|
|
這篇從「你根本還沒動過路由器的進階設定」開始，做到一個能動、而且驗證得出來的 IoT 網段。
每一步都有「你會看到什麼」。做完第四步能自己確認第四步成功了，才走第五步。看不到預期的輸出就不要往下走，往下走只會讓你分不清是哪一步壞的。
做完這篇你會有什麼
- 一個獨立的 192.168.20.0/24 網段，有自己的 DHCP、自己的 Wi-Fi 名稱
- IoT 裝置連得上網際網路、也能被你的電腦和 Home Assistant 控制
- IoT 裝置主動連你的電腦、NAS、手機一律被擋掉
- 四個可以親手跑一次的驗證指令，每個都有標準答案
這篇只做「一個 IoT 網段」。四個網段、攝影機完全斷網、逐條防火牆規則那些，是另一篇的事 —— 但你照這篇做完就已經有一個能用的隔離網路了，不需要先去看別篇。
---
為什麼要做這件事
同一個網段的意思是任何一台裝置可以直接連到其他每一台。你的智能插座和你的 NAS 之間，沒有任何東西擋著。
便宜的 Wi-Fi 智能裝置是整個家裡最弱的一環：韌體幾年沒更新、預設帳密可能沒改、廠商倒了就再也不會修。一台被打下來，攻擊者就站在你的內網裡，可以掃到 NAS 的 SMB、電腦的遠端桌面、路由器的管理頁。
分網段不是「防止它被入侵」，是「被入侵之後損失範圍有限」。
哪些裝置真的需要隔離
- 需要隔離：Wi-Fi 的雲端插座、雲端燈泡、網路攝影機、智慧電視、雜牌的 Wi-Fi 感測器
- 比較不急：ESPHome 自己燒的裝置（韌體你自己掌控）
- 根本不在 IP 網路上：Zigbee、Z-Wave、藍牙裝置。它們不走 Wi-Fi，只有網關需要 IP。把網關搬進 IoT 網段，底下幾十個裝置就一起隔離了
---
第一步：確認你的路由器做不做得到
先做這一步，不然你會在第三步發現設備不支援，前面全白做。
打開路由器的管理網頁，找這三樣東西其中之一：
- 「VLAN」分頁（在「網路」「介面」「交換器」底下）
- 能新增第二個 SSID 並指定它走哪個網路（不是「訪客網路」那個現成的開關，是可以自己選網路的那種）
- 能自訂防火牆規則（不是只有「開啟／關閉防火牆」）
三樣都找不到，你的路由器就是做不到。三條出路：
- 查它能不能刷 OpenWrt —— 到 openwrt.org 的 Table of Hardware 搜你的型號。刷得動的話這是最省錢的路
- 買一台二手的 MikroTik hEX 或 hAP —— RouterOS 全系列都支援 VLAN，入門款兩千元以內
- 用「雙路由器」的土法 —— 不用 VLAN 也能隔離，本篇最後有完整做法
你會看到什麼
OpenWrt 的話，SSH 進去跑：
正常會回：
- {
- "kernel": "6.6.144",
- "hostname": "OpenWrt",
- "model": "Xiaomi Redmi Router AX6S",
- "board_name": "xiaomi,redmi-router-ax6s",
- "release": {
- "distribution": "OpenWrt",
- "version": "25.12.5",
- "target": "mediatek/filogic"
- }
- }
version 是 25.12.x 的話，後面的指令直接照抄。
version 是 24.10.x 或更舊：設定檔語法一模一樣，但安裝套件的指令要把 apk 換回 opkg（25.12.0 起套件管理員從 opkg 換成 apk）。另外 24.10 的安全更新在 2026 年 9 月之後就結束了，方便的話升上 25.12。
version 是 19.07 或更舊：那是 swconfig 時代，管理頁會有一個「交換器（Switch）」分頁。本篇的 bridge-vlan 語法在那裡不能用，請先升級。
RouterOS 的話，在終端機跑：
看 version 那行，本篇用的是 7.24.4（2026-09-16 的 stable）。只要是 7.16 以上，指令都照抄就好。
---
第二步：先把規劃寫下來（紙上五分鐘，省掉之後兩小時）
最小可行版只需要兩個網段：
- VLAN 1 192.168.1.0/24 主網段 電腦、手機、NAS、Home Assistant
- 閘道 192.168.1.1
- VLAN 20 192.168.20.0/24 IoT 插座、燈、攝影機、電視
- 閘道 192.168.20.1
三個一定要先決定的事
- Home Assistant 放主網段。放 IoT 網段的話，你每次從手機開 HA 都要再穿一次防火牆，麻煩得多
- VLAN ID 不要用 0 和 4095（保留值），也避開 1（很多設備把 1 當預設未標籤 VLAN，混用容易出怪事）。20、30、40 是安全的選擇
- 網段第三碼跟 VLAN ID 對齊（VLAN 20 配 192.168.20.x）。這純粹是為了你半年後看 log 時一眼認得出來
---
第三步（OpenWrt）：建立 VLAN
先做一件事：備份。
- sysupgrade -b /tmp/backup-before-vlan.tar.gz
然後用 scp 把它拉到你的電腦上。設定改壞的時候，這個檔案是你唯一不用按 reset 鍵的路。
接著編輯 /etc/config/network。用 vi 或是先 scp 下來改。找到 `config device` 裡 name 是 `br-lan` 的那一段，改成下面這樣（連接埠名稱要照你自己機器上的，不要照抄我的 lan1～lan4，下面會教怎麼查）：
|
|
加入惟家 LINE 群
窺視卡
雷達卡
發表於 2026-9-21 13:41:02
提升卡
置頂卡
沉默卡
喧囂卡
變色卡
千斤頂
照妖鏡