主页 / computer / 问题 / 1893592
Accepted
PetaspeedBeaver
Asked: 2025-04-23 16:57:27 +0800 CST

使用安全的方法和组件来设置长距离无线桥接器以在两个独立的家庭网络之间共享互联网连接？

  • 772

我有两栋房子，我想使用TP-Link CPE210 无线网桥连接它们。

1 号房屋通过墙上的以太网插座提供宽带互联网连接。

我想让两栋房子共享互联网连接，但使用不同的网络。我相信我可以从互联网供应商那里获得两个 IP 地址。关于这一点，我可以使用下面的设置，但我担心这会将无线网桥 TP-Link CPE120 暴露在没有防火墙的互联网上，这可能不是最安全的做法。（我应该担心这个吗？）

  • 我正在寻找一种涉及尽可能少的装备的简单设置。
  • 同时，我希望有一个合理安全的系统。

这是我现在想到的系统图：

FIG. 1
======

WAN-socket of internet provider in home 1
              |
              |
           Switch
          |      |
          |      |
       Router    Wireless bridge (TP-link CPE210) access point in home 1
       for                  .
       home 1               .
                 Wireless bridge (TP-link CPE210) client in home 2
                            |
                            |
                      Router for home 2

在TP-Link 知识库中，有一个条目建议此配置：

FIG. 2
======
  WAN
   |
   |
 Router home 1
   |
   |
 CPE210 access point
   .
   .
 CPE210 client
   |
   |
 Router home 2

这需要更少的设备（我不需要额外的交换机）并且只需要一个 IP 号码，接入点不会直接暴露在互联网上 - 但它是否会提供与其他解决方案相同的稳定性，并且网络是否会分离？

networking

2 个回答

  1. 我希望两栋房子共享互联网连接，但必须有独立的网络。

    这意味着您不应该桥接网络，而应该在它们之间进行路由。路由意味着每户家庭都有不同的子网。根据您建议的图表，这里存在一个潜在的问题：无线网桥最终可能会承载逻辑上属于网络的流量，Home 1但在入口点将其丢弃Home 2。理想情况下，您需要确保无线网桥只承载必要的流量，并且该流量Home 2无法访问Home 1网络。

    如果要这么做，我会使用一个面向互联网的路由器，它可以在其 LAN 端口上提供两个独立的网络。（Draytek Vigor 等设备可以做到这一点。）

                      [      ]L1----Home 1
--//--Internet----[Router]
                  [      ]L2----[Bridge]--//--[Bridge]----Home 2

    这里，

    • L1会有一个子网，例如 192.168.1.0/24，路由器应该类似于 192.168.1.1
    • L2会有一个子网，例如 192.168.2.0/24，路由器应该类似于 192.168.2.1

    和Home 1均可Home 2通过交换机或无线接入点进行扩展。如果您有能够提供 WiFi 的路由器，您可能希望将其本地 SSID 与 连接到同一子网L1。

    您可以选择隔离这两个网络，使它们彼此无法访问。或者，您的路由器允许您通过内部防火墙在它们之间进行选择性路由。

    值得一提的是，我在家里的家庭、工作和访客网络之间几乎都做了同样的事情。

    最后，请记住，作为互联网连接的“所有者”，您要对其后所有设备发送/接收的所有流量负责。显然，这意味着Home 1和Home 2。

    • 9
  2. Best Answer

    我担心的是，这会使无线网桥 TP-Link CPE120 在没有防火墙的情况下暴露在互联网上，这可能不是最安全的做法？（我应该担心这个吗？）

    在如图所示的网络中，如果您说您将从 ISP 获取两个 IP 地址——那么您有四台设备，因此，如果两个路由器各自获得一个公网 IP 地址，就意味着网桥不会获得公网 IP 地址。如果它们没有互联网地址，就无法接收来自互联网的流量。

    因此，它们处理的常规流量将不会被发送到网桥的 IP 地址，或者在正常运行中甚至不会被发送到网桥的 MAC 地址（ISP 将直接看到路由器 2 的 MAC 地址，反之亦然），这意味着所有数据包将仅转发到网桥的“另一侧”，并且不会影响网桥自己的操作系统。

    网桥应静态配置来自私有子网的 IP 地址，该子网最好与桥接用户的 LAN 子网不重叠。例如，如果“家庭 2 路由器”使用 192.168.1.0/24，则手动将网桥配置为 192.168.7.x 或其他地址。

    为了对桥梁本身进行配置，您需要将笔记本电脑直接连接到桥梁上，进行设置，然后将其放置 10 年。

    在这种情况下，你可以配置它们而不设置网关地址；它们将无法访问互联网，因此无法进行固件更新或其他任何操作。但由于它们基本上无法访问，并且永远只执行一项任务，所以它们没有网关地址也可以正常工作。（再说，这是TP-Link——我估计等你拆箱的时候，这些设备就已经“寿终正寝，无法再更新”了。）

    尽管如果路由器 2 具有此功能，您也可以在其 WAN 接口上将 192.168.7.x/24 配置为通过路由器管理网桥的额外地址；但家庭路由器通常不允许这样做。

    如果网桥支持“管理 VLAN”功能，安全性会略有提升，这样它们只会接受具有特定 802.1Q VLAN ID 的数据包的管理连接（而从 ISP 接收的正常流量通常没有 VLAN ID）。这样实际上会在同一网桥上提供两条完全隔离的“线缆”；实际上，这类似于 ISP 自己将独立的互联网/管理/IPTV 网络连接到客户路由器的方式。

    使用 VLAN 的一点优势在于网桥可以使用路由器 2 作为其通往 Internet 的网关；缺点在于它使路由器 2 的配置更加复杂（许多家用路由器不支持此功能）并且使直接笔记本电脑连接也更加复杂（尤其是对于 Windows 而言）。

    在 TP-Link 知识库中，有一个条目建议此配置：[图 2]

    如果两个路由器都处于同一个“管理”之下，也就是说，你使用网桥来扩展单个局域网，那么这种方法就没问题。（在这种情况下，我甚至不需要两个路由器——路由器 2 会处于“网桥”或“接入点”模式，提供 Wi-Fi 连接，但不进行路由。）

    但如果他们是不同的家庭，那么我会强烈避免它——这意味着路由器 2 将受到来自用户 1 的任何“网站无法打开，让我们重新启动路由器”的干扰（而在第一个图中，小开关更容易被遗忘）；反之亦然，这样的布局意味着路由器 1 的内部网络将完全可以从路由器 2 访问。

    • 4

相关问题