http://mikrotik.moscow Новое в теме Помогите с настройкой VLAN на RB4011iGS+RM для домашнего использования. форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 14 Jul 2026 06:14:08 +0300 Помогите с настройкой VLAN на RB4011iGS+RM для домашнего использования. RouterOS в форуме RouterOS.
Ну, я бы особо не заморачивался насчёт разных чипсетов в RB4011 пока что. Если производительность реально пострадает, тогда можно уже копать в эту сторону. А пока что — разбивай задачу на небольшие, более простые этапы. Ты же прочитал статью, которую несколько раз упоминали? Там должно быть много полезного. Недавно я ещё одну добавил, может тоже пригодится… https://forum.mikrotik.com/viewtopic.php?t=182373

Извиняюсь, с webfig у меня туго.

Шаг первый — разберись с конфигурацией по умолчанию.  
Шаг второй — настрой правила файрвола и NAT, чтобы понять, как они работают.  
Шаг третий — сделай OFF-порт для моста, чтобы иметь доступ во время настройки.  
Шаг четвёртый — начни вводить два VLAN’а в сеть: доверенную подсеть и ещё один.  
Шаг пятый — заверши настройку VLAN’ов для этих двух и включи фильтрацию VLAN.  
Шаг шестой — добавляй остальные VLAN’ы.  
Шаг седьмой — соответствующим образом измени правила файрвола.  
Шаг восьмой — добавь нужный функционал (форвардинг портов и прочее).

Если что — всегда можно остановиться и спросить помощи. Пользуйся безопасным режимом.
26.01.2022 02:16:00, anav.]]> http://mikrotik.moscow/forum/forum57/86925-pomogite-s-nastroykoy-vlan-na-rb4011igs_rm-dlya-domashnego-ispolzovaniya./message411717 http://mikrotik.moscow/forum/forum57/86925-pomogite-s-nastroykoy-vlan-na-rb4011igs_rm-dlya-domashnego-ispolzovaniya./message411717 Wed, 26 Jan 2022 02:16:00 +0300 RouterOS Помогите с настройкой VLAN на RB4011iGS+RM для домашнего использования. RouterOS в форуме RouterOS.
Итак… Я немного в замешательстве. Не мог бы ты подсказать, что мне делать, используя webfig GUI? Я новичок в сетях, поэтому до конца не понимаю, что именно я делаю. Насколько я понял, мне нужно создавать мосты, чтобы пропускать трафик между VLAN, где это нужно. Также нужно создать сами VLAN (через интерфейсы, мосты, свитчи?..). Я не уверен, должен ли роутер иметь другую (более широкую) маску подсети по сравнению с VLAN, чтобы включать их как подмножество?.. Меня еще сбивает с толку то, что везде в инструкциях говорят про отдельные свитчи для работы с VLAN. А потом я понял, что в RB4011 два свитча, и, возможно, именно в этом весь смысл…
26.01.2022 02:07:00, dave1775.]]> http://mikrotik.moscow/forum/forum57/86925-pomogite-s-nastroykoy-vlan-na-rb4011igs_rm-dlya-domashnego-ispolzovaniya./message411716 http://mikrotik.moscow/forum/forum57/86925-pomogite-s-nastroykoy-vlan-na-rb4011igs_rm-dlya-domashnego-ispolzovaniya./message411716 Wed, 26 Jan 2022 02:07:00 +0300 RouterOS Помогите с настройкой VLAN на RB4011iGS+RM для домашнего использования. RouterOS в форуме RouterOS.
Первое, что нужно отметить: я добавил обновлённые инструкции по использованию одного порта [ether5?] (для аварийного доступа к роутеру), который ВЫВЕДЕН из моста, и если во время настройки вы случайно «сломаете» мост, то сможете спокойно подключиться к роутеру через этот специальный аварийный порт или просто настроить всё через него, как вам удобно. Раньше я дал вам не совсем правильные инструкции. https://forum.mikrotik.com/viewtopic.php?t=181718

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++­++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++­+++++++++++++++++++++

Помните, что цепочка input — это входящий трафик напрямую к роутеру. Например, ICMP позволяет самому роутеру отвечать на пинги по протоколу ICMP, что оказывается очень полезным инструментом для админа в разных ситуациях.

Правило capsman нужно, если вы планируете использовать функционал capsman для управления всеми вашими точками доступа MT. Это дополнительный уровень сложности, который лучше пропустить новичкам, пока не научатся управлять Wi-Fi без него (к тому же capsman реально нужен только если у вас больше 3 точек доступа). Удалите или отключите его.

Важно правильно настроить доступ LAN-пользователей к роутеру для сервисов роутера. Обычно это ТОЛЬКО DNS-сервис, но иногда и NTP, UPnP и т. п.

С учётом этого переходим к изменению правил файрвола на роутере. Мы изменим правило, которое разрешает доступ из LAN, на следующее:

a. Полный доступ к роутеру разрешаем только интерфейсу, который админ использует чаще всего (для настройки).

b. Всем остальным разрешаем только доступ к DNS-сервисам:

add action=accept chain=input in-interface=vlan20 (или как там называется ваш персональный)

add action=accept chain=input comment=“Allow LAN DNS queries-UDP” connection-state=new dst-port=53 in-interface-list=LAN protocol=udp

add action=accept chain=input comment=“Allow LAN DNS queries - TCP” connection-state=new dst-port=53 in-interface-list=LAN protocol=tcp

Если ваш персональный VLAN — не тот, что вы используете постоянно, а, например, семейный, то используйте семейный VLAN, но с параметром src-address-list=authorized, чтобы ограничить доступ только для ваших устройств (настольный ПК, ноутбук, смартфон, iPad и т. п.).

+++++++++++++++++++++++++++++++

Цепочка forward — да, fastrack позволяет роутеру делать «короткие пути» при передаче трафика, что ускоряет работу. Если вы используете функции MANGLING, fastrack обычно отключают, бывают и другие случаи, когда это нужно.

Да, некорректный (invalid) трафик, считающийся неправильным по формату, отбрасывается.

Да, порт-форвардинг на сервер — обычно это нужная вещь, если у вас есть внешний доступ к устройству, например к FTP-серверу или NAS.

Теперь о следующем важном моменте. У вас хорошо настроен трафик в цепочке forward, но из-за правила «drop all» вы блокируете весь трафик между VLANами. А теперь вы хотите, чтобы все могли обращаться к общим ресурсам.

Для этого добавьте правило:

add action=accept chain=forward in-interface-list=LAN out-interface=vlan10 (или как там называется VLAN с общими ресурсами).

Если у вас нет отдельной подсети для общих ресурсов, а они находятся в вашем персональном VLAN, то:

add action=accept chain=forward in-interface-list=LAN out-interface=vlan20 dst-address list=shared-devices

где shared-devices — это список адресов в файрволе, например:

add ip=IP_принтера list=shared-devices

add ip=IP_сканера list=shared-devices

и так далее.

Таким образом, правило разрешит весь трафик, приходящий из всех LAN, направленный в персональный VLAN, но только к конкретным IP-адресам из списка.

Надеюсь, идея ясна!
02.01.2022 16:28:00, anav.]]> http://mikrotik.moscow/forum/forum57/86925-pomogite-s-nastroykoy-vlan-na-rb4011igs_rm-dlya-domashnego-ispolzovaniya./message411715 http://mikrotik.moscow/forum/forum57/86925-pomogite-s-nastroykoy-vlan-na-rb4011igs_rm-dlya-domashnego-ispolzovaniya./message411715 Sun, 02 Jan 2022 16:28:00 +0300 RouterOS Помогите с настройкой VLAN на RB4011iGS+RM для домашнего использования. RouterOS в форуме RouterOS.
add action=fasttrack-connection chain=forward comment=“defconf: fasttrack” connection-state=established,related // Не уверен... Позволяет проходить через файрвол быстрее, если соединение уже известно?  
add action=accept chain=forward comment=“defconf: accept established,related, untracked” connection-state=established,related,untracked // Похоже на предыдущий…  
add action=drop chain=forward comment=“defconf: drop invalid” connection-state=invalid То же самое?  
add action=accept chain=forward comment=“Allow internet traffic outbound” in-interface-list=LAN out-interface-list=WAN Правило для разрешения исходящего трафика в интернет с внутренних устройств  
add action=accept chain=forward comment=“Allow Port Forwarding” connection-nat-state=dstnat \ {disable if not required} connection-state=new in-interface-list=WAN  
add action=drop chain=forward // Правило для разрешения порт-форвардинга, если нужно. Думаю, мой NAS это делает, но, судя по тому, что я читал, это лишнее.  

Я понимаю, что нужно всё надёжно защитить, так что файрвол очень важен.  
Но главный вопрос — как правильно пользоваться webfig для настройки VLAN, чтобы часть ограничить, а часть оставить доступной внутри сети.  
В остальном, думаю, дефолтные настройки файрвола и NAT меня устраивают.  
Но я понимаю, что учусь и не могу всё сделать сразу и быстро.
02.01.2022 16:00:00, dave1775.]]> http://mikrotik.moscow/forum/forum57/86925-pomogite-s-nastroykoy-vlan-na-rb4011igs_rm-dlya-domashnego-ispolzovaniya./message411714 http://mikrotik.moscow/forum/forum57/86925-pomogite-s-nastroykoy-vlan-na-rb4011igs_rm-dlya-domashnego-ispolzovaniya./message411714 Sun, 02 Jan 2022 16:00:00 +0300 RouterOS Помогите с настройкой VLAN на RB4011iGS+RM для домашнего использования. RouterOS в форуме RouterOS.
Извиняюсь за задержку…  
ip firewall filter  
// Начинаем видеть правила файрвола  
add action=accept chain=input comment=“defconf: accept established,related,untracked” connection-state=established,related,untracked  
// Правило пропускает через файрвол входящий трафик от установленных соединений (известных MAC-адресов)  
add action=drop chain=input comment=“defconf: drop invalid” connection-state=invalid  
// Правило блокирует трафик от неверных соединений (честно говоря, не очень понимаю, что значит “неверные”)  
add action=accept chain=input comment=“defconf: accept ICMP” protocol=icmp  
// Правило разрешает трафик по протоколу ICMP (я понимаю это как общение между сетевыми устройствами, чтобы они могли “разговаривать”)  
add action=accept chain=input comment=“defconf: accept to local loopback (for CAPsMAN)” dst-address=127.0.0.1 {disable if not required}  
// Правило разрешает loopback-трафик. Не уверен, что оно нужно. Знаю, что это разрешает localhost на хост-устройствах, но не понимаю, зачем это роутеру  
add action=accept chain=input in-interface-list=LAN  
add action=drop chain=input  
// Правило разрешает локальный трафик (если он с локальной сети, значит его можно считать безопасным)
02.01.2022 15:54:00, dave1775.]]> http://mikrotik.moscow/forum/forum57/86925-pomogite-s-nastroykoy-vlan-na-rb4011igs_rm-dlya-domashnego-ispolzovaniya./message411713 http://mikrotik.moscow/forum/forum57/86925-pomogite-s-nastroykoy-vlan-na-rb4011igs_rm-dlya-domashnego-ispolzovaniya./message411713 Sun, 02 Jan 2022 15:54:00 +0300 RouterOS Помогите с настройкой VLAN на RB4011iGS+RM для домашнего использования. RouterOS в форуме RouterOS.
Итак, я только что получил Microtik RB4011iGS+RM и планирую настроить домашнюю сеть с использованием VLAN, чтобы мой рабочий компьютер, рабочий компьютер жены и личные устройства были в одной VLAN, устройства детей — в другой, а умные устройства дома — в третьей VLAN. Также хочу, чтобы сетевой принтер и NAS были доступны из всех VLAN (не уверен, нужна ли им отдельная VLAN).

У меня есть управляемый коммутатор Netgear gs108t, gs308e(v1), два TP-Link TL-SG105, роутеры nighthawk x4s, Linksys ea4500 и два старых wrt54gs. Планирую использовать gs108t для физического подключения NAS, принтера и хотя бы одного устройства из каждой VLAN. Остальные "глупые" коммутаторы можно поставить там, где нужны дополнительные проводные порты, а роутеры использовать в режиме простых точек доступа.

RB4011iGS+RM будет заниматься всей маршрутизацией, подсетями, NAT и DHCP. Он будет единственным устройством, подключенным к модему провайдера через кабель Cat6.

Кто-нибудь может поэтапно "держать меня за руку" при настройке RB4011iGS+RM? Я понимаю, что это проще, чем большинство конфигураций, и пытался учиться сам. RB4011iGS+RM и gs108t — новогодние подарки, так что настройка состоится через пару недель, поэтому сейчас я готовлюсь.
06.12.2021 18:16:00, dave1775.]]> http://mikrotik.moscow/forum/forum57/86925-pomogite-s-nastroykoy-vlan-na-rb4011igs_rm-dlya-domashnego-ispolzovaniya./message411712 http://mikrotik.moscow/forum/forum57/86925-pomogite-s-nastroykoy-vlan-na-rb4011igs_rm-dlya-domashnego-ispolzovaniya./message411712 Mon, 06 Dec 2021 18:16:00 +0300 RouterOS