自建Homelab的坑，你踩过几个？

说真的，只要你在自托管这条路上折腾过一段时间，肯定都经历过那种"我到底在干什么"的时刻。

场景是这样的：你三台机器上跑着各种容器，VPN隧道玄学到只有黄道吉日才能联通，DNS配置脆弱到——我跟你说——拔掉电视电源都能让你的线上服务跟着挂掉。

欢迎加入我们。

自托管的诱惑没法抵挡。自己掌控数据，自己说了算，还能边做边学——虽然学费都是交了不少。但homelab圈子里有个没人愿意多提的秘密：复杂度这东西是会叠加的。本来只是个周末小项目，转眼就变成了架构噩梦，稍微出个门，整个系统就开始闹脾气。

Homelab陷阱：凑合着用的东西早晚要还

我懂，N100小主机跑Proxmox那套是真的香。几百块一台，搞两台，装上虚拟化平台，瞬间就有自己的"云"了。然后开始疯狂开虚拟机跑数据库，Docker里塞web应用，再搞个NAS存东西。刚开始一切都美滋滋——对，刚开始。

问题来了：家庭基础设施的故障模式跟云服务器完全不一样。运营商可能半夜给你换个IP，一点通知都没有。路由器NAT穿透突然跟WireGuard闹别扭。跑DNS的那个树莓派？平时好好的，等你出门想远程访问服务才发现——它已经被拔了三天电源，因为有人需要那个插排给吸尘器用。

真正的杀手是互联依赖。服务分散在多台机器上，你的家庭网络就变成了一张依赖图。A服务依赖B服务，B依赖DNS，DNS依赖那台被你遗忘在角落里的树莓派。只要动一个节点，精心搭建的整个数字生态系统就像多米诺骨牌一样开始倒塌。

我是真金白银买来的教训。之前那套方案：两台裸金属超算，几台VPS实例，屋里到处塞的树莓派，一台Synology NAS做存储，再加个Hetzner存储盒做备份。能用。大部分时候能用。直到有次我出去度假，DNS一出故障直接导致大部分网站都挂了。什么叫"轻松假期"？就是你在三个时区之外收到告警，提示服务已经挂了六个小时。

"数据归我，算力归你"——这思路其实挺香

说实话，自建homelab的计算能力往往是最拉胯的环节。小主机内存就那么点，备份策略大概率是"NAS上有快照"，可用性保证基本等于"只要不停电、不过热就行"。

云服务器优雅地解决了这些问题。Hetzner、DigitalOcean这些厂商，加上御三家（AWS、GCP、Azure），都提供靠谱的、可扩展的基础设施，还有正经的SLA。性能稳定，网络冗余，硬件也不在你家电视柜后面吃灰。

我琢磨出来的思路很简单：数据留在自己能控制的地方，计算让专业的人来搞定。备份放自己衣柜里的NAS，数据库dump存到自己管理的对象存储。但服务本身？放数据中心的独服上，让人家给你做好温控、冗余电源、千兆网络。

这个思路其实不新鲜。"数据归我，算力归你"的框架本质上是承认：计算资源和存储资源有不同的可靠性特征。计算是临时的——几分钟就能拉起一台新VM。数据是珍贵的、不可替代的。架构设计时要区别对待。

操作系统怎么选：为什么我入了Declarative Configuration的坑

决定把计算资源搬到云端之后，你得面对另一个问题：服务器跑什么系统？

传统选择来来去去就那些。Ubuntu Server、Debian、Rocky Linux、AlmaLinux——换汤不换药，区别主要在包管理器。

但有个更好的选择：NixOS。

NixOS是个把所有系统配置都声明在一个文件里的Linux发行版。配SSH？不是去改/etc/ssh/sshd_config，而是往Nix配置文件里写声明。装软件？不是apt install，而是配置文件里声明，重建系统就完事。结果就是：系统完全可复现、声明式、可审计。

对于自托管服务器来说，这是革命性的。服务器明天炸了？你拿到一台新机器，应用Nix配置，从头搭建。每一个设置、每一个包、每一个服务配置都在版本控制里，都是代码。灾难来临时不会有"等等，当时那个是咋配的来着"这种灵魂拷问。

学习曲线确实存在——NixOS确实有点怪——但收益是长期累积的。基础设施真的变成了代码。想回滚更新？开机菜单选上一个generation就行。想加新服务？配置里加上，重建。对，整个服务器环境就是有文档、可版本控制、可复现的。

公网IP的现实：自由的代价

接下来这个话题就有点意思了，也可能有点吓人。服务器放到数据中心，IP默认就是公网的。这既是优势，也是重大责任。

好处很明显：想开什么端口开什么端口，不用NAT映射，不用折腾端口转发。跑WebRTC服务器？UDP 3478打开就完事。想配防火墙规则？随你配。

但这种开放是双刃剑。Docker绑定配错了，可能就把服务暴露给整个互联网。不小心开放2375端口（Docker daemon）还没开认证？恭喜，你给攻击者送了一把服务器的shell。防火墙没配好？你的服务在IP扫描面前一览无余。

这就是声明式配置这么重要的原因。用NixOS，防火墙规则是明确声明的。哪个端口开放、开放给谁，全都白纸黑字写清楚。没有"三个月前我好像配对了"这种薛定谔状态。安全姿态是有文档、可审计的。

实战迁移：从Homelab到混合架构

说了这么多，具体怎么落地？下面是我的框架：

数据留在本地（或半本地）：备份放自己拥有的NAS，或者自己管理的主机存储。个人文件在家里网络或自己控制的VPS上。核心原则：重要的数据放在能找回来的地方。

计算交给远程：服务跑在数据中心的VPS或独服上。用NixOS做声明式配置。硬件故障、电源冗余、网络可用性这些，交给服务商。

拥抱冗余：别依赖单点故障。数据库放一家服务商，应用服务器放另一家。备份用对象存储。云服务现在便宜了，多花点钱多份保险。

自动化一切：用Ansible、Terraform或者NixOS配置来管理基础设施。如果不能在一个下午从零重建整套环境，那你拥有的不是可靠的基础设施——是脆弱的、靠"我知道怎么弄"这句话撑着的系统。

最后说几句

自托管不等于把所有东西都塞在地下室里。最好的homelab应该是：你基本不用想它，出个门它也不会闹脾气，简单到能跟别人五分钟内讲清楚。

"数据归我，算力归你"的思路不是向云投降——而是承认计算和数据有不同的脾性，值得不同的对待。数据离你近一点，算力放在靠得住、用着方便的地方。

Homelab应该是提升你技能、满足你需求的东西，而不是让你疲于维护脆弱基础设施的第二份工作。有时候，最聪明的自托管决定就是：知道什么时候该让别人来处理硬件。