网上冲浪指南

网络设备硬件到齐之后，就需要重新配置网络了，在我的使用场景中，家庭网络除了基本的上网之外需要承担两个额外的功能：

• 全局透明代理
• 允许电脑、手机远程访问本地网络服务

我选择的方案是使用 N100 小主机运行一个 OpenWRT 虚拟机，并将两个物理网卡分配给它，以实现更加高级的网络配置。

怎么连网线

因为家宽的下行带宽只有 300M，所以就用开发商自带的超五类网线连接光猫跟 N100 小主机的千兆 WAN 口。

N100 小主机的 2.5G LAN 口跟一台 TP-Link 路由器连接，路由器设置有线 AP 模式，这样全屋所有的流量都由虚拟机软路由处理，用 openwrt-passwall2 实现全局透明代理功能。

QNAP NAS 通过网线连接到 TP-Link 路由器，不过由于路由器只有千兆网口，所以 QNAP 的2.5G 网口完全是性能过剩的。

N100 上再用一个有线网卡连接到 TP-Link 路由器，给宿主机联网使用，这个有线网卡配置了一个静态 IP，方便在软路由挂掉的时候访问管理面板排查故障。

其他的设备都用无线网络连接，因为户型小，所以单个 TP-Link 路由器的 5GHz WiFi 完全可以覆盖主要的视频消费设备。至于厨房、阳台等犄角旮旯的物联网设备，2.4GHz WiFi 也能提供足够的覆盖度。

怎么从任意的外部网络访问家里的局域网

很多 homelab 玩家会选择公网 IP 搭配 DDNS 的方案，但对我来说，这种方案会显著提高局域网的安全风险 —— 我并不是一个 OpenWRT 的运维高手，也完全不会使用 iptables/nft ，如果有人通过公网 IP 侵入了局域网，我大概率很难及时地发现问题。

我的方案是 zerotier + 拥有公网 IP 的 VPS + singbox。外网设备通过 singbox 客户端连接 VPS 上的 singbox 服务端，然后通过路由规则将发往局域网的流量通过 zerotier 转发到家庭网络的 OpenWRT 上，以此实现远程访问。

首先，将局域网中的 OpenWRT 跟 VPS 都加入同一个 zerotier 网络。OpenWRT 加入 zerotier 比较复杂，建议参考 openwrt 的文档配置。

在 OpenWRT 上成功加入 zerotier 网络后，就可以看到下面的接口以及防火墙配置：

然后在 VPS 上添加一条路由规则：

ip route add 192.168.100.0/24 via 10.2.2.233
# 10.2.2.233 就是 OpenWRT 在 zerotier 网段中的 IP

接着其他设备在外部网络下通过 singbox 连接到 VPS，并且添加下面的 singbox 路由规则：

"route": {
  "rules": [
    {
      // 家庭局域网网段
      "ip_cidr": [
        "192.168.100.0/24"
      ],
      "outbound": "vps"
    },
    {
      // 局域网服务专属域名，在公网设置解析到家庭局域网的 Web 网关
      "domain_suffix": [
        ".n.zeeko.dev"
      ],
      "outbound": "vps"
    },
  ]
}

这样不仅可以减少家庭局域网在公网上暴露面，还方便各种设备（笔记本电脑、手机、平板）在各种网络条件下访问家里的局域网设备 —— 只要能连接上部署了 singbox 的 VPS，就可以访问家里的局域网。至于远程访问时的网络连接速度，实测在联通 5G 网络下满足远程播放 20Mbps 码率视频的场景比哔哩哔哩大会员的 4K 视频要强。