家里换了新路由，手机能连 WiFi，但打印机在电脑上死活搜不到，智能灯泡配网也总在最后一步失败。折腾半天发现，是路由器里一个叫 AP 隔离的开关被打开了。这功能在访客网络里默认开启，部分固件的主网络也悄悄开着。

它到底隔离了什么

AP 隔离，有的固件写作客户端隔离、Client Isolation、无线隔离。打开之后，连在同一个 SSID 下的无线设备之间二层互相不可见。手机 ping 不通电脑，电脑扫不到打印机，电视投屏也搜不到手机。但它们访问路由器本身和外网都正常，所以从能不能上网这个角度看毫无异常。

什么时候它是好东西

  • 公共 WiFi：咖啡厅、酒店必须开，否则隔壁的人能直接扫你的共享目录。
  • 访客网络：客人连访客 SSID，隔离后碰不到家里的 NAS 和摄像头。
  • 智能家居单独 SSID：把摄像头、插座放进独立网络，防止被攻破的设备横向扫描内网。

什么时候必须关掉

局域网内要互相发现的服务都怕它：WiFi 打印、DLNA 投屏、AirPlay、米家和涂鸦的本地直连、SMB 共享、局域网联机游戏、自建的 Home Assistant。表现是设备列表里看不到对方，但各自上网都正常。到无线设置里找到这个开关关掉，重启一次无线，通常立刻恢复。

两个容易忽略的连带项

一个是无线隔离和 AP 隔离在不同品牌里指同一件事，别以为关了一个就没事。另一个是访客网络即便主网络不隔离，访客 SSID 仍然默认隔离，把打印机放到访客网络上照样不通。双频合一的环境还要确认两个频段用的是同一套策略，2.4G 和 5G 被当成两个独立网络时，跨频段通信也会被挡。

怎么判断是不是隔离导致的

两台设备连同一 SSID，用手机 ping 电脑的内网 IP，通就不是隔离问题；不通但都能上网，八成是隔离或者 VLAN 划分。ping 得通却仍然搜不到设备，那方向变了，去看组播是否被挡、防火墙有没有拦对应端口，UPnP 有没有被关掉。

隔离之外的加固思路

真要给访客用，单独开一个访客网络并且设密码、限制带宽，比在主网络上反复折腾隔离省事。路由器支持 VLAN 的话，把 IoT 设备划到单独网段，再配一条只允许访问外网和指定端口的规则，这才是稳妥的做法。老路由器没有这些功能，就接受访客网络加隔离这个折中。

取舍：家里图方便就别开，需要给客人用就单独建访客网络；舍不得换设备，访客网络加隔离是最省钱的方案。