路由器中的 LAN 和 WAN 到底是什么一文讲清接口、DHCP、NAT与数据转发前言刚开始接触路由器、OpenWrt 或计算机网络时经常会看到两个名词LANWAN家用路由器上通常有一个标注为“WAN”的网口以及多个标注为“LAN”的网口。很多人因此会简单地认为WAN 就是蓝色网口LAN 就是黄色网口。这种理解在普通家用路由器上通常没有问题但并不完整。LAN 和 WAN 本质上描述的是网络的逻辑角色而不只是某个固定的物理网口。特别是在 OpenWrt、软路由以及企业路由设备中一个物理接口究竟是 LAN 还是 WAN往往取决于系统中的网络配置。本文从实际应用出发介绍 LAN、WAN、DHCP、网关、NAT和防火墙之间的关系。一、LAN 是什么LAN 是 Local Area Network 的缩写中文称为“局域网”。LAN 一般指路由器内部连接用户设备的一侧。例如电脑手机平板网络摄像头NAS交换机无线接入点这些设备连接到路由器的 LAN 口或 Wi-Fi 后就进入了路由器管理的局域网。例如一台家用路由器的 LAN 地址为192.168.1.1电脑连接路由器后可能获得下面的网络参数IP地址192.168.1.100 子网掩码255.255.255.0 默认网关192.168.1.1 DNS服务器192.168.1.1这里的192.168.1.1就是路由器在 LAN 网络中的地址同时也是电脑的默认网关。LAN 侧的主要作用路由器的 LAN 侧通常负责连接内部终端设备为终端分配IP地址接收终端发往其他网络的数据管理局域网设备之间的通信将终端访问互联网的数据转发到 WAN 侧。二、WAN 是什么WAN 是 Wide Area Network 的缩写中文称为“广域网”。对于普通家庭网络来说WAN 通常指路由器连接上级网络或互联网的一侧。常见的 WAN 上级设备包括光猫上级路由器校园网接口企业网络出口运营商网络设备例如家庭网络可能采用下面的连接方式互联网 → 光猫 → 路由器WAN口 → 路由器LAN口/Wi-Fi → 手机和电脑路由器的 WAN 接口需要从上级网络获得一个IP地址。这个地址可能来自DHCP自动获取PPPoE拨号静态IP配置4G或5G移动网络IPv6自动配置。如果路由器连接在光猫后面WAN 接口可能获得192.168.0.2如果使用 PPPoE 拨号WAN 接口则可能获得运营商分配的公网IP地址或运营商级内网地址。WAN 侧的主要作用WAN 侧通常负责连接互联网或上级网络获取上级网络分配的IP地址接收来自 LAN 的外网访问请求接收互联网返回的数据配合 NAT 和防火墙完成网络转发。三、LAN 和 WAN 的核心区别对比项目LANWAN中文名称局域网广域网面向对象内部终端设备上级网络或互联网常见连接设备电脑、手机、交换机、摄像头光猫、上级路由器、运营商设备常见地址私有IP地址公网地址或上级网络地址DHCP角色通常作为服务器分配地址通常作为客户端获取地址防火墙策略一般较宽松一般较严格NAT角色内部地址来源地址转换后的出口默认信任程度相对可信默认不可信需要注意的是这些是路由器中的常见设置而不是不可改变的规定。在 OpenWrt 中我们完全可以把原来的 WAN 口改成 LAN 口也可以把某个 LAN 口单独划分为新的 WAN 接口。四、LAN 和 WAN 不只是物理网口在普通路由器外壳上LAN 和 WAN 看起来是固定的WAN口连接光猫 LAN口连接电脑但从系统角度来看LAN 和 WAN 首先是逻辑接口。一个逻辑接口可能包含一个物理以太网接口多个通过网桥连接的以太网接口一个 VLAN 子接口一个无线接口一个 PPPoE 虚拟接口一个 USB 网卡接口。例如在 OpenWrt 中LAN 可能对应一个网桥br-lan这个网桥中可能包含lan1 lan2 lan3 lan4无线网络也可以加入br-lan。这样有线 LAN 设备和 Wi-Fi 设备就在同一个局域网内。因此更准确地说LAN 和 WAN 表示接口在网络中的功能与安全区域而不是由网口颜色永久决定。五、为什么 LAN 侧通常需要开启 DHCPDHCP 是 Dynamic Host Configuration Protocol 的缩写即动态主机配置协议。如果没有 DHCP连接路由器的每一台设备都需要手动设置IP地址子网掩码默认网关DNS服务器这显然非常麻烦。因此家用路由器通常会在 LAN 侧运行 DHCP 服务器。当手机或电脑接入网络时路由器自动为其分配网络参数。例如路由器的 DHCP 地址池为192.168.1.100192.168.1.249电脑接入后可能自动获得IP地址192.168.1.101 网关192.168.1.1 DNS192.168.1.1WAN 侧为什么通常不开 DHCP 服务器因为 WAN 侧一般是接收上级网络服务的一方。所以WAN 接口通常运行的是 DHCP 客户端用于向上级路由器或光猫申请IP地址而不是给上级设备分配地址。简单来说LAN侧路由器给终端分配地址 WAN侧路由器向上级网络申请地址当然如果 WAN 使用 PPPoE、静态IP等方式就不一定使用 DHCP 客户端。六、LAN 设备是如何访问互联网的假设网络参数如下电脑LAN地址192.168.1.100 路由器LAN地址192.168.1.1 路由器WAN地址10.0.0.2 上级网关10.0.0.1当电脑访问互联网时数据大致经过以下过程电脑 ↓ 路由器LAN接口 ↓ 路由与防火墙处理 ↓ NAT地址转换 ↓ 路由器WAN接口 ↓ 上级网络 ↓ 互联网电脑发现目标地址不属于本地局域网于是把数据发送给默认网关192.168.1.1。路由器收到数据后根据路由表决定从 WAN 接口转发出去。同时路由器通常会执行 NAT将数据包中的源地址从192.168.1.100转换为10.0.0.2互联网返回的数据到达路由器后路由器再根据已有的连接记录把数据转发回192.168.1.100。七、什么是 NATNAT 是 Network Address Translation 的缩写即网络地址转换。家庭局域网通常使用以下私有地址10.0.0.0/8 172.16.0.0/12 192.168.0.0/16这些私有地址不能直接在公网中路由。路由器通过 NAT将多个 LAN 设备的私有地址转换为 WAN 接口的地址使多台设备可以共享一个互联网出口。例如手机192.168.1.101 电脑192.168.1.102 电视192.168.1.103它们访问互联网时都可以通过路由器的 WAN 地址对外通信。家用路由器中经常使用的“IP动态伪装”通常就是源地址转换的一种形式。在 OpenWrt 防火墙配置中经常可以看到masq 1它表示在对应防火墙区域启用地址伪装。需要注意的是NAT 和路由转发不是同一件事。路由转发负责决定数据应该从哪个接口出去NAT 负责修改数据包中的地址或端口。某些网络可以只进行路由转发而不使用 NAT。八、防火墙如何控制 LAN 和 WAN路由器不能无条件地在 LAN 与 WAN 之间转发所有数据否则会产生严重的安全问题。家用路由器通常采用以下防火墙策略LAN → WAN允许 WAN → LAN默认禁止这意味着局域网电脑可以主动访问互联网互联网设备不能随意主动连接局域网电脑对于由 LAN 主动建立的连接WAN 返回的数据可以正常通过。OpenWrt 通常使用连接跟踪机制识别数据是否属于已建立连接。因此虽然 WAN 到 LAN 的新连接默认被拦截但网页、视频等访问的返回数据仍然可以正常进入。如果希望从互联网访问局域网内的服务器就需要配置端口转发VPNIPv6防火墙规则反向代理内网穿透。不建议为了方便而直接关闭防火墙。九、LAN 口之间为什么可以互相通信很多家用路由器有多个 LAN 口这些接口通常被加入同一个网桥。可以把网桥理解为系统内部的虚拟交换机。例如lan1 ─┐ lan2 ─┤ lan3 ─┼── br-lan lan4 ─┤ Wi-Fi ┘加入同一个网桥后这些接口通常属于同一个二层网络。因此LAN1上的电脑可以访问LAN2上的NAS有线电脑可以访问连接Wi-Fi的打印机多个设备可以使用同一个网段和DHCP服务器。在较新的 OpenWrt 设备中常见的接口名称包括lan1 lan2 wan br-lan一些旧设备则可能使用eth0 eth1 eth0.1 eth0.2具体名称取决于芯片、驱动以及设备采用的是 DSA 还是旧版 swconfig 架构。十、路由器改成 AP 模式后WAN 口还有用吗有些用户已经有一台主路由器只想把第二台路由器作为无线 AP 使用。典型连接方式是主路由器LAN口 → AP设备LAN口这时AP设备通常需要关闭 LAN 侧 DHCP 服务器设置一个与主路由器同网段且不冲突的管理地址将上联网口加入 LAN 网桥不再进行 NAT由主路由器统一提供网关和DHCP服务。例如主路由器192.168.1.1 AP管理地址192.168.1.2终端连接 AP 后仍然由主路由器分配IP地址。部分路由器在 AP 模式下会自动把原 WAN 口转换成 LAN 口。OpenWrt 中也可以通过修改接口、网桥和防火墙配置实现这一功能。十一、为什么电脑能访问路由器却不能上网这是配置 OpenWrt 时非常常见的问题。如果电脑可以访问路由器管理页面说明电脑与路由器 LAN 侧基本连通电脑的IP地址和子网配置大概率正常LAN 网桥通常也在工作。但不能访问互联网可能是以下原因导致的1. WAN 接口没有获得IP地址检查 WAN 是否成功连接上级网络。2. 没有默认路由路由器不知道互联网数据应该发送给哪个上级网关。3. DNS配置错误如果能访问公网IP却不能通过域名访问网站通常与 DNS 有关。4. IP转发没有开启Linux 系统需要开启IP转发才能在不同接口之间转发数据。可以查看sysctl net.ipv4.ip_forward正常情况下应显示net.ipv4.ip_forward 15. 防火墙没有允许 LAN 到 WAN 转发即使 LAN 和 WAN 都有地址如果防火墙不允许转发终端仍然不能上网。6. WAN 区域没有开启 NAT当 LAN 使用私有地址而上级网络不知道如何返回该网段时通常需要开启 NAT 地址伪装。因此“可以进入路由器后台”和“可以通过路由器访问互联网”是两个不同层次的问题。前者主要证明 LAN 侧连通后者还需要 WAN、默认路由、DNS、IP转发、防火墙和 NAT 共同工作。十二、在 OpenWrt 中如何查看 LAN 和 WAN可以通过以下命令查看网络接口ip addr查看路由表ip route查看 OpenWrt 的网络配置uci show network查看防火墙配置uci show firewall查看逻辑接口运行状态ifstatus lan ifstatus wan查看网桥及其成员bridge link查看br-lan的详细信息ip addr show br-lan排查网络时可以按照下面的顺序测试ping 192.168.1.1 ping 上级网关地址 ping 8.8.8.8 ping www.baidu.com不同测试结果代表的问题也不同测试结果可能的问题无法ping通LAN网关终端地址、网线、Wi-Fi或LAN配置问题能ping通LAN网关不能ping通上级网关WAN接口或上级网络问题能ping通上级网关不能ping通公网IP默认路由、防火墙或NAT问题能ping通公网IP不能访问域名DNS问题十三、几个容易混淆的概念1. WAN 不一定是公网如果路由器连接在另一个路由器后面WAN 接口获得的可能是192.168.x.x 10.x.x.x 172.16.x.x172.31.x.x它仍然可以作为 WAN 接口只是没有直接获得公网IP。2. LAN 不等于某一个网口LAN 可能是由多个有线接口、Wi-Fi接口和 VLAN 共同组成的逻辑网络。3. 无线网络不一定属于 LAN普通家用 Wi-Fi 通常加入 LAN但访客 Wi-Fi 可以被划分到单独的接口和防火墙区域与主 LAN 隔离。4. WAN 口可以改成 LAN 口在支持自定义网络配置的设备上可以重新配置物理接口、网桥、VLAN和防火墙区域。5. 能获得IP地址不代表一定能上网DHCP只负责提供网络参数。能否上网还取决于默认路由DNSIP转发防火墙NAT上级网络状态。总结LAN 和 WAN 的区别可以概括为LAN面向内部终端WAN面向外部或上级网络。但在真正理解路由器网络时不能只把它们看成两个不同颜色的物理网口。一个完整的路由器上网过程通常涉及终端连接LAN → DHCP分配地址 → 数据发送到默认网关 → 路由器查询路由表 → 防火墙允许转发 → NAT转换地址 → 数据从WAN发送到上级网络