家庭网络分段：VLAN 能解决什么，不能解决什么

智能灯泡、摄像头、扫地机这些设备固件质量参差，放在同一网段等于给自己埋雷。

VLAN 把它们隔离出去，即使被攻陷也碰不到 NAS 和电脑。

先说结论

按「可信度」分段，不是按房间。 IoT、访客、内网三张网足够家用。

• IoT 段只允许访问外网与必要端口
• 访客段完全隔离内网
• 内网段可访问全部
• 规则默认拒绝，按需放行

先看清需求

VLAN 是二层隔离，跨网段通信需要三层路由与防火墙规则，两者要一起配。

家用的难点在「无线怎么打标签」：需要支持多 SSID + VLAN 的 AP。

怎么落地

按这个顺序做，能少买错东西：

• 划分三段：LAN（可信）、IOT（半可信）、GUEST（不可信）
• 在交换机上配置 VLAN 与 trunk 口
• AP 上为每个 SSID 绑定 VLAN
• 路由器上配置各网段网关与 DHCP
• 防火墙默认拒绝，按需放行（如 IoT 访问 NTP/DNS）

参数与取舍

把关键规格摆在一起对比：

几个容易踩的坑

下面这些是最常见的错误做法：

• 只划 VLAN 不配规则：等于没隔离
• IoT 段允许访问内网：失去意义
• DHCP 冲突：多个网段共用地址池
• 忘记放行 mDNS：投屏与打印失效

买之前想清楚

分段的收益是「缩小爆炸半径」，配置成本不高，值得做。

硬件不是越强越好，是「刚好够用 + 留一点余量」最舒服。