+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Проблема с доступом VLAN в RouterOS 7 на архитектуре PPC

Проблема с доступом VLAN в RouterOS 7 на архитектуре PPC, RouterOS

soosp

Guest

09.04.2022 23:19:00

Всем привет! У нас возникла проблема с RouterOS 7 на устройствах с архитектурой PPC (например, RB850Gx2). Когда на устройстве с архитектурой PPC применялась приведённая ниже конфигурация, оно становилось недоступным через WinBox или ssh. IP-связь не работает, но коммутация и пинг проходят нормально. WinBox по MAC тоже работает. На архитектуре mipsbe (например, RB450G) эта конфигурация работает без проблем. Думаю, в обработке VLAN на архитектуре PPC есть баг.

/interface bridge add name=bridge-lan protocol-mode=none
/interface vlan add interface=bridge-lan name=bridge-lan.44 vlan-id=44
/interface ethernet switch port set 0 default-vlan-id=0 vlan-header=add-if-missing vlan-mode=secure
/interface ethernet switch port set 1 default-vlan-id=44 vlan-header=always-strip vlan-mode=secure
/interface ethernet switch port set 2 default-vlan-id=44 vlan-header=always-strip vlan-mode=secure
/interface ethernet switch port set 3 default-vlan-id=44 vlan-header=always-strip vlan-mode=secure
/interface ethernet switch port set 4 default-vlan-id=44 vlan-header=always-strip vlan-mode=secure
/interface ethernet switch port set 5 default-vlan-id=0 vlan-mode=secure
/interface bridge port add bridge=bridge-lan interface=ether1
/interface bridge port add bridge=bridge-lan interface=ether2
/interface bridge port add bridge=bridge-lan interface=ether3
/interface bridge port add bridge=bridge-lan interface=ether4
/interface bridge port add bridge=bridge-lan interface=ether5
/interface ethernet switch vlan add independent-learning=no ports=switch1-cpu,ether1,ether2,ether3,ether4,ether5 switch=switch1 vlan-id=44
/ip address add address=192.168.44.91/24 interface=bridge-lan.44 network=192.168.44.0
/ip dns set servers=192.168.44.11,192.168.44.12
/ip route add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.44.254 pref-src=0.0.0.0 routing-table=main scope=30 suppress-hw-offload=no target-scope=10

Ether1 — это транковый порт, остальные — порты доступа. Я тестировал доступ и с транка, и со стороны доступа тоже.

sultan26 Guest	#2 0 07.06.2022 11:19:00 У меня такая же проблема, последний тест проводил на RouterOS 7.3 Stable.

bcall

Guest

12.12.2022 14:47:00

Я только что обновил свой RB850gx2 до RouterOS 7.6 stable с версии 6.49.7. Моя конфигурация VLAN похожа на первую конфигурацию soosp, и у меня проявляется та же проблема. Я думал, что кирпичил роутер, когда WinBox не перезагрузился после обновления до 7.6. Через WinBox по IP или SSH к нему подключиться нельзя, но в остальном он вроде работает нормально, отвечает на пинг и доступен через WinBox по MAC.

Что касается SSH, у меня настроен ряд правил файрвола, которые блокируют повторяющиеся попытки входа по SSH. После обновления ROS до 7.6 я заметил, что мои собственные попытки SSH блокируются. В логах файрвола вижу, что SSH-подключение моего устройства сначала принимается, но, видимо, соединение так и не устанавливается. Последующие попытки попадают под правила защиты от brute force по SSH и в итоге блокируют мою машину, хотя она и должна иметь доступ по SSH.

Мой RB750GL (который работает только как коммутатор в сети) обновился до ROS 7.6 без проблем и до сих пор доступен по IP через WinBox. Есть ли решение этой проблемы?

Ejcej

Guest

30.01.2023 09:09:00

Я сообщил о ситуации в службу поддержки. Вот их ответ.
Здравствуйте, спасибо за сообщение! Нам удалось воспроизвести проблему в наших лабораториях, и мы планируем исправить её в будущих версиях RouterOS, к сожалению, точную дату выхода назвать сейчас не могу.
С уважением, Эдгарс П.

tbirdsaw

Guest

25.02.2023 00:18:00

Хочу добавить, проблема всё ещё сохраняется на RB850Gx2 с ROS v7.7. Я использовал RB850 в качестве CAPSMAN-менеджера и DHCP/DNS-сервера, а также настроил транковый порт для связи с тремя разными VLAN. Заметил, что возможности DNS-сервера и прямое подключение к WinBox по IP перестали работать, и последние два дня пытался это понять. При этом CAPSMAN и DHCP в ходе тестов продолжали работать. Мне пришлось сильно поразмыслить, прежде чем я решил скопировать конфигурацию на mAP, который сейчас работает без проблем и временно взял на себя эти функции.

В итоге я поискал на форумах и нашёл эту тему. Также выяснил, что после того, как настроен транковый порт с конфигурацией моста, даже полное удаление всех VLAN и отключение VLAN-фильтрации, похоже, не решает проблему. Только удаление транкового порта из моста и повторное его добавление временно исправляет доступ, пока VLAN-фильтрация снова не включена. Как только она включается, весь доступ к WinBox на этом порту теряется.

Понимаю, что RB850Gx2 — старая платформа на PowerPC, и хоть меня немного раздражает, что кроме этой темы на форуме больше нет информации о проблеме, радует, что уязвимость вроде бы не проявляется на платформах MIPS и ARM, на которых в основном у меня оборудование RouterBOARD. Старый RB1200 (PowerPC), который ещё работает с ROS6.48.5, я пока не тестировал, но раз проблема может быть связана с PowerPC, скорее всего просто обновлю этот роутер на более новый.

tbirdsaw

Guest

27.02.2023 18:32:00

Мне удалось найти обходное решение для некоторых ситуаций. Отключение функции «Switch All Ports» позволяет использовать ether1. Я не проверял, работают ли остальные порты. Оказалось, что проблема связана с тем, как на устройстве обрабатывается Switch Chip. Для моего случая (CAPsMAN, DNS/DHCP, Router-On-A-Stick) коммутатор вообще не нужен, поэтому я отключил «Switch All Ports», и это освободило ether1 для CPU. После этого мосты, VLANы и IP-доступ (а также DNS) работают нормально. Обратите внимание, что включение «Switch All Ports» после этого не решает проблему, а наоборот — требует перезагрузки, чтобы восстановить доступ к роутеру. Для моего сценария это, думаю, «достаточно». Я оставил заметку, которая появляется каждый раз при удалённом доступе к устройству, чтобы не использовать транковые порты с коммутатором, чтобы случайно не оказаться заблокированным в будущем. Также я проверил, что в версии v7.8 проблема всё ещё есть. Надеюсь, кому-то это поможет.

soosp

Guest

12.03.2023 22:20:00

Ошибка также присутствует в RouterOS 7.8. К тому же мой связанный запрос в службу поддержки MikroTik был закрыт без какого-либо решения или содержательного ответа. Я провёл несколько тестов и выяснил, что пинг работает на VLAN-интерфейсах в обе стороны даже с размером пакета 1500, но другие способы связи не работают.

jriera Guest	#8 0 21.05.2024 16:54:00 Ошибка по-прежнему сохраняется в последних версиях RouterOS на RB850Gx2. Есть какие-то решения, Mikrotik? Похоже, они знают про эту проблему, но не исправляют её. Mikrotik недоступен через Winbox/HTTP в версии 7.

ksx4system Guest	#9 0 03.06.2024 01:07:00 Из любопытства: ты пробовал версию 7.15?

hedwig Guest	#10 0 17.08.2024 12:36:00 Эта ошибка всё ещё присутствует на RB850Gx2 с RouterOS версии 7.15.3. Она происходит точно так же, как описал soosp в первых двух сообщениях этой темы.

construqted

Guest

#11

29.10.2024 03:49:00

Баг по-прежнему существует в версии 7.16-ppc, судя по всему, но затрагивает ли это также SSH и DNS? У меня тоже не работает ни то, ни другое, хотя я проверял конфигурацию раз за разом. Обновление: проблема есть и в 7.17beta4. Я использовал Netinstall, чтобы откатиться до 6.49.17, восстановил свой скрипт из резервной копии — теперь всё работает. Я был уверен, что моя конфигурация правильная. То, что это до сих пор не исправлено и прошло так много времени, — это просто шок. Я всегда советовал MikroTik, но такая ситуация немного меня подводит. Главное, чтобы исправили до окончания поддержки v6 — тогда я буду достаточно доволен. И чтобы подтвердить, да, это влияет и на SSH, и на DNS, и на другие подключения на входящей цепочке, когда используется trunk-порт.

anav Guest	#12 0 30.10.2024 14:59:00 Были ли отправлены отчёты об ошибках в supout в MT по этим проблемам?

sindy Guest	#13 0 30.10.2024 15:05:00 Смотрите http://forum.mikrotik.com/t/routeros-7-vlan-access-problem-on-ppc-architecture/157216/7

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры