“我这碉楼，固若金汤”，我家强迫症的家庭网络防护方案，不信谁能攻破。

[DawnMoon]

最近各种漏洞闹得沸沸扬扬啊，于是我大刀阔斧地改了我家的网络方案。

1. 全部二层/三层设备都用官方 openwrt （一个 x86 软路由，两个 N60 Pro 做 AP ）
2. openwrt 只安装官方软件源的软件，不用第三方插件
3. 家里进行多 SSID 、VLAN 隔离，区分主人网络（自己的手机平板电脑 NAS ）、访客网络、智能家居网络（各种米家设备，几十个）、媒体设备网络（电视、游戏机等）
4. 仔细配置防火墙，除了 VPN 外，WAN 口入站全部 drop ，各 VLAN 之间只放通必要的服务（如媒体网络只允许访问 NAS 的 emby ，访客网络和 IoT 网络除了 DNS 和 DHCP 外均 reject ）
5. 仔细配置 IPv6 ，禁用不必要的 forward 。
6. 用 AI Agent 关注我的设备是否爆出漏洞，如果有，立刻通知我（前段时间 dnsmasq 爆出 DHCPv6 漏洞，我赶紧把 DHCPv6 都关了）
7. 在外访问家内网络，只使用 Wireguard VPN
8. 所有重要数据按时备份，独立硬盘冷存储

此外，对于公网服务器，ssh 只允许密钥登录，每周检查安全更新，缩减域名数量、服务数量，关注漏洞报告（比如前段时间 PHP 漏洞，第一时间把网站下线，更新）

哦对了，还有非常重要的一条，减少信息暴露

[nomansky]

这个适合你

[Nasdaq]

笑了，你是有 BTC 呀还是有佛博乐机密文件？

[NoDataNoBB]

公网服务器 IP 发一下

[maccc]

公网服务器 IP 发一下

[songone]

🐶让 V 友们试试强度。

[x86]

0day 不打穷人.png

[onlychen]

把所有需要密钥登录的全部更换成证书登录，在配上一些生物指纹登录的方法。每隔 15 分钟设置重认证机制或定期需要令牌。更安全。

[gshit]

普通人，能上网就行~访问家里远程还是直接用远程桌面，只是转发的 port 不一样而已~

[jinyan01]

敢不敢发出来公网 IP

[lp7631010]

我都是 vpn 回家 管你这个那个的

[roding]

公网服务器 IP 发一下

[BeforeTooLate]

心理学有个说法的叫定势效应‌，也叫思维定势。举个例子对自己写的方案文字看多了，大脑会按“预期”去读，而不是按“实际”去读，容易自动脑补出正确的字，把错漏忽略掉。‌‌所以很多文字审核需要多人交叉验证。
好了现在 OP 亮出你的 IP ，V 友帮你交叉验证一下。

[nkidgm]

一个 VPN 挡掉 99%的攻击了，剩下 1%是假设家里设备出肉鸡，再来弄个独立 WiFi 做内网隔离就行了，这些 300 的路由器都可以实现。

[icanfork]

公网服务器 IP 发一下

[someonesnone]

不管你用的补丁多新, 0day 可能一次打穿, 你不知道旧模组内涵多少能被 ai 发现的漏洞, 那都是古早无 ai 时代的作品

[YaNanGe]

笑死，大伙真要测试了又不敢给了

[csfreshman]

OP 发下公网 IP ，我有个做安全的朋友想挑战下。

[ldx78203199]

公网服务器 IP 发一下 我来看看怎么回事，

[DawnMoon]

@csfreshman 除非有 Linux 内核的 0day ，不然根据原帖，根本不可能从公网提权。而且如果真有这种 0day ，也不可能舍得先在我这里用吧，这相当于核弹级的 0day 了。

[xiangbohua]

ip 地址不要了，有家庭住址吗🐶直接去你家楼下听你的硬盘震动频率🐶

[csfreshman]

@DawnMoon 发出来试试，我朋友搞不定，评论区还有这么多朋友

[echoZero]

最薄弱的地方 应该是 iot 设备吧

[litmxs]

我宽带没有公网 ip ，所以防火墙关掉所有入站
只通过 vps 搭建的 netbird vpn 访问家庭内网；

vps 只开了一个高位端口和 443 （ netbird ），ssh 只支持证书登录，vps 上的其他服务只能通过 ssh 端口转发在内网访问。

基本唯一入口就是 netbird vpn 服务了，内网都是弱密码，要是 netbird 出个 0day 就完蛋。

[Vesc]

想起站内家庭局域网用 10.0.0.1/8 段的哥们

[monzuguan]

老哥参考下，可以邀请 V2er 试试强度
https://www.v2ex.com/t/1146737

[46fo]

小看 AI 大人 了

[wffish]

IP 发一下亲

[cornetCat]

说了这么多，都不如放一个 ip 出来配文：你们这些脚本小子都是废物

[ayelky]

让我试试

[WayneCmd]

从外面网线直通 220v ，固若金汤在哪里..

[leegradyllljjjj]

兰博，战争已经结束了

[DawnMoon]

@WayneCmd 光纤入户……

[genglezhaoliang]

我家没拉网线 这个是不是更屌🐶

[threejson]

你完了，我查到你 IP 了，127.0.0.1 ，你完了

[lisxour]

就为了偷看你 NAS 里面那几个 T 的毛片？

[Cruzz]

别 bb 赖赖的，给 ip 发过来让我看看怎回事。

[pulutom40]

@Vesc 啊？家庭局域网用 10.0.0.1/8 有什么问题吗？我也是这样用啊

[Vesc]

@pulutom40 #37 没问题，就是这么多 ip 用的完吗😂

[pulutom40]

@Vesc 额。。也不是用/8 全用，分了几个网段.

10.0.0.0/24 路由器 dhcp 分配给手机电脑用
10.0.1.0/24 分给家里各种物联网设备用
10.0.2.0/24 分给内网的各种 pve 虚拟机用

[Georgedoe]

哈哈，楼主怕了，不敢发 ip 了

[Xss2Shell]

47.1*.*.*

[DawnMoon]

@pulutom40 确实，我就是这么分配的

[fr13ncl5]

你说的对，但是供应链攻击秒了

[LotusChuan]

4

[OctopusGO]

[jackerbauer]

发一下公网 IP

[dode]

1 官方 Linux 系统每日自动更新重启
2 SSH 仅密钥登录
3 防火墙策略加 fail2ban

[]$ sudo fail2ban-client status nginx-all
Status for the jail: nginx-all
|- Filter
| |- Currently failed: 43
| |- Total failed: 79
`- Actions
|- Currently banned: 22
|- Total banned: 26
`- Banned IP list: 115.231.78.4 115.231.78.7 146.19.248.35 167.94.146.59 18.116.101.220 18.218.118.203 195.178.110.204 204.76.203.228 3.129.187.38 3.130.168.2 34.78.157.66 39.100.65.189 43.138.12.240 45.198.224.169 66.132.159.80 66.132.172.135 66.132.195.106 66.132.195.50 167.94.146.61 39.100.71.169 35.210.210.121 66.132.159.90

[z775781]

安全是一个整体，如果真有特别重要的东西在里面，网络攻不破，你家的门锁还攻不破吗？

[Vesc]

@pulutom40 #39 原来是这样，有时间我也捣鼓一个家庭网络划分

[hadesy]

建议上 UDP SPA

[xclimbing]

大部分所谓安全的堡垒都是从内部攻破的。

[PbCopy111]

黑的就是官方软件，否则一堆三方软件，没人用啊。

[FlashEcho]

ip 发一下让大伙试试强度

[YGHMXFAL]

几个小时了,楼主还是没有发 IP

[felixcode]

最大的漏洞是爱炫耀的你