VLAN 完整實戰：四個網段、逐條防火牆規則、多 SSID、交換器 trunk（OpenWrt 25.12 與 RouterOS 7 完整設定檔）

charles

這篇的內容（25 段）

1. 做完這篇你會有什麼
2. 四個必須先想清楚的決定
3. OpenWrt：確認是 DSA 不是 swconfig
4. 注意 lan3 出現了兩次
5. IoT 裝置固定 IP（強烈建議做）
6. 為什麼用 REJECT 不用 DROP
7. 接下來是必要的放行規則
8. 訪客網段的額外處理
9. 四個設計決定
10. 第七步：套用與可管理交換器
11. 可管理交換器的 trunk 設定
12. 兩個必須成對的動作
13. 一、VLAN 表
14. 二、四個介面都有 IP
15. 三、防火牆規則真的載入了
16. 六、攝影機網段真的斷網
17. 七、反向通路
18. 八、看 IoT 裝置到底在連哪裡
19. RouterOS 7 的完整對應設定
20. RouterOS 的驗證
21. 十個實際會卡住的坑
22. 二、一個埠設了兩個 PVID
23. 四、裝置配對時卡在最後一步
24. 十、IPv6 把隔離整個繞過去
25. 自我檢查

這篇給的是可以直接貼進設備的完整設定檔，不是片段。

四個網段、每一條防火牆規則的作用與「拿掉會怎樣」、多 SSID 對應 VLAN、可管理交換器的 trunk、以及十個實際會卡住的坑加上各自的診斷指令。

這篇從零開始，不需要先看別篇。已經做過單一 IoT 網段的人，可以把第三步的設定檔整份覆蓋上去。



做完這篇你會有什麼

• 四個互相隔離的網段：主網段、IoT、攝影機、訪客
  
• 三個 Wi-Fi 名稱，各自綁到對應的 VLAN
  
• 一份逐條註解的防火牆設定，你改得動、也知道改了會怎樣
  
• 攝影機網段完全不能對外（本地錄影用），但時間還是對得到
  
• 八個驗證指令，每個都有標準輸出
  

---

第一步：規劃表（這張表決定後面所有設定）

1. VLAN  網段              名稱     住什麼                          對外   互通
2. 1     192.168.1.0/24    main    電腦、手機、NAS、HA、印表機      是     可去 20/30/40
3. 20    192.168.20.0/24   iot     插座、燈、感測器、電視           是     不可主動出去
4. 30    192.168.30.0/24   cam     網路攝影機、NVR                 否     不可主動出去
5. 40    192.168.40.0/24   guest   客人的手機、筆電                 是     不可主動出去
7. 閘道一律是該網段的 .1：192.168.1.1 / .20.1 / .30.1 / .40.1

複製代碼

四個必須先想清楚的決定

• Home Assistant 放主網段。放 IoT 網段的話你從手機連 HA 每次都要多穿一層規則，而且 HA 的更新、備份到 NAS、通知服務全部都要另外開洞
  
• 攝影機網段完全不給對外。前提是你用本地錄影（Frigate、NVR、HA 的 Stream）。用雲端錄影的攝影機不能放這裡，會直接變磚
  
• 訪客網段要開「同網段裝置互相隔離」。IoT 網段不要開 —— 很多 IoT 裝置之間要互相溝通（Chromecast 群組、燈的群組）
  
• 印表機放主網段。它既要被電腦印，又常常是韌體最老的裝置之一，但放 IoT 的話跨網段列印會需要額外的 mDNS 處理，得不償失
  

先備份

OpenWrt：

1. sysupgrade -b /tmp/backup-$(date +%Y%m%d).tar.gz

複製代碼

然後 scp 拉回電腦。RouterOS：

1. /system backup save name=before-vlan
2. /export file=before-vlan-config

複製代碼

兩個檔案都在 Files 裡，用 Winbox 拖回電腦。

---

第二步：確認你的硬體撐不撐得住

OpenWrt：確認是 DSA 不是 swconfig

1. ls /sys/class/net/
2. ubus call system board | grep version

複製代碼

• 看到 lan1 lan2 lan3 lan4 wan 這種一個埠一個名字的 → 是 DSA，本篇適用
  
• 看到 eth0 eth0.1 eth0.2 而且管理頁有「交換器（Switch）」分頁 → 是舊的 swconfig（19.07 以前），本篇的 bridge-vlan 語法不適用，請先升級
  
• version 是 25.12.x → 裝套件用 `apk add`；是 24.10.x 或更舊 → 用 `opkg install`。設定檔語法兩邊一樣
  

RouterOS：確認硬體卸載會不會被關掉

1. /interface ethernet switch print

複製代碼

看 type 欄位。Marvell Prestera、RTL8367、88E6393X、88E6191X、88E6190、MT7621、MT7531、EN7523 這幾種晶片可以同時開 bridge VLAN filtering 和硬體卸載，效能不受影響。

不在清單上的晶片，開了 VLAN filtering 之後所有轉送會掉到 CPU 做。hEX 這種小機器可能會在跑滿速時 CPU 100%。症狀是「平常都好，下載大檔案時整個網路變慢」。

真的遇到的話，改用 MikroTik 的 Basic VLAN switching 做法（在 `/interface ethernet switch` 那一層設，不走 bridge），或者換一台晶片在清單上的機器。

---

第三步（OpenWrt）：/etc/config/network 完整版

整份覆蓋掉 LAN 相關的部分。wan 那幾段保留你原本的，不要動。

假設：lan1～lan3 接電腦等一般裝置，lan4 當 trunk 接可管理交換器或 AP。

1. config interface 'loopback'
2.         option device 'lo'
3.         option proto 'static'
4.         option ipaddr '127.0.0.1'
5.         option netmask '255.0.0.0'
7. config globals 'globals'
8.         option ula_prefix 'fd00:1234:5678::/48'
10. config device
11.         option name 'br-lan'
12.         option type 'bridge'
13.         option vlan_filtering '1'
14.         list ports 'lan1'
15.         list ports 'lan2'
16.         list ports 'lan3'
17.         list ports 'lan4'
19. config bridge-vlan
20.         option device 'br-lan'
21.         option vlan '1'
22.         list ports 'lan1:u*'
23.         list ports 'lan2:u*'
24.         list ports 'lan3:u*'
25.         list ports 'lan4:t'
27. config bridge-vlan
28.         option device 'br-lan'
29.         option vlan '20'
30.         list ports 'lan4:t'
32. config bridge-vlan
33.         option device 'br-lan'
34.         option vlan '30'
35.         list ports 'lan3:u*'
36.         list ports 'lan4:t'
38. config bridge-vlan
39.         option device 'br-lan'
40.         option vlan '40'
41.         list ports 'lan4:t'
43. config interface 'lan'
44.         option device 'br-lan.1'
45.         option proto 'static'
46.         option ipaddr '192.168.1.1'
47.         option netmask '255.255.255.0'
48.         option ip6assign '60'
50. config interface 'iot'
51.         option device 'br-lan.20'
52.         option proto 'static'
53.         option ipaddr '192.168.20.1'
54.         option netmask '255.255.255.0'
56. config interface 'cam'
57.         option device 'br-lan.30'
58.         option proto 'static'
59.         option ipaddr '192.168.30.1'
60.         option netmask '255.255.255.0'
62. config interface 'guest'
63.         option device 'br-lan.40'
64.         option proto 'static'
65.         option ipaddr '192.168.40.1'
66.         option netmask '255.255.255.0'

複製代碼

注意 lan3 出現了兩次

lan3 在 VLAN 1 是 `u*`，在 VLAN 30 也是 `u*`。這是錯的，一個埠只能有一個 PVID。我故意這樣寫出來，因為這是最常見的手誤。

實際上你要二選一：

• lan3 要接攝影機 → 把它從 VLAN 1 那段拿掉，只留在 VLAN 30 的 `lan3:u*`
  
• lan3 接一般電腦 → 把 VLAN 30 那段的 lan3 拿掉，VLAN 30 只走 `lan4:t`
  

寫錯的話系統不一定會報錯，但那個埠的行為會變得不可預測。改完務必用第八步的 `bridge vlan show` 確認每個埠只有一個 PVID。

為什麼四個 VLAN 都要出現在 lan4:t

lan4 是 trunk，意思是「所有 VLAN 都帶著標籤從這個孔走」。接可管理交換器或支援 VLAN 的 AP 就靠這個孔。漏掉某個 VLAN 的話，那個 VLAN 的無線客戶端會關聯成功但拿不到 IP。

---

第四步（OpenWrt）：/etc/config/dhcp

在檔案最後加上這四段（`config dhcp 'lan'` 通常本來就有，確認它的 interface 是 lan 就好）：

以下還有約 81% 的內容
登入後即可閱讀完整教學

登入繼續閱讀使用 Google 登入