智能家居需要 VPN 吗？哪些环节真正需要保护

现在的家里可能有几十件联网的东西：灯泡、插座、温控器、门铃、摄像头、扫地机器人、听到名字就醒来的音箱、总想升级的电视。每一件都是你 Wi-Fi 上的一台小电脑。人们一听到“保护你的设备”，常常首先想到 VPN，因为那是他们最熟悉的隐私工具。

对于智能家居，诚实的回答要比“要”或“不要”细致得多。VPN 确实能解决几个真实的问题，但多数智能设备本身无法运行它，许多设备被强行套进去还会出故障，而智能家居里最大的风险往往在别处。本文用盘点的思路来讲：你实际拥有什么、每个部分真正需要什么、VPN 适合放在哪里，以及哪些步骤值得你花的第一个小时。

先盘点网络里有什么

不能列出来的东西就没法保护。打开路由器的已连接设备页面或 Wi-Fi 应用，把每一项都记下来。多数家庭的清单比想象的长。把看到的东西分成下面几类。

类别	例子	在网络里做什么
控制端	用来管理家居的手机、平板、笔记本	存着应用和账号，是价值最高的目标
网关与桥接器	智能家居中枢、灯具桥接器	与许多设备通信，常有本地控制
摄像头与门铃	室内摄像头、视频门铃	传输视频，内容敏感
语音与媒体	智能音箱、显示屏、电视、流媒体棒	带麦克风、账号，有时还有支付
简单设备	插座、灯泡、传感器、开关	数据少，单个风险低
家电	扫地机器人、洗衣机、空调	连接云端，有的会保存你家的地图
出入口	路由器、Mesh 节点、网络存储	通向其他一切的门

留意你不认识的，或者已经不再使用的设备。闲置的联网设备是安静的风险：它们仍然保存着你的 Wi-Fi 密码，却可能永远得不到更新。

VPN 对智能设备能做什么、不能做什么

VPN 会加密设备与 VPN 服务器之间的流量，并改变网站看到的地址。把它放到智能家居里，图景就清晰了。

它能帮上忙的地方：

• 在你使用公共或共享 Wi-Fi 时，保护用来控制家居的手机或笔记本。
• 如果你让某台设备走隧道，可以对你的宽带运营商隐藏该设备互联网流量的去向。
• 如果你在家里架设 VPN 服务器，它能让你从外面安全地回到家庭网络，而不必把设备直接暴露在互联网上。

它做不到的事：

• 它不会修复设备的弱密码或默认密码。
• 它不会更新旧固件。
• 它不会阻止设备把数据发给厂商，只是在传输途中加密而已。
• 它不会阻止你家网络里的另一台设备访问它。在家里面，VPN 并不处于设备之间。
• 它不能防范诱骗你填写智能家居账号信息的钓鱼消息。更多内容可读 VPN 无法保护你的哪些方面。

最简短的总结：VPN 保护的是一条路径，而智能家居的大多数弱点在路径两端的设备上。

为什么多数智能设备不能直接“用 VPN”

不能在智能插座或摄像头上安装 VPN 应用，有几个现实的原因。

1. 没有应用支持。 灯泡、插座和传感器运行固定的固件，没有应用商店可供安装。
2. 没有相关设置。 即使有操作系统的设备，比如某些电视，也可能不提供 VPN 客户端功能。
3. 本地控制依赖家庭网络。 许多网关通过本地发现来找设备。把一切都送出家门的隧道会破坏这一点。
4. 云服务不喜欢陌生地址。 有些应用和设备会检查你从哪里连接，地址变化时可能拒绝，或要求额外确认。
5. 延迟。 语音指令和摄像头画面对时间敏感，加一层隧道会增加延迟。

所以用 VPN 覆盖某台设备的选项有限：要么让它的流量走一台支持 VPN 的路由器，要么不管它。前者有一些取舍，下面来说。

在路由器上设 VPN：对智能家居有意义吗

在路由器上放 VPN 客户端，是覆盖那些无法运行应用的设备的唯一办法。VPN 路由器与 VPN 应用的对比里有更深入的讨论，帮助指南在路由器上设置 VPN讲了实际操作。针对智能家居，请考虑以下几点。

可能的好处：

• 每台设备的出站流量都从隧道离开，对宽带运营商隐藏去向。
• 一项设置覆盖所有设备，无需逐台装应用。

常见的缺点：

• 设备出故障。 摄像头、音箱和家电有时会与厂商云端失联，或在应用里显示离线。
• 本地控制问题。 如果路由器把所有流量都送进隧道，家里的设备之间仍能通信，但需要查找你的位置或本地网络的功能可能失效。
• 响应变慢。 门铃和语音助手会有迟钝感。
• 单点故障。 隧道一断，要么全屋断网，要么流量漏到普通连接上，视路由器的行为而定。
• 维护负担。 你得负责排查为什么灯突然不亮了。

比较合理的折中做法是有选择地路由。有些路由器可以让选定的设备走隧道，其他设备直接出去。比如你让电视和笔记本走隧道，但不让摄像头系统走。如果你的路由器做不到，那么这个好处很可能不值得折腾。

比 VPN 更值得先做的步骤

如果想用有限的精力换来实实在在的提升，对多数家庭来说，下面这些步骤比 VPN 更划算。

1. 更换所有默认密码。 许多入侵始于出厂密码或重复使用的密码。用密码管理器，为每个设备账号设置不重复的密码。
2. 开启双重登录验证，用于控制家居的应用，尤其是摄像头和网关账号。CISA 的多因素认证指南解释了它为何重要。
3. 更新固件。 设备提供自动更新的就打开，对不再获得更新的设备考虑更换。
4. 划分网络。 把智能设备放到访客网络或单独的 IoT 网络，让被攻破的插座看不到你的笔记本。Mesh 系统和许多路由器都有这个功能。零信任与 VPN 解释了“每台设备在被证明可信之前都视为不可信”的思路，NIST 的零信任文档给出了正式的说法。
5. 关闭不用的功能。 远程访问、UPnP 和云共享选项，在无人使用时开着只会扩大暴露面。
6. 不要给摄像头做端口转发。 把摄像头开放到互联网，是它们最常被发现并遭滥用的途径之一。
7. 检查哪些账号和应用有访问权限，删除旧的。
8. 备份控制端设备，并让它们的操作系统保持最新。

远程访问家里：VPN 在智能家居中最擅长的工作

在智能家居里，VPN 真正出彩的只有一件事：安全的远程访问。假设你出差时想看摄像头或调整暖气。有风险的做法，是在路由器上开放端口，让设备对整个互联网作出应答；更安全的做法，是在家里架设 VPN 服务器。你用手机连接这台服务器，设备就像你在屋里一样可以访问。

关于这条路，需要了解：

• 需要一台能充当 VPN 服务器的路由器或家用服务器。自己运行与订阅服务的区别，见自建 VPN 与商用 VPN 的对比。
• 需要一个可以从外部访问的公网地址。如果运营商让多个用户共用一个地址，没有替代办法就行不通。
• 多数摄像头和网关应用本身已提供基于云的远程查看。这条路无需开放端口，但依赖厂商的服务和账号安全。无论走哪条路，都要使用强密码并开启双重登录验证。
• 手机上的商用 VPN 应用不提供这个入口。它保护的是手机的流量，并不会把你连回家里。

三个场景

只有几个插座和灯泡的租客。 小桃有六个智能灯泡和两个插座，用手机控制。她不需要在这些设备上用 VPN。她更换了应用密码，开启了双重登录验证，只在咖啡馆的 Wi-Fi 上才在手机上使用 VPN 应用。

有摄像头和门铃的家庭。 一户人家有三台摄像头和一个视频门铃。他们先列出设备，发现一台早已不用的旧摄像头并将其移除，更新其余设备的固件，换掉所有默认密码，并把摄像头移到单独的网络。他们通过厂商的应用查看录像，并开启双重登录验证。测试发现门铃响应变慢之后，他们决定不在路由器上设置 VPN。

家里有中枢和大量传感器的发烧友。 老凯运行着本地中枢，想要远程访问。他在家里架设了 VPN 服务器，不再向设备转发任何端口，用移动数据测试，并关闭了中枢的云功能。他用自己的 VPN 服务器回家，用笔记本上的商用 VPN 应用连接公共网络，两者各司其职。

常见错误与局限

• 买了 VPN，却留着默认密码。 薄弱点在设备上，而不是路径上。
• 没有测试就把一切塞进隧道。 在依赖摄像头、门锁和语音助手之前先检查它们是否正常。
• 把访客网络当作事后补充。 把设备移到单独的网络，是你能做的最有用的改动之一。
• 用端口转发或 UPnP 暴露设备。 你能从外面访问，别人也能。
• 忽视不再获得更新的设备。 用得越久，风险越高。
• 以为 VPN 能阻止公司收集数据。 它只是在传输途中加密流量，并不会改变设备发送的内容，也不会改变厂商服务保存的内容。隐私上的取舍在产品本身，而不是路径。EFF 的 Surveillance Self-Defense 汇集了实用的指南。

如果你不确定家里需要多少保护，建立简单的威胁模型是个不错的起点练习，我需要 VPN 吗则帮助你把真实需求和习惯区分开。

总结

智能家居通常不需要在每台设备上装 VPN，因为多数设备无法运行它，而最大的弱点是弱密码、旧固件和对外开放的端口。VPN 在你用来控制家居的手机和电脑上最有用，也可以以家庭 VPN 服务器的形式提供安全的远程访问。先盘点设备，修复密码和更新，把智能设备分到独立网络，然后再决定通过路由器隧道转发流量的取舍是否值得。

如果你在外地管理家居时，希望手机和电脑也有 VPN 保护，可以到价格页面看看预付选项。