最近几个月，小李的工作节奏变得有点乱。周一到周三在办公室敲代码，剩下两天在家远程调试，说是灵活，可麻烦也跟着来了。最头疼的，就是怎么连公司内网才安全。家里路由器连着孩子的平板、老婆的智能电视，甚至还有个会说话的音箱，这些设备和工作电脑混在一个局域网里，总觉得哪儿不对劲。
混合办公，网络边界开始模糊
以前大家集中在办公室，公司防火墙一拦，内部系统基本稳了。现在人一半时间在咖啡厅、一半时间在客厅，办公终端散落在城市的各个角落。家里的Wi-Fi成了新的“前线”，而大多数人的家庭网络，压根没考虑过隔离办公设备。
你可能觉得：“我用公司发的笔记本，装了杀毒软件，应该没问题吧？”但现实是，一台同时登录微信家庭群和企业OA的电脑，只要家里网络被蹭，攻击者就能顺着这条线摸进公司系统。去年某科技公司数据泄露，追查下来就是因为员工在家用同一个路由器打游戏又开VPN，游戏外挂带了后门。
真正的风险藏在看不见的地方
很多人以为网络隔离就是装个VPN，其实这只是第一步。真正的隔离，是要让办公环境和私人环境从网络层面“断开”。比如你在家里，手机连Wi-Fi刷短视频，笔记本走VPN连公司服务器，看似分开，但如果这两台设备在同一个子网里，一旦手机中招，笔记本也可能被横向渗透。
更常见的是IoT设备拖后腿。智能灯泡、摄像头、扫地机器人，这些设备安全性普遍较弱，有的连固件更新都没有。攻击者入侵一个便宜的智能插座，就能扫描整个局域网，找到那台正在传合同的办公电脑。
简单有效的隔离方案
不需要买专业设备也能改善。最直接的办法是利用家用路由器的“访客网络”功能。把办公设备单独放在一个隔离的Wi-Fi下，和日常使用的设备隔开。虽然不能完全替代企业级方案，但至少能挡住大部分局域网内的横向攻击。
如果路由器支持VLAN（虚拟局域网），可以手动划分两个子网。比如给办公设备分配独立的IP段，并关闭跨网段通信。部分高端家用路由器如华硕、网件的型号支持这种配置。
# 示例：OpenWRT路由器中配置VLAN隔离的基本命令片段
uci add network switch_vlan
uci set network.@switch_vlan[-1].device='switch0'
uci set network.@switch_vlan[-1].vlan='2'
uci set network.@switch_vlan[-1].ports='2 3 4 6t'
uci commit network
/etc/init.d/network restart当然，普通用户不用自己敲命令。现在很多国产路由器已经提供“工作模式”一键隔离，开启后自动将指定设备与其他设备断开通信，适合不想折腾的人。
企业该做什么？别只靠员工自觉
光让员工自己想办法也不现实。公司IT部门可以部署零信任架构（Zero Trust），不再默认信任任何接入设备，每次访问都验证身份和设备状态。比如员工连上VPN后，系统先检查电脑是否安装最新补丁、是否有合规杀毒软件，全通过了才允许访问财务系统。
还可以结合MDM（移动设备管理）工具，强制办公设备启用防火墙、禁用USB传输、定期清除缓存。哪怕设备在家用，也能保持企业级管控。
混合办公不是临时应对，而是长期趋势。网络隔离也不是IT部门的独角戏，它需要每个人在家里的那张网里，多留一道门、多设一道卡。毕竟，你家客厅的Wi-Fi，可能正连着公司的数据库。