前言

企業/家庭局域網面臨未授權裝置 (私人手機、筆電、隨身 Wi-Fi) 偷接風險。本文提供兩層防護：路由器 MAC 位址過濾 (僅限外網存取控制) 與 大勢至內網安全衛士 (全方位內網/外網隔離)，依據管理權限與需求選擇部署。

方案一：路由器 MAC 位址過濾 — 僅控制「上網」權限

1. 瀏覽器登入路由器管理介面 (192.168.1.1/0.1)。
2. 【安全設定】→【防火牆設定】→ 勾選：
   ☑ 開啟防火牆
   ☑ 開啟 MAC 位址過濾
   ☑ 僅允許已設 MAC 位址清單中已啟用的 MAC 位址存取 Internet
3. 【MAC 位址過濾】→【新增條目】：
   輸入允許上網裝置的 MAC 位址、描述 (使用者名稱) → 【生效】→【儲存】。

⚠️ 局限性

• 僅阻擋「存取外網 (Internet)」，無法阻止內網互訪、存取檔案伺服器、印表機。
• MAC 位址可偽造 (克隆)，技術門檻低。
• 管理成本高：新裝置需手動登入路由器新增 MAC。

方案二：大勢至內網安全衛士 — 內網/外網雙向完全隔離

1. 百度「大勢至內網安全衛士」官網下載試用版。
2. 解壓 → 先執行 WinPcap.exe 安裝驅動 → 再執行 LanProtector.exe 安裝主程式。
3. 啟動軟體 → 選擇 工作網卡 (上網那張)。
4. 隔離選項 全勾：☑ 禁止存取內網 ☑ 禁止存取外網 → 【開始監控】。
5. 掃描完成 → 依已知合法主機 IP 勾選 → 【移至白名單】。
   未移至白名單者：無法存取內網資源、無法上外網，徹底隔離。

大勢至核心功能矩陣

部署建議

• 🏢 企業核心區： 核心交換機旁部署大勢至 (鏡像埠/旁路)，啟用全隔離模式，白名單制管理。
• 🏠 家庭/小辦公： 路由器 MAC 過濾 + 訪客網路隔離 (Guest SSID) 通常足夠。
• 🔧 維護模式： 新裝置入網時，暫時加入白名單/路由器 MAC 清單，驗證無誤後固定化。

結語

路由器 MAC 過濾適合「只管上網不管內網」的輕量管控；大勢至內網安全衛士提供「內網資源 + 外網存取」雙向完全隔離的企業級方案。建議依據資產價值與管理資源，選擇單層或雙層部署，建立「白名單制、未授權零存取」的局域網邊界防線。

功能模組	防護對象	效果
未知主機隔離	外來筆電/手機/平板	雙向斷網，無法存取任何內網資源
手機/無線裝置偵測	Wi-Fi 連入裝置	識別並可選擇性封鎖
無線基地台/隨身 Wi-Fi 偵測	未授權 AP	自動斷開、防止網路擴展
IP/MAC 修改防護	惡意偽裝主機	偵測並封鎖變更行為
混雜網卡/嗅探防護	竊聽流量裝置	識別混雜模式網卡並隔離
ARP 攻擊防護	中間人攻擊	自動隔離攻擊源