VLAN 從零開始：把 IoT 裝置關進獨立網段的第一個可動設定（OpenWrt／RouterOS 完整步驟）

charles

這篇的內容（26 段）

1. 做完這篇你會有什麼
2. 為什麼要做這件事
3. 哪些裝置真的需要隔離
4. 你會看到什麼
5. 三個一定要先決定的事
6. 第三步（OpenWrt）：建立 VLAN
7. 第五步（OpenWrt）：防火牆
8. 三件事一定要照做
9. 第七步：套用設定
10. 檢查一：VLAN 表真的建起來了
11. 檢查五：反向要通
12. RouterOS（MikroTik）的完整做法
13. 第一件事：開 Safe Mode
14. 第二步：建立 VLAN 表
15. 第三步：建立 VLAN 介面與 IP
16. 第四步：DHCP
17. 第七步：最後才開 vlan-filtering
18. 你會看到什麼
19. 第二步：改它的 LAN IP
20. 第三步：確認它的 DHCP 是開的
21. 第六步：驗證
22. 搬一台裝置的實際動作
23. 兩個立刻可以用的解法
24. 你會看到什麼
25. 常見症狀對照表
26. 自我檢查

這篇從「你根本還沒動過路由器的進階設定」開始，做到一個能動、而且驗證得出來的 IoT 網段。

每一步都有「你會看到什麼」。做完第四步能自己確認第四步成功了，才走第五步。看不到預期的輸出就不要往下走，往下走只會讓你分不清是哪一步壞的。



做完這篇你會有什麼

• 一個獨立的 192.168.20.0/24 網段，有自己的 DHCP、自己的 Wi-Fi 名稱
  
• IoT 裝置連得上網際網路、也能被你的電腦和 Home Assistant 控制
  
• IoT 裝置主動連你的電腦、NAS、手機一律被擋掉
  
• 四個可以親手跑一次的驗證指令，每個都有標準答案
  

這篇只做「一個 IoT 網段」。四個網段、攝影機完全斷網、逐條防火牆規則那些，是另一篇的事 —— 但你照這篇做完就已經有一個能用的隔離網路了，不需要先去看別篇。

---

為什麼要做這件事

同一個網段的意思是任何一台裝置可以直接連到其他每一台。你的智能插座和你的 NAS 之間，沒有任何東西擋著。

便宜的 Wi-Fi 智能裝置是整個家裡最弱的一環：韌體幾年沒更新、預設帳密可能沒改、廠商倒了就再也不會修。一台被打下來，攻擊者就站在你的內網裡，可以掃到 NAS 的 SMB、電腦的遠端桌面、路由器的管理頁。

分網段不是「防止它被入侵」，是「被入侵之後損失範圍有限」。

哪些裝置真的需要隔離

• 需要隔離：Wi-Fi 的雲端插座、雲端燈泡、網路攝影機、智慧電視、雜牌的 Wi-Fi 感測器
  
• 比較不急：ESPHome 自己燒的裝置（韌體你自己掌控）
  
• 根本不在 IP 網路上：Zigbee、Z-Wave、藍牙裝置。它們不走 Wi-Fi，只有網關需要 IP。把網關搬進 IoT 網段，底下幾十個裝置就一起隔離了
  

---

第一步：確認你的路由器做不做得到

先做這一步，不然你會在第三步發現設備不支援，前面全白做。

打開路由器的管理網頁，找這三樣東西其中之一：

• 「VLAN」分頁（在「網路」「介面」「交換器」底下）
  
• 能新增第二個 SSID 並指定它走哪個網路（不是「訪客網路」那個現成的開關，是可以自己選網路的那種）
  
• 能自訂防火牆規則（不是只有「開啟／關閉防火牆」）
  

三樣都找不到，你的路由器就是做不到。三條出路：

• 查它能不能刷 OpenWrt —— 到 openwrt.org 的 Table of Hardware 搜你的型號。刷得動的話這是最省錢的路
  
• 買一台二手的 MikroTik hEX 或 hAP —— RouterOS 全系列都支援 VLAN，入門款兩千元以內
  
• 用「雙路由器」的土法 —— 不用 VLAN 也能隔離，本篇最後有完整做法
  

你會看到什麼

OpenWrt 的話，SSH 進去跑：

1. ubus call system board

複製代碼

正常會回：

1. {
2.         "kernel": "6.6.144",
3.         "hostname": "OpenWrt",
4.         "model": "Xiaomi Redmi Router AX6S",
5.         "board_name": "xiaomi,redmi-router-ax6s",
6.         "release": {
7.                 "distribution": "OpenWrt",
8.                 "version": "25.12.5",
9.                 "target": "mediatek/filogic"
10.         }
11. }

複製代碼

version 是 25.12.x 的話，後面的指令直接照抄。

version 是 24.10.x 或更舊：設定檔語法一模一樣，但安裝套件的指令要把 apk 換回 opkg（25.12.0 起套件管理員從 opkg 換成 apk）。另外 24.10 的安全更新在 2026 年 9 月之後就結束了，方便的話升上 25.12。

version 是 19.07 或更舊：那是 swconfig 時代，管理頁會有一個「交換器（Switch）」分頁。本篇的 bridge-vlan 語法在那裡不能用，請先升級。

RouterOS 的話，在終端機跑：

1. /system resource print

複製代碼

看 version 那行，本篇用的是 7.24.4（2026-09-16 的 stable）。只要是 7.16 以上，指令都照抄就好。

---

第二步：先把規劃寫下來（紙上五分鐘，省掉之後兩小時）

最小可行版只需要兩個網段：

1. VLAN 1    192.168.1.0/24    主網段   電腦、手機、NAS、Home Assistant
2.                                 閘道 192.168.1.1
4. VLAN 20   192.168.20.0/24   IoT     插座、燈、攝影機、電視
5.                                 閘道 192.168.20.1

複製代碼

三個一定要先決定的事

• Home Assistant 放主網段。放 IoT 網段的話，你每次從手機開 HA 都要再穿一次防火牆，麻煩得多
  
• VLAN ID 不要用 0 和 4095（保留值），也避開 1（很多設備把 1 當預設未標籤 VLAN，混用容易出怪事）。20、30、40 是安全的選擇
  
• 網段第三碼跟 VLAN ID 對齊（VLAN 20 配 192.168.20.x）。這純粹是為了你半年後看 log 時一眼認得出來
  

---



第三步（OpenWrt）：建立 VLAN

先做一件事：備份。

1. sysupgrade -b /tmp/backup-before-vlan.tar.gz

複製代碼

然後用 scp 把它拉到你的電腦上。設定改壞的時候，這個檔案是你唯一不用按 reset 鍵的路。

接著編輯 /etc/config/network。用 vi 或是先 scp 下來改。找到 `config device` 裡 name 是 `br-lan` 的那一段，改成下面這樣（連接埠名稱要照你自己機器上的，不要照抄我的 lan1～lan4，下面會教怎麼查）：

以下還有約 83% 的內容
登入後即可閱讀完整教學

登入繼續閱讀使用 Google 登入