+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Конфигурация VLAN на RB4011IGS+RM снова.

Конфигурация VLAN на RB4011IGS+RM снова., RouterOS

jokakilla

Guest

01.11.2021 19:44:00

Всем привет! После нескольких дней чтения руководств (например, http://forum.mikrotik.com/t/using-routeros-to-vlan-your-network/126489/1 и многих других) и мучений с настройкой, я обращаюсь к вам за помощью. В приложении вы найдете диаграмму сети, которую хочу реализовать, и rsc-файл с моей последней конфигурацией. Использую прошивку 6.49. WAN — на ether1. Есть несколько access-портов (камеры, Raspberry, SmartHome) и несколько trunk-портов (для WiFi, коммутатора в другую комнату и сервера). Контроллер WiFi будет добавлять VLAN-теги в зависимости от SSID. В итоге некоторые сети должны иметь доступ в интернет, а общение между VLAN-ами должно быть ограничено. Но пока я был бы рад, если бы каждое устройство имело доступ в интернет и свободный роутинг между всеми VLAN. Как я пытался настроить устройство: Сброс до заводских настроек кнопкой; Подключение через Winbox; Удаление стандартной конфигурации; Открытие терминала в Winbox и выполнение команд из rsc-файла. Я пытался менять множество мелких настроек, но в итоге всегда оказывался заблокирован после последнего шага (включения vlan-filtering) — /interface bridge set bridge1 vlan-filtering=yes. На access-портах DHCP не отвечает. Ручная настройка IP в нужной сети на соответствующем порте тоже не помогла. На моем Linux-машине я настроил VLAN 99 (MGMT vlan) и пробовал подключиться через trunk-порт, но безуспешно:

sudo ip link add link enp37s0 name enp37s0.99 type vlan id 99
sudo ip addr change 192.168.30.242/24 brd 192.168.30.255 dev enp37s0.99
sudo ifconfig enp37s0.99 up

192.168.30.1 недоступен. При использовании trunk-порта Wireshark показывал, что пакеты тэгированы (802.1Q ID99), но даже ARP-запросы на маршрутизатор не получают ответ. Mikrotik-устройства кажутся очень мощными, но я недооценил, насколько крутая здесь кривая обучения. Довольно расстраивает. MyMikrotik.rsc (7.47 KB)

anav

Guest

05.12.2021 02:47:00

smyers абсолютно прав, и я никогда не говорил использовать .1 для адреса!!
/ip address add address=192.168.3.2/24 interface=ether5_emergency network=192.168.3.0
Из-за этого… что вполне нормально.
/tool mac-server mac-winbox set allowed-interface-list=MGMT
Ensure;;;;;
/interface list member add interface=MGMT_VLAN list=MGMT
add interface=ether5_emergency list=MGMT
Я бы немного подкорректировал это правило…
/ip firewall filter add action=accept chain=input comment="Allow emergency access on Port 5" in-interface=ether5_emergency src-address=192.168.3.5

Залогиниться на роутер через ether5 можно, выставив на ноутбуке ipv4 с IP 192.168.3.5, шлюз 192.168.3.1 и маску 255.255.255.0.
Должно сработать!

jokakilla

Guest

05.12.2021 19:58:00

Спасибо за вашу поддержку. Аварийный порта теперь работает отлично! Что касается второй проблемы (просто для лучшего понимания): следующий шаг — настроить коммутатор с поддержкой VLAN (например, у меня Unifi Flex Mini) вот так:
Порт (uplink к Mikrotik)
Порт Access с Video VLAN для камеры 1
Порт Access с Video VLAN для камеры 2
Порт Trunk для сервера (NVR самостоятельно ставит теги Video VLAN)

В этом случае пакеты между камерами и сервером не должны проходить через Mikrotik, а просто будут передаваться между портами 2, 3 и 4 коммутатором, верно? Если проблема исчезнет, значит, что-то не так в моей конфигурации или прошивке Mikrotik. Если нет — причина в чем-то другом (камеры, кабели, сервер).

anav

Guest

05.12.2021 23:54:00

Твое описание/сценарий не совсем понятны. У меня нет наглядного представления, какие VLAN назначены каким портам на UniFi и Mikrotik, помогла бы небольшая схема сети. Предположим, что VLAN идут с Mikrotik, тогда есть два варианта.

а. Mikrotik работает как коммутатор — в этом случае он практически прозрачный.

б. Mikrotik работает как маршрутизатор — тогда весь трафик идет на маршрутизатор каждый раз, когда нужно применить правило файрвола, затрагивающее этот VLAN.

jokakilla

Guest

08.12.2021 17:44:00

Я попробовал обойти роутер, подключив камеры и сервер к управляемому коммутатору с аплинком на Mikrotik Router. Так я мог исключить, что Mikrotik — источник всех бед. Артефакты при видеотрансляции появляются и тогда, когда данные передаются только через управляемый коммутатор.

Порты коммутатора настроены как «Access Port VLAN 110 (видео)». Все остальные порты прозрачные. Видео NVR-сервер имеет интерфейс в VLAN 110. Чтобы точно убедиться, что данные не проходят через роутер, я отключил аплинк. Думаю, дело не в камерах, потому что поток напрямую с камеры на VLC на ПК работает нормально. Возможно, проблема связана с docker ipvlan интерфейсом — он использует тегированный сетевой интерфейс в виде VLAN. Может, просто попробую поставить в сервер вторую сетевую карту и настроить для видео сервера access-порт в VLAN 110.

anav

Guest

08.12.2021 18:31:00

Я бы избавился от UNIFI (и взял любой другой управляемый коммутатор) или настроил его как НОРМАЛЬНЫЙ управляемый коммутатор, где все VLANы проходят через порт 1 в режиме TRUNK. В любом случае, если уж очень хочется... Настройка RB4011 для порта 8 будет выглядеть так:

/interface bridge ports bridge=bridge interface=ether8 ingress-filtering=yes pvid=99
/interface bridge vlans bridge=bridge tagged=bridge untagged=ether8 vlan-ids=99
bridge=bridge tagged=bridge,ether8,ether6,ether7 vlan-ids=110
bridge=bridge tagged=bridge,ether8,ether4,ether3 vlan-ids=100

Примечания:
Unifi должен иметь IP-адрес в подсети vlan99.
Гибридный порт 8 несет как 110, так и 100 для дальнейшего использования в unifi.

jokakilla

Guest

08.12.2021 19:01:00

Спасибо, anav. Эта настройка была сделана только для тестирования. Поскольку проблемы с видеопотоком продолжаются, я уберу коммутатор Unifi между компонентами. По крайней мере, маршрутизатор Mikrotik работает отлично, так что причина точно где-то в другом месте. И да, я уже заметил ограничения на Unifi Flex Mini. Нельзя настроить пользовательские профили портов. Варианты для каждого порта – либо «Access Port», либо «Untagged (все VLAN разрешены)». То есть гибридную конфигурацию порта на «маленьком» Unifi сделать нельзя. Если понадобится больше — подумаю про RB260GS.

k6ccc Guest	#8 0 08.12.2021 19:33:00 У меня есть пара таких, и они отлично работают.

jokakilla

Guest

10.12.2021 11:40:00

Проблемы с видеотрансляцией исправлены! Протокол потоковой передачи был установлен на «auto», что для AgentDVR означает UDP. После переключения на TCP проблемы исчезли. Меня это вполне устраивает, но интересно, в чём же причина? Неправильный порядок или потерянные пакеты, которые TCP-протокол корректирует?

jokakilla

Guest

#10

04.12.2021 23:49:00

В целом конфигурация уже несколько недель работает довольно стабильно. Но есть проблемы, которые мне пока не удалось решить. Если кто-то мог бы ещё раз взглянуть на мою настройку (в общем и особенно по следующим пунктам).

Аварийный порт пока не работает
Выбрал порт 5 как аварийный (по рекомендации), который не включён в бридж, чтобы избежать блокировки системы при сбое.
В разделе IP->Addresses добавил 192.168.3.1/24 с сетью 192.168.3.0
Добавил правило в цепочку firewall input — разрешить dst.address 192.168.3.1 с интерфейса ether5
IP-сервисы winbox разрешены для сети 192.168.3.0/24
Подключил ноутбук со статическим IP 192.168.3.2 к порту 5
Нет ответа на ping, подключения winbox нет. Идеи?

Артефакты в RTSP-видеопотоках с IP-камер
Две IP-камеры со статическими IP (192.168.1.243, 192.168.1.244) подключены к портам 6 и 7 Mikrotik
NVR (AgentDVR) запущен в Docker-контейнере с ipvlan-драйвером (192.168.1.242) на сервере, подключенном к порту 8 Mikrotik
Камеры и NVR месяцами работали на старом роутере (FritzBox 7590) без проблем.
С переходом на Mikrotik видео при просмотре онлайн лагает. Записи, скачанные и проигрываемые локально через VLC, тоже просто кошмар.
Со стороны сервера NVR единственное изменение — теперь используется ipvlan-драйвер, так как контейнер должен быть в VLAN для видео 110, и, конечно, маршрутизатор.
Если верить поиску Google, слой ipvlan довольно тонкий и обычно проблем не вызывает.

Что пробовал на Mikrotik:
- Менял порты (ранее камеры и сервер были на разных коммутаторах)
- Проверял MTU (1500 на Mikrotik и сервере, у камер нет возможности увидеть или изменить значение)
- Поставил STP режим бриджа с none на MSTP (прочитал рекомендацию, кажется, не повредит, даже если теоретически петли не проблема)
- Включил flow control (tx/rx) на всех задействованных портах
- Обновился на тестовую прошивку 7.1 (надеялся получить аппаратное ускорение, но оно всё ещё отключено)
- Захватывал поток с помощью Wireshark (packet sniffer, стриминг на мой ПК с wireshark). Пакеты с камер не доходят, возможно, не проходят через CPU?
- Захватывал видео стрим на сервере NVR с tshark.
Анализ RTP-потока показал высокие дельта значения порядка 50 мс. Не совсем понимаю, что это значит — высокая задержка?
Вся остальная сеть — скала, никаких потерь пакетов или задержек не наблюдается.

Следующее, что приходит в голову — QoS. Но нужно ли оно вообще на гигабитном канале, где почти нет другого трафика, а видеопотоки занимают около 10 Мбит?
При прямом стриминге с камер в VLC на ПК в MGMT-сети всё работает идеально, несмотря на маршрутизацию. Так что, думаю, проблема связана с сервером NVR или портом сервера.

docker-compose.txt (1.16 KB)

latest.rsc (10.6 KB)

smyers119 Guest	#11 0 05.12.2021 01:34:00 Проблема №1: добавьте порт 5 в список интерфейсов mngt_vlan. Проблема №2: вам нужно управлять входящим и исходящим трафиком на Mikrotik, попробовав другой коммутатор.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры