http://mikrotik.moscow Новое в теме Как включить фильтрацию Bridge VLAN в правиле беспроводного списка доступа? форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Mon, 03 Aug 2026 07:51:07 -0400 Как включить фильтрацию Bridge VLAN в правиле беспроводного списка доступа? RouterOS в форуме RouterOS.
Настоящий trunk-порт выглядел бы примерно так (в примере я использую VLAN ID 10, 20 и 30 и порт etherX):

/interface bridge port  
add bridge=bridge interface=etherX frame-types=admit-only-vlan-tagged ingress-filtering=yes  

/interface bridge vlan  
add bridge=bridge tagged=etherX vlan-ids=10,20,30  

Имейте в виду, что в ROS настройка VLAN на мосту в основном разделена на входящий и исходящий трафик. Раздел bridge port в основном отвечает за входящий трафик, а bridge vlan — за исходящий. Главные здесь свойства — frame-types=admit-only-vlan-tagged и ingress-filtering=yes. Первое заставляет мост игнорировать все неотмеченные VLAN кадры и гарантирует, что порт действительно является trunk-портом при входящем трафике. Второе же связывает настройку для входящего и исходящего трафика, заставляя мост отбрасывать помеченные кадры с VLAN ID, которые не разрешены для выхода через этот порт (работает и с отмеченными, и с неотмеченными кадрами) — это скорее настройка безопасности порта.

Для исходящего трафика достаточно, чтобы порт не значился в качестве неотмеченного участника ни одного из VLAN… что и делает порт настоящим trunk-портом на выходе.

Итог такой: даже если порт (неявно) установлен с pvid=1, он всё равно отфильтрует все неотмеченные кадры на входе из-за явной настройки. Он также отбросит кадры с тегами VLAN, которые не входят в разрешённый список для выхода (то есть не 10, не 20 и не 30). При этом порт не будет передавать никакие неотмеченные кадры (потому что он не указан как неотмеченный участник ни одного VLAN в /interface bridge vlan) и будет пропускать только кадры, помеченные определёнными VLAN ID.
11.01.2022 07:26:00, mkx.]]> http://mikrotik.moscow/forum/forum57/83672-kak-vklyuchit-filtratsiyu-bridge-vlan-v-pravile-besprovodnogo-spiska-dostupa/message378917 http://mikrotik.moscow/forum/forum57/83672-kak-vklyuchit-filtratsiyu-bridge-vlan-v-pravile-besprovodnogo-spiska-dostupa/message378917 Tue, 11 Jan 2022 07:26:00 -0500 RouterOS Как включить фильтрацию Bridge VLAN в правиле беспроводного списка доступа? RouterOS в форуме RouterOS.
После прочтения https://help.mikrotik.com/docs/display/ROS/Bridge+VLAN+Table у меня сложилось впечатление, что pvid игнорируется на транковых портах. Интересно, какая конфигурация нужна, чтобы назначить порт исключительно транковым (то есть сбрасывать все нетэгированные кадры на входе и, желательно, допускать только очень конкретные тэгированные).
11.01.2022 00:50:00, Kentzo.]]> http://mikrotik.moscow/forum/forum57/83672-kak-vklyuchit-filtratsiyu-bridge-vlan-v-pravile-besprovodnogo-spiska-dostupa/message378916 http://mikrotik.moscow/forum/forum57/83672-kak-vklyuchit-filtratsiyu-bridge-vlan-v-pravile-besprovodnogo-spiska-dostupa/message378916 Tue, 11 Jan 2022 00:50:00 -0500 RouterOS Как включить фильтрацию Bridge VLAN в правиле беспроводного списка доступа? RouterOS в форуме RouterOS.
Какой PVID ты бы порекомендовал выставить на порту моста для интерфейса WLAN? Советовал бы выбрать значение из VLAN интерфейса и его клиентов или оставить по умолчанию — 1? Судя по всему... я бы оставил PVID=1. (Мост будет снимать метки со всего трафика, который принадлежит PVID. Если выбрать одно из VLAN интерфейса, то именно оно будет размечаться.) Как сказал @XVO: «В твоём сценарии стоит рассматривать wlan-интерфейс просто как ещё один транковый порт: с тегами для всех нужных VLAN». Держи его как транковый интерфейс с трафиком только с тегами. Не делай его гибридным — это только усложнит задачи. И так понимается нелегко.

Говоря проще, я вижу WLAN-интерфейс как VLAN-осознающее и поддерживающее устройство (как это обычно бывает со свитчами или серверами, которые работают с несколькими VLAN). Функция фильтрации VLAN на мосту должна быть настроена так, чтобы пропускать ВСЕ VLAN ID, которые указаны в списке Access List. (В том числе и дефолтный VLAN беспроводной сети, если он используется с тегом.)

Access List позволяет указывать режим VLAN как tagged и назначать конкретный VLAN ID на каждое правило. Эти правила могут быть привязаны к конкретному MAC-адресу или быть более общими. Тот же Access List поддерживает Private PSK (PPSK). Запрос @Kentzo на назначение VLAN, основанное только на PPSK (без указания MAC-адреса в правиле), пока не реализуем, так как весь набор правил не применяется.

Вывод: пока нет DPSK или ePSK, которые позволили бы выбирать разные VLAN на основе используемого PPSK даже для одного и того же устройства.
11.01.2022 00:26:00, bpwl.]]> http://mikrotik.moscow/forum/forum57/83672-kak-vklyuchit-filtratsiyu-bridge-vlan-v-pravile-besprovodnogo-spiska-dostupa/message378915 http://mikrotik.moscow/forum/forum57/83672-kak-vklyuchit-filtratsiyu-bridge-vlan-v-pravile-besprovodnogo-spiska-dostupa/message378915 Tue, 11 Jan 2022 00:26:00 -0500 RouterOS Как включить фильтрацию Bridge VLAN в правиле беспроводного списка доступа? RouterOS в форуме RouterOS.
Для меня это слишком сложно! Насколько я знаю, умная точка доступа может работать с одним VLAN на одну WLAN (или vWLAN). Если у вас есть способ запускать несколько VLAN на одном радио — пожалуйста, используйте. По моему ограниченному опыту, для каждого моста (Wi-Fi) порту назначается pvid, совпадающий с номером VLAN. Это логично, потому что устройства множества беспроводных пользователей не понимают ничего о VLAN, и их трафик при входе на WLAN-порт помечается тегом, а при выходе обратно к пользователям этот тег снимается. В этом и заключается назначение настройки pvid.
10.01.2022 23:35:00, anav.]]> http://mikrotik.moscow/forum/forum57/83672-kak-vklyuchit-filtratsiyu-bridge-vlan-v-pravile-besprovodnogo-spiska-dostupa/message378914 http://mikrotik.moscow/forum/forum57/83672-kak-vklyuchit-filtratsiyu-bridge-vlan-v-pravile-besprovodnogo-spiska-dostupa/message378914 Mon, 10 Jan 2022 23:35:00 -0500 RouterOS Как включить фильтрацию Bridge VLAN в правиле беспроводного списка доступа? RouterOS в форуме RouterOS.
Моё понимание конфигурации, которую хотел johnsilver [1], следующее: интерфейс wlan сам по себе настроен как тегированный (/interface wireless set vlan-id=… vlan-mode=…). В такой настройке он будет ставить и снимать теги перед роумингом. Но это также значит, что пакеты, поступающие на wlan из bridge, должны быть тегированными. Другими словами: bridge ← тегированные → wlan ((( нетегированные ))) клиенты. Ты предлагаешь [2] игнорировать (отключить) настройку VLAN на интерфейсе wlan и сконфигурировать только bridge: bridge ← нетегированные → wlan ((( нетегированные ))) клиенты. Вариант [2] менее гибкий по сравнению с [1], потому что не позволяет использовать несколько VLAN на одном SSID (например, через списки доступа беспроводных интерфейсов). Я не знаю, единственная ли это разница, стоит ли предпочесть [2] перед [1], если это не необходимо, и отличается ли поведение в зависимости от чипа. Но у меня остаётся вопрос: если я иду по пути [1] и ожидаю несколько VLAN на одном беспроводном интерфейсе, какой pvid мне нужно назначить через /interface bridge port? Стоит ли оставить его без изменений, учитывая, что значение станет неважным из-за фильтрации admit-only-vlan-tagged?
10.01.2022 20:20:00, Kentzo.]]> http://mikrotik.moscow/forum/forum57/83672-kak-vklyuchit-filtratsiyu-bridge-vlan-v-pravile-besprovodnogo-spiska-dostupa/message378913 http://mikrotik.moscow/forum/forum57/83672-kak-vklyuchit-filtratsiyu-bridge-vlan-v-pravile-besprovodnogo-spiska-dostupa/message378913 Mon, 10 Jan 2022 20:20:00 -0500 RouterOS Как включить фильтрацию Bridge VLAN в правиле беспроводного списка доступа? RouterOS в форуме RouterOS.
Прежде всего нужно понять, что именно вы настраиваете…

/interface bridge vlan add bridge=bridge-local tagged=bridge-local,wlan1 vlan-ids=10  
/interface bridge port bridge=bridge-local ingress-filtering=yes frame-types=admit-only-vlan-tagged interface=wlan1  

(1) Беспроводная локальная сеть (WLAN) в 99,9% случаев — это порт доступа, а не транковый порт, и, следовательно, он должен быть нетегированным. Если только вы не хотите, чтобы все устройства, подключённые к этой WLAN, могли читать VLAN-теги???  

(2) Та же проблема!!! На самом деле обычно всё наоборот — frame-types должен быть priority-and-untagged.  

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++­++++++++++++++++++++++++++++  

Просто не следуйте тому, что написал Johnsilver выше, а лучше учитесь настраивать построчно.  

Начните с этой статьи, она действительно хорошая.  
http://forum.mikrotik.com/t/using-routeros-to-vlan-your-network/126489/1
10.01.2022 15:14:00, anav.]]> http://mikrotik.moscow/forum/forum57/83672-kak-vklyuchit-filtratsiyu-bridge-vlan-v-pravile-besprovodnogo-spiska-dostupa/message378912 http://mikrotik.moscow/forum/forum57/83672-kak-vklyuchit-filtratsiyu-bridge-vlan-v-pravile-besprovodnogo-spiska-dostupa/message378912 Mon, 10 Jan 2022 15:14:00 -0500 RouterOS Как включить фильтрацию Bridge VLAN в правиле беспроводного списка доступа? RouterOS в форуме RouterOS.
Какое pvid вы бы порекомендовали установить на порт моста для интерфейса wlan? Вы бы посоветовали выбрать значение из VLAN интерфейса и его клиентов или оставить 1 (по умолчанию)?
09.01.2022 22:07:00, Kentzo.]]> http://mikrotik.moscow/forum/forum57/83672-kak-vklyuchit-filtratsiyu-bridge-vlan-v-pravile-besprovodnogo-spiska-dostupa/message378911 http://mikrotik.moscow/forum/forum57/83672-kak-vklyuchit-filtratsiyu-bridge-vlan-v-pravile-besprovodnogo-spiska-dostupa/message378911 Sun, 09 Jan 2022 22:07:00 -0500 RouterOS Как включить фильтрацию Bridge VLAN в правиле беспроводного списка доступа? RouterOS в форуме RouterOS.
Привет! Я пытаюсь понять, как работает механизм переопределения VLAN тегов (описанный здесь — https://wiki.mikrotik.com/wiki/Manual:Interface/Wireless#Vlan_tag_override) на стандартном беспроводном интерфейсе с VLAN ID 1 и с использованием списков доступа. Идея в том, чтобы иметь один SSID, но управлять доступом плавно с помощью списков доступа на уровне беспроводного интерфейса.

Я экспериментирую с дефолтным беспроводным интерфейсом (wlan1), который добавлен в бридж (bridge-local) вместе с другими LAN интерфейсами (ether1, ether2 и т.д.), то есть никаких дополнительных виртуальных беспроводных интерфейсов не создавал. Создал элемент в списке доступа на интерфейсе wlan1, сменил у него VLAN ID на 10, а затем связал это с вновь созданным VLAN интерфейсом (vlan10), добавил базовые настройки IP — DHCP, маршрутизацию, firewall и так далее. Всё работает нормально.

Вопрос в том, как в такой конфигурации работает фильтрация VLAN в бридже и как её можно при необходимости включить?
05.04.2021 17:19:00, johnsilver.]]> http://mikrotik.moscow/forum/forum57/83672-kak-vklyuchit-filtratsiyu-bridge-vlan-v-pravile-besprovodnogo-spiska-dostupa/message378910 http://mikrotik.moscow/forum/forum57/83672-kak-vklyuchit-filtratsiyu-bridge-vlan-v-pravile-besprovodnogo-spiska-dostupa/message378910 Mon, 05 Apr 2021 17:19:00 -0400 RouterOS