Homelab 網路就緒檢查清單
在變更混合使用 VLAN、Pi-hole 或其他本地 DNS 解析器、防火牆規則以及遠端 VPN 存取的家用或小型實驗室網路之前，請使用此技能。
這是一項規劃與審查技能。除非已確認目標平台、當前拓撲、回滾路徑、控制台存取權限以及維護時間窗口，否則請勿將其轉為複製貼上的路由器、防火牆或 VPN 設定。
使用時機
- 準備將扁平網路拆分為可信、物聯網、訪客、伺服器或管理 VLAN。
- 將 DHCP 用戶端遷移至 Pi-hole、AdGuard Home、Unbound 或其他本地 DNS 解析器。
- 新增 WireGuard、Tailscale、ZeroTier、OpenVPN 或路由器原生 VPN 存取。
- 審查某項實驗室變更是否可能導致操作員無法存取閘道器、交換器、存取點、DNS 伺服器或 VPN 伺服器。
- 將非正式的家用網路構想轉變為附有驗證證據的分階段遷移計畫。
安全規則
- 保持第一個回答為唯讀狀態：盤點庫存、風險、分階段計畫、驗證與回滾。
- 不要直接將閘道器管理面板、DNS 解析器、SSH、NAS 控制台或 VPN 管理 UI 暴露於公共網際網路。
- 未經確認平台與回滾程序，不得提供防火牆、NAT、VLAN、DHCP 或 VPN 指令。
- 在變更管理 VLAN、中繼埠、防火牆預設策略或 DHCP/DNS 設定前，要求具備頻外或同房間的控制台存取權限。
- 在將整個網路指向新的 DNS 解析器或 VPN 路由之前，保留一條能夠恢復網際網路連線的工作路徑。
- 除非操作員明確選擇，否則將物聯網、訪客、攝影機與實驗室伺服器網路視為不同的信任區域。
必要庫存
在提供實作步驟前，請收集以下資料：
| 區域 | 問題 |
|---|---|
| 網際網路邊界 | 數據機或 ONT 是什麼？ISP 路由器是橋接模式還是仍負責路由？ |
| 閘道器 | 哪個設備負責路由、防火牆、DHCP 與 VPN 終止？ |
| 交換 | 哪些交換器埠是上行鏈路、存取埠、中繼埠或非管理型？ |
| Wi-Fi | 哪些 SSID 對應到哪些網路，AP 是有線還是網狀？ |
| 定址 | 當前有哪些子網，哪些範圍與 VPN 站點衝突？ |
| DNS/DHCP | 哪個服務目前負責發放租約與解析器位址？ |
| 管理 | 變更後，操作員將如何存取閘道器、交換器和 AP？ |
| 復原 | 如果 DNS、DHCP、VLAN 或 VPN 路由中斷，本機可還原哪些項目？ |
VLAN 與信任區域計畫
從意圖而非廠商語法開始。
| 區域 | 典型內容 | 預設策略 |
|---|---|---|
| 可信 | 筆記型電腦、手機、管理工作站 | 僅在需要時可存取共享服務與管理 |
| 伺服器 | NAS、Home Assistant、實驗室主機、DNS 解析器 | 接受來自可信用戶端的狹窄入站流量 |
| 物聯網 | 電視、智慧插座、攝影機、喇叭 | 僅可上網加上明確例外 |
| 訪客 | 訪客設備 | 僅限網際網路，無法存取內部區域網路 |
| 管理 | 閘道器、交換器、AP、控制器 | 僅可從可信的管理設備存取 |
| VPN | 遠端用戶端 | 與可信用戶端相同或更狹窄的存取權限 |
在建議 VLAN ID 或子網之前，請確認：
- 閘道器支援 VLAN 間路由與防火牆規則。
- 交換器支援所需的標記與未標記埠行為。
- AP 能將 SSID 映射到 VLAN。
- 操作員知道自己在變更期間是透過哪個埠連線。
- 管理網路在中繼與 SSID 變更後仍然可存取。
DNS 過濾就緒
應將 Pi-hole 或其他本地解析器導入為一項依賴，而非單點故障。
- 在將其用於 DHCP 選項之前，先為解析器指定一個保留位址。
- 確認它能解析公共 DNS 與本機
home.arpa名稱。 - 保留閘道器或第二個解析器作為臨時備用。
- 在變更所有 DHCP 範圍前，先測試一個用戶端或一個 VLAN。
- 記錄哪些網路可能繞過過濾及其原因。
- 檢查封鎖規則是否會中斷強制入口入口網站、工作 VPN、韌體更新或醫療/安全設備。
有用的驗證證據：
用戶端取得預期的 DHCP 租約
用戶端取得預期的 DNS 解析器
公共 DNS 查詢成功
本機 home.arpa 查詢成功
被封鎖的測試網域僅在預期位置被阻擋
閘道器與 DNS 管理介面無法從訪客或物聯網網路存取
遠端存取就緒
對於 WireGuard 風格的存取，在產生金鑰或開啟連接埠之前，先決定 VPN 允許存取哪些資源。
| 模式 | 使用時機 | 風險說明 |
|---|---|---|
| 分割隧道至一個子網 | NAS 或實驗室主機的遠端管理 | 保持路由清單狹窄 |
| 分割隧道至可信服務 | 依 IP 或 DNS 存取選定的應用程式 | 需要精確的防火牆規則 |
| 完整隧道 | 不受信任的網路或旅行時 | 更多頻寬與 DNS 責任 |
| Overlay VPN | 更簡便的遠端存取與身分控制 | 仍需 ACL 審查 |
在操作員確認以下事項之前，不建議轉發連接埠：
- VPN 端點已修補且積極維護。
- 轉發的連接埠僅指向 VPN 服務，而非管理 UI。
- 已理解動態 DNS、公共 IP 行為與 ISP CGNAT 狀態。
- 對等金鑰可在不重建整個網路的情況下撤銷。
- 可以透過日誌或連線狀態驗證誰在何時連接。
變更順序
偏好小型、可逆的變更：
- 快照當前拓撲、IP 規劃、DHCP 設定、DNS 設定與防火牆規則。
- 為閘道器、DNS、控制器、AP、NAS 和 VPN 端點保留基礎設施位址。
- 在不移動關鍵設備的情況下建立新的區域或 VLAN。
- 移動一個測試用戶端並驗證 DHCP、DNS、路由、網際網路連線與封鎖行為。
- 為所需的流量新增狹窄的防火牆例外。
- 移動一個低風險的設備群組。
- 以符合用例的最狹窄路由與防火牆策略新增 VPN 存取。
- 記錄最終狀態、已知例外與回滾指令或 UI 步驟。
審查檢查清單
- 每個網路都有存在的理由與清晰的信任邊界。
- 沒有任何管理介面可從訪客、物聯網或公共網際網路存取。
- DNS 故障不會導致操作員無法在本機復原。
- DHCP 範圍變更已在全面部署前於一個用戶端上進行測試。
- VPN 用戶端僅收到他們需要的路由與 DNS 設定。
- 防火牆規則在區域之間預設為拒絕，並有命名的例外。
- 操作員仍可存取閘道器、交換器、AP、DNS 與 VPN 管理介面。
- 回滾步驟以所選平台 UI 或 CLI 的相同術語記錄。
反模式
- 在不知道哪些交換器埠與 SSID 承載哪些 VLAN 之前就進行網路分段。
- 將管理工作站移出唯一可存取的管理網路。
- 在測試備用 DNS 之前就將所有 DHCP 範圍指向 Pi-hole。
- 將 NAS、DNS、路由器或虛擬化管理器直接發布至網際網路。
- 將 VPN 存取視為等同於完整的可信區域網路存取。
- 暫時新增允許所有的防火牆規則但忘記移除。
- 未確認確切平台語法就從其他廠商或韌體版本複製指令。
相關技能
- Skill:
homelab-network-setup - Skill:
network-config-validation - Skill:
network-interface-health