网络个人研究过程综述

去年三月，网络我花了两周时间，个人过程把一台旧笔记本装成了Proxmox虚拟化主机。研究目的综述很简单：跑一个自己的DNS服务器，顺便搭个内网穿透。网络听起来挺折腾，个人过程但这就是研究我搞个人网络研究的起点——不为了发论文，也不为了给谁看，综述纯粹是网络想搞清楚数据包从我家路由器出去之后，到底拐了几个弯。个人过程

最开始我只用了一台树莓派4B。研究刷了Ubuntu Server，综述装AdGuard Home做DNS过滤。网络跑了一周，个人过程发现日志里有一堆来自陌生IP的研究查询请求。我家内网只有三台设备，哪来的外部查询？查了半天才明白，是我把53端口映射到了公网，被扫描器盯上了。这事儿让我意识到，个人网络研究里最容易被忽略的，恰恰是“暴露面”这三个字。你以为只是开个端口，实际上等于在互联网上开了扇窗。

后来我换了个思路。不再直接暴露服务，而是用WireGuard组了个虚拟内网。三台设备：家里的Proxmox主机、一台腾讯云轻量服务器、还有我随身带的手机。云服务器做中继，家里主机做出口。这样在外面连Wi-Fi时，流量先走WireGuard隧道回家，再统一出去。测速下来，延迟多了30毫秒左右，但换来的是DNS过滤和流量审计都能在自己手里跑。值不值？看你怎么定义“值”。对我来说，能亲眼看到每个DNS查询被拦截或放行，比运营商默认那套干净多了。

中间踩过一个坑。有次我把WireGuard的MTU设成了1420，结果访问某些HTTPS网站时页面加载到一半就卡死。抓包发现是分片问题。改成1380之后恢复正常。这种细节，网上教程很少提，得自己撞一次才记得住。还有个更隐蔽的：Proxmox默认的Linux网桥在开启VLAN过滤时，如果物理网卡不支持硬件卸载，吞吐量会掉到十分之一。我拿iperf3测了三遍才确认不是自己配错了。

数据收集方面，我主要看三个东西：DNS查询日志、防火墙的conntrack表、还有WireGuard的握手记录。DNS日志能告诉我哪些设备在偷偷连遥测服务器——比如某米家摄像头每五分钟就查一次*.mi.com。conntrack表能看出内网哪台机器在主动外连，有次发现一台旧iPad在后台连了某个已停服的推送地址，一直重试。WireGuard握手记录则能判断隧道是否稳定，丢包多的时候握手间隔会从120秒缩到25秒。这些观察没法从文档里直接抄，得自己盯着看。

工具链上，我放弃了Grafana那套重型监控。太重了，跑在树莓派上光内存就吃掉一半。现在用vnstat看流量，journalctl看日志，再加一个自己写的Python脚本每五分钟把关键指标写进SQLite。查询的时候直接sqlite3命令行，比开Web界面快得多。有人觉得这样太原始，但个人研究嘛，顺手比好看重要。

如果你也想动手，我的建议是：先从一台设备开始，别急着上集群。把DNS和防火墙规则理清楚，再考虑加节点。另外，别信那些“一键脚本”——我试过三个，两个会改你的iptables默认策略，还有一个偷偷装了挖矿程序。自己敲命令虽然慢，但每一步都知道在干什么。网络这东西，黑盒越多，你越难判断问题出在哪一层。