我有一个双路由器设置，其中我的 Linksys Smart WiFi 路由器（LAN 网络为 192.168.1.0/24）通过其一个 LAN 端口连接到 TP‑Link ER605 路由器的 WAN 端口。TP‑Link 路由器的 LAN 配置在单独的子网 (192.168.0.0/24) 上，并为连接到我的设备的 TP‑Link 8 端口千兆托管交换机提供数据。
目前，TP‑Link 网络 (192.168.0.0/24) 上的设备可以访问家庭网络 (192.168.1.0/24) 上的设备，但反之则不行。我想修改我的配置以便：
TP‑Link 网络与家庭网络完全隔离（即 192.168.0.0/24 上的设备无法访问 192.168.1.0/24 上的设备），但 TP‑Link 网络上的设备仍然可以访问互联网。我正在考虑在 TP‑Link 路由器上使用 ACL 或静态路由/NAT 更改来实现这一点，但我不确定最佳方法或正确的配置细节。
我当前的设置如下：
Linksys 智能 WiFi 路由器：LAN IP：192.168.1.1/24 为 192.168.1.0/24 上的设备提供 DHCP
TP‑Link ER605 路由器：WAN：连接到 Linksys LAN 并获取 192.168.1.0/24 中的 IP LAN：配置为 192.168.0.1/24，并为 192.168.0.0/24 配置自己的 DHCP
TP‑Link 8 端口千兆管理型交换机：连接到 TP‑Link 路由器 LAN 端口，为 192.168.0.0/24 网络上的设备提供服务
我应该实施哪些配置更改（使用 ACL、静态路由、NAT 修改或组合）以防止 TP-Link 网络访问家庭网络，同时仍确保 TP-Link 网络上的设备具有完全的互联网访问权限？
任何有关类似配置的指导或示例都将不胜感激！
最简单的解决方案是交换 LinkSys 和 TP-link 之间的关系。目前，TP-link 的 WAN 端口插入 Linksys 的一个 LAN 端口。相反，将 Linksys 的 WAN 端口移至 TP-link 的一个 LAN 端口。然后将 TP-link 的 WAN 端口插入您的 ISP 服务端口。
如果您不想这样做（这会增加家庭网络的延迟），那么下一个最简单的方法是在 TP-link 上设置一条规则，删除从源 192.168.0.0/24 到目标 192.168.1.0/24 的连接。您需要一个例外来允许目标 192.168.1.1，我留给您自己去弄清楚。
可能无法在 Linksys 上设置类似的规则，因为内部所有 LAN 端口都桥接在一起，而内部防火墙无法拦截桥接流量，因为这些流量停留在 LAN 中。可以将 LAN 端口拆分为单独的路由或 VLAN 端口，但是否以及如何做到这一点取决于 Linksys 型号的功能，并且还会使您的网络拓扑复杂化。
我遇到过类似的情况，我使用的是 D-Link DIR-655 路由器，而不是您的 TP‑Link ER605 路由器。我通过使用访问控制解决了这个问题。您的 TP‑Link ER605 路由器也有访问控制，但配置过程不同。
基本上，我指示 D-Link DIR-655 路由器始终禁止使用任何协议（ICMP、TCP、UDP）访问 WAN 上的目标地址 192.168.1.2 至 192.168.1.254。