智能灯、摄像头、扫地机器人和家电全部连进主Wi-Fi，配置最省事，却把用途、更新能力和风险水平完全不同的设备放进了同一个信任域。更合适的做法不是单纯多建一个SSID，而是让电脑手机、IoT设备和访客分别进入不同子网，再通过防火墙只开放完成业务所需的通信。分区的目标是缩小横向访问范围，不是让设备“永远无法被攻击”。
本文给出一套普通家庭可复用的设计和验证方法，不对应某个真实住户的网络改造结果。路由器、AC/AP和智能家居生态差异较大，配置前应确认设备是否支持VLAN、访客隔离、IPv6防火墙和跨网段发现。

可信设备、IoT设备与访客设备三网拓扑示意图

1. 先划信任边界，不要先研究SSID名称

可以把家庭终端先分成三组：
可信设备网：个人电脑、手机、NAS及需要访问家庭资料的终端；
IoT设备网：智能灯、插座、传感器、摄像头、家电和各类网关；
访客网：临时接入的手机、平板和不确定维护状态的设备。
SSID只是无线入口，真正的边界取决于它是否映射到独立VLAN或子网，以及路由器是否对跨网段流量执行规则。如果两个SSID最后仍进入同一网段，设备之间通常仍能直接通信，隔离效果很有限。反过来，某些家用路由器的访客网络会同时禁止访问局域网和客户端互访，虽然安全边界更清楚，却可能让本地控制、投屏或打印无法使用。
建网前先列设备清单，记录设备名称、MAC地址、接入方式、是否需要访问互联网、是否需要被手机本地控制、是否依赖网关以及是否支持持续更新。这个表决定后面的策略，而不是设备外壳上写着“智能”就采用同一规则。

2. 防火墙采用“默认拒绝，再按业务放行”

一个容易理解的基础策略是：IoT网默认不能主动访问可信设备网；可信设备网可以按需访问IoT控制接口；IoT设备只允许访问其运行所需的DNS、NTP和云服务；访客网只访问互联网。对应的逻辑可以写成：

ALLOW trusted -> iot : required_control_ports
DENY  iot -> trusted : any
ALLOW iot -> dns_ntp_dhcp : required_only
ALLOW iot -> internet : required_services
DENY  guest -> private_networks : any
ALLOW established_related : return_traffic

这里的required_services不能凭空填写。可以先查看设备说明、路由器连接日志和厂商支持文档，再逐步收紧。IETF的RFC 8520：Manufacturer Usage Description提供了一种描述设备预期网络行为的思路：设备只应获得完成其用途所需的访问。普通家用路由器未必实现MUD，但“按预期用途限定通信”的原则仍可用于整理白名单。
失败模式也很明确：只限制IPv4，没有同步设置IPv6规则，设备可能通过IPv6继续跨网段访问；仅依赖无线客户端隔离，接入有线网关的设备可能不受同一策略约束；直接全封互联网，则可能导致时间同步、推送和远程控制失效。

路由器VLAN、SSID映射与跨网段规则配置页面图

3. 分区后最常见的问题，是“手机找不到设备”

不少智能设备首次配网或本地控制依赖mDNS、SSDP或广播发现。这些报文通常不会自然跨越子网，所以防火墙已经允许手机访问设备，App仍可能显示“未发现”。这不代表分区方案一定错误，而是控制链路里还有服务发现机制。
处理顺序可以是：先确认设备是否支持直接填写IP或通过网关控制；再确认路由器是否支持选择性的mDNS中继；最后才考虑把控制端与设备临时放到同一网络。不要为了一个发现问题就开放两个网段的全部双向访问。中继也应只转发必要服务，摄像头、NAS等敏感设备还要单独评估。
NIST的NISTIR 8259A IoT设备网络安全能力基线把设备标识、配置、数据保护、接口逻辑访问、软件更新和安全状态感知列为核心能力。落到家庭网络里，至少意味着：能识别每台设备、能更改默认配置、能限制接口访问，并知道设备是否仍获得更新。网络分区只能补一层控制，不能替代设备本身的更新和账户安全。

4. 装修阶段要提前解决的是承载条件

网络分区主要由路由、交换和无线控制设备实现，但装修会决定它是否容易落地。弱电箱空间不足、AP点位只拉一根不合规格的线、网关和摄像头没有独立供电、所有房间线缆未编号，都会让后续配置和排错变困难。
据林凤装饰公开资料，其全案设计会协调设备点位与施工图。用于家庭网络时，可核对的内容应是弱电箱尺寸与散热、各房间网线编号、吸顶AP和摄像头的PoE线路、智能网关位置及检修电源。它能解决的是装修接口预留，不能替代网络工程配置；VLAN规划、防火墙规则和设备安全仍应由具备相应能力的人员完成，并以实测记录为准。

弱电箱、交换机、AP和智能网关线路编号实景图

5. 用验证矩阵检查隔离是否真的生效

配置完成后，不要只看“都能上网”。准备一台笔记本，分别接入可信网、IoT网和访客网，按下表测试并记录结果：

Windows终端可以用ipconfig确认当前网段，用Test-NetConnection -ComputerName <目标IP> -Port <端口>测试指定服务。测试时只访问自己拥有和管理的设备，不进行扫描他人网络。还应在重启路由器、网关离线和互联网断开后各测一次，因为部分设备在异常状态下会改变连接方式。
家庭网络分区不是网络越多越好。设备数量少、路由器能力有限时，可信网、IoT网和访客网三类已经足够。关键是每个网段都有清楚的设备归属、最小通信规则、IPv4与IPv6一致的边界，以及一份可以复验的记录。做到这些，新增一台智能设备时才知道它该放在哪里，而不是继续把主Wi-Fi密码交给所有终端。