家里物联网设备增多，如何设置防火墙规则提升基础安全？

一、基础网络架构调整（最关键）

创建独立IoT专用网络

• 在路由器中开启“访客网络”或“IoT VLAN”（需路由器支持）：
  • SSID命名：如Home_IoT，避免暴露家庭信息
  • 隔离设置：确保IoT设备无法访问主网络设备（如手机/电脑）
  • 密码策略：使用WPA2/WPA3加密，密码长度＞16位（大小写+数字+符号）

网络分段策略

建议划分三个网段：
- 主网络 (192.168.1.0/24)：电脑/手机等可信设备
- IoT网络 (192.168.2.0/24)：智能家居设备
- 访客网络 (192.168.3.0/24)：临时设备

二、防火墙核心规则配置（以OpenWrt为例）

# 1. 阻止IoT网络主动访问主网络
iptables -A FORWARD -i br-iot -o br-main -j DROP

# 2. 允许主网络访问IoT设备特定端口（需手动开放）
iptables -A FORWARD -i br-main -o br-iot -p tcp --dport 80 -j ACCEPT  # 例：Web控制

# 3. 禁止IoT设备访问路由器管理界面
iptables -A INPUT -i br-iot -p tcp --dport 80 -j DROP
iptables -A INPUT -i br-iot -p tcp --dport 443 -j DROP

# 4. 限制IoT设备外连（仅允许NTP/厂商必要域名）
iptables -A OUTPUT -o br-iot -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -o br-iot -p udp --dport 123 -j ACCEPT
iptables -A OUTPUT -o br-iot -j DROP

三、设备级防护措施

设备准入管理

• MAC地址白名单：仅允许已登记设备接入
• 关闭UPnP：防止设备自动开放危险端口
• 定期清理：移除不常用设备

服务端口控制

• 摄像头/NAS等设备：仅开放VPN访问（WireGuard/OpenVPN）
• 禁用通用协议：如Telnet/FTP/HTTP，强制使用TLS加密

四、进阶安全增强

部署网络监控

# 安装流量分析工具（如iftop）
sudo iftop -i br-iot  # 实时查看IoT网络流量

• 设置异常报警：CPU占用>80%或突发境外连接

DNS层过滤

• 使用Pi-hole或AdGuard Home：
  • 屏蔽恶意域名列表
  • 记录所有IoT设备的DNS请求
  • 拦截广告/跟踪域名（减少数据泄露）

物理隔离方案

• 高危设备（如摄像头）使用专用AP
• 关键设备（智能门锁/报警）使用独立Zigbee/Z-Wave网关（不连接WiFi）

五、持续维护清单

• [ ] 每月更新路由器固件
• [ ] 每季度审查设备连接日志
• [ ] 每年更换网络密码
• [ ] 新设备接入前测试端口扫描：nmap -sV 192.168.2.XX

紧急响应预案

若发现设备异常：

立即将其划入隔离网段 检查路由器DDoS防护设置 重置设备并更新固件 审查同一厂商的其他设备

最后提醒：物联网安全是持续过程。建议选购支持IEEE 802.1x认证的设备（企业级安全标准），虽然价格较高但能从源头降低风险。对于已部署的廉价设备，严格的网络隔离是性价比最高的防护方案。