Docker 29 把 firewall backend 換成 nftables 實驗支援：DOCKER-USER 這條 chain 沒了、bridge-accept-fwmark 才是新的鉤子
Docker 29 除了抬升 API 版本、把 containerd 換成預設，還多開了一條 nftables firewall backend 路線。啟用之後...
# VPS
10 篇文章
PostgreSQL 19 把 AIO worker 改成自動伸縮、autovacuum 拉來共用 max_parallel_workers：VPS 上的三池預算要重畫
PG18 引進 async I/O 但 io_workers 是靜態值，operator 抱怨了一整年。PG19 Beta 3 把 worker pool 改成...
Nginx 1.30 把 sticky cookie 從 Plus 拉回開源、預設連後端也改成 HTTP/1.1 keep-alive：ECH、證書壓縮、Early Hints 一次補上反向代理該有的樣子
Nginx 1.30 是 QUIC 併入主線後最有份量的一次 stable，proxy 預設改用 HTTP/1.1 keep-alive、可以對 upstrea...
systemd 259 的 run0 --empower：用 ambient capability 加 polkit group 把 sudo 的 SUID root 假設拆掉
run0 從 v256 開始建路，v259 補上 --empower 這一塊之後，才真的能在多數場景取代 sudo。這篇拆解它怎麼靠 kernel capabi...
用 depends_on service_completed_successfully 假裝 init container 撐了十年：Docker Compose v5.3 的 pre_start 才把資料庫遷移跟權限修正這件事做對
Docker Compose v5.3.0 於 2026 年 7 月加入 pre_start 生命週期，把 init container 從跟 Kubernet...
Pyroscope 2.0 拔掉寫入三份複製、OpenTelemetry Profiles 收成 pprof 相容 OTLP：連續 profiling 這次真的塞得進單臺 VPS
Pyroscope 2.0 於 2026 年 4 月正式發表，把寫入路徑的三份複製拔掉、讀取路徑改成 stateless、符號資訊去重率壓到 95%；OpenT...
Debian 13 升級後 unprivileged LXC 一堆服務 243/CREDENTIALS 起不來：systemd 257 unit credentials 打到容器 namespace 的解法
Debian 13 Trixie 帶進 systemd 257，unit credentials 預設打開，直接把 Proxmox 上的 unprivilege...
HBM 產能一路吃到 DDR5 見底、64GB RDIMM 從 $873 漲到 $1586：2026 記憶體荒下 VPS 該怎麼配、Linux 記憶體該怎麼壓出來
2026 年 DRAM 現貨價一年拉了近 700%、Micron 直接退出消費記憶體市場，HBM 產能把 server RDIMM 供給壓到近乎斷貨。本文拆解為...
沒設定 Open vSwitch 也擋不下：CVE-2026-64531 OVSwrap 用一個 16 位元 nla_len 回捲把 13 年前的邏輯洞燒回主線，一般帳號 unshare 一下就拿到 host root
2026 年 7 月 28 日公開的 CVE-2026-64531（OVSwrap）不需要 Open vSwitch 被使用、不需要 CAP_NET_ADMIN...
共用 NAT 底下的租戶信任撐了 30 年沒人動：Black Hat 2026 揭穿的 NatJack，把 TCP 劫持、DNS 汙染、連線表塞爆整組打包
NatJack 在 Black Hat USA 2026 揭穿了 NAT 這個協定家族自 RFC 定義起就寫死的信任假設，Linux Netfilter con...