，修改代理规则，我曾经遇到过使用 cloudflare 的 dns，同时在路由器上配置了代理，再使用 ddns 时发现 cloudflare 上的 dns 解析一直是解析到某海外 ip，排查之后发现是规则设置的问题

四、测试验证

测试部分，不做过多数据测试，能满足自己要求即可

1. 基础连通性测试

• Ping测试
  • ping 公网IP
  • ping 域名（如果配置了域名）
• 端口检测
  • 使用在线端口检测工具
  • telnet测试端口连通性

2. 性能测试

• 带宽测试
• 延迟测试
• 稳定性测试


查证go 和 go env 之后发现都没问题，最后注意到 ~/.bash_profile 中有这部分，确定造成报错的行是 export NODE_OPTIONS=–openssl-legacy-provider

#node
export PATH="/opt/homebrew/opt/node@20/bin:$PATH"
export LDFLAGS="-L/opt/homebrew/opt/node@20/lib:$LDFLAGS"
export CPPFLAGS="-I/opt/homebrew/opt/node@20/include:$CPPFLAGS"
export NODE_OPTIONS=--openssl-legacy-provider

使用vi编辑或者是使用其他文本编辑器打开 .bash_profile 文件

vi ~/.bash_profile
按i进入编辑模式
找到export NODE_OPTIONS=--openssl-legacy-provider 所在行
在 export NODE_OPTIONS=--openssl-legacy-provider 前加#
最后那行变成
#export NODE_OPTIONS=--openssl-legacy-provider
再按 esc 退出编辑模式
:wq! 
然后回车

如果不会使用 vi 可以直接终端执行

cd $HOME & open .

然后用喜欢的文本编辑器打开.bash_profile 更改所在行

将NODE_OPTIONS 注释掉后，重新进入 VScode 解决

登录之后，打开 https://dash.cloudflare.com/ ,保存/之后的字符串为 accountId

再打开 https://dash.cloudflare.com/profile/api-tokens

这一步完成后会看到如下图，保存好自己的 Workers AI API token

# 用户 API 令牌

#### Workers AI API 令牌已成功创建

复制此令牌以访问 Cloudflare API。为安全起见，将不再显示此令牌。

然后去 one-api 添加新渠道

添加完成后即可进行测试，后续可以再 next-chatgpt中直接使用