我的办公室内部正在争论我们所建立的网络到底有多智能/高效。
我们有一条光纤线路和一条电缆线路接入一个负载平衡路由器，该路由器有一个硬件防火墙，最后连接一个 64 端口交换机。
我们的每个工作站都连接到交换机（大约 30 台机器）以及一个 NAS 和几个内部测试服务器（全部分配了 192.168.0.x 地址）。
如果工作站A想要与工作站通信乙，我们的网络是否足够智能，可以做到：
A → 开关 → B只通过最常用的第一条线路出行，
或者路径是A → 交换机 → 防火墙 → 路由器 → 防火墙 → 交换机 → B每次都要走完整个路线吗？
答案1
除非您的流量需要移动到不同的子网，否则路由器不是必需的。当计算机想要将一些 IP 流量发送到其子网上的另一台机器时，它需要接收者的 MAC 地址，因为 IP 地址不是交换机层（OSI 模型的第 2 层）的东西。如果它不知道 MAC 地址，它会广播地址解析协议 请求，说“嘿，谁有这个 IP 地址，能告诉我你的 MAC 地址吗？”当机器得到响应时，该地址就会附加到数据包中，交换机会使用它来将数据包从正确的物理端口发送出去。
当目的地不在同一子网时，路由器需要参与其中。发送方将数据包发送给相应的路由器（通常是默认网关，除非您有特殊的路由需求），然后路由器通过网络将其发送给预期的接收方。与交换机不同，路由器知道并拥有 IP 地址，但它们也有 MAC 地址，这是最初放在需要路由的数据包上的 MAC 地址。（MAC 地址永远不会离开子网。）
您可以在 Windows 上输出的网关列中看到路由器 IP 地址route print。不需要路由的目的地就在On-link那里。
答案2
如果两台计算机连接到交换机上的同一个 VLAN 并共享相同的子网掩码 - 交换机应该传送数据包而不会到达防火墙或路由器。
您可以通过运行tracert 192.168.0.X（假设是 Windows）来验证这一点，您应该会看到到该系统的直接路由。
答案3
几乎可以肯定的是，沟通路径将是A↔︎转变↔︎乙，不经过防火墙和路由器。假设工作站A和乙具有相同网络和网络掩码的 IP 地址，它们应该能够在没有路由器的情况下进行交互，因为交换机知道如何转发数据包。您应该能够验证它们之间没有中间跳数A和乙通过从命令提示符运行traceroute ip_address_of_BA. （在 Windows 上，命令将是tracert而不是traceroute.）
尽管如此，替代方案是可能的，但可能性较小。
在过去，在以太网交换机普及之前，有以太网集线器。集线器的工作方式相同，只是它们会不智能地复制并通过集线器的每个端口转发传入的以太网数据包，而不是像交换机那样从适当的端口转发出去。如果你有一个集线器而不是交换机，那么路由器将看到（并忽略）所有A和乙当然，这种不加区分的数据包转发会产生大量不必要的流量，而且以太网集线器现在并不常见。
另一个可能（但不太可能）的情况是，交换机可以配置为执行端口隔离。这将强制每个工作站的流量通过路由器。如果您认为工作站彼此之间有敌意（例如，公共图书馆或不同酒店房间的端口），并且您根本不希望它们能够直接通信，那么您可能需要这样做。然而，在办公室环境中，您的网络管理员不太可能这样设置。
用外行人的话来回答你的问题：网络应该自然而然地做你的情况中的“正确的事情”。但是，它可以被故意重新配置来做不同的“正确的事情”。作为必然结果，它也可能会被意外错误配置来做一件愚蠢的事情。
答案4
其他答案都是正确的。因此，为了确认，我建议你尝试一下并找出答案。
从一个主机到另一个主机的 tracert 或 traceroute 或 tracepath 或 mtr。
拿一台备用（即非生产）计算机，并为其指定 IP 192.168.166.x /24 或 255.255.255.0 以及网关 192.168.166.1
您需要配置防火墙设备以次要的IP 为 192.168.166.1 /24，位于与您的 LAN 相同的接口上。此时请注意不要中断 LAN 生产流量。具体如何操作取决于您的防火墙操作系统。
您可能还需要调整或扩展 LAN 接口的防火墙规则。
路径应该是 166machine-switch-firewall-switch-0machine（但您不会在 traceroute 中看到交换机，因为以太网交换机位于第 2 层，而 traceroute 是第 3 层的 ICMP）。
请注意，这被称为“覆盖”网络，不提供任何额外的安全性。它不是 DMZ，没有隔离，也不会将 166 网络与 0 网络隐藏起来。