Mikrotik.moscow [тема: Проблема с VLAN Access портом на коммутаторе RB3011]

Проблема с VLAN Access портом на коммутаторе RB3011

Wed, 19 Aug 2020 17:55:00 -0400

Проблема с VLAN Access портом на коммутаторе RB3011 RouterOS в форуме RouterOS.
Твоя конфигурация, как указано в оригинальном посте, не соответствует рекомендациям из статей в вики Mikrotik, так что я бы сначала пересмотрел её, внес необходимые изменения и заново протестировал. Чтобы не искать в Гугле, вот ссылки: https://wiki.mikrotik.com/wiki/Manual:Basic_VLAN_switching#Other_devices_with_built-in_switch_chip https://wiki.mikrotik.com/wiki/Manual:Switch_Chip_Features#Setup_Examples
19.08.2020 17:55:00, CZFan.

Проблема с VLAN Access портом на коммутаторе RB3011

Wed, 19 Aug 2020 16:55:00 -0400

Проблема с VLAN Access портом на коммутаторе RB3011 RouterOS в форуме RouterOS.
Прошёл уже больше года, а у меня всё ещё проблема с access-портами — трафик попадает на мост. У меня один мост, и если коснуться порта, видно, что часть трафика вообще без vlan-тега. Исправляйте, Mikrotik. Мои supout-файлы у вас уже давно.
19.08.2020 16:55:00, chriscolden.

Проблема с VLAN Access портом на коммутаторе RB3011

Fri, 01 Mar 2019 19:23:00 -0500

Проблема с VLAN Access портом на коммутаторе RB3011 RouterOS в форуме RouterOS.
Хорошая причина оставаться при использовании VLAN на одном мосту. Медленнее, но зато без утечек и ошибок — это лучше. Черепаха выигрывает гонку!!!
01.03.2019 19:23:00, anav.

Проблема с VLAN Access портом на коммутаторе RB3011

Fri, 01 Mar 2019 16:19:00 -0500

Проблема с VLAN Access портом на коммутаторе RB3011 RouterOS в форуме RouterOS.
Извиняюсь за поздний ответ. Проблема именно в свитче, а не в бридже. Я уже говорил с поддержкой mikrotik, и они смогли воспроизвести эту ошибку. Подтвердили, что передадут разработчикам, но когда исправят — неизвестно. Крис
01.03.2019 16:19:00, chriscolden.

Проблема с VLAN Access портом на коммутаторе RB3011

Thu, 18 Oct 2018 06:27:00 -0400

Проблема с VLAN Access портом на коммутаторе RB3011 RouterOS в форуме RouterOS.
Я провёл дополнительные тесты — изменил правила фаервола, чтобы отлавливать все пакеты, которые «просачиваются» из VLAN в мастер-мост. Общий уровень просачивания — около 0,1% от всех пакетов. Хорошая новость — не удалось воспроизвести проблему в контролируемой среде, вроде этой:

Тестовая установка:
[MT, 10.50.0.2>] <-Ether-> [ VLAN 60 access port>] <-Ether-> [MT, 10.60.0.2>]

Тест между 10.50.0.2 и 10.60.0.2 для проверки нагрузки.

Конфигурация тестируемого устройства (важная часть):

/interface bridge
add name=bridge-master protocol-mode=none

/interface bridge port
add bridge=bridge-master interface=ether1
add bridge=bridge-master interface=ether5

/interface vlan
add interface=bridge-master name=vlan-50 vlan-id=50
add interface=bridge-master name=vlan-60 vlan-id=60

/interface ethernet switch port
set 0 default-vlan-id=50 vlan-header=always-strip vlan-mode=secure
set 4 default-vlan-id=60 vlan-header=always-strip vlan-mode=secure
set 4 vlan-header=add-if-missing vlan-mode=secure

/interface ethernet switch vlan
add independent-learning=yes ports=switch1-cpu,ether1 switch=switch1 vlan-id=50
add independent-learning=yes ports=switch1-cpu,ether5 switch=switch1 vlan-id=60

/ip address
add address=10.50.0.1/24 interface=vlan-50 network=10.50.0.0
add address=10.60.0.1/24 interface=vlan-60 network=10.60.0.0

(Конфигурация для hAP ac (switch1-cpu — порт 4). Я попробовал её сначала на запасном устройстве с тем же свитч-чипом.)

6.43.2 на всех устройствах. В этой тестовой установке нет никаких «просачивающихся» пакетов. Я пробовал такую же конфигурацию на том же RB3011, где реально замечал просачивание ISP-пакетов — результат нулевой, никаких просачиваний.

При этом реальные VLAN, подключённые к провайдеру, продолжают просачивать пакеты — при тесте видимой разницы в уровне проблемы нет. Значит, причина где-то в специфике определённых пакетов от провайдера, из-за которых VLAN пропускает пакеты.

Буду копать глубже: попробую вставить ещё одно устройство между провайдером и RB3011, сделать захват пакетов и внимательно изучить проблемные. Вернусь с результатами.
18.10.2018 06:27:00, 611.

Проблема с VLAN Access портом на коммутаторе RB3011

Wed, 17 Oct 2018 08:08:00 -0400

Проблема с VLAN Access портом на коммутаторе RB3011 RouterOS в форуме RouterOS.
Похоже, у меня такая же или похожая проблема с RB3011: некоторые пакеты, кажется, приходят без тегов с access-порта, из-за чего они обрабатываются входом с мастер-моста вместо настроенного VLAN. У меня свитч и интерфейс настроены, как описано в https://wiki.mikrotik.com/wiki/Manual:Basic_VLAN_switching#Other_devices_with_built-in_switch_chip. Провайдер подключён к ether2, все внутренние клиенты в access-свитче подключены к ether10. Проблема не проявляется, если провайдер подключён через access-свитч на транковый порт (ether1). Конфигурация (соответствующая часть) такая:

/interface bridge
add name=bridge-master protocol-mode=none
/interface bridge port
add bridge=bridge-master interface=ether1
add bridge=bridge-master interface=ether10
add bridge=bridge-master interface=ether2
add bridge=bridge-master interface=ether3
add bridge=bridge-master interface=ether4
add bridge=bridge-master interface=ether5
add bridge=bridge-master interface=ether6
add bridge=bridge-master interface=ether7
add bridge=bridge-master interface=ether8
add bridge=bridge-master interface=ether9
/interface vlan
add interface=bridge-master loop-protect=off name=vlan-isp vlan-id=10
add interface=bridge-master name=vlan-private vlan-id=20
/interface ethernet switch port
set 0 vlan-header=add-if-missing vlan-mode=secure
set 1 default-vlan-id=10 vlan-header=always-strip vlan-mode=secure
set 2 default-vlan-id=20 vlan-header=always-strip vlan-mode=secure
set 3 default-vlan-id=20 vlan-header=always-strip vlan-mode=secure
set 4 vlan-header=add-if-missing vlan-mode=secure
set 5 default-vlan-id=20 vlan-header=always-strip vlan-mode=secure
set 6 default-vlan-id=20 vlan-header=always-strip vlan-mode=secure
set 7 default-vlan-id=20 vlan-header=always-strip vlan-mode=secure
set 8 default-vlan-id=20 vlan-header=always-strip vlan-mode=secure
set 9 vlan-header=add-if-missing vlan-mode=secure
set 10 vlan-header=add-if-missing vlan-mode=secure
set 11 vlan-header=add-if-missing vlan-mode=secure
/interface ethernet switch vlan
add independent-learning=yes ports=switch1-cpu,ether1,ether2 switch=switch1 vlan-id=10
add independent-learning=yes ports=switch1-cpu,ether1,ether3,ether4,ether5 switch=switch1 vlan-id=20
add independent-learning=yes ports=switch2-cpu,ether6,ether7,ether8,ether9,ether10 switch=switch2 vlan-id=20
/ip address
add address=/24 interface=vlan-private network=
add address=/24 interface=vlan-isp network=
/ip firewall filter
add action=drop chain=input comment="master bridge leakage" in-interface=bridge-master log=yes

HW offload включён на всех портах:
# INTERFACE BRIDGE HW PVID PR PATH-COST INTERNA... HORIZON
0 I H ether1 bridge-master yes 1 0x 10 10 none
1 H ether10 bridge-master yes 1 0x 10 10 none
2 H ether2 bridge-master yes 1 0x 10 10 none
3 I H ether3 bridge-master yes 1 0x 10 10 none
4 I H ether4 bridge-master yes 1 0x 10 10 none
5 I H ether5 bridge-master yes 1 0x 10 10 none
6 I H ether6 bridge-master yes 1 0x 10 10 none
7 I H ether7 bridge-master yes 1 0x 10 10 none
8 I H ether8 bridge-master yes 1 0x 10 10 none
9 I H ether9 bridge-master yes 1 0x 10 10 none

Все пакеты от провайдера должны идти во vlan-isp (и на мастер-мосту нет IP-адресов), но некоторые пакеты всё равно просачиваются:
08:31:22 firewall,info input: in:bridge-master out:(unknown 0), src-mac , proto TCP (SYN), 79.167.15.240:13670->:88, len 40
09:07:12 firewall,info input: in:bridge-master out:(unknown 0), src-mac , proto TCP (SYN), 221.213.237.97:25555->:23, len 40
09:15:16 firewall,info input: in:bridge-master out:(unknown 0), src-mac , proto TCP (RST), 13.33.241.79:443->:52236, len 40
09:28:24 firewall,info input: in:bridge-master out:(unknown 0), src-mac , proto TCP (ACK), 66.211.182.222:443->:4782, len 52
10:03:16 firewall,info input: in:bridge-master out:(unknown 0), src-mac , proto TCP (RST), 173.194.73.99:443->:53142, len 40
10:03:16 firewall,info input: in:bridge-master out:(unknown 0), src-mac , proto TCP (RST), 173.194.73.99:443->:53142, len 40
17.10.2018 08:08:00, 611.

Проблема с VLAN Access портом на коммутаторе RB3011

Wed, 22 Aug 2018 14:51:00 -0400

Проблема с VLAN Access портом на коммутаторе RB3011 RouterOS в форуме RouterOS.
Привет, у меня есть RB3011 с VLAN на Switch Chips. Я использую транковые порты и access-порты. Проблема у меня с access-портами. Когда я смотрю трафик с помощью torch, вижу, что часть трафика имеет VLAN-тег, а другая часть — нет, и всё это от одного клиента. Это баг или я неправильно настроил access-порты?

/interface ethernet switch port
set 1 vlan-mode=secure
set 2 default-vlan-id=10 vlan-header=always-strip vlan-mode=secure
set 3 default-vlan-id=20 vlan-header=always-strip vlan-mode=secure
set 4 default-vlan-id=30 vlan-header=always-strip vlan-mode=secure
set 5 default-vlan-id=20 vlan-header=always-strip vlan-mode=secure
set 6 default-vlan-id=20 vlan-header=always-strip vlan-mode=secure
set 7 default-vlan-id=20 vlan-header=always-strip vlan-mode=secure
set 8 default-vlan-id=20 vlan-header=always-strip vlan-mode=secure
set 9 vlan-mode=secure
set 10 vlan-mode=secure
set 11 vlan-mode=secure

/interface ethernet switch vlan
add independent-learning=no ports=switch1-cpu,ether2-uplink,ether5 switch=switch1 vlan-id=30
add independent-learning=no ports=switch2-cpu,ether10 switch=switch2 vlan-id=30
add independent-learning=no ports=switch1-cpu,ether3,ether2-uplink switch=switch1 vlan-id=10
add independent-learning=no ports=switch2-cpu,ether10 switch=switch2 vlan-id=10
add independent-learning=no ports=switch1-cpu,ether2-uplink,ether4 switch=switch1 vlan-id=20
add independent-learning=no ports=switch2-cpu,ether6,ether7,ether8,ether9,ether10 switch=switch2 vlan-id=20
add independent-learning=no ports=switch2-cpu,ether10 switch=switch2 vlan-id=666

Трафик без VLAN-тега отбрасывается файрволом, так как он видит его на мостовом интерфейсе, а не на VLAN-интерфейсе. У меня версия 6.42.7.

Спасибо, Chris
22.08.2018 14:51:00, chriscolden.