外观
软路由与防火墙
把软路由跑成虚拟机，好处是省一台设备、方便快照回滚。代价是一个很硬的风险。
软路由虚拟机是单点
PVE 挂了 → 软路由挂了 → 整个家/办公室断网。这时候你连搜索「怎么修」都做不到。
开始之前想清楚：
- 有没有一条不依赖这台虚拟机的备用上网方式？
- PVE 的管理口是不是也依赖这台软路由？如果是，改掉。 管理口应该能独立访问。
- 软路由的配置有没有导出备份，能不能在十分钟内恢复到一台物理设备上？
网卡规划
最稳妥的配置是至少两个物理网口：
| 网口 | 用途 |
|---|---|
| 网口 1 | 宿主机管理 + 内网桥接（vmbr0） |
| 网口 2 | 直通给软路由虚拟机作 WAN |
只有一个网口时，需要用 VLAN 划分，交换机也要支持。这个方案配错会让你同时失去管理界面和网络，属于网络进阶的内容。
本分类文章
- OpenWrt 软路由：开源固件，插件生态丰富，资源要求低。
- OPNsense 防火墙：基于 FreeBSD，Web 界面更完整，偏企业防火墙功能（IDS/IPS、Web 代理）。
通用建议
- 勾上 Start at boot，并在
Options → Start/Shutdown order里把它设成最先启动。 - 软路由虚拟机的配置要单独导出备份，不要只依赖 vzdump。
- 直通网卡之后，这台虚拟机就不能快照和迁移了。