homelab-network-readiness

Homelab 网络就绪检查（Homelab Network Readiness）

用途在修改混合了 VLAN、Pi-hole 或其他本地 DNS 解析器、防火墙规则以及远程 VPN 访问的家庭或小型实验室网络之前，使用本技能进行规划与评审。它是一个规划与评审类技能，而非直接可复制的路由器、防火墙或 VPN 配置。除非目标平台、当前拓扑、回滚路径、控制台访问与维护窗口均已明确，否则不应将其转化为可直接粘贴的配置命令。

适用时机

准备把扁平网络拆分为可信、IoT、访客、服务器或管理 VLAN。
将 DHCP 客户端迁往 Pi-hole、AdGuard Home、Unbound 或其他本地 DNS 解析器。
增加 WireGuard、Tailscale、ZeroTier、OpenVPN 或路由器原生 VPN 访问。
评审某项 homelab 变更是否可能导致操作者无法访问网关、交换机、接入点、DNS 服务器或 VPN 服务器。
把非正式的家庭网络想法转化为带验证证据的分阶段迁移计划。

安全规则

首次回答保持只读：盘点、风险、分阶段计划、验证与回滚。
不要将网关管理面板、DNS 解析器、SSH、NAS 控制台或 VPN 管理界面直接暴露到公网。
在没有确认平台与回滚流程前，不提供防火墙、NAT、VLAN、DHCP 或 VPN 命令。
变更管理 VLAN、Trunk 端口、防火墙默认策略或 DHCP/DNS 设置前，要求具备带外或同房间控制台访问。
在让整个网络指向新的 DNS 解析器或 VPN 路由之前，保留一条可用的互联网回退路径。
除非操作者明确选择其他方式，否则将 IoT、访客、摄像头与实验服务器网络视为不同的信任区。

所需盘点信息（在给出实现步骤前收集）

互联网边缘：调制解调器或 ONT 是什么？ISP 路由器是桥接还是仍在路由？
网关：什么设备负责路由、防火墙、DHCP 与 VPN 终结？
交换：哪些交换机端口是上行链路、接入端口、Trunk 或非管理端口？
Wi-Fi：哪些 SSID 映射到哪些网络？AP 是有线还是 Mesh？
编址：当前存在哪些子网？哪些范围与 VPN 站点冲突？
DNS/DHCP：当前由哪个服务下发租约与解析器地址？
管理：变更后操作者如何访问网关、交换机与 AP？
恢复：如果 DNS、DHCP、VLAN 或 VPN 路由故障，可在本地回退什么？

VLAN 与信任区规划从意图出发，而不是从厂商语法出发。典型区域与默认策略：

Trusted（可信）：笔记本电脑、手机、管理工作站；仅在需要时可达共享服务与管理面。
Servers（服务器）：NAS、Home Assistant、实验主机、DNS 解析器；只接受来自可信客户端的窄入站流量。
IoT：电视、智能插座、摄像头、音箱；仅互联网访问加明确例外。
Guest（访客）：访客设备；仅互联网，不可达 LAN。
Management（管理）：网关、交换机、AP、控制器；仅可信管理设备可达。
VPN：远程客户端；访问权限等同或窄于可信客户端。在推荐 VLAN ID 或子网前，确认：网关支持 VLAN 间路由与防火墙规则；交换机支持所需的 tagged/untagged 端口行为；AP 能将 SSID 映射到 VLAN；操作者知道变更期间自己经由哪个端口连接；Trunk 与 SSID 变更后管理网络仍可达。

DNS 过滤就绪 Pi-hole 或其他本地解析器应作为一项依赖引入，而不是单点故障。

在用于 DHCP 选项前，为解析器分配保留地址。
确认它能解析公共 DNS 与本地 home.arpa 名称。
保留网关或第二个解析器作为临时回退。
在修改所有 DHCP 作用域前，先测试一个客户端或一个 VLAN。
记录哪些网络可以绕过过滤及其原因。
检查拦截规则是否破坏强制门户、工作 VPN、固件更新或医疗/安全设备。有用的验证证据：客户端获得预期 DHCP 租约；客户端收到预期 DNS 解析器；公共 DNS 查询成功；本地 home.arpa 查询成功；被拦截的测试域名只在预期位置被拦截；网关与 DNS 管理界面无法从访客或 IoT 网络访问。

远程访问就绪对于 WireGuard 类访问，在生成密钥或开放端口之前，先决定 VPN 被允许访问什么。模式与风险：

分割隧道到单个子网：用于 NAS 或实验主机的远程管理；保持路由列表窄。
分割隧道到可信服务：按 IP 或 DNS 访问选定应用；需要精确防火墙规则。
全隧道：用于不可信网络或出行；带宽与 DNS 责任更大。
覆盖网络 VPN：以身份控制简化远程访问；仍需 ACL 评审。在操作者确认以下事项前，不要建议端口转发：VPN 端点已打补丁并持续维护；转发的端口只指向 VPN 服务，而非管理界面；动态 DNS、公网 IP 行为与 ISP CGNAT 状态已了解；对等密钥可撤销而无需重建整个网络；日志或连接状态可验证谁在何时连接。

变更顺序倾向小而可逆的变更：

快照当前拓扑、IP 规划、DHCP 设置、DNS 设置与防火墙规则。
为网关、DNS、控制器、AP、NAS 与 VPN 端点保留基础设施地址。
创建新区域或 VLAN，但不迁移关键设备。
迁移一个测试客户端，验证 DHCP、DNS、路由、互联网与拦截行为。
为所需流量添加窄防火墙例外。
迁移一个低风险设备组。
以满足用例的最窄路由与防火墙策略添加 VPN 访问。
记录最终状态、已知例外与回滚命令或 UI 步骤。

评审检查清单

每个网络都有存在的理由与明确的信任边界。
任何管理界面都无法从访客、IoT 或公网访问。
DNS 故障不会导致操作者无法在本地恢复。
DHCP 作用域变更已在一个客户端上测试后再广泛铺开。
VPN 客户端只获得所需路由与 DNS 设置。
区域之间防火墙默认拒绝，例外具名。
操作者仍可访问网关、交换机、AP、DNS 与 VPN 管理面。
回滚以所选平台 UI 或 CLI 的同一术语记录。

反模式

在不知道哪些交换机端口与 SSID 承载哪个 VLAN 之前就做网络分段。
把管理工作站移出唯一可达的管理网络。
在测试回退 DNS 之前，把所有 DHCP 作用域指向 Pi-hole。
将 NAS、DNS、路由器或虚拟化平台管理面直接发布到互联网。
把 VPN 访问等同于完整的可信 LAN 访问。
临时添加全允许防火墙规则后忘记移除。
不检查确切平台语法，就从其他厂商或固件版本复制命令。

技能介绍