我的家庭网络解决方案

写在前面

家里的联网设备越来越多：手机、电脑、电视、智能家电、摄像头和各种传感器，加起来有几十台；另外还有 NAS 和家庭影院。对大多数家庭来说，运营商光猫加一台主流路由器就够用了。但如果要跑 NAS、内网经常传大文件，或者需要在外面访问家里的设备，就得认真规划一下网络架构。

这篇文章介绍我家目前的网络方案，希望能给有类似需求的朋友一些参考。我的目标有四个：

• 外网跑满：千兆宽带一般有富余，全链路用 2.5G，实测能到 1300Mbps 左右
• 内网万兆：NAS 和书房电脑之间走 10G 光纤，传大文件不再受网速限制
• 无线稳定：全屋 Wi-Fi 7 覆盖，书房这种高频使用的地方单独加强
• 可管可控：路由、分流、流量统计、远程访问都掌握在自己手里

整体架构

整个网络分为四层：

1. 接入层：光猫桥接，只负责光电转换
2. 核心层：一台 PVE 小主机，跑软路由和 NAS 两台虚拟机
3. 交换层：两台万兆交换机，一台放弱电箱，一台放书房，中间用光纤连接
4. 无线层：两台小米路由组成 Mesh，负责全屋 Wi-Fi

接入：光猫只做桥接

光猫用的是中兴 G7615V2，支持 XG-PON/GPON 双模，带 2.5G 网口。光猫设置成桥接模式，由软路由直接 PPPoE 拨号。这样光猫只负责光电转换，路由、防火墙和 NAT 都交给后面的软路由处理。

运营商的千兆宽带一般都有富余，配合 2.5G 网口，外网实测能跑到 1300Mbps 左右。

核心：一台 PVE 小主机

核心是一台跑 Proxmox VE 的 x86 小主机，配置如下：

• CPU：Intel N355，Twin Lake 架构，8 核全小核，TDP 只有 9～15W，满载功耗不超过 25W，支持硬件转码
• 内存：16GB
• 网口：2 个 2.5G 电口 + 2 个 10G SFP+ 光口

网口这样分配：一个 10G 光口桥接成 LAN（vmbr0），连弱电箱的核心交换机；一个 2.5G 电口桥接成 WAN（vmbr1），直连光猫。

PVE 上跑两台虚拟机和一个容器：

• ImmortalWrt 软路由：负责 PPPoE 拨号、DHCP、防火墙和 OpenClash 代理分流。WAN 和 LAN 两张网卡都用 VirtIO 半虚拟化网卡，配置简单，跑满万兆内网也够用
• 飞牛 NAS：提供 SMB/NFS 文件共享、Jellyfin 媒体服务器和 Docker 容器。系统和应用放在虚拟盘上，大容量数据放在一个绿联 USB 硬盘盒里，通过 USB 直通交给虚拟机
• Tailscale 子网路由：一个只占 512MB 内存的 LXC 容器，负责远程访问，后面单独介绍

一台低功耗主机同时承担路由和 NAS，24 小时开机也不心疼电费，管理维护也集中在一个地方。

交换：双万兆交换机

两台都是小米万兆交换机，各有 2 个 2.5G 电口和 2 个 10G SFP+ 光口，交换容量 60Gbps：

• 核心交换机：放在弱电箱，连接 PVE 主机，是整个内网的汇聚节点
• 远端交换机：放在书房，通过光纤连到核心交换机，给书房的电脑和其他桌面设备就近接入

这样 NAS 和书房之间是全程万兆，普通设备也能用上 2.5G。

无线：两台小米路由组 Mesh

无线由两台小米路由组成 Mesh，都工作在 AP 模式，拨号和 DHCP 仍由软路由负责：

• BE6500 Pro：Mesh 主路由，负责全屋主要区域的覆盖。支持 Wi-Fi 7（802.11be），有 4 个 2.5G 网口
• BE6500：放在书房，作为 Mesh 子路由。书房是家里用网最频繁的地方，开会、远程办公和下载都在这里，单独放一台能明显提升这个区域的信号和稳定性

终端在两台之间的漫游交给小米 Mesh 自己处理，不用额外配置。

传输介质

整个网络用了三种传输介质：

Cat6A 网线：用于 2.5G 及以下速率的连接，比如路由器和普通设备。超六类线便宜、布线灵活，100 米内跑 2.5G 完全没问题。

光纤：用于万兆连接，具体配置：

• 光纤类型：OM3 多模光纤（50/125μm）
• 连接器：LC-LC 双工跳线，体积小，适合高密度布线
• 光模块：10GBASE-SR SFP+，850nm 波长，在 OM3 上跑 10Gbps 可传 300 米

无线：BE6500 Pro 和 BE6500 组成的 Wi-Fi 7 Mesh。

远程访问：Tailscale 子网路由

在外面访问家里的设备，我没有在路由器上开端口，而是用 Tailscale：

• PVE 上单独开一个 LXC 容器跑 Tailscale，把整个 192.168.31.0/24 宣告为子网路由
• 手机、笔记本只要登录同一个 tailnet，就能直接访问家里的 NAS、PVE 和路由器后台
• 路由器 WAN 口入站全部拒绝，暴露面最小

把 Tailscale 放在独立容器里，不装在软路由上，好处是软路由升级或重装不会影响远程访问。软路由出问题时，还能远程登录 PVE 去救。

分流与流量统计

软路由上用 OpenClash 做代理分流。ImmortalWrt 自带的流量统计 nlbwmon 在我这儿用不了：fullcone NAT 内核模块占用了唯一的 conntrack 事件回调，nlbwmon 收不到连接数据。

所以我自己写了一个 LuCI 插件 luci-app-mihomo-traffic。它轮询 OpenClash 内核的连接信息，按设备、代理节点和域名统计流量，在路由器后台就能直接查看，数据保留 30 天。哪台设备在跑流量、流量走了哪个节点，一目了然。

踩坑经验

1. 光模块兼容性：不同品牌的交换机对第三方光模块的兼容性不一样。买之前先确认，或者直接买原厂模块省心
2. 光纤弯曲半径：OM3 光纤的最小弯曲半径是 30mm，布线时要注意，弯得太狠会导致信号衰减
3. 散热：万兆设备发热不小，光模块尤其明显，建议弱电箱加装散热风扇
4. 路由跑在虚拟机里：主路由是 PVE 的一台虚拟机，PVE 宿主一重启，全家就断网。维护宿主前要先想好怎么回退，系统改到一半千万别重启
5. ImmortalWrt 25.12 换了包管理器：从 opkg 换成了 apk，以前的命令和插件安装方式都要跟着改。软路由根分区只有 290MB 左右，装插件前先看看剩余空间
6. 代理嗅探和 QUIC：OpenClash 开启域名嗅探后，连接里拿不到真实目标 IP。如果用「拒绝 QUIC」规则强制回落到 TCP，判断国内流量时必须同时匹配国内 IP 和国内域名规则，否则淘宝等国内 App 的 QUIC 请求会被误拦，表现为加载缓慢

总结

这套方案的核心思路是：光猫只做桥接，路由和存储集中在一台低功耗 PVE 主机上，内网主干走万兆光纤，无线交给 Mesh，远程访问交给 Tailscale。日常上网、内网传大文件、书房办公和在外远程访问，都很稳定。

当然，这样的方案要花不少时间学习和调试。对普通家庭来说，一台 2.5G 网口的 Wi-Fi 7 路由器已经足够；但对 NAS 玩家、视频创作者或技术爱好者来说，万兆内网加软路由带来的提升和掌控感非常明显。

附：设备清单

硬件

传输介质

软件

配件