VLAN問題及網路規劃建議

jay01062
個人積分：0分
文章編號：88412476

0分

樓主

2023-10-12 14:05

各位大大好,小弟近日剛轉換到新公司,目前遇到需重新評估及規劃網路架構的案子
麻煩各位大大能給小弟一點建議

先簡單描述一下資訊設備及公司網路現況
防火牆為Zyxel USG FLEX 200
交換器為Zyxel GS1900-24
無線AP為Zyxel NWA1123-AC-PRO及NWA210AX
無線AP有上Zyxel的Nebula,防火牆及交換機沒有上
其他還有三台SERVER及MAIL SERVER等

目前公司有一條中華100M及一條12M光纖線路,但實際上只有使用100M的線路
12M的目前是獨立給保全系統使用,線路進到公司後透由轉接盒轉成RJ45網路線接在防火牆的WAN1上,然後防火牆的LAN1接在機櫃內的SWITCH上,SWITHC再透由光纖彼此連接至機櫃內SWITCH及其他分點SWITCH,機櫃內一台SWITCH會連接伺服器及NAS等設備(沒畫在架構圖上
公司沒有AD,全都是本機端,網路方面由防火牆擔任DHCP伺服器,重要設備有進行MAC綁定成固定IP,其餘使用者皆為DHCP派發的浮動IP
詳細架構請參閱下圖

VLAN問題及網路規劃建議

現在遇到的問題是廠內設備有時會發生電腦取不到IP問題,原因是IP不夠用
初步清查是因為廠內所有設備包含同仁私人手機連的WIFI都是同一網段
也就是10.1.1.0,但因為子網是255.255.255.0
因此實際上可用IP數跟CLASS C一樣只有254個
因此想藉由此機會將網路重新規劃,一方面增加可用IP數,一方面將私人連線徹底隔離
目前小弟思考後有以下幾種做法

1.將子網遮罩改成255.255.252.0,可使用IP數有1022,絕對夠用,
但此只解決IP數問題,並無解決內部與私人設備在同一網段的安全性問題

2.同上做法,甚至也不需要更改子網遮罩,直接在防火牆上設定允許存取的設備MAC白名單
未在名單上的私人設備及訪客只能去連訪客用的SSID

3.設定VLAN進行網路架構重新規劃,基本上原網段設備全規劃在VLAN10
並在防火牆設定路由讓它走WAN1的100M線路
然後多新增一個VLAN20的SSID供訪客及私人設備連線用,不會連接其他設備
並設定路由讓它走WAN2的12M線路,不能連線及存取VALN10的所有設備,詳細如下圖

VLAN問題及網路規劃建議

目前主管較傾向第三個方案,也就是重新架構整個網路
但小弟在架構上有以下幾點問題想請教版上大大

1.若依照此架構圖所示,假設我末端接了無網管型的SWITCH,例如ZyXEL GS-108B v3
之後再接PC or 印表機之類的末端設備,GS-108B此類無支援VLAN的SWITCH
有辦法接收VLAN的封包讓後端PC間正常通訊嗎?
還是說只要有VLAN,就全部都要使用有網管功能且支援VLAN的SWITCH呢?

2.若要將部份設備設成固定IP,各位會建議直接在電腦上的網路介面設定
還是在防火牆上用MAC綁定的方式呢?
會有什麼好壞之分還是差別嗎?

3.LAN與VLAN不能設成同網段,目前LAN設為10.1.1.0,若不考慮更改現有設備IP的情況下
是否要先分別建立好VLAN10及VLAN20,並分別給予跟現有LAN不同的網段
例如LVAN10為10.1.2.0,VLAN20為192.168.1.0,並將所有設定如TRUNK串接及PORT的
VID、PVID之類的設定好,然後進行連線測試,確定都沒問題後再把目前LAN的10.1.1.0
網段拿掉或改成別的網段,然後再將10.1.1.0網段設定在VLAN10,這樣就能讓原有設備
在不更動IP及設定的情形下無縫切換,不知道小弟的理解是否有誤

4.更改成VLAN不會影響現有場內ERP或MAIL SERVER等設備運作,只是網路封包傳遞時
多了TAG.除非Port的Trunk、Access或VID、PVID設定錯了才會有影響這樣對嗎

5.假設要多增加一個VLAN30,且要可以與VLAN10連線及互通,是否要在防火牆上設定
VLAN10與VLAN30之間的路由,但這樣也會增加防火牆的負擔
因為要一直進行VLAN10與VLAN30之間封包的傳遞

6.光纖Port彼此之間也能做Trunk對嗎?跟RJ45之間只是傳輸介面不同而已

以上因為小弟相關知識及經驗不夠,有許多的疑問,目前有在努力進行惡補,希望各位大大可以幫小弟解惑一下並給予小弟建議,感謝!!!

2023-10-12 14:05 發佈

文章關鍵字 VLAN 問題網路

billese10

billese10
個人積分：1020分
文章編號：88413117

1020分

2樓

2023-10-12 15:27

回答你問題
1.基本上SW VLAN 設定好，指定這個port 是此VLAN 就沒問題．

2.如果是伺服器肯定是固定IP，假設你要將使用者控管或好管理，可以一開始出機前在他們網卡設定固定IP，在防火牆做也可以，但你user 電腦hostname 要標記清楚是哪個使用者．

3.我個人覺得你該將把你環境內VLAN 做什麼功能的都規劃出來，不建議混用，像我建議wifi OA 一個網段電腦一個網段 Guest 一個網段伺服器一個網段，既然要規劃了就規劃詳盡，後續要維護也便利．

4.建立VLAN 一定會影響伺服器端網路，綁錯了VLAN 和防火牆規則沒開放網路就會不通．

5.看你網路架構似乎無L3 Switch ，如果廠區夠大建議你買L3做IP管控與IP互相交握處理，防火牆就處理境外流量過濾與內外網路開放．

6.無論光纖 & RJ45 都可以做trunk．

至於出WAN1 WAN2 那條只要規則設定這IP NAT指定到WAN1 WAN2 就可以了．

老去或是死亡，都是人類這種短暫生物的美。

jay01062 樓主

謝謝大大的回答！！解答我不少疑惑至於敝司廠區規模不大實際電腦數量大約70～80台其中辦公室使用的約20幾台其餘的都是現場使用不過大大的建議我也會再與主管討論再次感謝大大的回答！受益良多

2023-10-12 23:08

jaisonlian13

jaisonlian13
個人積分：1126分
文章編號：88416294

1126分

3樓

2023-10-13 0:44

小弟的建議，不要用方案三，因為12M是保全系統，若流量灌爆他，導致網路異常，保全系統異常，那也不好。

切成
a. 原本公司內部的VLAN10 走WAN1-100M出去 SSID1--VLAN 10
b. 員工私人的設備VLAN20 走WAN1-100M出去 SSID2--VLAN 20開啟Guest WiFi 設定SSID限速，避免大家用太多流量

設定policy VLAN20 不能到其他地方，只能出外網
建議網段不要用那些很容易衝突的類似192.168.0.1/24, 192.168.1.1/24避開，可以減少一些不必要的問題

DVR獨立網段的意思有點不懂。因為你規劃跟vlan20 192.168.1.0/24相同網段？

1.若依照此架構圖所示,假設我末端接了無網管型的SWITCH,例如ZyXEL GS-108B v3
之後再接PC or 印表機之類的末端設備,GS-108B此類無支援VLAN的SWITCH
有辦法接收VLAN的封包讓後端PC間正常通訊嗎?
還是說只要有VLAN,就全部都要使用有網管功能且支援VLAN的SWITCH呢?
Ｒ：末端基本上一定會是untag port（就指定一個vlan)，所以後面接無網管switch沒差。
除非你這個無網管switch上想接入不同vlan的設備。

2.若要將部份設備設成固定IP,各位會建議直接在電腦上的網路介面設定
還是在防火牆上用MAC綁定的方式呢?
會有什麼好壞之分還是差別嗎?
Ｒ：認為都可以

3.LAN與VLAN不能設成同網段,目前LAN設為10.1.1.0,若不考慮更改現有設備IP的情況下
是否要先分別建立好VLAN10及VLAN20,並分別給予跟現有LAN不同的網段
例如LVAN10為10.1.2.0,VLAN20為192.168.1.0,並將所有設定如TRUNK串接及PORT的
VID、PVID之類的設定好,然後進行連線測試,確定都沒問題後再把目前LAN的10.1.1.0
網段拿掉或改成別的網段,然後再將10.1.1.0網段設定在VLAN10,這樣就能讓原有設備
在不更動IP及設定的情形下無縫切換,不知道小弟的理解是否有誤
Ｒ：可是你不是都要綁MAC IP了，重新設定一次沒差吧。
你可以把VLAN1untag留著做設備的管理網段，避免到時候把自己搞死了，還進不去。
（建議console準備好，設定之前都把設定檔備份好）

4.更改成VLAN不會影響現有場內ERP或MAIL SERVER等設備運作,只是網路封包傳遞時
多了TAG.除非Port的Trunk、Access或VID、PVID設定錯了才會有影響這樣對嗎
Ｒ：不會影響，因為在到設備端，你就用AccessPort（ＵＮＴＡＧ）就好了。
但其你若不會設定，影響就大了，所以建議先實作玩玩看VLAN到底是幹嘛的。

5.假設要多增加一個VLAN30,且要可以與VLAN10連線及互通,是否要在防火牆上設定
VLAN10與VLAN30之間的路由,但這樣也會增加防火牆的負擔
因為要一直進行VLAN10與VLAN30之間封包的傳遞
Ｒ：會增加負擔喔，VLAN10 VLAN30就需要透過防火牆轉送，但預設就有路由了吧，應該把安全策略設定好就可以了。

6.光纖Port彼此之間也能做Trunk對嗎?跟RJ45之間只是傳輸介面不同而已
Ｒ：都可以TRUNK，但建議，相同Type的。就是不要SFP + RJ45這種。

雖然建議若是新手，公司的事情還是請專業的SI來處理，會是比較好的做法。
然後再從中慢慢學習！這種錢沒啥必要省。（而且這些設備應該也是SI幫你處理的吧？）

另外Zyxel 的FB私訊還不錯，也可以去問問看。若產品某些設定或問題，都可以找到不錯的答案。

jay01062

jay01062
個人積分：0分
文章編號：88417276

0分

樓主

2023-10-13 9:14

jaisonlian13 wrote:
小弟的建議，不要用方...(恕刪)

首先感謝大大的回覆

jaisonlian13 wrote:
a. 原本公司內部的VLAN10 走WAN1-100M出去 SSID1--VLAN 10
b. 員工私人的設備VLAN20 走WAN1-100M出去 SSID2--VLAN 20開啟Guest WiFi 設定SSID限速，避免大家用太多流量

設定policy VLAN20 不能到其他地方，只能出外網
建議網段不要用那些很容易衝突的類似192.168.0.1/24, 192.168.1.1/24避開，可以減少一些不必要的問題

抱歉忘記說明,後續保全系統會改至跟VLAN10同網段
而VLAN20就完全給私人設備及訪客使用
同時也會參考大大的建議避開常見網段並進行限速

jaisonlian13 wrote:
DVR獨立網段的意思有點不懂。因為你規劃跟vlan20 192.168.1.0/24相同網段？

DVR目前是使用自己的網段例如192.168.10.0
並在DVR主機連接的Switch上,再接一條網路線至目前的內網10.1.1.0上的Switch
讓主管可以直接用10.1.1.0的電腦連線至DVR主機查看
若要比較目前的模式,是否到時候就讓DVR走VLAN1即可呢?

jaisonlian13 wrote:
Ｒ：末端基本上一定會是untag port（就指定一個vlan)，所以後面接無網管switch沒差。
除非你這個無網管switch上想接入不同vlan的設備。

好的那我瞭解了,目前都是接同網段的設備,謝謝大大解惑

jaisonlian13 wrote:
Ｒ：認為都可以

瞭解

jaisonlian13 wrote:
Ｒ：可是你不是都要綁MAC IP了，重新設定一次沒差吧。
你可以把VLAN1untag留著做設備的管理網段，避免到時候把自己搞死了，還進不去。
（建議console準備好，設定之前都把設定檔備份好）

好的,小弟在操作前會先進行備份,並先準備好console,VLAN1也會留著做設備的管理網段
目前是比較擔心ERP及MAIL SERVER等主機,因為這些主機目前的固定IP不能變動,
之後VLAN10也想讓ERP及MAIL SERVER等主機繼續使用10.1.1.0現在的固定IP
但目前LAN1上是設定10.1.1.0網段,而在Firewall上我看設定VLAN10時也要設定網段
那是否就只能先隨意指定一個網段例如10.10.1.0,之後確定沒問題再把VLAN10改回10.1.1.0
這部份我有點打結,不曉得是否我理解有誤

jaisonlian13 wrote:
Ｒ：不會影響，因為在到設備端，你就用AccessPort（ＵＮＴＡＧ）就好了。
但其你若不會設定，影響就大了，所以建議先實作玩玩看VLAN到底是幹嘛的。

好的那我瞭解了
目前有用Packet Tracer跟EVE-NG在進行LAB測試
我也很怕設定錯誤囧

jaisonlian13 wrote:
Ｒ：會增加負擔喔，VLAN10 VLAN30就需要透過防火牆轉送，但預設就有路由了吧，應該把安全策略設定好就可以了

好的,那目前就打算只切VLAN10及VLAN20,彼此不互通,應該可以減少防火牆部份負擔

jaisonlian13 wrote:
6.光纖Port彼此之間也能做Trunk對嗎?跟RJ45之間只是傳輸介面不同而已
Ｒ：都可以TRUNK，但建議，相同Type的。就是不要SFP + RJ45這種。
好的謝謝大大,這部份我會特別留意

雖然建議若是新手，公司的事情還是請專業的SI來處理，會是比較好的做法。
然後再從中慢慢學習！這種錢沒啥必要省。（而且這些設備應該也是SI幫你處理的吧？）
就目前瞭解公司好像沒有配合的SI
設備都是購買後自行安裝跟設定的@@

另外Zyxel 的FB私訊還不錯，也可以去問問看。若產品某些設定或問題，都可以找到不錯的答案。

好的我再來去Zyxel FB看看,謝謝大大提供的建議及門路,非常感謝

明月下的清風

明月下的清風
個人積分：3689分
文章編號：88420379

3689分

5樓

2023-10-13 16:39

jay01062 wrote:
1.若依照此架構圖所示,假設我末端接了無網管型的SWITCH,例如ZyXEL GS-108B v3
之後再接PC or 印表機之類的末端設備,GS-108B此類無支援VLAN的SWITCH
有辦法接收VLAN的封包讓後端PC間正常通訊嗎?
還是說只要有VLAN,就全部都要使用有網管功能且支援VLAN的SWITCH呢?

你要看的，是switch有沒有支援vlan功能。
沒有vlan功能的switch，你可以用在edge，也就是跟底層設備(如PC、Notebook)連接。

簡單舉例解釋。
switch A 有vlan功能，port 1與port 3是untag vlan 10 、port 2是untag vlan 11
switch B 無vlan功能，port 1接到switch A的port 1，port 2接到PC A、port 3接PC B
switch C 無vlan功能，port 1接到switch A的port 2，port 2接到PC C、port 3接PC D
switch D 無vlan功能，port 1接到switch A的port 3，port 2接到PC E、port 3接PC F

此時
PC A、PC B、PC E、PC F互通，因為都是vlan 10(從switch A角度來看)
PC A與PC D不互通，因為分處在vlan 10跟vlan 11

jay01062 wrote:
2.若要將部份設備設成固定IP,各位會建議直接在電腦上的網路介面設定
還是在防火牆上用MAC綁定的方式呢?
會有什麼好壞之分還是差別嗎?

現在防火牆綁MAC不一定有用，建議直接在電腦上的網路介面設定，同時不要開放更動設定
(比如windows AD環境下，管理權限不要開給該台PC/Notebook的使用者)

jay01062 wrote:
3.LAN與VLAN不能設成同網段,目前LAN設為10.1.1.0,若不考慮更改現有設備IP的情況下
是否要先分別建立好VLAN10及VLAN20,並分別給予跟現有LAN不同的網段
例如LVAN10為10.1.2.0,VLAN20為192.168.1.0,並將所有設定如TRUNK串接及PORT的
VID、PVID之類的設定好,然後進行連線測試,確定都沒問題後再把目前LAN的10.1.1.0
網段拿掉或改成別的網段,然後再將10.1.1.0網段設定在VLAN10,這樣就能讓原有設備
在不更動IP及設定的情形下無縫切換,不知道小弟的理解是否有誤

想太多了，要切VLAN就等於要切獨立網段出來 aka 一定會斷線，沒有所謂「無縫切換」的可能性。
只能儘量減少衝擊。(比如申請非上班時間施工，或利用離峰時間斷線)

以你的例子，我會這樣做。
1.建立VLAN 10給新建的10.1.2.0/24、VLAN 11給新建的192.168.1.0/24 (vlan id數字請自己選一個)。
注意：[1]包含trunk/tagged uplink 建立 [2]正常設定的話，這時候原本連在預設vlan(一般是vlan 1)上的設備並不會斷線。

2.設定好10.1.2.0/24的線路、gateway、路由、防火牆規則並測試確認正常可以連線。

3.將要移動要10.1.2.0/24的設備逐一接線到vlan 10，並變更IP與gateway到valn 10後測試連線是否正常。
這時候要移動的設備，移動時就會斷線。

4.同上重複2、3的動作，移動要遷移到vlan 11 192.168.1.0/24的設備

順帶一提，變更switch設定前請先做好備援，比如設定備用的實體管理port、將備份設定檔備份出來等措施。
畢竟我就遇過客戶新增vlan不知道怎麼設定的，一按apply網路全斷，連他自己都連不進去

，趕緊喊救人的...
(當然事後一定會被鞭，跑不掉)

jay01062 wrote:
4.更改成VLAN不會影響現有場內ERP或MAIL SERVER等設備運作,只是網路封包傳遞時
多了TAG.除非Port的Trunk、Access或VID、PVID設定錯了才會有影響這樣對嗎

還有路由跟firewall都會影響，不如說這兩個影響層面更大。

另外你也不用管vlan的tag。
帶vlan tag的封包只會在vlan trunkport /tagged vlan port出現，同一個VLAN下的switch port大都不會帶tag。

jay01062 wrote:
5.假設要多增加一個VLAN30,且要可以與VLAN10連線及互通,是否要在防火牆上設定
VLAN10與VLAN30之間的路由,但這樣也會增加防火牆的負擔
因為要一直進行VLAN10與VLAN30之間封包的傳遞

這有3種作法。
1.透過firewall傳遞。優點：可以管制流量缺點：速度可能受限(尤其是透過trunk/tagged vlan傳遞時)
2.在switch內傳遞。switch必須是L3 switch。優點：速度快缺點：無法進行管制 or 僅有很少的管制功能。
3.增加一台router/firewall負責傳遞

一般會選1或2，因為成本較少(3要增加實體設備，且還要額外進行管理)

jay01062 wrote:
6.光纖Port彼此之間也能做Trunk對嗎?跟RJ45之間只是傳輸介面不同而已

你講的這兩個都算是Layer 1實體層的部份。(OSI七層)
Trunk算Layer 2，所以是可以的。
(不管你的Trunk，是cisco指的vlan trunk port /tagged vlan port，還是Link Aggregation都是)

幾個建議：
1.監視器請使用獨立網段/vlan，與內部網路分離開，並透過防火牆管制哪些IP可存取。
2.個人也會選擇第三方案，但同時還會考慮私人設備(舉例：員工工作用的筆電/平板)受限連入內網要如何實做。

jay01062

jay01062
個人積分：0分
文章編號：88433957

0分

樓主

2023-10-16 11:36

明月下的清風 wrote:
明月下的清風 2023-10-13 16:39 5樓
你要看的，是switch有沒有支援vlan功能。
沒有vlan功能的switch，你可以用在edge，也就是跟底層設備(如PC、Notebook)連接。

簡單舉例解釋。
switch A 有vlan功能，port 1與port 3是untag vlan 10 、port 2是untag vlan 11
switch B 無vlan功能，port 1接到switch A的port 1，port 2接到PC A、port 3接PC B
switch C 無vlan功能，port 1接到switch A的port 2，port 2接到PC C、port 3接PC D
switch D 無vlan功能，port 1接到switch A的port 3，port 2接到PC E、port 3接PC F

此時
PC A、PC B、PC E、PC F互通，因為都是vlan 10(從switch A角度來看)
PC A與PC D不互通，因為分處在vlan 10跟vlan 11

看完大大的回覆總算把這部份的疑惑解開了,感謝大大

現在防火牆綁MAC不一定有用，建議直接在電腦上的網路介面設定，同時不要開放更動設定
(比如windows AD環境下，管理權限不要開給該台PC/Notebook的使用者)

好的感謝大大建議,但因為公司沒有架設AD
所以全部電腦都是本機登入且擁有管理者權限
這部份現階段大概還是得在防火牆綁定

想太多了，要切VLAN就等於要切獨立網段出來 aka 一定會斷線，沒有所謂「無縫切換」的可能性。
只能儘量減少衝擊。(比如申請非上班時間施工，或利用離峰時間斷線)

看來是我想得太簡單了,只好利用假日來進行切換了

以你的例子，我會這樣做。
1.建立VLAN 10給新建的10.1.2.0/24、VLAN 11給新建的192.168.1.0/24 (vlan id數字請自己選一個)。
注意：[1]包含trunk/tagged uplink 建立 [2]正常設定的話，這時候原本連在預設vlan(一般是vlan 1)上的設備並不會斷線。

2.設定好10.1.2.0/24的線路、gateway、路由、防火牆規則並測試確認正常可以連線。

3.將要移動要10.1.2.0/24的設備逐一接線到vlan 10，並變更IP與gateway到valn 10後測試連線是否正常。
這時候要移動的設備，移動時就會斷線。

4.同上重複2、3的動作，移動要遷移到vlan 11 192.168.1.0/24的設備

順帶一提，變更switch設定前請先做好備援，比如設定備用的實體管理port、將備份設定檔備份出來等措施。
畢竟我就遇過客戶新增vlan不知道怎麼設定的，一按apply網路全斷，連他自己都連不進去，趕緊喊救人的...
(當然事後一定會被鞭，跑不掉)

好的,非常感謝大大還提供整個步驟流程及詳細解說,
我會參考此流程並把相關資訊替換成公司需求來進測試

還有路由跟firewall都會影響，不如說這兩個影響層面更大。

請問大大是還要設定路由跟firewall政策讓它能正常通訊嗎
因為我目前使用EVE-NG模擬也是卡在這...
Firewall是fortigate Switch是aruba
若沒設定VLAN都可正常通訊且可以ping到firewall並取得dhcp
但設定VLAN後就ping不到也拿不到dhcp
看起來是與firewall的連線沒有成功

另外你也不用管vlan的tag。
帶vlan tag的封包只會在vlan trunkport /tagged vlan port出現，同一個VLAN下的switch port大都不會帶tag。

好的,那我瞭解了

這有3種作法。
1.透過firewall傳遞。優點：可以管制流量缺點：速度可能受限(尤其是透過trunk/tagged vlan傳遞時)
2.在switch內傳遞。switch必須是L3 switch。優點：速度快缺點：無法進行管制 or 僅有很少的管制功能。
3.增加一台router/firewall負責傳遞

一般會選1或2，因為成本較少(3要增加實體設備，且還要額外進行管理)

好的,目前打算只切兩個VLAN,且彼此不需要通訊也不能互相連線
一個內網使用,一個讓AP去抓取,只供訪客跟私人手機連線使用

你講的這兩個都算是Layer 1實體層的部份。(OSI七層)
Trunk算Layer 2，所以是可以的。
(不管你的Trunk，是cisco指的vlan trunk port /tagged vlan port，還是Link Aggregation都是)

好的,非常感謝大大的解答

幾個建議：
1.監視器請使用獨立網段/vlan，與內部網路分離開，並透過防火牆管制哪些IP可存取。
2.個人也會選擇第三方案，但同時還會考慮私人設備(舉例：員工工作用的筆電/平板)受限連入內網要如何實做。

好的,非常感謝大大的建議及解答
聽完後更有方向知道該怎麼做了,感謝!!

明月下的清風

明月下的清風
個人積分：3689分
文章編號：88434448

3689分

7樓

2023-10-16 12:31

jay01062 wrote:
請問大大是還要設定路由跟firewall政策讓它能正常通訊嗎
因為我目前使用EVE-NG模擬也是卡在這...
Firewall是fortigate Switch是aruba
若沒設定VLAN都可正常通訊且可以ping到firewall並取得dhcp
但設定VLAN後就ping不到也拿不到dhcp
看起來是與firewall的連線沒有成功

1.要設定路由跟firewall沒錯，而且你的問題，很可能就是卡在routing。

你的需求中，有這麼一段：
「VLAN10 走 WAN1 連出，VLAN20 走 WAN2 連出。」
這表示在firewall這邊，需要動用兩張路由表來達成這個需求。(因為需要有兩個各自獨立的default gateway)

這時候就要小心，其中一張路由表是不是沒有寫入新加進來的VLAN 10 / VLAN 20路由。

另外也要注意，某些低階的firewall，有可能是不支援多張路由表的。

2.DHCP是另外一個問題，跟路由無關。
這建議抓封包來查。
[1]如果DHCP廣播封包有正常回應，那大概是分配的網段/gateway有錯，檢查你dhcp server的設定檔看看。
另外一個可能性是有多個DHCP Server，其中一個回應了錯誤的dhcp reply導致client拿到的IP等資訊是錯的。

[2]如果DHCP廣播封包沒有正常回應，常見的問題有
(1)防火牆擋到了UDP port 67,68
(2)dhcp server的network interface設定錯誤，如p3p1.10(VLAN界面)被設定成p3p1(實體界面)。(從樓主描述來看，最有可能是這個原因)
(3)你的DHCP Server在另外一個網段的機器中(舉例：DHCP Server不在firewall上，而是架在Windows AD Server上)，因此需要做dhcp relay。這部份請參考firewall的說明手冊，看有沒有支援dhcp relay的功能，以及如何進行設定。
(4)DHCP Server上所設定的client數滿了/沒有可以分配的IP位置。檢查dhcp server的狀態就能確認此問題。如果遇到請加大client數/增加可分配的IP位置。

jay01062 wrote:
因為公司沒有架設AD
所以全部電腦都是本機登入且擁有管理者權限
這部份現階段大概還是得在防火牆綁定

幾個建議：
1.如果可以，請把管理權限鎖起來。
除非有特殊需求，不然一般使用者權限就足以應付大多數公司的正常日常運作。
如果不鎖起來，惡意的使用者，是可以任意更改MAC位置的。
當然還是那句老話，請先測試OK再更動，不然可能會被長官叫去喝咖啡跪主機板...

2.如果要從防火牆設定，建議採用白名單方式設定。
舉例：
[1]MAC aa:bb:cc:11:22:33在dhcp上綁192.168.1.1的位置
[2]將MAC Address aa:bb:cc:11:22:33同時是192.168.1.1的IP來的連線設為白名單，允許連出
(注意：某些firewall可能不支援這種語法)
[3]白名單以外的設備，不允許連出。

PS:如果遇到上述綁定的使用者突然在抱怨無法連上，檢查看看是不是有重複的MAC跟IP位置出現。
如果出現恭喜你，逐一拔網路線抓賊game start!! 滾來滾去

(所以我才說，管理權限最好要鎖起來)