路由器-防火墙-交换机，路由器内网地址211.1.1.254，怎么是公网地址呢？防火墙工作在nat模式，

完全可以呀，（R外192.168.1.1/30)-(R内211.1.1.254),（F外：211.1.1.235）-（F内192.168.2。1），如图，路由器外口和电信通过私有地址互联，防火墙外口是转换后的公有地址。192.168.2.1可以为内网的网关。