homelab
家庭双栈网络与 HomeLab 重构思路：从物理虚拟化到“一截管一截”的解耦架构
梳理家庭网络重构背后的核心设计思路与避坑逻辑：从 PVE 硬件直通的 VFIO 内存锁死、纯 IPv6 路由直通、动态前缀门禁，到 Docker 的“一截管一截”分层治理与 WireGuard 漫游。
Read article→
Notes on systems, tools, life, and everything in between.关于系统、工具、生活以及其间的一切记录。
梳理家庭网络重构背后的核心设计思路与避坑逻辑：从 PVE 硬件直通的 VFIO 内存锁死、纯 IPv6 路由直通、动态前缀门禁，到 Docker 的“一截管一截”分层治理与 WireGuard 漫游。
记录在 Debian 宿主机上组合使用 sing-box、WireGuard、Linux 内核转发和 Docker 防火墙的完整实践，重点解析 WireGuard 握手成功后局域网与互联网不通的核心症结与排障链路。
在单台 VPS 的公网 443 端口上，通过 Caddy-L4 按 TLS SNI 分流 Reality 至 sing-box，同时为 Web/API 提供自动 HTTPS、HTTP/2、HTTP/3 与 Docker 容器反代。
厘清 Debian VPS 中 nftables 静态规则、Docker 容器网络与 Fail2Ban 动态封禁的所有权和生命周期，避免保存运行时快照造成重启后规则混乱。
记录在 Ubuntu ARM64 云主机和 Linux Docker 主机上部署 OpenClaw Node 的完整过程，包括公网 WSS 直连、节点配对、systemd 持久化，以及从 SSH 隧道迁移到公网连接的实践经验。
在 Debian VPS 上为 Docker Vaultwarden 建立自动备份：生成一致性 SQLite 快照、打包关键数据、使用 rclone crypt 客户端加密并上传到 OneDrive。
Watchtower 自动更新很好用，但默认通知太吵。本文记录如何通过 Telegram HTML 模板与静默参数，实现“仅在有容器更新时”才推送精简聚合消息。
在网络受限或 Docker Hub 访问不稳定的环境中，仅在当前终端设置代理通常是不够的。真正负责拉取镜像的是 Docker 守护进程 dockerd。本文整理 QNAP、iStoreOS/OpenWrt 和 Debian/Ubuntu 三类常见环境中的 Docker 镜像拉取代理方案与排障流程。
本文详细记录了在无头 VPS 服务器上，如何安全上传 client_secret JSON、通过 manual 模式完成 Google OAuth 授权、使用 file keyring 加密并完美注入 OpenClaw Gateway 运行环境的完整步骤。
踩坑、挫败与黎明前的喜悦——记录这折腾博客的一整晚。