大致流程 (并不详尽):

宿主机部分 (通过以下步骤创建的接口默认不含 IPv4 地址):
- 创建一个网络接口, 父接口为宿主机的物理网卡;
```
ip link add <接口名称> link <父接口名称> type macvlan mode bridge
```
- 启动刚才创建的接口
```
ip link set <接口名称> up
```
- 添加路由条目, 主要用于宿主机本身与 Docker 容器的通信, 不影响来自其它机器的访问
```
ip -6 route add <地址块> dev <接口名称>
```

Docker 部分 (通过以下步骤创建的网络默认不含 IPv4 地址):
- 创建一个 macvlan 驱动的网络, 并为该网络分配一个合适大小的地址块;
```
docker network create \
-d macvlan \
--ipv6 \
--subnet=<地址块> \
--gateway=<位于地址块中的网关, 我的习惯是取该块中第 1 个地址> \
-o parent=<父接口> \
-o macvlanmode=bridge \
<网络名称>
```
- 有需求的容器连接到该网络, 并为每个容器分配一个在上述地址块范围内的地址;
docker network connect --ip6=<IPv6 地址, 必须位于地址块范围内, 我的习惯是最后 32 位随机生成> <网络名称> <容器名称>

用 docker inspect <容器名称> 获取容器的 IPv6 地址, 最后传递到 DDNS 相关脚本.

----
其它:
我自己的实例为网络分配了长度为 /96 的块.
在宿主机创建的接口于下次重启机器后消失.

另一个例子和游戏有关: 使命召唤 6 重制版 + H2MOD.
在游戏内更新 mod, 如果更新期间下载了 h2-mod.exe 并自动覆盖同路径下的同名文件, 那么该文件会在电脑重启后的某个时刻被我发现它神秘消失. 同样地, 包括游戏文件夹在内的至少上级 2 层都在排除列表内.

--------
同类软件试用结果:
UWF: 需要 Windows 企业版. 支持排除文件; 文件夹或注册表, 然而进入 "影子模式" 后需要重启 2 次才会真正处于影子模式, 并且从第 2 次及之后的每次启动会在引导阶段蓝屏 (0xc0000001), 虽然按回车可以继续引导. 最后因为一个奇怪的错误* 作罢;
冰点还原标准版: 不支持排除文件; 文件夹或注册表, 且进入 "影子模式" 后个别软件无法正常启动. 放弃

* 第一次执行 uwfmgr filter reset-settings 后返回 "拒绝访问", 之后的任何 UWF 子命令都返回 "命令失败, 找不到指定的文件". 到这一步 UWF 已经无法使用.

--------
系统安全配置情况:
Windows Defender 已通过第三方工具彻底禁用, 且禁用了内核隔离.
禁用了安全启动.

--------
Shadow Defender 在 23H2 上已经不能通过直接双击安装包的方式安装, 需要从安装包中解压对应体系结构的文件夹到任意路径, 然后为 setup.exe 改名, 最后双击改名后的文件才能安装.

我知道的其中一个是文件关联问题:
1. 如果一个应用 (通常是播放器; 图片查看器; 压缩包管理器) 关联了几十种扩展名的打开方式, 那么即使在系统设置中明确标示某个扩展名和指定的应用关联, 下次从该扩展名的文件双击, 系统仍然多余地询问打开方式;
2. 微软因为一些理由不在系统中提供 "一键" 关联若干种扩展名, 一定要用户很机械地手动重复几十次.

Android 版本太老, 很可能不适用当下的各种隐藏方案.

@newuser666 #3 试用后发现虽然可以 VoIP 通话录音, 但做不到自动录音, 或不支持通过其它自动化应用后台调用它的录音功能. 求个替代品.

推荐 FolderSync, 并在该同步规则中启用 "同步删除操作". 如果是单向同步 (本机到群晖), 则在下一个同步时间点同步本机产生的删除操作到远端.

如图所示:
https://imgsrc.baidu.com/tieba/pic/item/77c6a7efce1b9d16e0978440b5deb48f8c5464ba.jpg

注: FolderSync 为收费应用.

@gal #5 已经用 pg_dump 分别迁移了 2 个数据库, 现在已经用上了你的搜索方案. 一定程度上改善了长期困扰我的问题, 感谢.

我有冷备份的数据库 (停机后打包 /var/lib/postgresql/data), 能直接用在带 zhparaser 的 Postgres 使用么?

@YamatoRyou #13
https://i.imgur.com/I7ZKFmK.png
我最近才对一部分镜像做了这种处理, 现在大部分操作已经脱离群晖的套件.

发现一个直接下载工具, 免安装.
鉴于项目位置的原因请自行斟酌是否使用.
https://gitee.com/extrame/dget

除了 Docker 官方仓库, 也支持其它仓库.
代理方面, 支持 HTTP 但不支持 SOCKS5, 且下载的镜像会自动保存到当前 shell 的工作目录.
下载完成后需要使用 docker image load -i <***-img.tar.gz 路径> 导入到 Docker.

Rocket Chat 在移动端的推送是个问题, 不推荐.
Voce Chat 同上.

我自己正在用的是 Matrix 协议, 软件实现为 Synapse (服务端) + Element (客户端), 同时自建了 ntfy 用来解决 Matrix 在 Android 上的推送问题.
Delta Chat, 基于邮件协议 (SMTP + IMAP), 曾经使用过一段时间, 在当时问题比较多. 这个只作为备选.

@YamatoRyou #7 已经解决, 路由器控制台添加一个静态路由条目即可.

@NevadaLi #1 因为路由器默认给 LAN 分配的地址范围就是 /24, 而且有另外一个 /24 被用作访客网络.

@caola #3 我最开始入门 Docker 是这样的, 但是后来容器越来越多, 要占用群晖自身的端口资源. 最终于年初完成迁移 (凡是连接到特定网络的容器都会分配一个独立的内网 IPv4 地址和公网 IPv6 地址, 也不再占用群晖自身的端口资源).

手持刷了 Lineage OS 21 的 一加 9RT.
1. 没有进阶的后台与自启动控制;
2. 没有应用锁;
3. 大多数金融类应用无法使用.

--------
第三方 ROM 对相机的支持往往不好的原因据说是厂商拒绝开源相机相关驱动导致第三方只能做基础适配. 表现:
分辨率最高只有 3072*4096;
丢失一些原厂相机高级功能.

@wyxls #5 试验成功 (指的是用群晖的 SSH + curl 访问 http://192.168.3.x:**** 可行), 不过发现局域网内和群晖平级的其它机器 (比如 IP 为 192.168.0.x 的 Windows 电脑) 无法访问容器的 web 服务 (用浏览器访问容器 IP: http://192.168.3.x:****), 这种要怎么解决? 其实这个也是我的需求之一, 但当时忘记写在帖子上了.

@sitboy #12
服务器启动后用 itdog 之类的在线服务测试一下连通性, 主要测试 21115~21117 端口 (其中 21116 需要额外允许 UDP 协议入站).
除此之外客户端也需要如图所示额外配置指向你的服务器 (API 服务器为可选).
https://i.imgur.com/EtyzSdo.png

----
前段时间官方公告屏蔽了中国大陆访问.

@kneo #3
为了所谓的安全, 不能像以前那样通过程序内部的设置批量设置文件关联 (一定要通过系统设置手动为几十种文件类型挨个关联一次).
视觉上能变得透明的地方较 Windows 7 更多, 总体而言打磨不足.