+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

VLAN с точкой доступа

VLAN с точкой доступа, RouterOS

timchi

Guest

22.11.2022 18:02:00

Привет! У меня есть роутер PFSense и 3 коммутатора Mikrotik (CRS112-8P, CRS326-24G-2S+RM — оба подключены по оптике к CRS328-24P-4S+RM), 3 точки доступа Unifi — по одной на каждый коммутатор. Я пытаюсь настроить 3 VLAN с комбинированной схемой: точки доступа ставят теги в зависимости от того, к какой Wi-Fi сети подключается клиент, плюс тегирование по портам. Тестирую на CRS112-8P-4S.

Проблема в том, что когда включаю egress tagging (исходящее тегирование) для VLAN-трафика с точки доступа, трафик фильтруется (без тегов — работает, как мне и нужно), а трафик с порта интерфейса 3 тегируется корректно. Но если включить egress tagging для точки доступа, то она получает весь трафик — и с тегами, и без, а тегирование на интерфейсе порта перестаёт работать. На этом коммутаторе trunk-порт — SFP9. Мне нужно, чтобы порт 3 был тегирован VLAN ID 20, а точка доступа могла передавать и принимать VLAN ID 20 и 30, а также нетегированный трафик.

Буду очень благодарен за любую помощь.

Ниже видно, что в /interface ethernet switch egress-vlan-tag есть правило “add disabled=yes tagged-ports=sfp9 vlan-id=20”, которое и вызывает описанную проблему.

# nov/22/2022 18:45:11 by RouterOS 6.49.6
# software id = DXMK-IZJY
#
# model = CRS112-8P-4S
# serial number = HCB*******

/interface bridge
add admin-mac=DC:2C:6E:E6:47:9E auto-mac=no comment=defconf name=bridge

/interface ethernet
set [ find default-name=ether2 ] advertise=10M-half,10M-full,100M-half,100M-full poe-out=forced-on speed=100Mbps
set [ find default-name=ether3 ] poe-out=off
set [ find default-name=ether5 ] disabled=yes
set [ find default-name=ether6 ] disabled=yes
set [ find default-name=ether7 ] disabled=yes
set [ find default-name=ether8 ] disabled=yes
set [ find default-name=sfp9 ] advertise=1000M-full auto-negotiation=no
set [ find default-name=sfp10 ] auto-negotiation=no rx-flow-control=auto tx-flow-control=auto
set [ find default-name=sfp11 ] disabled=yes
set [ find default-name=sfp12 ] disabled=yes

/interface vlan
add interface=bridge name=vlan20 vlan-id=20
add interface=bridge name="vlan30 Guest" vlan-id=30

/interface list
add name=WAN
add name=LAN

/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik

/interface bridge port
add bridge=bridge comment=defconf interface=ether1
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
add bridge=bridge comment=defconf interface=ether6
add bridge=bridge comment=defconf interface=ether7
add bridge=bridge comment=defconf interface=ether8
add bridge=bridge comment=defconf interface=sfp9
add bridge=bridge comment=defconf interface=sfp10
add bridge=bridge comment=defconf interface=sfp11
add bridge=bridge comment=defconf interface=sfp12

/interface bridge vlan
add bridge=bridge disabled=yes vlan-ids=1-4094

/interface ethernet switch egress-vlan-tag
add disabled=yes tagged-ports=sfp9 vlan-id=20
add disabled=yes tagged-ports=sfp9 vlan-id=30

/interface ethernet switch ingress-vlan-translation
add customer-vid=0 new-customer-vid=20 ports=ether3,ether4

/interface ethernet switch mac-based-vlan
add new-customer-vid=20 src-mac-address=00:40:AD:BD:43:63

/interface ethernet switch port
set 1 egress-vlan-tag-table-lookup-key=according-to-bridge-type
set 2 allow-fdb-based-vlan-translate=yes

/interface ethernet switch vlan
add disabled=yes ports=ether3 vlan-id=20

/interface list member
add interface=ether1 list=LAN
add interface=ether2 list=LAN
add interface=ether3 list=LAN
add interface=ether4 list=LAN
add interface=ether5 list=LAN
add interface=ether6 list=LAN
add interface=ether7 list=LAN
add interface=ether8 list=LAN
add interface=sfp9 list=LAN
add interface=sfp10 list=LAN
add interface=sfp11 list=LAN
add interface=sfp12 list=LAN

timchi Guest	#2 0 17.01.2023 12:03:00 Я так понимаю, то, что я пытаюсь сделать, действительно возможно с Router OS?

t4thfavor

Guest

19.01.2023 12:35:00

Возможно, у меня сейчас есть hex poe, который делает что-то похожее, и есть обычный hex в лаборатории с очень простой конфигурацией мостового VLAN, которая работает с включённой фильтрацией. Я могу сегодня чуть позже поделиться этим. Опубликую это здесь, чтобы потом легко вернуться к конфигу, когда он будет под рукой. Вот самые важные части моей конфигурации: у hex poe есть два tagged trunk порта и несколько untagged access портов. Два транка — это резервные каналы к дому, так что один из них всегда будет отключен. Я установил PVID на trunk портах, чтобы они стали native vlan, и устройство, подключённое к ним, — Cisco роутер, так что у меня нет с другой стороны примера для показа. При этом я делал VLAN без моста на устройствах с одним портом, и это работало похоже.

/interface bridge
add admin-mac=64:D1:54:8C:7D:2F auto-mac=no name=bridge pvid=55 vlan-filtering=yes
/interface ethernet
set [ find default-name=ether1 ] comment="Chance Radio"
set [ find default-name=ether2 ] comment="Backup Link to house" poe-out=forced-on rx-flow-control=auto tx-flow-control=auto
set [ find default-name=ether5 ] poe-out=forced-on
set [ find default-name=sfp1 ] advertise=10M-half,10M-full,100M-half,100M-full,1000M-full comment="Trunk to House"
/interface vlan
add interface=bridge name=AUXLAN vlan-id=56
add interface=bridge name=LAN1 vlan-id=55
add interface=bridge name=WAN1 vlan-id=1076
add interface=bridge name=WAN2 vlan-id=1075
add interface=bridge name=WLAN vlan-id=3
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN

/interface bridge port
add auto-isolate=yes bridge=bridge interface=ether2 internal-path-cost=11 path-cost=11 priority=0x90 pvid=55
add bridge=bridge interface=ether3 pvid=55
add bridge=bridge interface=ether4 pvid=3
add bridge=bridge interface=ether5 pvid=3
add bridge=bridge interface=ether1 pvid=1076
add auto-isolate=yes bridge=bridge interface=sfp1 pvid=55
/ip neighbor discovery-settings
set discover-interface-list=all
/interface bridge vlan
add bridge=bridge tagged=bridge,sfp1,ether2 vlan-ids=3
add bridge=bridge tagged=bridge,sfp1,ether2 vlan-ids=55
add bridge=bridge tagged=bridge,sfp1,ether2 vlan-ids=56
add bridge=bridge tagged=bridge,sfp1,ether2 vlan-ids=1075
add bridge=bridge tagged=bridge,sfp1,ether2 vlan-ids=1076
/interface list member
add interface=bridge list=LAN
add interface=LAN1 list=LAN
add interface=WLAN list=LAN
add interface=AUXLAN list=LAN

timchi Guest	#4 0 19.01.2023 15:51:00 Спасибо за информацию. Обязательно ли всегда маркировать трафик на транке?

t4thfavor Guest	#5 0 20.01.2023 14:08:00 Если вы хотите, чтобы VLAN проходил по транку на вышестоящее устройство, тогда да, его нужно тегировать. Если порт — это access-порт без устройства, понимающего VLAN, то он должен быть нетегированным.

timchi

Guest

21.01.2023 10:14:00

Да, я хочу и с тегами, и без тегов — оба варианта на транке. Думаю, именно здесь у меня затык в настройках: я сделал конфигурацию, которая работает либо с тегами, либо без них, но оба варианта вместе не работают. Но я собираюсь сравнить твою настройку с моей. Спасибо!

anav Guest	#7 0 21.01.2023 11:53:00 Ваши путанные термины: транковый порт помечает теги VLAN, access-порт — только без тегов, а гибридный — и с тегами, и без. Ещё важный момент: в access и гибридном портах может быть ТОЛЬКО ОДИН vlan без тега.

timchi Guest	#8 0 22.01.2023 08:47:00 Спасибо за разъяснение! Пока писал, немного сомневался. В общем, да, хочу гибридный порт. По сути, такую же настройку, как на одном из моих коммутаторов, который я перевёл на SWOS, и он работает отлично.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры