建站与数字基建

极空间开启虚拟机桥接模式需先解绑Bond网口。解绑后IP大概率不变（因MAC地址继承），但建议安装极空间App以防断连。随后需在虚拟机应用内“网桥设置”中，选择“双网口分别创建网桥”而非“同一网桥”（后者会形成网络环路导致全家断网）。创建后虚拟机网络模式中才会出现Bridge选项。物理网卡建议选网口1，因其连通性已确认，且网桥模式下极空间与虚拟机可共享同一网口通信，互不冲突。最终虚拟机会从OpenWrt获取独立IP，与极空间IP并列。

反向代理是HomeLab从入门进阶到高阶的关键概念。文章以办公楼作比：服务器是办公楼，各服务在不同端口办公，反向代理相当于前台接待，访客只需报出域名（如movie.com），前台就会自动将流量转发至对应服务端口（如8096），无需记忆繁琐的IP和端口号。配置反向代理有三大核心价值：告别“IP+端口”的记忆负担，家人使用更便捷；统一部署HTTPS证书，只需在前台配置一次即可覆盖所有后端服务；收敛攻击面，公网仅需开放443端口，由反向代理统一检查后转发内网，大幅提升安全性。文章还区分了正向代理（用于出网，即“梯子”）与反向代理（用于入站，即“门卫”），并介绍了在1Panel中通过可视化界面创建网站、填写域名与代理地址即可完成配置，无需编写代码。

HTTPS证书本质上是“身份证”与“密码本”的组合，用于验证服务器身份并加密传输数据。无证书的HTTP连接如同裸奔的信件，密码等信息会被路由节点、运营商或黑客轻易截获；而HTTPS通过证书核验身份、公钥加密、私钥解密，可有效防止钓鱼网站冒充和数据窃取。传统模式下，每个后端服务需单独申请、上传和更新证书，且面临格式不符及90天过期需反复续期的痛点。使用1Panel等反向代理实现“SSL卸载”则更为高效：外部访问由1Panel统一完成HTTPS加密，证书仅存于代理层并支持自动续期，内部网络后端服务间可使用明文HTTP通信，既安全又省去重复解密开销。核心建议：后端服务仅开HTTP，中间层配置通配符证书并开启强制HTTPS，即可一步到位，简化管理。

正文区分了两个易混淆的“NAT”概念：虚拟机NAT模式与路由器NAT回环。虚拟机NAT模式下，虚拟机隐藏在宿主机（如极空间）背后，路由器无法直接访问，因此无法将端口转发给虚拟机；搭建1Panel等服务必须选用Bridge桥接模式，使虚拟机获得独立IP。路由器NAT回环则解决“内网用公网域名访问自家服务失败”的问题，开启后路由器能将内网请求“掉头”转发至目标服务器，实现内外网域名统一访问。此外，若采用IPv6直连，设备拥有全球唯一地址，不经过NAT，性能优于Socat转发，后者会隐藏真实源IP、消耗软路由CPU并增加故障点。总结建议：虚拟机务必用Bridge模式，路由器建议开启NAT回环，若条件允许优先使用IPv6直连替代Socat。