一台摄像头差点看光工作室：我们用 VLAN 把网络切成四块

周六上午十点，阿哲的工作室来了个客户。对方手机连上工作室 Wi-Fi，没过多久随口问了一句，你们那台 NAS 里是不是存着客户资料。阿哲愣住了，NAS 明明只在办公电脑上挂载过，怎么一部访客手机也能扫到它。查了一圈才明白，问题不在 NAS 的密码上，而在网络本身：工作室所有设备都挤在同一个局域网里，办公电脑、打印机、摄像头、访客手机彼此都能直接访问，谁拿到 Wi-Fi 密码，谁就拿到了整张网的通行证。

这不是什么高深的攻击，只是一张没有分区的网太好逛了。阿哲决定趁周末把网络改造一遍，办法就是 VLAN：把一台物理交换机上的端口按用途分成几个逻辑网络，让不同组的设备互相看不见，只在需要的地方放行。

先弄懂一件事：VLAN 到底隔开了什么

VLAN 是虚拟局域网的缩写，标准是 IEEE 802.1Q。它的做法是在以太网帧上打一个标签，标明这帧属于哪个 VLAN，交换机只把帧转发给同一个 VLAN 的端口。不同 VLAN 之间默认不能直接通信，要互通必须经过路由器或三层交换机做路由（核实日期 2026-11-10）。VLAN 编号的范围是 1 到 4094，其中 0 和 4095 被保留，实际可用的是 1 到 4094（核实日期 2026-11-10）。

换句话说，VLAN 不是给 Wi-Fi 加个密码，而是把一张大网切成几张互不串门的小网。办公电脑在一个 VLAN 里，摄像头在另一个 VLAN 里，访客手机在第三个 VLAN 里，哪怕它们插在同一台交换机上，互相也默认找不到对方。这正是阿哲想要的效果。

改造前他先画了一张表，设备按信任程度分组，而不是按房间分组。信任程度不同，分组就不同，这是整个改造最关键的一步。

表里的 VLAN 99 是特意留出来的。管理口单独放一个 VLAN，意味着访客和摄像头就算拿到内网地址，也摸不到交换机的登录页面。很多家用路由器出厂就把所有端口放在默认的 VLAN 1 里，TP-Link 的官方文档也建议把管理 VLAN 与客户端 VLAN 分开，让客户端连不上管理设备（核实日期 2026-11-10）。

动手之前先看风险：改网络可能让全屋断网

改 VLAN 是改网络配置，操作失误的代价是全屋断网，而且可能把自己锁在交换机外面。动手之前，阿哲先做了三件事。第一，把路由器和交换机现有的配置各导出一份备份，存在电脑和 U 盘两处。第二，确认交换机支持 VLAN：只有可管理型交换机才能划分 VLAN，普通傻瓜交换机没有这个功能，买之前要看官方规格里有没有写支持 802.1Q（核实日期 2026-11-10）。第三，留一条退路：改造全程用有线连交换机，不用 Wi-Fi 操作，万一配错了还能插线改回来；同时记下交换机的复位方法，实在不行恢复出厂重来。

另外要提醒一句，不同品牌交换机的菜单名字不一样，下面说的“创建 VLAN”“端口模式”只是通用叫法，具体位置以你手上设备的说明书为准。阿哲用的是一台入门级可管理交换机，价格和具体型号属于个人选购，未核实同款在你所在地区的售价，买之前以官方商城标价为准。

改造过程：一个周六下午的四步

第一步，在交换机上创建四个 VLAN，编号就按上面那张表来：10、20、30、99。每个 VLAN 配一个网段，比如办公用 192.168.10.0/24，物联网用 192.168.20.0/24，访客用 192.168.30.0/24，管理用 192.168.99.0/24。网段本身没有对错，关键是四个网段互不重叠，记下来贴在交换机旁边。

第二步，给端口分组。办公电脑和 NAS 插的端口划进 VLAN 10，摄像头插的端口划进 VLAN 20，AP 上专门给访客用的那个 SSID 绑定到 VLAN 30。接设备的端口一般设成不带标签的接入模式，交换机收到设备发来的帧就打上对应 VLAN 的标签，发出时再把标签去掉，设备本身不用做任何设置。

第三步，连通交换机和路由器。交换机到路由器那根线要设成干线模式，能同时承载多个 VLAN 的流量，VLAN 之间要不要互通、访客能不能访问内网，都由路由器上的规则说了算。阿哲在路由器上只放行了两条：办公 VLAN 可以访问 NAS 和打印机所在的地址，访客 VLAN 只能上外网，不能访问任何内网地址。其余方向一律不放行。

第四步，加固管理面。把交换机和路由器的管理地址改出默认网段，管理员密码换成单独的长密码，关闭不用的端口和远程管理，固件升到官方最新版。家用路由器自带的访客网络也可以顺手打开，访客连访客 SSID 就行，不用再给主 Wi-Fi 密码。访客网络本身通常自带隔离，但不同型号的隔离开关名字不同，有的叫“终端隔离”，有的叫“访客网络隔离”，找不到就先升级官方固件再查（核实日期 2026-11-10）。

改完怎么验收：四组测试缺一不可

改造完的当晚，阿哲拿着一部手机和一台笔记本，逐项做了验收。办公电脑能打开 NAS，能打印，能上网。访客手机能上网，但搜不到 NAS，也打不开打印机和摄像头的管理页。摄像头能正常推流到手机应用，却 ping 不通办公电脑。最后用管理 VLAN 的地址登录交换机，确认只有办公电脑能打开登录页，访客手机打不开。

四组测试全部通过，这次改造才算完成。有一组没通过，就回到路由器规则里查是哪条放行写错了，别急着把设备挪回原来的网。阿哲还把最终的 VLAN 表、网段和管理员密码存在了只有他能打开的密码管理器里，纸质版锁进抽屉。网络改造最怕的不是配错一次，而是半年后自己也忘了当初怎么配的。

这次改造花掉的钱只有一台入门级可管理交换机，时间是一个周六下午。换来的是一张有边界的网：访客只能上网，摄像头只能干自己的活，办公资料只对办公电脑可见。如果你家也是一张网走天下，不妨先从画一张分组表开始，设备按信任程度分组，分组想清楚了，VLAN 只是把这张表落到交换机上而已。想先从更简单的入手，可以先读本站的家庭物联网防入侵指南，把摄像头和智能设备那一侧先收紧。