访客网络有什么用：隔离、限速与 IoT 设备
访客网络的作用不是「给客人用的 WiFi」这么简单，它本质是一条独立网段 + 默认禁止访问内网：连上它的设备能上网，但看不到你的电脑、NAS、摄像头和路由器后台。对家里有一堆智能设备的人来说，这层隔离比限速有用得多。开之前要想清楚一件事：连进去的设备还能不能和你的手机互访——投屏、本地控制、网络打印机都依赖这个。
它到底隔离了什么
开启后，路由器会为访客网络单独划一个子网（有的机型直接用 VLAN），并在防火墙上阻断它到你主网段的转发。效果是：
- 访客的设备拿不到你内网设备的地址，扫不到共享文件夹、NAS 管理页、摄像头画面。
- 访客之间也可能互相隔离（AP 隔离），互相看不到对方的设备。
- 访客只能出公网，不能进你家内网——方向是单向的。
这层隔离的价值在于「降损」：智能灯泡、廉价摄像头这类固件更新不及时的设备一旦被利用，攻击者通常只能停在那个网段里，摸不到存着照片和账本的 NAS。
三种典型用法
给客人用是最常见的场景。人来就报一个独立密码，走了可以改密码或关掉，不用动主网络。有小孩的家庭还可以用它配合定时断网。
隔离智能家居是更实用的用法。扫地机、灯泡、插座、摄像头只需要出公网，几乎不需要访问内网。把它们集中到访客网络，主网络就只剩手机、电脑、电视、NAS。
临时设备与测试：新买的设备、来路不明的二手机、要装测试固件的开发板，先扔进访客网络观察几天，确认没问题再放进主网络。
代价：互访断了，投屏和本地控制会失效
访客网络默认阻断内网转发，同时也常常阻断组播与广播（mDNS、SSDP）。结果是：手机在主网络、电视在访客网络时，投屏列表里找不到电视；部分智能家居的「本地控制」失效，只能走云端；网络打印机、局域网共享、NAS 的 DLNA 也一起用不了。
| 设备 / 场景 | 建议放哪 | 是否需要互访 |
|---|---|---|
| 访客手机、平板 | 访客网络 | 不需要 |
| 摄像头、灯泡、插座、扫地机 | 访客网络 | 不需要（走云端即可） |
| 智能电视 / 投影 / 音箱 | 主网络 | 需要（投屏、DLNA） |
| NAS、打印机、电脑 | 主网络 | 需要 |
| 孩子的平板（需限时） | 访客网络（开限速与时段） | 一般不需要 |
所以别把「所有 IoT 都塞进访客网络」当铁律。带屏幕、要投屏的设备留在主网络，纯执行类设备放访客网络，这条线更实际。
限速怎么设才有意义
访客网络一般支持对单个客户端或整个访客网段限速，单位通常是 Mbps。建议给访客网段留出总带宽的 20%~30%，单人限制在 20~50Mbps，够刷视频和视频通话，又不至于把主网络挤爆。上行也要限，很多人只限下行，结果访客一开直播，家里的视频会议就卡。
如果路由器支持按时段关闭访客网络，把它设成深夜自动关闭，既省心也减少暴露面。
限速值不要照抄别人的数字。先测一次自家上行，把访客网段的上行总限速定在上行的三分之一以内；下行可以宽松些，因为下行通常是瓶颈之外的那部分。家里有人开视频会议时，访客网段的上传被占满同样会让会议卡顿，这一点比下行更容易被忽略。
如果家里有老人或小孩的设备需要「能上网但不能乱装东西」，限速之外更有效的是内容过滤，但那属于路由器的另一组功能，和访客网络是两件事，不要指望一个开关解决。
设置步骤
- 路由器后台找到「访客网络 / Guest Network」，开启一个独立 SSID，密码与主网络不同。
- 确认「允许访问内网设备」处于关闭状态（不同品牌叫法不同，有的叫「内网互访」「AP 隔离」）。
- 设置单设备限速与网段总限速，上行下行都要填。
- 加密方式选 WPA2 或 WPA3；老设备多就选 WPA2 混合模式。
- 如需 2.4G 专供智能设备，在访客网络里单独开一个仅 2.4G 的 SSID，配网时手机先连它。
- 连一台设备验证：能上网、ping 不通主网段的 NAS 地址、访问路由器后台被拒。
六个步骤里最容易漏的是第六步。很多人开了访客网络却仍能访问 NAS，原因是路由器把两个网段桥接在了一起，「隔离」只是一个没生效的开关。
它替代不了的事
访客网络是网络层的隔离，不解决设备本身的弱密码、默认口令、固件漏洞。摄像头该改的初始密码、该关的远程访问还是要做；对外暴露端口的风险见端口转发怎么设置。另外，隔离做好了但主网络本身信号差、老掉线，体验问题还在原地，先按WiFi 信号差的排查顺序处理覆盖。
一句话收口：访客网络值得开，但要按设备类型分配，而不是把所有东西一股脑赶进去。分完记得验证隔离是否真的生效——能上网、进不了内网，这两条同时成立才算数。