🏠 家庭实验室混合云网络架构说明

1. 架构概览

本网络架构采用 "云端中转 + 本地旁路网关" 的混合组网模式。 核心通过腾讯云服务器作为公网流量入口和内网穿透的中继点，本地通过 PVE 虚拟化平台搭建高性能服务集群，并由 OpenWrt 虚拟机接管复杂的路由和流量清洗任务。

2. 区域详解

🔵 家庭网络 (Home Intranet)

家庭侧采用 物理路由与逻辑网关分离 的设计，利用 2.5 G 高速内网提升虚拟化性能。

• 物理接入层:

  • 光猫 (ONU): 仅作为桥接设备 (Bridge Mode)，光电转换。
  • 主路由 (Router): 负责拨号 (PPPoE)、DHCP 分配（可选）及 WiFi 覆盖。
  • 物理链路: 主路由通过 2.5 G 网口 连接至 PVE 小主机，确保内网数据吞吐不成为瓶颈。

• 虚拟化核心 (PVE / Mini PC):

  • OpenWrt (旁路网关/主网关):
    • 角色: 核心逻辑网关。
    • 功能: 运行科学路由代理、内网穿透客户端 (FRP/NPS Client)、DNS 过滤。
    • IP: 固定内网 IP（例如 192.168.1.2），作为其他 VM 的默认网关。
  • 业务虚拟机 (VMs):
    • 包含 Ubuntu, CentOS, Android, Deepin 等环境。
    • 网络配置: 网关指向 OpenWrt，从而透明地获得科学上网能力和内网互通能力。
  • 内网服务: 部署在各 VM 上的 Web 服务、SSH、NAS 存储等。

🟣 云端中转 (Tencent Cloud)

云服务器作为连接“内网”与“公网”的桥梁，拥有固定的公网 IP。

• 反向代理 (Nginx): 处理域名请求 (A/AAAA)，将公网 HTTP/HTTPS 流量转发至穿透隧道。
• 穿透服务端 (Tunnel Server): 与家庭 OpenWrt 建立加密隧道，将云端端口映射回本地。
• SOCKS 5 代理入口: 专门为远程办公场景提供的一个 TCP/UDP 流量入口。

⚪ 办公/远程网络 (Remote Office)

在公司或其他外部网络环境下，实现无感知的回家访问。

• 接入设备: 办公电脑 (Windows/Mac)。
• 流量控制 (Proxifier):
  • 通过规则分流，将访问家中域名或内网 IP 段的流量拦截。
  • 拦截后的流量强制走 SOCKS 5 协议转发给云服务器。

---

3. 数据流向说明 (Traffic Flow)

📤 场景 A：家庭虚拟机访问互联网 (Outbound)

VM -> OpenWrt -> 科学代理/NAT -> 物理路由 -> 光猫 -> Internet

所有 PVE 内部的虚拟机（Ubuntu/CentOS 等）将网关指向 OpenWrt。OpenWrt 对流量进行分流处理（国内外分流、去广告等），再发送给主路由出网。

📥 场景 B：公网访问家中 Web 服务 (Inbound - Web)

用户 -> 域名 -> 云服务器 (Nginx) -> 穿透隧道 -> OpenWrt -> 目标 VM (Web 服务)

外部用户通过域名访问，Nginx 接收请求并通过预先建立的隧道将请求“穿透”防火墙送达家中的 OpenWrt，最终到达具体的服务端口。

🔐 场景 C：公司私密访问家中内网 (Inbound - SOCKS 5)

办公电脑 (Proxifier) -> 云服务器 (SOCKS 5) -> 穿透隧道 -> OpenWrt -> 任意内网设备 (SSH/NAS/RDP)

办公电脑上的 Proxifier 充当透明代理客户端。当你尝试 SSH 连接家里的 192.168.1.x 时，流量被封装进 SOCKS 5 隧道，经由云服务器直接到达家里的 OpenWrt。这使得你在公司仿佛直接插在家里的网线上一样。

---

4. 关键配置参数 (示例)

设备/节点	角色	建议 IP 配置	备注
主路由器	物理出口	192.168.1.1	关闭部分防火墙或开启 DMZ 指向 OpenWrt (可选)
OpenWrt	逻辑网关	192.168.1.2	关闭 DHCP (由主路由发)
PVE 管理	宿主机	192.168.1.10	绑定静态 MAC
Ubuntu VM	业务节点	192.168.1.20	Gateway: 192.168.1.2 (指向 OpenWrt)
云服务器	中转跳板	1.2.3.4 (公网)	需在云防火墙放行穿透所需端口

---

5. 优势总结

1. 安全性: 也就是家中不需要开启公网端口（或无公网 IP），所有入口收束在云服务器，隐藏了真实家庭 IP。
2. 灵活性: OpenWrt 独立于物理路由，折腾挂了不影响家人 WiFi 上网；VM 网关指向灵活，可按需科学上网。
3. 无感远程: 配合 Proxifier + SOCKS 5，远程访问不需要反复开关 VPN 客户端，实现应用级的分流访问。