O que você vai precisar
Passo a passo
1. Separe dispositivos por dependência
Classifique em local, híbrido e cloud-only. Câmera RTSP local, broker MQTT e Zigbee bridge podem funcionar sem internet; plug Tuya Wi‑Fi de nuvem pode parar.
Dica: Não bloqueie tudo no escuro.2. Crie grupo ou VLAN IoT
Use IPs reservados ou VLAN exclusiva para aplicar regra de firewall por conjunto. Bloquear dispositivo solto por IP dinâmico vira manutenção eterna.
Dica: IP estável vem antes de firewall estável.3. Bloqueie WAN por padrão
Crie regra de negação da rede IoT para internet externa. Depois libere apenas o que for necessário: DNS local, NTP local ou servidores específicos, se houver justificativa.
Dica: DNS e NTP são as primeiras exceções a testar.4. Libere serviços locais
Permita comunicação com Home Assistant, MQTT, NVR, RTSP ou servidor local. Se usar Matter, Chromecast ou AirPlay, teste descoberta mDNS antes de fechar demais.
Dica: Privacidade que quebra automação vira suporte.5. Monitore logs e ajuste
Observe quais destinos foram bloqueados e quais dispositivos ficaram offline. Ajuste por necessidade real, não por curiosidade de cada domínio.
Dica: Log de firewall mostra quem reclama quando a internet some.
Antes, a regra doméstica era deixar todo dispositivo falar com a internet. Agora, a pergunta madura é outra: quem realmente precisa sair de casa?
Uma voz diz: bloqueie tudo, privacidade acima de tudo. Outra responde: sua lâmpada cloud-only vai parar, a câmera pode perder notificação e o app do fabricante pode reclamar. As duas têm razão. A citação curta que guia o projeto vem da prática de firewall: “deny by default”. Negue por padrão, mas libere por função.
O primeiro bloco é inventário: câmera, tomada, TV, robô, sensor, hub. O segundo é dependência: local, híbrido, nuvem. O terceiro é regra: IoT não sai para WAN, mas fala com DNS, NTP, Home Assistant, MQTT e NVR quando necessário.
Feche devagar.
Inventário antes de bloqueio#
Sem lista de IPs e funções, você vai quebrar coisa boa junto com coisa ruim.
Dispositivo local aguenta melhor#
RTSP, MQTT local e Zigbee bridges sobrevivem melhor sem internet externa.
Cloud-only precisa exceção ou substituição#
Se o dispositivo depende de servidor do fabricante, bloquear WAN pode inutilizar o app.
Logs contam a verdade#
Firewall log mostra domínio, IP e frequência. Use isso para decidir, não para liberar tudo por medo.
Bloquear internet externa é uma vitória quando a casa continua funcionando localmente.