家庭实验室网络就绪检查 是做什么的？
在更改混用 VLAN、 Pi-hole 或其他本地 DNS 解析器、防火墙规则和远程 VPN 访问的家庭或小型实验室网络之前，请使用此技能。
这是一个规划与审查技能。除非目标平台、当前拓扑、 回滚路径、控制台访问和维护窗口均已知，否则不要将其转换为可复制粘贴的路由器、 防火墙或 VPN 配置。
使用时机
- 准备将一个扁平网络拆分为可信、物联网、访客、服务器或 管理 VLAN。
- 将 DHCP 客户端迁移到 Pi-hole、AdGuard Home、Unbound 或其他本地 DNS 解析器。
- 添加 WireGuard、Tailscale、ZeroTier、OpenVPN 或路由器原生 VPN 访问。
- 审查家庭实验室的更改是否可能导致操作员无法访问网关、 交换机、接入点、DNS 服务器或 VPN 服务器。
- 将非正式的家庭网络构思转变为带有验证证据的分阶段迁移计划。
安全规则
- 保持首次回答为只读：清单、风险、分阶段计划、验证 和回滚。
- 不要将网关管理面板、DNS 解析器、SSH、NAS 控制台或 VPN 管理 UI 直接暴露到公共互联网。
- 在未确认平台和回滚程序的情况下，不要提供防火墙、NAT、VLAN、DHCP 或 VPN 命令。
- 在更改管理 VLAN、中继端口、防火墙默认策略或 DHCP/DNS 设置之前，需要带外或同房间控制台访问。
- 在将整个网络指向新的 DNS 解析器或 VPN 路由之前，保留一条返回互联网的工作路径。
- 除非操作员明确选择，否则将物联网、访客、摄像头和实验室服务器网络视为不同的信任区域。
所需清单
在提供实施步骤之前，请收集以下信息：
| 区域 | 问题 |
|---|---|
| 互联网边缘 | 调制解调器或 ONT 是什么？ISP 路由器处于桥接状态还是仍在路由？ |
| 网关 | 哪个设备负责路由、防火墙、DHCP 和 VPN 终止？ |
| 交换 | 哪些交换机端口是上行链路、接入端口、中继端口或非管理型？ |
| Wi-Fi | 哪些 SSID 映射到哪些网络，AP 是有线还是 Mesh？ |
| 编址 | 目前存在哪些子网，哪些范围与 VPN 站点冲突？ |
| DNS/DHCP | 哪个服务当前分配租约和解析器地址？ |
| 管理 | 更改后操作员如何访问网关、交换机和 AP？ |
| 恢复 | 如果 DNS、DHCP、VLAN 或 VPN 路由出现故障，可以本地还原哪些内容？ |
VLAN 和信任区域规划
从意图开始，而非供应商语法。
| 区域 | 典型内容 | 默认策略 |
|---|---|---|
| 可信 | 笔记本电脑、手机、管理工作站 | 仅可在需要时访问共享服务和管理 |
| 服务器 | NAS、Home Assistant、实验室主机、DNS 解析器 | 接受来自可信客户端的狭窄入站流量 |
| 物联网 | 电视、智能插头、摄像头、扬声器 | 仅可访问互联网及明确例外 |
| 访客 | 访客设备 | 仅互联网，无 LAN 可达性 |
| 管理 | 网关、交换机、AP、控制器 | 仅可在可信管理设备上访问 |
| VPN | 远程客户端 | 访问权限与可信客户端相同或更窄 |
在推荐 VLAN ID 或子网之前，请确认：
- 网关支持 VLAN 间路由和防火墙规则。
- 交换机支持所需的标记和未标记端口行为。
- AP 可以将 SSID 映射到 VLAN。
- 操作员知道在更改期间他们通过哪个端口连接。
- 管理网络在更改中继和 SSID 后仍然可访问。
DNS 过滤就绪
Pi-hole 或其他本地解析器应作为依赖项引入，而不是作为 单点故障。
- 在将其用于 DHCP 选项之前，为解析器分配一个保留地址。
- 确认它可以解析公共 DNS 和本地
home.arpa名称。 - 保留网关或第二个解析器作为临时后备。
- 在更改每个 DHCP 作用域之前，先测试一个客户端或一个 VLAN。
- 记录哪些网络可能绕过过滤以及原因。
- 检查阻止规则是否不会破坏强制门户、工作 VPN、固件 更新或医疗/安全设备。
有用的验证证据：
客户端获得预期的 DHCP 租约
客户端获得预期的 DNS 解析器
公共 DNS 查询成功
本地 home.arpa 查询成功
被阻止的测试域名仅在预期位置被阻止
网关和 DNS 管理界面从访客或物联网网络不可达
远程访问就绪
对于 WireGuard 风格的访问，在生成密钥或打开端口之前，确定 VPN 允许访问的内容。
| 模式 | 使用时机 | 风险说明 |
|---|---|---|
| 拆分隧道到单个子网 | 远程管理 NAS 或实验室主机 | 保持路由列表狭窄 |
| 拆分隧道到可信服务 | 通过 IP 或 DNS 访问选定的应用 | 需要精确的防火墙规则 |
| 全隧道 | 不受信任的网络或旅行 | 更高的带宽和 DNS 责任 |
| 覆盖 VPN | 更简单的远程访问，具有身份控制 | 仍需要 ACL 审查 |
在操作员确认以下事项之前，不要推荐端口转发：
- VPN 端点已修补并积极维护。
- 转发的端口仅指向 VPN 服务，而不是管理 UI。
- 了解动态 DNS、公共 IP 行为和 ISP CGNAT 状态。
- 对等密钥可以在不重建整个网络的情况下撤销。
- 日志或连接状态可以验证谁连接以及何时连接。
变更顺序
偏好小型的、可逆的更改：
- 快照当前拓扑、IP 计划、DHCP 设置、DNS 设置和 防火墙规则。
- 为网关、DNS、控制器、AP、NAS 和 VPN 端点保留基础设施地址。
- 创建新区域或 VLAN，但不移动关键设备。
- 移动一个测试客户端并验证 DHCP、DNS、路由、互联网和阻止 行为。
- 为所需流量添加狭窄的防火墙例外。
- 移动一组低风险设备。
- 以最窄的路由和防火墙策略添加 VPN 访问，以满足 使用场景。
- 记录最终状态、已知例外和回滚命令或 UI 步骤。
审查清单
- 每个网络都有存在的原因和清晰的信任边界。
- 没有管理界面可从访客、物联网或公共互联网访问。
- DNS 故障不会影响操作员本地恢复的能力。
- DHCP 作用域更改已在广泛部署前在一个客户端上进行了测试。
- VPN 客户端仅接收所需的路由和 DNS 设置。
- 区域之间的防火墙规则默认为拒绝，并带有命名例外。
- 操作员仍可访问网关、交换机、AP、DNS 和 VPN 管理界面。
- 回滚文档使用与所选平台 UI 或 CLI 相同的词汇。
反模式
- 在知道哪些交换机端口和 SSID 承载哪些 VLAN 之前进行网络分段。
- 将管理工作站移出唯一可访问的管理网络。
- 在测试后备 DNS 之前将所有 DHCP 作用域指向 Pi-hole。
- 将 NAS、DNS、路由器或虚拟机监控程序管理直接发布到 互联网。
- 将 VPN 访问视为完全等同的可信 LAN 访问。
- 临时添加允许所有防火墙规则并忘记删除。
- 不检查确切平台语法就复制其他供应商或固件版本的命令。
参见
- 技能：
homelab-network-setup - 技能：
network-config-validation - 技能：
network-interface-health