把摄像头和音箱隔开：家庭IoT子网隔离怎么一步步做到位

为什么 IoT 设备最该被单独隔离

智能家居越装越多，摄像头、智能音箱、扫地机器人、智能插座全都连上了家里的 Wi-Fi。很多人没想到的是，这些设备恰恰是家庭网络里最脆弱的一环：厂商固件更新慢、部分产品默认弱口令、有些甚至依赖境外云服务器，一旦厂商停止维护，设备就成了无人修补的"敞口"。更危险的是，它们和你主力的手机、电脑、NAS 往往处在同一个局域网里。只要有一台 IoT 设备被攻破，攻击者就能以此为跳板，横向摸到你的电脑和 NAS。所以家庭网络安全的第一课，不是买多贵的路由器，而是先把"该隔离的设备"隔开——让摄像头和音箱待在一个进不来主网的"笼子"里。

方案 A：独立 SSID / 访客网络（最省事）

如果你不想折腾 VLAN、不想换软路由，最省事的办法是利用路由器自带的"访客网络"或再开一个独立 SSID，专供 IoT 设备连接。绝大多数中高端路由器都支持访客网络，并且可以勾选"禁止访客访问局域网设备"，这样连在访客 Wi-Fi 上的摄像头、音箱就只能上外网，无法访问你主网里的 NAS 和电脑。这个方案几乎零门槛，半小时就能搞定，适合设备不多、对互访要求不高的家庭。它的缺点是"一刀切"：如果你需要在主网手机上控制 IoT 设备，可能会受限于厂商自己的云通道，好在多数智能设备本来就是走云端的，体验影响有限。

方案 B：VLAN 子网隔离（进阶但更彻底）

当你家里的智能设备超过十几台，或者你对"摄像头绝不该碰主网"有执念，就该上 VLAN 了。思路是：在软路由（如 OpenWrt、爱快）或支持 VLAN 的 AP 上，划出一个专门的 IoT 子网，比如 192.168.20.0/24，和主网 192.168.1.0/24 分开。然后写防火墙规则：IoT 子网可以主动访问外网，但外网和主网默认不能主动进 IoT 子网；反过来，主网可以主动去管理 IoT 子网里的设备（比如手机 App 经路由转发控制灯泡）。这样做的妙处是——即便某台摄像头被攻破，它也只能在这个小圈子里扑腾，摸不到你的电脑和 NAS。VLAN 听起来硬核，其实主流软路由的界面都已经把规则做得比较可视化，照着教程配一次就会。

落地细节：这几个坑最容易被忽略

隔离不是划完子网就万事大吉，有几个细节特别容易踩坑。第一，投屏、打印机这类需要"被发现"的设备，依赖 mDNS/SSDP 广播，跨 VLAN 后手机可能搜不到——需要在路由器上开启 mDNS 中转或允许特定发现流量穿透。第二，别把路由器的管理后台对 IoT 子网开放，否则隔离就形同虚设。第三，给 IoT 子网保留"出网更新"的通道，否则设备固件长期不更新，反而更不安全。第四，给 IoT 子网设置独立的强密码，并定期在路由器后台核对"已连接设备清单"，把不认识的设备踢出去。这些细节做好了，隔离才是真正有效的。

把"隔离"变成一种习惯

最好的安全策略是能被长期坚持的。我的习惯是：任何新买的智能设备，默认先连 IoT 专网，确认需要跨网再单独放行；手机、电脑、NAS 永远留在主网；每隔一两个月登录路由器看一眼连接设备，清掉长期不用的陌生终端。慢慢地，隔离就不再是一个"项目"，而成了你家网络的自然状态。家庭智能化本是为了省心，别让它反过来成为隐私和安全的缺口——把 IoT 隔开，你才能真正安心地享受智能生活。