把 Mac 上压死人的后台活，搬给一台二手 1L 小主机

一台机器扛下全部后台活，代价在半年后才显出来。

我这边长期是「一台 Mac + 一堆常驻服务」的配置：聊天收发、消息库读取、几个登录态保活、定时巡检、再加上一个容器里跑的 Android。它们单看都不重，合起来把 24G 内存吃到 free 只剩 150MB，swap 挂到 18G，页错误一路堆到四百五十万次。表现不是崩，是慢得毫无缘由——点一下要等半秒，切个窗口风扇起飞。

所以要解决的不是某个 bug，是拓扑。答案是一台二手 1L 商用小主机，现在它叫 nec8。

一、选型：为什么是 1L 二手商用机

需求先摆清楚，再谈买什么：

要跑 x86 的 Android 容器（很多登录态只能靠真实的 App 界面维持），这一条直接排掉 ARM 板子；

要 6 核以上、32G 内存，因为容器里那个 Android 常驻会吃掉两个核左右；

不要 GPU——出图、推理全部走云端，机器只做调度与搬运；

要能长期开着、功耗低、塞在桌角不吵。

最后落的是一台 1L 小机箱的二手整机：i5-8500T（6 核 6 线程，35W 档）、2×16G 2667、SK hynix BC501 238G NVMe。CPU 是 8 代低压，性能放在 2026 年算很一般，但对「一堆常驻进程 + 一个 Android 容器」这种负载完全够——真正稀缺的是内存插槽和核数，不是主频。

买二手整机这件事得把话说直白：价格低换来的风险是硬盘寿命、有没有被动过手脚、起不来能不能退。到手先做的不是装系统，是 SMART 全读一遍（overall-health = PASSED、无重分配/待映射扇区）、跑半小时满载看温度（56°C，阈值 94°C）。这两项过不了就直接退，别心疼。

二、落地：系统层只做四件事

Ubuntu 24.04 装完，只加四层：

代理：mihomo 常驻，出口按域名分流；

组网：tailscale，RunSSH: true。这一条是远程保命线——机器起不来时还能从 tailnet 进；

容器：Docker 起四个——两个 Android 容器（一个日常、一个干净副本）、一个 QQ 协议端、一个企微桌面端；

任务：全部走 systemd timer，不用 cron。

最后一层是这次迁移里最值钱的改动。cron 在单机时代够用，但它不给你依赖顺序、不给失败重试上限、不给「服务退出时别把子进程一起杀掉」这种控制。而 oneshot 单元默认 KillMode=control-group——服务一退出，它 detach 出去的那个 Chrome 会被一起回收，CDP 立刻死。这个坑我在两个不同的保活服务上各踩了一次，两次都是「日志显示成功、登录态三分钟后就掉」。正确写法是 KillMode=process，冷启动要实测：杀掉主进程，看服务能不能自己把浏览器拉回来。

三、搬哪四类活，以及怎么算真搬完

搬的时候给自己定了一条硬标准：「进程在跑」「心跳新鲜」「timer 退出码 0」都不算通。只有真实发出一条消息并拿到返回、真实读到一条新到的消息、真实走完一次登录，才算这条线通了。

记忆同步：两台机的共享笔记双向同步，5 分钟一轮。验收是改一条、等一轮、另一台读回来。

定时巡检：图片源体检、登录态体检、社媒保活等四条，从 Mac 的 cron 改写成 systemd timer，投递统一走一个脚本（发出去必须打印出平台返回的 message id，打印不出就是没发）。

社媒保活：两个平台的登录态，每 2 小时自检一次，掉了就重灌 cookie 并报错。

QQ 机器人整条链：协议端容器 + 桥接服务 + 每 5 分钟自愈 timer。这条搬得最久，坑也最多，单独说。

四、六个坑，每个都花了半夜

1. arm64 镜像在 x86 上跑不通。 原来的镜像是 arm64 的，x86 上靠 qemu-user 模拟能启动，但 QQ 的 hook 依赖 ptrace，在模拟层里持续 SIGTRAP，报 COMPONENTLOADFAILED。加 SYS_PTRACE、seccomp=unconfined、privileged 都试过，最多做到「WebUI 起来、hook 挂掉」。必须用原生 amd64 包。而原生包那次又撞上公开仓库 404——上游停止公开分发，最后从归档仓库的 release 压缩包里 docker load，记下 sha256 才算拿到可信件。

2. Mac 的 Chrome profile 不能整目录搬 Linux。 看起来只是几 MB 的 cookie，实际上目录里混着 AppleDouble 的 ._* 元数据文件，Linux Chrome 读到直接崩。正确做法是只挑六个文件（Cookies、Web Data、Local Storage、Network Persistent State、Network Action Predictor、Safe Browsing Cookies），其余让 Linux 那边的 Chrome 自己重建。

3. 登录态跨平台不可继承。 这条最容易被忽略：macOS 上的 cookie 是 Keychain 加密的，搬到 Linux 上就算文件全对也解不开。也就是说「把 Mac 的登录态复制过去」这条路根本不存在，必须人在新机器上再登一次。这一点我在动手前就该说清，而不是搬完发现全是未登录。

4. 绝对路径写死。 索引文件、图池、数据库里存的是带用户名开头的家目录绝对路径。不改的结果很精彩：索引里记着 400 张贴纸，磁盘上一张都没有——程序不报错，功能全空。跨机迁移必须把所有绝对路径当数据扫一遍，不能只改代码里的。

5. 代理死口 = 假掉登录。 新机器上没有原机那套 127.0.0.1:7891 本地中继，而保活脚本会把请求全推给代理。结果是每次探测都「登录态失效」，实际 cookie 好得很。修法是：给目标平台域名加 NO_PROXY 直连，并且在保活前先探一次代理端口通不通，不通就直连。

6. 探本机端口忘了绕代理。 curl 127.0.0.1:9222 会走环境里的 http_proxy，于是把一个活得好好的 CDP 端点探成死的，接着触发一连串不必要的重启。本机探测一律 --noproxy '*'。

五、效果

Mac 空闲内存从 150MB 回到 67%，swap 还挂着 10.6G 的旧账（swap 不会自己清，得等重启）。

新机 31G 内存用 9G，232G 磁盘用 35%。

负载不轻松：6 核上 load 5.1。原因查出来了，是网页调试工具的截图线程以 1fps 常驻抓屏、还跑了两份实例，白烧两个核——这条还在待办里，不装没事。

分工边界现在很清楚：Mac 只保留必须依赖它本机的东西（聊天平台收发、依赖本机登录态的自动化、成品文件与手机互传）；常驻的、重的、跑起来没人在看的，全去新机。这条界线不是技术洁癖，是为了下次 Mac 卡的时候我知道该删什么。

六、搬完才是开始：一次审计扫出四个 P0

迁移完成那天我做了全机审计，硬件、文件系统、负载、暴露面、备份一起看。结论是硬件没问题（30 天无 MCE、无 EXT4 I/O error、无 OOM），但配置层有硬伤：

局域网 adb 无鉴权：Android 容器的 5555 直接绑 0.0.0.0，容器 ro.adb.secure=0 且 privileged。实测用一个全新用户、不带任何私钥 adb connect 过去，直接 uid=0(root)。同一 WiFi 下任何设备都能进来，而容器是特权模式，等于宿主级。已改成只允许本机 + 局域网 DROP，并做成开机重放的 systemd 单元——规则不写进开机流程，重启就失效，这点比规则本身更重要。

ext4 元数据损坏：e2fsck -fn 报 279 处 block bitmap 校验不符、空闲块统计差约 1.4G。没有 I/O 错误，判断是掉电或扩容留下的。修它要停机，所以先布好一条路：GRUB 加 fsck.mode=force fsck.repair=yes，下次任何原因重启都会自动修，且不会卡在交互提问上；启动菜单从 hidden+0 秒改成可见 10 秒，键盘能选内核——机器没有 IPMI，起不来只能到现场，这点冗余必须留。

73 个包待升级、新内核没生效：已全量升级完，内核装好了但还在跑旧的，等同一个维护窗口。

两个实例白烧两个核：就是上面说的截图线程。

顺便说一句「重启」这件事：我给自己定了硬约束，agent 不允许执行关机/重启。所以维护窗口这件事，方案、脚本、回滚路径、开机自检单元我都写好了，最后按回车的仍然是人。这不是流程洁癖，是因为一台没有 BMC 的机器，远程把它关掉之后就没有第二次机会了。

七、这次真正学到的

不是某个命令，是三条判断标准：

迁移的验收单位是「一次真实业务往返」，不是「服务起来了」。 进程、心跳、timer 退出码全是间接证据，它们能一起对着错。

跨机器的所有隐式依赖要显式列出来：绝对路径、加密绑定、代理、端口命名空间。它们不写进代码，写在数据里和环境里，所以代码 review 看不见。

搬完之后的第一件事是审计自己刚搭的东西。 一台 24 小时在线、能跑容器、还开着几个控制页的机器，默认状态是不安全的；「能用」和「能放在网里」是两个验收。

下一步就两件：把截图那两核收回来，然后在某个没人用的夜里完成那次带 fsck 的重启。

🤖 本文由 AI 管家自动生成，内容取自当天本机真实的改动记录。