Homelab VLAN Segmentation 介绍如何把家庭网络拆分为相互隔离的 VLAN，使 IoT 设备、访客与主要 PC 之间无法互相通信。资料称这是家庭网络最具影响力的安全升级。文中强调：所有防火墙规则都是新增隔离、不移除既有防护；应在维护窗口内应用变更，并在每步之后验证各网段间的连通性再继续。
【何时使用】
- 首次在家庭网络中设置 VLAN
- 将 IoT 设备（智能灯泡、摄像头、电视）与可信设备隔离
- 创建无法访问家庭设备的访客 Wi-Fi
- 向不熟悉该概念的人解释 VLAN 工作原理
- 配置 trunk 端口、access 端口以及 SSID 到 VLAN 的映射
- 排查 pfSense/OPNsense/UniFi 上的 VLAN 间路由或防火墙规则问题
【工作原理】 无 VLAN（扁平网络）：所有设备在同一网段，如智能电视（潜在恶意软件）可达 NAS、PC 等一切设备。 使用 VLAN 后，给出示例网段：VLAN 10 可信 192.168.10.0/24（PC、手机、笔记本）；VLAN 20 IoT 192.168.20.0/24（智能电视、灯泡、摄像头）；VLAN 30 服务器 192.168.30.0/24（NAS、Pi、虚拟机）；VLAN 40 访客 192.168.40.0/24；VLAN 99 管理 192.168.99.0/24（交换机/AP 网页面板）。智能电视被阻止访问 192.168.10.0/24 和 192.168.30.0/24；访客只能上网，看不到任何家庭设备。
【VLAN 设计模板】 给出 VLAN 10 trusted、20 iot、30 servers、40 guest、99 management 的名称、子网与网关对应表。
【示例】 以 UniFi Dream Machine + UniFi 8 口交换机 + 2 个 AP 的三居室为例：VLAN 10 可信（MacBook、iPhone、iPad）、VLAN 20 IoT（Nest 恒温器、Philips Hue、Ring 门铃、智能电视）、VLAN 30 服务器（Synology NAS 192.168.30.10、Pi-hole 192.168.30.2）、VLAN 40 访客（仅上网）。SSID 到 VLAN 映射：Home→VLAN 10、IoT→VLAN 20、Guest→VLAN 40，并给出各自密码策略。交换机端口行为：端口 1 trunk 到路由器（标记 VLAN 10,20,30,40,99）；端口 2 trunk 到 AP（标记 10,20,40）；端口 3/4 access VLAN 30（NAS、Pi-hole）；端口 5–8 access VLAN 10。防火墙规则：IoT→Trusted 阻止；IoT→Servers 阻止，但允许 192.168.30.2:53（Pi-hole DNS）；IoT→Internet 允许；Guest→本地网络 阻止；Guest→Internet 允许；Trusted→任意 允许。
【UniFi 配置】 在控制器中创建网络：Settings → Networks → Create New Network，设置名称、Purpose 为 Corporate、VLAN ID、网段、网关 IP、启用 DHCP 与地址范围。SSID 映射：Settings → WiFi → Create New WiFi，选择对应 Network，Guest 网络可启用 Guest Policy 以隔离访客彼此。防火墙规则位于 Settings → Traffic & Security → Traffic Rules，给出阻断 IoT 到 Trusted、允许 IoT 到 Internet、阻断 Guest 到本地网络的示例。
【pfSense / OPNsense 配置】 在 Interfaces → Assignments → VLANs → Add 创建 VLAN（父接口、VLAN Tag、描述），再在 Interfaces → Assignments → Add 把 VLAN 分配到接口并设置网关 IP。DHCP：Services → DHCP Server 选择 VLAN 接口，设置地址范围与 DNS 服务器（如 Pi-hole IP）。防火墙规则按自上而下、首个匹配生效：在 IoT 接口上，规则 1 允许 IoT 到 Pi-hole DNS（必须在 RFC1918 阻断规则之前），规则 2 阻断 IoT 到 RFC1918，规则 3 允许 IoT 到互联网；在 Trusted 接口允许全部；对需要特定本地服务的 IoT 设备，在规则 2 之前插入例外（如 Home Assistant 192.168.30.x 端口 8123）。
【MikroTik 配置】 给出七步 RouterOS 命令：创建启用 vlan-filtering 的 bridge；添加物理端口（trunk 端口 admit-only-vlan-tagged，access 端口设置 pvid 并限制为 untagged）；在 /interface bridge vlan 定义各端口允许的 VLAN；创建 VLAN 接口；分配网关 IP；创建 DHCP 池与服务器及网络；最后用 /ip firewall filter 阻断 IoT 到 Trusted。
【交换机 Trunk 与 Access 端口】 Trunk 端口承载多个 VLAN（标记），用于交换机到交换机、交换机到路由器、交换机到 AP；Access 端口承载单一 VLAN（未标记），用于连接终端设备。到路由器的端口应为 trunk（允许 VLAN 10,20,30,40,99）；到 PC 的端口应为 access（VLAN 10）；到 AP 的端口必须是 trunk，由 AP 为各 SSID 流量打上正确 VLAN 标记。
【反模式】 包括：只建 VLAN 不加防火墙规则（默认 VLAN 间路由是开放的，不提供安全）；把 Pi-hole 放在 IoT VLAN；native VLAN 等于管理 VLAN（未标记流量落入管理 VLAN 会带来 VLAN 跳变攻击风险，建议用专用未使用 VLAN 如 999 作为 native）；IoT SSID 与可信 SSID 使用相同 Wi-Fi 密码。
【最佳实践】 先从 4 个 VLAN（Trusted、IoT、Servers、Guest）开始，按需增加；Pi-hole 放在服务器 VLAN；在所有 VLAN 到 Pi-hole 的 53 端口上添加放行规则，且位于任何 RFC1918 阻断规则之前；每次规则变更后测试隔离（从 IoT VLAN ping 可信设备应失败）；用管理 VLAN 承载交换机与 AP 网页面板并仅限可信 VLAN 访问；用表格记录 VLAN 设计。
【相关技能】 homelab-network-setup、homelab-pihole-dns、homelab-wireguard-vpn。