+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Правила фильтрации мостов: установка приоритета для VLAN не работает.

Правила фильтрации мостов: установка приоритета для VLAN не работает., RouterOS

dmfr

Guest

15.10.2020 08:18:00

Привет, Mikrotik! Рассмотрите следующую настройку для установки приоритета VLAN 802.1Q (PCP) = 6 для исходящих DHCP-пакетов.
/interface vlan add interface=ether1 name=ether1.832 vlan-id=832
/interface bridge add fast-forward=no name=orange-832 protocol-mode=none
/interface bridge filter add action=set-priority chain=output dst-port=67 ip-protocol=udp mac-protocol=ip new-priority=6 out-interface=ether1.832 src-port=68
/interface bridge filter add action=set-priority chain=output dst-port=547 ip-protocol=udp mac-protocol=ipv6 new-priority=6 out-interface=ether1.832 src-port=546
/interface bridge port add bridge=orange-832 interface=ether1.832

/ip dhcp-client add disabled=no interface=orange-832
/ipv6 dhcp-client add add-default-route=yes interface=orange-832 pool-name=pool_orange6 request=prefix

Это не работает на версии v7.1beta2, но прекрасно работает на v6.47.4.

Ещё более простая настройка, чтобы принудительно установить VLAN PCP в 6 для всего трафика:
/interface vlan add interface=ether1 name=ether1.832 vlan-id=832
/interface bridge add fast-forward=no name=orange-832 protocol-mode=none
/interface bridge filter add action=set-priority chain=output new-priority=6 out-interface=ether1.832
/interface bridge port add bridge=orange-832 interface=ether1.832

Но и она не работает лучше на v7.1beta2.

Заранее спасибо за расследование проблемы!

dmfr Guest	#2 0 09.08.2021 20:17:00 Похоже, в версии v7.1beta6 исправлено. После множества восстановлений из вывода /export, правила фильтрации моста применяются правильно.

dmfr Guest	#3 0 12.01.2022 20:54:00 Несмотря на исправление для RB4011 (arm), та же проблема всё ещё возникает при использовании версии 7.1.1 на RB5009 (arm64). VLAN PCP/802.1p неправильно устанавливается через правило фильтра моста.

Mackila Guest	#4 0 14.01.2022 19:13:00 Та же проблема на CCR2004-16G-2S+

dmfr

Guest

31.01.2022 10:10:00

SUP-71491 в Mikrotik jira. К сожалению, DHCP-клиент использует raw-сокеты (по крайней мере для DHCPv4) и поэтому обходится IP-файрволом. Отметка пакетов через внешнее устройство (коммутатор Cisco, мостовой RB4011…) сейчас — единственное решение.

dmfr Guest	#6 0 21.02.2022 23:24:00 Подтверждённое исправление в ROS версии 7.1.3 для RB5009 (arm64).

dmfr

Guest

24.03.2021 18:28:00

Такая же ситуация на v7.1beta5. Смотри выше. Интересный факт: конфигурация, похожая на описанную выше и заданная в ROSv6, остаётся работоспособной после обновления до ROSv7. Однако после команды /system reset-configuration идентичная конфигурация (введённая вручную или восстановленная из рабочего /export) перестаёт работать. Может быть, это связано с вот этим? http://forum.mikrotik.com/t/v7-1beta2-bridge-vlan-filtering-unable-to-get-ip-via-dhcp-on-vlan/142394/1

jbl42

Guest

16.01.2022 23:00:00

Та же самая проблема продолжается на версии 7.1.1 с RB5009 (arm64). VLAN PCP/802.1p неправильно устанавливается через правило фильтра моста. На моём опыте, правила фильтра моста не работают на RB5009 для мостов с включённым аппаратным ускорением L2. Зато установка приоритетов PCP/802.1p у меня реально работает на RB5009 через interface/ethernet/switch/rule с действием new-vlan-priority. Особое внимание нужно уделять синхронизации правил свитча и конфигурации моста, если меняются порты-члены. Хотя ROS 7.1.1 переводит фильтры VLAN моста в конфиги VLAN аппаратуры 88E6393X, с мостовыми фильтрами, похоже, пока так не делает.

dmfr

Guest

17.01.2022 10:13:00

Аппаратное разгрузка L2 сейчас не включена ни на одном интерфейсе моста, потому что: в мосте WAN всего один интерфейс-участник (ether8), а именно на нем мы хотим установить приоритет PCP/802.1p; все порты (ether1-7) в мосте LAN активно настроены с horizon=1 (изоляция портов). Кроме того, при любых обстоятельствах при попытке применить switch-rules на Marvell-88E6393X появляется ошибка new-vlan-priority not supported для этого коммутатора. Я что-то упускаю?

jbl42

Guest

#10

17.01.2022 12:52:00

Кроме того, в любых случаях при попытке применить правила коммутатора на Marvell-88E6393X я получаю ошибку "new-vlan-priority не поддерживается для этого коммутатора".

[admin@RB5009] /interface/ethernet/switch> rule add switch=switch1 ports=ether2,ether8 vlan-id=100 new-vlan-id=101
[admin@RB5009] /interface/ethernet/switch> rule add switch=switch1 ports=ether2,ether8 vlan-id=100 new-vlan-priority=6
ошибка: new-vlan-priority не поддерживается для этого коммутатора

Хм... ты прав. На RB5009 пока поддерживается только new-vlan-id, а new-vlan-priority — нет. Хотя 88E6393X это поддерживал бы. Извини, я перепутал с моделями CRS, где это нормально работает.

По моему опыту, на RB5009 правила моста работают стабильно только если использовать аппаратное L2-оффлоадинг и правила коммутатора, насколько это поддерживается. Правила /interface/bridge часто просто отказываются работать без каких-либо объяснений. Похоже, что это действительно баг. 88E6393X — очень мощный коммутаторный чип. Поддержка некоторых его функций в ROS и мостах на его основе либо сломана, либо еще не до конца реализована.

dmfr

Guest

#11

17.01.2022 14:01:00

Из тикета поддержки #[SUP-71491] подняли вопрос о правилах фильтрации моста. Во-первых, пусть они просто работают, даже если завязаны на процессор (как в RB4011), это не создаёт большой нагрузки на производительность. Если же в будущем правила фильтрации моста смогут автоматически задействовать аппаратные возможности, когда они доступны, было бы здорово, но это совсем другая история…

Gnubyte Guest	#12 0 28.01.2022 07:47:00 Всем привет! Такая же проблема на CCR2004-1G-12S+2XS. Спасибо за эту отличную технику и за вашу работу по устранению этого неприятного отката.

jbl42 Guest	#13 0 28.01.2022 21:03:00 Что нового в 7.2rc3 (28 янв. 2022, 16:33): *) bridge – исправлено действие фильтра и NAT «set-priority»; Похоже, это починили в 7.2rc3.

dmfr Guest	#14 0 30.01.2022 17:25:00 Все еще не работает с указанной выше конфигурацией (первый пост).

mducharme Guest	#15 0 31.01.2022 00:40:00 Наверное, стоит обратиться в их службу поддержки. А пока можно попробовать обойти проблему с помощью mangle-правила, чтобы получить тот же результат.

CoyoGross Guest	#16 0 17.11.2022 13:53:00 Всем привет! Надеюсь, у вас всё хорошо. Я пытаюсь разобраться, как настроить приоритет VLAN 802.1Q на 3011 с коммутатором QCA 8337. Судя по документации: чтобы правила, связанные с VLAN, или параметры действий VLAN работали, нужно включить vlan-filtering на интерфейсе моста и убедиться, что аппаратное ускорение включено на этих портах, иначе эти параметры не дадут эффекта. Я понимаю, что включение vlan-filtering на QCA 8337 отключит аппаратное ускорение. Так что возможно ли настроить приоритет VLAN на 8337? Если я включу vlan-filtering, понимая, что это нагрузит процессор и будет использовать фильтры моста, будет ли это работать? Ещё мне нужно применить такую же конфигурацию на Marvell 98DX3236, и я немного запутался, где именно нужно применять правило — в фильтрах моста или в правилах коммутатора?

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры