我家当前的家庭网络部署：N5105 PVE、iKuai 与 iStoreOS 的分工

光猫：只负责接入运营商网络#

光猫是物理链路的起点，向外连接公网或家庭宽带网络，向内通过网线把网络交给 N5105。

在这套部署中，光猫不承担家庭网络的主要路由策略，后续的拨号、NAT 和默认出口由 PVE 中的 iKuai 完成。这样做的好处是路由策略集中在自己可控的设备上，后续调整网口、虚拟机或分流规则时不需要反复修改光猫配置。

N5105 + PVE：承载网络服务的物理平台#

N5105 是家里的核心物理设备，PVE 则负责承载不同用途的虚拟机或容器。网络相关服务不再绑定在一台不可拆分的硬件路由器上，而是拆成几个相互独立的角色：

• iKuai：拨号、NAT、家庭网络的默认出口和基础分流策略。
• iStoreOS：旁路由网关，为特定设备提供定向出口、代理服务和 Tailscale 网络接入。
• 其他服务：根据需要运行在 PVE、Docker 或 NAS 上。

这种拆分让“家庭主路由”和“实验性或特殊用途的网络服务”有了边界。iStoreOS 出现故障时，默认走 iKuai 的手机、笔记本等设备仍然可以正常上网。

iKuai：默认出口#

iKuai 的内网地址是 192.168.50.1，通过 WAN 侧完成宽带拨号，并负责家庭网络的 NAT。

绝大多数日常设备默认使用 iKuai 作为网关，例如手机和笔记本。对这类设备来说，网络路径比较直接：接入家庭 Wi-Fi 后，由 iKuai 负责把流量送往公网，不需要额外维护静态路由或代理配置。

iKuai 同时承担基础的分流策略。这里的原则是先保证默认网络稳定，再把少量确实需要特殊路径的流量交给 iStoreOS 或远端代理节点处理。

iStoreOS：旁路网关与特殊出口#

iStoreOS 的内网地址是 192.168.50.3。它不替代 iKuai 成为所有设备的默认路由器，而是作为一台旁路网关存在。

设备是否经过 iStoreOS，主要由终端自身的静态 IP、网关配置或对应的路由策略决定。需要特殊出口的设备把网关指向 192.168.50.3，普通设备则继续使用 192.168.50.1。

目前 iStoreOS 主要承担三类职责：

1. 为部分设备提供定向的代理或分流能力。
2. 通过 Tailscale 提供进入家庭网络的远程接入能力。
3. 作为海外 VPS 代理远端节点的本地接入点，由 Nikkiy / Mihomo 等服务负责具体的代理策略。

这里最重要的设计是“按设备选择出口”，而不是让整个家庭网络都强制经过代理。这样可以降低网络故障的影响范围，也更容易判断一台设备到底经过了哪条链路。

手机、笔记本、loT 设备 ：日常无线接入#

手机、笔记本等日常终端通过无线网络接入家庭局域网。它们通常使用 iKuai 作为默认网关，直接访问公网，不需要额外维护静态路由或代理配置。ß

这类设备的基础网络可用性主要由 iKuai 保证。即使 iStoreOS 或远端代理节点暂时不可用，日常上网也不会受到直接影响。

NAS：有线接入并使用 iStoreOS 网关#

NAS 通过网线接入 N5105，通过 ikuai 静态地址将网关配置为 192.168.50.3（考虑到 Docker 容器需要拉取 docker hub、google gcr 等国内不方便访问的镜像）。NAS 上运行着 Docker 容器，这些容器对外访问时也共享 NAS 的网络出口，因此需要同时考虑 iStoreOS 的分流策略、DNS 配置和远程访问需求。

XDR-5480：提供其他无线设备的接入#

其他无线设备经 XDR-5480 接入家庭局域网。XDR-5480 在这套网络中主要作为无线接入点使用，不负责核心路由；终端最终经过哪台网关，仍由自身的 DHCP、静态 IP 或路由策略决定。

把无线接入和核心路由拆开后，调整 Wi-Fi 覆盖范围不会直接改变家庭网络的出口策略；反过来，修改 iKuai 或 iStoreOS 的路由规则，也不需要重新部署无线网络。

普通设备访问公网#

1
手机 / 笔记本
2
    -> XDR-5480 无线接入点
3
    -> iKuai 192.168.50.1
4
    -> NAT / 默认出口
5
    -> 公网

NAS 访问公网或远端服务#

1
NAS
2
    -> 有线接入 N5105
3
    -> iStoreOS 192.168.50.3
4
    -> Docker 容器共享该网络出口
5
    -> 公网或指定远端

远程接入家庭网络#

1
远程设备
2
    -> Tailscale 网络
3
    -> iStoreOS
4
    -> 家庭局域网设备