Как настроить маршрутизацию между мостом и подсетью?

Извиняюсь, мои навыки рисования оставляют желать лучшего, но диаграмма ниже отражает то, о чём шла речь выше: здесь Mikrotik hAP ac создал беспроводную сеть, к которой подключено большинство устройств, она работает в подсети 192.168.88.*, как описано выше в обсуждении. Патч-панель разводит Ethernet-кабели по всему дому, и именно так построено проводное подключение для многих устройств. Порт 4 на Mikrotik hAP ac и порт 4 на Mikrotik hEX представляют собой физические устройства, напрямую подключённые к роутеру. Powerage-бокс раньше был домашней лабораторией: на нём работал гипервизор, были разделены порты для управления и для ВМ, а отдельный порт использовался для idrac — управления питанием. Сейчас этого Powerage у меня нет, но я собираюсь заменить его на рабочую станцию с одним Ethernet-портом, которая тоже будет запускать гипервизор. Один Ethernet-порт будет использоваться и виртуальными машинами, и для управления. Сейчас на Mikrotik hAP ac настроен L2TP VPN, благодаря этой ветке. Что я хочу сделать: изолировать гипервизор и ВМ в отдельную сеть (192.168.89.*). Хочу, чтобы интернет и DNS (который сейчас на 192.168.88.1) были доступны из сети 192.168.89.*. Но при этом не хочу, чтобы обычный доступ с 192.168.89.* был возможен к 192.168.88.*. Однако хочу иметь возможность заходить с 192.168.88.* в 192.168.89.*, где это нужно, а также перенаправлять определённые открытые порты с интернета на 192.168.88.1 к разным ВМ в 192.168.89.*. У меня есть особые требования по DNS (которые сейчас меня вполне устраивают): все DNS-запросы (порт 53) независимо от внешнего IP отправляются на IP, который я настроил. Я не хочу потерять эту возможность, и это должно работать как для 192.168.88.*, так и для 192.168.89.*.

/ip firewall nat
add action=redirect chain=dstnat dst-port=53 protocol=tcp
add action=redirect chain=dstnat dst-port=53 protocol=udp

Всё это в основном работало с моей старой настройкой (описанной в этой ветке), но изоляции было меньше, чем мне хотелось (см. выше про доступ без установления соединения). Думаю, пришло время заняться настройкой VLAN, если она решит мою задачу. Также хочу иметь разных пользователей VPN: одни с полным доступом, как сейчас, другие — ограничены только сетью 192.168.89.*. Так я смогу дать кому-то доступ для работы с гипервизором и ВМ, но не к остальной домашней сети. Этот пост служит общим ориентиром и дает контекст того, что я делаю.

Сейчас, как я писал раньше, пытаюсь понять, как и почему VLAN поможет мне, то есть чем она будет лучше текущей схемы без VLAN. Думаю, что буду настраивать VLAN по такому принципу:

Когда настраиваешь routerboard, нужно сделать несколько шагов: сначала настроить выбранные Ethernet-порты с разрешённым набором VLAN ID, затем добавить «vlan interfaces» — это специальные интерфейсы, которые позволяют задать функционал routerboard для конкретных VLAN. Когда такие «vlan interfaces» созданы, с ними работают как с любыми другими интерфейсами (ethernet, wlan и т.д.). Например, можно назначить отдельный IP этому интерфейсу (и тогда роутер будет доступен по этому IP из устройств выбранного VLAN), можно запустить DNS-сервер на vlan-интерфейсе. DHCP можно было бы тоже включить, но ты сказал, что IP у виртуалок настроены статически. Для текущей (то есть неотмеченной VLAN – untagged) сети нужно сделать кое-какие настройки, чтобы она работала после того, как включишь vlan-filtering на мосту, тогда мост перестанет быть «глупым свитчем» и станет «умным». Подобную настройку VLAN нужно будет сделать и на обоих routerboard. После этого hAP ac Lite будет работать скорее как умный свитч, а маршрутизацией и файрволом для обеих LAN-сетей будет заниматься основной роутер.

Мне ещё предстоит разобраться с деталями, но буду двигаться постепенно, как только пойму общую идею.

Физически — да, но логически это не обязательно так, хотя во многом зависит от конфигурации hAP ac. В стандартной настройке порты ether2–ether5 объединены в мост, а мост — это L2-устройство, прозрачное для L3 (а в нашем случае — это IP). Это значит, что хоть физически трафик между, скажем, Shkaf и любым устройством, подключённым к TP-link, проходит через hAP ac, IP-уровень (маршрутизатор) hAP ac этого трафика не видит. Есть несколько способов заставить этот трафик проходить через IP-уровень hAP ac (например, с помощью файрвола) или изменить конфигурацию, как я советовал два года назад. Интересно, что заставило тебя воскресить эту древнюю тему?

Хотя я быстро пробежался по предыдущим сообщениям, должен признаться, что мне не вполне понятно, как должна выглядеть логическая топология вашей сети. Поскольку вы готовы (и имеете возможность) что-то менять, возможно, это отличный момент, чтобы подумать о требованиях (например, сколько LAN-сегментов вы хотите иметь и что побуждает отделять каждый из них от остальных). Когда это станет ясно, спроектируйте физическое решение, учитывая имеющееся оборудование. На этом этапе не стоит ориентироваться на существующую топологию, обращайте внимание только на физические ограничения, если они есть (например, расположение клиентских устройств и максимальное количество сетевых кабелей, доступных для подключения разных точек).

Спасибо за это. Что касается требований, я, кажется, перечислил их пару сообщений выше. К сожалению, я не очень понимаю, как перейти от теории к конкретным изменениям на устройствах. Думаю, физическое решение особо не изменится, потому что способов подключить мои несколько устройств немного. В общем, физический дизайн скорее всего останется почти без изменений. Вот обновленная схема:

Patch Panel – расположен в сетевом шкафу, кабели идут в остальные комнаты. Все розетки должны быть частью домашней сети, кроме Dell Precision, который будет использоваться и для гипервизора, и для виртуальных машин, и будет в сети для VM.

TP-LINK TL-SG1008D – находится в сетевом шкафу, простой коммутатор для связи маршрутизатора с Patch Panel.

Microtik hAP ac – в сетевом шкафу, главный роутер, подключённый к провайдеру, с Wi-Fi для всех беспроводных устройств в доме. Все они входят в домашнюю сеть.

Microtik hEX – тоже в сетевом шкафу, раньше планировался для отдельной сети VM, сейчас может использоваться как обычный свитч. Если нужно, чтобы VM получили доступ через него (это не показано на схеме), можно подключить один из его портов к порту 8 Patch Panel. Хотя я не уверен, есть ли от этого преимущества.

Интернет-провайдер – терминал ONT в сетевом шкафу.

Fingbox – физическое устройство в сетевом шкафу.

shkaf – маленький сервер в сетевом шкафу.

alex2020-eth – компьютер в другой части дома, которому нужен проводной доступ, но рядом нет свободной розетки. Подключён Ethernet-кабелем, протянутым вдоль стены.

Dell Precision – сервер для гипервизора и виртуальных машин, должен быть в отдельной сети. Находится в другой комнате, подключён через настенную розетку.

Цели:

- Dell Precision находится в сети VM LAN, все остальные – в домашней сети.
- Нет прямого доступа из VM LAN в домашнюю сеть, но смотри ниже.
- Все DNS-запросы к внешним серверам должны идти через главный роутер и там разрешаться. Это касается IP-адресов из VM LAN.
- Порты из VM LAN должны иметь возможность избирательно открываться для домашней сети и интернета.
- L2TP VPN должен обеспечивать доступ либо к обеим сетям, либо только к VM LAN в зависимости от того, как настраивается подключение пользователя.

Сейчас всё это не жёсткие требования, а скорее список желаний, который хотелось бы реализовать. Схема и подключения могут меняться. Думаю, что большая часть текущего решения вполне пригодна, но если она мешает, я не прочь отказаться от неё – просто нет смысла делать всё с нуля, если итог будет примерно тот же. Если получится, можно использовать части уже существующего оборудования. При этом я не против и изменений. У меня есть запасные кабели, и при необходимости могу достать ещё.

Буду признателен за любую помощь с настройкой. Особенно с VLAN-ами у меня не очень понятно, я не до конца понимаю, как это работает.

Он уже доказал не один раз, что я ни капли в этом не сомневаюсь!

Прежде всего, большое спасибо, большая часть этого для меня вполне логична. Ранее в этой ветке вы написали: «Я понимаю, что предложение — не использовать VLAN, но в принципе возможно ли использовать VLAN с этим?» Это не очень важный вопрос, просто хочу лучше понять тему. Во-вторых, кто-то советовал мне настроить несколько VLAN на гипервизоре: одну для управляющих сетей и ещё одну-две для ВМ, в зависимости от того, как я хочу их изолировать. Звучит заманчиво. Я понимаю, что раньше ничего подобного не упоминал и не хочу выглядеть как человек, который постоянно меняет мнение, но я учусь и не всегда знаю, что возможно. А теперь, узнав о такой опции, она кажется вполне разумной.

Мне сказали, что гипервизор может выступать как управляемый коммутатор с точки зрения сети и поддерживать тегирование нескольких VLAN. Это можно сделать со стороны Mikrotik? Понял, попробую. Интересно. Нашёл Manual: Basic VLAN switching, но кажется, что он относится только к железным коммутаторам, а у меня такого нет: обе мои Mikrotik — роутеры. В частности, они не поддерживают команду /interface ethernet switch egress-vlan-tag. Как тогда настроить транк на роутере? Почему, по вашему мнению, нужны именно 3 VLAN?

Не совсем понимаю, что значит поколение. Как это узнать? У меня hEX. На корпусе указано RB750Gr3. Слово «generation» нигде на наклейках нет, или я не могу его найти. Там указан серийник и MAC — и всё. Что именно мне нужно искать?

Как всегда, спасибо за помощь!