一次因VPN互通需求触发的网络升级，用闲置硬件和开源系统重构家庭网络核心。全程零商业设备采购，覆盖拨号、路由、DNS、DHCPv6、WireGuard组网、备份同步与服务集成，兼具稳定性、可维护性与扩展性。
智能速览
基于Ubuntu Server 25.10构建三网卡软路由，复用G4560主机+DDR4内存+SSD+HDD，整机功耗低、内存占用仅280MB（空载）
实现PPPoE拨号、IPv4/IPv6双栈DHCP、DNSMasq统一解析、硬盘智能休眠（300秒无访问即休眠）
通过WireGuard打通公司办公区、客户内网与家庭网络，所有分支可无缝互访，本地网段直接暴露于公网IPv6
集成rsync增量备份、Cloudreve冷数据挂载、Ollama远程AI调用、DDNS双保险及iftop实时流量监控
规避老旧MSR830路由不支持现代隧道的缺陷，同时淘汰NAS虚拟机网关方案，消除单点故障与心理负担
全部配置开源可控，无闭源驱动或厂商锁定，保留UPnP、USB打印、QoS等后续演进路径
精华内容
当一台服役十年的NAS开始承载VPN网关职责，而主路由已无法兼容WireGuard时，重构不是选择，而是必然。这次改造不追求参数堆砌，而聚焦真实场景下的可用性、可持续性与掌控感。
硬件选型
放弃X270/X1 Carbon/Mac mini等单网口或转接方案，最终采用G4560平台主板（含1个板载千兆口+2个Intel千兆口），搭配8GB+4GB DDR4内存、120GB SATA SSD系统盘与3TB机械硬盘存储盘。整机满载功耗低于35W，空载内存占用280MB，远低于同配置Debian虚拟机的160MB——Ubuntu Server最小化安装后裁剪snapd等冗余组件，兼顾生态丰富性与轻量性。
网络架构
外网口enp1s0直连光猫PPPoE拨号；内网桥br0聚合两颗Intel网口，一口接入交换机供终端接入，另一口直连Mesh路由器承担无线覆盖。通过Netplan配置桥接与静态IP，关闭systemd-resolved后启用dnsmasq统一提供DNS+DHCPv4/v6服务，并开启RA前缀通告，使内网IPv6设备原生获得公网地址。实测IPv6端到端连通率100%，无需NAT即可被外部直接访问。
隧道与组网
部署WireGuard作为主干隧道协议，替代原有OpenVPN+虚拟机方案。wg0接口将AllowedIPs设为全部客户内网网段（如10.10.0.0/16、192.168.200.0/24），流量经中继服务器转发；同时配置策略路由，将回程流量精准导向br0网桥，确保双向通信。对比旧方案，延迟降低42ms（平均从86ms降至44ms），连接建立时间缩短至1.2秒以内，且无虚拟机崩溃风险。
数据与服务
启用rsync每日凌晨2点对QNAP NAS执行增量备份，保留最近7天快照；冷数据通过Cloudreve挂载为WebDAV，按需下载不占本地空间；热数据仍由NAS微力同步实时推送到多终端。Docker容器运行OpenUI，通过AnyConnect接入公司内网后直连Ollama服务，实测7B模型响应延迟稳定在800ms内。DDNS采用MyQNAPCloud主用+自研脚本轮询公网IP双保险，连续30天未出现失联。
可靠性设计
机械硬盘启用hdparm -S 60指令设定300秒自动休眠，但初始配置下jbd2日志进程持续唤醒硬盘。定位后禁用ext4日志（tune2fs -o ^has_journal /dev/sdb1），休眠成功率提升至100%。iptables规则初期设为全通，后续收敛为仅开放WireGuard端口（51820/udp）、SSH（22/tcp）与HTTP（80/tcp）；MSR830主路由转为备用设备，已连续60天未触发切换。
这套方案证明：家庭网络不必依赖高价商用设备，也能支撑跨地域协同、IPv6原生接入与AI服务集成。它不追求极致性能，而强调长期可用、故障可溯、升级可期。当技术回归解决实际问题的本质，每一次重启、每一条iptables规则、每一行cron脚本，都成为数字生活自主权的注脚。未来会否加入QoS保障视频会议？能否让USB打印机通过CUPS真正共享？答案不在厂商白皮书里，而在下一次重启之后。
