在部署企业或家庭WiFi网络时，很多人会设置访问控制列表（ACL）来管理哪些设备能接入网络。但有个细节经常被忽略——那就是ACL的最后一条规则。
为什么最后一条规则这么关键？
想象一下，你家的WiFi只允许手机、笔记本和智能电视连接，于是你在路由器里加了三条允许规则，分别对应这三类设备的MAC地址。看起来没问题，但如果你没手动添加最后一条“拒绝所有”的规则，系统会不会默认拦住其他设备？答案是：不一定。
很多家用路由器的ACL机制其实是“白名单+隐式放行”模式。也就是说，只要你没明确写上“拒绝所有”，那些不在列表里的设备仍然可能悄悄连进来。比如邻居蹭网，或者孩子的朋友带平板来玩，自动就连上了，你却浑然不知。
正确的做法长什么样？
一个完整的ACL应该像这样：
1. 允许 AA:BB:CC:DD:EE:FF （你的手机）
2. 允许 11:22:33:44:55:66 （你的笔记本）
3. 允许 77:88:99:AA:BB:CC （客厅电视）
4. 拒绝 * （所有其他设备）第4条就是最后一条规则，也叫“隐式拒绝”的显性化。一旦加上这条，任何不在前三个名单里的设备，哪怕信号再强，也别想连上你的WiFi。
不同设备的表现可能不一样
有些高端路由器会在你添加了几条允许规则后，自动补上“拒绝所有”作为结尾。但大多数普通家用型号不会这么做。比如TP-Link、小米这类常见品牌，ACL界面看似支持规则排序，但如果不手动拉到最后加一条拒绝，就等于没锁门。
你可以做个测试：先用允许规则封掉自己的手机MAC，再尝试连接。如果连不上，说明ACL生效了；但如果还能连，那很可能是因为缺了最后那条拒绝规则。
别让“方便”变成隐患
有人图省事，觉得“我家没人会乱连”，或者“改一次太麻烦”。可现实是，一个未封闭的ACL就像开着纱窗睡觉，蚊子什么时候飞进来都不知道。更别说有些IoT设备自带漏洞，随便一台陌生摄像头连进来，都可能成为内网攻击的跳板。
花一分钟检查下你的路由器设置，确认ACL最后是不是有一条明确的“拒绝所有”或“deny any”。这一步做完，你的WiFi才算真正上了锁。