我当前的家庭网络设置如下：
ISP <-> Modem <-> Router(with NAT)/Wireless AP <-> Home Network
我的 NAS 位于家庭网络上。我使用的是 FreeNAS，这是一种基于 FreeBSD 的操作系统。我的机器上有 5 个以太网端口。FreeNAS 允许您使用 NIC 作为网桥。我不太了解它的工作原理。
桥接通常被比作交换机，不能放在调制解调器和路由器之间。但是，我认为桥接也可以像集线器一样使用。我可以用它来监控调制解调器和路由器之间的网络流量吗？
本质上，我可以将我的 NAS 用作如下所示的桥梁来监控网络流量吗？
ISP <-> Modem <-> NAS (as bridge) <-> Router(with NAT)/Wireless AP <-> Home Network
我不认为我想要做的事情是可能的，但我只是想在放弃之前向一些知识渊博的人咨询一下。
我知道您可以使用 pfSense 设置一台机器作为路由器。我认为我上面描述的设置也类似于 DMZ？是真的吗？
答案1
这是有可能的，但我并不确信这是明智的。
FreeNAS 基于 FreeBSD，可以充分利用pf内置的防火墙/路由包，从而轻松创建桥接接口，执行您想要的操作。本质上，交换机/网桥只是一种用于传递数据包的网络设备，一旦外部线路在调制解调器处变成数据包数据，如果您希望在它们之间使用交换机或网桥，任何以太网交换机/网桥都可以轻松将其连接到您的调制解调器。因此，如果您坚持这样做，那么是的，您可以配置 NAS 的 5 个端口中的 3 个，以便端口 0+1 在没有 IP 地址的情况下桥接（至关重要，否则外部人员可以访问它）并用于将调制解调器连接到路由器，端口 2 用于 NAS -> LAN，并在其上设置管理 IP。
但上帝知道，我绝不会这么做。
首先，路由器 (理想情况下) 充当网关，保护本地设备免受外部攻击。即使没有 IP，网桥也是暴露在外且不受保护的内部设备。假设您错误配置了它，或者 FreeNAS 更新不尊重您的确切网络配置 (尤其是如果必须在 GUI 之外手动设置)？那么您的 NAS 及其数据可能毫无防备，而且由于它也通过其他接口位于路由器的 LAN 端，您刚刚将绕过路由器上任何内容的密钥交给了某人。
是的，公司会将服务器放入 DMZ。但他们会考虑服务器上的内容以及如何保护这些内容，这比你我考虑的要深入得多。即便如此，他们也经常使用代理（因此外部用户实际上访问的是代理或“保镖”，而不是实际的服务器）来提高安全性并控制发生的事情。
这样做有什么好处？监控数据？如果你想监控它们之间的流量，可以在路由器上监控，甚至可以买一个带端口镜像的超便宜交换机，把它放在它们之间。即使是 10 或 15 年前在 EBay 上买的二手 100Mbit 4-8 端口托管交换机也可能有这种能力。或者你提到 pfSense - 如果用作路由器，它在连接到调制解调器的端口上内置了日志记录和数据包捕获功能。买一块旧主板和 2GB 内存，然后这样做。但看在上帝的份上，除非你对自己和自己的专业知识非常有信心，否则不要做你所描述的事情 :)
镜像和安全更新
您有 3 个选项 - 使用软件监控（FreeBSD 上的 pf 或 tcpdump）、使用集线器或使用托管/智能交换机。
使用软件，即使您已将其桥接，您仍然需要在 CLI 中独立设置数据包镜像或（对于 FreeNAS）数据包捕获，因为这不是 FreeNAS GUI 中的功能，即使它存在于已安装的 OS 中。因此，尽管这并不难，但您也需要了解如何做到这一点。您显然可以在 FreeBSD 中进行端口镜像，要么使用 pf.conf 选项dup-to，要么使用tcpdump几乎总是内置的选项，以窃听和复制流量或将其捕获到文件中，但我不知道细节。不过，这些是实现它的方法。由于上述安全问题，我不会那样做。
旧的消费者网络中心（不是“交换机”！）可能非常便宜，而且也有效，但出于（可解决的）安全问题，我不会选择这种方式。集线器的本质是镜像全部流量全部端口。如果您运行电缆 [调制解调器 -> 集线器 -> 路由器]，那么任何设备都可以监听。但我不会这样做，原因有 2 个 - 首先，集线器比较过时，可能很难获得，但更重要的是，如果它可以监听，它就可以被检测到，并且可能造成可以被黑客入侵/渗透的弱点，因为它再次直接连接到外部并绕过路由器。所以我提到这一点是为了完整性，而不是因为它一定是个好主意！
A管理型交换机可能是最好的，因为它可以隔离来自 NAS 的流量，而且它就是为这项工作而设计的，小型智能交换机在 EBay 等网站上非常便宜。正如我所说，即使是多年前的交换机也可以完成这项工作。但请确保在其上设置了一些安全配置，并仔细检查/考虑安全性，原因与我为集线器给出的原因完全相同。也许镜像端口的设计本质上是安全的，这将是您所需要的，但我不知道该说更多。您可能想单独询问如何保护连接到 WAN 的托管交换机端口，该端口仅用于监控 WAN（镜像流量），不受路由器或防火墙的屏蔽。infosecurity Stack exchange 可能会对此有所帮助。