2在同一个交换机安全吗？

你的图在澄清这个问题上有很大的帮助。

当且仅当您的大型交换机是可pipe理的，并且您可以configurationVLAN以强制将路由器外防火墙stream量与路由器内部防火墙stream量分开时，您所做的是可以的。

当内部机器需要临时移动到外部LAN时，可以更改其适配器设置， 并告诉交换机将其端口从内部VLAN中移出并添加到外部VLAN中。

否则，只要是有人发现在外部networking上给自己一个接口别名，并且完全避开了防火墙，或者某个已经入侵了其中一个外部盒子的人注意到，如果他们给自己一个别名networking，他们已经绕过你的防火墙，你的公司局域网是在他们的处置。

如果你这样做是为了故意避开这种分离，那么你承担了巨大的风险。

编辑 ：如果交换机没有执行这种分离，那么究竟是什么原因使您认为计算机一次只能在两个局域网之一上？ 假设我是一个攻击者，而且我已经把当前连接到调制解调器（这本身就是一个交换机）的一台机器打包了。 我们将这台机器叫做ALF。

我现在给ALF一个接口别名，并为内部networking提供一个合适的地址（通过在混合模式下观看ALF NIC上的ARP广播，​​我可以很容易地推断出它的存在和寻址）。 现在，我可以直接PING – 从而攻击服务器，而防火墙不会看到我的stream量。

我会再说一次，所以很清楚： 如果你用一根电缆绕过你的防火墙到主交换机，并且不要安排这个电缆的stream量远离你的主networking，死了 。

您不会从Web获得IP地址。

如果将两台DHCP服务器连接到同一个交换机，事情可能会以意想不到的方式开始。 有几种方法可以解决这个问题，但是它们很容易出错，为什么不使用更安全的方法，将一台计算机直接连接到所需的交换机端口而无需通过交换机？

还有其他的解决scheme，但是它们需要pipe理交换机或者对ISP发送的DHCP回复进行一些控制：

• 在交换机上过滤DHCP数据包
• configurationDHCP服务器只响应某些MAC地址
• 禁用DHCP服务器将回复传递给调制解调器，并在要通过调制解调器直接通信的计算机上使用静态IP地址。
• 使用VLAN