先从一个真实翻车现场说起。知乎博主「第七日代码」为了在外面访问方便，在路由器上把 NAS 的管理端口直接映射到了公网。全网扫描脚本找上门，不到半小时，存储池里的照片、代码仓库全被追加了 .locked 后缀；更糟的是定时快照没做权限隔离，攻击者拿到权限后顺手把所有快照也清空了。事后他把单体架构全部推倒，翻出一台闲置的 Intel 10 代主机，以 Proxmox VE（PVE）为底座重新搭建。
这篇复盘发在 11 月 9 日。如果你最近混知乎和 B 站的 HomeLab 区，会发现这类"拆掉重建"的内容明显多了：《PVE 家庭服务器》系列连着开更，第二篇直接讲底座安装与核显虚拟化配置。B 站 UP 主用动画复盘"主路由搬进虚拟机"的两次翻车。二手市场也跟着起浪——首发 699 元的双 2.5G 网口、双盘位 N100 迷你主机，如今闲鱼 495 元大量流出，被玩家称为"先天 All-in-One 圣体"。
为什么大家在集体重建？说白了是三股劲拧到了一起：便宜的二手低功耗小主机把底座门槛打到了几百块；"端口映射裸奔被勒索"的创伤让单体 NAS 架构不再让人安心；而 Intel 10 代这类支持 GVT-g 核显切片的平台，让一台机器同时喂饱 Windows 虚拟机和 Jellyfin 转码第一次变得零成本。
热闹归热闹，这批重建帖里真正值钱的是三条共识——
一、宿主机底座绝不装 Docker。 Docker 守护进程一启动，就往 Linux 内核里强行写入一大堆 iptables 链并创建虚拟网桥，和 PVE 自己的 vmbr0、VLAN 模型正面冲突，典型症状是宿主机莫名其妙丢包、Web 控制台断连。正确姿势是单独开一个 Debian 特权 LXC 容器跑 Docker Compose。同时遵循"配置留本地、数据放大仓"：镜像和 SQLite/Redis 数据库落在一块廉价本地固态上，影视原片走 NFS 进 NAS 大仓。大仓哪怕关机维护，各项网络服务照样在线。
二、算力可以虚拟化，主路由最好别。 B 站 UP 主「DragonLab龙宝实验室」把主路由搬进 PVE 虚拟机、让实体路由器只负责发 Wi-Fi，结果连翻两次车：一次是家里设备拿不到 IP，一次是网络明明通着、网页却打不开。更隐蔽的问题是，跑虚拟机的那台小主机一旦坏掉，全家断网。所以系列帖作者的态度很干脆：All-in-One 负责算力和存储，核心主路由保留独立物理设备，底座怎么折腾重启，全家基础网络不受影响。
三、数据要留物理级逃生口。 给群晖挂盘，最忌在宿主机里建 qcow2 虚拟磁盘；正确姿势是买一张 ASM1166 芯片的 PCIe 转 SATA 扩展卡做整卡硬件直通。这样 DSM 的 RAID 元数据本就写在物理盘头部，哪天 PVE 底座崩了，拔下硬盘插到任何一台 PC 上，数据原样可读。
防勒索则是开 Btrfs 的 WriteOnce（单次写入多次读取）共享文件夹，企业模式自动锁定延时设为 30 分钟——过了缓冲期，即使管理员密码被盗，批量加密覆盖的系统调用会被直接拒绝。再配一条外置硬盘盒离线冷备，凑齐"3 份数据、2 种介质、1 份物理离线隔离"的 3-2-1 原则里那份永远不在网上的。
至于"先天圣体"要不要冲，建议先想清楚定位：N100 这种 6W 低功耗 U 硬解能力强，4K HDR/AV1 转码没压力，适合轻 NAS＋影音＋软路由。但你想切虚拟核显给 Windows 虚拟机，10 代酷睿 GVT-g 仍是普通玩家能零成本稳定"一卡多吃"的末代甜点。11 代之后消费级芯片砍掉了 GVT-g，魔改 SR-IOV 在家用环境是噩梦。500 元是门票，不是终点。
这轮重建潮里最值得抄的不是作业，是思路：All-in-One 的价值从来不是把所有东西塞进一台机器，而是把爆炸半径画清楚——任何一个服务倒下，都不该拖着全家一起断网、断电、断数据。
