基于MAC地址的VLAN划分及网络隔离方案咨询（Banana Pi R64 + ArchLinux环境）

嗨，我看到你们在Banana Pi R64上用ArchLinux搭建自定义路由器，想实现基于MAC地址跨物理接口自动分配VLAN的需求——不管设备连WiFi还是以太网，都能进入对应的子网，这个场景其实挺常见的，我来分享几个可行的方案，帮你们解决当前用nftables改MAC导致DHCP失效的问题：

一、优先推荐：用ebtables实现MAC-to-VLAN映射 #

nftables虽然强大，但改目的MAC的方式会破坏DHCP的二层广播交互逻辑，而ebtables是专门处理二层流量的工具，更适合这类场景。具体步骤如下：

1. 先搭建基础桥接与VLAN环境 #

首先把所有物理接口（以太网、WiFi）桥接到一个统一的网桥，这样就能实现跨接口的VLAN处理：

# 创建网桥
ip link add name br0 type bridge
ip link set br0 up

# 将物理接口加入网桥（替换成你的实际接口名，比如eth0、wlan0等）
ip link set eth0 master br0
ip link set wlan0 master br0
ip link set eth0 up
ip link set wlan0 up

# 创建各VLAN子接口（以home/vlan10、private/vlan20、guest/vlan30为例）
ip link add link br0 name br0.10 type vlan id 10
ip link add link br0 name br0.20 type vlan id 20
ip link add link br0 name br0.30 type vlan id 30

# 给VLAN接口配置静态IP（作为对应子网的网关）
ip addr add 192.168.10.1/24 dev br0.10
ip addr add 192.168.20.1/24 dev br0.20
ip addr add 192.168.30.1/24 dev br0.30

# 启用VLAN接口
ip link set br0.10 up
ip link set br0.20 up
ip link set br0.30 up

2. 配置ebtables规则实现MAC绑定VLAN #

通过ebtables的标记功能，把指定MAC的流量打上对应VLAN标签：

# 先启用ebtables的相关内核模块
modprobe ebtables
modprobe ebt_nat
modprobe ebt_vlan
modprobe ebt_mark

# 创建自定义链用于MAC匹配
ebtables -t nat -N MAC_VLAN_MAP

# 给每个设备的MAC地址绑定VLAN（替换成你的实际MAC和VLAN ID）
# 例：将AA:BB:CC:DD:EE:FF分配到vlan10（home子网）
ebtables -t nat -A MAC_VLAN_MAP -s AA:BB:CC:DD:EE:FF -j mark --set-mark 10
# 例：将FF:EE:DD:CC:BB:AA分配到vlan20（private子网）
ebtables -t nat -A MAC_VLAN_MAP -s FF:EE:DD:CC:BB:AA -j mark --set-mark 20

# 将标记后的流量设置对应VLAN ID
ebtables -t nat -A PREROUTING -i br0 --mark 10 -j vlan --set-vlan-id 10
ebtables -t nat -A PREROUTING -i br0 --mark 20 -j vlan --set-vlan-id 20

# 把默认流量分配到guest子网（可选，未匹配MAC的设备进vlan30）
ebtables -t nat -A PREROUTING -i br0 -j vlan --set-vlan-id 30

# 把自定义链挂到PREROUTING链
ebtables -t nat -A PREROUTING -i br0 -j MAC_VLAN_MAP

3. 调整DNSmasq配置适配多VLAN #

修改/etc/dnsmasq.conf，让DHCP服务监听每个VLAN接口，分配对应网段的IP：

# 监听所有VLAN接口
interface=br0.10
interface=br0.20
interface=br0.30

# 关闭网桥接口的DHCP（避免冲突）
no-dhcp-interface=br0

# 各子网的DHCP范围
dhcp-range=interface:br0.10,192.168.10.10,192.168.10.100,255.255.255.0,24h
dhcp-range=interface:br0.20,192.168.20.10,192.168.20.100,255.255.255.0,24h
dhcp-range=interface:br0.30,192.168.30.10,192.168.30.100,255.255.255.0,24h

# 可选：给特定MAC绑定固定IP（和VLAN对应）
dhcp-host=AA:BB:CC:DD:EE:FF,192.168.10.50

重启DNSmasq生效：systemctl restart dnsmasq

二、进阶方案：用Open vSwitch（OVS）实现复杂二层控制 #

如果你们以后需要更灵活的网络功能（比如SDN、流量镜像），可以用OVS替代原生网桥+ebtables，它的流表规则能更精准地处理二层流量：

1. 安装并配置OVS #

# 安装OVS
pacman -S openvswitch
systemctl enable --now openvswitch

# 创建OVS网桥
ovs-vsctl add-br ovs-br0

# 将物理接口加入OVS网桥
ovs-vsctl add-port ovs-br0 eth0
ovs-vsctl add-port ovs-br0 wlan0

# 创建VLAN子接口并加入网桥
ovs-vsctl add-port ovs-br0 ovs-br0.10 tag=10
ovs-vsctl add-port ovs-br0 ovs-br0.20 tag=20
ovs-vsctl add-port ovs-br0 ovs-br0.30 tag=30

# 配置VLAN接口的网关IP
ip addr add 192.168.10.1/24 dev ovs-br0.10
ip addr add 192.168.20.1/24 dev ovs-br0.20
ip addr add 192.168.30.1/24 dev ovs-br0.30
ip link set ovs-br0.10 up
ip link set ovs-br0.20 up
ip link set ovs-br0.30 up

2. 添加MAC-to-VLAN的流表规则 #

# 给指定MAC分配VLAN标签
ovs-ofctl add-flow ovs-br0 "priority=100,dl_src=AA:BB:CC:DD:EE:FF,actions=mod_vlan_vid:10,output:ovs-br0.10"
ovs-ofctl add-flow ovs-br0 "priority=100,dl_src=FF:EE:DD:CC:BB:AA,actions=mod_vlan_vid:20,output:ovs-br0.20"

# 默认流量分配到guest子网
ovs-ofctl add-flow ovs-br0 "priority=10,actions=mod_vlan_vid:30,output:ovs-br0.30"

DNSmasq的配置和上面一致，监听对应的OVS VLAN接口即可。

三、解释你之前nftables方案的问题 #

你之前尝试用nftables修改目的MAC的方式，会破坏DHCP的二层交互逻辑：DHCP客户端发送的是广播MAC（ff:ff:ff:ff:ff:ff），修改后DNSmasq可能收不到请求；即使收到，响应的MAC地址也会不匹配，导致客户端无法接收DHCP Ack包，所以二层VLAN划分还是用专门的ebtables或OVS更合适。

四、其他替代方案（非VLAN） #

如果不想用VLAN，也可以考虑以下方式，但安全性和隔离性不如VLAN：

• 静态IP+防火墙隔离：给每个设备分配固定IP，用nftables规则限制不同IP段的互通，但二层仍然是连通的，存在ARP欺骗风险。
• 多SSID+独立网桥：给WiFi创建多个SSID，每个SSID绑定独立网桥，以太网接口也分配到对应网桥，但无法实现同一设备跨接口进入同一子网的需求。

备注：内容来源于stack exchange，提问作者Mandarine