家庭實驗室網路就緒檢查
在變更混合 VLAN、Pi-hole 或其他本地 DNS 解析器、防火牆規則以及遠端 VPN 存取的居家或小型實驗室網路之前，請使用此技能。
這是一個規劃與審查技能。除非已確認目標平台、當前拓撲、回滾路徑、主控台存取權限和維護時段，否則請勿將其轉換為可複製貼上的路由器、防火牆或 VPN 配置。
使用時機
- 準備將扁平網路分割為受信任、物聯網（IoT）、訪客、伺服器或管理 VLAN。
- 將 DHCP 用戶端遷移到 Pi-hole、AdGuard Home、Unbound 或其他本地 DNS 解析器。
- 新增 WireGuard、Tailscale、ZeroTier、OpenVPN 或路由器原生 VPN 存取。
- 評估某項家庭實驗室變更是否可能將操作員鎖在閘道、交換器、存取點、DNS 伺服器或 VPN 伺服器之外。
- 將非正式的家庭網路構想轉變為附有驗證證據的分階段遷移計畫。
安全規則
- 第一個回答應僅供讀取：盤點庫存、風險、分階段計畫、驗證與回滾。
- 請勿將閘道管理面板、DNS 解析器、SSH、NAS 主控台或 VPN 管理 UI 直接暴露於公共網際網路。
- 未確認平台與回滾程序前，請勿提供防火牆、NAT、VLAN、DHCP 或 VPN 命令。
- 在變更管理 VLAN、主幹埠、防火牆預設策略或 DHCP/DNS 設定前，需有帶外或同機房的主控台存取權限。
- 在將整個網路指向新的 DNS 解析器或 VPN 路由之前，應保留一條可返回網際網路的工作路徑。
- 除非操作員明確選擇其他方式，否則請將物聯網、訪客、攝影機與實驗室伺服器網路視為不同的信任區域。
必要盤點清單
在給出實施步驟之前，請先收集以下資訊：
| 區域 | 問題 |
|---|---|
| 網際網路邊緣 | 數據機或 ONT 是什麼？ISP 路由器是橋接模式還是仍負責路由？ |
| 閘道 | 哪個設備負責路由、防火牆、DHCP 與 VPN 終止？ |
| 交換 | 哪些交換器埠是上行鏈路、存取埠、主幹埠或非受管埠？ |
| Wi-Fi | 哪些 SSID 對應到哪些網路，且 AP 是透過有線還是 Mesh 連接？ |
| 定址 | 目前存在哪些子網路，哪些範圍與 VPN 站點衝突？ |
| DNS/DHCP | 目前哪個服務負責發放租約與解析器位址？ |
| 管理 | 變更後，操作員將如何存取閘道、交換器與 AP？ |
| 復原 | 如果 DNS、DHCP、VLAN 或 VPN 路由中斷，哪些項目可在本地復原？ |
VLAN 與信任區域規劃
從意圖出發，而非供應商語法。
| 區域 | 典型設備 | 預設策略 |
|---|---|---|
| 受信任 | 筆記型電腦、手機、管理工作站 | 僅在需要時可存取共享服務與管理介面 |
| 伺服器 | NAS、Home Assistant、實驗室主機、DNS 解析器 | 允許來自受信任用戶端的限定流入流量 |
| 物聯網 | 電視、智慧插頭、攝影機、喇叭 | 僅網際網路存取加上明確例外 |
| 訪客 | 訪客設備 | 僅限網際網路，無法存取區域網路 |
| 管理 | 閘道、交換器、AP、控制器 | 僅可由受信任的管理設備存取 |
| VPN | 遠端用戶端 | 與受信任用戶端相同或更嚴格的存取權限 |
在建議 VLAN ID 或子網路之前，請確認：
- 閘道支援 VLAN 間路由與防火牆規則。
- 交換器支援所需的 tagged 與 untagged 埠行為。
- AP 可將 SSID 對應到 VLAN。
- 操作員知道自己在變更期間是透過哪個埠連線。
- 管理網路在主幹與 SSID 變更後仍可存取。
DNS 過濾就緒狀態
Pi-hole 或其他本地解析器應作為一項依賴引入，而非單點故障。
- 在使用解析器於 DHCP 選項之前，先為其指定一個保留位址。
- 確認解析器可解析公共 DNS 與本地
home.arpa名稱。 - 保留閘道或第二個解析器作為暫時的備援。
- 在變更所有 DHCP 範圍之前，先測試一個用戶端或一個 VLAN。
- 記錄哪些網路可以繞過過濾以及原因。
- 檢查封鎖規則不會破壞強制門戶、工作 VPN、韌體更新或醫療/安全設備。
有用的驗證證據：
用戶端獲得預期的 DHCP 租約
用戶端獲得預期的 DNS 解析器
公共 DNS 查詢成功
本地 home.arpa 查詢成功
被封鎖的測試域名僅在預期範圍內被封鎖
閘道與 DNS 管理介面無法從訪客或物聯網網路存取
遠端存取就緒狀態
對於 WireGuard 風格的存取，在產生金鑰或開啟連接埠之前，先決定 VPN 允許存取哪些資源。
| 模式 | 使用時機 | 風險說明 |
|---|---|---|
| 分割隧道到單一子網 | 遠端管理 NAS 或實驗室主機 | 保持路由清單精簡 |
| 分割隧道到受信任服務 | 透過 IP 或 DNS 存取選定的應用程式 | 需要精確的防火牆規則 |
| 完整隧道 | 不可信任的網路或旅行時 | 較多的頻寬與 DNS 責任 |
| 疊加 VPN | 透過身分控制簡化遠端存取 | 仍需審查 ACL |
在操作員確認以下事項之前，請勿建議埠轉發：
- VPN 端點已更新修補並持續維護。
- 轉發的埠僅指向 VPN 服務，而非管理 UI。
- 了解動態 DNS、公共 IP 行為以及 ISP CGNAT 狀態。
- 對等體金鑰可在不重建整個網路的情況下撤銷。
- 日誌或連線狀態可驗證誰連線以及何時連線。
變更順序
偏好小型、可復原的變更：
- 快照當前拓撲、IP 計劃、DHCP 設定、DNS 設定與防火牆規則。
- 保留閘道、DNS、控制器、AP、NAS 與 VPN 端點的基礎設施位址。
- 在不移動關鍵設備的情況下建立新的區域或 VLAN。
- 移動一個測試用戶端並驗證 DHCP、DNS、路由、網際網路與封鎖行為。
- 為必要的流量加入精簡的防火牆例外。
- 移動一個低風險設備群組。
- 使用滿足使用案例的最窄路由與防火牆策略來新增 VPN 存取。
- 記錄最終狀態、已知例外以及回滾命令或 UI 步驟。
審查清單
- 每個網路都有存在的理由與明確的信任邊界。
- 沒有任何管理介面可從訪客、物聯網或公共網際網路存取。
- DNS 故障不會影響操作員在本地復原的能力。
- DHCP 範圍變更已先在一個用戶端上測試，然後才大規模部署。
- VPN 用戶端僅獲得其所需的路由與 DNS 設定。
- 防火牆規則在不同區域之間預設為拒絕，並有命名的例外。
- 操作員仍可存取閘道、交換器、AP、DNS 與 VPN 管理介面。
- 回滾程序已使用與所選平台 UI 或 CLI 相同的詞彙進行記錄。
反模式
- 在還不知道哪些交換器埠與 SSID 攜帶哪些 VLAN 之前就進行網路分割。
- 將管理工作站移出唯一可存取的管理網路。
- 在測試備援 DNS 之前就將所有 DHCP 範圍指向 Pi-hole。
- 將 NAS、DNS、路由器或虛擬機器管理程式直接發布到網際網路。
- 將 VPN 存取視為與完整的受信任區域網路存取等同。
- 暫時新增允許所有流量的防火牆規則，卻忘記移除。
- 未檢查確切的平台語法就直接複製來自其他供應商或韌體版本的命令。
另請參閱
- 技能：
homelab-network-setup - 技能：
network-config-validation - 技能：
network-interface-health