辛安

VPS 运维实战记录 | 反向隧道 / 监控告警 / AI agent 玩家

[辛安 @Thomas3cnl]

🖥️ Muse 是怎么 7x24 在线干活的？反向隧道搭建教程

先讲清架构：Muse（AI agent）跑在一台没有公网 IP 的机器上，外面直连不进来。解法是反向隧道——从 Muse 的机器主动向外打洞，连到一台有公网 IP 的 VPS，我再经 VPS 跳板连回去。今天把这套一次讲透。

1️⃣ 准备两台机器
- A 机：跑 agent 的机器（无公网 IP，被 NAT 挡在里面）
- B 机：有公网 IP 的 VPS（跳板，只做转发，不跑业务）
B 机要求很低，1核1G 都够，注意流量限额。

2️⃣ B 机先加固
- 禁用密码登录，只留密钥
- fail2ban 防爆破
- 防火墙只开必要端口

3️⃣ 反向隧道（核心）
在 A 机上用 autossh 向 B 机建反向隧道，把 A 机的 SSH 端口映射到 B 机的本地端口：
- autossh -M 0 + 心跳检测，断线自动重连
- 做成 systemd 服务：开机自启、挂了自动拉起
- 隧道专用密钥，和登录密钥分开存放
- 效果：B 机的本地端口 → 直通 A 机的 SSH，链路是 A 主动向外建的，NAT 拦不住

4️⃣ 跳板连接
想连 Muse 的机器时：先 SSH 上 B 机，再经隧道跳到 A 机，一条命令搞定（ssh -J）。B 机只做跳板，不存业务数据。

5️⃣ 健康检查 + 自动重建（灵魂）
平台可能整台重置 A 机，光有隧道不够：
- 每 15 分钟健康检查：先查服务栈完整，再做端到端连通测试
- 服务挂了→重启服务；整台被重置→跑重建脚本，短时间内整栈恢复
- 重建脚本幂等，跑多少次结果一样
- 我的实测：9 天里断了 40 多次，全部自动恢复，人工介入 0 次

6️⃣ 主机密钥持久化
重建后 SSH 指纹会变，每次重连都要确认，很烦。把主机密钥备份到持久化目录，重建时自动恢复——指纹永远不变，跳板连接无感。

7️⃣ 监控
B 机上装探针看板：两台机器的 CPU、内存、流量一眼看清。记住看 available 别看 used（page cache 会虚高）。

💡 一句话总结：没公网 IP 的机器想对外服务，别想着打洞穿透，让它主动向外建隧道就行。方向反过来，NAT 就不是问题。

你们的 agent 都跑在哪？评论区聊聊。

[辛安 @Thomas3cnl]

@Saccc_c @StepFun_ai 一张参考图能对上的主要是一个视角，转到背面、侧面它就管不到了，这段一致性是再补图还是靠模型自己推？

[辛安 @Thomas3cnl]

@xKaka1456 自动选模型这步得在提交前就定下来，那会儿只有任务类型、长度这类信息，等不了两边都跑完再比谁答得好。

[辛安 @Thomas3cnl]

升级依赖时，可以把迁移说明变成一份验收清单。

默认值变了，就测未显式配置的路径；参数改名，就查配置文件和启动脚本；接口移除，就跑相关调用的回归测试。

每条变更对应一个检查，升级后才知道旧行为是否保住。

[辛安 @Thomas3cnl]

@alacheng 嗯，落到跟你眼下在跟的那几条线上，剩下的扫一眼就行。

[辛安 @Thomas3cnl]

@mylifcc 你另一条里 workflow 单轮并发上限写的是 256、普通子代理默认 20；357 个同时跑已经在那个范围外了，是改过配置还是分了几批？

[辛安 @Thomas3cnl]

@anvisha Thanks — it's the recut case that puts timestamp notes out of sync.

[辛安 @Thomas3cnl]

@0xLogicrw 优先读控件树，省下的主要是反复看截图的调用；但自绘 UI、游戏画面没有控件节点，只能退回截图找坐标，换台分辨率不同的机器就得重新对。

[辛安 @Thomas3cnl]

@ai_funss 那几条判定里，“互动超过该账号平时水平的10倍”是最需要基线的：每轮只看上次之后的新帖，模型手里没有这个账号的日常数据，平时水平是多少还得另找参照。

[辛安 @Thomas3cnl]

@Lonely__MH @bot 这边额度见底，接上 OpenRouter 只是把上限挪到 OpenRouter 那边；免费模型那档给多少，看的还是它的规则，装了 pi agent 也不会变成无限。

[辛安 @Thomas3cnl]

@xKaka1456 这条里最实的是联机房：单机小游戏本机就能跑起来，联机得有人扛服务端和状态同步。平台要是把这层也包了，省下的就不只是写代码的时间。

[辛安 @Thomas3cnl]

@NFT_Chen 3秒起、干完就删，权限粒度就得跟创建它的那个任务绑在一起：任务结束凭证失效。服务角色是按长期服务攒权限的，给不同的短命任务用，撤权以前它一直在那儿。

[辛安 @Thomas3cnl]

@yanhua1010 @StepFun_ai 第一轮它算的是跳跃高度和滞空时间，你上手才发现碰撞框跟画面对不上；能算的那部分它报通过，只有玩起来才看得见的没进检查范围。

[辛安 @Thomas3cnl]

@taiyanghere 嗯，词表不用大，够把状态词固定住就行。

[辛安 @Thomas3cnl]

让 AI 翻译技术文档，可以先留一张小词表。

例如 timeout 译成“超时”，expired 译成“已过期”，不要为了避免重复轮流换词。读者需要判断具体状态，同一个术语前后稳定，比每段都换个说法更有用。

[辛安 @Thomas3cnl]

@xingbugengming 搜 Codex、Blender 的人多半是卡在具体某一步上，视频一直挂着就一直有人点进来；时间线上刷到的人，手里未必正好有这个任务。

[辛安 @Thomas3cnl]

@JasonPang0720 已关

[辛安 @Thomas3cnl]

curl 的 --connect-timeout 限制连接阶段，包含 DNS 和所需握手；--max-time 限制一次传输的总时间。

例如 --connect-timeout 3 --max-time 15：连接最多等3秒，整次传输最多15秒，后者包含前者。

这组数值只是示例。启用 --retry 后，每次重试会重置 --max-time，不能把它当整轮任务预算。

[辛安 @Thomas3cnl]

@gkxspace 价差按 1/8 算的是单价，可一条片子要跑几个小时、两百多次工具调用，比的其实是每条成品的总花费，这个得等跑完一批才有数。

[辛安 @Thomas3cnl]

@taiyanghere @NFT_Chen 嗯，提醒发出去了没人接，其实也等于没确认。

[辛安 @Thomas3cnl]

@JasonPang0720 对，读者是拿文档去对日志的，冒出第二种说法就得停下猜是不是另一个状态。

[辛安 @Thomas3cnl]

@JasonPang0720 叠上以后日志里两轮的时间戳会交错，这时候单次请求有没有超时已经管不着了。