| name | homelab-vlan-segmentation |
| description | 使用 UniFi、pfSense/OPNsense 和 MikroTik 将家庭网络分段为 VLAN，用于 IoT、访客、可信和服务器流量——包括交换机中继配置、防火墙规则和无线 SSID 映射。 |
| origin | 社区 |
家庭实验室 VLAN 分段
如何将家庭网络分割为隔离的 VLAN，使 IoT 设备、访客和主 PC 无法相互通信。这是家庭网络最有效的安全升级。
此处显示的所有防火墙规则在分段之间添加隔离——它们不会移除现有保护。在维护窗口中应用更改，并在继续之前验证每个步骤后的分段间连接性。
何时使用
- 首次在家庭网络上设置 VLAN
- 将 IoT 设备（智能灯泡、摄像头、电视）与可信设备隔离
- 创建无法到达家庭设备的访客 Wi-Fi 网络
- 向不熟悉 VLAN 概念的人解释其工作原理
- 配置中继端口、接入端口和 SSID 到 VLAN 映射
- 排除 pfSense/OPNsense/UniFi 上的 VLAN 间路由或防火墙规则问题
工作原理
无 VLAN — 扁平网络：
所有设备位于 192.168.1.0/24
智能电视（潜在恶意软件）→ 可以到达您的 NAS、PC、所有设备
使用 VLAN：
VLAN 10 — 可信 192.168.10.0/24 (PC、手机、笔记本电脑)
VLAN 20 — IoT 192.168.20.0/24 (智能电视、灯泡、摄像头)
VLAN 30 — 服务器 192.168.30.0/24 (NAS、Pi、虚拟机)
VLAN 40 — 访客 192.168.40.0/24 (访客 Wi-Fi)
VLAN 99 — 管理 192.168.99.0/24 (交换机/AP Web UI)
智能电视 → 被阻止到达 192.168.10.0/24 和 192.168.30.0/24
访客 → 仅互联网，无法看到任何家庭设备
VLAN 设计模板
VLAN 名称 子网 网关 用途
10 trusted 192.168.10.0/24 192.168.10.1 PC、手机、笔记本电脑
20 iot 192.168.20.0/24 192.168.20.1 智能家居设备
30 servers 192.168.30.0/24 192.168.30.1 NAS、Pi、自托管
40 guest 192.168.40.0/24 192.168.40.1 访客 Wi-Fi
99 management 192.168.99.0/24 192.168.99.1 网络设备 Web UI
示例
带有 UniFi AP 和托管交换机的典型家庭实验室：
场景：3卧室住宅，UniFi Dream Machine + UniFi 8端口交换机 + 2个 AP
VLAN 10 — 可信 192.168.10.0/24 MacBook、iPhone、iPad
VLAN 20 — IoT 192.168.20.0/24 Nest 温控器、Philips Hue、Ring 门铃、智能电视
VLAN 30 — 服务器 192.168.30.0/24 Synology NAS (192.168.30.10)、Pi-hole (192.168.30.2)
VLAN 40 — 访客 192.168.40.0/24 访客 Wi-Fi — 仅互联网
SSID → VLAN 映射：
"Home" → VLAN 10 (WPA2、强密码、仅可信设备)
"IoT" → VLAN 20 (WPA2、单独密码、打印在路由器上用于设置)
"Guest" → VLAN 40 (WPA2、简单密码、可自由分享)
交换机端口行为：
端口 1 → 路由器中继（标记 VLAN 10,20,30,40,99）
端口 2 → AP 中继（标记 VLAN 10,20,40；AP 处理每个 SSID 标记）
端口 3 → 接入 VLAN 30 (NAS — 未标记，无需 VLAN 感知)
端口 4 → 接入 VLAN 30 (Pi-hole — 未标记)
端口 5–8 → 接入 VLAN 10 (有线工作站)
应用的防火墙规则（所有规则添加隔离，不移除现有保护）：
IoT → 可信：阻止
IoT → 服务器：阻止 192.168.30.2:53 例外 (允许 Pi-hole DNS)
IoT → 互联网：允许
访客 → 本地网络：阻止
访客 → 互联网：允许
可信 → 所有地方：允许
UniFi 配置
在 UniFi 控制器中创建网络
设置 → 网络 → 创建新网络
对于每个 VLAN：
名称：IoT
用途：企业 (提供 DHCP + 路由)
VLAN ID：20
网络：192.168.20.0/24
网关 IP：192.168.20.1
DHCP：启用
DHCP 范围：192.168.20.100 – 192.168.20.254
将 SSID 映射到 VLAN (UniFi)
设置 → WiFi → 创建新 WiFi
名称：IoT-Network
密码：<单独密码>
网络：IoT ← 在此处选择您的 VLAN
# 连接到此 SSID 的所有设备都落在 VLAN 20 中
名称：Guest
密码：<访客密码>
网络：Guest
访客策略：启用 ← 也将访客彼此隔离
UniFi 防火墙规则（流量规则）
设置 → 流量和安全性 → 流量规则
# 阻止 IoT 到达可信 VLAN
操作：阻止
类别：本地网络
源：IoT (192.168.20.0/24)
目标：可信 (192.168.10.0/24)
# 仅允许 IoT 到达互联网
操作：允许
源：IoT
目标：互联网
# 阻止访客访问所有本地网络
操作：阻止
源：访客
目标：本地网络
pfSense / OPNsense 配置
创建 VLAN
接口 → 分配 → VLAN → 添加
父接口：em1 (您的 LAN NIC)
VLAN 标签：20
描述：IoT
# 对每个 VLAN 重复，然后将每个 VLAN 分配给接口：
接口 → 分配 → 添加
选择您创建的 VLAN → 点击添加
启用接口，将 IP 设置为网关地址 (192.168.20.1/24)
每个 VLAN 的 DHCP
服务 → DHCP 服务器 → 选择您的 VLAN 接口
启用 DHCP
范围：192.168.20.100 至 192.168.20.254
DNS 服务器：192.168.30.2 ← Pi-hole IP（如果您有）
防火墙规则（pfSense/OPNsense）
# 规则从上到下处理，首先匹配的获胜。
# 在 IoT 接口 (VLAN 20) 上：
规则 1：允许 IoT → Pi-hole DNS ← 必须在 RFC1918 阻止规则之前
协议：UDP/TCP
源：IoT 网络
目标：192.168.30.2 端口 53
操作：允许
规则 2：阻止 IoT → RFC1918 (所有私有 IP 范围)
协议：任何
源：IoT 网络
目标：RFC1918 (192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12)
操作：阻止
规则 3：允许 IoT → 互联网
协议：任何
源：IoT 网络
目标：任何
操作：允许
# 在可信接口 (VLAN 10) 上：
允许所有 (可信设备可以到达所有地方)
源：可信网络
目标：任何
操作：允许
# 需要特定本地服务的 IoT 设备的额外例外：
在规则 2 (RFC1918 阻止) 之前插入：
协议：TCP
源：IoT 网络
目标：192.168.30.x 端口 8123 ← Home Assistant
操作：允许
MikroTik 配置
# 步骤 1：创建启用 VLAN 过滤的网桥
/interface bridge
add name=bridge vlan-filtering=yes
# 步骤 2：将物理端口添加到网桥
# 到路由器/上行链路的中继端口（所有 VLAN 标记）
/interface bridge port
add bridge=bridge interface=ether1 frame-types=admit-only-vlan-tagged
# 可信设备的接入端口（未标记 VLAN 10）
/interface bridge port
add bridge=bridge interface=ether2 pvid=10 frame-types=admit-only-untagged-and-priority-tagged
# IoT 设备的接入端口（未标记 VLAN 20）
/interface bridge port
add bridge=bridge interface=ether3 pvid=20 frame-types=admit-only-untagged-and-priority-tagged
# 步骤 3：定义哪些端口上允许哪些 VLAN
/interface bridge vlan
add bridge=bridge tagged=ether1 untagged=ether2 vlan-ids=10
add bridge=bridge tagged=ether1 untagged=ether3 vlan-ids=20
# 步骤 4：在网桥上创建 VLAN 接口（网关 IP）
/interface vlan
add interface=bridge name=vlan10 vlan-id=10
add interface=bridge name=vlan20 vlan-id=20
# 步骤 5：分配网关 IP
/ip address
add interface=vlan10 address=192.168.10.1/24
add interface=vlan20 address=192.168.20.1/24
# 步骤 6：DHCP 池和服务器
/ip pool
add name=pool-trusted ranges=192.168.10.100-192.168.10.254
add name=pool-iot ranges=192.168.20.100-192.168.20.254
/ip dhcp-server
add interface=vlan10 address-pool=pool-trusted name=dhcp-trusted
add interface=vlan20 address-pool=pool-iot name=dhcp-iot
/ip dhcp-server network
add address=192.168.10.0/24 gateway=192.168.10.1
add address=192.168.20.0/24 gateway=192.168.20.1
# 步骤 7：防火墙 — 阻止 IoT 到达可信 VLAN
/ip firewall filter
add chain=forward src-address=192.168.20.0/24 dst-address=192.168.10.0/24 \
action=drop comment="阻止 IoT 到可信"
交换机中继与接入端口
# 中继端口：承载多个 VLAN（标记）— 连接交换机到交换机、交换机到路由器、交换机到 AP
# 接入端口：承载一个 VLAN（未标记）— 连接到终端设备 (PC、摄像头、NAS)
# 连接到路由器的托管交换机端口应该是中继：
允许的 VLAN：10, 20, 30, 40, 99
# 连接到 PC 的端口应该是接入端口：
VLAN：10 (可信)
无标记 — PC 不知道或不在乎 VLAN
# 连接到 AP 的端口必须是中继：
AP 使用正确的 VLAN ID 标记来自每个 SSID 的流量
允许的 VLAN：10, 20, 40 (AP 提供的任何 SSID)
反模式
# 错误：创建 VLAN 而不添加防火墙规则
# 没有防火墙规则的 VLAN 不提供安全性 — VLAN 间路由默认开放
# 正确：创建 VLAN 后立即添加显式阻止规则
# 错误：将 Pi-hole 放在 IoT VLAN 中
# IoT 设备可以到达它，但可信设备无法到达（需要额外规则）
# 正确：Pi-hole 在服务器 VLAN 中，规则允许所有 VLAN 到达端口 53
# 错误：本机 VLAN 等于管理 VLAN
# 未标记流量落在您的管理 VLAN 中启用 VLAN 跳跃攻击
# 正确：使用专用的未使用 VLAN 作为本机 (例如 VLAN 999)，保持管理流量标记
# 错误：IoT SSID 和可信 SSID 使用相同的 Wi-Fi 密码
# 任何学习密码的人都可以将 IoT 设备连接到错误的分段
最佳实践
- 从 4 个 VLAN 开始：可信、IoT、服务器、访客 — 根据需要添加更多
- 将 Pi-hole 放在服务器 VLAN (192.168.30.x) 中
- 添加防火墙规则，允许所有 VLAN 到 Pi-hole IP 的 DNS（端口 53）—— 在任何 RFC1918 阻止规则之前
- 每次规则更改后测试隔离：从 IoT VLAN，尝试 ping 可信设备 — 应该失败
- 为交换机和 AP Web UI 使用管理 VLAN，并限制仅可信 VLAN 访问
- 在表格中记录您的 VLAN 设计 (VLAN ID、名称、子网、用途)
相关技能
- homelab-network-setup
- homelab-pihole-dns
- homelab-wireguard-vpn
