homelab 自托管技术选型目录

一份 YAML 描述一台机器上的一组容器。没上 K8s 之前的自托管默认形态。

单机容器编排

系统容器 + 虚机管理器，LXD 的社区 fork。比 Proxmox 轻，比 Docker 更像一台机器。

虚拟化

另一个单二进制 Kubernetes 发行版，默认不塞入口与存储插件，比 K3s 更素。

K8s 发行版

单二进制 Kubernetes 发行版，自带 containerd、CNI、入口与存储。homelab 的默认选择。

K8s 发行版

无守护进程的容器引擎，兼容 Docker CLI，rootless 与 systemd 集成是它的主场。

单机容器编排

Debian 上的 KVM + LXC 虚拟化平台，带 Web UI。homelab 里最常见的那台宿主机。

虚拟化

不可变、无 SSH 无 shell 的 Kubernetes 专用操作系统，全部经 API 声明式管理。

K8s 发行版

自托管 DNS：过滤与重写、按客户端规则、查询日志，支持 DoH/DoT 上下游。

DNS

老牌 CNI：可选 iptables 或 eBPF 数据面，原生 BGP，策略能力比 K8s NetworkPolicy 更细。

CNI

K8s 里的证书控制器：CRD 声明域名，它负责向 ACME 或私有 CA 申请与续期。

证书

eBPF 数据面的 CNI：网络策略、kube-proxy 替换、Gateway API 与跨集群互联都在一套里。

CNI、入口

出站长连接把流量拉进内网：不用公网 IP、不开路由器端口，代价是入口归 Cloudflare。

入口

Envoy 官方的 Gateway API 实现：把 Gateway / HTTPRoute 翻译成 Envoy 配置。

入口

读 Service / Ingress / HTTPRoute 上的主机名，自动往 DNS provider 写记录。

DNS

最简的 overlay CNI，只做 Pod 网络互通。K3s 的默认 CNI。

CNI

Tailscale 控制面的第三方开源实现：官方客户端照用，协调服务器换成自己的。

跨机组网

曾经的事实标准入口控制器。2026-03 已退役，不再有版本与安全补丁。

入口

WireGuard 数据面 + 托管控制面的组网层。客户端开源，协调服务器是 SaaS。

跨机组网

配置来自 provider 的反向代理：K8s Ingress / CRD / Gateway API 都认，内置 ACME 签证书。

入口、证书

把已有 NFS 导出接成 StorageClass：多 Pod 共享读写，动态建子目录。

K8s 卷

轻量 S3 兼容对象存储，Rust 写的，无共识协议、面向异地小节点设计。

对象存储

同样是去重加密快照备份，自带 GUI 与调度，压缩与纠错可选。

备份

把节点本地目录做成 PV 的最小 provisioner。K3s 默认存储类，零依赖零副本。

K8s 卷

K8s 原生分布式块存储：卷跨节点多副本、快照、备份到 S3/NFS，自带 UI。

K8s 卷

曾经默认的自托管 S3。开源版先被砍掉管理 UI，随后进入维护模式并归档。

对象存储

去重加密的快照式备份，单二进制，后端从本地盘到 S3/B2/SFTP 全都认。

备份

用 operator 把 Ceph 装进 K8s：块、文件、S3 对象三种接口一套底座。

K8s 卷、对象存储

K8s 层面的备份与迁移：备 API 对象 + PV 数据，可按 namespace 恢复到另一个集群。

备份

给 Argo CD 补上镜像自动更新：轮询仓库，发现新 tag 就改 Application 或写回 Git。

依赖更新

GitOps 控制器：Application 声明「Git 的哪个目录 → 集群的哪个 ns」，持续对账。

持续交付

一组 GitOps 控制器，全部经 CR 配置、没有内置 UI，镜像自动更新是自带能力。

持续交付

Gitea 的社区 fork：自托管 Git 托管 + 兼容 GitHub Actions 的 CI，GPL 授权。

Git 托管、持续集成

轻量自托管 Git 托管：单二进制 + SQLite 就能起，自带 Gitea Actions。

Git 托管、持续集成

带项目、配额、漏洞扫描、签名与代理缓存的镜像仓库。功能全，组件也多。

镜像仓库

K8s 的打包与模板工具：chart + values 渲染成清单，release 状态存在集群里。

清单与打包

不做模板，只做「基础清单 + overlay 补丁」。已内置在 kubectl 里。

清单与打包

扫仓库里的各类依赖清单并开升级 PR：Docker tag、Helm chart、Terraform provider 都认。

依赖更新

Drone 的社区 fork：每步一个容器，挂在 Gitea / Forgejo / GitHub 上做 CI。

持续集成

纯 OCI 镜像仓库：单二进制、无数据库，功能面刻意小。

镜像仓库

把外部密钥后端同步成 K8s Secret：Git 里只留「去哪取」，不留密文。

密钥交付

带 Web UI 的密钥平台：项目/环境模型、审计、K8s operator。核心 MIT，ee/ 目录另授权。

密钥后端

Vault 改 BUSL 之后的 MPL 分支，托管在 Linux Foundation 下，API 大体兼容。

密钥后端

用集群公钥加密后再提交进 Git，只有集群里的控制器能解开。零外部依赖。

密钥交付

只加密 YAML/JSON 的值、保留结构与注释，密钥交给 age 或 KMS。CNCF 项目。

密钥交付

密钥后端的事实标准：动态凭据、租约与审计。2023 年起许可证改为 BUSL。

密钥后端

轻量认证门户：给反向代理提供 forward-auth，也能当 OIDC provider。配置即文件。

入口层认证、身份提供方

以「流程（flow）」为核心的 IdP：登录步骤可视化编排，代理式认证内置。

身份提供方、入口层认证

企业级 IdP 的开源基准：协议与联邦最全，运维面也最重。CNCF 项目。

身份提供方

给没有 SSO 的应用套一层 OIDC 登录：单进程反向代理或 forward-auth 端点。

入口层认证

极简 OIDC provider，只用 passkey 登录，SQLite 单文件。够小到一眼读完。

身份提供方

事件溯源的 IdP：OIDC / SAML / OAuth2、多组织、Actions 钩子，Postgres 单依赖。

身份提供方

Prometheus 告警的路由、去重与发送中枢。grouping / inhibition / silences。

告警

容器资源使用指标采集器。kubelet 内建，配合 Prometheus 抓取。

指标

轻量级日志采集器。内存占用极小，适合边车与嵌入式场景。

日志

轻量错误追踪，Sentry 协议兼容。小团队的低运维替代。

错误追踪

实时 Web 日志分析器。终端或 HTML 报告，零依赖轻量。

日志

自托管消息推送服务器。REST API + WebSocket，Android 客户端。

告警

OTel Collector 的分发版，Grafana 生态一体化采集与路由。

指标、日志、链路

值班与告警编排。轮值表、升级策略、与 Alertmanager 集成。

告警

可观测性可视化层。接 Prometheus / Loki / Tempo 等，看板与告警面板的事实标准。

全家桶

集中式日志管理。采集 + 搜索 + 告警 + 看板，自带 Web UI。

日志

cron 任务心跳监控。没收到 ping 就告警，判定「该跑没跑」。

可用性

CNCF 毕业的分布式链路追踪后端。OTel 采集，支持多种存储后端。

链路

K8s 可观测性全家桶。Prometheus + Alertmanager + Grafana + 开箱告警规则。

全家桶、指标、告警

日志聚合。只索引标签不索引正文，S3 兼容后端，成本远低于 ELK。

日志

实时指标监控，毫秒级粒度。零配置自动采集，附带告警与看板。

指标、可用性

主机指标采集器。CPU / 内存 / 磁盘 / 网络，Prometheus 生态标配。

指标

自托管推送服务。HTTP POST 即推送到手机，支持订阅与访问控制。

告警

全栈可观测性，S3 存储。日志 + 指标 + 链路，声称成本低一个量级。

全家桶、日志、指标、链路

遥测数据的采集、处理与转发中枢。单一 Agent 接 metrics / logs / traces。

全家桶、指标、日志、链路

CNCF 毕业的指标事实标准。拉模型 + PromQL + 本地 TSDB，指标监控的默认选择。

指标、告警

连续性能剖析后端。与 OTel Profiling 集成，火焰图按请求关联。

性能剖析

错误追踪与 APM。异常分组、release 追踪、性能面板，覆盖前后端。

错误追踪、APM

开源可观测性平台。APM + 链路 + 指标 + 日志，OTel 原生。

全家桶、APM、链路、指标、日志

SLO 即代码。从 Prometheus 指标生成 SLO / 错误预算告警规则。

告警、指标

分布式链路后端。对象存储 + TraceQL，与 OTel 协议原生集成。

链路

Prometheus 的横向扩展与长期存储层。全局查询、对象存储、跨集群高可用。

指标

自托管监控面板。HTTP / TCP / ping 探针 + 通知，状态页开箱即用。

可用性

高性能可观测性数据管道。采集 / 转换 / 路由 logs 与 metrics，Rust 编写。

日志、指标

高压缩比、低资源的指标库。PromQL 兼容，单机即可扛很大规模。

指标

运行时威胁检测：按规则匹配内核事件（syscall），发现异常行为就出告警。

运行时防护

用 Rego 写 K8s 准入策略：表达力最强，学习曲线也最陡。

准入与策略

按 CIS Kubernetes Benchmark 逐条检查集群配置，输出通过/失败与修复建议。

扫描与基线

用 YAML 写 K8s 策略：校验、变更（mutate）、生成资源，不用学新语言。

准入与策略

eBPF 运行时可观测与强制：进程、文件、网络事件带 K8s 身份，可在内核里阻断。

运行时防护

一把扫全部：镜像漏洞、IaC 配置、K8s 清单、密钥硬编码、SBOM。CI 里最常见的那个。

扫描与基线

经 SSH 推配置的无 agent 编排工具：装包、改文件、起服务，playbook 即步骤。

主机配置

虚机首启时按元数据自建：用户、SSH 密钥、网络、磁盘扩容。Proxmox 模板的那一半。

主机配置

把云资源变成 K8s CRD：用 kubectl 管数据库和存储桶，控制器持续对账。

声明式基础设施

Terraform 改 BUSL 后的 MPL 分支，托管在 Linux Foundation 下，配置与 provider 通用。

声明式基础设施

用真正的编程语言写基础设施：TypeScript / Python / Go，复用同一批 provider。

声明式基础设施

声明式管云与本地资源的事实标准，provider 生态最大。1.6 起许可证为 BUSL。

声明式基础设施

PostgreSQL operator：主从、故障切换、PITR 备份全交给 CRD。CNCF 项目。

关系库

兼容 Redis 协议的多线程重写，单实例吃满多核。许可证是 BUSL。

缓存

基于 Patroni 的老牌 PostgreSQL operator，自带连接池与用户/库声明。

关系库

内存数据结构服务器的原版。8.0 起三重许可，AGPLv3 是其中的开源选项。

缓存

Redis 改许可后的 BSD 分支，Linux Foundation 托管，协议与命令兼容。

缓存