家庭实验室网络就绪检查¶
在更改混合了 VLAN、Pi-hole 或其他本地 DNS 解析器、防火墙规则以及远程 VPN 访问的家庭或小型实验室网络之前，请使用此技能。
这是一项规划与审查技能。除非目标平台、当前拓扑、回滚路径、控制台访问和维护窗口均已明确，否则不要将其变成可直接复制粘贴的路由器、防火墙或 VPN 配置。
何时使用¶
- 准备将扁平网络划分为可信、IoT、访客、服务器或管理 VLAN。
- 将 DHCP 客户端迁移到 Pi-hole、AdGuard Home、Unbound 或其他本地 DNS 解析器。
- 添加 WireGuard、Tailscale、ZeroTier、OpenVPN 或路由器原生 VPN 访问。
- 审查家庭实验室变更是否会导致操作员无法访问网关、交换机、接入点、DNS 服务器或 VPN 服务器。
- 将非正式的家庭网络构想转变为带有验证证据的分阶段迁移计划。
安全规则¶
- 首次回答保持只读：清单、风险、分阶段计划、验证和回滚。
- 不要将网关管理面板、DNS 解析器、SSH、NAS 控制台或 VPN 管理界面直接暴露到公共互联网。
- 在平台确认且具备回滚流程之前，不要提供防火墙、NAT、VLAN、DHCP 或 VPN 命令。
- 在更改管理 VLAN、trunk 端口、防火墙默认策略或 DHCP/DNS 设置之前，要求具备带外或同房间控制台访问权限。
- 在将整个网络指向新的 DNS 解析器或 VPN 路由之前，保留一条可用的互联网回退路径。
- 在操作员明确另行选择之前，将 IoT、访客、摄像头和实验室服务器网络视为不同的信任区域。
所需清单¶
在给出实施步骤之前，请收集以下信息：
| 区域 | 问题 |
|---|---|
| 互联网边缘 | 调制解调器或 ONT 是什么？ISP 路由器是桥接模式还是仍在路由？ |
| 网关 | 哪台设备负责路由、防火墙、DHCP 处理和 VPN 终结？ |
| 交换 | 哪些交换机端口是上行端口、接入端口、trunk 端口或非管理端口？ |
| Wi-Fi | 哪些 SSID 映射到哪些网络，接入点是有线连接还是无线 mesh 组网？ |
| 地址规划 | 当前存在哪些子网，哪些网段与 VPN 站点冲突？ |
| DNS/DHCP | 当前哪个服务负责分配租约和解析器地址？ |
| 管理 | 变更后，操作员将如何访问网关、交换机和接入点？ |
| 恢复 | 如果 DNS、DHCP、VLAN 或 VPN 路由出现故障，可以在本地回滚哪些内容？ |
VLAN 与信任区域规划¶
从意图出发，而不是厂商语法。
| 区域 | 典型内容 | 默认策略 |
|---|---|---|
| 可信 | 笔记本电脑、手机、管理工作站 | 仅在需要时可访问共享服务和管理 |
| 服务器 | NAS、Home Assistant、实验室主机、DNS 解析器 | 仅接受来自可信客户端的窄范围入站流量 |
| IoT | 电视、智能插座、摄像头、音箱 | 仅允许互联网访问及明确的例外 |
| 访客 | 访客设备 | 仅限互联网，不可访问局域网 |
| 管理 | 网关、交换机、接入点、控制器 | 仅可从可信管理设备访问 |
| VPN | 远程客户端 | 与可信客户端相同或更窄的访问权限 |
在推荐 VLAN ID 或子网之前，请确认：
- 网关支持 VLAN 间路由和防火墙规则。
- 交换机支持所需的 tagged 和 untagged 端口行为。
- 接入点可以将 SSID 映射到 VLAN。
- 操作员知道在变更期间自己连接的是哪个端口。
- 在 trunk 和 SSID 变更后，管理网络仍然可达。
DNS 过滤就绪检查¶
Pi-hole 或其他本地解析器应作为依赖项引入，而不是作为单点故障。
- 在将其用于 DHCP 选项之前，为解析器分配一个保留地址。
- 确认它可以解析公共 DNS 和本地
home.arpa名称。 - 保留网关或第二个解析器作为临时备用。
- 在更改所有 DHCP 作用域之前，先测试一个客户端或一个 VLAN。
- 记录哪些网络可以绕过过滤及其原因。
- 检查拦截规则不会破坏强制门户、办公 VPN、固件更新或医疗/安全设备。
有用的验证证据：
Client gets expected DHCP lease
Client receives expected DNS resolver
Public DNS lookup succeeds
Local home.arpa lookup succeeds
Blocked test domain is blocked only where intended
Gateway and DNS admin interfaces are not reachable from guest or IoT networks
远程访问就绪检查¶
对于 WireGuard 风格的访问，在生成密钥或开放端口之前，先确定 VPN 允许访问的范围。
| 模式 | 使用时机 | 风险说明 |
|---|---|---|
| 到单个子网的分流隧道 | 远程管理 NAS 或实验室主机 | 保持路由列表精简 |
| 到可信服务的分流隧道 | 按 IP 或 DNS 访问选定的应用 | 需要精确的防火墙规则 |
| 全隧道 | 不可信网络或差旅环境 | 更高的带宽和 DNS 责任 |
| 覆盖式 VPN | 借助身份控制实现更简单的远程访问 | 仍需进行 ACL 审查 |
在操作员确认以下事项之前，不要推荐端口转发：
- VPN 端点已打补丁并得到积极维护。
- 转发端口仅指向 VPN 服务，而不是管理界面。
- 已了解动态 DNS、公共 IP 行为和 ISP CGNAT 状态。
- 无需重建整个网络即可撤销对等密钥。
- 日志或连接状态可以验证谁在何时连接。
变更顺序¶
优先采用小型、可回滚的变更：
- 快照当前拓扑、IP 规划、DHCP 设置、DNS 设置和防火墙规则。
- 为网关、DNS、控制器、接入点、NAS 和 VPN 端点保留基础设施地址。
- 在不迁移关键设备的情况下创建新的区域或 VLAN。
- 迁移一个测试客户端，并验证 DHCP、DNS、路由、互联网和拦截行为。
- 为所需流量添加窄范围防火墙例外。
- 迁移一个低风险设备组。
- 以满足用例的最窄路由和防火墙策略添加 VPN 访问。
- 记录最终状态、已知例外以及回滚命令或界面操作步骤。
审查清单¶
- 每个网络都有其存在的理由和清晰的信任边界。
- 任何管理接口都不能从访客网络、IoT 或公共互联网访问。
- DNS 故障不会导致运维人员失去在本地恢复的能力。
- DHCP 作用域变更已先在单个客户端测试，再进行大规模部署。
- VPN 客户端仅获得其需要的路由和 DNS 设置。
- 防火墙规则在区域间默认拒绝，并通过命名例外放行。
- 运维人员仍可访问网关、交换机、接入点（AP）、DNS 和 VPN 管理界面。
- 回滚操作以所选平台 UI 或 CLI 使用的同一术语记录。
反模式¶
- 在知道哪些交换机端口和 SSID 承载哪些 VLAN 之前就划分网络。
- 将管理工作站移出唯一可达的管理网络。
- 在测试备用 DNS 之前，将所有 DHCP 作用域指向 Pi-hole。
- 将 NAS、DNS、路由器或虚拟机管理程序管理界面直接发布到互联网。
- 将 VPN 访问等同于完全受信任的局域网访问。
- 临时添加允许所有流量的防火墙规则，却忘记移除。
- 未检查确切平台语法就从其他供应商或固件版本复制命令。
另请参阅¶
- 技能:
homelab-network-setup - 技能:
network-config-validation - 技能:
network-interface-health
本页原文 Markdown：在 AtomGit 查看·内容源自开源项目 ev/ECC