屋企 self-hosting 加多部機都冇用：VPS 中轉幾時先值得畀月費
CGNAT、私人 VPN、公開服務，四種接法一次講清
加機解決唔到條寬頻
Home lab 玩到某個位，好多人會繼續加 RAM、SSD 或另一部 mini PC，但遠端連線照樣搞唔掂。XDA 作者 Ty Sherback 就係撞正呢個樽頸。佢租 VPS 跑 NetBird／Headscale 控制層，再用 WireGuard mesh 同 reverse proxy 接返屋企。VPS 有固定公開地址，屋企只要主動連出去，CGNAT 下都可以運作；連線條件許可時，裝置會直接互通，失敗先經 relay，唔代表所有流量長期兜過 VPS。
圖片：Cloudflare
動態 IP 同 CGNAT 差好遠
動態 public IP 麻煩得嚟仍有得搞，DDNS client 可以喺地址改動後更新 DNS。CGNAT 就係 ISP 同多個客戶共用 public IPv4，你控制唔到外層 NAT，router 畫面有 port forwarding 掣都冇用。香港唔同 ISP、屋苑同計劃嘅安排未必一樣，唔應靠品牌名估；可以先比較 router WAN 地址同網上查到嘅地址，再向 ISP 確認有冇 public IPv4、IPv6 或固定 IP 選項。
四種接法，各有啱用場面
只畀自己幾部裝置用，Tailscale 或 WireGuard 通常最省事。 Tailscale 官方資料顯示，裝置會先經 DERP 協調，再嘗試建立直接 WireGuard 連線；遇上較嚴格 NAT 先保持 relay。好處係服務唔使公開畀成個 Internet，代價係每部 client 都要裝軟件，同埋要認真設定 grants／ACL，唔好沿用全開政策。
想分享網頁服務，Cloudflare Tunnel 會幾吸引。 cloudflared 由屋企主動建立 outbound-only tunnel，唔使 public IP，亦唔使開入站 port，仲可以配 Cloudflare Access 做登入限制。不過流量會進入 Cloudflare 嘅信任範圍；Jellyfin、影片庫或大量檔案亦要小心，Cloudflare 官方寫明，如果一般計劃長期用嚟傳影片或者大量大型檔案，Cloudflare 可能會改道，甚至採取其他限制措施。
直接 port forwarding 路徑最短，但條件同責任都最多。 你要有外界連到嘅 public IP，DNS 亦會指向屋企條寬頻；公開咗嘅 app、reverse proxy 同登入頁，都會長期俾自動掃描工具撞入嚟試。至於 VPS 中轉，就適合要固定公開入口、畀冇裝 VPN client 嘅人使用，或者要處理自訂 TCP／UDP 服務嘅情況。佢亦方便集中 TLS、日誌同限流，但連線要多兜一程，機房位置會直接影響延遲。
VPS 會搬走入口，唔會自動補好保安
公開入口搬到 VPS 後，攻擊面仍然存在，而且 VPS 一旦失守，攻擊者可能沿 tunnel 掂到屋企服務。基本設定至少要做到：防火牆預設拒絕入站，只開實際使用嘅 HTTPS 或 WireGuard port；SSH 用 key，關閉密碼同 root 遙距登入，最好只准經私人 VPN 管理；OS、reverse proxy 同容器定期更新。管理介面要另加 MFA 或身份驗證，連線權限按裝置同服務分開，VPS 設定亦要有可還原備份。
每月 5 美元只係一個參考數
原文用每月 5 美元形容成本，但冇列出供應商同完整帳單。以 DigitalOcean 現有價目做市場參考，入門 Droplet 由每月 4 美元起，包 public IPv4 同最少 500GiB outbound transfer，而自動備份要另外收費。揀其他供應商時，亦要逐項睇清楚 IPv4、流量、snapshot 同 DDoS 防護包唔包喺月費；機房近唔近、繁忙時間條路穩唔穩，亦要自己測試，唔可以見到平就直接落單。
私用管理介面先試 Tailscale；小型 HTTP app 可以考慮 Cloudflare Tunnel；要穩定公開入口、自訂協定或自己掌握 reverse proxy，先值得長期畀 VPS 月費。揀好方案後，下一步就係收窄存取權限，同實際測清楚延遲、斷線重連同備份還原。
參考來源
- XDA Developers — A $5-a-month VPS solved every self-hosting problem my home network couldn't — original report
- Tailscale：Connection types — 核對直接連線、peer relay 同 DERP relay 嘅運作及效能分別。
- Tailscale：Access control — 核對 grants／ACL 同最小權限設定。
- Cloudflare Tunnel 官方文件 — 核對 outbound-only tunnel、毋須公開 IP 同防火牆設定。
- Cloudflare：Delivering Videos — 核對一般計劃傳送影片同大量大型檔案嘅限制。
- Ubuntu Server：OpenSSH server — 核對 SSH key 驗證相關保安做法。
- DigitalOcean Droplet Pricing — 用公開價目核對入門 VPS、IPv4、流量同備份收費例子；唔代表供應商推薦。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
