企業常見需求：內網（辦公/生產/伺服器）隔離外網，安全合規；但工程師需同時存取內網資源與外網查資料。雙網卡方案：一張網卡接內網、一張接外網，透過路由表控制流向，兼顧效率與相對安全。

網路拓撲與參數規劃

配置步驟

步驟一：配置兩張網卡 IP（關鍵：僅外網卡設閘道與 DNS）

• 外網卡（網卡 A）：IP 192.168.1.100/24，閘道 192.168.1.1，DNS 114.114.114.114 / 8.8.8.8
• 內網卡（網卡 B）：IP 10.1.1.100/24，**不設閘道、不設 DNS**，僅設 IP 與子網遮罩

⚠ 雙閘道是大忌：Windows 只會使用介面指標較低（預設順序）的閘道作為預設路由。內網卡設閘道會導致 0.0.0.0/0 路由衝突，外網流量可能走入內網黑洞。

步驟二：添加內網業務網段靜態路由

管理員 CMD 執行（持久化加 -p 參數）：

route -p add 10.10.1.0 mask 255.255.255.0 10.1.1.1
route -p add 172.16.1.0 mask 255.255.255.0 10.1.1.1
route -p add 192.168.100.0 mask 255.255.255.0 10.1.1.1

含義：目的地為上述內網網段的封包，下一跳送往內網閘道 10.1.1.1（核心交換機/內網路由器）。
驗證：route print 查看 IPv4 路由表，確認上述網段 Next Hop 為 10.1.1.1，介面為內網卡。

步驟三：測試連通性

ping 192.168.1.1    (外網閘道)
ping 10.1.1.1       (內網核心閘道)
ping 10.10.1.1      (辦公網閘道)
ping 172.16.1.1     (生產網閘道)
ping 192.168.100.1  (伺服器網段閘道)
ping 8.8.8.8        (外網連通)
ping www.google.com (DNS解析+外網)

全通即配置成功，同時具備內外網存取能力。

常見問題與解決

問題 1：內網域名無法解析（內網 DNS 是私有，公共 DNS 解析不到）

原因：電腦 DNS 設為公共 DNS，查不到內網私有域名（如 erp.company.local、git.internal）。
解決：修改本機 C:\Windows\System32\drivers\etc\hosts，手動對應內網常用域名 → 內網 IP。
例：10.10.1.50 erp.company.local
或：內網卡設 DNS 為內網 DNS（但會影響外網解析順序），或部署分流 DNS（如 DNSmasq/AdGuard Home 規則轉發）。

問題 2：內外網 IP 段重疊（如內網也用 192.168.1.x）

必須重新規劃內網 IP 段，避開外網/常見家用網段。建議使用 10.x.x.x 或 172.16-31.x.x 大網段劃分 VLAN。

問題 3：安全合規風險（內外網互通）

雙網卡機器成為潛在跳板。補救措施：

• 主機防火牆：僅允許必要埠（RDP 3389、SSH 22、HTTP/HTTPS）從內網卡介面入站，外網卡介面**全阻擋入站**
• 啟用 Windows Defender 應用程式防護 / AppLocker 限制可執行檔
• 定期掃毒、打補丁、最小權限原則、禁用 USB/光碟機
• 極高安全等級環境：**嚴禁雙網卡**，改用閘道機/堡壘機/VDI 虛擬桌面/資料單向導入閘道

自動化腳本（登入執行/部署 GPO）

@echo off
rem 設定外網卡 IP (假設介面名稱 "乙太網路")
netsh interface ip set address "乙太網路" static 192.168.1.100 255.255.255.0 192.168.1.1 1
netsh interface ip set dns "乙太網路" static 114.114.114.114 primary
netsh interface ip add dns "乙太網路" 8.8.8.8 index=2

rem 設定內網卡 IP (假設介面名稱 "乙太網路 2")
netsh interface ip set address "乙太網路 2" static 10.1.1.100 255.255.255.0

rem 加入持久化靜態路由
route -p add 10.10.1.0 mask 255.255.255.0 10.1.1.1
route -p add 172.16.1.0 mask 255.255.255.0 10.1.1.1
route -p add 192.168.100.0 mask 255.255.255.0 10.1.1.1

雙網卡方案屬「權宜之計」，適用安全等級中低、效率優先場景。高安全環境請採用正規網闸/堡壘機/零信任架構。