+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Переключение на порт доступа на RouterBOARD 750G r2

Переключение на порт доступа на RouterBOARD 750G r2, RouterOS

metik237

Guest

30.03.2022 11:01:00

Привет! В данный момент я использую RouterBOARD 750G r2 в качестве основного роутера дома.
Порт 1 — WAN
Порт 2 — по умолчанию (bridge) 192.168.88.0/24
Порт 3 — по умолчанию (bridge) 192.168.88.0/24
Порт 4 — транковый порт для VLAN 100, 200 и 50
Порт 5 — по умолчанию (bridge) 192.168.88.0/24

Порт 5 подключён к управляемому свитчу, а дальше — к VMware лаборатории.

Теперь я хотел бы использовать порт 5 на MikroTik как access-порт для VLAN 100.
Кроме того, что нужно исключить порт из bridge, что ещё надо сделать, чтобы получить VLAN на порту 5 (прямой доступ / untagged)?

Заранее спасибо за ответ!
С уважением, Matic

metik237

Guest

21.04.2022 15:46:00

Извиняюсь за поздний ответ. На самом деле сначала я не использовал VLAN, а только сеть по умолчанию 192.168.88.0/24. Потом расширил инфраструктуру и настроил VMware-лабораторию, для которой понадобились VLAN. Я сконфигурировал их только на одном порту Mikrotik (eth4). Что сделал — просто определил VLAN в списке интерфейсов и привязал их к eth4.

Сейчас eth4 — это trunk-порт для трёх VLAN, а остальные порты — access с сетью по умолчанию 192.168.88.0/24. Поскольку кабель от Mikrotik до моей квартиры немного замороченный, мне нужно настроить 1–2 access-порта с VLAN 100 на этом устройстве Mikrotik. eth4 остаётся trunk-портом, а eth3, eth5 станут access-портами для конкретного VLAN.

Пробовал использовать bridge VLAN filtering, но не сработало. Вообще-то даже некоторый трафик виден во вкладке статуса. Есть идеи, что я сделал не так?

anav

Guest

21.04.2022 17:11:00

ONE BRIDGE
Определить все необходимые подсети. Создать VLAN’ы, все они должны принадлежать мосту. Каждому VLAN назначить пул IP-адресов, адрес, DHCP-сервер, сеть DHCP-сервера.
Определить порты доступа и транка через /interface bridge ports.
Определить все тегированные и нетегированные порты через /interface bridge vlans.
Включить фильтрацию VLAN на мосту.
Отрегулировать правила фаервола и т.д.
Мост используется только для функции моста (без DHCP и прочего).
Фильтрация VLAN работает отлично!

metik237

Guest

22.04.2022 10:59:00

Привет, спасибо за руководство. Пожалуйста, скажи, правильно ли я понял процесс:

Удалить второй созданный мной мост. Вместо этого использовать «основной» мост (в моём случае «bridge2»).
Удалить всю конфигурацию VLAN из списка интерфейсов > VLAN (как уже говорил, я использую эту настройку для eth4, чтобы пробросить VLANы).
Назначить все порты обратно на основной мост «bridge2» (Bridge > Ports).
Создать VLANы в Bridge > VLANs.
Отметить порты как tagged и untagged (Bridge > VLANs).
Включить фильтрацию VLAN для «bridge2».

Вопрос: под VLAN Filtering стоит PVID 1?

Дополнительный вопрос — нужно ли тогда указать все VLAN-подсети на интерфейс bridge2, верно?

anav

Guest

22.04.2022 13:00:00

Нет. Определи VLANы, задай им пул IP-адресов, адрес, DHCP-сервер, DHCP server-network. Когда задаёшь VLANы, нужно выбрать интерфейс — это будет мост. Добавь порты в bridge ports /interface bridge ports, добавь tagged или untagged VLANы к портам /interface bridge vlans и так далее… http://forum.mikrotik.com/t/using-routeros-to-vlan-your-network/126489/1

metik237

Guest

24.04.2022 11:29:00

Я проверил все уроки и следовал твоим инструкциям, но как-то при включении фильтрации ничего не сработало. Не понимаю, что вызвало проблему.

Перед тем как полностью перенастроить VLAN, я хотел, например, на eth5 сделать untagged VLAN 66. Когда включил VLAN-фильтрацию, все индикаторы стали мигать в одном и том же режиме, и, конечно, связь пропала.

Я несколько раз проверял свою конфигурацию, и единственное, что могло бы вызвать проблему — это DHCP пул с .88, указывающий на bridge2. Не знаю...

anav Guest	#7 0 24.04.2022 13:55:00 Самое безопасное — настраивать мост и VLANы вне моста… Посмотрите эту ссылку для более надежного способа… https://forum.mikrotik.com/viewtopic.php?t=181718

metik237

Guest

01.06.2022 21:09:00

Привет, Anav! Решил настроить конфигурацию с нуля. Следовал твоим инструкциям по ссылке, что ты присылал ранее. Вот моя конфигурация с точки зрения GUI:

В первых двух фото ничего особенного.
На фото 3 хотел бы спросить — стоит ли выключать «Ingress filtering»? Я проверил у друга, у него на Mikrotik эта фильтрация выключена. Так как первоначальная настройка не работала, решил попробовать...
На фото 4 видно, что я теперь добавил в мост (bridge) также все VLAN’ы. В твоём скрипте я этого не заметил. Как думаешь, нормально ли это делать?
Ещё, чего я не знал вначале, но увидел в твоём скрипте — в вкладке tag/untag всегда нужно добавлять мост (см. фото 5). Подскажи, это же правило действует и для access port / untagged?

Заранее спасибо за ответ!

anav Guest	#9 0 02.06.2022 01:27:00 Пожалуйста, предоставьте экспорт конфигурации, при необходимости фотографии конкретных элементов будут запрошены. /export hide-sensitive file=anynameyouwish. Ещё бы очень помогла схема сети…

metik237 Guest	#10 0 02.06.2022 20:23:00 mkcfgexport.rsc (4,6 КБ) Должно выглядеть примерно так.

anav Guest	#11 0 03.06.2022 03:32:00 (1) Похоже, в схеме отсутствует базовый VLAN… (2) Пулы настроены неправильно: add name=VMOTION_POOL ranges=192.50.200.254-192.168.50.50 add name=EXTRA_POOL ranges=192.60.200.254-192.168.60.50 add name=VMOTION_POOL ranges=192.168.50.254-192.168.50.50 add name=EXTRA_POOL ranges=192.168.60.254-192.168.60.50 (3) Почему ether1 в бридже?? (4) VLAN’ы не добавляют к портам бриджа (в бридж-порты входят только etherports и wlan. Удалите add bridge=bridge interface=VMOTION_VLAN50 add bridge=bridge interface=MGMT_VLAN100 add bridge=bridge interface=PROD_VLAN200 add bridge=bridge interface=EXTRA_VLAN60 add bridge=bridge interface=BASE_VLAN (5) Ether1 не является частью бриджа и никак не связан с management VLAN. Удалите add bridge=bridge tagged=bridge,ether1 vlan-ids=99 (6) Нет, интерфейсами для адресов являются VLAN’ы… add address=192.168.99.1/24 interface=bridge network=192.168.99.0 add address=192.168.99.1/24 interface=vlan99 network=192.168.99.0 (7) Самые глупые правила, что я видел уже давно… В каком темном уголке YouTube ты это увидел? Очевидно, что ты не понимаешь правила файрвола. Посмотри на первое правило: ты разрешаешь ВСЁ на свой роутер с WAN и LAN сторон. Помимо огромной проблемы с безопасностью, если это твой замысел, зачем тогда вообще заморачиваться с остальными правилами входящего трафика? Они никогда не сработают, так как ты уже поймал весь трафик. /ip firewall filter add action=accept chain=input (8) Ещё один пример непонимания правил файрвола… Помимо того, что остальные правила никогда не будут выполняться, посмотри сюда. Известно, что базовый VLAN (vlan99) входит в список интерфейсов VLAN, так что вторым правилом ниже ты ничего не добился. /interface list member add interface=BASE_VLAN list=VLAN add action=accept chain=input comment=“Allow VLAN” in-interface-list=VLAN add action=accept chain=input comment=“Allow Base_Vlan Full Access” in-interface=BASE_VLAN (9) Понятия не имею, для чего вообще эта настройка source NAT ??? /ip firewall nat add action=masquerade chain=srcnat comment=“Default masquerade” out-interface-list=all in/out-interface сопоставление невозможно, когда интерфейс (ether1) является slave — используйте master (bridge) add action=masquerade chain=srcnat out-interface=ether1 add action=masquerade chain=srcnat out-interface=bridge (10) Обычно это был бы твой список интерфейсов BASE. /ip neighbor discovery-settings set discover-interface-list=!dynamic (11) Нет привычной строки /tool mac-server mac-winbox set allowed-interface-list=BASE Все умные устройства должны получать IP в подсети BASE.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры