+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Помощь или документация по фильтрации VLAN на мосту

Помощь или документация по фильтрации VLAN на мосту, RouterOS

miconof

Guest

27.05.2023 05:34:00

Привет, я совсем новичок в настройке устройств Mikrotik, вот моя конфигурация. Модель: CRS328-24P-4S+
Текущая прошивка: 7.9
У меня ещё есть ‘cAP ax’, но это сейчас не важно.
Я ищу документацию по тому, как реализовать VLAN на мосту с включённой фильтрацией. Ниже диаграмма того, что я сделал:

В общем, мой маршрутизатор-коммутатор с именем ‘SwRo’ напрямую подключён к ONT моего интернет-провайдера (интернет-бокса больше нет).

/interface vlan add interface=sfp1 name=ONT-Bouygue-Fibre vlan-id=100
/ip dhcp-client option add code=60 name=vendorid value=0x42594754454c494144
/ip dhcp-client add dhcp-options=vendorid disabled=no interface=Fibre_ByTel_vl100
/interface bridge port add bridge=bridge interface=ether1
[...]
/interface bridge port add bridge=bridge interface=ether24
/interface bridge port add bridge=bridge interface=sfp-sfpplus1
/interface bridge port add bridge=bridge interface=sfp-sfpplus3
/interface bridge port add bridge=bridge interface=sfp-sfpplus4

/ip firewall nat add action=masquerade chain=srcnat out-interface=ONT-Bouygue-Fibre
/ip address add address=192.168.0.2/24 comment=LAN_HOME interface=bridge network=192.168.0.0
/ip address add address=192.168.0.88/24 comment=defconf interface=ether2 network=192.168.0.0

Всё вышеперечисленное работает как задумано. Далее я настроил транковый порт с двумя тегированными VLAN. Настраивал по этой инструкции: http://forum.mikrotik.com/t/using-routeros-to-vlan-your-network/126489/1, сообщение #2: «Switch with a separate router (RoaS)», раздел «Router Configuration at a glance».

/interface bridge
add frame-types=admit-only-vlan-tagged name=bridge-v vlan-filtering=no
/interface vlan
add interface=bridge-v name=VLAN2 vlan-id=2
add interface=bridge-v name=VLAN5 vlan-id=5
/interface bridge vlan
add bridge=bridge-v tagged=sfp-sfpplus2 vlan-ids=2,5
/interface list member
add interface=VLAN2 list=VLAN
add interface=VLAN5 list=VLAN
/ip address
add address=192.168.2.1/24 interface=VLAN2 network=192.168.2.0
add address=192.168.5.1/24 interface=VLAN5 network=192.168.5.0

С другой стороны я подключил машину с FreeBSD и Jail на VLAN. Всё вроде работает, я могу пинговать интернет и устройства в локальной сети из обоих VLAN.

Но я хочу изолировать VLAN2 и VLAN5 от всех остальных. При этом они должны иметь доступ в интернет. Для этого я поставил vlan-filtering на bridge-v в положение yes. Но после этого с обоих VLAN даже не получается пинговать шлюз (192.168.2.1 / 192.168.5.1). Думаю, нужно добавить какие-то правила в /interface/bridge/nat и /interface/bridge/filter/.

Ищу документацию по фильтрации VLAN на мосту.

miconof Guest	#2 0 14.06.2023 09:25:00 Спасибо за ответ, вы правы. В моём случае использования hEX S будет достаточно?

jbl42

Guest

14.06.2023 11:55:00

Я хотел изолировать VLAN2 и VLAN5 от всех остальных. Но при этом им нужно иметь доступ в интернет. Нужно добавить CPU-порт к самому bridge-порту как тегированный интерфейс для ваших VLAN, чтобы коммутатор пересылал отмеченные пакеты на CPU. После этого вы сможете включить VLAN-фильтрацию, и клиенты при этом смогут обращаться к CPU.

/interface bridge vlan
add bridge=bridge-v tagged=VLAN2,VLAN5,sfp-sfpplus2 vlan-ids=2,5

Больше деталей по ссылке, которую дал anav.

Что касается трафика между VLAN2 и VLAN5: у вас разные подсети для VLAN2 и VLAN5. Трафик между ними маршрутизируется (L3), а не коммутируется (L2). Для изоляции нужно добавить правило форвард-файрвола, которое блокирует пакеты с входного интерфейса VLAN2 и исходящего VLAN5 и наоборот. Или в вашем случае можно добавить одно правило, которое блокирует пакеты, у которых и входной, и выходной интерфейс находятся в группе VLAN-интерфейсов.

anav Guest	#4 0 14.06.2023 12:32:00 Нет, HEX S недостаточно, если говорить о соединении на 1 гигабит. Самое дешевое решение с гарантированной пропускной способностью в 1 гигабит — это hapax3.

jbl42

Guest

14.06.2023 13:00:00

https://mikrotik.com/product/hex_s#fndtn-testresults В зависимости от размера пакета, HEX S может достигать скорости 1 ГБ для маршрутизации с файрволом. Я бы советовал попробовать его для вашего варианта использования. В зависимости от количества параллельных соединений и размера пакетов, этого может быть достаточно или нет.

anav

Guest

14.06.2023 13:11:00

Давайте придерживаться фактов! Судя по результатам тестов: 512 байт для 25 простых очередей (736 Мбит/с) и 25 фильтровых правил (385 Мбит/с). Реалистично ожидать результаты где-то между этими двумя цифрами, и, надеюсь, ближе к 736. Это показывает прошивка версии 7.0. Прошлые версии 6, точно не вспомню, но цифры были в районе 900/500 (так, примерно). У меня есть Hex-ы, и один я использовал как первый роутер, и даже на версии 6 мне не удавалось достичь 900 Мбит/с на моём гигабитном канале. Поэтому, как с точки зрения пользователя, так и по данным страниц с результатами MT, не тратьте деньги ни на что кроме hapax3, если хотите оптимизировать пропускную способность вашего провайдера.

Buckeye

Guest

14.06.2023 19:23:00

Спрашивать, достаточно ли hEX для вашего случая, не описывая, в чём именно ваш сценарий использования, — бесполезно, вы не получите нужных ответов. Почему именно вы спросили про hEX? И под hEX вы имеете в виду RB750Gr3? Если hEX у вас уже есть, попробуйте его, чтобы понять, хватит ли его возможностей. Он будет работать быстрее, чем процессор, установленный в CRS328-24P-4S+ (там одноядерный процессор на 800 МГц, а в RB750Gr3 — MediaTek MT7621 SoC с двумя ядрами по 800 МГц (вместе с гиперпоточностью это 4 виртуальных ядра). Если вам придётся что-то покупать для маршрутизации, то hEX — не лучший вариант, особенно учитывая, что с версией v7 вам практически не понадобится аппаратное VLAN-мостирование на hEX, ведь у вас уже есть мощный коммутатор CRS328-24P-4S+. Так как вы хотите, чтобы VLANы были изолированы друг от друга, основная маршрутизация будет проходить между интернетом и вашими LAN, а не между самими VLANами.

mkx Guest	#8 0 15.06.2023 06:49:00 CRS328, если на нём стоит ROS версии 7, должен отлично подойти для маршрутизации между VLAN, особенно если это не требует слишком сложной работы с файерволом. CRS328 поддерживает L3HW (аппаратное ускорение маршрутизации): https://help.mikrotik.com/docs/display/ROS/L3+Hardware+Offloading#L3HardwareOffloading-L3HWDeviceSupport. Так что, если требования и топология позволяют, то hEX можно использовать только как граничный роутер/шлюз/файервол с немного меньшими требованиями к производительности (конечно, это зависит от характеристик WAN-линии).

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры