将路由器的WAN口和LAN口接到内网的同一个交换机上可行吗?

将路由器的WAN口和LAN口接到内网的同一个交换机上可行吗?

我的内网结构如下图所示: 旧的内联网结构

之前WIFI用户可以连接到我的NAS,我不想这样。而且我也想把几个独立的WIFI变成一个,所以我计划了一个升级程序。像这样: 新的内联网结构

我将在 Router2 上配置防火墙,使子网 11 上的所有地址都无法访问子网 10 上的地址。这样我的 NAS 就安全了。问题是:这可行吗?风险是什么?

感谢您耐心阅读本文。

答案1

不,不使用非托管交换机。如果您希望 DHCP 继续在两个子网上工作,您将无法控制哪些设备获得哪些地址 - 它们都将从两个都路由器(DHCP 服务器)。对于这种“单板路由器”配置(能够将 Wi-Fi AP 端口分配给一个 VLAN,将 PC 端口分配给另一个 VLAN),至少需要支持 VLAN 的交换机。

(如果不是 VLAN,则需要将两个 DHCP 服务器都设置为“仅已知设备”模式,这意味着您需要手动为 Wi-Fi 上的每位访客提供 IP 地址……或者您需要将一台服务器设置为“延迟”模式,而典型的家庭网关路由器很少支持这种模式。)

可以故意在同一个共享以太网上运行两个独立的子网,但通常使用单身的DHCP 服务器(以避免不可预测的结果)和静态 DHCP 租约,从一个子网或另一个子网分配地址。实际上,由于其他(非安全)原因,我目前在家中使用的是这种设备,ISP 的路由器禁用了 DHCP,而“侧面”有一个额外的路由器为两个子网提供 DHCP,就像您的图表中显示的一样。

然而,抛开这个问题不谈,这样的设计不是特别安全;熟悉网络的人很容易发现,在这样的设置中通过路由器 2 是……完全可选的,因为它毕竟是一个共享的以太网——即使他们使用的是 Wi-Fi,也没有什么可以阻止他们从另一个子网手动分配 IP 地址。

因此,如果两个网络必须通过相同的线路运行,则真的希望将它们分为不同的 VLAN — — 这既是为了 DHCP 正常工作,也是为了任何有意义的安全性。


(我还要补充一点,具有“WAN 和 LAN 端口”的路由器可能不够灵活,无法满足您的需求,一般来说……就像标签上说的,它们只是用来连接您和互联网,而不是用于自定义内部路由。它可以工作,使用支持 VLAN 的交换机来处理隔离,但是到处都有 NAT 就不太整洁了。)

相关内容