+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Как удалить заголовок 802.1Q на выходе "без тегов" мостового соединения

Как удалить заголовок 802.1Q на выходе "без тегов" мостового соединения, RouterOS

rpress

Guest

15.08.2020 17:01:00

У меня есть мост с несколькими "непомеченными" портами. Некоторые из моих устройств не могут понять этот трафик, и, подслушивая сеть, я вижу проблему. "Непомеченный" трафик все равно имеет заголовок 802.1Q с VLAN 0. Если бы устройство могло понять заголовки 802.1Q, оно знало бы, что VLAN 0 — это "без тега", но, похоже, проблемные устройства не понимают 802.1Q. Я протестировал, установив vlan-filtering=no на мосту, и это не отправляет заголовок, и устройства работают, но тогда весь мост не имеет возможности VLAN. Мне просто нужны некоторые порты моста, которые вообще не имеют заголовка 802.1Q. Есть ли способ убрать заголовок 802.1Q на выходе с "непомеченным" трафиком? На порту нет помеченного трафика, не вижу, зачем нужен какой-либо заголовок.

rpress

Guest

06.09.2020 13:04:00

Чтобы решить эту проблему, я создал решение в стиле Руба Голдберга. Пропуская пакеты через сервер Linux, я могу удалить тег следующим образом: tc qdisc del dev enp1s0f0np0v0 ingress tc qdisc add dev enp1s0f0np0v0 handle ffff: ingress tc filter add dev enp1s0f0np0v0 parent ffff: protocol 802.1q basic match 'meta(vlan eq 0)' action vlan pop. Возможно, я просто перемещу это устройство с моста Mikrotik на коммутатор. Коммутатор правильно поддерживает гибридные VLAN и не добавляет заголовок 802.1Q к нетегированным пакетам.

awbl Guest	#3 0 06.09.2020 17:05:00 Вам нужно опубликовать свою конфигурацию. То, что вы пытаетесь сделать, возможно, и сводится к назначению портов для мостового VLAN как неразмеченных, если вы правильно настроили VLAN через мост.

anav Guest	#4 0 06.09.2020 17:53:00 Согласен, вам не нужно делать ничего особенного, чтобы роутер работал как нужно. Пожалуйста, опубликуйте конфигурацию /export hide-sensitive file=любоеимя,котороевасустроит.

rpress

Guest

06.09.2020 21:47:00

Спасибо, ребята. Вот моя конфигурация: /interface bridge
add admin-mac=52:54:00:17:DE:AD auto-mac=no igmp-snooping=yes name=bridge1-lan vlan-filtering=yes
/interface bridge port
add bridge=bridge1-lan interface=ether3-plato
add bridge=bridge1-lan frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=ether4
add bridge=bridge1-lan interface=ether2-shop
add bridge=bridge1-lan interface=ether1-switch
add bridge=bridge1-lan frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=ether-vm-lan
/interface bridge vlan
add bridge=bridge1-lan comment=lan tagged=ether1-switch,ether2-shop vlan-ids=1
add bridge=bridge1-lan comment=wanonly tagged=bridge1-lan,ether1-switch,ether2-shop vlan-ids=2
add bridge=bridge1-lan comment=lanonly tagged=bridge1-lan,ether1-switch,ether2-shop vlan-ids=3
add bridge=bridge1-lan comment=privvpn tagged=bridge1-lan,ether3-plato vlan-ids=44 Результирующие tagged/untagged: /interface bridge vlan print detail

Флаги: X - отключен, D - динамический
0 ;;; lan
bridge=bridge1-lan vlan-ids=1 tagged=ether1-switch,ether2-shop untagged="" current-tagged=ether1-switch,ether2-shop
current-untagged=bridge1-lan,ether-vm-lan,ether4,ether3-plato

1 ;;; wanonly
bridge=bridge1-lan vlan-ids=2 tagged=bridge1-lan,ether1-switch,ether2-shop untagged="" current-tagged=bridge1-lan,ether1-switch,ether2-shop
current-untagged=""

2 ;;; lanonly
bridge=bridge1-lan vlan-ids=3 tagged=bridge1-lan,ether1-switch,ether2-shop untagged="" current-tagged=bridge1-lan,ether1-switch,ether2-shop
current-untagged=""

3 ;;; privvpn
bridge=bridge1-lan vlan-ids=44 tagged=bridge1-lan,ether3-plato untagged="" current-tagged=bridge1-lan,ether3-plato current-untagged="" А вот tcpdump случайного пакета с моста на ether3-plato (смотрите MAC bridge1-lan выше). Вы можете увидеть заголовок 802.1Q с VLAN ID 0. Я хочу исключить этот заголовок для всех неотмеченных пакетов. прослушивание на enp1s0f0np0v0, link-type EN10MB (Ethernet), размер захвата 262144 байт
17:27:11.326296 52:54:00:17:de:ad (oui Unknown) > 52:54:00:e4:94:5e (oui Unknown), ethertype 802.1Q (0x8100), длина 114: vlan 0, p 0, ethertype IPv6, propjet.latt.net.ntp > 2001:470:redacted.42543: NTPv4, Сервер, длина 48 Если я принудительно действую как untagged (что не должно быть необходимостью), как так, у меня все равно та же проблема: /interface bridge vlan
add bridge=bridge1-lan comment=lan tagged=ether1-switch,ether2-shop untagged=ether3-plato vlan-ids=1

anav

Guest

06.09.2020 21:52:00

Мне нужно увидеть всю конфигурацию, чтобы сделать какие-либо оценки и предоставить полезные рекомендации, но мой единственный комментарий на данный момент заключается в том, что не стоит использовать vlan1. Это VLAN по умолчанию, и его следует оставить таким. Например, измените vlan1 на vlan10. Кроме того, у вас отсутствуют правила моста для VLAN, которые определяют интерфейсы без тегов для определенных VLAN-идентификаторов.

vikinggeek

Guest

06.09.2020 22:11:00

Вы столкнулись с той же проблемой, с которой мы имеемся дело с MT и мостом для связи с AT&T fiber в США. Ознакомьтесь с этой темой для получения дополнительной информации http://forum.mikrotik.com/t/bypassing-at-t-residential-gateways-with-mikrotik/135563/1 Я уже поднял этот вопрос с поддержкой, но решения пока нет. Наверное, будет полезно, если больше пользователей сообщат о проблеме.

rpress

Guest

06.09.2020 22:23:00

Спасибо! Да, это похоже на мою проблему. Даже в вики ошибка: https://wiki.mikrotik.com/wiki/Manual:Bridge_VLAN_Table Указывая неаннотированный порт, мост всегда удаляет тег VLAN из выходящих пакетов. "Исправление" в целом довольно простое. В "неаннотированных" пакетах не добавлять заголовок 802.1Q. Это будет изменение в программном обеспечении для MikroTik.

vikinggeek Guest	#9 0 06.09.2020 22:50:00 @rpress Отлично! Не могли бы вы связаться с поддержкой MT и сообщить о баге?

anav Guest	#10 0 06.09.2020 23:26:00 Это может быть та же проблема, но ты ещё не предоставил полную конфигурацию, и у тебя НЕДОСТАЮТ правила UNTAG, необходимые в правилах VLAN для моста.

rpress Guest	#11 0 06.09.2020 23:30:00 Я уже упоминал это в своём предыдущем сообщении: и также показал, что правила были добавлены автоматически (как объясняется в вики):

mkx

Guest

#12

07.09.2020 05:44:00

По моему опыту, в разделе /interface bridge port вашего настроя отсутствуют настройки PVID для входящих (то есть нетегированных) портов. В вашем конфиге ничего не сказано о том, что “ether3-plato” является нетегированным членом VLAN 1... да, неявная (по умолчанию) настройка показывает его как нетегированного члена VLAN 1, но использование неявной настройки может привести к непредсказуемым результатам. Кроме того, согласно совету @anav, стоит избегать VLAN 1 (поскольку это значение по умолчанию для многих вещей, и вам нужно настраивать всё явно), вам действительно стоит установить PVID на входящих портах для правильной работы.

anav

Guest

#13

07.09.2020 14:28:00

Спасибо, сэр MKX!! 3 раза кланяюсь! Именно поэтому я не смог указать, какие интерфейсы явно не маркированы в настройках VLAN моста, так как не было ясно, для каких VLAN-ID!! Так что в эти две строки добавь недостающую информацию, а затем завершите правила VLAN моста для немаркированных интерфейсов: add bridge=bridge1-lan frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=ether4 PVID=??? add bridge=bridge1-lan frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=ether-vm-lan PVID=???.

rpress

Guest

#14

07.09.2020 17:43:00

@anav Похоже, вы не в курсе, что «export» не показывает значения по умолчанию? Даже если я укажу «pvid=1», он все равно не отображается в «export». Но с помощью «print detail» видно, что это уже установлено. Думаю, вы не осознаете, что с мостом есть какая-то проблема? Может, потому что вы не видели это своими глазами? @mkx Я уже дважды показывал, что явно добавил «untagged=ether3-plato» и это не решило проблему... Я действительно ХОЧУ оставить это как VLAN ID 1, потому что это значение по умолчанию. На моем коммутаторе Dell N1124P используется VLAN ID 1 как «untagged» VLAN. Это именно то, что мне нужно. Транковый порт от Dell к Mikrotik имеет VLAN, и по умолчанию VLAN ID 1 используется для неразмеченного доступа на Dell. Я знаю, что вы просто хотите помочь. Но, пожалуйста, создается впечатление, что вы уже «решили», в чем моя проблема, и на самом деле не читаете то, что я говорю. И не было никакого объяснения для моего VLAN ID 0 в tcpdump. Если действительно пакеты выходили как размеченные, то они не могли бы быть VLAN ID 0, они были бы ID 1 или другим. Как показано в другой теме, похоже, это ошибка. Пожалуйста, посмотрите на это внимательно. Вы можете видеть, если я установлю pvid=2, оно отображается в экспорт, но pvid=1 — нет. [admin@VirtualRouter] > /interface bridge port set [find interface="ether4"] pvid=2

[admin@VirtualRouter] > /interface bridge port export
# sep/07/2020 13:12:20 by RouterOS 6.47.3
# software id =
#
/interface bridge port
add bridge=bridge1-lan interface=ether3-plato
add bridge=bridge1-lan frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=ether4 pvid=2
add bridge=bridge1-lan interface=ether2-shop
add bridge=bridge1-lan interface=ether1-switch
add bridge=bridge1-lan frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=ether-vm-lan

[admin@VirtualRouter] > /interface bridge port set [find interface="ether4"] pvid=1

[admin@VirtualRouter] > /interface bridge port export
# sep/07/2020 13:12:21 by RouterOS 6.47.3
# software id =
#
/interface bridge port
add bridge=bridge1-lan interface=ether3-plato
add bridge=bridge1-lan frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=ether4
add bridge=bridge1-lan interface=ether2-shop
add bridge=bridge1-lan interface=ether1-switch
add bridge=bridge1-lan frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=ether-vm-lan

/interface bridge port print detail
Флаги: X - отключен, I - неактивен; D - динамический; H - hw-offload
0 interface=ether3-plato bridge=bridge1-lan priority=0x80 path-cost=10 internal-path-cost=10 edge=auto point-to-point=auto learn=auto horizon=none hw=yes auto-isolate=no restricted-role=no
restricted-tcn=no pvid=1 frame-types=admit-all ingress-filtering=no unknown-unicast-flood=yes unknown-multicast-flood=yes broadcast-flood=yes tag-stacking=no bpdu-guard=no trusted=no
multicast-router=temporary-query fast-leave=no

1 interface=ether4 bridge=bridge1-lan priority=0x80 path-cost=10 internal-path-cost=10 edge=auto point-to-point=auto learn=auto horizon=none hw=yes auto-isolate=no restricted-role=no restricted-tcn=no
pvid=1 frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes unknown-unicast-flood=yes unknown-multicast-flood=yes broadcast-flood=yes tag-stacking=no bpdu-guard=no trusted=no
multicast-router=temporary-query fast-leave=no

2 interface=ether2-shop bridge=bridge1-lan priority=0x80 path-cost=10 internal-path-cost=10 edge=auto point-to-point=auto learn=auto horizon=none hw=yes auto-isolate=no restricted-role=no
restricted-tcn=no pvid=1 frame-types=admit-all ingress-filtering=no unknown-unicast-flood=yes unknown-multicast-flood=yes broadcast-flood=yes tag-stacking=no bpdu-guard=no trusted=no
multicast-router=temporary-query fast-leave=no

3 interface=ether1-switch bridge=bridge1-lan priority=0x80 path-cost=10 internal-path-cost=10 edge=auto point-to-point=auto learn=auto horizon=none hw=yes auto-isolate=no restricted-role=no
restricted-tcn=no pvid=1 frame-types=admit-all ingress-filtering=no unknown-unicast-flood=yes unknown-multicast-flood=yes broadcast-flood=yes tag-stacking=no bpdu-guard=no trusted=no
multicast-router=temporary-query fast-leave=no

4 interface=ether-vm-lan bridge=bridge1-lan priority=0x80 path-cost=10 internal-path-cost=10 edge=auto point-to-point=auto learn=auto horizon=none hw=yes auto-isolate=no restricted-role=no
restricted-tcn=no pvid=1 frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes unknown-unicast-flood=yes unknown-multicast-flood=yes broadcast-flood=yes tag-stacking=no
bpdu-guard=no trusted=no multicast-router=temporary-query fast-leave=no

awbl

Guest

#15

07.09.2020 18:05:00

“Исправление” простое по концепции. На “неклассифицированных” пакетах не добавляйте заголовок 802.1Q. Это потребует изменения программного обеспечения MikroTik. Я подозреваю, что тег появляется выше в цепочке от ROS. Судя по другому обсуждению, ROS не добавляет тег. Скорее, он видит его и обрабатывает пакет как стандартный неклассифицированный пакет, что означает, что он просто его пересылает и не модифицирует заголовок. Отключение фильтрации VLAN “работает”, потому что, вероятно, это просто заставляет ROS удалить все теги из входящих пакетов. Вы можете попробовать это проверить, включив IP-файрвол для всего трафика VLAN. Если я не ошибаюсь, это приведет к маршрутизации всех пакетов, что, вероятно, означает удаленный заголовок. Они будут снова тегироваться, когда вернутся через виртуальный интерфейс на выходе. Даже если это сработает, это, вероятно, не будет жизнеспособным решением, потому что вам фактически придется писать правила, чтобы добиться того, что VLAN изначально вам дает. Плюс, это нагрузит ЦП. Один из возможных вариантов — попробовать установить значение PVID по умолчанию на что-то другое, кроме 1, а затем назначить все порты этому VLAN как неклассифицированные. Идея в том, чтобы заставить весь входящий неклассифицированный трафик попадать в VLAN, находясь на мосту, а затем выходить неклассифицированным. Надежда заключается в том, что ROS заменит PVID 0 на то, что вы установите в качестве значения по умолчанию, поскольку он рассматривает VLAN 0 как неклассифицированный трафик. Обратите внимание, что вы настроили ether1 и ether2 как VLAN 1 с тегом. Это не сработает (если это вообще сработает), если вам действительно нужен тег VLAN 1, хотя, похоже, это нетрадиционно — тэгировать VLAN 1.

rpress

Guest

#16

07.09.2020 21:15:00

Это интересная идея, спасибо за ваши мысли. Я подключил ПК напрямую к ether4 и пинганул ПК на ether3-plato. Трафик с любой стороны показывает, что исходящий трафик не имеет 802.1Q, но входящий имеет заголовок с VLAN ID 0. Со стороны ether4 (с той стороны, откуда инициировался ping)… 16:59:28.804262 00:23:54:8c:62:93 (oui Unknown) > 00:0f:53:36:7b:00 (oui Unknown), ethertype IPv4 (0x0800), длина 98: archimedes > 192.168.22.10: ICMP echo request, id 332, seq 1, длина 64 16:59:28.804638 00:0f:53:36:7b:00 (oui Unknown) > 00:23:54:8c:62:93 (oui Unknown), ethertype 802.1Q (0x8100), длина 102: vlan 0, p 0, ethertype IPv4, 192.168.22.10 > archimedes: ICMP echo reply, id 332, seq 1, длина 64 Со стороны ether3-plato… 16:59:28.802350 00:23:54:8c:62:93 (oui Unknown) > 00:0f:53:36:7b:00 (oui Unknown), ethertype 802.1Q (0x8100), длина 102: vlan 0, p 0, ethertype IPv4, 192.168.22.130 > 192.168.22.10: ICMP echo request, id 332, seq 1, длина 64 16:59:28.802368 00:0f:53:36:7b:00 (oui Unknown) > 00:23:54:8c:62:93 (oui Unknown), ethertype IPv4 (0x0800), длина 98: 192.168.22.10 > 192.168.22.130: ICMP echo reply, id 332, seq 1, длина 64 Ещё один тест, снова пинг с ether4 теперь на IP-адрес роутера (который находится непосредственно на интерфейсе моста bridge1-lan). Это должно быть похоже на вашу идею маршрутизации пакетов через брандмауэр, я думаю. 17:04:40.610361 00:23:54:8c:62:93 (oui Unknown) > 52:54:00:17:de:ad (oui Unknown), ethertype IPv4 (0x0800), длина 98: archimedes > _gateway: ICMP echo request, id 334, seq 1, длина 64 17:04:40.610804 52:54:00:17:de:ad (oui Unknown) > 00:23:54:8c:62:93 (oui Unknown), ethertype 802.1Q (0x8100), длина 102: vlan 0, p 0, ethertype IPv4, _gateway > archimedes: ICMP echo reply, id 334, seq 1, длина 64 Так что, по крайней мере, мне кажется, что мост добавляет тег при исходящем трафике, даже если входящий трафик в мост не имеет тега. Дайте знать, если у вас есть какие-то другие идеи, спасибо еще раз.

awbl

Guest

#17

07.09.2020 23:02:00

Интересно. Судя по этим записям, действительно так и выглядит. Если ROS добавляет этот тег, возможно, это что-то специфичное для вашей конфигурации или сценария, и отличается от проблемы, описанной в другом потоке, если я правильно его прочитал. Я уверен, что ROS не присваивает VLAN 0 для всех не тегированных пакетов. У меня есть один порт на устройстве, который настроен как не тегированный член VLAN, и исходящие пакеты действительно не содержат тегов, независимо от того, настроен ли порт как доступный или гибридный. Тем не менее, это не передает пакеты как не тегированные от входа к выходу, как вы делаете. Я постараюсь это проверить позже, если у меня будет время. К сожалению, у меня только один маршрутизатор, и это 750-й с всего лишь 5 портами, которые обслуживают разные части дома, то есть у меня нет стенда для тестирования, поэтому заниматься экспериментами требует немного "креативности". Тем временем, пробовали ли вы назначить PVID (например, 1000) для ether3 и ether4 в конфигурации порта моста, а затем назначить ether3 и ether4 как не тегированные члены этого моста VLAN (плюс любые другие необходимые изменения, такие как создание виртуального интерфейса VLAN)? Это фактически превратит ether3 и ether4 в доступные порты для VLAN, который существует только в маршрутизаторе. Я бы ожидал, что это сработает, поскольку это не так уж отличается от того, что у меня уже работает. Если это сработает, это, возможно, не даст вам решение, но по крайней мере поможет сузить потенциальные сценарии проблемы.

anav

Guest

#18

08.09.2020 01:23:00

Все коммутаторы имеют vlan1 по умолчанию, и описанная мной настройка работает. У меня есть маршрутизатор MT, подключенный к управляемому коммутатору Dlink, который подключен к MT capac. Этот же управляемый коммутатор подключен к MT коммутатору. Тот же управляемый коммутатор подключен к управляемому коммутатору Netgear. Все с vlan 1 по умолчанию. Обратите внимание, что при фильтрации мостов vlan, vlan-id по умолчанию равен 1, и это сохраняется в настройке. Однако vlan1 нигде не используется, он просто присутствует, и все работает прекрасно. Так что это основано на моем опыте, а не на сказках. http://forum.mikrotik.com/t/using-routeros-to-vlan-your-network/126489/1 Читайте, используйте это или продолжайте весело жить дальше…

mkx

Guest

#19

08.09.2020 05:29:00

Чтобы прояснить: на самом деле не имеет значения, какой VLAN ID используется в качестве стандартного VLAN ID для неразмеченного трафика, так как он используется только внутри устройства (будь то Mikrotik или любой другой управляемый коммутатор). Это значит, что трафик по Ethernet-кабелю между MT и коммутатором не должен (или, по крайней мере, не должен) иметь VLAN-теги, если трафик принадлежит "стандартному" VLAN. Если только этот VLAN не настроен как размеченный на порту. Таким образом, вы можете установить стандартный VLAN на 1000 на одном устройстве и стандартный VLAN на 1 на другом устройстве, и они все равно будут без проблем обмениваться (неразмеченными) кадрами на своей связке. Это возвращает нас к предложению не использовать VLAN ID 1 в конфигурациях ROS, потому что он используется по умолчанию во многих местах и усложняет отладку конфигурации… И мое личное предложение: начиная использование VLAN, никогда не используйте неразмеченный трафик (читай: стандартный VLAN) для соединений LAN-устройств. Используйте неразмеченный только на выходных портах.

anav Guest	#20 0 08.09.2020 14:26:00 Когда все так кратко объясняют, даже слепые начнут утверждать, что они «видят свет»! Заходи за кофе, https://www.youtube.com/watch?v=gwgOUzodS6E Всю ночь напролет!

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры