路由器的「訪客網路」怎麼設：實測隔離效果與頻寬限制
典型網段
192.168.1.0/24
192.168.50.0/24（獨立子網）
能否存取 NAS／印表機
可以
不可（正確設定時）
能否存取路由器管理介面
可以
不可（建議封鎖）
能否互相通訊（訪客之間）
可以
通常不行（AP 隔離）
頻寬限制
可個別設定上下傳上限
上網方式
直接取得區網 IP
經 NAT 上網
IPv6
可取得全域位址
需確認是否同步隔離
適用對象
家人、自家裝置
親友、訪客、IoT 家電
看完這張表，你可能會發現一件事：訪客網路的價值不只在「給客人用」，它其實也很適合拿來養那些你不太信任的裝置。智慧燈泡、掃地機器人、對岸品牌的網路攝影機、便宜到不行的智慧插座，這些東西的韌體品質參差不齊，把它們全部丟進訪客網路（或另一個獨立 IoT 網段），等於是替自家電腦與 NAS 拉了一道防火牆。這是近年越来越多玩家採用的「網段分區」策略。
二、設定前先搞懂：你的路由器支援哪一種訪客網路
在動手之前，請先登入路由器的管理介面，找到「訪客網路」「Guest Network」或「無線網路 → 訪客網路」的選項。你會發現不同價位帶的路由器，功能深度差很多。大致可以分成三種實作方式，這直接決定了你能做到多嚴密的隔離。
2-1 三種常見實作方式
（A）純 AP 隔離（Client Isolation）。這種做法沒有獨立子網，訪客裝置跟你家的裝置還是在同一個 192.168.1.x 網段裡，只是路由器在無線基地台層級封鎖了「無線客戶端之間」的封包轉發。換句話說，訪客手機 ping 不到另一支訪客手機，但如果它掃到你家 NAS 的有線 IP，有些機種仍然會放行。這種模式的隔離強度最弱，常見於入門款路由器或舊韌體。
（B）獨立子網 + NAT。這是最常見的中階做法。路由器替訪客網路建立獨立網段，訪客裝置透過 NAT 上網，防火牆預設阻擋訪客網段往主網段的主動連線。這種模式在多數家庭場景已經足夠，但要注意兩件事：一是「允許訪客存取區域網路」這個選項必須關閉；二是 IPv6 若有開啟，要確認訪客網路的 IPv6 是否也做了對應隔離，否則可能出現「IPv4 擋住了、IPv6 卻直通」的破口。
（C）VLAN 隔離。這是企業級或高階家用路由器（如 ASUS 部分機種、UniFi、OpenWrt）才具備的做法。每個網段被賦予獨立的 VLAN ID，切分發生在交換器晶片層級，隔離最徹底、效能影響最小，而且可以細緻設定「哪個 VLAN 可以存取哪個 VLAN」。如果你家有 NAS、監視器主機等需要被保護的設備，這是最理想的架構。
2-2 主流品牌訪客網路功能對照
品牌／韌體
實作方式
獨立子網
頻寬限制
可存取區域網路選項
ASUS（原廠韌體）
B／C（部分機種）
有（每頻段設定）
有，預設可勾選
TP-Link（家用 Deco／Archer）
有（部分型號）
有，需手動關閉
D-Link
多數無
OpenWrt
C（VLAN + 防火牆 Zone）
有（SQM／tc）
可自訂
入門款（千元以下）
多半無
如果你的路由器屬於最左邊那欄的入門款，別灰心，還是有補救方式：把訪客網路當成「唯一對外出口」，也就是讓主網路的有線裝置躲在 NAT 後面，或者直接把不信任的裝置接在另一台獨立的路由器上。稍後在第五節會補充這種「土法煉鋼」的做法。
三、隔離效果實測：訪客真的碰不到你的 NAS 嗎？
規格表寫得再漂亮，都不如實際測一次。以下是我在家中環境做的實測，測試重點只有一個：站在訪客網路的裝置，到底能不能摸到主網路的資源？
3-1 測試環境與測試方法
測試環境如下：路由器為支援獨立子網與頻寬限制的中階機種，主網路網段 192.168.1.0/24，訪客網路網段 192.168.50.0/24，兩者皆開啟 NAT。主網路上掛了一台 Synology NAS（192.168.1.10，開啟 SMB 與 DSM 管理介面）、一台網路印表機（192.168.1.20）、一台 Windows 電腦（192.168.1.30，開啟共用資料夾與遠端桌面），以及一台 Apple TV（192.168.1.40）。訪客端使用一台筆電與一支手機，連上 MyHome-Guest 後取得 192.168.50.x 位址。
測試項目共八項，涵蓋 ICMP、TCP 埠掃描、SMB／AFP 分享、mDNS 裝置發現、UPnP 探索、以及 IPv6 連通性。每一項都在兩種設定下各測一次：設定甲是「允許訪客存取區域網路」關閉、防火牆依預設；設定乙是該選項開啟。這樣才能看出那個小小的勾選框到底影響多大。
3-2 實測結果
測試項目
設定甲（隔離關閉存取）
設定乙（允許存取區網）
說明
ping 主網路閘道 192.168.1.1
無回應
有回應
乙設定下可直接探測主網段
ping NAS 192.168.1.10
無回應
有回應
乙設定等於門戶洞開
連線 NAS SMB 445 埠
失敗（連線逾時）
成功建立 TCP 連線
乙設定可嘗試暴力破解帳密
開啟 NAS DSM 管理頁面
無法連線
可載入登入頁
暴露管理介面是重大風險
存取 Windows 共用資料夾
失敗
成功列出共用清單
乙設定下可見所有分享
mDNS 裝置發現（Apple TV）
未出現
出現在「附近裝置」
多播封包未被阻擋
網路印表機自動探索
未發現
自動加入可用印表機
乙設定下可直接列印
IPv6 連通至主網段裝置
不通
部分可通
IPv6 隔離需另外確認
結果非常明確：只要「允許訪客存取區域網路」這個選項沒有關掉，訪客網路幾乎等於沒有隔離。訪客裝置不但能 ping 到 NAS，甚至能直接開啟管理介面、列出 Windows 共用資料夾、自動連上印表機。而把該選項關閉後，上述所有連線都被防火牆擋下，只剩「上網」這項功能，這才是訪客網路應有的樣子。
另一個值得注意的細節是「訪客之間」的互通性。在多數實作中，訪客裝置彼此之間預設會被 AP 隔離擋住，也就是說，就算兩位訪客同時連上同一個訪客 SSID，他們也 ping 不到對方。這在公共場合很重要，可以避免惡意訪客掃描同網路中其他人的裝置。如果你發現訪客之間居然能互通，請檢查路由器的「AP 隔離」或「無線用戶端隔離」選項是否開啟。
3-3 隔離失效的四個常見原因
原因一：勾選了「允許訪客存取區域網路」。這是最常見、也最致命的問題。很多路由器為了「方便」讓訪客使用網路印表機或 Chromecast，把這個選項預設開啟，結果整個隔離形同虛設。設定時務必手動確認它是關閉的。
原因二：訪客網路與主網路共用同一子網。部分入門款路由器只是多加一組 SSID，後端根本沒有切網段。這種情況下，即使關掉「允許存取區網」，某些機種仍會因為橋接模式而讓兩邊互通。判斷方法很簡單：連上訪客網路後，看看取得的 IP 前三碼是否與主網路相同，若相同，就代表沒有獨立子網。
原因三：IPv6 未同步隔離。很多人在設定 IPv4 防火牆時，忘了 IPv6 是另一套規則。有些路由器會把 IPv6 前綴直接發給訪客裝置，讓它們取得全域位址，此時只要對方知道目標的 IPv6 位址（而 IPv6 位址是可以透過 mDNS 或掃描取得的），就可能繞過 IPv4 的封鎖。設定完畢後，建議在訪客端實際測試 IPv6 連通性。
原因四：有線設備接錯埠。如果你家有實體網路線連到訪客區（例如客廳的網路孔、車庫的 AP），要確認那個埠是否被分配到訪客 VLAN。曾有案例是訪客網路的 Wi-Fi 很安全，但客廳的實體網路孔仍屬於主網路，結果訪客插上線就直通內網。這種有形與無形的混搭，是企業環境常見的疏漏，家庭環境也一樣要注意。
四、頻寬限制實測：限多少才不會被抱怨
訪客網路另一個常被討論的功能是「頻寬限制」。它的目的不是為了懲罰客人，而是避免某個人用訪客網路下載超大檔案或跑 P2P，把整條對外頻寬吃光，導致自家人追劇卡頓、視訊會議斷線。但限速設得太嚴，客人又會覺得「你家網路怎麼這麼慢」。這個平衡點需要一些實測數據來支撐。
4-1 頻寬限制的運作原理
路由器上的頻寬限制通常有兩種層級：「每台裝置限速」與「訪客網路總量限速」。前者是針對每一個連上訪客網路的用戶端個別套用上限，後者是整個訪客頻段共用一個總額。多數家用路由器實作的是「每裝置限速」，也就是說，如果你設 20 Mbps，三位客人同時在線，理論上總流量可以到 60 Mbps。
技術上，路由器多半使用「令牌桶（Token Bucket）」演算法來控制流量，它會允許短暫的突發流量超過設定值，再逐漸回歸平均速率。因此你在測速網站上看到的數字，往往會比設定值略高一些，這是正常現象。另外要注意的是，限速通常同時影響上傳與下載，但有些機種只支援限制下載，設定時要看清楚欄位說明。
4-2 實測數據：不同限速設定的實際吞吐量
以下測試使用同一條對外頻寬（下載 300 Mbps／上傳 100 Mbps，光纖到府），訪客端為支援 Wi-Fi 6 的筆電，距離路由器約 3 公尺無遮蔽。測試項目為連續三次 Speedtest 取中位數。
限速設定（下載）
實測下載平均值
實測上傳平均值
延遲（ping 8.8.8.8）
評價
不限速
287 Mbps
96 Mbps
8 ms
佔滿全部頻寬
100 Mbps
108 Mbps
93 Mbps
9 ms
突發溢流約 8%
50 Mbps
54 Mbps
52 Mbps
10 ms
溢流約 8%
20 Mbps
22 Mbps
21 Mbps
12 ms
適合一般瀏覽
10 Mbps
11 Mbps
10.5 Mbps
14 ms
可應付 1080p 串流
5 Mbps
5.4 Mbps
5.1 Mbps
18 ms
僅適合文字與社群
從數據可以看出幾個重點：第一，限速的實際值通常比設定值高約 5% 到 10%，這是令牌桶演算法的正常溢流，不需要因此把設定值調低。第二，上傳與下載若設成同一個數值，實際影響通常在下載端較明顯，因為多數家用網路的瓶頸在「下載」而非「上傳」——但如果你家常有人用訪客網路備份手機照片到雲端，那上傳限制就很重要了。
第三個觀察是延遲。限速越嚴格，排隊延遲（bufferbloat）反而可能上升，因為封包被塞進更窄的管道。實測中 5 Mbps 的設定延遲從 8 ms 上升到 18 ms，對視訊會議或遊戲會有些微影響。如果你的路由器支援 SQM（Smart Queue Management）或 QoS 智慧佇列，建議一併開啟，可以明顯改善延遲表現。
4-3 建議配置與實務建議
那麼到底該設多少？我的建議是以「單一 4K 串流所需頻寬的兩倍」為基準。4K 串流大約需要 25 Mbps，兩倍就是 50 Mbps。對大多数家庭來說，訪客網路設 50 Mbps 下載、20 Mbps 上傳，既能讓客人順暢看 YouTube 與視訊通話，又不會把自家頻寬吃光。如果你的對外頻寬本來就只有 100 Mbps，建議降到 30 Mbps／10 Mbps。
另外有幾個實務細節值得注意：若你的路由器支援「每裝置限速」，要考慮同時上線人數，例如設 20 Mbps 而同時有 5 位訪客，總量仍可達 100 Mbps；若只支援「訪客網路總量限速」，則要直接把總額設在對外頻寬的 50% 左右。最後，別忘了把「訪客網路開放時間」也考慮進去，部分路由器支援排程，例如只在下班後或假日開啟，平時關閉可以減少被探測的表面積。
五、三大品牌實機設定步驟
理解原理後，接下來進入實作。以下以三種常見環境說明設定流程，各家介面用語略有差異，但邏輯相通。
5-1 ASUS 路由器設定流程
登入管理介面後，左側選單找到「訪客網路」。ASUS 的介面會把 2.4 GHz 與 5 GHz 分開列出，你可以只開 5 GHz 以減少干擾。首先勾選「啟用訪客網路」，接著設定 SSID 與密碼，加密方式選 WPA2-Personal 或 WPA3。關鍵步驟在下方兩個選項：「允許訪客存取區域網路」必須保持未勾選；「訪客網路開放時間」可依需求設定排程。
再往下會看到「頻寬限制」，分別填寫下載與上傳的 Mbps 數值，建議 50／20 起跳。若你的機種支援「訪客網路 VLAN」，可在進階設定中替訪客網路指定獨立 VLAN ID（例如 20），這樣隔離會更徹底。設定完成後別忘了按下「套用本頁設定」，部分機種會重新啟動無線模組，約 30 秒後生效。
5-2 TP-Link（Archer／Deco）設定流程
TP-Link 家用路由器的訪客網路通常位於「進階 → 無線網路 → 訪客網路」或 Deco App 的「Wi-Fi 設定 → 訪客網路」。在 Archer 系列中，勾選「啟用」後設定 SSID 與密碼，接著在「訪客權限」區塊確認「允許訪客存取本地網路」是關閉的。頻寬限制欄位若存在，通常命名為「頻寬控制」或「QoS → 頻寬限制」，需先啟用 QoS 才能設定。Deco 系列則是在 App 中直接以滑桿調整，較為直覺。
要特別注意的是，部分 TP-Link 機種的訪客網路與「IoT 網路」是分開的功能，如果你只是想給家電用，可以考慮開 IoT 網路並關閉「允許存取本地網路」，效果與訪客網路類似。設定完畢後，建議用訪客端裝置實際連線測試，並執行一次區網掃描確認隔離生效。
5-3 OpenWrt 進階設定（VLAN 隔離）
若你使用 OpenWrt，做法是建立一個新的網路介面（例如 guest），指定獨立的 VLAN 或無線 SSID，並在 DHCP 伺服器中設定不同網段。接著到「防火牆 → 區域（Zones）」新增一個 guest 區域，將 guest 介面加入，並設定「輸入：拒絕、輸出：接受、轉發：拒絕」。最後在「防火牆 → 轉發規則」中，只允許 guest 轉發到 wan，不允許轉發到 lan，這樣就完成了最嚴格的隔離。
若要加上頻寬限制，OpenWrt 可透過 SQM 套件或 tc 指令達成，前者適合一般使用者，後者適合進階玩家。SQM 的設定原則是將頻寬設為實際對外頻寬的 85% 到 90%，並選擇 cake 或 fq_codel 佇列演算法，能同時達到限速與降低延遲的效果。這套方案雖然設定門檻較高，但隔離強度與控制彈性都是家用路由器中最頂尖的。
六、訪客網路的資安盲點與進階加固
設定完成不代表萬無一失。實務上還有一些容易忽略的盲點，值得在開通訪客網路前逐一確認。
6-1 五個常見誤解
誤解一：「有訪客網路就不用改主網路密碼。」錯。訪客網路是給「不該進內網的人」用的，但你自己的家人、常用裝置仍要連主網路。如果主網路密碼曾經外流，該換還是要換，訪客網路不能取代基本密碼衛生。
誤解二：「訪客網路可以擋住所有的攻擊。」錯。訪客網路擋的是「橫向移動」，也就是訪客從內網攻擊其他裝置。但它擋不住對外網路的攻擊，也擋不住訪客裝置本身中毒後對外發起的 DDoS 或垃圾郵件。若你真的很擔心，可以在路由器上設定「訪客網路禁止 SMTP 埠 25」這類出站規則。
誤解三：「限速越低越安全。」錯。限速與安全性無關，只與頻寬分配有關。把限速設得極低只會讓客人抱怨，不會增加任何安全性。
誤解四：「訪客網路自動隔離，不用管設定。」錯。如第三節實測所示，同一個「訪客網路」功能，有勾與沒勾「允許存取區域網路」，安全性天差地遠。務必親自驗證。
誤解五：「有線裝置一定安全。」錯。若訪客能接觸到你家客廳的網路孔，而該孔屬於主網路，那訪客插線就能直通內網。建議把對外開放的實體孔位接到訪客 VLAN。
6-2 進階加固清單
七、結論：什麼情況該開訪客網路
回到最初的問題：訪客網路該不該設？我的答案是「只要你的路由器支援獨立子網，就該開」。它解決的不是「能不能上網」的問題，而是「外人與自家資源之間該不該有一道牆」的問題。從實測結果來看，這道牆只要設定正確，效果非常明確——訪客完全碰不到你的 NAS、印表機與電腦，只能透過 NAT 上網，而且頻寬還能依需求調整。
但同時也要認清它的極限：訪客網路不是萬靈丹，它無法防止訪客裝置本身帶毒、無法取代主網路的密碼管理、也無法阻止實體接觸帶來的風險。它是一個「縱深防禦」中的一環，而不是唯一一環。真正安全的家庭網路，是主網路、訪客網路、IoT 網段三層分離，加上定期更新韌體與關閉不必要的服務。
最後給各位一個實用建議：設定完訪客網路後，拿自己的手機連上去，試著用區網掃描 App（例如 Fing）掃一遍網段，看看能不能發現你家其他裝置。如果掃不到任何東西，只剩下路由器閘道與自己，那就代表設定成功；如果清單裡出現了 NAS 或印表機，請立刻回到管理介面，把「允許訪客存取區域網路」關掉。這個簡單的驗證動作，比任何規格表都有說服力。
網路安全從來不是一次性的任務，而是一種習慣。花十分鐘把訪客網路設好，往後每次有人問「你家 Wi-Fi 密碼是多少」，你都能優雅地給出那組專屬密碼，而不必擔心對方隔天就出現在你家 NAS 的登入紀錄裡。這，就是訪客網路真正的價值。
```
💬 想說點什麼？
歡迎到留言板分享你的想法、心得或疑問。
💬 前往留言板 →