家庭网络分段：VLAN 隔离摄像头与物联网

摄像头固件更新随缘、智能灯泡连着厂商云、访客张口就要 Wi-Fi——这些东西和 NAS、电脑待在同一二层，我越想越不舒服。VLAN 不是企业专享，家庭用三个网段就够。这篇按真实改造顺序写：从一张原则纸，到 trunk 打通，再到设备迁移与「打印机为什么突然找不到」，而不是先丢一份厂商型号清单。

第零阶段：只写原则，不插网线

动手前先在笔记里写死四条，后续所有防火墙规则都对照它们，而不是对照某次购物车：

1. IoT 默认不能访问受信网段
2. 受信可以按需访问 IoT（管摄像头、浇水）
3. 访客只能上网，不能碰 NAS 与管理地址
4. 各网段可以上网，DNS 尽量指向自家 AdGuard

型号会变，原则不变。很多教程一上来列交换机端口图，却不写「谁允许谁」，结果规则表越补越像意大利面。

目标逻辑拓扑也在这阶段定稿：VLAN 10 受信（电脑、手机、NAS 管理），VLAN 20 IoT/摄像头，VLAN 30 访客。网关是 OpenWrt 或其它支持 VLAN 的路由；交换机支持 802.1Q；AP 多 SSID 映射不同 VLAN。

第一阶段：路由与交换机，先通后严

周末上午只动基础设施。路由上建立三个 VLAN 接口与 DHCP 池，地址段错开，管理口仍留在自己熟悉的段，避免把自己锁在外。交换机 uplink 打 trunk，放行 10/20/30；接 AP 的口同样 trunk；接有线电脑的口先保持 access 在 VLAN 10，别图省事全 trunk。

这一阶段防火墙可以先宽一点，只保证三网能上网、网关可达，方便用笔记本挂不同 SSID 测 DHCP 与出网。宽是临时的，笔记里写上「阶段一出口策略待收紧」，防止宽规则过夜变永久。

第二阶段：无线 SSID 与「次要设备」试点

建立 SSID「IoT」与「Guest」，分别绑定 VLAN 20/30。先把自己的旧平板、备用手机扔进 IoT 网，确认：能上网、默认路由与 DNS 正确、从 IoT ping 不通 NAS 管理地址（若此时规则已初装）。访客网用隔离选项，禁止客户互通（按 AP 能力开启）。

试点的意义是用低沉没成本设备暴露问题：门户认证要不要、速率是否被错误限速、IPv6 是否绕过了你只写在 IPv4 上的规则。IPv6 若暂无把握，可在该 SSID 上先关，避免「v4 隔离、v6 裸奔」。

第三阶段：摄像头与 NVR 迁移

摄像头逐个改连 IoT SSID 或 IoT 有线口，每迁一台就在 Frigate/NVR 上确认拉流。防火墙在此阶段收紧为稳定态：IoT → 受信 默认拒绝；受信 → IoT 允许必要端口（例如摄像头 HTTP/RTSP 所在端口，按实际最小放行）；IoT → 互联网允许，但 53 出站可限制为仅 AdGuard，减少硬编码 DNS 绕过。

不要周末下午一次性把全家摄像头踢下线再调两小时。迁移窗口选没人盯着监控回放的时段，并保留一台摄像头暂留旧网作对照，出问题有「仍在工作的参考系」。

第四阶段：打印机、投屏与广播的账单

跨 VLAN 后，mDNS/广播类发现会断：AirPlay、部分打印机、智能音箱「找设备」失效。这不是配置写错的充分证据，而是隔离的账单。处理策略按优先级：

• 打印机放受信网，或接受「受信设备手动加 IP 打印」
• 投屏设备与电视同网段
• 不为了完美零配置而把 IoT 与受信重新桥成一个广播域

若强行做 mDNS 反射，要清楚自己在重新打洞，规则要写得比「全部放行 5353」更细，否则隔离名存实亡。

第五阶段：观察一周再碰关键设备

关键电脑与 NAS 管理面最后迁，或根本留在 VLAN 10 不动，只把「不该受信」的东西迁出。观察期看三件事：夜间 IoT 异常外联是否变少、访客码是否可安心分享、家人投诉里有多少是真故障多少是习惯（电视换 SSID 后要重新投屏一次）。

DNS 侧：各网段 DHCP 下发 AdGuard；交换机口角色固定——AP trunk、终端 access——并在文档里画最终图。阶段记录保留「何时放宽过哪条规则」，方便一周后回查有没有临时口子忘了关。做完后的体感是：扫摄像头的样本流量进不了 NAS 网段；访客要密码时不再犹豫。复杂度上升一截，换来的是爆破面分层。家庭安全很少靠一个神设备，多靠别把所有鸡蛋放在一个广播域；而改造能落地，靠的是分阶段，而不是某个周六的豪赌。