OPNsense+Netgear设备环境下Wi-Fi跨VLAN通信故障求助

各位大佬好，我最近在家庭网络里用两个VLAN（HOME和IOT）做设备隔离，目前遇到了一个奇怪的跨VLAN通信问题，想请大家帮忙分析下。

我的网络设备清单 #

• 1台有线调制解调器
• 1台带WAN、LAN、OPT1端口的OPNsense路由器
• 1台8口Netgear MS108EUP管理型交换机
• 1台支持VLAN的Netgear WAX630E无线AP

有线拓扑连接 #

• OPNsense的WAN口连接有线调制解调器
• 交换机的1号端口连接Netgear AP
• 交换机的2号端口连接OPNsense的OPT1端口
• 交换机的3号端口连接OPNsense的LAN端口
• 交换机的4号端口连接一台Windows有线PC
• 交换机的5号端口连接一台有线IP摄像头

OPNsense配置 #

我在OPNsense里创建了两个VLAN：

• vlan02[HOME]：VLAN标签2，绑定到OPT1端口
• vlan03[IOT]：VLAN标签3，绑定到OPT1端口

DHCP配置如下：

• LAN：子网192.168.1.0，网关192.168.1.1，DHCP范围192.168.1.100-192.168.1.254
• HOME：子网192.168.2.0，网关192.168.2.1，DHCP范围192.168.2.100-192.168.2.254
• IOT：子网192.168.3.0，网关192.168.3.1，DHCP范围192.168.3.100-192.168.3.254

防火墙规则设置：

• LAN：允许访问互联网及所有VLAN
• HOME：允许访问互联网及IOT VLAN
• IOT：仅允许访问互联网

Netgear交换机配置（802.1Q VLAN） #

• VLAN ID 1（默认）：所有端口均为Untagged
• VLAN ID 2（HOME）：端口1、2设为Tagged，其余端口Excluded
• VLAN ID 3（IOT）：端口1、2设为Tagged，端口5设为Untagged，其余端口Excluded

PVID配置：所有端口默认PVID为1，仅端口5的PVID设为3

Netgear AP配置 #

我创建了3个SSID：

• SSID1（admin）：VLAN ID 1
• SSID2（home）：VLAN ID 2
• SSID3（iot）：VLAN ID 3

当前正常的情况 #

大部分功能都正常：

• 所有设备都能获取对应VLAN的DHCP地址，且都能访问互联网
• 符合防火墙规则的跨VLAN通信（有线→有线、有线→无线、无线→有线）都能正常工作，比如：
  • HOME无线笔记本能访问IOT有线摄像头
  • LAN有线PC能访问IOT无线摄像头

故障现象 #

只有无线设备之间跨VLAN通信失败：

• 用HOME无线笔记本访问IOT无线摄像头，无法建立连接
• 为了排查，我把一台跑Nginx的Linux笔记本连到IOT的SSID3，用tcpstat监控连接：当用HOME无线笔记本访问这个Linux的网页时，tcpstat显示收到来自HOME笔记本的SYN包，连接停留在SYN_RECV状态，永远无法建立ESTABLISHED；但用LAN有线PC访问这个网页却完全正常。

求助 #

我已经确认AP和交换机都升级到了Netgear最新固件，现在完全搞不懂为什么只有无线设备跨VLAN通信会出问题，有线参与的跨VLAN都正常。有没有大佬能给点排查方向或者解决方案？

备注：内容来源于stack exchange，提问作者vascaino