家庭实验室网络就绪检查清单
在使用此技能之前，请先对混合了VLAN、Pi-hole或其他本地DNS解析器、防火墙规则和远程VPN访问的家庭或小型实验室网络进行更改。
这是一个规划和审查技能。请勿将其转化为复制粘贴的路由器、防火墙或VPN配置，除非目标平台、当前拓扑、回滚路径、控制台访问和维护窗口都已明确。
何时使用
- 准备将扁平网络划分为可信、物联网、访客、服务器或管理VLAN。
- 将DHCP客户端迁移到Pi-hole、AdGuard Home、Unbound或其他本地DNS解析器。
- 添加WireGuard、Tailscale、ZeroTier、OpenVPN或路由器原生VPN访问。
- 审查家庭实验室变更是否可能导致操作员无法访问网关、交换机、接入点、DNS服务器或VPN服务器。
- 将一个非正式的家庭网络想法转化为一个有证据支持的阶段性迁移计划。
安全规则
- 首次回复应保持只读：清单、风险、阶段性计划、验证和回滚。
- 不要将网关管理面板、DNS解析器、SSH、NAS控制台或VPN管理UI直接暴露在公共互联网上。
- 在没有确认平台和回滚流程的情况下，不要提供防火墙、NAT、VLAN、DHCP或VPN命令。
- 在更改管理VLAN、中继端口、防火墙默认策略或DHCP/DNS设置之前，需要带外或同室控制台访问。
- 在将整个网络指向新的DNS解析器或VPN路由之前，保留一条返回互联网的工作路径。
- 将物联网、访客、摄像头和实验室服务器网络视为不同的信任区域，除非操作员明确选择其他方式。
必需清单
在提供实施步骤之前，请收集以下信息：
| 区域 | 问题 |
|---|---|
| 互联网边缘 | 调制解调器或ONT是什么？ISP路由器是桥接的还是仍在路由？ |
| 网关 | 哪些路由、防火墙、处理DHCP和终止VPN？ |
| 交换 | 哪些交换机端口是上行链路、接入端口、中继端口或非管理端口？ |
| Wi-Fi | 哪些SSID映射到哪些网络，AP是有线还是Mesh？ |
| 地址分配 | 当前存在哪些子网，哪些范围与VPN站点冲突？ |
| DNS/DHCP | 哪个服务当前负责分配租约和解析器地址？ |
| 管理 | 更改后，操作员将如何访问网关、交换机和AP？ |
| 恢复 | 如果DNS、DHCP、VLAN或VPN路由中断，本地可以回滚哪些内容？ |
VLAN和信任区域计划
从意图开始，而不是供应商语法。
| 区域 | 典型内容 | 默认策略 |
|---|---|---|
| 可信 | 笔记本电脑、手机、管理工作站 | 仅在需要时才能访问共享服务和管理 |
| 服务器 | NAS、Home Assistant、实验室主机、DNS解析器 | 接受来自可信客户端的有限入站流量 |
| 物联网 | 电视、智能插头、摄像头、音箱 | 仅限互联网访问和明确的例外情况 |
| 访客 | 访客设备 | 仅限互联网，无法访问局域网 |
| 管理 | 网关、交换机、AP、控制器 | 仅限来自可信管理设备的访问 |
| VPN | 远程客户端 | 与可信客户端相同或更窄的访问权限 |
在推荐VLAN ID或子网之前，请确认：
- 网关支持VLAN间路由和防火墙规则。
- 交换机支持所需的标记和未标记端口行为。
- AP可以将SSID映射到VLAN。
- 操作员知道在更改期间他们通过哪个端口连接。
- 管理网络在中继和SSID更改后仍然可访问。
DNS过滤就绪
Pi-hole或其他本地解析器应作为依赖项引入，而不是单点故障。
- 在DHCP选项中使用解析器之前，为其分配一个保留地址。
- 确认它可以解析公共DNS和本地
home.arpa名称。 - 保留网关或第二个解析器作为临时回退。
- 在更改所有DHCP作用域之前，先测试一个客户端或一个VLAN。
- 记录哪些网络可能绕过过滤以及原因。
- 检查阻止规则不会破坏门户网站、工作VPN、固件更新或医疗/安全设备。
有用的验证证据：
客户端获得预期的DHCP租约
客户端获得预期的DNS解析器
公共DNS查询成功
本地home.arpa查询成功
被阻止的测试域仅在预期的地方被阻止
网关和DNS管理接口无法从访客或物联网网络访问
远程访问就绪
对于WireGuard风格的访问，在生成密钥或打开端口之前，决定VPN允许访问哪些内容。
| 模式 | 使用场景 | 风险说明 |
|---|---|---|
| 到单个子网的分流隧道 | NAS或实验室主机的远程管理 | 保持路由列表精简 |
| 到可信服务的分流隧道 | 通过IP或DNS访问选定应用 | 需要精确的防火墙规则 |
| 全隧道 | 非信任网络或旅行 | 更多带宽和DNS责任 |
| 覆盖网络VPN | 更简单的远程访问，带身份控制 | 仍需进行ACL审查 |
在操作员确认以下事项之前，不要推荐端口转发：
- VPN端点已修补并积极维护。
- 转发的端口仅指向VPN服务，而不是管理UI。
- 动态DNS、公共IP行为和ISP CGNAT状态已了解。
- 对等密钥可以在不重建整个网络的情况下撤销。
- 日志或连接状态可以验证谁何时连接。
更改顺序
优先选择小的、可逆的更改：
- 快照当前拓扑、IP计划、DHCP设置、DNS设置和防火墙规则。
- 为网关、DNS、控制器、AP、NAS和VPN端点保留基础设施地址。
- 创建新的区域或VLAN，但不要移动关键设备。
- 移动一个测试客户端并验证DHCP、DNS、路由、互联网和阻止行为。
- 为所需流量添加窄的防火墙例外。
- 移动一个低风险设备组。
- 添加VPN访问，使用满足用例的最窄路由和防火墙策略。
- 记录最终状态、已知例外以及回滚命令或UI步骤。
审查清单
- 每个网络都有存在的理由和明确的信任边界。
- 没有管理接口可从访客、物联网或公共互联网访问。
- DNS故障不会影响操作员本地恢复的能力。
- DHCP作用域更改已在一个客户端上测试过，然后才广泛部署。
- VPN客户端仅接收所需的路由和DNS设置。
- 防火墙规则在区域之间默认为拒绝，并具有命名的例外。
- 操作员仍然可以访问网关、交换机、AP、DNS和VPN管理界面。
- 回滚使用与所选平台UI或CLI相同的语言进行记录。
反模式
- 在知道哪些交换机端口和SSID承载哪些VLAN之前进行网络分段。
- 将管理工作站移出唯一可访问的管理网络。
- 在测试回退DNS之前，将所有DHCP作用域指向Pi-hole。
- 将NAS、DNS、路由器或虚拟机管理程序直接发布到互联网。
- 将VPN访问等同于完全的可信局域网访问。
- 临时添加允许所有流量的防火墙规则，然后忘记删除。
- 未经检查确切的平台语法，就从其他供应商或固件版本复制命令。
参见
- 技能：
homelab-network-setup - 技能：
network-config-validation - 技能：
network-interface-health