Mi LAN está protegida por cortafuegos. Esa es la única solución real si quieres una verdadera protección. Cada ordenador de la LAN puede tener su propio cortafuegos que impida las conexiones desde el exterior. Sólo deja que se produzcan las conexiones que te interesan (si es que hay alguna, me gusta tener acceso a mi Apache2 local donde almaceno cierta información. Me gusta acceder).
Siempre será posible burlar las protecciones de un teléfono si eres un buen hacker. Los cortafuegos en el otro extremo requieren que un posible hacker penetre en ese equipo, de alguna manera. No es muy probable si no tiene ningún servicio (bloquea completamente todo el tráfico) ya que eso significaría un exploit en el firewall/pila de red.