分享一下我的简单家庭网络拓扑

真的非常简单，简单到简陋，先上图，第一次接触，画得很不专业，见谅

这套已经运行半个月，虽然还有一些未完成的部分，但已经证明还是能满足我的简单需求的。

我的需求以及我的做法：

安全
1. 拥抱开源: 只使用主线 OpenWRT
2. 做好隔离: 划了三个 VLAN ，分别是「信任区」（顾名思义，这个区的设备值得我信任，例如我的个人 PC 、我的手机、存储服务器、小家庭服务器等）、「访客区」（不那么信任，所以防火墙禁止它们访问网关和光猫，但允许它们互相之间通信）和「危险区」（不信任，例如各类不得不联网的智能家居，禁止它们互相之间通信，并且设计方便调试的流程来给它们上更细致的防火墙）
3. 及时更新: 关注 OpenWRT 等社区的动态，有重要更新就立刻更新路由器设备
稳定
1. 光猫拨号，让主路由和几个 AP 只干路由器的活，没有任何插件，而且做减法，例如主路由删掉 USB PPPoE 之类不需要的包，AP 删掉防火墙、DNS 、LUCI 等等，需要的服务都跑在「信任区」的小服务器上，也就是很多人常说的“旁路由”
2. 可复现: 受够了以前用 LUCI 时改配置边改边截图记录，升级个大版本结果逻辑又变了，于是这次我通过 uci-defaults 和 OpenWRT Image Builder 和 Docker 实现声明式配置，用 git 管理变更，再也不怕了
应用
1. 双栈: 对于家庭网络使用 IPv6 还很陌生和畏惧，所以仅在「信任区」启用了 IPv6
2. 外网访问 VPN: VPN 跑在「信任区」的小服务器上，固定后缀，从而仅允许公网到 VPN 所在服务器的指定端口的 UDP
3. 无线漫游: 在主路由和几个 AP 上，三个 VLAN 都分别对应一组 2.4G 和 5G 的相同 SSID 的 Wi-Fi （「危险区」只有 2.4G ），开启 802.11r 来实现无线漫游，查资料时看到有人说这样是假漫游，不过我的设备用着还行，用 WiFiAnalyzer 移动观察确实切换了，也就没有纠结

感谢配置过程中帮助我的很多网友

欢迎批评和指点~

0o0O0o0O0o

2023-07-31 17:59:24 +08:00

@remonsawa #23

没反，算是理念差异吧，我把安全排第一项的，为了（我理解中的）安全牺牲了很多体验。

据我了解智能家居设备几乎没有在意安全的，所以需要联网的智能家居设备属于非常薄弱的环节，为了贯彻理念我宁愿不享受它们，我有很多智能家居设备买来就没联过网。

访客区则通常是手机、游戏机，个人认为较安全，不信任的人我也只会让他们连危险区。

仅仅是个人执念，哈哈。