+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

CRS326 защита от петель с pvid != 1 и фильтрацией VLAN

CRS326 защита от петель с pvid != 1 и фильтрацией VLAN, RouterOS

tojoe

Guest

01.12.2019 08:42:00

Здравствуйте, у меня в распоряжении пара CRS326-24G-2S+ (бюджет в конце года накаляется…) с прошивкой 6.45.7, чтобы заменить старые (постепенно выходящие из строя) коммутаторы HP на 1 Гбит в наших лабораториях, но я сталкиваюсь с проблемой реализации функции защиты от петель в Mikrotik. Защита от петель работает правильно только при настройке порта с использованием значения PVID по умолчанию (1) или при отключении фильтрации VLAN, как только я меняю PVID или включаю фильтрацию входящих VLAN, в логах появляются записи вроде «интерфейс, предупреждение ether7: порт моста получил пакет с собственным адресом как адресом источника, вероятно, петля» и «интерфейс, предупреждение ether7 избыточные широковещательные/многоадресные сообщения, вероятно, петля», но порты не отключаются. Если я возвращаю PVID к 1 или отключаю фильтрацию VLAN, порты снова корректно отключаются. Для тестирования просто используйте конфигурацию по умолчанию, отключите STP, добавьте другой VLAN, настройте PVID для двух портов на этот VLAN, включите защиту от петель на этих портах. Как только вы включаете любую фильтрацию VLAN (входящую) на портах моста или интерфейсе моста, порты не отключаются. Использование ®STP не помогает, так как у нас есть устройства с несколькими портами, которые блокируют STP BPDUs, пропуская другой трафик. Есть идеи, как заставить защиту от петель работать с фильтрацией VLAN и различными PVID? С уважением, Томас

kvee

Guest

03.09.2023 19:10:00

Я сейчас ищу защиту от петель в Mikrotik. У меня RouterOS v7.11.2; модель RB1100AHx4. У меня есть один мост и 3 VLAN. Защита от петель в /interface/vlan не блокирует или блокирует неправильно. Я подключил первый LAN-кабель к коммутатору, а затем второй к тому же коммутатору для VLAN 101. У меня включена защита от петель для этого VLAN, но Mikrotik блокирует все VLAN. Если я не отключу, я не смогу зайти ни на один сайт, включая этот. Как только отключаю, я могу заходить на сайты, но не на Mikrotik. Кажется, что нет возможности защитить VLAN от петель таким образом (искал, но ничего не нашел, кроме этой темы). В таком случае мне нужно использовать "Обнаружение зацикливания" на управляемом коммутаторе, который сможет это блокировать идеально.

emunt6

Guest

14.09.2023 22:39:00

Я использую следующую проверенную настройку: на стороне Mikrotik используется “/interface bridge procol-mode=none”. Подключите маршрутизатор Mikrotik через сеть с помощью другого коммутатора другой марки, который отвечает за все L2/STP задачи. Топология: (MT)-------(SW)-----------(NETWORK). Просто исключите Mikrotik из любых L2/STP связанных задач (каждый раз это ломается до ужаса) — чисто L3 задачи на Mikrotik, потому что у провайдера другого коммутатора правильно реализованы все протоколы, связанные с L2/STP. Не путайте их.

joshhboss

Guest

15.02.2024 13:33:00

Это вторая печальная новость с тех пор, как я купил (40) CRS318-16P. Я понял, насколько сложно на самом деле ограничивать входную пропускную способность на уровне порта. И только что заметил во время тестирования, что не могу заставить функцию защиты от петель отключать интерфейс, когда она обнаруживает петлю.

sindy Guest	#5 0 15.02.2024 13:39:00 Просто имей в виду, что пост, который ты процитировал, старше 4 лет, так что, возможно, в RouterOS 7 что-то изменилось. Хотя я не думаю, что стоит слишком на это надеяться.

joshhboss

Guest

16.02.2024 03:01:00

Я все еще на версии 6.49, но мы сейчас идем на мероприятие, поэтому немного нервничаю вносить изменения, но следующее мероприятие не раньше середины марта, так что, может, смогу потратить немного времени на тренировки и попытаться понять несколько вещей. Мне бы хотелось, чтобы переключатели CRS3X сделали следующее: защищали от петель на портах на мосту – и контролировали штормы (потому что это, похоже, тоже не работает, думал, что это остановит петлю так же, как и раньше, а оно не делает). Также нужно более точно ограничивать скорость портов (особенно на входящем трафике... исходящий вроде в порядке... я говорю про раздел /interface/ethernet/switch/port). Не знаю, как делать ACL для входящего трафика, так что это все, что у меня есть на данный момент. Хотелось бы также узнать, есть ли способ сделать безопасность портов аналогично тому, как это делают коммутаторы Cisco, ограничивая, скажем, 10 MAC-адресов на порт. Еще это больше касается моего изучения RSTP, но я постоянно предоставляю интернет в определенные зоны при развертывании мероприятия с точкой-точка, а затем переключаюсь на оптику. Я хочу иметь возможность оставить точку-точка включенной и подключить оптику, всегда выбирая свой корневой порт как оптический. Мне повезло, и в последнее время он просто сам выбирает его автоматически, но я читал, что это не всегда так.

joshhboss

Guest

20.02.2024 13:02:00

Я только что это протестировал, чтобы проверить журналы и найти "вероятно, это петля", и отключил интерфейс, откуда это пришло. Может быть, придется очищать журналы каждый раз, но это уже что-то. :local loopMessage "вероятно, это петля"; :local foundLogs [/log find message~"$loopMessage"];

# Перебираем все найденные записи журнала
:foreach logId in=$foundLogs do={
:local thisMessage [/log get $logId message];
# Предполагаем, что имя интерфейса идет сразу после "ether" и продолжается до первого пробела
:local startIdx [:find $thisMessage "ether"];
:local endIdx [:find $thisMessage " " startIdx];
:local thisInterface "";

# Проверяем, найдено ли "ether", и корректируем endIdx, если не найдено (т. е. конец сообщения)
if ($endIdx = -1) do={
:set endIdx [:len $thisMessage];
}
:set thisInterface [:pick $thisMessage $startIdx $endIdx];

# Проверяем, корректно ли извлечено имя интерфейса и существует ли оно
:if ([:len [/interface find name=$thisInterface]] > 0) do={
:log info ("Обнаружена петля, отключаем интерфейс: " . $thisInterface);
/interface set [find name=$thisInterface] disabled=yes;
}
}

joshhboss Guest	#8 0 20.02.2024 13:42:00 Проверь это..

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры