http://mikrotik.moscow Новое в теме Как настроить маршрутизацию между мостом и подсетью? форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 05 Aug 2026 03:00:45 -0400 Как настроить маршрутизацию между мостом и подсетью? RouterOS в форуме RouterOS.
Это лучшая инструкция по новому способу настройки мостового VLAN, если понадобится. http://forum.mikrotik.com/t/using-routeros-to-vlan-your-network/126489/1
21.06.2020 11:21:00, anav.]]> http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396045 http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396045 Sun, 21 Jun 2020 11:21:00 -0400 RouterOS Как настроить маршрутизацию между мостом и подсетью? RouterOS в форуме RouterOS.
Прежде всего, большое спасибо, большая часть этого для меня вполне логична. Ранее в этой ветке вы написали: «Я понимаю, что предложение — не использовать VLAN, но в принципе возможно ли использовать VLAN с этим?» Это не очень важный вопрос, просто хочу лучше понять тему. Во-вторых, кто-то советовал мне настроить несколько VLAN на гипервизоре: одну для управляющих сетей и ещё одну-две для ВМ, в зависимости от того, как я хочу их изолировать. Звучит заманчиво. Я понимаю, что раньше ничего подобного не упоминал и не хочу выглядеть как человек, который постоянно меняет мнение, но я учусь и не всегда знаю, что возможно. А теперь, узнав о такой опции, она кажется вполне разумной.

Мне сказали, что гипервизор может выступать как управляемый коммутатор с точки зрения сети и поддерживать тегирование нескольких VLAN. Это можно сделать со стороны Mikrotik? Понял, попробую. Интересно. Нашёл Manual: Basic VLAN switching, но кажется, что он относится только к железным коммутаторам, а у меня такого нет: обе мои Mikrotik — роутеры. В частности, они не поддерживают команду /interface ethernet switch egress-vlan-tag. Как тогда настроить транк на роутере? Почему, по вашему мнению, нужны именно 3 VLAN?

Не совсем понимаю, что значит поколение. Как это узнать? У меня hEX. На корпусе указано RB750Gr3. Слово «generation» нигде на наклейках нет, или я не могу его найти. Там указан серийник и MAC — и всё. Что именно мне нужно искать?

Как всегда, спасибо за помощь!
21.06.2020 10:33:00, zespri.]]> http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396044 http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396044 Sun, 21 Jun 2020 10:33:00 -0400 RouterOS Как настроить маршрутизацию между мостом и подсетью? RouterOS в форуме RouterOS.
Хорошо, вот мои мысли: TL — это неуправляемый свич, так что он будет частью сети без тегов. hEX можно настроить как управляемый свич, но поскольку всё, что к нему подключено, будет в одном LAN-сегменте (Home LAN), настраивать VLANы не обязательно. Единственное устройство, которое должно быть в отдельном LAN-сегменте — это Dell, но он будет напрямую подключён к основному роутеру (hAP ac). По моему мнению, с вашими текущими задачами играться с VLAN-ами не стоит, если только вы не хотите с ними познакомиться. Достаточно будет настроить hAP ac так:

- создать бридж для Home LAN и добавить туда ether2-4 плюс WLAN  
- настроить IP на ether1 (WAN), ether5 (VM LAN) и на бридже (Home LAN)  
- настроить фаервол  

Лучше всего начать с дефолтной конфигурации, где ether1 — WAN, а всё остальное — LAN, с соответствующими правилами фаервола. Потом можно убрать ether5 из бриджа и сделать нужную конфигурацию. Пока вы явно не добавите ether5 в список LAN-интерфейсов, фаервол уже будет блокировать соединения между VM и Home LAN. hEX стоит настроить как простой (dumb) свич. Если решите поиграться с VLAN-ами, возвращайтесь — подкинем идеи, как это делать. В общих чертах (IP-адреса, маршруты, фаервол) настройка будет такая же, только интерфейсы будут другими (бриджи на обоих MikroTik охватят все интерфейсы, включая ether1 и ether5, будет минимум 3 VLANа, некоторые порты будут транками, а большинство — портами доступа для одного из VLANов и т.д.). Кстати, о каком поколении hEX идёт речь? В зависимости от этого hEX может не поддерживать аппаратное ускорение трафика внутри VLANа, из-за чего будет падать производительность. hAP ac с этим проблем не должно быть. С другой стороны, он может лучше подойти на роль основного роутера... Пока вы остаётесь на настройке без VLAN, оба устройства смогут аппаратно ускорять большую часть трафика LAN-to-LAN.
21.06.2020 09:30:00, mkx.]]> http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396043 http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396043 Sun, 21 Jun 2020 09:30:00 -0400 RouterOS Как настроить маршрутизацию между мостом и подсетью? RouterOS в форуме RouterOS.
Спасибо за это. Что касается требований, я, кажется, перечислил их пару сообщений выше. К сожалению, я не очень понимаю, как перейти от теории к конкретным изменениям на устройствах. Думаю, физическое решение особо не изменится, потому что способов подключить мои несколько устройств немного. В общем, физический дизайн скорее всего останется почти без изменений. Вот обновленная схема:

Patch Panel – расположен в сетевом шкафу, кабели идут в остальные комнаты. Все розетки должны быть частью домашней сети, кроме Dell Precision, который будет использоваться и для гипервизора, и для виртуальных машин, и будет в сети для VM.

TP-LINK TL-SG1008D – находится в сетевом шкафу, простой коммутатор для связи маршрутизатора с Patch Panel.

Microtik hAP ac – в сетевом шкафу, главный роутер, подключённый к провайдеру, с Wi-Fi для всех беспроводных устройств в доме. Все они входят в домашнюю сеть.

Microtik hEX – тоже в сетевом шкафу, раньше планировался для отдельной сети VM, сейчас может использоваться как обычный свитч. Если нужно, чтобы VM получили доступ через него (это не показано на схеме), можно подключить один из его портов к порту 8 Patch Panel. Хотя я не уверен, есть ли от этого преимущества.

Интернет-провайдер – терминал ONT в сетевом шкафу.

Fingbox – физическое устройство в сетевом шкафу.

shkaf – маленький сервер в сетевом шкафу.

alex2020-eth – компьютер в другой части дома, которому нужен проводной доступ, но рядом нет свободной розетки. Подключён Ethernet-кабелем, протянутым вдоль стены.

Dell Precision – сервер для гипервизора и виртуальных машин, должен быть в отдельной сети. Находится в другой комнате, подключён через настенную розетку.

Цели:

- Dell Precision находится в сети VM LAN, все остальные – в домашней сети.
- Нет прямого доступа из VM LAN в домашнюю сеть, но смотри ниже.
- Все DNS-запросы к внешним серверам должны идти через главный роутер и там разрешаться. Это касается IP-адресов из VM LAN.
- Порты из VM LAN должны иметь возможность избирательно открываться для домашней сети и интернета.
- L2TP VPN должен обеспечивать доступ либо к обеим сетям, либо только к VM LAN в зависимости от того, как настраивается подключение пользователя.

Сейчас всё это не жёсткие требования, а скорее список желаний, который хотелось бы реализовать. Схема и подключения могут меняться. Думаю, что большая часть текущего решения вполне пригодна, но если она мешает, я не прочь отказаться от неё – просто нет смысла делать всё с нуля, если итог будет примерно тот же. Если получится, можно использовать части уже существующего оборудования. При этом я не против и изменений. У меня есть запасные кабели, и при необходимости могу достать ещё.

Буду признателен за любую помощь с настройкой. Особенно с VLAN-ами у меня не очень понятно, я не до конца понимаю, как это работает.

Он уже доказал не один раз, что я ни капли в этом не сомневаюсь!
20.06.2020 22:59:00, zespri.]]> http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396042 http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396042 Sat, 20 Jun 2020 22:59:00 -0400 RouterOS Как настроить маршрутизацию между мостом и подсетью? RouterOS в форуме RouterOS.
Я просто наслаждаюсь mkx и vlan! Ты в надежных руках, zespri!!
20.06.2020 14:34:00, anav.]]> http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396041 http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396041 Sat, 20 Jun 2020 14:34:00 -0400 RouterOS Как настроить маршрутизацию между мостом и подсетью? RouterOS в форуме RouterOS.
Хотя я быстро пробежался по предыдущим сообщениям, должен признаться, что мне не вполне понятно, как должна выглядеть логическая топология вашей сети. Поскольку вы готовы (и имеете возможность) что-то менять, возможно, это отличный момент, чтобы подумать о требованиях (например, сколько LAN-сегментов вы хотите иметь и что побуждает отделять каждый из них от остальных). Когда это станет ясно, спроектируйте физическое решение, учитывая имеющееся оборудование. На этом этапе не стоит ориентироваться на существующую топологию, обращайте внимание только на физические ограничения, если они есть (например, расположение клиентских устройств и максимальное количество сетевых кабелей, доступных для подключения разных точек).
20.06.2020 14:14:00, mkx.]]> http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396040 http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396040 Sat, 20 Jun 2020 14:14:00 -0400 RouterOS Как настроить маршрутизацию между мостом и подсетью? RouterOS в форуме RouterOS.
Думал, я уже объяснил это выше, но, видимо, не очень хорошо. Настройка, о которой мы говорили в начале темы и которую я реализовал с вашей помощью, — я использую её с 2018 года. Схема выше тоже относится к тому времени, и кроме коробки Powerage и сама настройка, и схема до сих пор актуальны. Раньше у меня был Dell Powerage для запуска гипервизора, но недавно мне пришлось его вернуть, и я взял Dell Precision вместо него. Сетевой аспект будет немного другим, потому что у Powerage было 3 порта, а у Precision только один. С другой стороны, новая коробка значительно мощнее, так что я планирую поделиться ей с несколькими друзьями, которые заинтересованы.

Для меня это повод не только улучшить безопасность, но и узнать побольше о VLAN и о том, как их настраивать. Вместо того чтобы заводить новую тему и всё объяснять повторно, я подумал, что логичнее продолжить с того места, где остановился. Надеюсь, теперь всё ясно. Я открыт к любым предложениям, и если вы думаете, что стоит открыть новую тему, я не против, просто сам в этом не видел смысла. Спасибо за ответ.

Или изменить конфигурацию, как я предлагал два года назад. Если я правильно понял, о каком изменении вы говорите, — это настройка VLAN. И как раз этим я сейчас и хочу заняться. Тогда это казалось слишком сложным, но я освоился с текущей настройкой и теперь увереннее хочу двигаться дальше.

Несколько месяцев назад я прочитал статью, где говорилось, что VLAN — это просто способ создать новый широковещательный домен, и что это то же самое, что использовать физический коммутатор, только без кабелей и дополнительного оборудования, потому что всё виртуально. Это значит, что функционально, есть у тебя два отдельных широковещательных домена через VLAN или через подсети — разницы нет.

Меня это запутало, потому что вы говорили, что одно из ограничений, которое мы обсуждали тогда, можно обойти с помощью VLAN. Значит, они не полностью равноценны по функционалу. Поэтому я решил, что первым шагом в настройке VLAN стоит разобраться, почему VLAN может сделать то, чего мы иначе не смогли добиться.

Если вы сможете мне это объяснить — было бы здорово. С другой стороны, если считаете, что я смотрю на это совсем неправильно, я с радостью последую за вашим советом и начну с другого момента. Большое спасибо, что снова ответили, я очень ценю ваше время и помощь.
20.06.2020 10:45:00, zespri.]]> http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396039 http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396039 Sat, 20 Jun 2020 10:45:00 -0400 RouterOS Как настроить маршрутизацию между мостом и подсетью? RouterOS в форуме RouterOS.
Физически — да, но логически это не обязательно так, хотя во многом зависит от конфигурации hAP ac. В стандартной настройке порты ether2–ether5 объединены в мост, а мост — это L2-устройство, прозрачное для L3 (а в нашем случае — это IP). Это значит, что хоть физически трафик между, скажем, Shkaf и любым устройством, подключённым к TP-link, проходит через hAP ac, IP-уровень (маршрутизатор) hAP ac этого трафика не видит. Есть несколько способов заставить этот трафик проходить через IP-уровень hAP ac (например, с помощью файрвола) или изменить конфигурацию, как я советовал два года назад. Интересно, что заставило тебя воскресить эту древнюю тему?
20.06.2020 09:45:00, mkx.]]> http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396038 http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396038 Sat, 20 Jun 2020 09:45:00 -0400 RouterOS Как настроить маршрутизацию между мостом и подсетью? RouterOS в форуме RouterOS.
Итак, я попытался нарисовать диаграмму выше и, перечитывая это, у меня возник вопрос. Ты написал: ответы будут отправляться (виртуальной) машиной на их шлюз по умолчанию (hAP ac lite по адресу 192.168.89.1), который, в свою очередь, знает, как доставить их напрямую до целевых машин (так как у него есть маршрут к подсети 192.168.88.x напрямую). Значит, основной роутер никогда не увидит эти ответы, и его состояние отслеживания соединений будет испорчено.

Во-первых, я предполагаю, что "(hAP ac lite по адресу 192.168.89.1)" должно быть "(hEX по адресу 192.168.89.1)". Если это так, то, если внимательно посмотреть на диаграмму, заметишь, что hEX подключён к остальной сети только через hAP ac lite. Я не понимаю, как может быть правдой, что основной роутер никогда не увидит эти пакеты—ведь другого пути для них, чтобы добраться до других устройств, просто нет, кроме как через основной роутер?

Исходя из наблюдений, всё, что ты сказал, правда, мне просто хотелось бы понять, как именно работает этот момент. Заранее спасибо!
20.06.2020 00:16:00, zespri.]]> http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396037 http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396037 Sat, 20 Jun 2020 00:16:00 -0400 RouterOS Как настроить маршрутизацию между мостом и подсетью? RouterOS в форуме RouterOS.
Извиняюсь, мои навыки рисования оставляют желать лучшего, но диаграмма ниже отражает то, о чём шла речь выше: здесь Mikrotik hAP ac создал беспроводную сеть, к которой подключено большинство устройств, она работает в подсети 192.168.88.*, как описано выше в обсуждении. Патч-панель разводит Ethernet-кабели по всему дому, и именно так построено проводное подключение для многих устройств. Порт 4 на Mikrotik hAP ac и порт 4 на Mikrotik hEX представляют собой физические устройства, напрямую подключённые к роутеру. Powerage-бокс раньше был домашней лабораторией: на нём работал гипервизор, были разделены порты для управления и для ВМ, а отдельный порт использовался для idrac — управления питанием. Сейчас этого Powerage у меня нет, но я собираюсь заменить его на рабочую станцию с одним Ethernet-портом, которая тоже будет запускать гипервизор. Один Ethernet-порт будет использоваться и виртуальными машинами, и для управления. Сейчас на Mikrotik hAP ac настроен L2TP VPN, благодаря этой ветке. Что я хочу сделать: изолировать гипервизор и ВМ в отдельную сеть (192.168.89.*). Хочу, чтобы интернет и DNS (который сейчас на 192.168.88.1) были доступны из сети 192.168.89.*. Но при этом не хочу, чтобы обычный доступ с 192.168.89.* был возможен к 192.168.88.*. Однако хочу иметь возможность заходить с 192.168.88.* в 192.168.89.*, где это нужно, а также перенаправлять определённые открытые порты с интернета на 192.168.88.1 к разным ВМ в 192.168.89.*. У меня есть особые требования по DNS (которые сейчас меня вполне устраивают): все DNS-запросы (порт 53) независимо от внешнего IP отправляются на IP, который я настроил. Я не хочу потерять эту возможность, и это должно работать как для 192.168.88.*, так и для 192.168.89.*.

/ip firewall nat
add action=redirect chain=dstnat dst-port=53 protocol=tcp
add action=redirect chain=dstnat dst-port=53 protocol=udp

Всё это в основном работало с моей старой настройкой (описанной в этой ветке), но изоляции было меньше, чем мне хотелось (см. выше про доступ без установления соединения). Думаю, пришло время заняться настройкой VLAN, если она решит мою задачу. Также хочу иметь разных пользователей VPN: одни с полным доступом, как сейчас, другие — ограничены только сетью 192.168.89.*. Так я смогу дать кому-то доступ для работы с гипервизором и ВМ, но не к остальной домашней сети. Этот пост служит общим ориентиром и дает контекст того, что я делаю.

Сейчас, как я писал раньше, пытаюсь понять, как и почему VLAN поможет мне, то есть чем она будет лучше текущей схемы без VLAN. Думаю, что буду настраивать VLAN по такому принципу:

Когда настраиваешь routerboard, нужно сделать несколько шагов: сначала настроить выбранные Ethernet-порты с разрешённым набором VLAN ID, затем добавить «vlan interfaces» — это специальные интерфейсы, которые позволяют задать функционал routerboard для конкретных VLAN. Когда такие «vlan interfaces» созданы, с ними работают как с любыми другими интерфейсами (ethernet, wlan и т.д.). Например, можно назначить отдельный IP этому интерфейсу (и тогда роутер будет доступен по этому IP из устройств выбранного VLAN), можно запустить DNS-сервер на vlan-интерфейсе. DHCP можно было бы тоже включить, но ты сказал, что IP у виртуалок настроены статически. Для текущей (то есть неотмеченной VLAN – untagged) сети нужно сделать кое-какие настройки, чтобы она работала после того, как включишь vlan-filtering на мосту, тогда мост перестанет быть «глупым свитчем» и станет «умным». Подобную настройку VLAN нужно будет сделать и на обоих routerboard. После этого hAP ac Lite будет работать скорее как умный свитч, а маршрутизацией и файрволом для обеих LAN-сетей будет заниматься основной роутер.

Мне ещё предстоит разобраться с деталями, но буду двигаться постепенно, как только пойму общую идею.
20.06.2020 00:10:00, zespri.]]> http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396036 http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396036 Sat, 20 Jun 2020 00:10:00 -0400 RouterOS Как настроить маршрутизацию между мостом и подсетью? RouterOS в форуме RouterOS.
@mkx Спасибо ещё раз за объяснение про VLAN. У меня появились изменения в железе, и, похоже, настало время, наконец, настроить VLAN. Но у меня есть вопрос: в чём преимущество VLAN в моём случае (ситуация почти не изменилась, только пара мелких деталей)? Что VLAN позволяет делать, чего сложно добиться просто разными подсетями, как я/мы пытались раньше (как выше), и почему?
19.06.2020 23:00:00, zespri.]]> http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396035 http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396035 Fri, 19 Jun 2020 23:00:00 -0400 RouterOS Как настроить маршрутизацию между мостом и подсетью? RouterOS в форуме RouterOS.
Всем привет! У меня есть hAP ac Lite, который я настроил как коммутатор: создал мост и добавил в него порты ether2-ether5 с включённым hw offload. Этот «коммутатор» подключён через, скажем, ether4, но, насколько я понимаю, это не должно иметь значения, так как «корень» или uplink можно воткнуть куда угодно. Итак, ether4 подключён к обычному коммутатору tp-link, который, в свою очередь, подключён к другому Mikrotik — hAP ac, который работает как pppoe клиент у моего провайдера. У него стандартная сеть 192.168.88.0/24 с DHCP, DNS и прочим.

Я хочу подключить ether1 на hAP ac Lite к виртуальному коммутатору, к которому будут подключены виртуальные машины. Хочу, чтобы они находились в отдельной сети — например 192.168.89.0/24. Виртуальные машины будут с статическими IP и DNS 8.8.8.8, поэтому DHCP и DNS для них не нужны. Я назначил ether1 адрес 192.168.89.1, а на виртуальной машине настроил статический IP 192.168.89.2, шлюз 192.168.89.1 и DNS 8.8.8.8.

Полагаю, часть настроек отсутствует, потому что я не могу пропинговать 192.168.88.1 с виртуальной машины, не могу разрешить DNS и вообще выйти в интернет. Думаю, что на hAP ac Lite нет нужных маршрутов между мостом и ether1. Моя цель — чтобы виртуалки были в отдельной подсети и не имели доступа к устройствам основной сети 192.168.88.2-255, но при этом имел доступ в интернет через 192.168.88.1 и провайдера.

Также планирую пробросить порты на этих виртуальных машинах, чтобы внешние подключения могли к ним пройти:
ISP → hAP ac → tp-link → hAP ac lite → виртуальный роутер → ВМ

Возможно, я делаю всё не так. Как лучше настроить? Спасибо заранее.

P.S. Наверное, уже заметно, что я не очень опытен в сетях, никогда не работал с Cisco или другими системами — только с Mikrotik дома. Я обычно могу искать информацию, просто иногда чувствую, что мне не хватает базового понимания, как на Mikrotik работает маршрутизация.

P.P.S. Мне тут указали, что конфигурация «умный коммутатор → простой коммутатор → умный коммутатор» не будет работать. Это нормально, я могу подключить hAP ac Lite напрямую к hAP ac без простого коммутатора, если это поможет.
17.09.2018 22:21:00, zespri.]]> http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396034 http://mikrotik.moscow/forum/forum57/85398-kak-nastroit-marshrutizatsiyu-mezhdu-mostom-i-podsetyu/message396034 Mon, 17 Sep 2018 22:21:00 -0400 RouterOS