用于自托管的容器化網(wǎng)關(guān): 安全且本地化的 DNS、動態(tài)反向代理以及 Proxmox 電源編排功能。

引言

保持自托管基礎(chǔ)架構(gòu)24×7全天候運行可能非常昂貴，尤其是當(dāng)它大部分時間處于閑置狀態(tài)，毫無目的地消耗電力時。這是看門狗的起點，看門狗是一個最小的、高能效的樹莓派設(shè)置，充當(dāng)本地網(wǎng)絡(luò)的哨兵，僅在需要時才啟動Proxmox等關(guān)鍵基礎(chǔ)設(shè)施。

但它的功能遠不止于此。

其目標(biāo)并非讓用戶記住 IP 地址和端口號，或與局域網(wǎng)喚醒（Wake-on-LAN）數(shù)據(jù)包較勁，而是打造無縫的用戶體驗：接入局域網(wǎng)，通過人類可讀的域名訪問服務(wù)，其余工作由網(wǎng)關(guān)安全且透明地處理。

動機

核心想法源于一個簡單需求：在不使用 Proxmox 時使其斷電以節(jié)省能源，但在需要時能夠可靠地按需喚醒，同時無需向每個用戶暴露局域網(wǎng)喚醒的復(fù)雜細(xì)節(jié)。

樹莓派 3B+ 具有超低功耗和可靠的 24×7 運行時間，非常適合作為持久節(jié)點。它將充當(dāng)訪問網(wǎng)關(guān)、DNS 解析器、反向代理，最重要的是，成為決定其他基礎(chǔ)設(shè)施何時需要喚醒的“看門狗”。

架構(gòu)概述

硬件：樹莓派 3B+

容器化：Docker + Docker Compose

網(wǎng)絡(luò)接口：通過 OpenResty（Nginx + Lua）實現(xiàn)條件性反向代理，通過 Pi-hole 實現(xiàn) DNS 路由

圖中箭頭代表數(shù)據(jù)流量

關(guān)鍵組件和工作流程

1.使用 Pi-hole 進行 DNS 路由

Pi-hole 作為網(wǎng)絡(luò)的本地 DNS 解析器。用戶無需記住原始 IP 地址和端口號，只需訪問 openwebui.com、photoprism.lan 等域名即可。它還能在整個網(wǎng)絡(luò)范圍內(nèi)屏蔽廣告和遙測數(shù)據(jù)，提升隱私性和性能。

2.使用 OpenResty 進行條件性反向代理

這里體現(xiàn)了智能之處。OpenResty（一款捆綁了 Lua 的高性能 Nginx 發(fā)行版）充當(dāng)可編程反向代理。每當(dāng)有對 Proxmox 托管服務(wù)的請求時：

網(wǎng)關(guān)會檢查 Proxmox 節(jié)點是否在線。

如果節(jié)點離線，用戶將被重定向到“守門人（Gatekeeper）”，這是一個基于 Streamlit 的應(yīng)用程序，提供局域網(wǎng)喚醒控制功能。

請求會被保留，直到節(jié)點啟動且服務(wù)可訪問。

一旦就緒，請求將被透明轉(zhuǎn)發(fā)。

這為終端用戶抽象了啟動過程，他們只需“點擊即用”。

3.Proxmox 電源編排

Proxmox的API目前用于手動發(fā)出關(guān)機命令。在未來的迭代中，這將通過監(jiān)控節(jié)點活動并在系統(tǒng)長時間處于空閑狀態(tài)時啟動關(guān)閉來實現(xiàn)自動化。局域網(wǎng)喚醒已經(jīng)通過運行在樹莓派上的Dockerized腳本進行了本機處理。

4.安全考慮

僅局域網(wǎng)訪問：所有服務(wù)僅在內(nèi)部網(wǎng)絡(luò)中可訪問。

無公開端口：無需端口轉(zhuǎn)發(fā)或?qū)?Proxmox 暴露到互聯(lián)網(wǎng)。

角色分離：除了通過 API 或局域網(wǎng)喚醒進行電源編排外，“看門狗”從不直接接觸 Proxmox 核心堆棧。

5.優(yōu)勢

節(jié)能：僅在實際需要時才啟動 Proxmox。

安全至上：無服務(wù)公開暴露。所有流量均為內(nèi)部或通過隧道傳輸。

用戶友好：無需記憶 IP 地址，局域網(wǎng)喚醒由簡單的 Web 應(yīng)用程序處理。服務(wù)名稱人類可讀。

配置簡單：一次性設(shè)置腳本。易于適配。

6.未來增強功能

基于閑置檢測自動關(guān)閉 Proxmox。

集成 Grafana + Loki 以監(jiān)控“看門狗”的運行時間和行為。

提供經(jīng)過身份驗證的服務(wù)發(fā)現(xiàn)和電源控制的 Web 儀表板。

探索該項目，將其適配到您的設(shè)置中，或在github中貢獻您的力量。

https://github.com/ninja-con-gafas/watchdog