家里跑着几台常开设备之后，安全就不再是可选项。这篇文章整理我逐步落实的基线清单。

网络层

默认拒绝入站、按需放行；管理端口不暴露公网，走 VPN 或堡垒机；DNS 层加广告与恶意域名过滤。

主机层

自动安全更新、登录失败封禁、最小权限的容器运行时。重点是不追求一次做完，而是每条都能自动化验证。

检测层

日志集中收集，配合简单的异常登录告警。家庭环境不需要企业级平台，但要保证出事时能看到痕迹。