Привет, сначала мой вопрос, потом моя среда. Как лучше всего определить эти VLAN-транки и точки доступа? Какой способ более гибкий? У меня будет новый коммутатор, который я хочу подключить с теми же VLAN, но с новым транковым кабелем. Я не уверен, что настроил всё самым лучшим и простым образом. Что касается моей среды: у меня есть два устройства Mikrotik с Router OS: Mikrotik 951G-2HnD, который я использую как точку доступа WiFi, и Mikrotik CCR1009-7G-1C-1S+PC, который является моим основным коммутатором. Есть еще третье устройство — это умный коммутатор TP-Link TL-SG1024DE. У меня есть два VLAN на этих устройствах: VLAN ID 2 для внутренней сети и VLAN ID 3 для гостевой сети. Между моей точкой доступа WiFi и основным маршрутизатором есть транковый кабель с двумя VLAN. Есть еще один такой же транковый кабель между моим коммутатором TP-Link и основным маршрутизатором. На данный момент на моем основном коммутаторе (CCR1009) я просто создал два сетевых интерфейса VLAN на каждой физической интерфейсе, которую я хочу использовать как транк. Ранее была опция конфигурации интерфейса «master-slave» до обновления RouterOS несколько месяцев назад. Теперь она уже недоступна, но это дало мне идею. Я подумал, что могу создать мост с протоколом «none» и использовать его как «главный» интерфейс для двух физических, которые я хочу использовать как транк с одинаковыми конфигурациями. Когда я настроил VLANы, я столкнулся с проблемами с подключением: беспроводные устройства могли подключаться к проводным и наоборот, но интернета не было. Когда я отключил один физический интерфейс транка в мосту, оставшийся мог выйти в интернет. Что здесь произошло? Думаю, я что-то сделал не так, но как я могу создать такие VLAN и задать правила брандмауэра на основном маршрутизаторе между ними, не создавая отдельные интерфейсы VLAN для всех VLAN ID на каждую физическую транковую линию? Я видел мост/VLAN для определения тегированных и доступных портов, но не совсем понятно, как затем задать правила брандмаэра для них. Спасибо за прочтение и за ваши советы заранее!
VLAN trunk - способ настройки master-slave на физических интерфейсах
VLAN trunk - способ настройки master-slave на физических интерфейсах, RouterOS
|
28.04.2019 19:20:00
|
|
|
|
|
|
22.05.2019 20:00:00
Вы правы, извините. Вот обе стороны туннеля. Роутер A (где я настроил NAT из-за динамического IP) [admin@router.local.example.com] > /ip ipsec peer print Flags: X - отключено, D - динамическое, R - ответчик 0 D ;;; eoip-tunnel-Zoldmali name=“peer17” address=a.b.5.107/32 local-address=172.20.0.1 profile=default exchange-mode=main send-initial-contact=yes 1 R name=“peer1” passive=yes profile=profile_1 exchange-mode=main send-initial-contact=yes [admin@router.local.example.com] > /ip ipsec remote-peers print Flags: R - ответчик, N - natt-peer ID STATE REMOTE-ADDRESS DYNAMIC-ADDRESS UPTIME 0 message-1-sent a.b.5.107 1 R message-2-sent a.b.5.107 [admin@router.local.example.com] > /ip ipsec policy print Flags: T - шаблон, X - отключено, D - динамическое, I - недействительное, A - активное, * - по умолчанию 0 T * group=default src-address=::/0 dst-address=::/0 protocol=all proposal=default template=yes 1 DA ;;; eoip-tunnel-Zoldmali src-address=172.20.0.1/32 src-port=any dst-address=a.b.5.107/32 dst-port=any protocol=gre action=encrypt level=require ipsec-protocols=esp tunnel=no proposal=default ph2-count=1 [admin@router.local.example.com] > Роутер B [admin@zoldmali.intra.example.com] > /ip ipsec peer print Flags: X - отключено, D - динамическое, R - ответчик 0 D ;;; eoip-tunnel-Ostoros name=“peer8” address=x.y.200.185/32 local-address=a.b.5.107 profile=default exchange-mode=main send-initial-contact=yes [admin@zoldmali.intra.example.com] > /ip ipsec remote-peers print Flags: R - ответчик, N - natt-peer ID STATE REMOTE-ADDRESS DYNAMIC-ADDRESS UPTIME 0 message-3-sent x.y.200.185 [admin@zoldmali.intra.example.com] > /ip ipsec policy print Flags: T - шаблон, X - отключено, D - динамическое, I - недействительное, A - активное, * - по умолчанию 0 T * group=default src-address=::/0 dst-address=::/0 protocol=all proposal=default template=yes 1 DA ;;; eoip-tunnel-Ostoros src-address=a.b.5.107/32 src-port=any dst-address=x.y.200.185/32 dst-port=any protocol=gre action=encrypt level=require ipsec-protocols=esp tunnel=no proposal=default ph2-count=1
|
|
|
|
|
|
22.05.2019 20:48:00
Хорошо, я забыл одну вещь: пиры, динамически созданные по часам EoIP, являются одновременно инициаторами и ответчиками, поэтому соединение может сбиться из-за файервола. Поэтому, помимо правила action=masquerade в chain=srcnat, нужно добавить также правило action=dst-nat in-interface-list=WAN protocol=udp dst-port=500,4500 to-addresses=172.20.0.1 в chain=dstnat в /ip firewall nat. Дело в том, что когда попытка соединения приходит от удаленного пира раньше, чем локальный пир отправляет свою, трекер соединений файервола создает соединение с локальным WAN IP в качестве назначения, и это отслеживаемое соединение постоянно обновляется, поэтому оно никогда не истекает. Пир не принимает пакеты, поступающие на WAN IP, потому что он настроен так, чтобы принимать только те, что приходят на его local-address. Это странно, однако, потому что у вас есть только два адреса у одного пира, другой должен справляться с этим нормально. Но начнем с этого, посмотрим, поможет ли это. Но я понял из того, что вы написали раньше, что на обоих концах динамические публичные IP, так что оба должны конфигурировать доменное имя другого, так ли это?
|
|
|
|
|
|
22.05.2019 21:23:00
@sindy, Ты пробовала использовать L2TP и протокол управления мостом?
|
|
|
|
|
|
23.05.2019 06:54:00
Что-то упускаю? Для меня это одно и то же.
|
|
|
|
|
|
23.05.2019 14:57:00
Да, это правда. Оба конца имеют динамический IP, который меняется довольно редко. Исходное состояние — это туннель EoIP с вручную настроенными локальными IP-адресами на обоих концах. Все работает хорошо, но в версии с dstnat. Сперва я пытаюсь настроить один конец. Когда я изменяю локальный IP (назовем этот конечный узел "endpoint A"), туннель EoIP перестает работать, и я не могу пропинговать другой сетевой сегмент. К сожалению, ты не забыл упомянуть о двух правилах. Они уже есть в таблице NAT. [admin@router.intra.example.com] > /ip firewall nat print Флаги: X - отключено, I - недействительно, D - динамическое 0 ;;; EoIP DDNS chain=srcnat action=accept protocol=gre log=no log-prefix="" 1 ;;; стандартная конфигурация chain=srcnat action=masquerade out-interface-list=WAN log=no log-prefix="" 2 I ;;; университет VPN ;;; sstp-UNIV не готов chain=srcnat action=masquerade out-interface=sstp-UNIV 3 ;;; EoIP DDNS chain=dstnat action=dst-nat to-addresses=172.20.0.1 to-ports=500 protocol=udp in-interface-list=WAN log=no log-prefix="" 4 ;;; EoIP DDNS chain=dstnat action=dst-nat to-addresses=172.20.0.1 to-ports=4500 protocol=udp in-interface-list=WAN log=no log-prefix="" 5 ;;; HTTP chain=dstnat action=dst-nat to-addresses=192.168.0.6 to-ports=80 protocol=tcp in-interface-list=WAN dst-port=80 log=no log-prefix="" 6 ;;; HTTPS chain=dstnat action=dst-nat to-addresses=192.168.0.6 to-ports=443 protocol=tcp in-interface-list=WAN dst-port=443 log=no log-prefix="" 7 ;;; SSH chain=dstnat action=dst-nat to-addresses=192.168.0.6 to-ports=22 protocol=tcp in-interface-list=WAN dst-port=22 log=no log-prefix="" 8 X ;;; SMTP chain=dstnat action=dst-nat to-addresses=192.168.0.199 to-ports=25 protocol=tcp in-interface-list=WAN dst-port=25 log=no log-prefix="" 9 ;;; torrent клиенты chain=dstnat action=dst-nat to-addresses=192.168.0.1 to-ports=60995-60999 protocol=tcp in-interface-list=WAN dst-port=60995 log=no log-prefix="" 10 ;;; сервер torrent клиенты chain=dstnat action=dst-nat to-addresses=192.168.0.6 to-ports=51413 protocol=tcp in-interface-list=WAN dst-port=51413 log=no log-prefix="" 11 ;;; Syncthing (Gabor1) chain=dstnat action=dst-nat to-addresses=192.168.0.1 to-ports=22000 protocol=tcp in-interface-list=WAN dst-port=22000 log=no log-prefix="" admin@router.intra.example.com ] > /ip ipsec peer print Флаги: X - отключено, D - динамическое, R - респондент 0 D ;;; eoip-tunnel-Zoldmali name="peer21" address=x.x.5.107/32 local-address=172.20.0.1 profile=default exchange-mode=main send-initial-contact=yes 1 R name="peer1" passive=yes profile=profile_1 exchange-mode=main send-initial-contact=yes [admin@router.intra.example.com] > /ip ipsec remote-peers print Флаги: R - респондент, N - natt-peer ID STATE REMOTE-ADDRESS DYNAMIC-ADDRESS UPTIME 0 R message-2-sent x.x.5.107 1 message-1-sent x.x.5.107
|
|
|
|
|
|
23.05.2019 15:38:00
Не могли бы вы отключить созданный вручную пир, чтобы он не мешал? Это странно, я делаю этот трюк с NAT довольно регулярно, и он работает.
|
||||
|
|
|
|||
Читают тему
