把办公电脑、测试设备、访客手机和智能家居全部放在同一网段，再依靠几十条单机IP规则维护，短期能用，长期很容易出现地址变化、权限混乱和误分流。VLAN可以在二层网络上划分独立广播域，再由软路由为每个VLAN提供DHCP、DNS、IPv4/IPv6网关、防火墙与出口策略。
VLAN不是单独的“代理分组”按钮。交换机、无线AP、软路由接口和防火墙必须使用一致的VLAN ID和端口模式，终端才会进入正确网段。
先按业务信任边界分区
| 区域示例 | 主要设备 | 建议访问范围 | 出口思路 |
|---|---|---|---|
| 办公区 | 员工电脑、公司手机 | 业务系统与批准互联网 | 稳定直连或企业批准出口 |
| 测试区 | 测试机、实验设备 | 仅获授权目标与必要工具 | 可审计的测试代理 |
| 访客区 | 来访人员设备 | 仅互联网，禁止访问内网 | 独立限速与公共出口 |
| 物联网区 | 摄像头、电视、传感器 | 仅必要云服务和控制端 | 限制横向访问 |
| 管理区 | 路由器、交换机、AP管理口 | 仅管理员终端 | 通常不走普通用户代理 |
| 服务器区 | NAS、内部服务 | 按端口向指定区域开放 | 固定、可审计的出入站策略 |
区域名称和数量应根据实际规模调整。家庭网络不必机械创建大量VLAN，维护能力不足时，少而清晰比复杂但无人管理更安全。
VLAN规划表应该包含什么
- VLAN ID、用途、责任人和变更记录；
- IPv4网段、网关、DHCP池、保留地址与租约；
- IPv6前缀委派、路由通告和防火墙策略；
- DNS服务器、内部域名与过滤规则；
- 默认出口、代理分流和故障回退；
- 允许访问的其他VLAN、目标端口和方向；
- 交换机接入口、Trunk口和无线SSID映射；
- 日志、监控和应急管理路径。
Access、Trunk和PVID怎么理解
普通终端通常连接Access/Untagged端口，它不需要理解VLAN标签；交换机将未标记流量归入指定VLAN。软路由、可管理AP和交换机之间常使用Trunk/Tagged链路，在一根线上传输多个VLAN。
PVID或Native VLAN处理未标记帧，厂商术语可能不同。配置不一致会让设备进入错误网段、拿不到DHCP，甚至把管理网络暴露给访客。每个端口都应有明确用途，未使用端口关闭或放入隔离区。
无线SSID怎样映射VLAN
企业AP通常可将不同SSID映射到不同VLAN，例如“Office”“Guest”“IoT”。AP到交换机的上联口需允许这些Tagged VLAN，并保留正确的管理VLAN。
访客SSID仅设置不同名称而仍桥接到办公网，不算真正隔离。上线后应从访客设备测试无法访问路由管理、NAS和办公终端。
跨VLAN防火墙要默认拒绝还是默认允许
从安全角度，先默认拒绝跨区访问，再按业务添加最小必要规则更容易审计。例如：
- 办公区可访问打印服务指定端口，但物联网区不能主动访问办公终端；
- 管理区可以访问网络设备管理端口，访客区完全不能；
- 测试区只访问获授权的目标和必要DNS/NTP；
- 服务器区对办公区开放指定业务端口，不开放整个网段；
- 任何区域都不应无条件访问软路由管理界面。
规则要同时考虑IPv4与IPv6。只写IPv4隔离而允许IPv6跨区，会形成旁路。
DHCP和DNS怎样设计
每个VLAN配置独立DHCP作用域和网关选项，避免地址池重叠。内部DNS可按区域返回不同结果，访客区则不应解析内部敏感主机。需要企业VPN私有域名时，使用条件转发或管理员提供的DNS。
强制DNS重定向要评估DoH/DoT、设备兼容与组织政策，不要把所有查询无差别送到公共DNS。
代理出口按VLAN还是按设备
按VLAN定义默认出口，规则更稳定、易审计；少数例外再按固定租约、设备身份或目标策略处理。不要仅依靠随机变化的DHCP地址识别关键设备。
测试区使用代理时，仍需设置直连回退或故障策略：企业要求不允许绕过时，节点失败应阻断并告警；允许业务连续时，可切到批准备用出口。策略必须提前定义。
上线顺序：先做一条测试链
- 备份软路由、交换机和AP。记录当前管理地址与恢复方式。
- 建立一个测试VLAN。只配置一个交换机端口或临时SSID。
- 验证基础网络。检查DHCP、网关、DNS、NTP、IPv4和IPv6。
- 验证隔离矩阵。按允许与禁止列表逐项测试，不只确认能上网。
- 验证出口。使用IP质量检测核对ASN和地址族，并检查软路由命中日志。
- 验证故障回退。在维护窗口模拟批准节点不可用，确认阻断、备用或告警符合设计。
- 分批迁移。先物联网或测试设备，再处理办公和服务器，保留原网络回退。
容易遗漏的组播和设备发现
AirPlay、投屏、打印机和智能家居常依赖mDNS、SSDP或广播，默认不会跨VLAN。需要跨区发现时，使用受控mDNS反射或专用网关，并限制服务类型和方向；不要为了投屏直接开放所有跨网访问。
验收不只看“能上网”
应检查终端进入正确VLAN、获得正确地址、只访问允许资源、IPv6不旁路、DNS符合区域策略、代理出口与日志一致、管理面不可从普通区访问。需要网络与路由工具时，可从极跃圈网址导航选择。
一份可维护的VLAN方案应有网段表、端口表、SSID映射、互访矩阵、出口策略和回滚步骤。这样设备增加或IP变化后，不必靠不断添加临时规则维持网络。
