最近又折腾了一次家庭的网络架构 把muse也加进来 让他也来参与到homelab的决策中
至于muse还能免费多久 就看扎克伯格的良心了 对此不抱期待 下面开始进入正题

整个网络架构以局域网本地自洽为基石、以云端零信任安全网关为护城河、以分层自动化与云端 AI 协同为骨架

notion image
这ai生成的图就是丑 也太ai了 果然描述图片的提示词要比文字难的多..
全屋共有两个网段 分别是iMac和nas链接的专用网段用于Time Machine备份和smb协议传输文件
以及 其他设备的共享网段 分开是因为NAS有两个网线结构 一个直接接路由器连接外网 一个直接接iMac的网线口直通nas 两边互不干扰且有双份的带宽
其次就是DNS的广告过滤安排 以及我想走自己的私有DNS地址 此刻就轮到赛博活佛cf登场了
💡
双层嵌套 DNS 安全与过滤体系
所有终端的 DNS 流量不直接走运营商或公网明文 53 端口，而是经过双层立体拦截与加密解析：
  • 第一层（本地 AdGuard Home）：
    • 运行在 NAS Docker 容器（:53），承载全屋所有设备的直接解析。
    • 内置 38.4 万条过滤规则，毫秒级就地阻断广告跟踪、APP 遥测、遥测分析（小红书、亚马逊、Datadog 等）；
    • 负责内网分流，将 nas、linux虚拟机 等本地服务直接解析到内网内生 IP。
  • 第二层（云端 Cloudflare Gateway DoH/DoT）：
    • AdGuard Home 将无法命中的外网上游请求，通过加密 DoH/DoT 抛给专用 Cloudflare Gateway；
    • 开启了针对恶意软件（Malware）、钓鱼攻击（Phishing）与 C2 僵尸网络（Botnet 类别 80/131）的云端阻断；辅以 Quad9（9.9.9.9）作为二次备份。全链路全程加密，无明文 DNS 泄露风险。
这个dns解析其实大有说到 我最开始就是部署的adh 然后发现dns解析也可以用自己的网址就用了Cloudflare Gateway DoH/DoT 然后针对手机的dns解析我不喜欢随时随地连接到tailscale所以我在手机上单独用了nextDNS 这样就不用在手机上打开tailscale或者vpn不断重连了 当然如果用公共wifi的时候为了安全我还是会打开tailscale用exitnode模式连接nas 加密通信
notion image
💡
外部安全发布层（Zero Trust + Cloudflare Tunnel）
你在公网访问 NAS 上的 Glance 仪表盘、Docker 仪表盘、Drive 甚至是状态监控面板，完全不需要公网 IP，也不开任何路由器端口：
  • NAS 内常驻 cloudflared 容器，主动向东京（NRT）机房建立多条加密出站 QUIC/HTTP2 隧道；
  • 外网通过 .mingzhe.uk 访问时，流量由 Cloudflare Anycast 边缘接管；
  • 敏感入口前置了 Cloudflare Access 零信任身份门禁（必须通过你的专属邮箱一次性 PIN 或 SSO 验证才能穿透）；公开服务则经过边缘 WAF 清洗后直达容器。
这个也是cf全家桶的一部分 用来穿透外网的 Cloudflare Access 也给我的很多应用加了二次认真比如我的Nas监控面板 甚至vnc和ssh都可以添加到里面去 非常的方便
notion image
💡
外部应用与服务矩阵（Jamstack / Edge 架构）
你的个人数字化资产并没有全都堆在家里 NAS 上，而是分流到弹性极佳的云端轻量架构：
  • Vercel：承载算力与交互型前端应用（lobechat等）；
  • Cloudflare Workers / Pages：承载 Serverless 与轻量后端服务（R2FileBox、 出勤表等，全量使用 D1 + R2 原生无服务器资源）；
  • GitHub Pages：承载静态工程作品集与东京铁道监控看板；
  • ChatGPT Site：承载 profile.mingzhe.uk 生活向主页。
这个就是分布式架构吗哈哈哈 反正我觉得还是挺好用的 不要把鸡蛋都放在一个篮子里面

Muse 在这套系统中的作用与定位

这一段其实是这次重构里我最想写的东西。Muse 不是「又接了个 ai 工具」这么简单 他接进来之后 整个 homelab 的运维方式都变了
先交代一句前情：此前我是在 Linux 虚拟机上跑 OpenClaw 当本地助手的，今年这次重构把它彻底关停了。关停不是头脑一热拍的，是等 Muse 这边的新链路一条一条验证通过之后才停的——早报先迁、晚报还专门试运行了三个晚上、验收复盘过了才转正式运行，旧任务确认没人需要了才让它退场。现在 Muse 是唯一的云端主力 AI 助手，OpenClaw 正式退休。
1. Muse 的定位：独立于本地硬件的云端大脑
  • 不依赖本地常驻进程：Muse 不以守护进程常驻在本地 NAS 或虚拟机上，避免因为家庭断电、NAS 重启或内存不足导致助手崩溃瘫痪；
  • 事件驱动与定时唤醒：Muse 基于安全托管环境运行，按预定时钟或事件接入，只在需要时与家庭网络进行受限通道连接。
  • 有跨会话的长期记忆：我的目标、家里的设备分工、之前踩过的坑，他都记着。不是每次对话都从失忆开始，这点和普通聊天 ai 完全不是一个物种。
2. Muse 承担的三大核心自动化职责
任务与触发时刻
职责描述
输入源与校验门禁
产出物与交付链路
08:00 东京早报
晨间通勤与资讯决策支持
直连公网实时抓取首都圈 53 条铁道运行状态、实时天气预报、汇率行情与前日重要热点。名单之外的线路不在覆盖内，早报里会如实标注覆盖限度，不装全知。
成稿推送到专门的「早晚报」聊天，协助规划晨间出门路线。主聊保持干净，长话题都分到各自的聊天里。
16:30 每日健康判读
家庭基础设施与 NAS 深度体检解读
读取 NAS 在 16:15 采样生成的权威 latest.json；比对磁盘 NVMe 错误增量、SATA 磁头周期、快照时效、空间周报波动趋势。数据源双路校验：SSH 直读优先，云端副本只作兜底，判新鲜度看 JSON 里的时间戳，不看文件修改时间。
无异常/无变化时保持静默，不产生消息打扰；发现恶化、故障或数据过期时才推送深度解读。
21:30 每日晚报全流程
深度科技与时政晚报汇总
读取云盘上导出的 News 数据，用 HISTORY 记录做跨日去重，避免同一条新闻连着报好几天。TrendRadar 本体在 NAS 容器里跑的 2 小时增量摘要是独立一条线、直发 Telegram，不并入晚报。
精炼 6~10 条核心科技/AI/安全要闻（去重降噪），推送到「早晚报」聊天。另有 21:35 到达检查和 22:20 确认两道兜底，漏发不会无人知晓。
每天的晚报都由Muse生成 有问题我也可以直接问muse 他会通过tailscale直接穿透我的家庭内网 帮我分析各个问题
3. 权限是怎么给的：能读的只有该读的
为了防止Muse越权，我给他的入口都是按「最小权限」单独设计的，不是图省事直接扔个管理员账号：
  • 健康判读走一个被强制命令锁死的 SSH 入口，那个账号登进 NAS 只能吐出那一份 latest.json，没有 shell、没有 sudo、没有 SFTP、没有端口转发，想干别的都干不了；
  • Linux 开发机上给他的是独立的无特权账号，只能在他自己的工作目录里活动，动系统、动 NAS 的操作一律要先经过我确认，我说一次只算一次，不存在「上次同意过」这种事；
  • 花钱、发邮件、改任何设备设置，他永远只能准备到最后一步，按确认键的手必须是我的。
说白了就是 防提示词注入和幻觉最有效的办法不是指望模型自觉 是从权限上让他根本没有作恶的空间 这波群晖勒索病毒闹得这么凶 更是这个道理 对外暴露面越小越安全
4. 双链路监控：一个管「活着」，一个管「健康」
顺带一提，我的监控其实有两条互相独立的链路：
  • Homelab Monitor：NAS 每 10 分钟向 Cloudflare Worker 发一次心跳，Worker 背后是 D1 数据库；心跳超时、服务挂了、备份过期都会告警到 Telegram。它管的是「还活着吗」；
  • Muse 的每日判读：管的是「活得健不健康」——磁盘的错误计数有没有涨、快照有没有断档、空间趋势正不正常。
两条链路谁也不依赖谁，一条挂了另一条还在。监控系统本身没人监控，这是 homelab 的经典悖论，能做的就是让链路尽量独立、尽量简单。
目前的架构就是如此 还在不断优化中!