路由器沒有 VLAN 也能隔離 IoT：訪客網路與雙路由器兩條完整路線，含四項驗證與 mDNS 的取捨

charles

這篇的內容（19 段）

1. 做完這篇你會有什麼
2. 先講清楚這件事在防什麼
3. 第三類：根本不在 IP 網路上
4. 把表填出來
5. A-1 設定訪客網路
6. 你會看到什麼
7. A-2 把第一類裝置搬過去
8. B-1 設定第二台路由器
9. B-2 接線
10. 你會看到什麼
11. 情況 1：R2 是 OpenWrt
12. 你會看到什麼
13. 你會看到什麼（正確）
14. 你會看到什麼（正確）
15. 你會看到什麼（正確）
16. 三種處理方式
17. 步驟 8：做壞了怎麼回退
18. 什麼時候該直接換設備
19. 最後：先分類，不要先動手

你家那個三百塊的智能插座，韌體可能三年沒更新過了。如果它被入侵，攻擊者就站在你家內網裡，可以掃描你的電腦、NAS、看到所有的分享資料夾。

隔離的標準做法是 VLAN，但大多數人家裡的路由器根本沒有 VLAN 功能，而且也不想為了這件事去刷韌體或買新設備。

這篇給的是用你現有的設備就能做的兩條路。每一步都有「你會看到什麼」，最後有四項親手跑得出來的驗證，每項都有標準答案。做完步驟 5 的驗證確認隔離成立了，才去處理步驟 6 的 mDNS。



做完這篇你會有什麼

• 一張分類表：你家哪些裝置該隔離、哪些隔離了會壞掉
  
• 一個實際生效的隔離，不管你的路由器有沒有 VLAN
  
• 四個可以親手跑的驗證指令，每個都有標準答案
  
• 一份「隔離之後會壞掉的東西」清單，以及每一項的處理方式
  
• 一個明確的回退步驟（做壞了怎麼救）
  

---

先講清楚這件事在防什麼

同一個網段的意思是任何一台裝置可以直接連到其他每一台。你的智能插座和你的 NAS 之間，沒有任何東西擋著。

便宜的 Wi-Fi 智能裝置是整個家裡最弱的一環：韌體幾年沒更新、預設帳密可能沒改、廠商倒了就再也不會修。一台被打下來，攻擊者就能掃到 NAS 的 SMB 分享、電腦的遠端桌面、路由器的管理頁。

分網段不是「防止它被入侵」，是「被入侵之後損失範圍有限」。

老實說，這對大部分家庭是「進階」而不是「必要」。符合下面任一項才值得花這個時間：

• 家裡有網路攝影機（尤其是便宜的雜牌）
  
• NAS 上有重要或私密資料
  
• 在家工作，電腦裡有公司的東西
  
• 裝置數量超過二三十個
  

---

步驟 1：先把裝置分成三類（這一步決定你能用哪條路）

不要一口氣把所有 IoT 丟到隔離側，那會讓一半的東西壞掉，然後你會在半夜把整個設定拆掉。

打開你的路由器管理頁，找「已連線裝置」或「用戶端清單」，把每一台歸到下面三類。

第一類：可以安心隔離（純上雲，不需要跟你的手機在本地互動）

• 網路攝影機（用 App 看的那種，走雲端）
  
• Wi-Fi 智能插座、Wi-Fi 智能燈泡（Tuya / 小米 / 雲端控制的）
  
• 空氣清淨機、除濕機、掃地機器人
  
• 智慧電視（只用它的串流 App 的話）
  

第二類：隔離之後會壞掉（需要跟手機在同一個網段做本地發現）

• AirPlay 裝置（Apple TV、HomePod、支援 AirPlay 的喇叭與電視）
  
• Chromecast / Google TV
  
• HomeKit 裝置
  
• Sonos
  
• AirPrint 印表機
  
• 螢幕鏡射（Miracast、投影）
  
• ESPHome 自燒的裝置（它的自動發現走 mDNS）
  

第三類：根本不在 IP 網路上

• Zigbee、Z-Wave、藍牙、Thread 裝置
  
• 它們不走 Wi-Fi，只有「網關」需要 IP
  
• 所以把網關搬進隔離側，底下幾十個裝置就一起隔離了——這是投資報酬率最高的一步
  

把表填出來

1. 裝置名稱          IP              類別    要隔離嗎
2. 客廳攝影機        192.168.1.51    1       要
3. 陽台攝影機        192.168.1.52    1       要
4. Zigbee 網關       192.168.1.60    3(網關) 要 ← 一次帶走 20 個子裝置
5. 客廳智能插座x4    192.168.1.7x    1       要
6. Apple TV          192.168.1.40    2       【不要】
7. 印表機            192.168.1.45    2       【不要】
8. ESPHome 溫度計x6  192.168.1.8x    2       【不要】（韌體你自己掌控，風險低）
9. Home Assistant    192.168.1.20    -       留主網段
10. NAS               192.168.1.30    -       留主網段

複製代碼

一個關鍵的判斷：ESPHome 自己燒的裝置風險其實很低（韌體是你自己編譯的、沒有雲端連線、沒有預設帳密），而它們隔離之後最麻煩。優先級低，先留在主網段。

---

步驟 2：判斷你的路由器屬於哪一級

登入你的路由器管理頁（通常是 192.168.1.1 或 192.168.0.1），找這幾樣東西。

你會看到什麼，以及對應哪條路

• 有「VLAN」分頁，或是能新增第二個 SSID 並指定它走哪個網路（不是現成的訪客網路開關，是可以自己選網路的那種）→ 你其實有 VLAN 能力，可以走完整的 VLAN 設定，效果最好
  
• 只有「訪客網路」開關，沒有 VLAN 分頁 → 走路線 A（多數華碩、TP-Link、D-Link 家用機種都是這一級）
  
• 連訪客網路都沒有，或是訪客網路的隔離做得太徹底（連你的手機都控制不了） → 走路線 B
  

順便檢查一件事：訪客網路的設定裡有沒有一個選項叫「允許存取內部網路」或「Access Intranet」。

• 這個選項是關的：訪客網路是隔離的，正合我意
  
• 這個選項是開的：那訪客網路等於沒有隔離效果，要把它關掉
  
• 找不到這個選項：多數廠商預設是隔離的，但你不能假設，步驟 5 會實際驗證
  

---

路線 A：用訪客網路（15 分鐘，零成本）

適用：路由器有訪客網路功能，而且你的第一類裝置不多。

A-1 設定訪客網路

• 登入路由器 → 無線網路 → 訪客網路 / Guest Network
  
• 開啟 2.4GHz 的訪客網路（大部分 IoT 裝置只支援 2.4GHz，不要只開 5GHz）
  
• SSID 取一個好認的名字，例如 MyHome-IoT
  
• 加密選 WPA2-PSK（不要用 WPA3，很多便宜的 IoT 晶片不支援，連不上而且不會告訴你為什麼）
  
• 密碼設一組長的
  
• 「允許存取內部網路」要關掉
  
• 存取時限 / 有效期間：選無限制（預設常常是 4 小時或 1 天，時間到 IoT 就全部掉線）
  

你會看到什麼

手機的 Wi-Fi 清單裡多出一個 MyHome-IoT。用手機連上去之後，看一下手機拿到的 IP：

以下還有約 80% 的內容
登入後即可閱讀完整教學

登入繼續閱讀使用 Google 登入