mac只能做旁路由？5分钟教会你surge主路由完美网络管理！

旁路由方案保留了现成的主路由；这次我试的是另一条路：Mac 自己拨 PPPoE，Surge 发 DHCP，旧路由器只做 Wi-Fi AP。Mac 和 iPhone 都能上网，手机网关也指向 Mac，但先说结论：这是一次连通性实验，不是已经验收过 WAN/LAN 隔离与长期故障恢复的可照搬主路由方案。想自己试，先看清接线边界和退路，再动拨号与 DHCP。

先看接线：交换机不会自动隔离 WAN 和 LAN

我演示时手头没有 Mac mini，用 MacBook Pro 加扩展网口代替。示意里是光猫、Mac 和桥接 AP 都接在一台交换机上，Mac 负责拨号和分配地址，AP 负责发 Wi-Fi。这个接法解释了当时设备如何互相连接，却不能把“能打开网页”当成安全隔离的证明：若普通交换机的端口都在同一个未隔离的二层网段，上游广播、下游 DHCP 和其他设备可能互相可见。

打算长期用，先核对光猫是桥接还是路由模式、宽带是否允许 Mac 拨号，以及手上的网口、交换机、AP 支持什么。更容易审查的拓扑是独立 WAN 接上游、独立 LAN 接下游；想用单线或交换机复用接口，就必须先验证 VLAN 隔离和设备支持，不能靠一台普通交换机充当隔离器。这里不提供一张“所有家庭都能照接”的网线图。

按实验顺序：固定 LAN、拨号、发地址、接 AP

准备	用途
有权管理的宽带接入与 PPPoE 账号	由 Mac 建立上游连接；先确认光猫工作模式
Mac、Surge 和适合的网络接口	一侧接上游，一侧为下游提供网关；接口如何隔离须单独设计
可切桥接模式的 AP、一台测试终端	提供 Wi-Fi，先拿单台设备验收，不直接迁全家
原路由配置与管理入口	拨号或 DHCP 失败时立即恢复原网络

1. 在 macOS 网络设置中选用于局域网的接口，改成手动固定地址，核对地址、子网掩码和其他设备不会冲突。演示用了一个好记的私有地址，但具体网段取决于你的拓扑，不要照抄。macOS 的菜单和 PPPoE 前提以Apple 帮助为准。
2. 在网络设置里添加服务 → PPPoE，填自己的宽带账号、密码并连接；添加服务的旧版界面可从 02:10 对照。Mac 能访问测试网站，只能说明这一步拨号和本机访问跑通，还不能说明下游设备会经它出网。
3. 打开 Surge → 设备 → DHCP 服务器，选择预期的下游接口，设地址分配范围。演示中若提示已有 DHCP 服务器，曾去检查光猫后台；但不要一看到提示就关闭光猫 DHCP，先确认冲突发生在哪个网段、光猫是否承担其他服务，并留好恢复入口。Surge 的 DHCP 说明可用来核对当前版本的网关通告行为。
4. 将旧路由器切为有线桥接／AP 模式，关闭它作为路由器的独立 NAT、DHCP 功能。我的设备把入口叫 Bridge AP，其他型号名称和接线口可能不同，以设备说明及实际状态为准。连上 Wi-Fi 后，再让一台测试设备重新领地址。

用一台 iPhone 验收，别替全屋宣布成功

手机连入桥接 AP 的 Wi-Fi 后，我先看它拿到的 IP、网关和 DNS，再按地址到 Surge 的设备页找这台客户端；随后访问普通站点和代理目标，网页当次可以加载。至少把结果拆成三层：

看到什么	能说明什么	还要再查什么
Mac 的 PPPoE 已连接且本机可访问网站	上游拨号在这次环境里可用	ISP 条件、断线重拨和长期稳定性
iPhone 领到地址、网关指向 Mac	该设备拿到了预期 DHCP 信息	是否还有竞争 DHCP、DNS/IPv6 是否绕行
iPhone 的目标页面可打开	该次请求可达	Surge 请求记录中的命中规则与出口、WAN/LAN 隔离

Surge 网关模式说明讲的是局域网设备如何经 Mac 转发。用一台手机试通，不等于所有设备都没有绕过 Mac；迁全家之前还得实测不同终端、IPv6、休眠和断网恢复。

代价与回退：Mac 停机，全家可能一起停

这次实验结束我就意识到，主路由不能像普通笔记本一样随手合盖。Mac 一旦停机，拨号和 DHCP 都可能中断。开机自动恢复这件事当时只是听说，我没有完成故障转移测试；要长期使用，至少得演练断电重启、系统更新、Surge 重启、重拨和退回旧路由器。已有设备可能保留旧租约，恢复原 DHCP 后要让它们重新获取地址。

这篇留下的是“我怎样拨通、怎样让一台客户端接入，以及还缺哪些验收”，不是“把交换机一插就能稳定接管家庭网络”。如果你正在规划主路由，不妨先画出实际 WAN/LAN 拓扑、准备回退设备，再核对 PPPoE 和 DHCP；有哪一步与自己的设备不符，欢迎在评论里说说接口、光猫模式和终端拿到的网关，账号与公网地址请先遮好。