为什么要分区
摄像头、音箱、灯具和普通手机的更新周期、可信程度、通信需求并不一致。将智能设备放进独立的 SSID 或 VLAN，可以减少不必要的互相访问，也便于设置不同的管理策略。
隔离之前先列出通信关系
自动化主机需要访问哪些设备？手机需要发现哪些电视或音箱？哪些设备必须访问互联网？如果先一刀切禁止所有跨网段通信，可能会造成设备能上网、但手机找不到设备的情况。
服务发现是常见难点
mDNS 等本地发现机制常使用组播，并非天然能穿越不同子网。某些产品支持单播地址配置，某些则依赖网关上的特定发现转发能力。实际配置要按设备和网络系统的功能逐项验证。
从两类规则开始
允许控制器访问必要设备端口；限制普通智能终端主动访问家庭服务器或个人电脑。所有例外都应该写明用途，避免几个月后无人知道为什么打开某条规则。
以稳定性检验设计
网络分区之后，重点测试首次配网、设备重新上线、广播发现、手机控制和离线自动化。安全边界要清晰，但不能让日常操作变得不可理解。
以上内容用于经验交流。实际操作前，请核对设备型号、软件版本与官方说明，并备份重要配置。