听你这个情况是只有一台或者很少数量的服务器？新的 Windows （包括 server 版）都自带 OpenSSH 了吧，可以搞 SSH 隧道的，体量和配置应该都比 VPN 要轻很多。放狗随便搜了个教程: http://woshub.com/ssh-tunnel-port-forward-windows/

如果是机房或者云集群，量大了可以用跳板机（自己用 Guacamole 搭也行），还能做 AAA 安全管理

@JawnHa 现代浏览器，即便是比较老的版本，也应该都支持 SSL/TLS Client Authentication 吧？这个一般是在服务端（ web server ）那里部署的，需要自建根 CA 和签发证书。签发的证书可以导入任意支持 PKI 的智能卡内。YubiKey 就有 PKI 智能卡功能，当然用大型企业里比较常见的芯片 /CPU 卡+读卡器也行（就是 AD 域常用的那个）。这个就不是 U2F 了，其实是很有历史的认证体系了，能做 1st factor，也能做 2nd factor 。

1Password 解君愁，如果苹果全家桶的话只用 keychain 也是可以的

@alvin666 看官方文档: https://guide.duo.com/security-keys 任意 U2F/WebAuthn(FIDO2)设备都可以，那么基本上市面上的类似设备都没问题，直接搜 U2F 按价格排序即可（当然买飞天或者 YubiKey 的 Security Key 更好）

@fkjd 不如干掉那块 SSD，再加一块盘做仓库好了，不需要组 RAID 。DS918+自带 NVMe 插槽的吧？嫌速度慢可以以后加一两块 SSD 缓存一下。也可以把 SSD 换成差不多容量的机械盘，专门拿来挂下载（尤其是有做种的情况），减少一下仓库盘的损耗。

@PureWhiteWu RAID0 即便放电影觉得还是有点勉强，毕竟电影丢了也挺可惜的。两块盘条带嘛，千兆性能提升不明显，万兆填不满带宽，我觉得意义不大。

@caixiaomao 应该是和 scoop 大多数都是从 github 下东西相关吧……

完全镜像一个全国内镜像的 bucket 应该不是很难，就是很累

winget 、scoop 和 chocolatey 都用过。最后选（忍）择（耐）了 scoop，最大的原因莫过于 scoop 的理念和 homebrew 类似，即安装的软件都是相对 portable 的

chocolatey 作为包管理器是合格的，但其设计方式限制太多了，解决或者跳过依赖需要大量的 workaround 。这种理念放 Linux 没问题，毕竟整个 distro 都是基于 package manager 管理的。但 Windows 不一样，安装软件的方式五花八门，Chocolatey 管理方式非常生硬，如果软件单独被升级（最明显的例子就是 vcredist ），chocolatey 非得是商业版本才能检测并自我更新。用一段时间后你就会发现你的软件和 chocolatey 彻底脱节了，完全乱成一团的那种

scoop 规模小得多，而且非常自由（包管理方面），当然了缺点也超级明显 - bug 奇多，有些设计（比如 manifest 的 autoupdate ）不知所云（可能是我还是太年轻了）。但装出来的结果很干净，java 、python 这种东西也能通过 env 方便地应用到系统全局。现在困扰我最大的问题就是 manifest 可选项太少，比如一些常用依赖包（如 lessmsi 、nmap-portable ）生成的开始菜单快捷方式没什么用还占地方还没选项删除（即下次升级还会再生成回来）。想装个 busybox 的话，你的 shims 文件夹就彻底乱掉了（呵呵），防冲突设计基本等于零。

要不是太折腾，我真的很想把 production 切到 Linux 上去，包管理真的是完善。

解决 sudo 密码的问题很多啊，各种加 PAM 模块就可以解决的

比如用红外面部（ pam_howdy ）、指纹（ pam_fprintd ）、U2F(pam_u2f)、TOTP 一次密码（ pam_oath ）、智能卡证书等等

我见过的最奇特的 PAM 模块是让用户敲击随机的实体键盘按键（不是密码哦），但刚才找了一圈没找到……其实就是认证过程中只要求 human presence （呵呵）

我觉的最方便的是生物识别，其次是 U2F，只要 Yubikey 插着就可以直接解锁，也可以设置必须触碰触点才能解锁，人走一拔就安全了。