这个月的爱快安全事件，关注的人聊的多是升哪个版本、要不要换OpenWrt，这两个话题都说过了。但这次事件暴露出的另一个问题，我认为更值得聊，而且很少有人聊：你的爱快是怎么装的，直接决定了出事时的动静有多大。
这次事件处置期间，有第三方插件开发者在B站发布应急方案时提到，爱快系统在持续推送热更新，部分设备可能再次出现重启和网络异动。哔哩哔哩知乎如果你的爱快装在一台独立小主机上，重启最多断网几分钟；但如果它是跑在all in one主机里的一个虚拟机，这次重启就会把同一台机器上的NAS、Docker、Home Assistant一起带走。对于全家网络系于一台机器的部署方式来说，这就是"小事故"和"大事故"的区别。
所以今天把爱快的三种部署方式一次说清楚。不是安装教程，是帮你先做一个判断：你适合哪种装法。
三种装法，一句话说清
第一种，物理机直装。爱快直接装在一台x86小主机上，这台机器就是路由器，只干路由这一件事。
第二种，PVE虚拟化，也就是all in one。底层是PVE虚拟化平台，爱快作为其中一个虚拟机运行，和NAS、下载机、各种服务虚拟机住在同一台机器里。
第三种，双系统分工。爱快做主路由负责拨号和分流，另加一个OpenWrt做旁路由承担插件功能。两者可以是两台物理机，也可以是PVE里的两个虚拟机。
真正要比的不是难度，是这四笔账
第一笔，故障影响范围。这是三种装法最大的差别。物理机直装的影响面最小，机器挂了只断网，不牵连别的东西，手边有台备用硬路由或者能快速重刷，分钟级恢复。all in one则相反，一台机器就是整个家庭网络，PVE本身、网卡驱动、升级失误、供电波动，任何一环出问题都是全家"消失"。这次事件其实就验证了这一点：路由重启是小事，all in one重启是大事。
第二笔，性能。虚拟机方案里，网卡直通是前提。社区对PVE加爱快的配置有个形象说法：先"盖房子"，在PVE里给爱快划出专属地盘；再"给钥匙"，通过硬件直通把物理网卡直接交给爱快掌管，这样网速才够快。知乎不做直通、走虚拟桥接网卡，千兆以上线路的吞吐和延迟都会有可感知的损失。爱快和OpenWrt两个虚拟机同机跑时，还要提前规划好直通分配，哪个口做WAN、哪个口做LAN，避免"网卡不够分"。
第三笔，扩展能力。all in one天然最强，想加什么加什么。物理机直装取决于爱快本身给什么：4.0版本线有Docker和应用市场，能在上面跑Home Assistant这类服务，但有用户反馈，4.0的内置虚拟机功能可能与版本或企业版权限相关，免费版用户想用前先自己确认（此信息来自用户实测，官方未明确说明，仅供参考）。知乎双系统分工介于两者之间，扩展能力基本等于OpenWrt的插件生态，主路由不用动。
第四笔，维护成本与恢复手段。all in one折腾成本最高，但PVE的快照和备份也是三者里最强的恢复手段，升级或改动前打快照，挂了回滚即可。物理机直装成本最低，恢复手段主要靠配置文件导出，系统真坏了就得重装。这次事件中有位B站用户的经历就是例子：设备DNS和DDNS持续异常，导出配置重装系统也没解决，最后手动重配基础业务、把DDNS迁到别的设备才恢复。哔哩哔哩他要是没备份配置，这个过程只会更惨。
社区踩过的三个坑，都是真实成本
坑一，小主机频繁死机，很多人猜不到元凶是电源。知乎上有个高浏览量的求助：畅网N100软路由，PVE加爱快加iStoreOS，频繁死机，换硬盘也没解决。回答区另一位用畅网N305的用户说，自己被不定时重启折腾得换过三根内存都没用，最后听售后建议换了个300瓦电源，从此再没重启过——尽管待机功耗只有二三十瓦。知乎这里的教训是：低功耗小主机出现诡异不稳定，先查电源和内存，别上来就怀疑系统。
坑二，免费版跨大版本升级，功能边界会变。这次官方紧急更新有两个分支：4.0线升到4.0.307，3.x线升到3.7.24。B站评论区有位从免费3版本升到4版本的用户反馈，最近经常断网，多拨功能全部失效，大部分业务受影响。哔哩哔哩家庭用户跨版本升级无伤大雅，但依赖多拨等特定功能的用户，升级前先在测试环境验证，或者干脆停留在3.7线。
坑三，功能堆在主路由上越多，排查越难。有种玩法是把去广告、DDNS、下载任务全塞进路由器。这次事件给出了两个反面样本：有用户在日志里看到DNS服务器反复重启，很快能定位到问题。知乎也有用户DDNS持续失效，一直以为是安全事件的后续影响，最后发现就是这个功能本身不稳定。功能解耦的原则在爱快上比别的系统更重要：主路由只管转发和拨号，其他功能尽量放旁路设备或独立虚拟机。
三种人分别适合哪种装法
求稳的家庭用户，选物理机直装。家里一条500兆或千兆宽带，需求就是全家稳定上网，不想折腾，低功耗小主机直装爱快就行。知乎"软路由怎么没有人玩了"这个问题下有条回复挺有代表性：“不折腾了。j1900工控机，安装爱快，进门口的那个电箱，稳得很。”知乎这种用户完全不需要all in one。
all in one党，选PVE加爱快，网卡直通，同时做好功能解耦。你有一台或者准备买一台多网口小主机，希望NAS、下载机、路由和服务都跑在一台机器上，可以，但记住三件事：直通必须做，改动前打快照，DDNS和DNS缓存这类关键功能尽量独立部署。出事的时候，你就知道这几件事值多少钱。
功能党，选爱快主路由加OpenWrt旁路由。你需要去广告、分流、各种插件，又希望主路由稳如老狗，那就双系统分工：爱快负责拨号、流控和稳定，OpenWrt旁路由负责插件，旁路由挂了顶多插件失效，全家网络不掉。知乎上长期有"爱快和OpenWrt谁做主路由更稳"的争论，其实不用争，两者擅长的东西不一样，放对位置就行。知乎
最后多说两句
这次攻击事件，按IT之家报道的官方公告口径，攻击源头尚未查明，官方反制仍在持续；如果你的设备DNS被异常修改，可以联系爱快官方协助清理恢复。微博知乎还没更新的，按官方建议来：4.0线升到4.0.307及以上，3.x线升到3.7.24。知乎
但比升哪个版本更值得长期记住的是三件事：备份配置、别把所有鸡蛋放进一台机器、给网络恢复留一条后路。路由器是365天开着的设备，你选的系统、装的方式，决定了真出事的时候是从容还是抓瞎。
