为什么需要限制局域网访问外网
在公司或家庭网络中，有时会发现某些设备在后台偷偷连接外网，比如智能电视自动更新、打印机尝试同步云端、员工用电脑访问高风险网站。这些行为不仅占用带宽，还可能带来安全风险。尤其是企业环境，数据泄露往往就是从一台随意上网的终端开始的。
通过合理设置外网访问限制，可以有效控制哪些设备能上网、能访问哪些服务，把风险关进“笼子”里。
路由器ACL规则限制访问
大多数企业级路由器都支持ACL（访问控制列表），可以通过规则精确控制局域网内设备的外网访问权限。比如，只允许财务部门的IP段访问银行系统相关域名，其他请求一律拦截。
以常见路由器为例，添加一条拒绝特定IP访问外网的规则：
access-list 101 deny ip 192.168.1.100 any
access-list 101 permit ip 192.168.1.0 0.0.0.255 any
interface gigabitethernet0/0
ip access-group 101 out这条规则会阻止IP为192.168.1.100的设备访问任何外部地址，而同一网段其他设备不受影响。
利用防火墙屏蔽出站连接
Windows自带的防火墙不仅能防别人连你，还能管你自己往外连。比如某台电脑上有个程序总在后台上传数据，又不想卸载，就可以用出站规则把它“封死”。
打开“高级安全Windows防火墙”，选择“出站规则”→“新建规则”，选择“程序”路径，指定可执行文件，动作为“阻止连接”。保存后，这个程序就再也无法主动连外网了。
企业环境中，还可以通过组策略统一推送防火墙规则，批量管理上百台电脑的外网访问权限。
DNS层面拦截访问目标
有些限制方式不直接封IP，而是从DNS下手。比如在局域网内部部署一个DNS服务器，把某些域名解析到本地无效地址（如127.0.0.1），这样即使用户输入网址，也打不开页面。
在dnsmasq配置文件中添加：
address=/example.com/127.0.0.1
address=/bad-site.net/0.0.0.0重启服务后，所有走该DNS的设备都无法正常访问example.com和bad-site.net。这种方法简单高效，适合封锁广告、钓鱼网站或娱乐类站点。
基于MAC地址的访问控制
如果你不想按IP来管，也可以按设备的MAC地址做限制。比如家里孩子用的平板，MAC地址是A4:50:12:XX:XX:XX，可以在路由器里设置这条规则：仅允许在每天18:00到20:00访问外网。
这种控制方式的好处是不怕IP变动，设备一联网就被识别。很多家用路由器的“家长控制”功能就是基于这个原理实现的。
透明代理结合策略路由
对于技术能力较强的用户，可以在局域网中部署透明代理服务器，所有外网流量强制经过代理，再由代理根据URL、证书、内容类型等进行过滤。
例如使用Squid配置透明模式：
http_port 3128 transparent
acl blocked_sites dstdomain .youtube.com .tiktok.com
http_access deny blocked_sites配合iptables将80和443端口流量重定向到3128端口，即可实现无感知的内容管控。这种方式常用于学校、培训机构等场景。
物理隔离是最彻底的方式
有些关键系统，比如工业控制、医疗设备网络，干脆就不接外网。网线只接内网交换机，BIOS里禁用无线模块，从物理层面断绝外联可能。虽然牺牲了便利性，但换来的是绝对安全。
曾经有医院的CT机因为接入外网被勒索病毒加密，导致停诊三天。后来整改时直接拔掉外网线，加装独立内网，问题迎刃而解。