billese10 wrote:一般情況下是可以互相訪問才對啊。
我要來請教大神們.....(恕刪)
最簡單的測試就是在router命令窗用ping測試，如：
:ping 192.168.5.254 src-address=192.168.6.254
:ping 192.168.6.254 src-address=192.168.7.254
:ping 192.168.7.254 src-address=192.168.8.254
:ping 192.168.8.254 src-address=192.168.5.254
但我幾乎篤定100％測試會過，
除非您mangle策略有chain是使用output，直接影響router輸出。
我猜您應mangle策略沒把區網連線給略過，要不然就是windows防火牆在搞...
如果考慮是mangle策略問題，您只要mangle新增：
action=accept chain=prerouting src-address=192.168.0.0/16 dst-address=192.168.0.0/16
並拉到mangle視窗最上方置頂，
這樣mangle下方的路由策略要碰觸內網vs內網都會直接掠過。
另外一個關鍵即我說的windows防火牆。
windows預設只允許同網段的裝置，或者特定軟體的連接port進入。
所以解決的方式很簡單，把windows防火牆不管公還是私全關閉，
另一頭不同網段的windows也是如此。
之後ping遠端windows看看，若ping的動那問題就出在這了。
記得上面的兩種情形很高率同時都有，兩個方向都要查。
如果關了windows防火牆就可以連線到對端，
您可以windows防火牆進階設置，本地規則新增允許遠端192.168.0.0/16
兩邊windows防火牆都需要，再開啟防火牆驗證剛剛開放192.168.0.0/16是否順利放行。
開放windows防火牆是您windows pc為數不多時，較正規的解法；
一旦pc數量大，一台台pc改防火牆這肯定讓人崩潰...
這時就建議您用nat偽裝，在nat新增：
action=masquerade chain=srcnat src-address=192.168.0.0/16 out-interface=vlan5
action=masquerade chain=srcnat src-address=192.168.0.0/16 out-interface=vlan6
action=masquerade chain=srcnat src-address=192.168.0.0/16 out-interface=vlan7
action=masquerade chain=srcnat src-address=192.168.0.0/16 out-interface=vlan8
用nat偽裝欺騙的方式，假設192.168.5.100想連結192.168.6.100時，
192.168.5.100假裝自己是192.168.6.254，來欺騙192.168.6.100是同內網，
希望windows防火牆給過，大致就是這樣～
