3.5生产加固

整门课的最后一章。3.4 你造出了一个"能用"的功能,但也看到——能用离能扛还有距离。这章讲怎么把你的路由器从"能跑"提升到"能当家里的关键基础设施长期稳定服役":安全上缩小攻击面、性能上扛得住流量、可靠性上让它自己活下去。这既是 Phase 3 的收尾,也是整门课的收官——学完这章,你不只理解路由器、能造路由器,还能造一台真正靠得住的路由器。

1从"能用"到"能扛"

3.1–3.4 你造的东西能跑,但:不安全(攻击面没收敛,一个暴露的服务/弱口令就可能被打穿)、性能没优化(高流量下可能卡、延迟飙升)、不可靠(挂了没人知道、重启丢配置、改错难恢复)。一台路由器要长期可靠服役,得在三个维度上都过关:

2安全:缩小攻击面

路由器安全的核心是"缩小攻击面 + 守好入口 + 管好密钥"。缩小攻击面(能关的都关):WAN 侧默认拒绝入站(2.4 的 wan input=REJECT,第一道也是最重要的防线)、关掉不用的服务、管理界面别暴露到 WAN、只精确开必要端口。守好入口(SSH 加固):

PermitRootLogin no             # 禁止 root 直接远程登录
PasswordAuthentication no      # 只允许密钥登录，禁用密码（挡暴力破解）

安全靠密钥,不靠藏端口。管理界面(LuCI/Landscape UI)绝不暴露到公网——要远程管,走你 3.4 建的 WireGuard 进来管(内网访问),而不是把管理口开到 WAN。这正是 3.4 那个功能的绝佳用途。管好密钥:WireGuard 私钥、各种凭证不能明文进 Git(3.2 说配置进 Git,但密钥要单独加密保管,如 sops/agenix),并定期更新软件修补已知漏洞。

3性能:扛得住流量

路由器性能的关键是"少让 CPU 逐包处理"。连接跟踪(conntrack)调优(1.3):你的有状态防火墙靠 conntrack 记住每条连接,连接数极多时(P2P、大量设备)表可能被占满导致丢连接——按设备规模调大 nf_conntrack_max、合理设超时。转发卸载(flow offload,性能大杀器):默认每个转发包都走完整 netfilter(1.3),CPU 开销大;卸载让已建立的连接绕过大部分逐包处理:

option flow_offloading '1'      # 软件卸载：已建连接走内核快路径
option flow_offloading_hw '1'   # 硬件卸载：支持的网卡/SoC 直接转发

这正好呼应 3.3 Landscape 用 eBPF"对直连流量零开销"——同一个思路:让常规流量走最短路径。治理 bufferbloat(1.5):开 SQM/CAKE(1.5 学过),把上/下行队列管好,避免满载时延迟飙到几百毫秒(打游戏/视频会议卡顿的元凶)——带宽没变,但网络"跟手"多了。

4可靠性:自己活下去

可靠性的核心是"坏了能自愈、坏了你能知道、坏了能快速恢复"。坏了能知道(监控):至少要有关键服务状态、WAN 是否在线、资源使用(CPU/内存/conntrack)、日志——一台没监控的路由器,你只能等"全家喊断网"才知道出事。坏了能自愈(自动恢复):看门狗(watchdog)在卡死时自动重启、procd 管服务重启(2.1)、关键服务(WireGuard/dnsmasq)配自动重连、WAN 断线自动重拨(2.6)。坏了能快速恢复(备份 + 回滚)——这是 3.1/3.2 那条线的最终答案:

• 配置备份:OpenWRT 定期导出 /etc/config、NixOS 配置进 Git——换机/重装能一键重建;
• 回滚:NixOS 的"选上一代"(3.2)、OpenWRT 的配置快照——改坏了秒回;
• 这就闭环了 3.1 提的"运行时状态重启即失"问题:生产路由器的配置必须持久、可备份、可回滚。