My HomeLAB：从接入到自建服务

这几年折腾网络和自建服务，零零散散写了三十多篇文章：NAT 穿透、隧道、端口转发、分流、游戏加速、Gitea、备份……单看每篇都是一个小问题，放在一起其实是同一套东西：一个人从家里、学校到云上，把设备、网络和服务连成一个自己能掌控的环境。

这篇不讲新内容，只做一件事：把这些文章按层次串起来，当作我的 HomeLAB 地图和索引。

整体分层

层	内容
6. 安全与运维	SSH 加固 · 白名单 · 诊断 · 证书 · 备份
5. 自建服务	Gitea · CI/CD · 网盘 / 文件共享 · Memos
4. 线路与分流	多跳中继 · 规则分流 · 透明代理 · 游戏加速
3. 穿透与暴露	Cloudflare Tunnel · Gost · frp / NPS · SNI
2. 虚拟组网	Tailscale · EasyTier · ZeroTier · NAT 穿透
1. 接入与出口	家宽 · 校园网 / 教育网 · AnyConnect VPN

越往下越接近物理网络，越往上越接近“我真正想用的东西”。大部分问题都出在层与层之间：VPN 抢了默认路由、内网机器出不了网、服务想暴露又不想开端口。

1. 接入与出口

一切的起点是“我现在在什么网络里”。在学校、在家、连着 VPN，能做的事情完全不同。

• 校园网国际互联分析及解决方案：教育网的 IPv4 / IPv6 国际互联特点，以及为什么国内中继反而更快。
• 避免 AnyConnect 干扰本地网络：VPN 接管默认路由后，如何同时访问内网服务器。由此有了开源工具 openconnect-ssh。
• TUN 模式 + 双网卡分流：内网机器不能直接上网时，借一台双网卡笔记本“曲线救国”。
• Clash.Meta Rule-Provider 与 Scholar 规则：让学术网站走教育网直连，自动获得机构授权。

2. 虚拟组网

设备分散在不同网络里，最省心的办法是把它们放进同一张虚拟局域网。

• NAT 穿透原理与 P2P 组网实践：四种 NAT 类型、打洞流程，以及 Tailscale / ZeroTier / EasyTier 如何回退到中继。
• SD-WAN 虚拟组网工具总结：ZeroTier、Tailscale（Headscale）、EasyTier、n2n、vnt。
• Tailscale + 无线 ADB 远程调试 Android：组网之后的一个具体用法，人在哪里都能调试手机。

3. 穿透与暴露

组网解决的是“我自己访问”，而把服务给别人用、或者没法装客户端的时候，就需要穿透和转发。

• Cloudflare Tunnel 实用指南：HTTP 穿透、SSH / RDP 代理、任意 TCP，附上海电信到欧洲的实测延迟。
• 内网穿透工具 与 流量转发工具和面板总结：Gost、frp、NPS、realm 等的选型清单。
• Gost 基于 SSH 的端口转发：一份配置同时实现本地转发和远程转发。
• SNI 分流与 443 端口复用参考：Nginx / HAProxy 四层分流。

4. 线路与分流

这一层是我花时间最多的地方，也是 XLAN.NET 的来源：基于 TUN 和策略路由的流量控制与分流框架。

• 多跳中继拓扑设计与流量分流原理：每一跳只转发、末端负责连接；客户端分流、服务端分流和透明代理的原理。
• 游戏延迟优化实测：自建中继 vs 商业加速器：以上海电信为测点，专线、高端线路、优化线路和 UDP over TCP 的实测对比。
• Linux 服务器中使用 Proxy 的几种方案：ShellCrash、内核直跑、SSH 反向转发、TUN 与环境变量。
• UDPspeeder + Phantun 优化 UDP 传输：FEC 冗余对抗丢包，伪装 TCP 对抗 QoS。

5. 自建服务

网络通了之后，才轮到真正要用的服务。

• 通过 Cloudflared 为 Gitea 提供保护：隐藏源站 IP，同时保留 SSH clone。
• DevOps / GitOps 经验总结：Gitea + Drone + Docker 的自运营 CI/CD。
• 文件共享与同步的几种方案：自建网盘、NFS / SMB / WebDAV。
• Memos：轻量的开源笔记。
• 虚拟化扫盲笔记：Container、KVM、QEMU 到 Firecracker：服务跑在什么样的隔离里。

6. 安全与运维

服务一旦暴露到公网，安全和可观测性就不再是可选项。

• 服务器基础加固清单 与 VPS 访问白名单：SSH 加固、UFW、Fail2Ban、按国家放行。
• Docker 容器逃逸：共享目录配置不当时的真实风险。
• 服务器网络诊断工具箱：nmap、iperf3、nexttrace、tcping 和常用检测脚本。
• 几种常见的同步 / 备份工具：rsync、rclone、restic、syncthing 的定位对比。
• OpenSSL 基本用法 与 mkcert：本地可信的 HTTPS 开发证书。
• 用 Stow + Git 管理 dotfiles：多台机器保持一致的配置。

写在最后

回头看，这些折腾最大的收获不是某个工具的配置，而是一种习惯：先想清楚流量从哪里来、经过哪几层、在哪一层出问题。这个习惯后来也直接用在了 Agent 上。Agent 要稳定干活，同样离不开组网、隧道、隔离和可观测性这些“底下的东西”。

这张地图会随着新文章持续更新。