光猫、路由器、交换机、AP：一个盒子为什么有好几个身份？

配置 RAX3000M 时，我曾把上游小米路由器的 Wi-Fi 当成光猫的 Wi-Fi。发现接错对象后，才重新整理链路：RAX 原先连小米，后来直接连光猫无线。

表面上，这只是认错了一个 Wi-Fi。但它暴露了更基本的问题：我们常常按盒子的名字理解网络，而不是按它实际承担的职责理解网络。

光猫能发 Wi-Fi，路由器也能发 Wi-Fi；第二台路由器既可能建立新网络，也可能只是给原有网络增加无线入口。要知道数据怎么走，光数盒子不够。

1. 先把“一个设备”拆成几个功能

先不急着记六个名字。想象把同一台副路由接到主路由后面：一种配置让电脑仍向主路由领取地址、把跨网段的包交给主路由；另一种配置让副路由给电脑分配新子网的地址，自己成为电脑的网关。

外壳没换，职责却变了。下面这些名称，是给不同工作分别起的名字，不是六种必须各买一台的盒子。第一次读时，先抓住“接入网络”“在网络间送包”“领取配置”这三个区别；具体模式下一节对照。

功能	主要回答的问题	不要直接等同于
光接入终端（家庭常称光猫/ONT）	怎样接入运营商的光接入网络？	一定负责拨号、NAT或Wi-Fi
二层交换/桥接	同一二层网络内，帧从哪个端口转发？	什么都不处理的直通线
IP路由	去往这个目标网络，下一跳是什么？	必须修改IP地址
无线AP	无线终端怎样接入这个网络？	必须担任终端的默认网关
NAT	地址或端口如何转换？	路由本身、完整的安全策略
DHCP服务	给客户端提供哪些地址配置？	负责每个后续数据包的转发

家用“无线路由器”通常把多种功能装进同一台设备。它有多个 LAN 口，能提供 Wi-Fi，还可能给终端分地址、转发 DNS 查询、做防火墙和 NAT。

但这是常见的功能组合，不是不可拆分的定义。DHCP 服务可以由另一个设备提供，路由也可以不使用 NAT。

一个很好用的区分方法是：把 DHCP 想成领取网络配置的过程，把路由想成拿到配置后如何送包的过程。 领取配置的人和真正转发数据的人，可以不是同一台机器。

2. 同一个盒子，换个模式就换了职责

下面是两种概念拓扑，地址都是示例，不是我家网络的抓包或配置截图。

路由模式：第二台设备建立另一个子网

示例中，主路由 LAN 是 192.168.50.0/24；第二台设备上游地址是 192.168.50.2，下游 LAN 则是 192.168.60.0/24。

电脑地址是 192.168.60.10，默认网关为 192.168.60.1。

电脑 -> 第二台路由器 -> 主路由 -> 上游

第二台路由器需要在这些网络之间转发 IP 包。若它同时对下游出站流量做 NAT，而主路由也做 NAT，这条 IPv4 出站路径才构成常说的双重 NAT。

两个路由器串起来，不是双重 NAT 的充分证据；要确认两个位置是否真的发生地址转换。

不用 NAT 也能连接这两个子网，但上游必须知道怎样把去往 192.168.60.0/24 的返回流量交给第二台设备，防火墙也要允许对应通信。不能只关掉 NAT，就期待返回路径自动出现。

OpenWrt 的 routed client 文档分别讨论了 masquerading 和完整路由的方案：上游可以走无线，但这仍然可能是三层路由连接。OpenWrt Routed Client

桥接AP模式：第二台设备扩展原来的网络

另一种示例是：第二台设备把无线接入和有线上联桥接到同一 LAN。

电脑获得 192.168.50.10，默认网关仍是主路由 192.168.50.1。第二台设备的 192.168.50.2 用于管理，并不因此成为电脑的网关。

电脑 -> 桥接AP -> 主路由 -> 上游

电脑到上游的流量会经过 AP 的转发，但在这个示例中，AP 不额外建立一层客户端 IPv4 NAT。

不要反过来只看终端拿到 192.168.50.x，就认定桥接已经完成：地址可以手工填写，也可能是旧配置。这里的地址关系是已定义拓扑下的结果，排查真实设备仍需核对接口桥接成员和实际数据路径。

OpenWrt 的 Bridged AP 文档描述的就是用有线上联给已有网络增加无线入口，把主要路由、地址分配等职责留给上游的配置。OpenWrt Bridged AP

图中的“交给网关”是电脑选择的IP下一跳；AP仍要转发帧，但不因此成为这个下一跳。地址缩写只为对照，配置时应使用完整地址。这张图只描述有线上联的简单单LAN桥接AP。如果用无线连接上游，或者需要访客隔离，还不能直接照着它推断；无线Client的差别在后面单独讲。

继续核对真实配置时，再注意这三个边界：

• 这是一个简单、无客户端隔离的单 LAN 示例；实际 AP 可以用不同 SSID/VLAN 隔离访客。
• 图中的桥接AP采用有线上联，不能把它直接套到任意无线 Client 配置。
• AP 自身仍需要 IP 配置，用于管理、更新等自身通信；“不为客户端路由”不等于“设备自己不用路由”。

3. “接LAN口”为什么不是完整答案？

教程常写“主路由 LAN 接副路由 LAN”，或者“上游接 WAN”。这些说法依赖设备当时的接口分配。

在可配置的系统里，某个物理口可以加入 LAN bridge，也可以划到独立网络。外壳印着 WAN 的口，不代表任何固件、任何配置下都永远承担同一个角色。

反过来，只把线换到 LAN 口，并不自动完成 AP 配置。第二台设备可能仍开着 DHCP，管理地址也可能与主路由冲突；无线接口甚至没有加入预期的桥。

所以要核对的是：

物理接口 -> 加入哪个二层网络 -> 属于哪个IP网络 -> 谁负责网关和地址分配

不是只检查插孔上的两个字母。

同样，“关闭 DHCP 就变成 AP”也不完整。DHCP 是一个服务，桥接与路由是转发方式，关闭前者并不会自动重组后者。

4. AP与Client，为什么会同时出现在一台路由器上？

在这次 RAX 配置里，无线界面同时出现了给终端使用的 AP 配置，以及连接上游 Wi-Fi 的 Client 配置。

它们回答的是两个方向的问题：

• AP：别人怎样连接我提供的无线网络？
• Client：我怎样连接别人提供的无线网络？

Client 描述无线接入角色，不等于下游与上游自动处在同一个二层网络。 RAX 连上了光猫 Wi-Fi，也不能仅凭“连上”断言电脑的 DHCP 广播会透明地穿过它。

无线二层扩展存在支持条件；某些方案依赖 WDS，某些借助 relayd。OpenWrt 明确说明 relayd 提供的是面向 IPv4 的 bridge-like 行为，不应泛化成完整透明桥或IPv6方案。OpenWrt relayd

至于一块无线网卡能同时运行哪些角色，要看芯片、驱动、频段和配置限制，不能把这次设备的行为写成所有路由器的规律。

5. 不改配置，先给自己的网络做一次“职责体检”

Windows 可以先读取客户端看到的 IPv4 默认路由和地址：

Get-NetRoute -DestinationPrefix '0.0.0.0/0' |
    Select-Object InterfaceIndex, InterfaceAlias, NextHop, RouteMetric |
    Format-Table -AutoSize

Get-NetIPAddress -AddressFamily IPv4 |
    Select-Object InterfaceIndex, InterfaceAlias, IPAddress, PrefixLength |
    Format-Table -AutoSize

如果电脑双连接，就逐接口看，不能把 Wi-Fi 的网关当成网线的网关。也不要只凭默认路由解释所有目标，具体地址可能匹配更具体的路由。

我这台电脑的真实只读查询显示，以太网和 WLAN 分别有 192.168.10.1、192.168.1.1 两个 IPv4 默认下一跳。这说明客户端面对两个出口，但不能仅据此确认两台设备的 NAT 状态、DHCP 服务位置或光猫拨号模式。

然后在自己的管理页面中核对下面几件事，不需要立刻修改：

观察	可以回答什么	仍不能单独证明什么
无线关联列表	当前 Client 连接哪个上游	已经形成透明桥
接口/bridge成员	哪些接口处在预期的二层连接中	所有防火墙和VLAN细节都正确
LAN/WAN地址与路由	各个IP网络和下一跳关系	一定启用了NAT
DHCP配置/租约	设备是否为对应LAN分配地址	它一定负责拨号
防火墙/NAT配置	哪些流量按配置应被转换或放行	某个真实连接已成功

只读检查也可能接触密码或密钥。不要为了写博客导出整个配置包；只摘必要字段，公开前再脱敏。

6. 回到我们的光猫、小米与RAX

已有记录确认：RAX 无线上游从小米切到光猫后，拿到了公网 IPv6，路由器自身的 IPv6 外网 ping 也通过了。

但它没有自动告诉我们以下答案：

光猫是否承担当前的宽带拨号？
小米当时怎样向下游提供IPv6？
RAX是否得到可分配给LAN的前缀？
电脑是否真正通过RAX联网？

这些必须分别检查。上游设备有 IPv6、RAX 有 IPv6、电脑有 IPv6、外部手机能访问内网，是不同层次的事实。

所以本篇没有把这次切换包装成“小米不支持IPv6”的结论，也没有给未经核对的设备画上 NAT 或 PPPoE 标记。

7. 最后，用四个问题替代数盒子

看到一台网络设备时，我现在会先问：

1. 它通过什么接口接入上游？
2. 它把哪些接口桥接在一起，又在什么网络之间路由？
3. 客户端的地址、默认网关和DNS由谁提供？
4. 这条实际通信路径有没有地址转换、隔离或额外策略？

新人可以用这四个问题读懂自家的拓扑；已经会配置的人，可以用它们检查“AP模式”“中继”“旁路由”这些名字背后实际发生了什么。

设备名称是入口，接口、配置和数据路径才是判断依据。 本篇的模式图是原理示例，家庭案例只引用已有记录和只读选路证据；没有进行模式切换、桥接改造或抓包实验。