把 IoT 裝置關進獨立網段：為什麼要做、怎麼做

charles

你家那個三百塊的智能插座，韌體可能三年沒更新過了。

如果它被入侵，攻擊者就站在你家內網裡 ——
可以掃描你的電腦、NAS、看到你所有的分享資料夾。



■ 先說這值不值得做

老實說：對大部分家庭來說，這是「進階」而不是「必要」。

但如果你有以下情況，強烈建議做：

• 家裡有攝影機（尤其是便宜的雜牌）
  
• NAS 上有重要或私密資料
  
• 在家工作，電腦裡有公司的東西
  
• 裝置數量超過二三十個
  

■ 基本概念

把家裡的網路分成兩塊：

• 主網段（例如 192.168.1.x）—— 手機、電腦、NAS
  
• IoT 網段（例如 192.168.20.x）—— 所有智能家居裝置
  

然後設定防火牆：
IoT 網段「不能主動連」到主網段，但主網段可以連到 IoT。

這樣你控制得到它們，它們卻碰不到你的重要資料。

■ 怎麼做

路由器有支援 VLAN 的話（華碩部分型號、Ubiquiti、OpenWrt、pfSense、軟路由）
直接建一個 VLAN 和對應的 SSID。

一般家用路由器可以用訪客網路達到類似效果 ——
訪客網路預設就是隔離的。但要注意它通常也會擋掉你的手機去控制它們。

■ 最大的坑：mDNS

這是做完 VLAN 之後最常遇到的問題。

很多裝置靠 mDNS 廣播 被發現（HomeKit、Chromecast、ESPHome、Sonos、印表機）。
而 mDNS 廣播預設不會跨網段。

結果就是：裝置明明在線上，但 HA 就是掃不到。

解法：在路由器開啟 mDNS Repeater / Reflector（有的叫 Bonjour 轉發、Avahi）。
讓廣播能在兩個網段之間傳遞。

■ HA 要放哪邊？

放主網段。

然後開放「主網段 → IoT 網段」的存取。
這樣 HA 控制得到所有裝置，但 IoT 裝置連不回來。

■ 實際做完的感受

設定的時候會很煩（尤其是 mDNS 那關），
但設好之後就不用再管了，而且心裡踏實很多。

建議挑一個週末，一次做完。不要做一半放著，會更亂。

有人做了 VLAN 隔離嗎？用什麼路由器？