家庭网络该分两个：IoT隔离与VLAN实战

智能灯泡、门锁、摄像头、智能冰箱、智能开关……这些IoT设备正悄悄把你的家庭网络变成一个高风险区域。YouTube频道Network Chuck在最新视频中演示了如何用一台设备划出多个隔离网络，核心结论很明确：你的家需要至少两个网络，而VLAN是让这件事在单个路由器上成为现实的关键技术。

为什么单网络是危险的

视频开篇抛出一个容易被忽视的事实：只要一台设备存在漏洞，熟练的攻击者就能以它为跳板进入整个家庭网络。你无法预知哪台IoT设备存在漏洞，直到它被利用。最坏的情况包括恶意软件在家庭网络中扩散、设备被招募进僵尸网络去攻击医院，或者家庭摄像头画面被直播到互联网上。

IoT安全专家Bogdan给出的建议被反复引用：如果你有相应的网络设备，就把IoT设备隔离出去；如果没有，至少把它们挪到访客网络，这对核心网络安全已经好得多。隔离的逻辑是——即使某台IoT设备被感染或被接管，它也无法触及家庭的其他设备。

VLAN：一台设备变出多个网络

多数家用路由器不支持多网络，这是坏消息。但视频作者用一台日本购买的迷你PC搭建了开源防火墙OpenSense，问题迎刃而解。实现多网络的核心技术是VLAN（Virtual LAN，虚拟局域网）。

VLAN的本质是在一个物理接口上虚拟出额外的网络。操作上，在OpenSense中进入Interfaces → Devices → VLAN，点击加号新建，将父接口设为LAN口，指定VLAN标签（视频中用了13作为用户网络），保存即完成。理论上可以创建数千个额外网络，而只需要那一个物理设备。

关键限制在于：VLAN必须依附于一个物理接口，这个物理端口会被所有VLAN共享。这也解释了后面交换机配置的必要性——多个VLAN的流量需要通过一个“ tagged port”（标记端口，也称trunk端口）来承载。

VLAN（Virtual LAN，虚拟局域网）是IEEE 802.1Q标准定义的第二层网络分段技术。它在以太网帧中插入一个4字节的标签字段，其中12位用于标识VLAN ID（有效范围1-4094，0和4095保留），因此理论上单个物理链路最多可承载4094个逻辑网络。标签只在交换机与路由器等网络设备之间传递，终端设备发出的帧通常不带标签（untagged），由接入交换机根据端口配置打上相应VLAN标签。同一VLAN内的设备在二层直接通信，不同VLAN之间的流量必须经过三层设备（如路由器或防火墙）转发，从而形成天然的隔离边界。这也是文中“跨VLAN访问必须先经过防火墙路由”的技术基础。

交换机：不是随便一台都行

视频特别区分了三类交换机：非管理型交换机只是“网络版的电源插排”，没有大脑；普通管理型可以提供VLAN等配置能力；而作者手头这台QNAP交换机属于“managed light”，配置方式不太直观。

在交换机侧，需要把连接防火墙的端口设为tagged端口，让它同时承载多个VLAN的流量；而接入终端设备的端口则设为untagged，并归属到特定VLAN。终端设备本身完全不需要知道VLAN的存在——打标签的动作全部在交换机上完成。作者在QNAP的界面里一度找不到配置入口，最后发现只需点加号、填入端口号即可，自嘲“是我自己笨”。

Tagged端口与untagged端口是理解VLAN交换机配置的核心概念。Untagged端口（也称access端口）通常连接终端设备，交换机在收到帧时为其打上该端口所属VLAN的标签，发出时再剥离标签，因此终端设备对VLAN完全无感知。Tagged端口（也称trunk端口）则用于交换机与路由器、防火墙或另一台交换机之间的级联链路，它允许多个VLAN的带标签帧同时通过，相当于一条承载多个逻辑网络的“高速公路”。在OpenSense这类防火墙设备上创建VLAN时，父接口对应的物理端口必须在对端交换机上配置为tagged，否则带标签的帧会被丢弃或无法正确识别。配置时还需注意Native VLAN（本征VLAN）的设置，两端不一致可能导致untagged流量归属错误。

让网络真正“能通”的三件套

只创建VLAN还不够。作者用了一整天才搞明白，一个可用的网络需要三样东西：

VLAN接口：在OpenSense的接口分配中为VLAN创建新接口，并赋予IP地址。这相当于给新网络一个可对话的路由器。作者选用了172.16.14.3这个私有地址。

DHCP服务：设备接入网络时需要自动获取IP地址，这由DHCP完成。作者设置了172.16.14.100至172.16.14.200的地址池，子网掩码255.255.255.0，共可分配102个地址，对家庭网络绰绰有余。这里踩了一个大坑——DHCP默认只监听LAN接口，必须在DHCP设置的General标签页里手动勾选新增的接口，否则设备永远拿不到地址。作者坦言这个设置“藏得太深”，最后是借助AI工具排查才发现的。

防火墙规则：OpenSense默认拒绝一切流量，这既是强大之处也是恼人之处。作者为工作网络添加了一条允许访问任意目标的规则后，网络才真正连通。

DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）负责在设备接入网络时自动分配IP地址、子网掩码、默认网关和DNS服务器等参数。其工作流程通常概括为DORA四步：Discover（客户端广播寻找服务器）、Offer（服务器提供可用地址）、Request（客户端请求该地址）、Acknowledge（服务器确认租约）。DHCP服务器默认往往只绑定在特定接口上监听，当新增VLAN接口后，必须在服务配置中显式启用该接口，否则来自新网段的Discover广播不会被响应，设备就表现为“连上了却拿不到IP”。地址池的大小由子网掩码决定，例如/24子网提供254个可用主机地址，文中设置的100–200范围则是从中划出一段供DHCP动态分配，剩余地址可保留给静态设备。

隔离验证：IoT网络被成功封锁

配置完成后，作者做了一个更聪明的设计：创建一个别名（alias），把家庭的其他私有网络归为一组，然后为IoT网络设置规则——任何来自IoT接口、试图访问该别名组的流量一律阻止。

测试结果是决定性的：IoT网络中的设备无法ping通主网络中的任何设备。尽管它们物理上连接在同一台交换机、甚至同一台防火墙上，跨VLAN的访问必须先经过防火墙路由，而规则明确拒绝。视频中的原话是——“我们成功在这台设备上部署了独立网络，它与其它网络完全隔离，IoT设备再也无法攻击我们了。”

视频还提到一个值得注意的细节：作者让运行在树莓派上的AI代理（名为“pig”）接入了防火墙和交换机，为后续自动化管理埋下伏笔。不过Wi-Fi部分尚未覆盖，留待下一集解决。

防火墙中的“别名”（alias）是OpenSense/pfSense体系里的一种命名对象，可以把一组IP地址、子网或端口归纳为一个逻辑名称，供规则引用。它的价值在于可维护性：当家庭网络增加新的私有网段时，只需更新别名成员，所有引用该别名的阻止规则会自动生效，无需逐条修改。文中将家庭其他私有网络归入一个别名，再为IoT接口设置“目标为该别名则阻止”的规则，实际上构建了一条默认拒绝、按需放行的最小权限策略。需要注意的是，防火墙规则通常按从上到下的顺序匹配，第一条命中即生效，因此阻止规则应放在放行规则之前，或利用接口级的默认拒绝策略配合显式放行来实现。

对普通家庭的启示

这套方案的门槛在于需要一台能跑OpenSense的设备和支持VLAN的交换机，并非即插即用。但它揭示的原则对所有家庭都适用：IoT设备不应该与承载工作和隐私数据的设备处在同一个网络平面。没有专业设备时，路由器自带的访客网络就是最低成本的隔离手段。视频中引用的另一个数据点同样值得警惕——攻击者现在更多是“直接登录”而非“入侵”，而被窃取的信息往往就来自终端设备上的信息窃取恶意软件。网络安全是分层的事，网络隔离只是其中一层。