那個周末，我用一臺迷你PC裝上OPNsense，把家庭網(wǎng)絡(luò)切成了五個VLAN。IoT設(shè)備、可信終端、訪客網(wǎng)絡(luò)、工作筆記本、實驗室環(huán)境——各就各位。防火墻規(guī)則默認(rèn)拒絕跨區(qū)訪問，廉價智能設(shè)備就算被攻破也碰不到主力機器。Pi-hole跑在樹莓派上，給所有VLAN提供DNS。一切按劇本運行，我挺得意的。

這份得意維持了不到一周。家人發(fā)現(xiàn)電視投屏失效了，智能音箱也收不到音樂推送。我估摸一小時能搞定，結(jié)果這場"快速修復(fù)"拖了整整六個月——我在自己親手砌的墻上，一扇一扇地鑿門。

問題出在我沒算到Home Assistant。這個智能家居中樞需要持續(xù)輪詢IoT VLAN上的每一臺設(shè)備：讀傳感器、同步狀態(tài)、下發(fā)指令。默認(rèn)拒絕規(guī)則讓它成了瞎子。我試過在防火墻開洞，但設(shè)備發(fā)現(xiàn)協(xié)議（mDNS、SSDP）天生愛廣播，跨VLAN就像讓魚爬山。

第一個妥協(xié)是放行mDNS反射。然后SSDP也得開。接著發(fā)現(xiàn)某些智能燈泡非要和App直連，于是又加端口例外。每解決一個故障，防火墻就多一條規(guī)則。六個月后我打開配置一看——交叉許可的條目比拒絕的還多，那張精心設(shè)計的網(wǎng)絡(luò)拓?fù)鋱D，實際跑成了 spaghetti。

最諷刺的是安全收益。理論上隔離確實阻斷了橫向移動，但我的"隔離"已經(jīng)千瘡百孔。攻擊者只要挑一個我放過行的協(xié)議，照樣能串門。而維護(hù)這套規(guī)則的認(rèn)知負(fù)擔(dān)，讓我三次想干脆回退到單一大網(wǎng)。

現(xiàn)在我保留了VLAN骨架，但學(xué)會了接受"不完美隔離"。關(guān)鍵設(shè)備（筆記本、NAS）仍住獨立區(qū)，IoT扔在一個"半信任"池，規(guī)則精簡到能口頭復(fù)述。家庭網(wǎng)絡(luò)的真相或許是：安全是過程，不是配置文件的終態(tài)。尤其是當(dāng)你的用戶包括一個想投屏看劇的配偶時。