企业官网建设流程全解析

路由器中的 LAN 和 WAN 到底是什么？一文讲清接口、DHCP、NAT与数据转发

前言

刚开始接触路由器、OpenWrt 或计算机网络时，经常会看到两个名词：

• LAN

• WAN

家用路由器上通常有一个标注为“WAN”的网口，以及多个标注为“LAN”的网口。很多人因此会简单地认为：

WAN 就是蓝色网口，LAN 就是黄色网口。

这种理解在普通家用路由器上通常没有问题，但并不完整。

LAN 和 WAN 本质上描述的是网络的逻辑角色，而不只是某个固定的物理网口。特别是在 OpenWrt、软路由以及企业路由设备中，一个物理接口究竟是 LAN 还是 WAN，往往取决于系统中的网络配置。

本文从实际应用出发，介绍 LAN、WAN、DHCP、网关、NAT和防火墙之间的关系。

一、LAN 是什么？

LAN 是 Local Area Network 的缩写，中文称为“局域网”。

LAN 一般指路由器内部连接用户设备的一侧。例如：

• 电脑

• 手机

• 平板

• 网络摄像头

• NAS

• 交换机

• 无线接入点

这些设备连接到路由器的 LAN 口或 Wi-Fi 后，就进入了路由器管理的局域网。

例如，一台家用路由器的 LAN 地址为：

192.168.1.1

电脑连接路由器后，可能获得下面的网络参数：

IP地址：192.168.1.100 子网掩码：255.255.255.0 默认网关：192.168.1.1 DNS服务器：192.168.1.1

这里的192.168.1.1就是路由器在 LAN 网络中的地址，同时也是电脑的默认网关。

LAN 侧的主要作用

路由器的 LAN 侧通常负责：

1. 连接内部终端设备；

2. 为终端分配IP地址；

3. 接收终端发往其他网络的数据；

4. 管理局域网设备之间的通信；

5. 将终端访问互联网的数据转发到 WAN 侧。

二、WAN 是什么？

WAN 是 Wide Area Network 的缩写，中文称为“广域网”。

对于普通家庭网络来说，WAN 通常指路由器连接上级网络或互联网的一侧。

常见的 WAN 上级设备包括：

• 光猫

• 上级路由器

• 校园网接口

• 企业网络出口

• 运营商网络设备

例如，家庭网络可能采用下面的连接方式：

互联网 → 光猫 → 路由器WAN口 → 路由器LAN口/Wi-Fi → 手机和电脑

路由器的 WAN 接口需要从上级网络获得一个IP地址。这个地址可能来自：

• DHCP自动获取；

• PPPoE拨号；

• 静态IP配置；

• 4G或5G移动网络；

• IPv6自动配置。

如果路由器连接在光猫后面，WAN 接口可能获得：

192.168.0.2

如果使用 PPPoE 拨号，WAN 接口则可能获得运营商分配的公网IP地址或运营商级内网地址。

WAN 侧的主要作用

WAN 侧通常负责：

1. 连接互联网或上级网络；

2. 获取上级网络分配的IP地址；

3. 接收来自 LAN 的外网访问请求；

4. 接收互联网返回的数据；

5. 配合 NAT 和防火墙完成网络转发。

三、LAN 和 WAN 的核心区别

需要注意的是，这些是路由器中的常见设置，而不是不可改变的规定。

在 OpenWrt 中，我们完全可以把原来的 WAN 口改成 LAN 口，也可以把某个 LAN 口单独划分为新的 WAN 接口。

四、LAN 和 WAN 不只是物理网口

在普通路由器外壳上，LAN 和 WAN 看起来是固定的：

WAN口：连接光猫 LAN口：连接电脑

但从系统角度来看，LAN 和 WAN 首先是逻辑接口。

一个逻辑接口可能包含：

• 一个物理以太网接口；

• 多个通过网桥连接的以太网接口；

• 一个 VLAN 子接口；

• 一个无线接口；

• 一个 PPPoE 虚拟接口；

• 一个 USB 网卡接口。

例如，在 OpenWrt 中，LAN 可能对应一个网桥：

br-lan

这个网桥中可能包含：

lan1 lan2 lan3 lan4

无线网络也可以加入br-lan。这样，有线 LAN 设备和 Wi-Fi 设备就在同一个局域网内。

因此更准确地说：

LAN 和 WAN 表示接口在网络中的功能与安全区域，而不是由网口颜色永久决定。

五、为什么 LAN 侧通常需要开启 DHCP？

DHCP 是 Dynamic Host Configuration Protocol 的缩写，即动态主机配置协议。

如果没有 DHCP，连接路由器的每一台设备都需要手动设置：

• IP地址

• 子网掩码

• 默认网关

• DNS服务器

这显然非常麻烦。

因此，家用路由器通常会在 LAN 侧运行 DHCP 服务器。当手机或电脑接入网络时，路由器自动为其分配网络参数。

例如，路由器的 DHCP 地址池为：

192.168.1.100～192.168.1.249

电脑接入后，可能自动获得：

IP地址：192.168.1.101 网关：192.168.1.1 DNS：192.168.1.1

WAN 侧为什么通常不开 DHCP 服务器？

因为 WAN 侧一般是接收上级网络服务的一方。

所以，WAN 接口通常运行的是 DHCP 客户端，用于向上级路由器或光猫申请IP地址，而不是给上级设备分配地址。

简单来说：

LAN侧：路由器给终端分配地址 WAN侧：路由器向上级网络申请地址

当然，如果 WAN 使用 PPPoE、静态IP等方式，就不一定使用 DHCP 客户端。

六、LAN 设备是如何访问互联网的？

假设网络参数如下：

电脑LAN地址：192.168.1.100 路由器LAN地址：192.168.1.1 路由器WAN地址：10.0.0.2 上级网关：10.0.0.1

当电脑访问互联网时，数据大致经过以下过程：

电脑 ↓ 路由器LAN接口 ↓ 路由与防火墙处理 ↓ NAT地址转换 ↓ 路由器WAN接口 ↓ 上级网络 ↓ 互联网

电脑发现目标地址不属于本地局域网，于是把数据发送给默认网关192.168.1.1。

路由器收到数据后，根据路由表决定从 WAN 接口转发出去。同时，路由器通常会执行 NAT，将数据包中的源地址从：

192.168.1.100

转换为：

10.0.0.2

互联网返回的数据到达路由器后，路由器再根据已有的连接记录，把数据转发回192.168.1.100。

七、什么是 NAT？

NAT 是 Network Address Translation 的缩写，即网络地址转换。

家庭局域网通常使用以下私有地址：

10.0.0.0/8 172.16.0.0/12 192.168.0.0/16

这些私有地址不能直接在公网中路由。

路由器通过 NAT，将多个 LAN 设备的私有地址转换为 WAN 接口的地址，使多台设备可以共享一个互联网出口。

例如：

手机：192.168.1.101 电脑：192.168.1.102 电视：192.168.1.103

它们访问互联网时，都可以通过路由器的 WAN 地址对外通信。

家用路由器中经常使用的“IP动态伪装”，通常就是源地址转换的一种形式。在 OpenWrt 防火墙配置中，经常可以看到：

masq 1

它表示在对应防火墙区域启用地址伪装。

需要注意的是：

NAT 和路由转发不是同一件事。

路由转发负责决定数据应该从哪个接口出去，NAT 负责修改数据包中的地址或端口。某些网络可以只进行路由转发而不使用 NAT。

八、防火墙如何控制 LAN 和 WAN？

路由器不能无条件地在 LAN 与 WAN 之间转发所有数据，否则会产生严重的安全问题。

家用路由器通常采用以下防火墙策略：

LAN → WAN：允许 WAN → LAN：默认禁止

这意味着：

• 局域网电脑可以主动访问互联网；

• 互联网设备不能随意主动连接局域网电脑；

• 对于由 LAN 主动建立的连接，WAN 返回的数据可以正常通过。

OpenWrt 通常使用连接跟踪机制识别数据是否属于已建立连接。因此，虽然 WAN 到 LAN 的新连接默认被拦截，但网页、视频等访问的返回数据仍然可以正常进入。

如果希望从互联网访问局域网内的服务器，就需要配置：

• 端口转发；

• VPN；

• IPv6防火墙规则；

• 反向代理；

• 内网穿透。

不建议为了方便而直接关闭防火墙。

九、LAN 口之间为什么可以互相通信？

很多家用路由器有多个 LAN 口，这些接口通常被加入同一个网桥。

可以把网桥理解为系统内部的虚拟交换机。例如：

lan1 ─┐ lan2 ─┤ lan3 ─┼── br-lan lan4 ─┤ Wi-Fi ┘

加入同一个网桥后，这些接口通常属于同一个二层网络。

因此：

• LAN1上的电脑可以访问LAN2上的NAS；

• 有线电脑可以访问连接Wi-Fi的打印机；

• 多个设备可以使用同一个网段和DHCP服务器。

在较新的 OpenWrt 设备中，常见的接口名称包括：

lan1 lan2 wan br-lan

一些旧设备则可能使用：

eth0 eth1 eth0.1 eth0.2

具体名称取决于芯片、驱动以及设备采用的是 DSA 还是旧版 swconfig 架构。

十、路由器改成 AP 模式后，WAN 口还有用吗？

有些用户已经有一台主路由器，只想把第二台路由器作为无线 AP 使用。

典型连接方式是：

主路由器LAN口 → AP设备LAN口

这时，AP设备通常需要：

1. 关闭 LAN 侧 DHCP 服务器；

2. 设置一个与主路由器同网段且不冲突的管理地址；

3. 将上联网口加入 LAN 网桥；

4. 不再进行 NAT；

5. 由主路由器统一提供网关和DHCP服务。

例如：

主路由器：192.168.1.1 AP管理地址：192.168.1.2

终端连接 AP 后，仍然由主路由器分配IP地址。

部分路由器在 AP 模式下会自动把原 WAN 口转换成 LAN 口。OpenWrt 中也可以通过修改接口、网桥和防火墙配置实现这一功能。

十一、为什么电脑能访问路由器，却不能上网？

这是配置 OpenWrt 时非常常见的问题。

如果电脑可以访问路由器管理页面，说明：

• 电脑与路由器 LAN 侧基本连通；

• 电脑的IP地址和子网配置大概率正常；

• LAN 网桥通常也在工作。

但不能访问互联网，可能是以下原因导致的：

1. WAN 接口没有获得IP地址

检查 WAN 是否成功连接上级网络。

2. 没有默认路由

路由器不知道互联网数据应该发送给哪个上级网关。

3. DNS配置错误

如果能访问公网IP，却不能通过域名访问网站，通常与 DNS 有关。

4. IP转发没有开启

Linux 系统需要开启IP转发，才能在不同接口之间转发数据。

可以查看：

sysctl net.ipv4.ip_forward

正常情况下应显示：

net.ipv4.ip_forward = 1

5. 防火墙没有允许 LAN 到 WAN 转发

即使 LAN 和 WAN 都有地址，如果防火墙不允许转发，终端仍然不能上网。

6. WAN 区域没有开启 NAT

当 LAN 使用私有地址，而上级网络不知道如何返回该网段时，通常需要开启 NAT 地址伪装。

因此：

“可以进入路由器后台”和“可以通过路由器访问互联网”是两个不同层次的问题。

前者主要证明 LAN 侧连通，后者还需要 WAN、默认路由、DNS、IP转发、防火墙和 NAT 共同工作。

十二、在 OpenWrt 中如何查看 LAN 和 WAN？

可以通过以下命令查看网络接口：

ip addr

查看路由表：

ip route

查看 OpenWrt 的网络配置：

uci show network

查看防火墙配置：

uci show firewall

查看逻辑接口运行状态：

ifstatus lan ifstatus wan

查看网桥及其成员：

bridge link

查看br-lan的详细信息：

ip addr show br-lan

排查网络时，可以按照下面的顺序测试：

ping 192.168.1.1 ping 上级网关地址 ping 8.8.8.8 ping www.baidu.com

不同测试结果代表的问题也不同：

十三、几个容易混淆的概念

1. WAN 不一定是公网

如果路由器连接在另一个路由器后面，WAN 接口获得的可能是：

192.168.x.x 10.x.x.x 172.16.x.x～172.31.x.x

它仍然可以作为 WAN 接口，只是没有直接获得公网IP。

2. LAN 不等于某一个网口

LAN 可能是由多个有线接口、Wi-Fi接口和 VLAN 共同组成的逻辑网络。

3. 无线网络不一定属于 LAN

普通家用 Wi-Fi 通常加入 LAN，但访客 Wi-Fi 可以被划分到单独的接口和防火墙区域，与主 LAN 隔离。

4. WAN 口可以改成 LAN 口

在支持自定义网络配置的设备上，可以重新配置物理接口、网桥、VLAN和防火墙区域。

5. 能获得IP地址不代表一定能上网

DHCP只负责提供网络参数。能否上网还取决于：

• 默认路由；

• DNS；

• IP转发；

• 防火墙；

• NAT；

• 上级网络状态。

总结

LAN 和 WAN 的区别可以概括为：

LAN面向内部终端，WAN面向外部或上级网络。

但在真正理解路由器网络时，不能只把它们看成两个不同颜色的物理网口。

一个完整的路由器上网过程，通常涉及：

终端连接LAN → DHCP分配地址 → 数据发送到默认网关 → 路由器查询路由表 → 防火墙允许转发 → NAT转换地址 → 数据从WAN发送到上级网络