Маршрутизаторы Mikrotik. Знакомство с VLAN.
Начнем с простого, узнаем, поддерживает ли ваш пушистый Микротик эти самые вланы. Критерием для их поддержки является наличие платы с определенным чипом. Вот список.
Atheros 8316 представлен в платах RB493G (ether1+ether6-ether9, ether2-ether5), RB1200 (ether1-ether5), RB450G (все порты (ether1 опционально) подробнее...), RB435G (все порты (ether1 опционально) подробнее...), RB750G, и в RB1100 (ether1-ether5, ether6-ether10).
Atheros 8327 представлен в платах серии RB2011 (ether1-ether5+sfp1), RB750GL, RB751G-2HnD, а также в RB1100AH и RB1100AHx2 (ether1-ether5, ether6-ether10).
Atheros8227 представлен в платах серии RB2011 (ether6-ether10).
Atheros 7240 представлен в RB750 (ether2-ether5), RB750UP (ether2-ether5), RB751U-2HnD (ether2-ether5) и RB951-2n.
Версию чипа узнать очень просто. Откройте в Winbox вкладку Switch:

Или выполните соответствующую команду в терминале.

Мой маршрутизатор линейки RB2011 обладает чипом Atheros 8327, с ним и будем играться.
Наша железяка позволяет работать с VLAN двумя способами. Самый простой это добавление интерфейса с нужным вам VLAN ID, а вот второй более мудреный - использовать Mikrotik в качестве управляемого свича, позволяющего отдавать вланы на порты в Access или Trunk, тем самым вешая или снимая с них VLAN-теги.
Самое лёгкое в нашем деле. Создание нужного влана. Заходим в Interfaces, и тыкнув плюсик выбираем тип создаваемого интерфейса - VLAN.

У нас появляется окошко, в котором достаточно заполнить всего три поля.

Name - имя создаваемого интерфейса;
VLAN ID - метка нашего VLAN;
Interface - порт или какой-либо другой интерфейс на котором будем смотреть VLAN.
Чтобы создать влан в терминале, вводим команду interface vlan add name=VLAN_Test_228 interface=ether10 vlan-id=228

После идем в IP >>> Addreses и назначаем новому интерфейсу IP.

Только тут нас поджидает маленький нюанс. Если влан нужно раздать на slave-порт, то добавить в него нужно master.
Настраивать всё будем средствами терминала Mikrotik, т.к. если вы являетесь обладателем старой железки GUI винбокса вам не поможет. В данном режиме наш Микротик будет работать как свич, и в этом случае его функции как маршрутизатора задействованы не будут. То есть мы теряем возможность какого-либо контроля сетевого трафика, зато пакеты будут лететь на скорости сетевых интерфейсов - есть у нас гигабитный порт, и эффективность его будет максимальной, и не резаться как в режимах бриджа и роутинга.
Рассмотрим две схемы. В первом случае наш Микротик будет свичом доступа, а во втором - транзитным.

Здесь всё просто. Второй порт будет транком (trunk, ака аплинк), а порты 3-5 будут работать в акцессе (access, доступ). На официальном сайте Mikrotik рассматривается данный пример, поэтому можете почитать русскую статью для чипа 8316 и английскую в случае с 8327. Или никуда не уходим и читаем дальше.
Для начала создадим свитч-группу.
Настраиваем на портах vlan-mode и vlan-header, а так же для access портов присваиваем default-vlan-id (аналоги PVID на D-link'ах и VLAN to Port на Linksys'ах).
Параметр "vlan-mode" может принимать следующие значения:
disabled - игнорировать vlan-таблицу, обрабатывать пакеты, содержащие vlan-теги точно так же, как если бы они не содержали vlan-тегов;
fallback - режим по умолчанию – обрабатывать пакеты, содержащие vlan-теги, не представленные в vlan-таблице, точно так же, как если бы они не содержали vlan-тегов. Пакеты, содержащие vlan-теги, представленные в vlan-таблице, но входящий порт не соответствует какому-либо порту в записях vlan-таблицы, не будут отброшены.
check - отбрасывать пакеты, содержащие vlan-теги, не представленные в vlan-таблице. Пакеты, содержащие vlan-теги, представленные в vlan-таблице, но входящий порт не соответствует какому-либо порту в записях vlan-таблицы, не будут отброшены.
secure - отбрасывать пакеты, содержащие vlan-теги, не представленные в vlan-таблице. Пакеты, содержащие vlan-теги, представленные в vlan-таблице, но входящий порт не соответствует какому-либо порту в записях vlan-таблицы, тоже будут отброшены.
Параметр "vlan-header" может принимать следующие значения:
leave-as-is - пакет не подвергается изменениям на исходящем порте;
always-strip - если VLAN-заголовок присутствует, он будет удалён из пакета;
add-if-missing - если VLAN-заголовок отсутствует, он будет добавлен к пакету.
Добавляем в таблицу VLAN записи наших меток:
Собственно всё, мы выполнили требования первой схемы.
Теперь представим такую ситуацию. Mikrotik стоит между двумя управляемыми свичами, и в этом случае нам достаточно настроить на нем два транковых порта, которые будут передавать данные с тэгом, к примеру, 141.
Для примера нам нужны будут два порта, пусть это будут 4-ый и 5-ый.
Снова потребуется создать свич-группу.
Настраиваем на портах vlan-mode и vlan-header:
Добавляем в таблицу VLAN записи наших меток:
Готово. Пакеты с тегом 141 будут проходить с одного порта на другой. При этом свичи (напоминаю, Mikrotik в нашем стоит между двумя свичами) также потребуется настроить нужным образом, но это уже другая история.
На просторах интернетов идет широкое обсуждение данной темы. Приведу некоторые вопросы и ответы на них.
Atheros 8316 представлен в платах RB493G (ether1+ether6-ether9, ether2-ether5), RB1200 (ether1-ether5), RB450G (все порты (ether1 опционально) подробнее...), RB435G (все порты (ether1 опционально) подробнее...), RB750G, и в RB1100 (ether1-ether5, ether6-ether10).
Atheros 8327 представлен в платах серии RB2011 (ether1-ether5+sfp1), RB750GL, RB751G-2HnD, а также в RB1100AH и RB1100AHx2 (ether1-ether5, ether6-ether10).
Atheros8227 представлен в платах серии RB2011 (ether6-ether10).
Atheros 7240 представлен в RB750 (ether2-ether5), RB750UP (ether2-ether5), RB751U-2HnD (ether2-ether5) и RB951-2n.
Версию чипа узнать очень просто. Откройте в Winbox вкладку Switch:

Или выполните соответствующую команду в терминале.

Мой маршрутизатор линейки RB2011 обладает чипом Atheros 8327, с ним и будем играться.
Наша железяка позволяет работать с VLAN двумя способами. Самый простой это добавление интерфейса с нужным вам VLAN ID, а вот второй более мудреный - использовать Mikrotik в качестве управляемого свича, позволяющего отдавать вланы на порты в Access или Trunk, тем самым вешая или снимая с них VLAN-теги.
Добавление интерфейса VLAN.
Самое лёгкое в нашем деле. Создание нужного влана. Заходим в Interfaces, и тыкнув плюсик выбираем тип создаваемого интерфейса - VLAN.

У нас появляется окошко, в котором достаточно заполнить всего три поля.

Name - имя создаваемого интерфейса;
VLAN ID - метка нашего VLAN;
Interface - порт или какой-либо другой интерфейс на котором будем смотреть VLAN.
Чтобы создать влан в терминале, вводим команду interface vlan add name=VLAN_Test_228 interface=ether10 vlan-id=228

После идем в IP >>> Addreses и назначаем новому интерфейсу IP.

Только тут нас поджидает маленький нюанс. Если влан нужно раздать на slave-порт, то добавить в него нужно master.
Настройка VLAN Switch
Настраивать всё будем средствами терминала Mikrotik, т.к. если вы являетесь обладателем старой железки GUI винбокса вам не поможет. В данном режиме наш Микротик будет работать как свич, и в этом случае его функции как маршрутизатора задействованы не будут. То есть мы теряем возможность какого-либо контроля сетевого трафика, зато пакеты будут лететь на скорости сетевых интерфейсов - есть у нас гигабитный порт, и эффективность его будет максимальной, и не резаться как в режимах бриджа и роутинга.
Рассмотрим две схемы. В первом случае наш Микротик будет свичом доступа, а во втором - транзитным.

Здесь всё просто. Второй порт будет транком (trunk, ака аплинк), а порты 3-5 будут работать в акцессе (access, доступ). На официальном сайте Mikrotik рассматривается данный пример, поэтому можете почитать русскую статью для чипа 8316 и английскую в случае с 8327. Или никуда не уходим и читаем дальше.
Для начала создадим свитч-группу.
/interface ethernet
set ether3 master-port=ether2
set ether4 master-port=ether2
set ether5 master-port=ether2
Настраиваем на портах vlan-mode и vlan-header, а так же для access портов присваиваем default-vlan-id (аналоги PVID на D-link'ах и VLAN to Port на Linksys'ах).
Параметр "vlan-mode" может принимать следующие значения:
disabled - игнорировать vlan-таблицу, обрабатывать пакеты, содержащие vlan-теги точно так же, как если бы они не содержали vlan-тегов;
fallback - режим по умолчанию – обрабатывать пакеты, содержащие vlan-теги, не представленные в vlan-таблице, точно так же, как если бы они не содержали vlan-тегов. Пакеты, содержащие vlan-теги, представленные в vlan-таблице, но входящий порт не соответствует какому-либо порту в записях vlan-таблицы, не будут отброшены.
check - отбрасывать пакеты, содержащие vlan-теги, не представленные в vlan-таблице. Пакеты, содержащие vlan-теги, представленные в vlan-таблице, но входящий порт не соответствует какому-либо порту в записях vlan-таблицы, не будут отброшены.
secure - отбрасывать пакеты, содержащие vlan-теги, не представленные в vlan-таблице. Пакеты, содержащие vlan-теги, представленные в vlan-таблице, но входящий порт не соответствует какому-либо порту в записях vlan-таблицы, тоже будут отброшены.
Параметр "vlan-header" может принимать следующие значения:
leave-as-is - пакет не подвергается изменениям на исходящем порте;
always-strip - если VLAN-заголовок присутствует, он будет удалён из пакета;
add-if-missing - если VLAN-заголовок отсутствует, он будет добавлен к пакету.
/interface ethernet switch port
set ether3 vlan-mode=secure vlan-header=always-strip default-vlan-id=200
set ether4 vlan-mode=secure vlan-header=always-strip default-vlan-id=300
set ether5 vlan-mode=secure vlan-header=always-strip default-vlan-id=400
set ether2 vlan-mode=secure vlan-header=add-if-missing
Добавляем в таблицу VLAN записи наших меток:
/interface ethernet switch vlan
add ports=ether3,ether2 switch=switch1 vlan-id=200 independent-learning=yes
add ports=ether4,ether2 switch=switch1 vlan-id=300 independent-learning=yes
add ports=ether5,ether2 switch=switch1 vlan-id=400 independent-learning=yes
Собственно всё, мы выполнили требования первой схемы.
Теперь представим такую ситуацию. Mikrotik стоит между двумя управляемыми свичами, и в этом случае нам достаточно настроить на нем два транковых порта, которые будут передавать данные с тэгом, к примеру, 141.
Для примера нам нужны будут два порта, пусть это будут 4-ый и 5-ый.
Снова потребуется создать свич-группу.
/interface ethernet
set ether4 master-port=ether5
Настраиваем на портах vlan-mode и vlan-header:
/interface ethernet switch port
set ether4 vlan-mode=secure vlan-header=add-if-missing
set ether5 vlan-mode=secure vlan-header=add-if-missing
Добавляем в таблицу VLAN записи наших меток:
/interface ethernet switch vlan
add ports=ether4,ether5 switch=switch1 vlan-id=141 independent-learning=yes
Готово. Пакеты с тегом 141 будут проходить с одного порта на другой. При этом свичи (напоминаю, Mikrotik в нашем стоит между двумя свичами) также потребуется настроить нужным образом, но это уже другая история.
Интересные вопросы
На просторах интернетов идет широкое обсуждение данной темы. Приведу некоторые вопросы и ответы на них.
Подскажите пожалуйста.
Раньше было так:
Два провайдера шли в d-link des 3028, туда же были подключены сервера и клиенты.
Гетвэй был на freebsd — виртуалка на одном из сервров.
все было организованно через три VLAN:
VLAN1 дефолтный он же клиентский: 1-2, 4,6,8-28
VLAN2: 1 (Hyrep v1), 3 (провайдер1), 5 (Hyper-v2)
VLAN3: 1(Hyrep v1),5(Hyper-v2),7(провайдер2)
на виртуалках сетевые адаптеры т.ж. помечны VLAn
Такой еще нюанс, на Hyper — V2 стоит asterisk и ему требуется линк от двух провайдеров (исходящие звонки — провайдер1, входящие — провайдер2) купили mikrotik, поэтому решила положить freebsd и отдать его роль новому роутеру. хочу чтобы он поднимал подключения. В него будут идти оба провайдера, сервера и d-link3028 (уже только для клиентов) вопрос в том как также на микротике организовать VLANы как было раньше на d-linke?
на микротике Ether1 и Ether2 будут access портами с Vlan3 и Vlan2 соответственно (и провайдером1 и 2) Ether3 и Ether4 будут trunk портами, на которых будут висеть сервера.
Можно все это сделать на одной свитч-группе?
Upd. Ситуация смешна и неприлична, но я не понимаю как это все реализовать. по идее я должна создать vlan, повесить на него bridge и включить в мост физические порты (они и будут access). понятно когда trunk-порт один вот такой вот конфиг:
/interface vlan add name=vlan3 interface=ether3 vlan-id=3
/interface vlan add name=vlan2 interface=ether3 vlan-id=2
/interface bridge add name=bridge-vlan3
/interface bridge add name=bridge-vlan2
/interface bridge port add bridge=bridge-vlan3 interface=ether1
/interface bridge port add bridge=bridge-vlan3 interface=vlan3
/interface bridge port add bridge=bridge-vlan2 interface=ether2
/interface bridge port add bridge=bridge-vlan2 interface=vlan2
но у меня еще один транк-порт ether4 с vlan3 и vlan2
этот вариант работает, а switch нет(
но есть проблема:
на ether1 поднимается линк от провайдера, и когда я добавляю vlanы способом, который я указала, у меня пропадает интернет. Подскажите может маршруты или что-то еще надо добавить?
Раньше было так:
Два провайдера шли в d-link des 3028, туда же были подключены сервера и клиенты.
Гетвэй был на freebsd — виртуалка на одном из сервров.
все было организованно через три VLAN:
VLAN1 дефолтный он же клиентский: 1-2, 4,6,8-28
VLAN2: 1 (Hyrep v1), 3 (провайдер1), 5 (Hyper-v2)
VLAN3: 1(Hyrep v1),5(Hyper-v2),7(провайдер2)
на виртуалках сетевые адаптеры т.ж. помечны VLAn
Такой еще нюанс, на Hyper — V2 стоит asterisk и ему требуется линк от двух провайдеров (исходящие звонки — провайдер1, входящие — провайдер2) купили mikrotik, поэтому решила положить freebsd и отдать его роль новому роутеру. хочу чтобы он поднимал подключения. В него будут идти оба провайдера, сервера и d-link3028 (уже только для клиентов) вопрос в том как также на микротике организовать VLANы как было раньше на d-linke?
на микротике Ether1 и Ether2 будут access портами с Vlan3 и Vlan2 соответственно (и провайдером1 и 2) Ether3 и Ether4 будут trunk портами, на которых будут висеть сервера.
Можно все это сделать на одной свитч-группе?
Upd. Ситуация смешна и неприлична, но я не понимаю как это все реализовать. по идее я должна создать vlan, повесить на него bridge и включить в мост физические порты (они и будут access). понятно когда trunk-порт один вот такой вот конфиг:
/interface vlan add name=vlan3 interface=ether3 vlan-id=3
/interface vlan add name=vlan2 interface=ether3 vlan-id=2
/interface bridge add name=bridge-vlan3
/interface bridge add name=bridge-vlan2
/interface bridge port add bridge=bridge-vlan3 interface=ether1
/interface bridge port add bridge=bridge-vlan3 interface=vlan3
/interface bridge port add bridge=bridge-vlan2 interface=ether2
/interface bridge port add bridge=bridge-vlan2 interface=vlan2
но у меня еще один транк-порт ether4 с vlan3 и vlan2
этот вариант работает, а switch нет(
но есть проблема:
на ether1 поднимается линк от провайдера, и когда я добавляю vlanы способом, который я указала, у меня пропадает интернет. Подскажите может маршруты или что-то еще надо добавить?
/interface ethernet
set ether1 master-port=ether4
set ether2 master-port=ether4
set ether3 master-port=ether4
/interface ethernet switch port
set ether1 vlan-mode=secure vlan-header=always-strip default-vlan-id=3
set ether2 vlan-mode=secure vlan-header=always-strip default-vlan-id=2
set ether3 vlan-mode=secure vlan-header=add-if-missing
set ether4 vlan-mode=secure vlan-header=add-if-missing
set switch1_cpu vlan-mode=fallback vlan-header=leave-as-is
/interface ethernet switch vlan
add ports=ether1,ether3,ether4,switch1_cpu switch=switch1 vlan-id=3 independent-learning=yes
add ports=ether2,ether3,ether4,switch1_cpu switch=switch1 vlan-id=2 independent-learning=yes
/interface vlan
add name=vlan2 vlan-id=2 interface=ether4
/interface vlan
add name=vlan3 vlan-id=3 interface=ether4
/ip address
add address=192.168.88.1/24 interface=vlan3 network=192.168.88.0
/ip address
add address=192.168.89.1/24 interface=vlan2 network=192.168.89.0
как-то так.
Но опять таки если есть свитч управляемый не вижу смысла городить этот огород на микротике, проще транковые порты на самом свитче настроить подключить их к микротику и дальше тупо создать интерфейс VLAN как в самом начале статьи написано, просто до безобразия и не надо голову ломать.
Upd. Проблема в том что Вы используете бридж, в этом случае вланов как таковых нет, когда Вы бриджуете первый вилан со вторым, толку от того что один порт в первом вилане, а второй во втором никакого, деления нет.
И скорее всего Ваш же провайдер Вас и блочит по штормконтролю или ещё по какой-лаже. Вариант с бриджами априори нерабочий, как Вы понять этого не можете.
Да и кстати, а зачем вообще длинк убирать из этой схемы? Он Вам чем-то мешал? ))
set ether1 master-port=ether4
set ether2 master-port=ether4
set ether3 master-port=ether4
/interface ethernet switch port
set ether1 vlan-mode=secure vlan-header=always-strip default-vlan-id=3
set ether2 vlan-mode=secure vlan-header=always-strip default-vlan-id=2
set ether3 vlan-mode=secure vlan-header=add-if-missing
set ether4 vlan-mode=secure vlan-header=add-if-missing
set switch1_cpu vlan-mode=fallback vlan-header=leave-as-is
/interface ethernet switch vlan
add ports=ether1,ether3,ether4,switch1_cpu switch=switch1 vlan-id=3 independent-learning=yes
add ports=ether2,ether3,ether4,switch1_cpu switch=switch1 vlan-id=2 independent-learning=yes
/interface vlan
add name=vlan2 vlan-id=2 interface=ether4
/interface vlan
add name=vlan3 vlan-id=3 interface=ether4
/ip address
add address=192.168.88.1/24 interface=vlan3 network=192.168.88.0
/ip address
add address=192.168.89.1/24 interface=vlan2 network=192.168.89.0
как-то так.
Но опять таки если есть свитч управляемый не вижу смысла городить этот огород на микротике, проще транковые порты на самом свитче настроить подключить их к микротику и дальше тупо создать интерфейс VLAN как в самом начале статьи написано, просто до безобразия и не надо голову ломать.
Upd. Проблема в том что Вы используете бридж, в этом случае вланов как таковых нет, когда Вы бриджуете первый вилан со вторым, толку от того что один порт в первом вилане, а второй во втором никакого, деления нет.
И скорее всего Ваш же провайдер Вас и блочит по штормконтролю или ещё по какой-лаже. Вариант с бриджами априори нерабочий, как Вы понять этого не можете.
Да и кстати, а зачем вообще длинк убирать из этой схемы? Он Вам чем-то мешал? ))
Вопрос как к специалисту в теме:
Есть RB2011UiAS-2HnD-IN который содержит два свитча :
- swith1 - AR8327 (Gigabit Switch - отдельным чипом) который обслуживает sfp-модуль и Gigabit Ethernet порты с 1 по 5;
- swith2 - AR8227 (100Mbit - насколько я понял из диаграммы, входит в состав основного чипа CPU) через него работают ether6-10
[admin@MikroTik] > /interface ethernet switch print
Flags: I - invalid
# NAME TYPE MIRROR-SOURCE MIRROR-TARGET SWITCH-ALL-PORTS
0 switch1 Atheros-8327 none none
1 switch2 Atheros-8227 none none
Дефолтная настройка предполагает использование в качестве WAN интерфейсов портов sfp и ether1, а для работы с LAN используется программный "bridge-local", который объединяет WiFi (wlan1) и все остальные порты (ether2-10).
/interface bridge port
add bridge=bridge-local interface=ether2
add bridge=bridge-local interface=ether3
add bridge=bridge-local interface=ether4
add bridge=bridge-local interface=ether5
add bridge=bridge-local interface=ether6-master-local
add bridge=bridge-local interface=wlan1
Но как видно и конфигурации, в коммутационную группу объединяются только порты switch2, а порты switch1 добавляются каждый в отдельности,
Вопрос-1: В чем преимущество раздельного сопряжения портов через бридж, почему не используют объединение группу портов ether2-5?
Вопрос-2: Что означает параметр "DEFAULT-VLAN-ID":
[admin@MikroTik] > /interface ethernet switch port print
Flags: I - invalid
# NAME SWITCH VLAN-MODE VLAN-HEADER DEFAULT-VLAN-ID
0 0_WAN0-sfp1 switch1 disabled leave-as-is auto
1 2_LAN-eth1 switch1 disabled leave-as-is auto
2 2_LAN-eth2 switch1 disabled leave-as-is auto
3 2_LAN-eth3 switch1 disabled leave-as-is auto
4 2_LAN-eth4 switch1 disabled leave-as-is auto
5 2_LAN-eth5 switch1 disabled leave-as-is auto
6 3_LAN-eth6 switch2 disabled leave-as-is 0
7 3_LAN-eth7 switch2 disabled leave-as-is 0
8 0_WAN3-eth8 switch2 disabled leave-as-is 0
9 0_WAN2-eth9 switch2 disabled leave-as-is 0
10 0_WAN1-eth10 switch2 disabled leave-as-is 0
11 switch1-cpu switch1 disabled leave-as-is auto
12 switch2-cpu switch2 disabled leave-as-is 0
И почему для всех портов switch1 он 'auto', а для switch2 - '0'? Если предполагается использовать в качестве WAN 100М потры, это не будет проблемой? Не будет ли трафик разных провайдеров смешиваться?
Есть RB2011UiAS-2HnD-IN который содержит два свитча :
- swith1 - AR8327 (Gigabit Switch - отдельным чипом) который обслуживает sfp-модуль и Gigabit Ethernet порты с 1 по 5;
- swith2 - AR8227 (100Mbit - насколько я понял из диаграммы, входит в состав основного чипа CPU) через него работают ether6-10
[admin@MikroTik] > /interface ethernet switch print
Flags: I - invalid
# NAME TYPE MIRROR-SOURCE MIRROR-TARGET SWITCH-ALL-PORTS
0 switch1 Atheros-8327 none none
1 switch2 Atheros-8227 none none
Дефолтная настройка предполагает использование в качестве WAN интерфейсов портов sfp и ether1, а для работы с LAN используется программный "bridge-local", который объединяет WiFi (wlan1) и все остальные порты (ether2-10).
/interface bridge port
add bridge=bridge-local interface=ether2
add bridge=bridge-local interface=ether3
add bridge=bridge-local interface=ether4
add bridge=bridge-local interface=ether5
add bridge=bridge-local interface=ether6-master-local
add bridge=bridge-local interface=wlan1
Но как видно и конфигурации, в коммутационную группу объединяются только порты switch2, а порты switch1 добавляются каждый в отдельности,
Вопрос-1: В чем преимущество раздельного сопряжения портов через бридж, почему не используют объединение группу портов ether2-5?
Вопрос-2: Что означает параметр "DEFAULT-VLAN-ID":
[admin@MikroTik] > /interface ethernet switch port print
Flags: I - invalid
# NAME SWITCH VLAN-MODE VLAN-HEADER DEFAULT-VLAN-ID
0 0_WAN0-sfp1 switch1 disabled leave-as-is auto
1 2_LAN-eth1 switch1 disabled leave-as-is auto
2 2_LAN-eth2 switch1 disabled leave-as-is auto
3 2_LAN-eth3 switch1 disabled leave-as-is auto
4 2_LAN-eth4 switch1 disabled leave-as-is auto
5 2_LAN-eth5 switch1 disabled leave-as-is auto
6 3_LAN-eth6 switch2 disabled leave-as-is 0
7 3_LAN-eth7 switch2 disabled leave-as-is 0
8 0_WAN3-eth8 switch2 disabled leave-as-is 0
9 0_WAN2-eth9 switch2 disabled leave-as-is 0
10 0_WAN1-eth10 switch2 disabled leave-as-is 0
11 switch1-cpu switch1 disabled leave-as-is auto
12 switch2-cpu switch2 disabled leave-as-is 0
И почему для всех портов switch1 он 'auto', а для switch2 - '0'? Если предполагается использовать в качестве WAN 100М потры, это не будет проблемой? Не будет ли трафик разных провайдеров смешиваться?
в статье описано что такое default-vlan-id, в вашем случае там можно любые цифры писать это не будет иметь значение потому что vlan-mode на всех портах disabled (выключен).
Что касается вопроса про бридж, то сделано это я так предполагаю потому что используется два свитч-чипа, был бы один можно было бы бы без бриджа обойтись, преимуществ никаких, одни недостатки, пропуск трафика через бридж микротик выполняет с меньшей производительностью.
Если хотите какие-то порты для wan использовать просто исключите их из бриджа и посмотрите что бы у них не был задан мастер порт, этого достаточно.
Что касается вопроса про бридж, то сделано это я так предполагаю потому что используется два свитч-чипа, был бы один можно было бы бы без бриджа обойтись, преимуществ никаких, одни недостатки, пропуск трафика через бридж микротик выполняет с меньшей производительностью.
Если хотите какие-то порты для wan использовать просто исключите их из бриджа и посмотрите что бы у них не был задан мастер порт, этого достаточно.
Вижу что тут толковые ребята по микротику пишут. Подскажите в чем может быть подвох, и хватит этого железа.
У меня MikroTik CRS125 24G-1S-RM. Хотел я его использовать, как роутер. в него входят два линка от разных провайдеров. 1 и 2 порт. в 3 входит серверная группа. в оптику входят трафик с восьмью виланами.
Виланы, это разные сегменты предприятия с своеими сетями. Микротик всем раздает ip-адреса. веланы обьеденены в бридж.
В белый день микротик теряет пакеты ... до 10% ну и как следствие лаги в сити.
ps. на каждом велане от 10 до 30 компов. и трафик с ip-камер HD
правил ноль, пока ноль. Я хочу изолировать веланы друг от друга (сейчас у меня так все работает на старом роутере , PS под линукс). То есть и Вы склоны к тому что железо слабое! А что вы скажете насчет этого MikroTik CCR1009-8G-1S ?
У меня MikroTik CRS125 24G-1S-RM. Хотел я его использовать, как роутер. в него входят два линка от разных провайдеров. 1 и 2 порт. в 3 входит серверная группа. в оптику входят трафик с восьмью виланами.
Виланы, это разные сегменты предприятия с своеими сетями. Микротик всем раздает ip-адреса. веланы обьеденены в бридж.
В белый день микротик теряет пакеты ... до 10% ну и как следствие лаги в сити.
ps. на каждом велане от 10 до 30 компов. и трафик с ip-камер HD
правил ноль, пока ноль. Я хочу изолировать веланы друг от друга (сейчас у меня так все работает на старом роутере , PS под линукс). То есть и Вы склоны к тому что железо слабое! А что вы скажете насчет этого MikroTik CCR1009-8G-1S ?
какой смысл бить на виланы если в итоге вы всё равно бриджуете на микротике их?
и сколько всего ПК в сети, насколько я понимаю железка не очень шустрая, 600 мхз проц да в описании прямо сказано что это СОХО сегмент, а у вы на него завели от 80 до 240 пк, даже 80 для него много я считаю, зависит правда от правил, фильтры и маркировка + куос довольно много могут отъедать производительности.
явно мощнее устройство чем у Вас, 9 ядер по 1.2 гц, + там табличка есть производительности.
http://routerboard.com/CCR1009-8G-1S-1Splus сами сравните
а у вас примерно как у http://routerboard.com/RB951G-2HnD производительность должна быть т.е. раз в 15-20 меньше.по хорошему у Вас не роутер, а свитч управляемый (собственно на сайте эта железка в разделе свитчей и висит), с возможностью маршрутизации, но лучше использовать именно как свитч т.е. никаких бриджей.
я вот такой брал - http://routerboard.com/RB1100AH для клиента под 20-40 пк, с учётом возможного роста максимум до 100, ну это так, что бы вы примерно представляли о чём речь.
РБ не хватит для Ваших потребностей, берите минимально CCR-1009, останетесь довольны!
и сколько всего ПК в сети, насколько я понимаю железка не очень шустрая, 600 мхз проц да в описании прямо сказано что это СОХО сегмент, а у вы на него завели от 80 до 240 пк, даже 80 для него много я считаю, зависит правда от правил, фильтры и маркировка + куос довольно много могут отъедать производительности.
явно мощнее устройство чем у Вас, 9 ядер по 1.2 гц, + там табличка есть производительности.
http://routerboard.com/CCR1009-8G-1S-1Splus сами сравните
а у вас примерно как у http://routerboard.com/RB951G-2HnD производительность должна быть т.е. раз в 15-20 меньше.по хорошему у Вас не роутер, а свитч управляемый (собственно на сайте эта железка в разделе свитчей и висит), с возможностью маршрутизации, но лучше использовать именно как свитч т.е. никаких бриджей.
я вот такой брал - http://routerboard.com/RB1100AH для клиента под 20-40 пк, с учётом возможного роста максимум до 100, ну это так, что бы вы примерно представляли о чём речь.
РБ не хватит для Ваших потребностей, берите минимально CCR-1009, останетесь довольны!
А как и можно ли вообще. Wifi маркировать vlan id?
обычно для своего vlan id создаётся ещё одна виртуальная точка доступа, что бы все пакеты из этой ап прокидывались в опредёленный вилан, других вариантов я не слышал.
Примечание. AP это access point точка доступа.
создаёте виртуальную АП, создаёте интерфейс с виланом и бриджуете их. Но может быть можно и как-то по другому, я не знаю никогда ничего подобного не делал и не собираюсь.
Примечание. AP это access point точка доступа.
создаёте виртуальную АП, создаёте интерфейс с виланом и бриджуете их. Но может быть можно и как-то по другому, я не знаю никогда ничего подобного не делал и не собираюсь.
Привет, первый раз держу в руках CRS125-24G-1S-RM девайс, до этого настраивал ток циски да НР. Читаю статьи и никак не могу врубиться в логику этих микротиков. Помогите разобраться.
Мне нужно использовать девайс как основной маршрутизатор трафика. На него приходит от провайдера инет. К микротику будут подключаться как сервера, так и управляемые и неуправляемые коммутаторы внутренней сети. На серверах будет Актив директори, ДНС и ДХЦП, прокся, раздающиеся внутрь локалки.
Для начала хочется сделать 1 порт на микротике для провайдера и на нем НАТ, 2-й порт акес на сервер домен-контроллера (VLAN10 - 10.10.10.1/24 - серверный вилан имеет доступ во все виланы), 3-й порт транковый на управляемый коммутатор, куда подключены пользователи (VLAN1,VLAN20,VLAN30) и 4-й порт акес на неуправляемый коммутатор (VLAN40 - 10.10.40.1/24 - пользовательский вилан).
Менеджмент вилан для управления коммутаторами VLAN1 (10.10.1.1/24 - дефолт для всех управляемых коммутаторов, он же адрес входа на микротик) будет доступен только из VLAN1,VLAN10,VLAN20. VLAN20 - 10.10.20.1/24 - админский вилан имет доступ во все виланы, VLAN30 - 10.10.30.1/24 - пользовательский вилан. Пользовательские виланы изолированы и имеют сами доступ только в серверный VLAN10.
И как этот огород собрать на микротике?
Мне нужно использовать девайс как основной маршрутизатор трафика. На него приходит от провайдера инет. К микротику будут подключаться как сервера, так и управляемые и неуправляемые коммутаторы внутренней сети. На серверах будет Актив директори, ДНС и ДХЦП, прокся, раздающиеся внутрь локалки.
Для начала хочется сделать 1 порт на микротике для провайдера и на нем НАТ, 2-й порт акес на сервер домен-контроллера (VLAN10 - 10.10.10.1/24 - серверный вилан имеет доступ во все виланы), 3-й порт транковый на управляемый коммутатор, куда подключены пользователи (VLAN1,VLAN20,VLAN30) и 4-й порт акес на неуправляемый коммутатор (VLAN40 - 10.10.40.1/24 - пользовательский вилан).
Менеджмент вилан для управления коммутаторами VLAN1 (10.10.1.1/24 - дефолт для всех управляемых коммутаторов, он же адрес входа на микротик) будет доступен только из VLAN1,VLAN10,VLAN20. VLAN20 - 10.10.20.1/24 - админский вилан имет доступ во все виланы, VLAN30 - 10.10.30.1/24 - пользовательский вилан. Пользовательские виланы изолированы и имеют сами доступ только в серверный VLAN10.
И как этот огород собрать на микротике?
я не совсем догоняю фразу "серверный вилан имеет доступ во все виланы", это чё значит? как может вилан во все виланы доступ иметь?
если надо отделить ip один от другого и дать доступ админской подсети куда угодно и сервеной, а юзеров изолировать, то я бы это на уровне маршрутизатора делал, а не на уровне виланов.
Цитата: Автор вопроса
ну вы правильно говорите, я видать не совсем верно выразился, я это и имел ввиду.
Сейчас я даже не могу понять смысл разделения маршрутизации либо ЦПУ либо RouterOS.
если 10 и 40 только на микротик приходят то особо смысла даже не вижу вилан на них заводить, ну ладно 10 может быть уже настроен, но 40 вроде как не нужен.
если на порту мироктика НЕ задавать master интерфейс то он НЕ будет общаться с соседними портами.
дальше 20 30 и создаёте как в первой части статьи опиасано, затем в ip-address list добавляете ip для всех ваших портов и виланов, смотрите как они друг с другом общаются, через ip - firewall - filter запрещаете прохождение трафика с нужных направлений, по Вашему описанию запретить вам надо только трафик с 20 на 30 вилан, с 20 на тупой свитч, с 30 на тупой свитч. 3 правила.
Цитата: Автор вопроса
Ну я описал начальное желание, что бы понять смысл конфигурирования микротиков. Вообще 10 и 40 тоже будут идти и дальше от микротика через управляемые коммутаторы, потому как сервера будут и на удаленных площадях, как и пользователи 40-го вилана в других местах, да и другие виланы тоже будут еще.
Просто вот сейчас мне нужно именно подключить на сам микротик - 1 сервак и 2 коммутатора, 1 управляемый, а другой нет.
И еще - по дефолту как я понимаю там все порты объедены в switch1. А мне нужно через что делать? через свитч, бридж или как то по другому? Я пока не понял смысла разделения на эти группы.
если надо отделить ip один от другого и дать доступ админской подсети куда угодно и сервеной, а юзеров изолировать, то я бы это на уровне маршрутизатора делал, а не на уровне виланов.
Цитата: Автор вопроса
ну вы правильно говорите, я видать не совсем верно выразился, я это и имел ввиду.
Сейчас я даже не могу понять смысл разделения маршрутизации либо ЦПУ либо RouterOS.
если 10 и 40 только на микротик приходят то особо смысла даже не вижу вилан на них заводить, ну ладно 10 может быть уже настроен, но 40 вроде как не нужен.
если на порту мироктика НЕ задавать master интерфейс то он НЕ будет общаться с соседними портами.
дальше 20 30 и создаёте как в первой части статьи опиасано, затем в ip-address list добавляете ip для всех ваших портов и виланов, смотрите как они друг с другом общаются, через ip - firewall - filter запрещаете прохождение трафика с нужных направлений, по Вашему описанию запретить вам надо только трафик с 20 на 30 вилан, с 20 на тупой свитч, с 30 на тупой свитч. 3 правила.
Цитата: Автор вопроса
Ну я описал начальное желание, что бы понять смысл конфигурирования микротиков. Вообще 10 и 40 тоже будут идти и дальше от микротика через управляемые коммутаторы, потому как сервера будут и на удаленных площадях, как и пользователи 40-го вилана в других местах, да и другие виланы тоже будут еще.
Просто вот сейчас мне нужно именно подключить на сам микротик - 1 сервак и 2 коммутатора, 1 управляемый, а другой нет.
И еще - по дефолту как я понимаю там все порты объедены в switch1. А мне нужно через что делать? через свитч, бридж или как то по другому? Я пока не понял смысла разделения на эти группы.
Подскажите пожалуйста, а в случае когда на сами вланы нужно затерминировать на самом микротике, куда IP навешивать? Или когда работает свитч, то микротик вланы в виде интерфейсов не видит?
К примеру на микротике нужно несколько вланов со своими DHCP серверами, которые будут уходить транком на другой микротик, который будет в качестве доступа.
Как быть?
К примеру на микротике нужно несколько вланов со своими DHCP серверами, которые будут уходить транком на другой микротик, который будет в качестве доступа.
Как быть?
добавляете интерфейс, как в первой части статьи описано, на этот интерфейс ip и вешаете
в случае со свитчём, надо будет ещё в таблицу vlan добавить switch cpu, и уже потом добавлять vlan интерфейс на мастер-порту.
сам switch cpu в режим fallback и leave as is
Цитата: Автор вопроса
Спасибо. Я правильно понял, что интерфейсы вланов нужно добавлять на транковый порт, который должен быть мастер-портом для свич-группы?
не обязательно транковый, но обязательно мастер, вроде бы, но на транковом который мастер точно будет работать ))
Цитата: Автор вопроса
Скажите пожалуйста, а если на такой влан в транке будет приходить мультикаст, то он будет распространен на все порты свич группы или останется в вилане?
по идее за пределы вилана ничего не должно уходить, если вы только прокси не настроите.
в случае со свитчём, надо будет ещё в таблицу vlan добавить switch cpu, и уже потом добавлять vlan интерфейс на мастер-порту.
сам switch cpu в режим fallback и leave as is
Цитата: Автор вопроса
Спасибо. Я правильно понял, что интерфейсы вланов нужно добавлять на транковый порт, который должен быть мастер-портом для свич-группы?
не обязательно транковый, но обязательно мастер, вроде бы, но на транковом который мастер точно будет работать ))
Цитата: Автор вопроса
Скажите пожалуйста, а если на такой влан в транке будет приходить мультикаст, то он будет распространен на все порты свич группы или останется в вилане?
по идее за пределы вилана ничего не должно уходить, если вы только прокси не настроите.
Интересная статья, но вот жалко что параметр "independent-learning=yes" не расписан что к чему и зачем он вообще
пока не выставлял yes у меня вилан не начинал работать в некоторых случаях.
есть описание на других сайтах, фича эта называется independent VLAN learning (IVL)
IVL осуществляет привязку MAC-адреса и VLAN-ID что позволяет использование одного MAC-адреса для нескольких VLAN.
есть описание на других сайтах, фича эта называется independent VLAN learning (IVL)
IVL осуществляет привязку MAC-адреса и VLAN-ID что позволяет использование одного MAC-адреса для нескольких VLAN.
У меня есть железка hAP AC lite с чипом Atheros 8227. Приходит ко мне витая пара с тремя Vlan- 10, 20 и 30. Я в точности повторяю ваши команды, вроде все работает. Но затык в том что мне надо еще Wi-Fi интерфейсы туда прикрутить. У меня будет 4 вай фая, 2,4 и 5 Ггц на Vlan 10, и две виртуальных АР 2,4 Ггц, одна гостевая под Vlan 10 и вторая под Vlan 20. Как заставить Wi-Fi брать пакеты с определенных Vlan?
вай фай всегда бриджуется, добавляете интерфейс vlan как в первой части описано, и добавляете его в бридж с нужным wifi интерфейсом.Цитата: Автор вопроса
Так это я пробовал, но нужный порт ругается что он привязан к порту 2 и не даёт сбриджевать себя
vlan интерфейс всегда на мастер порту добавляется.
вам не нужно порт бриджевать, нужно vlan интерфейс бриджевать, который создаётся точно так же как в первой части этой статьи описано.
Так это я пробовал, но нужный порт ругается что он привязан к порту 2 и не даёт сбриджевать себя
vlan интерфейс всегда на мастер порту добавляется.
вам не нужно порт бриджевать, нужно vlan интерфейс бриджевать, который создаётся точно так же как в первой части этой статьи описано.
- Jack Frost от
Посетители, находящиеся в группе Гости, не могут оставлять комментарии к данной публикации.