基于Docker与Tailscale构建隐私优先的家庭实验室架构实践

1. 从零到一：构建一个以隐私为核心的现代化家庭实验室

如果你和我一样，对把个人数据、媒体库和生产力工具完全掌控在自己手里这件事有执念，那么搭建一个“家庭实验室”几乎是必经之路。这不仅仅是在家里放台服务器跑几个服务那么简单，它更像是在构建一个完全属于你自己的数字堡垒。今天我想分享的，就是我基于ansh-info/homelab这个开源项目蓝图，落地实践并深度优化后的一整套家庭实验室架构与运维体系。这个体系的核心设计哲学是“隐私优先，内网访问”，所有服务都不直接暴露在公网上，而是通过一个安全的私有网络层来访问，这从根本上杜绝了绝大多数来自互联网的扫描和攻击。

我的整个环境运行在一台基于 Linux 的微型服务器上，所有服务都通过 Docker 容器化部署，用 Portainer 进行可视化管理。最关键的网络访问层，我选择了 Tailscale 来构建一个零配置的虚拟私有网络，配合 Pi-hole 提供纯净的内网 DNS 解析，再用 Nginx Proxy Manager 做反向代理和 HTTPS 终结。这样，无论我在世界哪个角落，只要我的设备加入了同一个 Tailscale 网络，我就能像在自家书房一样，安全地访问家里的 Jellyfin 媒体库、Nextcloud 网盘、Immich 相册以及各种自动化工具。这套方案特别适合那些希望拥有高度自主权、注重数据隐私，同时又不想在复杂的网络配置上耗费太多精力的技术爱好者、开发者或家庭用户。接下来，我会详细拆解每个环节的设计思路、实操步骤以及我踩过坑后总结出的宝贵经验。

2. 架构深度解析：为什么选择“私有优先”的模型？

在开始动手之前，理解整个架构的“为什么”比知道“怎么做”更重要。一个典型的家庭实验室，很多人会直接选择 DDNS + 端口转发，把服务一个个映射到公网。这种做法简单粗暴，但安全隐患极大，你的服务会直接暴露在互联网的扫描枪下。我选择的是一种更优雅、更安全的模型：一切服务默认仅内网可达，外部访问通过一个加密的“管道”接入。

2.1 核心网络流量路径拆解

整个数据流的路径可以清晰地分为五步，这构成了我们所有服务访问的基础：

1. 客户端接入：我在外部的笔记本电脑或手机，首先需要安装 Tailscale 客户端并登录我的账户。这个过程就像加入一个私有的、加密的俱乐部，设备会获得一个唯一的虚拟内网 IP（比如100.x.x.x）。
2. 域名解析：当我在浏览器输入jellyfin.homelab.ansh-info.com时，系统的 DNS 请求会被引导至我家庭实验室里的 Pi-hole。Pi-hole 被我配置了一条泛域名解析规则：*.homelab.ansh-info.com全部指向我家里那台服务器的 Tailscale IP 地址。这样，无论访问哪个子域名，最终都会找到正确的主机。
3. 请求抵达：浏览器根据解析出的 Tailscale IP，通过 Tailscale 建立的加密隧道，将 HTTP/HTTPS 请求发送到我家庭服务器本机的 80 或 443 端口。对于互联网而言，这个流量是加密且点对点的，外人无法窥探或劫持。
4. 反向代理路由：在服务器上，Nginx Proxy Manager 监听 80 和 443 端口。它根据请求中的Host头（也就是域名），去查找预先配置好的代理规则。比如，它发现是jellyfin.homelab.ansh-info.com，就知道要把这个请求转发到 Docker 内部名为jellyfin的容器的 8096 端口。
5. 服务响应：Jellyfin 容器处理请求并返回响应，数据流再沿原路返回给我的浏览器。所有服务容器都连接在一个共享的 Docker 网络（我命名为proxy）上，NPM 也在这个网络中，因此它们可以直接通过容器名进行通信，无需关心复杂的 IP 地址。

这个模型的美妙之处在于，公网上没有任何一个端口映射指向我的具体服务。攻击者即使扫描我的公网 IP，也只能看到关闭的或无关的端口。真正的入口——Tailscale——需要身份认证才能加入，安全性得到了质的提升。

2.2 核心组件选型与职责

为什么是这几个组件？每个选择背后都有其深思熟虑的理由：

• Tailscale：它基于 WireGuard，但解决了 WireGuard 需要手动交换密钥、维护节点列表的痛点。它提供了一个协调服务器，帮你完成节点发现和密钥交换，而实际数据流量是点对点直连的。这意味着我无需拥有公网 IP 或设置复杂的 VPN 服务器，就能让所有设备安全互联。它是我们“私有优先”模型的基石。
• Pi-hole：它通常被用作网络级广告过滤器，但我更看重它作为本地 DNS 服务器的能力。通过自定义 DNS 记录，我可以实现干净、灵活的内部域名解析，将像*.homelab.ansh-info.com这样的泛解析指向内网 IP，这是实现“用一个域名访问所有服务”的关键。
• Nginx Proxy Manager：Nginx 本身很强大，但配置对于新手不友好。NPM 提供了一个清爽的 Web 界面，让我可以轻松地添加代理主机、申请并自动续签 Let‘s Encrypt 的 SSL 证书。它充当了流量的交通警察和 SSL 终结者。
• Docker & Portainer：容器化是现代化运维的标配。Docker 保证了环境的一致性，而 Portainer 则提供了比命令行更直观的容器、镜像、网络和卷的管理界面，大大降低了日常运维的门槛。
• 共享网络proxy：这是一个用户自定义的 Docker 桥接网络。所有需要通过 Web 访问的服务容器和 NPM 容器都接入这个网络。这样做的好处是，容器间可以通过容器名称直接通信，并且可以将这个网络独立出来，不影响其他系统容器。

注意：这套架构假设你的家庭宽带拥有公网 IP（动态或静态），这对于 Tailscale 的点对点直连性能至关重要。如果处于多层 NAT 之后（例如蜂窝网络），Tailscale 会启用中继模式，速度会有所下降，但功能依然可用。

3. 硬件与宿主机的准备：打好地基

再好的架构，也需要稳定的硬件和系统来承载。我的实验室运行在一台 Intel NUC 迷你电脑上，配备了 16GB 内存和 1TB NVMe SSD。对于大多数家庭服务，这样的配置已经绰绰有余。关键在于存储规划和服务隔离。

3.1 存储规划与挂载

我强烈建议将 Docker 的持久化数据（卷）与系统盘分离。我的做法是：

1. 系统盘（NVMe SSD）：安装 Ubuntu Server 22.04 LTS，追求稳定和长期支持。所有系统软件和 Docker 引擎本身安装于此。
2. 数据盘（一块大的 SATA SSD 或 HDD）：专门用于存放 Docker 卷数据。我将其挂载到/mnt/data目录下。

这样规划的好处是：系统可以随时重装或升级，而你的应用数据（电影、照片、文档、数据库）完全独立，安全无损。在/mnt/data下，我建立了清晰的目录结构：

/mnt/data/ ├── docker/ │ ├── stacks/ # 各服务的 docker-compose.yml 文件 │ ├── volumes/ # Docker 命名卷对应的实际数据 │ │ ├── pihole/ │ │ ├── npm/ │ │ ├── jellyfin/ │ │ └── ... │ └── configs/ # 一些服务的配置文件 └── media/ # 媒体文件（电影、音乐等），通过绑定挂载给容器使用 ├── movies/ ├── tvshows/ └── music/

通过编辑 Docker 的配置文件/etc/docker/daemon.json，可以将 Docker 的默认数据目录改到/mnt/data/docker，但这有一定风险。我更倾向于保持 Docker 默认路径，然后在docker-compose.yml中显式地使用绑定挂载（bind mounts）将主机上的/mnt/data/volumes/service_name目录映射到容器内。这样更直观，备份和迁移也更方便。

3.2 基础系统配置

安装完 Ubuntu Server 后，有几项基础工作必须做：

• 更新与基础工具：首先sudo apt update && sudo apt upgrade -y，然后安装curl,wget,git,vim（或你喜欢的编辑器）等工具。
• 防火墙配置：使用ufw配置防火墙。我们的原则是：对外关闭所有端口，对内（Tailscale 接口）开放必要端口。

  sudo ufw default deny incoming # 默认拒绝所有入站 sudo ufw default allow outgoing # 允许所有出站 sudo ufw allow from 10.0.0.0/8 to any port 22 # 允许内网SSH（可选） # 关键：允许Tailscale网络访问80和443 # 首先找到Tailscale接口名，通常是tailscale0 sudo ufw allow in on tailscale0 to any port 80,443 proto tcp sudo ufw --force enable # 启用防火墙

• 时区与NTP：确保系统时间准确，这对证书服务和日志记录非常重要。sudo timedatectl set-timezone Asia/Shanghai并确认systemd-timesyncd服务在运行。

4. 核心平台服务的部署实战

地基打好，就可以开始搭建核心平台了。部署顺序至关重要，请严格按照以下步骤进行。

4.1 安装 Docker 与 Portainer

Docker 是容器化的基石。使用官方脚本安装是最简单的方式：

curl -fsSL https://get.docker.com -o get-docker.sh sudo sh get-docker.sh sudo usermod -aG docker $USER # 将当前用户加入docker组，避免每次用sudo # 注销并重新登录使组生效

接下来安装 Portainer。Portainer 本身也是一个容器，我们用它来管理其他容器。

# 创建Portainer用于存储数据的卷 docker volume create portainer_data # 运行Portainer容器 docker run -d \ -p 9443:9443 \ --name portainer \ --restart=always \ -v /var/run/docker.sock:/var/run/docker.sock \ -v portainer_data:/data \ portainer/portainer-ce:latest

访问https://你的服务器IP:9443，首次登录创建管理员账户，然后就可以在 Web 界面管理 Docker 了。我强烈建议后续的所有栈（Stack）部署都在 Portainer 中进行，这比命令行更直观，也便于日后维护。

4.2 部署 Tailscale 并加入网络

Tailscale 提供了多种安装方式。对于 Linux 服务器，我推荐使用它们的官方软件包库：

curl -fsSL https://tailscale.com/install.sh | sh sudo tailscale up

执行tailscale up后，命令行会给出一个认证链接。用你的 Tailscale 账户（支持 Google、GitHub 等登录）在浏览器中打开并授权这台设备。成功后，在 Tailscale 管理后台（https://login.tailscale.com/admin/machines）就能看到这台新设备，并可以获得它的 Tailscale IP（如100.xx.xx.xx）。请记下这个 IP，后续配置 Pi-hole 时会用到。

实操心得：在 Tailscale 管理后台，可以为这台设备设置一个好记的标签（如homelab），并启用“子网路由”功能（如果将来需要让家庭实验室访问你家庭内网的其他设备）。对于纯服务端，可以勾选“禁用密钥过期”，避免密钥失效导致服务中断。

4.3 创建共享 Docker 网络

在部署任何服务之前，先创建那个核心的共享网络proxy。在 Portainer 界面中操作很简单：进入“网络”页面，点击“添加网络”，名称填proxy，驱动选择bridge，其他默认即可。或者用命令：

docker network create proxy

4.4 部署 Pi-hole：内网的 DNS 大脑

Pi-hole 将作为我们内网的 DNS 服务器和广告过滤器。它的部署需要一点技巧，因为我们需要让它监听在 Tailscale 网络上，以便外部设备使用。

在 Portainer 中创建新 Stack，命名为pihole，粘贴以下docker-compose.yml内容并适配你的路径：

version: "3" services: pihole: container_name: pihole image: pihole/pihole:latest restart: unless-stopped networks: proxy: # 连接到共享网络，方便NPM或其他容器查询 environment: TZ: 'Asia/Shanghai' WEBPASSWORD: '你的强密码' # 设置Web界面密码 DNS1: '1.1.1.1#53' # 上游DNS，推荐Cloudflare DNS2: '8.8.8.8#53' # 备用Google DNS volumes: - '/mnt/data/docker/volumes/pihole/etc-pihole:/etc/pihole' - '/mnt/data/docker/volumes/pihole/etc-dnsmasq.d:/etc/dnsmasq.d' # 关键：将53端口映射到Tailscale IP上，而不是0.0.0.0 # 假设你的Tailscale IP是100.100.100.100 ports: - '100.100.100.100:53:53/tcp' - '100.100.100.100:53:53/udp' - '100.100.100.100:80:80' # Web管理界面也映射到Tailscale IP cap_add: - NET_ADMIN

部署后，访问http://你的Tailscale-IP/admin用设置的密码登录。接下来是关键配置：

1. 进入Settings->DNS，确保上游 DNS 已设置。
2. 进入Local DNS->DNS Records，添加一条记录：
   • Domain:homelab.ansh-info.com(请替换为你自己的域名)
   • IP Address: 你的服务器的Tailscale IP。
   • 勾选“Wildcard domain for*.homelab.ansh-info.com”。
3. 为了让你的设备使用 Pi-hole 作为 DNS，你需要在设备的 Tailscale 设置中，将“使用 DNS 服务器”指向你的 Pi-hole 容器的 Tailscale IP。这样，所有 DNS 请求都会经过 Pi-hole 过滤和解析。

4.5 部署 Nginx Proxy Manager：流量的指挥家

NPM 的部署相对直接。创建新 Stacknginx-proxy-manager：

version: "3" services: app: image: 'jc21/nginx-proxy-manager:latest' container_name: nginx-proxy-manager restart: unless-stopped networks: proxy: # 必须接入共享网络 ports: # 将80和443映射到所有接口，因为流量通过Tailscale抵达，防火墙已限制只允许tailscale0接口 - '80:80' - '443:443' - '81:81' # 管理界面端口 volumes: - '/mnt/data/docker/volumes/npm/data:/data' - '/mnt/data/docker/volumes/npm/letsencrypt:/etc/letsencrypt'

部署后，访问http://你的服务器IP:81初始化。默认登录邮箱admin@example.com，密码changeme，首次登录会强制修改。

关键配置步骤：

1. 添加 SSL 证书：在SSL Certificates中点击“Add SSL Certificate” -> “Let‘s Encrypt”。输入你的域名（例如homelab.ansh-info.com），勾选“Use a DNS challenge”和“I Agree to the Let‘s Encrypt Terms of Service”。这里需要一个真实的、你拥有控制权的域名，并在 DNS 提供商处配置好。由于我们只用内网，可以使用一个免费域名或你已有域名的子域。DNS验证是关键，因为我们的服务器没有公网80/443端口开放，无法通过HTTP验证。
2. 添加代理主机：在Hosts->Proxy Hosts点击“Add Proxy Host”。
   • Domain Names: 输入你希望使用的子域名，例如jellyfin.homelab.ansh-info.com。
   • Scheme:http
   • Forward Hostname / IP: 填入服务容器的名称，例如jellyfin（因为都在proxy网络，可以直接用容器名访问）。
   • Forward Port: 填入容器内部端口，例如 Jellyfin 是8096。
   • SSL：选择你刚才申请的 SSL 证书，并强制开启 SSL。
3. 保存后，NPM 就会自动为这个域名配置反向代理和 HTTPS。

重要提示：确保你在 Pi-hole 中添加的泛域名记录指向了服务器的 Tailscale IP，并且你的客户端设备将 Tailscale 的 DNS 设置为 Pi-hole 的 IP。这样，域名解析 -> 请求转发 -> 服务响应的完整链路才通。

5. 应用服务的部署与集成

核心平台就绪后，就可以部署丰富的应用了。所有应用服务都遵循一个模式：接入proxy网络，通过 NPM 配置域名代理。

5.1 部署 Jellyfin 媒体服务器

Jellyfin 是一个开源的媒体管理系统。创建 Stackjellyfin-arr-stack，这里我通常将媒体下载工具（如 Sonarr, Radarr）和 Jellyfin 放在一起管理。

version: "3" services: jellyfin: image: jellyfin/jellyfin:latest container_name: jellyfin restart: unless-stopped networks: proxy: # 接入共享网络 environment: - PUID=1000 # 你的宿主用户ID，用于文件权限 - PGID=1000 # 你的宿主用户组ID - TZ=Asia/Shanghai volumes: - '/mnt/data/docker/volumes/jellyfin/config:/config' - '/mnt/data/docker/volumes/jellyfin/cache:/cache' - '/mnt/data/media/movies:/data/movies' # 绑定挂载媒体目录 - '/mnt/data/media/tvshows:/data/tvshows' # 不需要映射端口到主机，因为通过NPM访问 # ports: # - "8096:8096"

部署后，在 NPM 中添加代理主机，域名如jellyfin.homelab.ansh-info.com，转发到jellyfin:8096。然后访问该域名即可完成 Jellyfin 的初始化设置。

5.2 部署 Immich 自托管相册

Immich 是一个出色的 Google Photos 替代品。它的部署稍微复杂，需要数据库。创建 Stackimmich：

version: "3.8" services: immich-server: image: ghcr.io/immich-app/immich-server:latest container_name: immich-server restart: always networks: proxy: volumes: - '/mnt/data/docker/volumes/immich/upload:/usr/src/app/upload' - '/mnt/data/media/pictures:/usr/src/app/upload/user-upload' # 导入现有照片 env_file: - .env.immich # 建议将敏感信息放在环境变量文件中 # 依赖数据库和Redis depends_on: - redis - database immich-machine-learning: image: ghcr.io/immich-app/immich-machine-learning:latest container_name: immich-machine-learning restart: always networks: proxy: volumes: - '/mnt/data/docker/volumes/immich/model-cache:/cache' env_file: - .env.immich redis: image: redis:alpine container_name: immich-redis restart: always networks: proxy: volumes: - '/mnt/data/docker/volumes/immich/redis:/data' database: image: postgres:14-alpine container_name: immich-postgres restart: always networks: proxy: volumes: - '/mnt/data/docker/volumes/immich/postgres:/var/lib/postgresql/data' env_file: - .env.immich

你需要创建一个.env.immich文件，包含数据库密码等密钥。部署后，在 NPM 中为immich-server服务（默认端口 2283）配置代理，例如photos.homelab.ansh-info.com。

5.3 部署 Nextcloud AIO 一体化云盘

Nextcloud All-in-One 是官方推荐的容器化部署方式，它包含了 Nextcloud 本身、数据库、Redis 等所有依赖。创建 Stacknextcloud-aio：

version: '3.8' services: nextcloud-aio-mastercontainer: image: nextcloud/all-in-one:latest container_name: nextcloud-aio-mastercontainer restart: always networks: proxy: ports: - '8080:8080' # AIO 主容器管理端口 volumes: - '/mnt/data/docker/volumes/nextcloud_aio/mastercontainer:/mnt/docker-aio-config' - '/var/run/docker.sock:/var/run/docker.sock:ro' environment: - APACHE_PORT=11000 # Nextcloud 容器内部端口 - APACHE_IP_BINDING=0.0.0.0 - NEXTCLOUD_DATADIR=/mnt/data/docker/volumes/nextcloud_aio/nextcloud_data

部署后，访问http://你的服务器IP:8080进入 AIO 管理界面，按照向导完成安装。安装过程中，它会自动创建其他容器（数据库、Redis等）。安装完成后，你需要在 AIO 界面中配置域名，并获取一个用于反向代理的密码。然后在 NPM 中添加代理主机，域名如cloud.homelab.ansh-info.com，转发到nextcloud-aio-apache容器的端口（如11000），并在“Advanced”选项卡中添加自定义的代理头，包含从 AIO 界面获取的密码。

5.4 部署 Watchtower：自动更新容器

为了保持服务安全与更新，可以使用 Watchtower 自动更新容器镜像。创建 Stackwatchtower：

version: "3" services: watchtower: image: containrrr/watchtower:latest container_name: watchtower restart: unless-stopped volumes: - '/var/run/docker.sock:/var/run/docker.sock' environment: - WATCHTOWER_CLEANUP=true # 更新后删除旧镜像 - WATCHTOWER_INCLUDE_STOPPED=true # 包含已停止的容器 - WATCHTOWER_REVIVE_STOPPED=true # 更新后重启已停止的容器 - WATCHTOWER_POLL_INTERVAL=3600 # 每小时检查一次更新 # 不需要网络，因为它只与Docker守护进程通信

这是一个非常方便的工具，但请谨慎使用在生产环境或核心服务上。建议先对非核心服务进行测试。

6. 运维、监控与故障排查实录

系统跑起来只是开始，稳定的运维和快速的故障排查能力才是家庭实验室长久运行的关键。

6.1 日常运维检查清单

我习惯每天花几分钟快速检查一下核心服务的状态：

1. Portainer 仪表盘：看一眼所有 Stack 和容器的状态，确保没有异常停止（Crash Loop）的容器。
2. Tailscale 状态：在客户端或管理后台检查节点是否在线，延迟是否正常。
3. Pi-hole 查询日志：进入 Pi-hole 管理界面，查看最近的查询记录，确认 DNS 解析正常，没有异常的请求阻塞。
4. NPM 代理主机：检查 NPM 中各个代理主机的 SSL 证书状态，确保没有即将过期的证书。
5. 资源监控：通过htop或docker stats命令快速查看 CPU、内存和磁盘使用情况。

6.2 常见问题与排查技巧

以下是我在运行过程中遇到的一些典型问题及解决方法：

6.3 备份策略：容灾的底线思维

再稳定的系统也可能出问题，备份是最后的防线。我的备份策略分为三层：

1. 配置即代码：所有的docker-compose.yml文件和环境变量模板都保存在 Git 仓库中（如本项目）。这是恢复服务定义最快的方式。
2. 关键数据卷备份：对/mnt/data/docker/volumes目录下的关键数据（如 Nextcloud 数据库、Immich 的 upload 目录、Pi-hole 的配置）进行定期增量备份。我使用restic或borg工具，加密后备份到另一块外置硬盘或云端对象存储。
3. 媒体文件备份：/mnt/data/media目录存放的是可重新下载的媒体文件，优先级较低，可以仅做异地冷备份。

我写了一个简单的脚本，每周日凌晨 3 点自动执行备份，并发送通知到我的 Telegram。备份的核心是：确保在服务器完全损毁的情况下，我能在新硬件上，通过 Git 仓库的配置和备份的数据卷，在几个小时内重建整个家庭实验室。

7. 安全加固与进阶考量

基础系统运行稳定后，可以考虑一些进阶的安全和优化措施。

7.1 网络与访问控制强化

• Tailscale ACL：在 Tailscale 管理后台，可以使用访问控制列表精细控制哪个设备可以访问哪个服务的哪个端口。例如，你可以设置只有你的手机可以访问管理界面（Portainer:9443, NPM:81），而其他设备只能访问媒体服务。
• 服务间网络隔离：目前所有服务都在proxy一个网络里。对于更安全的架构，可以考虑创建多个网络。例如，将数据库服务放在一个内部网络，只允许特定的应用容器访问；将前端服务放在proxy网络。这需要在docker-compose.yml中定义多个网络并精细控制容器连接。
• Fail2Ban：在宿主机上安装 Fail2Ban，监控 Docker 容器日志或系统认证日志，对多次尝试失败 SSH 或 Web 登录的 IP 进行临时封禁。虽然我们有 Tailscale 保护，但多一层防护总是好的。

7.2 性能监控与日志集中

当服务越来越多时，一个集中的监控和日志平台会非常有帮助。

• 监控：可以部署Grafana+Prometheus+cAdvisor组合。cAdvisor收集每个容器的资源指标，Prometheus抓取并存储，Grafana进行可视化展示。这样你就能清晰地看到 CPU、内存、网络 IO、磁盘 IO 的历史趋势和实时状态。
• 日志：使用Loki+Grafana来集中收集和管理所有容器的日志。替代传统的docker logs命令，你可以在 Grafana 的界面里用一个统一的查询语言搜索所有服务的日志，极大提升排错效率。

部署这些监控工具本身也会消耗资源，对于小型家庭实验室，可能略显繁重。你可以先从简单的开始，比如用 Portainer 自带的统计功能，或者写个脚本定时收集docker stats输出到文件。

7.3 自动化与 CI/CD 实践

本项目仓库使用了 GitHub Actions 进行配置验证，这是一个非常好的实践。你可以进一步扩展：

1. 配置验证：在每次向 Git 仓库推送docker-compose.yml更改时，自动用docker-compose config命令验证语法是否正确。
2. 自动部署：可以配置一个 Action，在验证通过后，通过 SSH 连接到你的家庭实验室服务器（使用 Tailscale IP），拉取最新配置并重启相关的 Stack。这实现了简单的 GitOps 工作流。
3. 备份状态检查：创建一个定时任务，检查备份是否成功执行，并将结果通知给你。

这套以隐私为核心、以 Docker 为基石、以 Tailscale 为通道的家庭实验室方案，我已经稳定运行了一年多。它最大的价值在于给了我完全的控制权和安全感。所有的数据都在自己手里，所有的流量都在加密隧道中，所有的服务都可以按需定制和扩展。从最初的几个容器，到现在几十个服务协同工作，这个过程本身就是一个极佳的学习 DevOps、网络和系统知识的平台。如果你也厌倦了公有云服务的隐私条款和订阅费用，不妨尝试从一台旧电脑或迷你主机开始，搭建属于你自己的数字家园。