http://mikrotik.moscow Новое в теме Несколько изолированных Wi-Fi сетей на проводном мосту AP форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 14 Jul 2026 07:28:43 +0300 Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
Ты доволен ax3? Слышал, некоторые жалуются на Wi-Fi.
19.07.2024 08:07:00, jmpaiva.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398609 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398609 Fri, 19 Jul 2024 08:07:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
Привет, anav. Хорошо, удалил маршрут и перезагрузил оба устройства. Ничего не изменилось. По-прежнему нет правильного назначения DHCP на любой Wi-Fi сети от AP. Завтра попробую взглянуть ещё раз. Спасибо, Nils.
18.07.2024 22:46:00, deadwalker.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398608 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398608 Thu, 18 Jul 2024 22:46:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
Попробуйте перезагрузить оба роутера.
18.07.2024 21:22:00, anav.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398607 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398607 Thu, 18 Jul 2024 21:22:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
AP Ты добавил здесь дополнительный маршрут, но это не должно вызывать никаких сбоев… его лучше убрать.  
/ip route add comment=“ensures route avail through trusted subnet gateway” disabled=no dst-address=0.0.0.0/0 gateway=192.168.0.1  
add disabled=no dst-address=192.168.36.2/32 gateway=192.168.0.3 routing-table=main suppress-hw-offload=no  

Больше на AP я ничего не заметил.  
ROUTER На основном роутере тоже ничего подозрительного не увидел!
18.07.2024 21:11:00, anav.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398606 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398606 Thu, 18 Jul 2024 21:11:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
Привет, anav! Я совсем застрял, хотя, скорее всего, это очень просто. Вот конфиги mainrouter и ap. mainrouter.rsc (19.4 KB) ap.rsc (2.99 KB) Большое спасибо! Заплачу тебе несколькими напитками.
18.07.2024 20:24:00, deadwalker.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398605 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398605 Thu, 18 Jul 2024 20:24:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
Привет, dead, ты знаешь, что делать: выложи последние конфиги для главного роутера и точки доступа, мы разберёмся с проблемой!
18.07.2024 19:54:00, anav.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398604 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398604 Thu, 18 Jul 2024 19:54:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
@jmpaiva: Думаю, ты можешь просто посмотреть мою последнюю конфигурацию, чтобы лучше понять, как это будет у тебя настроено. Есть ещё несколько мелких проблем, но в целом это хорошее начало. Что касается устройств, многое зависит от того, что тебе нужно, у Mikrotik довольно большой выбор. Я выбрал HAP ax3 в качестве основного роутера и HAP ax lite как точку доступа. Особенно для ax lite, конечно, есть устройства получше по покрытию WiFi, но для меня этого хватает. За такие деньги больше и не ждёшь.

@anav: Я внедрил последние предложенные изменения и понял, что для ясности лучше вручную добавлять untagged интерфейсы. NTP теперь тоже заработал. Но есть одна серьёзная проблема: у меня нет доступа в интернет через WiFi сети AP. Сам AP имеет интернет, если заходить через off bridge порт. При подключении к WiFi похоже, что я не получаю правильный IP из пулов DHCP, но я не могу найти в этом проблемы. Возможно, я где-то напортачил с тегированием. В полной растерянности. В конфиге, который я загрузил вчера, кроме последних твоих изменений, ничего не менялось. Уверен, что это какая-то мелкая и глупая ошибка.
18.07.2024 18:13:00, deadwalker.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398603 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398603 Thu, 18 Jul 2024 18:13:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
Выглядит гораздо лучше! Устанавливать mac-server в NONE — само по себе небезопасный протокол.  
/tool mac-server set allowed-interface-list=BASE  
/tool mac-server mac-winbox set allowed-interface-list=BASE  

Измени маршрутизатор для удалённой подсети роутера на:  
/ip route add dst-address=192.168.178.0/24 gateway=wireguard_perDfels routing-table=main  

Теперь посмотрим на порты моста и VLAN'ы моста. Порты выглядят нормально, модифицируем  
/interface bridge vlans на:  
(я предпочитаю вводить неразмеченные вручную, оба варианта работают, но так я могу перепроверить с портами моста, чтобы убедиться, что всё совпадает)  
/interface bridge vlan add bridge=bridge_LAN tagged=bridge_LAN,ether2 untagged=ether3,ether4,1-wifi5Ghz,2-wifi2GHz vlan-ids=10  
add bridge=bridge_LAN tagged=bridge_LAN,ether2 untagged=4-wifi2GHz_Guest vlan-ids=20  
add bridge=bridge_LAN tagged=bridge_LAN,ether2 untagged=5k-wifi2GHz_IOT vlan-ids=30  
add bridge=bridge_LAN tagged=bridge_LAN,ether2 untagged=ether5 vlan-ids=99  

Поскольку вы используете роутер как источник NTP, скорректируйте это правило!!  
add action=accept chain=input comment="user access to services" dst-port=53,123 in-interface-list=LAN protocol=udp
18.07.2024 02:09:00, anav.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398602 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398602 Thu, 18 Jul 2024 02:09:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
Привет, anav, спасибо за подробный ответ. Вчера, еще до твоего сообщения, я заметил, что не настроил trunk (глупо с моей стороны). Много мусора осталось от рефакторинга основного роутера — изначально была настройка на нескольких bridge, а теперь VLAN. Возможно, стоило начать всё с нуля.

Давай попробую пройтись по пунктам:

Спасибо тебе, точка доступа пока в порядке. Фильтры на bridge убраны — действительно, это был лишний остаток. Сделано.

Trunk-порт (ether2) действительно отсутствовал, теперь добавлен. Надеюсь, сделал всё правильно. Ты думаешь, в новом экспорте теперь выглядит лучше?

Ok, отключено. Это появилось из-за использования Mikrotik Android app для доступа к конфигурации устройства. Похоже, случайно активировал там. Упрощение завершено. Логично убрать bridge.

Отлично, заметил ошибку с netmask, убрал её из адреса.

Честно говоря, не помню, откуда это взялось. Использую Cisco OpenDNS, чтобы блокировать доступ к некоторым категориям интернета. Чтобы пользователи не могли просто вручную сменить DNS, я что-то пытался сделать — возможно, это оно, но точно не помню. В основном всё делаю через NAT.

Правила фаервола почистил. А остальные отключённые правила уже не нужны, правильно?

Заметка 1: Добавил private_VLAN (10) в список интерфейсов BASE. Ещё добавил один IP в список разрешённых. Чтобы этот адрес не менялся, в DHCP-сервере сделал его статическим.

Заметка 2: Первый Wireguard — для роадворьер-сети. Второй — для site2site, который должен работать постоянно. Раньше всё работало нормально. Чтобы его задействовать, просто нужно добавить Wireguard в список LAN-интерфейсов, верно?

Окей, добавлю это на точке доступа. Действительно, я удалял это из конфигурации с другими скриптами и расписаниями на роутере, но в новом экспорте оно есть.

mainrouter.rsc (20.6 KB)
17.07.2024 21:58:00, deadwalker.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398601 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398601 Wed, 17 Jul 2024 21:58:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
Я не вижу ничего плохого в AP… Ой, у тебя показываются ошибки основного роутера, вопрос в том, зачем вообще нужны фильтры моста? Пока убери их, пожалуйста.

/interface bridge filter  
# no interface add action=drop chain=forward in-interface=*9  
# no interface add action=drop chain=forward out-interface=*9  
# no interface add action=drop chain=forward in-interface=*A  
# no interface add action=drop chain=forward out-interface=*A  

Должно быть установлено на BASE.

/ip neighbor discovery-settings set discover-interface-list=VLAN  

Похоже, что на AP нет trunk-порта??? Судя по настройкам /interface bridge port???  
Настройки /interface bridge vlan не дают никаких подсказок, что происходит.  

Установи detect internet interface=NONE  
Упрощай (если используются все VLAN-ы, мост не состоит в списке)

/interface list  
add name=WAN  
add name=LAN  
add name=BASE  

/interface list member  
add interface=ether1 list=WAN  
add interface=private_VLAN list=LAN  
add interface=BASE_VLAN list=LAN  
add interface=guest_VLAN list=LAN  
add interface=iot_VLAN list=LAN  
add interface=wireguardVPN list=LAN  
add interface=BASE_VLAN list=BASE  
add interface=wireguardVPN list=BASE  

{чтобы при необходимости можно было удалённо админить роутер}

Если ты вручную добавлял netmask к этой строке адреса — убери её!  
add address=192.168.66.0/24 comment=defconf dns-server=192.168.0.1 gateway=192.168.66.1 netmask=24  

Убери эту статическую настройку DNS!!!

/ip dns static  
add address=192.168.66.1 comment=defconf disabled=yes name=router.lan  

Правила фаервола подкорректированы  

/ip firewall address-list (используются статические DHCP-аренды для локальных адресов)  
add address=192.168.0.A/32 list=Authorized comment="админ локальный настольный проводной"  
add address=192.168.0.B/32 list=Authorized comment="админ локальный ноутбук проводной"  
add address=192.168.70.X/32 list=Authorized comment="админ удалённый wg ноутбук"  
add address=192.168.70.Y/32 list=Authorized comment="админ удалённый wg смартфон/ipad"  
add address=192.168.36.2/32 list=Authorized comment="админ на AP"  

/ip firewall filter  
add action=accept chain=input comment="Разрешить установленные и связанные, а также неотслеживаемые" connection-state=established,related,untracked  
add action=drop chain=input connection-state=invalid  
add action=accept chain=input comment="defconf: разрешить ICMP" protocol=icmp  
add action=accept chain=input comment="wireguard handshake pderDfels" dst-port=13231 protocol=udp  
add action=accept chain=input comment="wireguard handshake VPN" dst-port=51820 protocol=udp  
add action=accept chain=input comment="Админ-доступ" in-interface-list=BASE src-address-list=Authorized  
add action=accept chain=input comment="доступ пользователей к сервисам" in-interface-list=LAN dst-port=53 protocol=udp  
add action=accept chain=input comment="доступ пользователей к сервисам" in-interface-list=LAN dst-port=53 protocol=tcp  
add action=drop chain=input comment="Отбрасывать всё остальное" {ставь это последним, чтобы не заблокировать себя}  

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++­+++++  

add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes  
add action=accept chain=forward comment="defconf: разрешить установленные, связанные и неотслеживаемые" connection-state=established,related,untracked  
add action=drop chain=forward connection-state=invalid  
add action=accept chain=forward comment="интернет-трафик" in-interface-list=LAN out-interface-list=WAN  
add action=accept chain=forward comment="проброс портов" connection-nat-state=dstnat  
add action=accept chain=forward comment="Админ в подсети" in-interface-list=BASE src-address-list=Authorized out-interface-list=LAN  
add action=drop chain=forward comment="отбрасывать всё остальное"  

Примечание 1: Если хочешь иметь доступ к роутеру и AP из приватной подсети, добавь приватную подсеть vlan10? в список интерфейса BASE и добавь IP-адреса админа в список исходных адресов Authorized.  

Примечание 2: Роль другого wireguard VPN непонятна, поэтому в правила файрвола не включена. Как только станет ясно, будет легко всё подстроить.  

Добавь маршрут для админа на AP…  
add dst-address=192.168.36.2 gateway=192.168.0.3 routing-table=main  

Отсутствуют настройки разрешённых IP для wireguard??? Или я слепой?
16.07.2024 21:54:00, anav.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398600 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398600 Tue, 16 Jul 2024 21:54:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
Ага, пока копался, обнаружил, что проблема гораздо серьёзнее. Я забыл включить фильтрацию VLAN на мосту (обычно я делаю это в самом конце, чтобы не потерять доступ в процессе настройки). Теперь, когда я её включил, интернет на Wi-Fi снова пропал. Так что да, наверняка что-то не так. Вероятно, проблема ещё и в моём основном роутере, там конфигурация довольно запутанная — накапливалась постепенно.

MainRouter: mainrouter.rsc (12 KB)  
AP Config (реально сделано по твоим правкам) — без лишних комментариев  
AP.rsc (2.83 KB)  

Спасибо за уделённое время!
16.07.2024 21:48:00, deadwalker.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398599 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398599 Tue, 16 Jul 2024 21:48:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
Всё, что вам нужно, уже есть в этой ветке, если только вы не пользуетесь capsman — там немного по-другому. Так что дерзайте. Когда у вас будет рабочая конфигурация или что-то близкое к ней, и нужна будет помощь — просто спрашивайте.
18.07.2024 15:43:00, anav.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398598 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398598 Thu, 18 Jul 2024 15:43:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
Похоже, у тебя могут быть какие-то ошибки, но не уверен. Опубликуй свою последнюю конфигурацию для проверки… Что касается доступа к точке доступа, ты должен иметь возможность зайти на неё с любого компьютера в основной сети роутера, в сети 99, используя winbox. Если у тебя есть порт на AP (порт доступа) для vlan99, это тоже сработает, но лучше использовать порт, который не входит в мост. Большая часть проблем возникает, когда ты накосячишь с настройкой bridge vlan — тогда легко оказаться заблокированным и начинать всё заново. В таком случае ты не сможешь попасть в управление с подсети основного роутера и с локального порта, назначенного vlan99. Намного безопаснее настраивать или иметь аварийный доступ через порт вне моста. Просто назначь адрес, отключи порт от моста и подключи к нему свой ноутбук. Правильно настрой IPv4 — и всё будет работать как надо.
16.07.2024 20:57:00, anav.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398597 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398597 Tue, 16 Jul 2024 20:57:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
Привет, anav! Ты отвечаешь просто молниеносно, очень ценно! Это очень помогло — я запустил точку доступа, и все три Wi-Fi сети теперь работают отлично.

Есть одна вещь, которую сложно понять — это аварийный доступ и вообще доступ к точке через Winbox. Исправь меня, если я ошибаюсь, но с такой настройкой идея в том, что подключаться по Winbox можно только через порт аварийного доступа (ether4) по MAC-адресу, правильно? Я не могу подключиться к AP, скажем, из частного VLAN (pvid 10).

Также сама точка доступа, похоже, не имеет доступа в интернет. Я не могу пропинговать внешний мир и не могу проверить обновления RouterOS. Не уверен, что это задумано так. Не очень уверен, что правильно настроил VLAN-тегирование, возможно, где-то не хватает в IP-адресации.

Спасибо за твою постоянную помощь!
16.07.2024 20:52:00, deadwalker.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398596 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398596 Tue, 16 Jul 2024 20:52:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
У тебя просто ужасный способ показывать конфиг, LOL… Я постоянно говорю это pcunite. Мост (Bridge) не получает адрес... IP-адрес устройства — это адрес, заданный через управляющий базовый VLAN. Рекомендую настроить один порт в режиме access для конфигурации устройства ВНЕ моста — работает отлично.

/interface bridge  
add ingress-filtering=no name=bridge_LAN vlan-filtering=yes  

/interface ethernet  
set [ find default-name=ether1 ] name=trunk
set [ find default-name=ether4 ] name=emergaccess

/interface vlan  
add interface=bridge_LAN name=BASE_VLAN vlan-id=99  

/interface list  
add name=BASE  

/interface wireless  
{ по необходимости }  

/interface bridge port  
add bridge=bridge_LAN ingress-filtering=yes frame-types=admit-only-vlan-tagged interface=trunk  
add bridge=bridge_LAN ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged interface=ether2 pvid=10  
add bridge=bridge_LAN ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged interface=ether3 pvid=10  
add bridge=bridge_LAN ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged interface=1-wifi-2GHz pvid=10  
add bridge=bridge_LAN ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged interface=2-wifi-2GHz_guest pvid=20  
add bridge=bridge_LAN ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged interface=3-wifi-2GHz_IOT pvid=30  

/ip neighbor discovery-settings  
set discover-interface-list=BASE  

/interface bridge vlan  
add bridge=bridge_LAN tagged=ether1 untagged=ether2,ether3,1-wifi-2GHz vlan-ids=10  
add bridge=bridge_LAN tagged=ether1 untagged=2-wifi-2GHz_guest vlan-ids=20  
add bridge=bridge_LAN tagged=ether1 untagged=3-wifi-2GHz_IOT vlan-ids=30  
add bridge=bridge_LAN tagged=ether1,bridge_LAN vlan-ids=99  

/interface list member  
add interface=BASE_VLAN list=BASE  
add interface=emergaccess list=BASE  

/ip address  
add address=192.168.0.3/24 interface=BASE_VLAN network=192.168.0.0  
add address=192.168.36.1/24 interface=emergaccess network=192.168.36.0 comment="ether4 доступ вне моста"  

/ip dns  
set allow-remote-requests=yes servers=192.168.0.1 { Замечание: сделано, чтобы все DNS-запросы шли через доверенную подсеть }  

/ip route  
add disabled=no dst-address=0.0.0.0/0 gateway=192.168.0.1 comment="обеспечивает маршрут через шлюз доверенной подсети"  

/ip service  
set telnet disabled=yes  
set ftp disabled=yes  
set www disabled=yes  
set ssh address=x.x.x.x  
set api disabled=yes  
set api-ssl disabled=yes  

/system ntp client  
set enabled=yes  

/system ntp client servers  
add address=192.168.0.1  

/tool mac-server  
set allowed-interface-list=none  

/tool mac-server mac-winbox  
set allowed-interface-list=BASE
16.07.2024 01:49:00, anav.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398595 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398595 Tue, 16 Jul 2024 01:49:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
Всем привет! Извиняюсь, что снова поднял такую старую тему, и большое спасибо holvoetn и anav. Опубликованное руководство — действительно очень хороший старт. Я настроил свой основной роутер согласно схеме Router/Switch, и теперь всё корректно разделено с помощью VLAN на одном мосту. Работает просто отлично.

Но вот с подключением точки доступа (hap ax lite) у меня пока слегка запутанная ситуация. Я следовал инструкциям по AP в той же теме, с небольшим отличием — я добавил в физические порты, помимо Wi-Fi сетей, ещё и порты. Сейчас у меня не получается получить нормальное прохождение сетей через точку доступа (нет доступа в интернет). Ещё хочу достучаться до AP по адресу 192.168.66.3, который у меня статически прописан на основном роутере. Это не работает, и когда я применяю конфигурацию, AP перестаёт доступен, приходится делать сброс. Думаю, что особо больших ошибок нет, просто пока не могу найти решение. Для вас это наверняка очевидно. Буду очень признателен за помощь.

Мой базовый конфиг на основе приведённого примера выглядит так.

# имя настраиваемого устройства  
/system identity set name="wired_AP"

#######################################  
# Обзор VLAN  
#######################################  
# 10 = BLUE  
# 20 = GREEN  
# 30 = RED  
# 99 = BASE (MGMT) VLAN

#######################################  
# Настройка Wi-Fi  
#  
# Пример настроек беспроводной сети.  
# НЕ использовать в продакшене!  
#######################################

# Blue SSID  
/interface wireless security-profiles set [ find default=yes ] authentication-types=wpa2-psk mode=dynamic-keys wpa2-pre-shared-key="password"
/interface wireless set [ find default-name=1-wifi-2GHz ] ssid=wired frequency=auto mode=ap-bridge disabled=no

# Green SSID  
/interface wireless security-profiles add name=GREEN_PROFILE authentication-types=wpa2-psk mode=dynamic-keys wpa2-pre-shared-key="password"  
/interface wireless add name=2-wifi-2GHz_guest ssid=wired_guest master-interface=wlan1 security-profile=GREEN_PROFILE disabled=no

# Red SSID  
/interface wireless security-profiles add name=RED_PROFILE authentication-types=wpa2-psk mode=dynamic-keys wpa2-pre-shared-key="password"  
/interface wireless add name=3-wifi-2GHz_IOT ssid=wiot master-interface=wlan1 security-profile=RED_PROFILE disabled=no

#######################################  
# Мост  
#######################################  

# создаём мост, режим VLAN выключен, пока настраиваем  
/interface bridge add name=bridge_LAN protocol-mode=none vlan-filtering=no

#######################################  
# -- Access порты --  
#######################################

# поведение при входящих пакетах  
/interface bridge port

# VLAN Blue, Green, Red  
add bridge=bridge_LAN interface=1-wifi-2GHz pvid=10  
add bridge=bridge_LAN interface=2-wifi-2GHz_guest pvid=20  
add bridge=bridge_LAN interface=3-wifi-2GHz_IOT pvid=30  
add bridge=bridge_LAN interface=ether2 pvid=10  
add bridge=bridge_LAN interface=ether3 pvid=10  
add bridge=bridge_LAN interface=ether4 pvid=10

# поведение при исходящих пакетах управляется автоматически

#######################################  
# -- Trunk порты --  
#######################################

# поведение при входящих пакетах  
/interface bridge port

# Фиолетовый Trunk. Оставляем pvid по умолчанию — 1  
add bridge=bridge_LAN interface=ether1

# поведение при исходящих пакетах  
/interface bridge vlan

# Фиолетовый Trunk. Только L2 коммутация, мост не нужен как tagged участник (кроме BASE_VLAN)  
add bridge=bridge_LAN tagged=ether1 vlan-ids=10  
add bridge=bridge_LAN tagged=ether1 vlan-ids=20  
add bridge=bridge_LAN tagged=ether1 vlan-ids=30  
add bridge=bridge_LAN tagged=bridge_LAN,ether1 vlan-ids=99

#######################################  
# IP адресация и маршрутизация  
#######################################

# Локальный IP точки доступа в рамках BASE_VLAN  
/interface vlan add interface=bridge_LAN name=BASE_VLAN vlan-id=99  
/ip address add address=192.168.0.3/24 interface=BASE_VLAN

/ip address add address=192.168.66.3/24 interface=bridge_LAN network=192.168.66.0

# IP роутера, через который AP будет выходить  
/ip route add distance=1 gateway=192.168.66.1

#######################################  
# Службы IP  
#######################################

# Как в примере — ничего не настроено, но так ли это правильно?

#######################################  
# Безопасность VLAN  
#######################################

# Разрешить входящие пакеты без тегов только на Access портах  
/interface bridge port  
set bridge=bridge_LAN ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged [find interface=1-wifi-2GHz]
set bridge=bridge_LAN ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged [find interface=2-wifi-2GHz_guest]
set bridge=bridge_LAN ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged [find interface=3-wifi-2GHz_IOT]
set bridge=bridge_LAN ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged [find interface=ether2]
set bridge=bridge_LAN ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged [find interface=ether3]
set bridge=bridge_LAN ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged [find interface=ether4]

# Разрешить входящие пакеты С тегами только на Trunk портах  
/interface bridge port set bridge=bridge_LAN ingress-filtering=yes frame-types=admit-only-vlan-tagged [find interface=ether1]

#######################################  
# Настройки MAC-сервера  
#######################################

# Доступ и видимость только из BASE_VLAN, сети управления  
/interface list add name=BASE  
/interface list member add interface=BASE_VLAN list=BASE  
/ip neighbor discovery-settings set discover-interface-list=BASE  
/tool mac-server mac-winbox set allowed-interface-list=BASE  
/tool mac-server set allowed-interface-list=BASE

#######################################  
# Включение VLAN режима  
#######################################  
/interface bridge set bridge_LAN vlan-filtering=yes
15.07.2024 23:21:00, deadwalker.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398594 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398594 Mon, 15 Jul 2024 23:21:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
Тема больше недоступна. Зашёл на этот форум, потому что у меня есть коллега — фанат Mikrotik, который постоянно его советует. Я тоже подумываю о роутере и дополнительной точке доступа для второго этажа, но хочу настроить VLAN для IoT-устройств и хочу, чтобы дополнительная точка доступа дублировала оригинальный SSID и VLAN. Кстати, если кто-то может порекомендовать железо для этого — было бы здорово. Если можно, что-то с WiFi6, чтобы немного подготовиться к будущему. Спасибо!
18.07.2024 13:43:00, jmpaiva.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398593 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398593 Thu, 18 Jul 2024 13:43:00 +0300 RouterOS Несколько изолированных Wi-Fi сетей на проводном мосту AP RouterOS в форуме RouterOS.
Всем привет! Прежде всего, извиняюсь за базовый вопрос, но я совсем новичок в сетях, особенно с Mikrotik. Ситуация такая: у меня есть HAP ax3, который работает как основной роутер. Он раздает 3 Wi-Fi сети, изолированные друг от друга (private, guest и IOT). Потребовались часы и куча туториалов, чтобы это настроить, и, конечно, все еще можно улучшить, но сейчас работает. Я купил HAP ax lite в качестве проводной точки доступа-бриджа. С простой настройкой моста мне удается расширить основную Wi-Fi сеть (private) без проблем. Но не могу расширить другие 2 сети, не знаю, как это сделать. Думаю, нужно создать дополнительные мосты, как на основном роутере, и настроить дополнительные DHCP-клиенты, чтобы они получали IP с основного роутера… но пока никак не выходит.

Вот конфигурация моего HAP ax lite (ap bridge). Как я и сказал, основная Wi-Fi сеть (private) работает нормально, проблемы с другими сетями (пока пробовал guest). Думаю, дело в VLAN-тегировании, нужно ли оно, если у меня разные мосты?

# 2023-12-28 13:15:46 by RouterOS 7.13  
# software id = 3638-CNQF  
#  
# model = L41G-2axD  
# serial number = XXXX  

/interface bridge  
add name=bridge_Guest  
add name=bridge_LAN port-cost-mode=short  

/interface wifi  
set [ find default-name=wifi1 ] channel.band=2ghz-ax skip-dfs-channels=10min-cac width=20/40mhz configuration.country=Germany mode=ap ssid=wired disabled=no name=2GHz_wired security.authentication-types=wpa2-psk,wpa3-psk wps=disable
add configuration.mode=ap ssid=wired_guest disabled=no mac-address=7A:9A:18:15:D3:16 master-interface=2GHz_wired mtu=1500 name=2GHz_guest security.authentication-types=wpa2-psk,wpa3-psk  

/port  
set 0 name=serial0  

/interface bridge port  
add bridge=bridge_LAN interface=ether1 internal-path-cost=10 path-cost=10  
add bridge=bridge_LAN interface=ether2 internal-path-cost=10 path-cost=10  
add bridge=bridge_LAN interface=ether3 internal-path-cost=10 path-cost=10  
add bridge=bridge_LAN interface=ether4 internal-path-cost=10 path-cost=10  
add bridge=bridge_LAN interface=2GHz_wired  
add bridge=bridge_LAN interface=2GHz_guest pvid=10  

/ip neighbor discovery-settings  
set discover-interface-list=!dynamic  

/ip address  
add address=192.168.66.3/24 interface=bridge_LAN network=192.168.66.0  
add address=192.168.71.99/24 interface=bridge_Guest network=192.168.71.0  

/ip dhcp-client  
add add-default-route=no interface=bridge_Guest  
add add-default-route=no interface=bridge_LAN  

/ip route  
add disabled=no dst-address=0.0.0.0/0 gateway=192.168.66.1 routing-table=main suppress-hw-offload=no  

/system clock  
set time-zone-name=Europe/Berlin  

/system identity  
set name=wired_AP  

/system note  
set show-at-login=no  

Спасибо за терпение и внимательность!
28.12.2023 12:18:00, deadwalker.]]> http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398592 http://mikrotik.moscow/forum/forum57/85649-neskolko-izolirovannykh-wi_fi-setey-na-provodnom-mostu-ap/message398592 Thu, 28 Dec 2023 12:18:00 +0300 RouterOS