小型家用网络建设记

前段时间某学弟找我，说要结婚搬新家，想置办一套新的网络设施，大概就是要 WiFi6 + 群晖，其他一概不知，因为学弟单位上公网比较难，有时候要私人电脑回家处理一下自家厂里的事，所以还有回家的需求。正好做完作业给大家瞧瞧看看有什么再优化优化的。

本垃圾佬又开始上海鲜市场淘交换机了，考虑到要放在弱电箱里，还是先稳定可靠，2.5G 、10G 什么的花把式现在也不是很急需，另外能入眼的万兆可能是 S5720-EI 或者 S6720 起步，这些都不可能塞进弱电箱了，那就先整一个华为 S5720-12TP-LI-AC 吧～整体拓扑图如下:

实现目标

家用基础设施全面虚拟化（路由器、DNS ）等，存储在 OptiPlex 7090 上装了 nvme + 机械的配置同时满足系统和下载缓存的需求。同时因为电信提供的公网 IP 和大流量 5G 卡，支持远程 VPN 回家。因为学弟单位限制，单位电脑无法上公网也不能做工作以外的事情，所以他日常带 iPad 或者自己的 Macbook Pro 去上班，所以有一个方便的 VPN 连回家还是非常方便他回家做一些业划务水的事。

接入网

电信 1000M v4/v6 双栈公网；移动 300M v6 公网

交换机、无线网络和虚拟化

华为 S5720-12TP-LI-AC 交换机

ESXi 虚拟化 Dell OptiPlex 7000 系列 SFF 主机

另加学弟现有的一台老机（一台装了 3080 的老机器）

Aruba AP-505 胖瘦一体，开 Instant 模式

群晖 DS920+

以上所有设备接到华为交换机，交换机开三层 VLANIF 、DHCP 和 VRF （主要给移动机顶盒单独走移动用）虚拟化主机运行，然后新建以下服务给这次的网络：

DNS：干净的电信+国际-广告解析环境

ocserv：AnyConnect 接入

云桌面：由 vmware Horizon 驱动

软路由：RouterOS CHR 6.9 - 电信和 VyOS 1.3.1 - 移动

VLAN 规划

10 接入网：单电信 192.168.10.0/24 交换机 VLANIF 启用 DHCP

11 接入网：国际友好 192.168.11.0/24 交换机 VLANIF 启用 DHCP

20 服务段，DNS 、ocserv 等 192.168.20.0/24 含国际路由

21 设备管理 192.168.21.0/24 交换机 VLANIF 启用 DHCP 包含家里的物联网设备和 Aruba Instant

100 路由器-交换机三层互联

101 电信宽带

102 移动宽带

升级留坑

关于万兆到桌面什么的并不是很急需，倒是 DS920 和虚拟化平台可以通过 10G 互联以后直接 iSCSI 挂载到虚拟机上用，这个需要注意的就是设备得离得足够近，不管是光缆、DAC 还是 AOC ，能接上线且不影响家里的摆设还是很重要的。另外 Dell OptiPlex 7000 系列的半高挡板装一块单口 /双口拆机 X520 还是很有性价比的。关于性能因为 Dell OptiPlex 的可靠性和性能都可以做得很好，而且非常静音且节能，同时 SFF 主机和 Micro 主机尺寸都非常小巧，未来有更多需要可以叠叠乐，因为学弟最终安排了一个柜子来置放设备，所以未来收一台 S6720S-16X-LI 来做全万兆互联也是可以完成的任务了

exiaohao

2022-06-05 17:14:23 +08:00

@oovveeaarr 我在这提出这个方案的原因就是其实这里只有一台出口的 NAT 路由器（ CHR ），所有内网互通基本都是在华为那台交换机上走默认路由表 / vpn-instance 做的，想搞点小花活也可以通过 VLAN 100 的互联地址来绕过 CHR ，后期要升级的话把 5720 端了换更高配就可以。
其实 vyos 在这里面我没画出来，因为涉及到 iBGP + eBGP 把海外路由直接灌进 CHR ，这真有点超纲。

主要想提的是设计网络把内网边界规划清楚，不要上一个路由器什么就 NAT 一次，看到很多人都喜欢这么干，所以写了这个方案出来，建议大家内网全三层，到了 Internet 边缘才 NAT ；
另外如果要规划多个子网，也不要把网关、DHCP 起在路由器上，尽量让三层交换机来实现这些事情

DPDK 可以看 Juniper vSRX 可能是最容易接触到且可用的了

oovveeaarr

2022-06-05 19:21:27 +08:00

@exiaohao #28 实际上家庭用户基本不会用上 L3 交换机，甚至连管理型交换机都很少，就算有也是 L2 级别的，所以这套网路架构其实并不适用目前 V2er 的大多数环境。

具体到实践中来说，划分网段目前对家用的意义可能仅限于隔离网路了。但是真的有很多简单高效的方法，比如说直接做端口隔离，亦或者是直接做防火墙规则（多网段）都可以达到，和上多一个设备效果一样，甚至更好。
其次对于一个全功能路由来说，服务集中并没有问题，反而提高易用性的同时，便于管理。
比如说：目前 Openwrt 等路由在 DHCP 的同时，附赠了主机名内部 dns ，如果引入额外的设备，增加了配置成本外，也是收益不明确的。

至于多层 NAT 和软路由的职责，确实应该尽量避免（尤其是软交换），但是还是那句话，实践中引入的设备大多数都是二手设备复用。在考虑配置成本的情况下，多层 NAT 是可以接受的。
比如说为 IOT 设备准备一个单独的 SSID ，从而利用到的老旧路由器。亦或者是访客 WiFi ，这类对性能要求不高，又没有什么互联需求的设备，直接怼上一个无线路由是最简单方便的（毕竟是 AP ，路由只是附赠的）。

至于后面在家庭引入 BGP/OSPF/RIP 等操作，如果是自己拿来玩是没问题的，从实用角度出发有非常多更好的选择（ geosite/ip/as 等），而且不会引入多余的复杂度。

其实最后说起来，我是认为家庭网络总体目标应该是保证其简洁、轻量、易替代性，对于路由则是应该保持一体性。毕竟玩脱了影响到家里人上网的时候，排查时间越短越好，恢复时间越快越好。