仅限 VPN 的家庭网段：要切断回退，而不只是改 SSID

你把访客 SSID 放到 VPN 上，就管这个网段叫仅限 VPN。然后隧道断了两分钟，设备悄悄回到普通 WAN。SSID 的名字里没有任何东西阻止这一点。仅限 VPN 的网段是由隧道不可用时会发生什么来定义的，而不是由网络的标签来定义。

标签是承诺；回退策略才是执行。

误区：SSID 就是边界

没有自己转发策略的 SSID 只是一个名字。边界是单独的接口、VLAN 或子网，有自己的 DHCP 作用域和自己的规则。VLAN 能给你一个 Wi-Fi 名字给不了的转发边界。

客户端隔离也属于设计的一部分。网段上的两台设备可能需要互相通信，也可能不需要，这个选择应当明确，而不是从访客配置文件继承。

在写第一条规则之前，先记下网段的接口和地址范围。这一行能避免后面的大部分混乱。

误区：隧道路由覆盖所有协议

把固件的策略应用到该网段，让它发往互联网的流量走隧道。配置隧道所需的远程转发和转换。只保留该网段真正需要的本地资源访问。

检查两种地址族。如果 IPv6 没有通过隧道承载，策略就必须处理它，否则支持 IPv6 的设备会找到一条你并不想要的直连路由。

只针对 IPv4 的断网开关加上已启用的 IPv6，是常见的泄漏方式。要用支持 IPv6 的客户端测试，而不只是手边的笔记本电脑。

误区：DNS 和隧道端点会跟随隧道

路由器 DNS 可以在本地生成，并遵循路由器自己的路由表，而不是网段的策略。要决定该解析器应走哪条路径，以及隧道失败时它会怎么做。VPN 自己的端点连接是另一个例外：它需要一条已记录的通向对端的外部路由。把这条连接送进隧道，它就无法建立。

把恢复管理同网段的互联网访问分开。如果对端故障还把你锁在路由器之外，你就把隧道中断变成了上门维修。把这种访问留在管理网络上，而不是仅限 VPN 的网段上。

究竟是什么让它仅限 VPN

隧道断开时，阻止该网段的普通 WAN 转发。让标签成真的是那条规则，而不是 SSID。用网段设备发出的无害流量来测试。

做三项检查：经隧道的正常运行、隧道断开时获准的故障测试，以及隧道恢复后的复原。确认另一个家庭网段全程保持自己预期的路由。把任何直连例外记录下来，否则标签会藏起你已不记得的路径。

对网段、所选隧道和例外做一份简短记录，就能在固件更新改变规则顺序或解析器行为后给你具体的检查项。pfSense 的 WireGuard 客户端配方 是隧道一侧的有用参考，而不是网段策略的替代品。