不使用 DMZ 将设备 (ATT 3G Microcell) 与内部网络隔离/分离

Question

我想把ATT 3G 微蜂窝在与我的其他设备所在的网络隔离的网络中，我的意思是我希望 ATT 3G Microcell 只能访问互联网，但不能“看到”或访问我的内部网络。我了解在运行Tomato 的 Asus RT-AC66U 上配置此选项的选项（Shibby 版本：1.28.0000 MIPSR2-1.23.16 K26AC USB AIO-64K） Asuswrt-Merlin - build 376.48 (xx-xxx-2014) [注释 1] 正在使用：

1. 虚拟局域网

2. 路由 (iptables) 表

我的理解是，要使用 VLAN，我必须“创建”一个不同的物理段，这意味着我必须放弃路由器上的一个 LAN 端口来分配给 VLAN。由于我的网络设置方式，这是不可取的，即 Microcell 连接到交换机，其他需要连接到内部网络的设备连接到该交换机，而该交换机连接到我的路由器（LAN 端口 1），该路由器位于房子的完全不同的地方，其中 LAN 端口 2-4 用于连接具有多个以太网适配器的服务器。

我是否误解了 VLAN 的工作原理？

如果没有，有没有办法通过使用路由表或防火墙规则来实现这一点？

值得一提的是，这些是 ATT Microcell 使用的唯一端口：

TCP/UDP 端口[注意：列出的所有端口都需要为入站和出站连接进行配置。]

• 123/UDP：NTP 授时（NTP 流量）
• 443/TCP：通过 TLS/SSL 进行 Https 配置和管理流量
• 4500/UDP：IPSec NAT 穿越（适用于所有信令、数据、语音流量）
• 500/UDP：NAT 检测之前的 IPSec 第 1 阶段（NAT 检测之后，使用 4500/UDP）
• 4500/UDP：NAT检测后，使用4500/UDP

注意：1. 我可能会购买具有 VLAN 功能的托管交换机，因此欢迎任何意见。