家里WiFi总卡？明明就你一个人用，下载速度却像蜗牛爬？别急着换宽带，先看看是不是有人在蹭你的网。尤其老式交换机或没设密码的网络设备，最容易被邻居“顺手牵羊”。今天就来聊聊怎么用交换机本身做点小动作，把蹭网的人挡在门外。
先搞清一个误区：普通交换机不带无线功能
很多人以为“交换机”就是路由器，其实不是。家用常见的8口、16口交换机（比如TP-Link TL-SG108、H3C S1208）只是负责有线设备之间转发数据，它自己不发WiFi，也不管谁连了无线——所以防蹭网的第一道关，得落在路由器上。但如果你家是“路由器→交换机→多台电脑”的结构，那交换机也能配合做一些限制，让蹭网者即便拿到IP也用不稳、连不上。
方法一：MAC地址绑定（最实用）
每台上网设备都有唯一MAC地址，就像身份证号。你在交换机管理界面（通常是浏览器输入192.168.1.1或192.168.0.1）里开启端口安全或静态MAC绑定功能，只允许指定MAC地址通过某一口接入。
以TP-Link TL-SG108E为例，登录后进入【QoS】→【端口安全】→启用，并添加你家台式机、NAS、打印机等固定设备的MAC地址，绑定到对应端口。这样，哪怕有人把网线插进空闲口，只要MAC不在白名单里，交换机直接丢包，根本通不了。
方法二：关闭未使用端口
很多用户买了8口交换机，实际只用了3个口，剩下5个空着。这些空口就是安全隐患——别人随手一插，可能就搭上你内网了。进管理界面，找到【端口配置】或【Port Control】，把不用的端口状态设为“Disable”。既省电，又断掉所有意外接入可能。
方法三：划分VLAN隔离访客流量（进阶）
如果你用的是支持VLAN的交换机（如华为S1700、锐捷RG-S2900），可以建两个VLAN：VLAN 10给自家设备，VLAN 20专供临时访客（比如朋友来时给个独立网段）。再配合路由器DHCP分配不同网段IP，就能做到：你家电脑和隔壁老王手机虽然都连在同一台交换机上，但互相ping不通，也看不到对方共享文件夹。
示例配置（华为S1700命令行）：
system-view
vlan 10
port ethernet 0/0/1 to ethernet 0/0/4
quit
vlan 20
port ethernet 0/0/5 to ethernet 0/0/8注意：VLAN生效需要路由器也支持并做对应子网路由，否则光配交换机没用。
顺手提醒：别忘了路由器这关
交换机只能管有线侧，真要防蹭网，还得回过头加固路由器：改掉默认WiFi名（别叫“TP-Link_XXXX”）、用WPA3加密、关掉WPS按钮、定期查已连接设备列表。有些路由器（如华硕、小米AX系列）还自带“访客网络”开关，一键隔离，比折腾交换机更直接。
最后说一句实在的：防蹭网不是为了抠那点带宽费，而是保护你NAS里的照片、电脑里的文档、甚至智能家居的控制权。花十分钟配好，后面半年都踏实。