區域網路頻寬被少數裝置佔滿（如 BT 下載、影音串流）時，透過路由器內建的 MAC 位址綁定、IP/MAC 過濾防火牆功能，可精準管控哪些裝置能上網、哪些僅能內網互訪。本文以 TL-R402M 為例，詳細說明「禁止特定裝置」與「僅允許特定裝置」兩種策略的設定步驟。

一、 取得所有裝置的 IP 與 MAC 位址

• 本機查詢：Win+R → cmd → ipconfig /all，記下「實體位址」(MAC) 與 IPv4 位址。
• 掃描其他裝置：nbtstat -A 目標IP 或使用「區域網路掃描工具」（如 Advanced IP Scanner）批次取得。

二、 登入路由器管理介面

瀏覽器輸入 192.168.1.1，預設帳密 admin/admin。

三、 策略 A：禁止特定裝置上網（黑名單模式）

1. 「安全設定」→「防火牆設定」→ 勾選「啟用防火牆」、「啟用 MAC 位址過濾」→ 選「禁止已設 MAC 清單中已啟用的 MAC 位址存取 Internet」。
2. 「安全設定」→「MAC 位址過濾」→「新增條目」→ 填入被禁止裝置的 MAC → 選「啟用此條目」→ 儲存。

效果：該裝置無法上外網，但區域網路內部通訊正常。

四、 策略 B：僅允許特定裝置上網（白名單模式，安全性更高）

1. 綁定自己的 IP-MAC：「DHCP 伺服器」→「靜態位址分配」→ 將自己的 MAC 與固定 IP 綁定（如 192.168.1.50）。
2. 啟用 IP+MAC 雙重過濾：「安全設定」→「防火牆設定」→ 勾選「啟用防火牆」、「啟用 IP 位址過濾」、「啟用 MAC 位址過濾」→ 選「不符合 IP 過濾規則的封包禁止通過」且「僅允許已設 MAC 清單中已啟用的 MAC 存取 Internet」。
3. 新增允許規則：
   • 「IP 位址過濾」→ 新增 → 填入自己的 IP（192.168.1.50）→ 啟用所有條目。
   • 「MAC 位址過濾」→ 新增 → 填入自己的 MAC → 啟用所有條目。

效果：除您的裝置外，其他裝置完全無法存取 Internet，區域網路內部通訊不受影響。

五、 核心原理與建議

• 原理：路由器內建防火牆依據 IP/MAC 規則轉發/丟棄封包。
• MAC 位址可偽造，建議搭配「靜態 IP 綁定」與「無線加密（WPA2-PSK/AES）」雙重防護。
• 企業/網吧環境建議部署專業行為管理/ACL 設備，功能更完善。