旁路网关 · 192.168.1.254 on Wenkang's BLOG

远程给朋友修 VPN：有了 AI 之后，一次运维排障是怎么进行的

Sun, 20 Sep 2026 00:00:00 +0000

朋友坐在我家客厅，MacBook 上的 OpenVPN Connect 死活连不上我 NAS 的 VPN。我没碰她的电脑，只把一条 ssh 命令丢给了 AI agent（Claude Code）。

一个小时后：VPN 通了；她的设备在 NAS 上有了专属的出口策略；桌面上多了三个带图标的小程序，双击就能用。

这篇文章记两件事：故障本身是怎么一层层剥开的，以及有了 AI 之后，这类工作和以前到底哪里不一样了。

文中所有公网 IP、密码、商业服务商品牌、个人域名与真实用户名均已抹去或改写，只保留可复用的结构。内网地址与真实环境一致（192.168.1.0/24，网段约定同前两篇），VPN 段记作 172.x.y.0/24，对外端口记作 <VPN端口>。

家庭网络分层拓扑（二）：一条策略路由如何让 VPN 网关人间蒸发

Wed, 12 Aug 2026 00:00:00 +0000

上一篇《家庭网络分层拓扑：从远端笔记本到双出口的完整链路》讲了这套拓扑该怎么搭。这一篇讲它怎么坏的——一个只错了一行、却让人绕了整整一晚的故障。

最讽刺的地方在于：上一篇里已经写对了那一行，落地时却没抄进去。 而上一篇紧接着的另一句解释，恰好让那一行看起来可以省。

文中所有公网 IP、商业服务商品牌、个人域名与主机名均已抹去，只保留可复用的结构。

一、TL;DR

VPN 客户端可以正常上网、可以访问家里任何一台内网机器，唯独访问不了 VPN 网关 172.x.y.1 本身——ping 不通，全端口静默。

OpenWrt 双出口分流：在不动主链路的前提下增加第二个境外出口

Sun, 09 Aug 2026 00:00:00 +0000

本文记录一次在已承担生产出口的 OpenWrt 路由器上，安全地接入第二个境外 WireGuard 出口，并按域名分流的完整思路与方法。

核心诉求：主出口是全家的生命线，绝对不能被第二出口覆盖或拖垮；第二出口只用来把 YouTube、Spotify 这类大流量按域名单独引走。

文中所有服务器 IP、商业 VPN 服务商品牌、个人域名均已抹去，只保留可复用的方法。

家庭网络分层拓扑：从远端笔记本到双出口的完整链路

Sun, 09 Aug 2026 00:00:00 +0000

上一篇《OpenWrt 双出口分流》讲的是旁路网关内部怎么做第二出口。这一篇把镜头拉远，讲整张网络的分层拓扑：一台远端的公司笔记本，是怎么穿过 NAS 的 VPN、被两段策略路由接力、最终从境外出口上网的；以及家里每一类设备各自走哪条路、为什么。

文中所有公网 IP、商业服务商品牌、个人域名与主机名均已抹去，只保留可复用的结构。