用一个交换机同时使用外网和内网如何连接

把外网网线插在交换机的用个用外第1口，内网网线插在第2口，交换机同接剩下几台电脑随便接——这种接法，时使十有八九上不了网。网和问题出在交换机本身：普通二层交换机不认IP地址，内网它只看MAC地址，何连所有端口在同一个广播域里。用个用外外网路由器发下来的交换机同接DHCP地址和内网DHCP服务器发的地址会打架，电脑一会儿拿到192.168.1.x，时使一会儿拿到10.0.0.x，网和网关都搞不清楚是内网哪个，能上网才怪。何连

我见过一个小公司就这么干过。用个用外老板图省事，交换机同接买了个八口百兆交换机，时使把电信光猫的LAN口和公司内网核心交换机的线全插上去。结果前台那台电脑上午能打开网页，下午就只能访问内网OA。IT过去一看，电脑的IP地址变成了光猫分配的192.168.1.3，网关指向光猫，内网服务器自然找不到了。拔掉光猫那根线，内网恢复；插上，外网又时通时断。折腾一下午，最后结论是：要么换设备，要么加设备。

核心矛盾：一个交换机能不能同时跑两个网

能，但前提是交换机得支持VLAN。普通家用或办公用的非网管交换机，所有端口平等，没有隔离能力。你硬把外网和内网塞进去，等于把两条路汇到一个十字路口，还没有红绿灯。数据包乱窜，广播风暴都可能出来。

支持VLAN的交换机就不一样了。你可以把端口1划给VLAN 10，接外网；端口2到端口8划给VLAN 20，接内网。两个VLAN之间默认不通，广播域也隔开了。电脑接在VLAN 20的端口上，拿内网地址，走内网网关；需要上网的电脑，再通过一根线接到一个支持多VLAN的路由器或者防火墙，由它来做路由和NAT。

说白了，交换机只负责二层转发，跨网段的路由得靠三层设备。你想让一个交换机同时承载内外网，交换机本身得能划VLAN，还得有个路由器或者防火墙站在中间做“交通警察”。

具体接法，分两种情况

第一种，你有可网管交换机，也有支持多LAN口的路由器。外网进路由器的WAN口，路由器LAN1划给内网，LAN2划给外网管理段。交换机上，端口1接路由器LAN2，划入VLAN 10；端口2接路由器LAN1，划入VLAN 20；其余端口划入VLAN 20给内网电脑用。这样内网电脑走VLAN 20，通过路由器LAN1上网，外网设备走VLAN 10，互不干扰。

第二种，你只有一台可网管交换机和一条外网线，内网有自己的路由器。外网线接交换机端口1，划VLAN 10；内网路由器WAN口接交换机端口2，也划VLAN 10；内网路由器LAN口接交换机端口3，划VLAN 20；电脑接端口4到8，划VLAN 20。外网数据从端口1进VLAN 10，到端口2进内网路由器的WAN，路由器拨号或DHCP获取外网地址，再做NAT给VLAN 20的电脑上网。内网路由器同时管着内网交换，两不耽误。

这里有个细节：VLAN 10和VLAN 20在交换机内部是隔离的，但内网路由器的WAN和LAN分别接在交换机的不同VLAN端口上，数据从WAN进、从LAN出，靠的是路由器内部转发，不是交换机在二层瞎转。这样接，交换机只当管道，不做路由，稳定得多。

别忽略的坑

有些光猫自带路由功能，LAN口出来就是192.168.1.1的网段。你内网如果也是192.168.1.1，冲突立刻发生。改内网网段，或者把光猫改桥接，用自己路由器拨号。还有，交换机上如果开了DHCP Snooping，记得把连接外网路由器的端口设为信任口，否则外网DHCP回应会被丢弃，电脑拿不到地址。

我自己的做法更干脆：外网进防火墙，防火墙划出三个接口——WAN、LAN、DMZ。交换机只接防火墙的LAN和DMZ，内网电脑全在LAN里，需要对外服务的机器放DMZ。交换机上不碰外网线，所有路由和策略都在防火墙上做。这样接线简单，排错也快，拔掉哪根线影响哪个区，一目了然。

回到最初的问题：一个交换机同时用外网和内网，不是插上就行。要么换可网管交换机加VLAN，要么加路由器做隔离。图省事直接混插，等着网络抽风吧。

本文地址：http://www.79wt.cn/news/05c9899896.html