家里的设备能不能乱打电话？用路由器和软路由管好谁可以去哪

我们习惯了在路由器上挡住外面的攻击，却很少想过：家里的智能插座、摄像头，甚至那台中了招的电脑，可能正悄悄向外发起连接。回传使用数据、连上控制服务器、甚至参与僵尸网络，这些出了门的数据，往往没人管。本文聊聊怎么用路由器和软路由，把家庭网络的出关口也守起来。

为什么只防进来不够

绝大多数家庭路由器的默认策略是：外网进内网一律挡，内网出外网一律放。这套思路防住了大部分外来扫描，却留下一个盲区。一台被入侵的摄像头可以主动把画面推到境外服务器；一个偷偷回传使用习惯的 IoT 设备会把你的作息卖出去；一台中了木马的电脑会安静地连接控制端等待指令。问题的根子在默认放行——只要是从家里往外发的包，网关基本不拦。

出站管控到底管什么

企业网络常用默认拒绝，只允许白名单里的流量出门。但家庭直接照搬会寸步难行：系统更新、时间同步、各种服务都要联网，一刀切只会让设备变砖。更务实的做法是三层组合。

第一层是黑名单，阻断已知恶意域名和 IP，把常见的控制服务器、矿池地址挡在门外。第二层是关键设备白名单，给摄像头、智能音箱这类只该连特定服务的设备，限制它们只能访问必要的地址。第三层是记录异常外联，用来发现已经被入侵的主机——当你看到某台设备半夜三点在连一个陌生境外地址，就该警觉了。

在路由器上怎么落地

普通家用路由器少数带访问限制或家长控制，能按域名或 IP 做简单阻断，但粒度粗、维护麻烦，只能算入门。真正好用的是软路由，OpenWrt、爱快或 pfSense 都能在防火墙里写出站规则，把内网区到外网区的特定目标直接 reject。

更顺手的玩法是和服务联动。还记得之前聊过的家庭 DNS 加密与过滤吗，把域名拦截放在 DNS 层，让恶意域名在解析这一步就解析不到；再用防火墙拦 IP 和端口，两层互补。这样即使设备硬编码了 IP，也还有第二道关卡。

几个容易踩的坑

只拦域名不拦 IP 是最常见的疏漏，很多恶意程序会直连 IP 绕过 DNS，所以黑名单和防火墙要一起上。其次是别误杀正常服务，时间同步用的 NTP、系统更新、证书校验都依赖出网，拦错了设备会时间错乱或无法升级。再就是给 IoT 设备做白名单前，先摸清它到底连谁，否则可能把摄像头正常的云端存储一起掐掉。最后，出网日志量很大，建议只记录被拦截的事件和新出现的陌生目标，全量存储既占空间也没人看。

出站管控不是要把你变成公司网管，而是给家庭网络加一道设备不能随便出门的关卡。把它和入站防护、VLAN 隔离、DNS 加密放在一起，才算给家里搭起一个比较完整的网络安全底座。