Два роутера в одной сети: каскад и как избежать двойного NAT

Второй роутер подключают, когда не хватает портов или покрытия, когда нужна отдельная сеть для гостей или рабочего оборудования либо когда старое устройство жалко выбрасывать. Возможны два принципиально разных варианта: второй роутер работает как отдельный маршрутизатор в собственной подсети либо как точка доступа в общей сети. От выбора зависит поведение всей системы.

Выбор зависит от цели. Хотите общий доступ ко всем устройствам — нужна точка доступа. Хотите изолировать сегмент — каскад с отдельной подсетью.

Сразу решите, кто будет главным. Главный роутер получает интернет от провайдера и отвечает за адреса, брандмауэр и проброс портов, второй — подчинённый. Такая простая иерархия уменьшает количество ошибок и упрощает поиск неисправностей.

Кабель идёт из LAN основного роутера в WAN второго. Второй получает адрес от основного и создаёт собственную сеть, например 192.168.2.x. Устройства второй сети выходят в интернет через оба роутера, но напрямую друг друга видят хуже: компьютер в первой сети не увидит принтер во второй без специальных правил.

Главное правило — подсети не должны совпадать. Если на обоих роутерах стоит 192.168.1.x, возникнет конфликт, и нужно изменить адрес на одном из них.

NAT переводит внутренние адреса в один внешний. В каскаде перевод происходит дважды: сначала на втором роутере, затем на первом. Обычный веб-сёрфинг этого не замечает, но проброс портов, прямые подключения в играх, удалённый доступ и некоторые программы для звонков страдают. Порт нужно пробрасывать на обоих устройствах, а иногда он не работает вовсе.

Признак двойного NAT: внешний адрес вашего второго роутера — локальный, из диапазонов 192.168, 10 или подобных, а не публичный.

Некоторые сервисы вообще отказываются работать за двойным NAT: не открываются прямые соединения для голосовой связи, консоли показывают строгий тип NAT, не срабатывает удалённый доступ к домашнему серверу. Если вы сталкиваетесь с такими признаками, начните проверку именно с топологии сети.

Есть три пути. Первый — перевести второй роутер в режим точки доступа, отключив у него маршрутизацию и DHCP. Второй — перевести первый роутер, если он от оператора, в режим моста, чтобы NAT выполнял только ваш. Третий — оставить каскад и настроить проброс на обоих устройствах, задав на первом правило для адреса второго, а на втором — для конечного.

Первый путь самый простой для домашней сети, второй лучше, если основной роутер вам не нужен.

Проверьте адреса: устройства второй сети должны получать адреса от нужного DHCP и выходить в интернет. Выполните ping между сетями и убедитесь, что нужные службы доступны. Посмотрите внешний адрес в интерфейсе устройства, которое должно быть единственным на границе.

Типичные ошибки: совпадающие подсети, два DHCP в одной сети, кабель не в тот порт и попытка открыть порт только на одном из роутеров. Запишите схему подключения: без неё через полгода вы не вспомните, какое устройство за что отвечает.

Допустим, основной роутер имеет адрес 192.168.1.1 и раздаёт адреса с 192.168.1.100. Вы хотите добавить второй, чтобы получить порты и Wi-Fi в кабинете. Самый простой вариант: задайте второму адрес 192.168.1.2, отключите на нём DHCP и соедините роутеры кабелем через LAN-порты. Всё остаётся одной сетью, принтеры и накопители видны всем, а NAT работает один раз.

Если же нужна отдельная сеть для рабочего оборудования, задайте второму адрес 192.168.2.1 с собственным DHCP и соедините его WAN-портом с LAN основного. Тогда устройства кабинета изолированы от домашних, но проброс портов придётся настраивать на обоих роутерах.