将不安全的设备安全地添加到我的家庭网络

我有一些不可靠的互联网连接设备，但无论如何我还是想使用（智能电视和一些现成的家庭自动化设备）。我不希望它们与我的计算机位于同一网络上。

我当前的解决方案是将电缆调制解调器插入交换机，并将两个无线路由器连接到交换机。我的计算机连接到第一个路由器，其他所有连接到第二个路由器。

这足以将我的计算机与其他所有设备完全隔离吗？

另外，是否有使用单个路由器的更简单解决方案可以有效地完成相同的工作？我有以下路由器，都带有DD-WRT：

• 网件WNDR3700-v3

• Linksys WRT54G-v3

除安全网络上的单台计算机外，所有设备（安全和不安全）都以无线方式连接。

是的，您的解决方案也可以，但是会增加一个交换跃点，加上配置开销，您可以通过执行以下操作用一个路由器来实现：

• 配置两个VLAN，将受信任的主机连接到一个VLAN，将不信任的主机连接到另一个。
• 将iptables配置为不允许可信到非可信流量（反之亦然）。

希望这可以帮助！

这是完全可能的，但我想先解决一些问题。

我当前的解决方案是将电缆调制解调器插入交换机，并将两个无线路由器连接到交换机。我的计算机连接到第一个路由器，其他所有连接到第二个路由器。

有趣的是，当您的电缆调制解调器看起来只是一个调制解调器时，两个路由器都可以访问Internet。您的ISP是否进行NAT？如果没有，我建议取出交换机（它是交换机还是具有NAT功能的交换机？），然后将一台DD-WRT路由器作为网关。您当前的设置是正确的（不知道路由器连接到哪个端口），可能有IP地址冲突，或者偶尔会随机或零星地丢失一个或另一个网络上的连接。

是否可以在单个接入点上将Wi-Fi流量隔离到多个VLAN中？

是的，但是需要一些配置工作和一些测试。我本人也使用类似的设置来分隔访客网络。我将在下面描述的方法不涉及VLAN。

DD-WRT（以及其他）支持在同一AP上创建多个SSID。唯一需要做的就是创建另一个网桥，将其分配给另一个子网，然后将其防火墙隔离到主网络的其余部分。

自从我上一次这样做以来已经有一段时间了，但它应该像这样进行（准备断开连接）：

1. 打开接入点的配置页面
2. 转到无线=>基本设置
3. 在虚拟接口下，单击添加[^ virtif]
4. 给您的新IoT SSID命名，并保留Network Configuration为 Bridged，AP Isolation根据需要启用
5. 转到“无线安全”选项卡，设置密码，然后将“安全模式”设置为WPA2-Personal-AES（如果可能）以上的值[^ nDS]
6. 转到选项卡设置=>网络
7. 在桥接下，单击添加
8. 给您的网桥起一个任意的名字[^ brname]，也许br1吧？
9. 为网桥提供与主网络不在同一子网中的IP地址[^ ipaddr]
10. （您可能需要单击保存，然后应用设置才能显示此内容）在分配给网桥下，单击添加，然后分配br1给接口 wl.01或为其指定接口名称[^ virtif]，保存并应用

11. 在“多个DHCP服务器”下，单击“添加”并将其分配给 br1

12. 转到管理=>命令并将其粘贴（您可能必须调整接口名称）[^ note2]
    iptables -t nat -I POSTROUTING -o `get_wanface` -j MASQUERADE
iptables -I FORWARD -i br1 -m state --state NEW,RELATED -j ACCEPT
iptables -I FORWARD -i br1 -o br0 -j REJECT
    并单击保存防火墙

13. 我想你应该准备好了

有关更多详细信息，请访问 http://www.alexlaird.com/2013/03/dd-wrt-guest-wireless/

需要注意的是，此设置仅对网关路由器/ AP有效。如果您希望其他路由器使用相同的设置，则必须使用VLAN。设置是相似的，但是涉及更多。此处的区别在于，您将必须配置新的VLAN并将其桥接到IoT SSID，并可能要执行一些路由规则。

[^ virtif]：第一个通常是物理接口，通常标记为wl0。您的虚拟接口（如果我没记错的话，最多三个）将被标记为wl0.1，wl0.2，依此类推。

[^ brname]：这将是DD-WRT赋予网桥接口的接口名称。

[^ ipaddr]：假设您的主网络位于172.16.1.0/24，请指定br1地址172.16.2.0/24。

[^ nDS]：如果您有Nintendo DS，则必须使用WEP。或者，您可以仅为NDS创建另一个SSID，并br1为方便起见也将其桥接。

[^ note1]：在应用设置后，此时，连接到IoT SSID的所有内容都将分配给另一个子网。但是，两个子网仍然可以相互通信。

[^ note2]：此位可能需要一些工作。

这足以将我的计算机与其他所有设备完全隔离吗？

假设您从路由器1到交换机的连接正在使用WAN路由器的端口，并且您没有在OpenWRT中共享WAN和LAN（这意味着您没有更改默认设置，而是像直接连接到调制解调器时一样进行了布线），你基本上还好。

当然，路由器2上的设备可能会将流量发送给任何人，这本身就是一个问题（使用统计信息，摄像机图像，麦克风声音，有关WLAN的信息，GPS接收器等，具体取决于设备）。

另外，是否有使用单个路由器的更简单解决方案可以有效地完成相同的工作？我有以下带有DD-WRT的路由器：

您可以分别配置端口，并将不良流量与正常流量分开路由。您的关键字是DMZ，有很多可用的教程。

如果您想提高复杂性，还可以启用VLAN，这样就可以在路由器后面放置其他支持VLAN的设备，并将这两种类型的设备都连接到它们，从而使您的整个家庭就像每个设备都直接插入一样这两个路由器之一的端口，即使您只有一个路由器，并且后面有5个交换机以菊花链式连接也是如此……但是只有在必须的情况下才这样做，因为发生错误的可能性很大，其收益取决于电缆（使用星形拓扑时几乎没有，而必须使用环形拓扑时很好。

某些消费类Wi-Fi路由器具有“访客模式”，即与正常网络分隔开的网络。

您可以将不受信任的设备限制为“访客” AP。

并非每个具有该功能的路由器都特别安全。

尽管警告：许多Wi-Fi路由器上的“访客模式”一文不安全，但他们讨论的主要缺陷是隐私。如果您不在乎您的支持网络的电视是否正在打电话通知制造商您正在观看的电视节目，那么谁在乎邻居是否在观看电视，您可以这样做。

另外，是否有使用单个路由器的更简单解决方案可以有效地完成相同的工作？我有以下带有DD-WRT的路由器：

大多数家庭WiFi路由器允许您配置“来宾网络”。允许此无线LAN连接到Internet，但不允许连接到主有线或无线LAN上的设备。因此，您可以将IoT设备放置在网络上，而它们将无法破坏您的计算机。

创建单独的网络应该是使不安全的设备远离安全LAN的最佳方法，以防止恶意用户/设备访问共享文件或联网设备，可以通过使用Netgar WNDR3700v3功能启用GUEST网络来实现。 具有强大而不同的密码。

禁用UPnP

能够感染UPnP的病毒，特洛伊木马，蠕虫或其他恶意程序可以感染UPnP，就像合法程序一样。虽然路由器通常会阻止传入连接，从而防止某些恶意访问，但UPnP可能允许恶意程序完全绕过防火墙。例如，特洛伊木马可以在您的计算机上安装一个远程控制程序，并在路由器的防火墙中为其打开一个漏洞，从而允许从Internet 24/7全天候访问您的计算机。如果禁用UPnP，则该程序无法打开端口-尽管它可以通过其他方式绕过防火墙并返回电话回家

禁用通过WIFI远程访问路由器

大多数路由器都提供“远程访问”功能，使您可以从世界任何地方访问此Web界面。即使您设置了用户名和密码，如果您的D-Link路由器受到此漏洞的影响，任何人都可以在没有任何凭据的情况下登录。如果您禁用了远程访问功能，则可以避免有人远程访问您的路由器并对其进行篡改。

除非需要，也不要连接不安全的设备。