软路由怎么设置访客网络？怎样保障主网络安全

家里一开访客Wi-Fi就出现路由器断流，或者担心客人手机看到电脑共享文件吗？很多人只是把访客SSID改个名字、设置不同密码，却没有真正隔离两个网络。访客网络的安全关键不是“另一个密码”，而是让访客设备无法访问主网络资源。下面从隔离原理、地址规划、软路由配置和效果验证四个方面，给出一套适合家庭用户的设置方法。

一、访客网络为什么能保护主网络

普通家庭网络通常只有一个局域网，电脑、手机、电视、摄像头和客人的设备都处于同一网段。例如主路由器使用192.168.1.1，所有终端可能都获得192.168.1.x地址。只要设备开启了文件共享、远程管理或某些管理后台，同网段设备就有机会扫描并访问它们。

SSID隔离不等于网络隔离

无线名称只是用户连接时看到的标识。软路由可以创建“家庭Wi-Fi”和“访客Wi-Fi”两个SSID，但如果它们最终都接入同一个网桥、同一个VLAN，访客设备仍然可能访问主网络。真正有效的隔离通常由三部分组成：

• 独立地址段：主网络和访客网络使用不同的IP网段，例如主网使用192.168.10.0/24，访客网使用192.168.20.0/24。
• 独立二层网络：通过VLAN或独立网桥区分广播域，避免设备直接处于同一个局域网。
• 防火墙拦截：禁止访客网主动访问主网、路由器管理界面及其他内网网段，只允许访问互联网。

这里的/24表示子网掩码为255.255.255.0。家庭环境不需要把地址规划得过度复杂，重点是让不同用途的设备边界清晰、规则容易检查。

访客网络能防住什么，不能防住什么

隔离完成后，访客设备通常无法直接打开主网电脑的共享目录、NAS管理页面、家庭服务器和路由器后台，也不容易通过局域网扫描发现这些设备。但它不能解决所有风险：访客设备仍可能访问互联网，仍可能连接到同一无线接入点，也无法替代终端杀毒、系统更新和强密码。

如果主网络中有智能家居、摄像头或NAS，建议进一步划分“主网、IoT网、访客网”三个区域。访客网络是降低暴露面的基础措施，不是完整的家庭安全方案。

二、设置前先完成地址与权限规划

确定三个基本网络区域

入门用户可以采用下面的简单规划。实际网段可以不同，但不要让多个区域重复使用同一地址范围。

• 主网络：网关192.168.10.1，用于电脑、手机、平板和需要互访的设备。
• 访客网络：网关192.168.20.1，只提供互联网访问。
• 可选IoT网络：网关192.168.30.1，用于插座、摄像头、音箱等智能设备。

访客网络的DHCP地址池可以设置为192.168.20.100至192.168.20.200。网关和DNS通常填写该区域的网关地址192.168.20.1，由软路由统一分配。若使用IPv6，还要同步检查IPv6防火墙，否则只配置IPv4隔离可能留下访问路径。

提前确认设备是否支持所需功能

不同软路由系统的菜单名称不完全一致，但至少应具备以下能力：

• 创建多个无线SSID，并能将SSID绑定到不同VLAN或网桥。
• 为不同网络分配独立DHCP地址池。
• 设置区域间防火墙规则。
• 限制访客设备访问路由器本机服务，例如管理后台、SSH和DNS管理接口。
• 支持无线客户端隔离，防止访客设备之间互相访问。

如果无线AP只支持单一SSID，或者AP与软路由之间没有配置VLAN的链路，也可以先使用AP自带的访客模式，但要确认它是否真的阻断了内网访问。不要仅凭“Guest”字样判断安全效果。

三、软路由设置访客网络的实操流程

第一阶段：创建访客接口或VLAN

1. 登录软路由管理后台。常见管理地址可能是192.168.1.1或192.168.10.1，以当前网络实际地址为准。不要继续使用默认管理密码admin，也不要把后台暴露到互联网。
2. 在网络接口、VLAN或网桥菜单中创建新的访客网络。若系统要求填写VLAN ID，可使用20，并确保交换机和AP的对应端口允许该VLAN通过。
3. 为访客接口设置网关地址192.168.20.1，子网掩码设置为255.255.255.0。
4. 开启访客接口的DHCP服务，分配范围设置为192.168.20.100至192.168.20.200。

如果软路由与无线AP之间使用网线连接，通常需要把该链路设置为Trunk或允许多个VLAN通过；连接普通电脑的端口则应配置为对应的Access网络。家庭用户最容易出错的地方是只在软路由上创建VLAN，却没有同步修改AP或交换机端口。

第二阶段：创建访客SSID并绑定接口

1. 在无线设置中新增SSID，例如“Home-Guest”，安全模式优先选择WPA2/WPA3-Personal。
2. 为访客网络设置独立密码，密码长度建议不少于12位，避免使用家庭地址、电话号码或容易猜到的连续数字。
3. 将该SSID绑定到访客接口、访客网桥或VLAN 20，不要继续绑定到主网络接口。
4. 打开无线客户端隔离，阻止同一访客网络中的手机、笔记本之间直接通信。
5. 关闭不必要的WPS，并根据需要设置访客网络的启用时间、速率限制或最大连接数。

客户端隔离主要解决“访客设备互相攻击”的问题，VLAN和防火墙则负责解决“访客设备访问主网络”的问题。三者作用不同，不能用其中一项替代其他两项。

第三阶段：配置防火墙的放行与拒绝顺序

防火墙规则建议遵循“先拒绝内网，再放行必要服务”的思路。规则名称可以按下面方式设置：

1. 允许访客接口访问外网，包括NAT转发和DNS解析。
2. 拒绝访客网访问主网络192.168.10.0/24。
3. 拒绝访客网访问IoT网络192.168.30.0/24，除非确实需要某项设备服务。
4. 拒绝访客网访问路由器管理地址及本机管理服务。
5. 拒绝访客设备访问其他RFC1918内网地址，例如10.0.0.0/8、172.16.0.0/12和192.168.0.0/16，再按需求添加例外。

规则顺序非常重要。如果系统采用从上到下匹配，先写了一条“允许访客访问所有内网”的规则，后面的拒绝规则可能根本不会生效。修改前建议导出配置或截图记录，避免误封主网络。

通常不需要手工开放HTTP、HTTPS等外网端口，访客终端主动访问互联网时由NAT处理即可。若系统默认允许访问软路由的DNS服务，可以只保留DNS和DHCP所需权限，禁止访问管理后台端口，例如80、443、22和8443，具体端口以系统实际配置为准。

四、验证效果与方案取舍

用三组测试确认隔离是否成功

1. 让一台手机连接访客Wi-Fi，确认获得的是192.168.20.x地址，网关为192.168.20.1，并能正常打开网页。
2. 从访客设备访问主路由器管理地址，例如192.168.10.1，应当无法打开或无法建立连接。
3. 从访客设备访问主网电脑、NAS或打印机的地址，例如192.168.10.50，应当被防火墙拦截。
4. 让两台访客设备互相测试局域网共享或设备发现，开启客户端隔离后通常无法直接访问。
5. 检查软路由日志，确认拒绝记录来自访客接口，并观察是否有误拦截的DNS、DHCP或必要业务。

可以在电脑终端使用ping 192.168.10.1进行基础连通性测试，也可以使用系统的网络扫描工具检查可见设备。测试时不要只看“能否上网”，因为即使访客设备可以正常上网，内网隔离仍可能配置错误。

三种常见方案怎么选

• 路由器自带访客模式：配置最简单，适合普通家庭，但隔离细节和日志能力通常较少，需自行验证是否阻断主网。
• 软路由加多个SSID：可配置VLAN、地址段、访问策略和限速，适合入门级玩家，维护成本也相对可控。
• 软路由加可管理交换机和AP：网络边界最清晰，可扩展主网、访客网、IoT网和办公网，适合设备较多或有NAS的家庭，但配置难度最高。

如果只是偶尔接待客人，使用可靠的访客模式并关闭内网访问已经足够；如果家中部署了NAS、监控、智能门锁或家庭服务器，建议采用独立VLAN和明确的防火墙策略。安全性与复杂度需要平衡，规则越多并不代表一定更安全，能看懂、能验证、能长期维护的方案才适合家庭网络。

最后，访客密码应定期更换，软路由、AP和终端系统保持更新，主网络不要使用默认密码，远程管理和UPnP按需开启。你家目前使用的是路由器自带访客网络，还是已经通过VLAN划分了主网、访客网和智能家居网络？