windy/my-vault
1
0
Fork 0
Code Issues Pull Requests Packages Projects Releases Wiki Activity

docs(network): refine gateway and switch ADRs

Browse Source
This commit is contained in:
windyboy
2026-08-07 17:29:19 +08:00
parent df3e3eb3ab
commit 1693eb46cf
4 changed files with 166 additions and 475 deletions
Download Patch File Download Diff File Expand all files Collapse all files
02_Areas/Network & VPN/ADR - Gateway Selection RB5009 vs UXG-Lite.md
+55 -132
View File
@@ -1,165 +1,88 @@
---
title: "ADR - Gateway Selection RB5009 vs UXG-Lite"
title: "ADR - Gateway Selection: RB5009 vs UCG-Ultra"
type: architecture-decision-record
status: accepted
status: conditional
date: 2026-08-07
tags: [network, adr, gateway, mikrotik, unifi]
tags: [network, adr, gateway, mikrotik, unifi, tp-link]
related:
- "[[ADR - Home Network Layer 3 Boundary]]"
- "[[Home Network]]"
- "[[Home Network Upgrade Plan]]"
---
# ADR：RB5009 与 UXG-Lite 的网关选型
# ADR：网关选型——RB5009 与 UCG-Ultra
## 状态
**已接受（Accepted）**：2026-08-07 确认选择 **MikroTik RB5009UG+S+IN** 作为家庭网络网关。UXG-Lite 不作为本次升级的网关。
**条件性决策（Conditional）**：只采购一台网关。当前首选 **UniFi Cloud Gateway Ultra（UCG-Ultra）**；只有未通过验收，或出现明确的多千兆/RouterOS 硬约束时，才改选 **MikroTik RB5009UG+S+IN**。
## 背景
核心交换机仍以 TL-SE5420 为优先候选：它负责二层 VLAN，不承担 DHCP、VLAN 网关、NAT 或跨 VLAN 路由。交换机与网关的详细边界见 [[ADR - Home Network Layer 3 Boundary]]。
已接受的 [[ADR - Home Network Layer 3 Boundary|三层职责边界]] 确定：网关是 VLAN55 与 VLAN66 的唯一三层边界，承担 DHCP、防火墙、PPPoE、IPv6 PD/RA、NAT、端口转发与 WireGuard；核心交换机仅做二层 VLAN 转发。
## 决策背景
当前网络计划以无风扇 **TP-Link Omada SG3210X-M2** 作为核心交换机。该交换机提供 8 × 2.5GbE 与 2 × 10G SFP+；网关与核心交换机之间需要承载两个 VLAN 的 trunk。现有 gfw 是 PVE 上的双网 ImmortalWrt VM，其“特殊流量走 gfw”的选流策略在迁移前仍需盘点，但首期不改变该行为。
- 宽带为 1Gbps，光猫桥接，网关负责 PPPoE、NAT、IPv6、DHCP、防火墙、WireGuard 与必要端口转发。
- VLAN66 `192.168.66.0/24` 与 VLAN55 `192.168.55.0/24` 的网关均为 `.254`；VLAN55 默认不能主动访问 VLAN66。
- gfw 是 PVE 上的双网 ImmortalWrt VM（`.66.1` / `.55.1`）。需要代理的客户端直接选用 `.1` 为默认网关，其他客户端选用 `.254`；gfw 再经对应 `.254` 出 WAN。这不是主网关透明策略路由。
- 已有 UniFi AP；当前 UniFi Network Controller 运行在 `.66.46` 的 PVE/Docker 上。
- 网关到核心交换机只需承载 tagged VLAN55、VLAN66；业务 VLAN 不使用 native/untagged VLAN。
候选网关为：
## 已核实的硬件事实
1. **方案 A：MikroTik RB5009UG+S+IN**；或
2. **方案 B：Ubiquiti UXG-Lite**。
## 已确认的目标设计
| 范畴 | 已确认决策 |
| --- | --- |
| 网关 | RB5009 是 VLAN55/VLAN66 的唯一网关、DHCP、防火墙、PPPoE、IPv6 PD/RA、NAT 与 WireGuard 终点。 |
| 核心交换 | SG3210X-M2 仅做无风扇二层 VLAN 交换；不承担 DHCP、VLAN 网关或跨 VLAN 路由。 |
| 网关上联 | RB5009 的 10G SFP+ 与核心交换机使用短距离 10G SFP+ DAC；trunk 仅允许 tagged VLAN55、VLAN66，不承载 native/untagged VLAN。 |
| VLAN 与地址 | VLAN66：`192.168.66.0/24`、网关 `.254`；VLAN55：`192.168.55.0/24`、网关 `.254`。 |
| 安全边界 | IoT（VLAN55）默认不能主动访问电脑网（VLAN66）；电脑网可访问 IoT 网；后续例外按目标 IP、协议与端口在网关防火墙中维护。 |
| 旁路由 | gfw VM 保持双网 `.66.1` / `.55.1` 与按规则选流的旁路由角色，不成为客户端默认网关。 |
| 远程访问 | WireGuard 运行在网关，采用分流，客户端可访问两个 VLAN 并使用 AdGuard Home `.66.36` DNS。 |
## 经官方资料核实的硬件事实
| 项目 | RB5009UG+S+IN | UXG-Lite |
| --- | --- | --- |
| WAN/LAN 物理端口 | 7 × 1GbE、1 × 2.5GbE、1 × 10G SFP+ | 1 × 1GbE WAN、1 × 1GbE LAN |
| CPU | 四核 ARM 64-bit，1.4GHz | 双核 ARM Cortex-A53，1GHz |
| 内存 | 1GB DDR4 | 1GB |
| 系统 | RouterOS v7 | 由 UniFi Network Application 管理 |
| 最大功耗 | 25W | 3.83W |
| IPv6 ISP 支持 | RouterOS v7 支持 DHCPv6-PD / RA 配置 | 官方规格列出 IPv6 ISP Support |
| WireGuard 服务端 | RouterOS v7 支持 | 官方规格列出 WireGuard VPN Server |
来源：[RB5009 官方手册](https://cdn.mikrotik.com/web-assets/product_files/RB5009UGSIN_250413.pdf)、[UXG-Lite 官方规格](https://techspecs.ui.com/unifi/advanced-hosting/uxg-lite?subcategory=all-advanced-hosting)。
## 方案对比与判定
图例：🟢 直接满足／风险低；🟡 可以实现，但有额外配置或限制；🔴 不满足已确认约束；⚪ 两方案无实质差异。
### 上联、性能与扩展
| 可比较特征 | 方案 A：RB5009 | 方案 B：UXG-Lite | 胜方 |
| 项目 | RB5009UG+S+IN | UCG-Ultra | 对本设计的意义 |
| --- | --- | --- | --- |
| 与核心交换机的 trunk | 🟢 10G SFP+ DAC，可直接承载 VLAN55/66 | 🟡 仅 1GbE Ethernet trunk | **A** |
| 已接受架构下的 WAN / VLAN 间流量 | 🟢 不受 1GbE LAN 上联限制 | 🔴 全部经唯一 1GbE LAN 链路 | **A** |
| WireGuard / 端口转发回内网 | 🟢 使用高速上联，不与 1GbE LAN 上联竞争 | 🟡 与全部网关相关流量共享 1GbE LAN 链路 | **A** |
| 同 VLAN 的 2.5G 交换 | 🟢 由核心交换机 ASIC 转发，不经过网关 | 🟢 相同 | ⚪ 平手 |
| 未来超过 1Gbps 宽带或跨 VLAN 流量 | 🟢 不需要先更换网关接口 | 🔴 需要更换网关或改变已接受架构 | **A** |
| 低功耗与发热 | 🟡 最大功耗较高 | 🟢 最大功耗 3.83W | **B** |
| 端口 | 7 × 1GbE、1 × 2.5GbE、1 × 10G SFP+ | 1 × 2.5GbE、4 × 1GbE RJ45；默认 WAN 为 2.5GbE | RB5009 可用 10G SFP+ DAC 上联 TL-SE5420；UCG-Ultra 到核心交换机应按 1GbE LAN trunk 设计。 |
| 系统与管理面 | RouterOS v7；UniFi AP 继续由独立 Controller 管理 | UniFi Cloud Gateway，内置 UniFi Network | UCG-Ultra 可替代 `.66.46` 的 Controller；RB5009 保留两套管理面。 |
| CPU / 内存 | 四核 ARM 1.4GHz、1GB DDR4 | 四核 ARM Cortex-A53 1.5GHz、3GB RAM、16GB 存储 | 厂商未提供两者完全同条件的防火墙/PPPoE对照测试，不以 CPU 参数直接断言实际吞吐胜负。 |
| 最大功耗 | 25W；无外接设备时 14W | 6.2W | UCG-Ultra 的公开最大功耗低 7.8W（按 RB5009 无外接设备值比较）；实际耗电仍取决于模块和负载。 |
| 散热 | 被动散热 | 官方规格未列出风扇/噪音指标 | RB5009 的被动散热是已确认事实；UCG-Ultra 的噪音不以推测代替，购买前应确认。 |
| 安全能力 | RouterOS v7 可配置状态防火墙、IPv4/IPv6、路由、WireGuard | 官方列出状态/L7/区域防火墙、DPI、IPS/IDS、内容过滤、WireGuard、IPv6 ISP Support | UCG-Ultra **不缺少防火墙**；两者均需用实际规则和 IPv6 验收。 |
| IDS/IPS 厂商标称 | 本 ADR 的官方产品页未提供可对照值 | 1Gbps | 对 1Gbps 宽带，UCG-Ultra 的标称与目标相符，但 PPPoE、规则和真实流量仍须实测。 |
| UniFi 设备容量 | 不适用 | 30+ UniFi 设备、300+ 并发客户端 | 对当前两台 AP 有充足公开容量余量。 |
### 功能、迁移与运维
来源：[RB5009 官方产品页](https://mikrotik.com/product/rb5009ug_s_in)、[UCG-Ultra 官方规格](https://techspecs.ui.com/unifi/cloud-gateways/ucg-ultra?s=us)。
| 可比较特征 | 方案 A：RB5009 | 方案 B：UXG-Lite | 胜方 |
## 专业比较
| 决策维度 | RB5009 | UCG-Ultra | 专业判断 |
| --- | --- | --- | --- |
| 两 VLAN、DHCP、IPv4 NAT 与防火墙 | 🟢 可集中于 RouterOS | 🟢 可实现 | ⚪ 平手 |
| IPv6 PD 分发至多个 VLAN | 🟢 可显式配置 PD、RA 与防火墙 | 🟡 文档支持，仍须对电信 PPPoE/PD 验收 | **A** |
| WireGuard UDP `51820` | 🟢 可实现 | 🟢 可实现 | ⚪ 平手 |
| VLAN 间 mDNS | 🟢 RouterOS 支持 IPv4 mDNS repeater | 🟡 官方规格列出 mDNS，需验证实际跨 VLAN 行为 | **A** |
| 现有 UniFi AP 管理 | 🟢 AP 继续由现有 Controller 管理 | 🟢 与网关统一在 UniFi Network Application 管理 | **B** |
| gfw 旁路由选流策略迁移 | 🟢 RouterOS 可按盘点结果配置路由/防火墙 | 🟡 是否可等价实现取决于尚未盘点的规则 | **A** |
| 配置与故障排查 | 🟢 网关、路由、DHCP、IPv6 与策略在一套 RouterOS 配置中 | 🟡 UniFi 管理更统一，但 1GbE 限制和 gfw 等价性需额外验收 | **A** |
| 当前 1Gbps 宽带出网 | 🟢 | 🟢 | 两者都不因物理 WAN 端口成为瓶颈。UCG-Ultra 的 1GbE LAN trunk 是全双工，单独 WAN ↔ LAN 流量不是额外劣势。 |
| 经网关的高流量 | 🟢 10G SFP+ 上联 | 🟡 单个 1GbE LAN trunk | VLAN 间流量会在该 trunk 的两个方向各经过一次；持续大流量跨 VLAN、VPN 或端口转发回内网时，UCG-Ultra 更早受限。 |
| gfw 旁路由模式 | 🟢 | 🟢 | 客户端直接选择 `.1` 时，两者都不需要主网关 PBR，也不会天然产生回路。 |
| IPv6、DHCP、NAT、端口转发、WireGuard | 🟢 可精细配置 | 🟢 功能公开列出，需实机验收 | 不把“可配置得更细”误写成“当前必需”。UCG-Ultra 必须验证电信 PD/RA、规则和端口转发。 |
| VLAN55 默认拒绝与服务例外 | 🟢 RouterOS 规则 | 🟢 Zone-Based Firewall / 策略规则 | 两者都能实施最小权限；UCG-Ultra 应从 VLAN55 实测规则顺序和例外。 |
| UniFi 管理与运维 | 🟡 两套管理面 | 🟢 网关、AP、Network 合一 | UCG-Ultra 可移除 PVE 上 Controller 的升级、备份和可用性责任；TP-Link 交换机仍独立管理。 |
| 救援口、带外排障、可编程性 | 🟢 多余端口、RouterOS CLI/诊断 | 🟡 4 个 1GbE LAN，但策略表达和低层诊断更受 UniFi 范围约束 | RB5009 的真实优势；只有确实需要时才值得为复杂度与功耗付费。 |
| 功耗与设备数量 | 🟡 | 🟢 | UCG-Ultra 本身更低功耗且可能替代自托管 Controller；但 PVE 是否仍运行取决于其他工作负载，不能把整机节电全部归因于它。 |
| 未来多千兆 LAN / 10G SFP+ | 🟢 | 🔴 无 SFP+，LAN 为 1GbE | 这是 RB5009 的硬性胜场；不是当前 1Gbps 宽带的硬性要求。 |
UniFi 的 IPv6 PD 与 WireGuard 功能参考：[IPv6 in UniFi](https://help.ui.com/hc/en-us/articles/36378535649687-Configuring-IPv6-in-UniFi)、[WireGuard VPN Server](https://help.ui.com/hc/en-us/articles/115005445768-UniFi-Gateway-WireGuard-VPN-Server)。RouterOS 的 mDNS repeater 仅支持 IPv4：[RouterOS DNS/mDNS](https://help.mikrotik.com/docs/spaces/ROS/pages/37748767/DNS?src=contextnavpagetreemode)。
## 结论与采购规则
### 加权结论
### 当前专业意见：选 UCG-Ultra
权重 `5` 表示已确认的硬约束，`2` 表示偏好；评分 `5` 表示完全满足。总分仅用于使取舍可见，不代表性能基准测试。
在现有事实下，**选择 UCG-Ultra**：你的 1Gbps 宽带并不要求 10G 网关上联；gfw 的“客户端自行使用 `.1`”模式也不要求 RouterOS 策略路由。UCG-Ultra 同时承担网关与 UniFi Network 控制平面，可消除一套长期维护的 Controller 服务，且公开最大功耗显著低于 RB5009。
| 决策维度 | 权重 | 方案 A：RB5009 | 方案 B：UXG-Lite | 结果 |
| --- | ---: | ---: | ---: | --- |
| 10G DAC 核心上联 | 5 | 🟢 5 | 🔴 1 | **A** |
| 网关相关流量的带宽与扩展 | 5 | 🟢 5 | 🔴 1 | **A** |
| gfw 现有行为的低风险迁移 | 4 | 🟢 5 | 🟡 2 | **A** |
| IPv6、WireGuard 与跨 VLAN 功能可控性 | 4 | 🟢 5 | 🟡 3 | **A** |
| UniFi 单一管理界面 | 2 | 🟡 2 | 🟢 5 | **B** |
| 低功耗与发热 | 2 | 🟡 2 | 🟢 5 | **B** |
| **总分（满分 110）** | — | **🟢 98** | **🟡 50** | **采用 A** |
这不是说 UCG-Ultra 的 1GbE LAN 没有代价：它是所有经网关流量的共享路径。只是对“**1Gbps 宽带 + 两个 VLAN + 以 IoT/DNS/控制为主的跨 VLAN 流量**”而言，该代价尚不是已证实的瓶颈。
UXG-Lite 的低功耗与统一管理界面是明确优点，但不足以抵消其唯一 1GbE LAN 上联与 gfw 策略等价性未知带来的限制。已接受的三层职责边界依赖网关承载所有跨 VLAN、WAN、WireGuard 与端口转发流量，因此 10G 上联是当前架构的必要能力，而非未来假设。
### 直接选择 RB5009 的条件
## 已接受的决策
出现任一条，就不应为了统一 UniFi 管理而选择 UCG-Ultra：
**采用方案 A：RB5009UG+S+IN 作为网关，并通过 10G SFP+ DAC 连接 SG3210X-M2。**
1. 网关到 TL-SE5420 必须使用 10G SFP+ DAC，或已有持续的多千兆跨 VLAN / VPN / 回内网流量；
2. 宽带升级到超过 1Gbps，且需要相应的多千兆 LAN 上联；
3. 必须在主网关上做任意下一跳的透明选流、复杂路由标记/策略路由，或需要 RouterOS 的低层可观测性；
4. UCG-Ultra 未通过本 ISP 的 PPPoE、IPv6 PD/RA、WireGuard、端口转发、VLAN 隔离或 gfw 实测。
RB5009 的职责与 [[ADR - Home Network Layer 3 Boundary|三层职责边界 ADR]] 保持一致：
## UCG-Ultra 迁移与验收
| 组件 | 职责 | 不承担的职责 |
| --- | --- | --- |
| RB5009 | PPPoE、IPv4 NAT、IPv6 PD/RA、防火墙、VLAN55/66 网关、DHCP、WireGuard、Transmission 端口转发 | 不为客户端提供 DNS 解析服务 |
| SG3210X-M2 | VLAN access/trunk、二层转发、RSTP、交换机管理 | DHCP、IPv4/IPv6 网关、跨 VLAN 路由、DNS、NAT、防火墙 |
| AdGuard Home `.66.36` | 两个 VLAN 的 DNS 过滤与上游 DoH；由 RB5009 DHCP 下发为唯一 DNS | DHCP、网关、VLAN 路由 |
| UniFi Controller `.66.46` | AP 管理 | 网关、VLAN 路由或 DHCP |
### 目标上联拓扑
```text
Internet / ONT（bridge）
│
└─ RB5009
├─ ether1：PPPoE / IPv4 NAT / IPv6 PD / WAN firewall
├─ VLAN 66：192.168.66.254/24、DHCP、跨 VLAN firewall
├─ VLAN 55：192.168.55.254/24、DHCP、跨 VLAN firewall
├─ WireGuard：分流访问 VLAN 66 与 VLAN 55
└─ SFP+：VLAN 55 + VLAN 66 tagged trunk
│
└─ 10G SFP+ DAC ── SG3210X-M2（L2 only；管理 IP 192.168.66.2）
```
1. 从 `.66.46` 的自托管 UniFi Network 导出 `.unf` 网络备份；在 UCG-Ultra 内置 Network 恢复。迁移完成前保留旧控制器和回滚路径，完成后不让两个控制器同时管理同一设备。[官方迁移说明](https://help.ui.com/hc/en-us/articles/360008976393-Backups-and-Migration-in-UniFi)
2. 建立 VLAN55、VLAN66、`.254` 网关、DHCP 和唯一 DNS `.66.36`；核心 trunk 仅允许 tagged VLAN55/66。
3. 验证 PPPoE IPv4、IPv6 PD、每个 VLAN 的 RA、IPv6 WAN 入站默认拒绝、IPv4/IPv6 NAT/端口转发和 WireGuard。
4. 从 VLAN55 验证默认拒绝、DNS 和已批准服务例外；从 VLAN66 验证对 VLAN55 的管理访问。
5. 分别验证 `.1` 客户端和 `.254` 客户端：前者经 gfw → `.254` 出网，后者直接经 `.254` 出网；确认 gfw 不可直通 VLAN55 ↔ VLAN66，且 IPv6 不绕过 gfw。
6. 确认 TL-SE5420 的实机散热/噪音以及 RSTP、DHCP Snooping、trusted DHCP trunk；这些是独立于网关的采购前提。
## 后果
### 正面后果
- 网关到核心交换机的 trunk 不再成为 1GbE 瓶颈，符合已接受的网关三层架构。
- gfw 旁路由、IPv6 PD/RA、WireGuard、端口转发与跨 VLAN 安全策略可在 RouterOS 中明确配置和验证。
- 无需为了未来超过 1Gbps 的宽带或跨 VLAN 流量而先更换网关。
- 现有 UniFi AP 仍可由自建 Controller 管理，不依赖 UniFi 网关。
### 负面后果与接受的代价
- RB5009 的功耗和发热高于 UXG-Lite。
- 网关与 AP/Controller 不使用同一管理界面；需要维护 RouterOS 与 UniFi Controller 两套管理面。
- gfw 的现有选流规则仍需在迁移前盘点、备份并在维护窗口验证；这不是重新选择 UXG-Lite 的前提，而是 RB5009 割接前的必做项。
## 迁移前待办（非待决策）
- 导出并加密保存 ER-X、gfw/OpenClash 与 PVE 网络配置，盘点“特殊流量走 gfw”的实际选流规则。
- 离线配置并验证 RB5009 的 PPPoE、VLAN55/66、DHCP、IPv6 PD/RA、防火墙、WireGuard 与 Transmission 映射。
- 使用 10G SFP+ DAC 验证 RB5009 与 SG3210X-M2 的 tagged VLAN55/VLAN66 trunk；不配置 native/untagged VLAN。
- 在维护窗口验证 IoT 隔离、AdGuard Home DNS、gfw 行为、WireGuard 和 IPv4/IPv6 连通性；保留可回插的 ER-X 作为回滚方案。
## 何时重新决策
只有在以下任一前提发生变化时，才重新评估 UXG-Lite 或其他网关：
- 已接受的网关承担全部 VLAN 三层职责的架构被替换；或
- 明确接受网关相关流量受 1GbE LAN 上联限制，且不再需要 10G DAC 上联；或
- 选择的替代网关提供不低于当前需求的多千兆 LAN/SFP+ 上联，并通过 gfw、IPv6 与 WireGuard 验收。
## 确认记录
- [x] 接受 RB5009UG+S+IN（2026-08-07）
- [x] 拒绝 UXG-Lite 作为本次升级网关（2026-08-07）
- [ ] 完成 gfw 规则盘点与 RB5009 割接验收
决策理由：RB5009 同时满足已接受的网关三层职责边界、10G DAC 核心上联与低风险迁移要求；UXG-Lite 的 1GbE LAN 上联不符合该目标设计。
- 只购买 **UCG-Ultra 一台网关**；RB5009 是替代决策，不与其串联或并行作为第二网关。
- UniFi AP 和网关迁入 UCG-Ultra 管理面；TP-Link 交换机仍由其 Web/CLI/SNMP 或商云独立管理。
- 若验证后 UCG-Ultra 不满足约束，回插 ER-X 并保留验收记录，再采购 RB5009；不在生产网络中试图叠加两种网关方案。