Mikrotik.moscow [тема: Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр".]

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр".

Mon, 09 Jan 2023 09:35:00 -0500

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр". RouterOS в форуме RouterOS.
Ваша вся топология неправильная. RSTP (или MSTP, какой вам нужен) должен быть включён на всех коммутаторах и корректно настроен на всех транковых портах, то есть на портах, которые не являются edge. Сначала исправьте топологию и правильно настройте RSTP по всей сети.

Привет, да, это работает (RSTP + edge: да), но я хотел бы сделать это с помощью опции фильтра моста. Поэтому, думаю, мне нужно это сделать и в фильтре моста. Вопрос в том, должен ли фильтр тоже выполнять эти функции?
09.01.2023 09:35:00, laca77.

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр".

Thu, 05 Jan 2023 14:58:00 -0500

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр". RouterOS в форуме RouterOS.
Привет, моя проблема похожа, но, похоже, эти методы её не решили. У меня есть 3 коммутатора:
SW1: включён BPDU guard на всех портах (не Mikrotik)
SW2: устройство MT, там только один мост, и все порты являются его участниками, STP установлен в NONE
SW3: устройство MT, там тоже только мост, все порты — участники, включён RSTP.

Сетевая конфигурация такая: SW1 (eth1) — (eth2) SW2 (eth4) — (eth3) SW3

Проблема в том, что если на SW2 STP стоит в NONE, он пересылает BPDU-пакеты с SW3 в сторону SW1, из-за чего SW1 отключает свой порт eth1, а мне нужно сохранить такую топологию (нужно держать eth2 на SW2 в мосту).

Поэтому хотел бы отфильтровать исходящие BPDU-пакеты на SW2 с любого порта в направлении eth2.

Пробовал сделать такой фильтр на SW2:
/interface bridge filter
add action=drop chain=forward comment="stp filter" dst-mac-address=01:80:C2:00:00:00/FF:FF:FF:FF:FF:FF log=yes log-prefix="stp log" out-interface=ether2

Но фильтр не сбрасывает STP-пакеты, счётчик у него равен 0:
[admin@MikroTik] /interface/bridge/filter> print stats
Columns: CHAIN, ACTION, BYTES, PACKETS
# CHAIN ACTION BYTES PACKETS
;;; stp filter
0 forward drop 0 0

Если же поменять цепочку с forward на input, то счётчик растёт и логи появляются, но пакеты всё равно форвардятся — естественно, я менял входной интерфейс на eth4:
[admin@MikroTik] /interface/bridge/filter> print
Flags: X - disabled, I - invalid, D - dynamic
0 ;;; stp filter
chain=input action=drop in-interface=ether4 dst-mac-address=01:80:C2:00:00:00/FF:FF:FF:FF:FF:FF log=yes log-prefix="stp log"
Stats:
[admin@MikroTik] /interface/bridge/filter> print stats
Columns: CHAIN, ACTION, BYTES, PACKETS
# CHAIN ACTION BYTES PACKETS
;;; stp filter
0 input drop 184 4

Лог:
00:15:22 firewall,info stp log input: in:ether4 out:(unknown 0), connection-state:invalid src-mac 6c:3b:6b:40:0c:fc, dst-mac 01:80:c2:00:00:00, eth-proto 0027
00:15:24 firewall,info stp log input: in:ether4 out:(unknown 0), connection-state:invalid src-mac 6c:3b:6b:40:0c:fc, dst-mac 01:80:c2:00:00:00, eth-proto 0027

Пробовал выставлять на SW2 порты eth2 и eth4 как edge port (в любой комбинации), но это не помогло.
05.01.2023 14:58:00, laca77.

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр".

Thu, 05 Jan 2023 12:15:00 -0500

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр". RouterOS в форуме RouterOS.
Затем вы фильтруете напрямую на самом коммутаторе, используя тот же метод, который я описал. Вот и всё. Никакой BUM-трафик не попадёт на другие интерфейсы.
05.01.2023 12:15:00, DarkNate.

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр".

Wed, 04 Jan 2023 22:56:00 -0500

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр". RouterOS в форуме RouterOS.
Ну, это было на моём свитче, чтобы я мог получить VLAN для интернета на уровне Layer 2... так что так же можно раздавать публичные адреса на уровне Layer 2. Роутер подключён к отдельному независимому порту для интернета, но весь трафик проходит через тот же самый свитч, который, по сути, является ядром остальной сети.
04.01.2023 22:56:00, joshhboss.

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр".

Wed, 04 Jan 2023 17:09:00 -0500

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр". RouterOS в форуме RouterOS.
Да, это правильный способ сделать. И только порты/интерфейсы вниз по потоку или внутри AS делают членами моста. Входящий канал к провайдеру нельзя включать в состав моста — он всегда должен быть отдельным интерфейсом, так сигналы BPDU не будут разливаться или утекать на другие интерфейсы. Это помогает, когда у моего провайдера начинается широковещательный шторм на их стороне.
04.01.2023 17:09:00, DarkNate.

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр".

Wed, 04 Jan 2023 13:47:00 -0500

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр". RouterOS в форуме RouterOS.
Это сработало у меня после общения с техподдержкой. RouterOS поддерживает стандартные протоколы M/R/STP, и вы можете указать, какие порты не будут участвовать в spanning tree, используя «edge=yes». Такие порты не будут отправлять и игнорировать стандартные BPDUs (01:80:C2:00:00:00). Однако RouterOS не поддерживает проприетарный PVST, поэтому программные и аппаратно-ускоренные мосты будут просто рассылать эти BPDUs (01:00:0C:CC:CC:CD) как обычный мультикаст-трафик. В зависимости от вашей сети и используемых протоколов, вы можете выбрать, какие входящие порты будут отбрасывать эти пакеты, если вы не хотите, чтобы их пересылали. С наилучшими пожеланиями, add dst-mac-address=01:00:0C:CC:CC:CD/FF:FF:FF:FF:FF:FF new-dst-ports=“” ports=combo1,combo2,sfp1,sfp2 switch=switch1
04.01.2023 13:47:00, joshhboss.

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр".

Wed, 04 Jan 2023 08:03:00 -0500

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр". RouterOS в форуме RouterOS.
Эта проблема сохраняется и в 2023 году. Я пытался найти ответ на этот вопрос повсюду.
04.01.2023 08:03:00, bernardthomas.

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр".

Sat, 31 Dec 2022 06:06:00 -0500

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр". RouterOS в форуме RouterOS.
Проблема всё ещё не решена в 2022 году, а мы уже идём в 2023-й. Искал везде, пытаясь разобраться, что к чему.
31.12.2022 06:06:00, joshhboss.

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр".

Sun, 15 Jul 2018 14:26:00 -0400

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр". RouterOS в форуме RouterOS.
Недавно столкнулся с похожей проблемой, когда BDPUs от провайдера попадали в мою L2-сеть и мешали работе моего RSTP. Помог следующий фильтр: /interface bridge filter add action=drop chain=forward in-interface=wan dst-mac-address=01:80:C2:00:00:00/FF:FF:FF:FF:FF:FF comment="filter ®STP from wan"
15.07.2018 14:26:00, expert.

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр".

Thu, 05 Jan 2023 15:50:00 -0500

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр". RouterOS в форуме RouterOS.
Вся ваша топология построена неправильно. RSTP (или MSTP, в зависимости от того, что вам нужно) должен быть включён на всех коммутаторах и правильно настроен для всех транковых портов, то есть для всех портов, не являющихся edge-портами. Сначала исправьте топологию и корректно настройте RSTP по всей сети.
05.01.2023 15:50:00, DarkNate.

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр".

Thu, 04 May 2017 12:00:00 -0400

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр". RouterOS в форуме RouterOS.
Всем привет! У меня ситуация, где нужно отфильтровать STP BPDU, которые выходят из портов моста на разных моделях CRS (112/125/226 и т.п.); это чтобы предотвратить передачу этих BPDUs в удалённую сеть. В удалённой сети их тоже будут фильтровать на входе, но нам нужно сделать фильтрацию и на выходе, ради безопасности. Это примерно аналог функции bpdu-filter у других вендоров. Сейчас тестирую на версии 6.38.5, так как это у нас внутренняя "стабильная" прошивка. Топология такова: локальная сеть сайта < все другие интерфейсы << CRS >> через ether1-master > удалённая сеть (STP BPDUs не должны передаваться в эту сеть). Конфигурация ниже создаёт мост для аппаратного STP-процесса коммутаторного чипа CRS, который динамически добавляет подчинённые интерфейсы в STP-мост. Пытаюсь использовать фильтр моста, чтобы отбрасывать все STP BPDUs (dst-mac-address=01:80:C2:00:00:00/FF:FF:FF:FF:FF:FF), выходящие по ether1-master, но фильтр моста ACL не влияет, и STP BPDUs с этим MAC-адресом назначения всё равно видны внешним Wireshark на ether1-master. Проверял разные варианты фильтров, например, без указания out-interface — результата нет.

/interface bridge add comment="Switch chip STP bridge" name=bridge-stp
/interface bridge filter add action=drop chain=output comment="Drop STP BPDUs egress ether1-master" dst-mac-address=01:80:C2:00:00:00/FF:FF:FF:FF:FF:FF out-interface=ether1-master
/interface bridge port add bridge=bridge-stp comment="Switch chip master interface" interface=ether1-master

Буду признателен за любые мысли или комментарии.
04.05.2017 12:00:00, tomranson.