为什么路由器 LAN 接 LAN 会让整个公司断网？聊聊网络拓扑的那些坑
最近在公司搞网络维护，遇到一件让我血压飙升的事儿。
01. 事件回顾：明明有 IP 却上不了网
一段时间以来，总有同事反馈说上网不稳定，有时候能连上，有时候完全没反应。检查了一下，设备获取到的 IP 地址看起来很正常，也就是常见的 192.168.0.x 段。但奇怪的是，只要不手动指定 IP，几乎都会掉线或无法解析域名。
最后排查到某个部门，说他们自己接了个路由器扩展信号。我过去一看，差点没当场晕过去：网线竟然是从上级路由的 LAN 口出来，直接插到了下级路由的 LAN 口上！
要知道，两个路由器的 LAN 口都处于同一个网段（192.168.0.x），这简直是典型的网络拓扑错误。虽然这次万幸企业级路由器比较强硬，直接把产生冲突的 IP 给封了，没有导致全网的广播风暴，但想想也是后怕。
02. 为什么“LAN 接 LAN”是大忌？
很多不懂网络原理的朋友觉得：'插上网线不就有网了吗？哪管它是 WAN 口还是 LAN 口。' 这种想法在小规模家里可能偶尔碰巧能用（前提是关掉下级路由的 DHCP），但在企业网络里，这就是灾难。
1. IP 冲突大乱斗
上级路由的 DHCP 分配范围是 192.168.0.100 到 192.168.0.200，下级路由也是。当两个路由器的 DHCP 服务同时工作时，你的电脑可能刚从上级拿了个 192.168.0.150，转头下级路由又发了一个 192.168.0.150 给另一台设备。结果就是 IP 地址冲突，两家抢一个地址，谁也上不了网。
2. 网关迷失
即便没冲突，设备获取的网关地址也可能指向错误的路由器。数据包发出去后找不到出口，自然就断网了。
3. 广播风暴风险
如果设备没有环路保护机制，这种接法很容易制造网络环路。一个广播发出去，在两个路由器之间无限循环，瞬间占满带宽，导致整个局域网瘫痪。
03. 正确的姿势应该怎么接？
想在现有的企业网络里扩展信号或者增加端口，千万别乱插。这里有几种标准做法，大家可以对照一下。
方案一：标准的级联方式（WAN 接 LAN）
- 连接方式：上级路由器 LAN 口 —— 网线 —— 下级路由器 WAN 口。
- 设置要点：
- 将下级路由器的 LAN 口 IP 地址修改为与主路由不同网段（例如主路由是 192.168.0.1，副路由设为 192.168.1.1）。
- 此时下级路由器相当于建立了一个独立的子网，NAT 转发由下级路由处理。
- 优点：隔离性好，副路由下的设备访问主路由有隔离保护。
- 缺点：如果公司有打印机或 NAS 共享服务，不同网段间的设备互访可能需要设置路由，稍微麻烦点。
方案二：AP 模式/交换机模式（LAN 接 LAN 的正确玩法）
如果你想全公司在一个大网段里（方便互访），必须把下级路由器当成 '哑巴交换机' 来用。
- 连接方式：上级路由器 LAN 口 —— 网线 —— 下级路由器 LAN 口（注意是 LAN 口）。
- 设置要点（关键！）：
- 插线前：先不要插网线，用电脑单独连上副路由。
- 改 IP：把副路由的 LAN 口 IP 改成和主路由同网段但不冲突的地址（例如 192.168.0.2）。
- 关 DHCP：这是最重要的一步！ 进入路由器设置，找到 DHCP 服务器选项，选择 '关闭' 或 '不启用'。一定要确保只有主路由在分发 IP。
- 插线：设置完成后，将网线从主路由 LAN 口接到副路由的 LAN 口（有的路由器有专用 UpLink 口或 VLAN 绑定，按说明书来）。
- 优点：所有设备在同一网段，互访无障碍，管理简单。
04. 如果你是 IT 管理员，怎么防坑？
遇到这种 '私接路由' 的情况，除了怒骂一顿，更有效的方法其实是技术层面的管理：
- 端口隔离：在企业交换机上配置端口隔离，禁止普通用户端口之间互访，防止私接设备影响主干网络。
- DHCP Snooping：开启交换机的 DHCP Snooping 功能，只信任上联端口的 DHCP 报文，其他私接的路由器如果发 DHCP 包，直接被交换机丢弃。这是治理私接路由的神器。
- BPDU Guard：如果使用的是网管型交换机，开启 BPDU Guard 可以检测到环路并自动关闭端口，从根本上杜绝广播风暴。
总结
网络故障排查，往往不是高深的技术难题，而是基础的物理连接错误。下次如果发现家里或者公司突然大面积断网，不妨先检查一下：是不是有人又把路由器口子插错了？哪怕只有一个 LAN 接 LAN 的错误，也足以让网络管理员头疼一整天。
正确的级联方式：上级路由器 LAN 口连接下级路由器 WAN 口，形成独立的子网，隔离性好。
正确的 AP 模式：修改副路由 IP 并关闭 DHCP，将 LAN 口接入主路由 LAN 口，实现同网段互通。
评论已关闭