已完成
- 选用 Lenovo M90n-1，配备第八代 Intel i5、8 GB RAM 和 256 GB 存储。
- 设置过程中检测到了板载和 USB Ethernet 两个接口。
- 已将 OPNsense 安装到内部驱动器，并移除安装 USB 后重启。
项目概览
开发中- 目的
- 构建专用 OPNsense 防火墙和分段实验室，同时保留 eero 上的家庭网络连接。
- 我的角色
- 独立进行实验室研究、设计和文档编写。
- 实施状态
- OPNsense 安装已完成；VLAN 配置、访问控制和恢复验证仍在计划中。
- 下一里程碑
- 发布结果前验证隔离、管理访问、网卡可靠性和恢复能力。
实现代码仓库：尚未发布。
实施状态
我已安装 OPNsense，并确认两个 Ethernet 接口均已检测到。接下来将配置接口、实施网络分段，并进行恢复测试。
计划中
- 将 UGREEN USB Ethernet 网卡分配给 WAN，将板载 Ethernet 分配给 LAN。
- 使用 OPNsense 和 USW-Lite-8-PoE 配置 VLAN 和访问规则。
- 发布结果前验证隔离、管理访问、网卡可靠性和恢复能力。
拟议架构
上游：eero Pro 6E
家庭设备继续连接到 eero。实验室防火墙通过 USB WAN 网卡获得上游连接。
防火墙：Lenovo M90n-1
OPNsense 对实验室流量进行路由和过滤。板载 Ethernet 承载计划中的 LAN VLAN 中继连接。
交换机：USW-Lite-8-PoE
可管理交换机将实验室设备分配到各 VLAN。通过该交换机的连接每端口上限为 1 GbE。
- 管理 VLAN — 计划中
- 应用 VLAN — 计划中
- AI VLAN — 计划中
- 安全测试 VLAN — 计划中
初始设计在 eero 后使用双重 NAT。实验室访问家庭设备需要明确的防火墙控制；仅增加路由器并不能实现隔离。
验证清单
所有检查均待执行。以下定义预期行为；测试后将补充测量结果和真实截图。
待验证
互联网访问
测试客户端获得实验室地址，完成 DNS 解析，并访问外部 HTTPS 网站。记录地址、网关和实际结果。
待验证
家庭网络隔离
除非有明确的例外规则允许访问，否则实验室客户端无法访问家庭设备。测试允许和拒绝的路径。
待验证
跨 VLAN 控制
只有已记录的流量可以通过实验室 VLAN 之间的边界。记录源地址、目的地址、协议、预期结果及对应的防火墙日志。
待验证
管理访问
可以从指定的管理网络访问防火墙和交换机管理界面，而测试网络的访问被拒绝。
待验证
重启恢复
防火墙重启后，两个接口恢复可用，测试客户端恢复预期连接。记录恢复时间。
待验证
USB 网卡可靠性
WAN 网卡在持续流量下保持可用，并在重新连接后恢复。记录持续时间、错误和中断。
待验证
配置恢复
导出配置备份，并在受控演练中验证恢复。记录恢复步骤和结果。