+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

hAP ac3 - VLAN и межвлан

hAP ac3 - VLAN и межвлан, RouterOS

FrogTik

Guest

31.01.2021 14:32:00

Привет, ребята! Облазил интернет, пересмотрел кучу видео и форумов, чтобы разобраться, как это сделать, и в конце концов пришлось проглотить гордость, признать, что, возможно, взялся за дело не по зубам, и снова обратиться к профессионалам на форуме за советом. Меня достали ультраограниченные роутеры коммерческого уровня, которые на бумаге вроде бы мощные, но по цене, политике и маркетингу им урезали все функции, поэтому я купил MikroTik hAP ac3. Раньше у меня был 18 Мбит ADSL, теперь 300 Мбит вверх и 300 Мбит вниз по оптике, и мой проверенный Draytek не справлялся с такой пропускной способностью (в основном из-за маршрутизации между VLAN). Новый MikroTik стоит между роутером провайдера и сетью — это позволяет не перенастраивать всю сеть при смене провайдера, и работает отлично.

Настройка довольно простая: у меня два объекта (на самом деле это два дома, соединённых кабелем CAT6), Pi-Hole (установлен на ac3) и Mesh WiFi (Tenda MW6, разбросанные по первому дому). Кабели подключены так: eth1_WAN → роутер провайдера, eth2 → дом 1, eth3 → дом 2, eth4 → Pi-Hole, eth5 → mesh.

Пока что всё работает в одной сети с одним DHCP на ac3 — просто и понятно. Раньше, с Draytek (Mesh ещё не было), у меня было 3 VLAN: VLAN10 для дома 1, VLAN8 для дома 2 и VLAN222 для Pi-Hole, с маршрутизацией между VLAN и несколькими правилами фаервола (в основном по портам, например, DNS-порт 53 для Pi-Hole), чтобы разрешить следующее:

VLAN10 → WAN → роутер провайдера → интернет — ДА
VLAN10 → VLAN222 — ДА
VLAN10 → VLAN8 — НЕТ
VLAN8 → WAN → роутер провайдера → интернет — ДА
VLAN8 → VLAN222 — ДА
VLAN8 → VLAN10 — НЕТ
VLAN222 → WAN → роутер провайдера → интернет — ДА
VLAN222 → VLAN10 — только порт 53
VLAN222 → VLAN8 — только порт 53

Теперь, с добавлением mesh, нужен ещё VLAN100:

VLAN100 → WAN → роутер провайдера → интернет — ДА
VLAN100 → VLAN222 — ДА
VLAN100 → VLAN10 — НЕТ
VLAN100 → VLAN8 — НЕТ
VLAN222 → VLAN100 — только порт 53
VLAN222 → VLAN100 — только порт 53

И желательно, чтобы у каждого VLAN был свой DHCP со следующими адресами:
VLAN10: 192.168.10.xxx
VLAN8: 192.168.8.xxx
VLAN222: 192.168.222.xxx
VLAN100: 192.168.100.xxx

Цифры 10, 8, 222 и 100 просто для удобства запоминания (дом 1 — номер 10 на улице, дом 2 — номер 8, 222 — DNS, 100 — всё, что связано с WiFi).

Для настройки MikroTik я использую браузерный GUI (не CLI), и вроде бы всё работает, но между настройками, вкладками, радиокнопками, бриджами, интерфейсами свитчей и прочим я просто теряюсь.

Не могли бы вы указать мне порядок действий и помочь настроить всё правильно? Буду рад, если кто-то подскажет более удобный и грамотный способ разделения сети под мои задачи. Не переживаю, если кто-то скажет: «Стив, у тебя полная каша с настройками!»

Заранее огромное спасибо за любую помощь! С уважением, Стив.

FrogTik

Guest

26.07.2021 18:18:00

Привет, anav! Вся моя затея с VLAN началась из-за того, что PiHole фиксировал более 2500 DNS-запросов, приходящих от устройств IoT и mesh-системы. Вот почему я захотел изолировать их от основной сети и отделить этих маленьких пакостников. В приложении ты найдёшь быстрый набросок того, что я представлял себе. Не стесняйся высказать мнение, если думаешь, что я ошибаюсь с VLAN на основе портов.

Чтобы было проще, я хочу изолировать VLAN10, VLAN101 и VLAN8 друг от друга, но при этом разрешить им использовать PiHole на VLAN222. Пару дополнительных правил в файерволе, чтобы на меж-VLAN222 было доступно только порты 22 и 53, было бы идеально.

Я, конечно, не сетевой гуру, но не люблю сдаваться перед электроникой, как и многие из нас, так что, пожалуйста, потерпи меня

Большое спасибо за твои отзывы и помощь, Steve.

P.S. Конфигурация — с чистого листа/сброса, так что hAPlite пуст. hAPlite используется для тестов, поскольку сейчас работает ac3, но как только всё будет понятно и готово, конфиг перенесут на ac3.

FrogTik

Guest

25.07.2021 14:51:00

Ребята, извиняюсь, что копаюсь в пятимесячной теме, но я застрял и в последнее время не мог этим заняться. Наступили праздники, и теперь у меня есть время разобраться с этим вопросом или хотя бы попытаться

Как уже говорил, у меня есть ac3, который управляет всей домашней сетью, и мой опыт изменения настроек без «профессиональных» знаний обычно заканчивается отключением всей сети и выговором от жены. Поэтому я решил купить второй hAP Lite, чтобы тестировать VLAN-конфигурации — так я могу настраивать всё, как душе угодно, не бесить никого постоянными отключениями. Когда разберусь, просто скопирую настройки на ac3 одним махом.

У hAP Lite 4 Ethernet-порта (eth1 — WAN, eth2, eth3, eth4) и wlan1. Чтобы понять, как хочу это настроить, я упростил задачу. Вкратце, что я хочу сделать:

VLAN3 на eth3 → DHCP 192.168.3.1/24
VLAN4 на eth4 → DHCP 192.168.4.1/24
между VLAN — связь на определённых портах

Я даже не уверен, что правильно настроил VLAN, потому что интерфейсы имеют вкладку VLAN, мост — VLANs, а коммутатор — VLAN. Я перепробовал столько вариантов, что теперь вообще запутался и сижу тут, как дурак, пишу этот пост и не понимаю, как объяснить, что сделал.

Чтобы понять, что надо сделать, я обычно смотрю в .rsc файлы и вручную повторяю команды в WinBox. Может, какой-нибудь гуру Mikrotik не поленится и подскажет правильное направление, например, приведёт набор CLI-команд, которые я мог бы просто скопировать и выполнить в WinBox для настройки:

— мостов (Bridge)
— портов
— VLAN
— IP-адресов
— DHCP-серверов
— правил фаервола

Огромное спасибо всем, кто поможет!

С уважением, Стив

DarkNate Guest	#4 0 25.07.2021 15:02:00 У MikroTik есть три способа настроить VLAN, и выбор зависит от модели устройства, чтобы эффективно использовать тот или иной метод. https://www.reddit.com/r/mikrotik/comments/odjrey/difference_between_vlan_configuration_options/?utm_source=share&utm_medium=web2x&context=3

mkx

Guest

25.07.2021 15:08:00

Для начала прочитай (и пойми) руководство по VLAN, @anav оставил ссылку во втором сообщении выше. Сейчас это самый универсальный способ настройки (возможно, не самый экономный по ресурсам, но с hAP ac3 это не проблема). Помни, VLAN — это по сути отдельные локальные сети. Что касается связи между разными VLAN, то дело уже не в «определённых портах», а в маршрутизации, которая работает на уровне IP-адресов. Но я бы советовал двигаться поэтапно: сначала разберись с VLAN, наличие маршрутизатора между ними обеспечит связь между VLAN. А потом можно приступать к контролю соединений.

anav

Guest

25.07.2021 16:41:00

(1) Подробная схема сети сильно поможет. Какие VLAN идут через какие порты — для нас не важно, из какого дома, просто VLAN’ы и какие сетевые устройства выступают в роли соединительных.
a. умный коммутатор, умеющий читать VLAN’ы
b. умная точка доступа, умеющая читать VLAN’ы
c. простые устройства (неуправляемые коммутаторы, базовые точки доступа, ПК, принтеры и т.п.)

(2) Набор согласованных требований — что пользователи, устройства или VLAN’ы должны иметь возможность делать.

(3) Последняя конфигурация для просмотра/экспорта, файл с любым именем, скрывающий чувствительные данные.

FrogTik

Guest

25.07.2021 17:34:00

@DarkNate: Спасибо за ссылку, очень полезное чтение и помогает понять, как лучше работать с VLAN, думаю, интерфейс bridge vlan — это правильный путь.
@mkx: Да, я воспользовался ссылкой, которую прислал anav, и выделил конфигурацию VLAN для "Router-Switch-AP (все в одном)".
@anav: Я как можно скорее сделаю топологию. Не припомню, чтобы я родился Ethernet-коннектором, но сегодня вечером чувствую себя настоящим глупым устройством ;.)

В качестве последней попытки в это воскресенье вечером я немного пофиксил файл RouterSwitchAP.rsc из поста anav. Кажется, что что-то пошло — VLAN работают отлично, они получают правильные IP от своих DHCP-серверов, не пингуют друг друга, но при этом пингуют 8.8.8.8 и google.com (DNS тоже работает). Теперь осталось понять, как заставить interVLAN работать. Огромное спасибо вам за помощь и за вашу поддержку впереди, ребята!

Стив

Для справки, вот конфигурационный файл, который я собрал из оригинального .rsc файла поста Router-Switch-AP:

#######################################
Bridge
#######################################
Создаем один мост, отключаем VLAN-режим на время настройки
/interface bridge
add name=bridgeVLAN protocol-mode=none vlan-filtering=no

#######################################
– Access Ports –
#######################################
Правила приема портов
/interface bridge port
#VLAN3
add bridge=bridgeVLAN interface=ether3 pvid=3
#VLAN4
add bridge=bridgeVLAN interface=ether4 pvid=4

L3 маршрутизация, поэтому мост должен быть tagged участником
/interface bridge vlans
set bridge=bridgeVLAN tagged=bridgeVLAN [find vlan-ids=3]
set bridge=bridgeVLAN tagged=bridgeVLAN [find vlan-ids=4]

#######################################
IP Службы
#######################################
Создание VLAN3 интерфейса, назначение IP и запуск DHCP сервера
/interface vlan
add interface=bridgeVLAN name=vlan3 vlan-id=3
/ip address
add interface=vlan3 address=192.168.3.1/24
/ip pool
add name=dhcp_poolVLAN3 ranges=192.168.3.2-192.168.3.10
/ip dhcp-server
add address-pool=dhcp_poolVLAN3 interface=vlan3 name=dhcp3 disabled=no
/ip dhcp-server network
add address=192.168.3.0/24 dns-server=8.8.8.8 gateway=192.168.3.1

Создание VLAN4 интерфейса, назначение IP и запуск DHCP сервера
/interface vlan
add interface=bridgeVLAN name=vlan4 vlan-id=4
/ip address
add interface=vlan4 address=192.168.4.1/24
/ip pool
add name=dhcp_pool4 ranges=192.168.4.2-192.168.4.10
/ip dhcp-server
add address-pool=dhcp_pool4 interface=vlan4 name=dhcp4 disabled=no
/ip dhcp-server network
add address=192.168.4.0/24 dns-server=8.8.8.8 gateway=192.168.4.1

#######################################
Firewall и NAT
#######################################
Используем функцию “list” MikroTik для удобства при подборе правил.
/interface list
add name=VLAN
/interface list member
add interface=vlan3 list=VLAN
add interface=vlan4 list=VLAN

################## INPUT CHAIN ##################
add chain=input action=accept connection-state=established,related comment="Разрешить установленные и связанные соединения"

################## FORWARD CHAIN ##################
add chain=forward action=accept connection-state=established,related comment="Разрешить установленные и связанные соединения"

Разрешить всем VLAN доступ в интернет, но не друг к другу
add chain=forward action=accept connection-state=new in-interface-list=VLAN out-interface-list=WAN comment="Доступ VLAN только в интернет"
add chain=forward action=drop comment="Отбросить"

################## NAT ##################
/ip firewall nat
add chain=srcnat action=masquerade out-interface-list=WAN comment="Маскарадинг по умолчанию"

#######################################
Безопасность VLAN
#######################################
Разрешаем приходить пакеты без тегов только на Access портах
/interface bridge port
set bridge=bridgeVLAN ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged [find interface=ether3]
set bridge=bridgeVLAN ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged [find interface=ether4]

#######################################
Включаем VLAN режим
#######################################
/interface bridge
set bridgeVLAN vlan-filtering=yes

anav Guest	#8 0 25.07.2021 18:30:00 Пожалуйста, пришлите полный конфиг, команду /export hide-sensitive file=любое_имя_на_ваш_выбор.

anav

Guest

26.07.2021 18:48:00

Привет, Стив, не переживай, маленькие победы тоже хороши!
(1) Значит, у тебя приватный IP от роутера/модема провайдера. Если нужно пробросить порты, предполагается, что у тебя есть доступ к роутеру провайдера, чтобы перенаправить их на 192.168.4.2.
(2) Ether2 выделен под VLAN10, который дальше идет на простой свитч, то есть это порт доступа.
(3) Ether3 выделен под VLAN101 и подключен к mesh-устройству, но неизвестно, умный этот mesh или простой?
(4) Ether4 выделен под VLAN8 и идёт на управляемый свитч, что обычно означает trunk-порт, но кроме VLAN8 других VLAN'ов, обслуживаемых свитчем, не видно, хотя свитч, скорее всего, должен быть либо в管理VLAN, либо в базовом VLAN — получается, должно быть два VLAN’а!
(5) Ethernet5 выделен под VLAN222, и это выглядит как порт доступа, если pihole не умеет работать с VLAN’ами…
(7) Всем VLAN'ам нужен доступ к pihole для DNS?
(8) По VLAN222 — хочешь ограниченный доступ вне подсети:
а. Ограниченные сервисы — только DNS на pihole? Если да, то это покрывается пунктом (7).
б. Ограниченный доступ к FTP — куда и чему именно? В интернет, на FTP-сервис роутера, непонятно.
(9) Вопрос: какие VLAN'ы имеют полный доступ в интернет? Ладно, вижу — да, все должны иметь полный доступ.
(10) Был ли у тебя в планах management VLAN или админ всё время на VLAN10?
(11) Нужно больше информации о mesh-сети, умные устройства там или нет, бренд и т. д. Ладно, это Tenda... но они умные?

anav

Guest

#10

26.07.2021 19:33:00

Я бы сделал что-то вроде bridge=dualhome, добавил VLANы с интерфейсом dualhome, каждому VLAN назначил 4 параметра: адрес, пул, DHCP-сервер, DHCP-серверная сеть, где DNS-адрес — это IP-адрес pi-hole (кроме vlan222, для которого DNS — либо IP-адрес PI-сервера, либо внешние серверы, которые pi будет использовать для получения DNS, например 1.1.1.1 и 9.9.9.9). unk??? Настройки DHCP-клиента не нужны. Просто укажи в информации DHCP WAN адрес для интерфейса ether1 192.168.4.2, шлюз 192.168.4.4 и так далее, и убедись, что ether1 назначен в список WAN-интерфейсов, а также что для ether1 создан маршрут dst 0.0.0.0/0 с gateway=192.18.4.4.

Настройки портов бриджа:
eth2 — ingress filtering включен, разрешать только нетегированные или приоритетные пакеты, pvid=10
eth3 — ingress filtering включен, разрешать только нетегированные или приоритетные пакеты, pvid=101
eth4 — ingress filtering включен, разрешать только тегированные пакеты
eth5 — ingress filtering включен, разрешать только нетегированные или приоритетные пакеты, pvid=222

Настройки VLAN в бридже (если создаёшь отдельный управляющий VLAN, к которому доступ есть только у админа):
добавь interface=dualhome tagged=bridge, tagged=port4 untagged=port2 vlanid=10
добавь interface=dualhome tagged=bridge, untagged=port3 vlanid=101
добавь interface=dualhome tagged=bridge, untagged=port5 vlanid=222
добавь interface=dualhome tagged=bridge, tagged=port4 vlanid=8

В общем, хотим обеспечить доступ к умному свичу (на порту 4) из VLAN 10, где находится админ.

Список интерфейсов:
ether1=wan
bridge=LAN
vlan10=DNSgroup
vlan101=DNSgroup
vlan8=DNSgroup

Дополнительные правила файрвола…

В цепочке input:
Разрешить трафик из vlan10 на роутер с уточнением по списку адресов только для устройств админа (статические IP — десктоп, ноутбук, смартфон, айпад и т.п.)
add chain=input action=accept in-interface=vlan10 source-address=adminIP (или address-list=adminaccess) (где adminaccess — это список адресов в файрволе).

В цепочке forward:
add chain=forward action=accept interface-list=DNSgroup dst-address=pi-hole dst-port=53 protocol=tcp
add chain=forward action=accept interface-list=DNSgroup dst-address=pi-hole dst-port=53 protocol=udp

Не уверен насчёт конкретных настроек DNS на роутере. Возможно, нужно отметить «разрешить удалённые запросы»… Просто не знаю, как pi работает отдельно от DNS-сервисов роутера. Предполагаю, что он работает полностью отдельно???

FrogTik

Guest

#11

27.07.2021 11:04:00

Привет, anav, спасибо за твою помощь. Я уточнил диаграмму, чтобы она была более точной. Отвечаю на твои вопросы:

1) По сути, ты получаешь приватный IP от роутера/модема провайдера. Верно, роутер провайдера (192.168.1.1) выдает статический адрес (192.168.1.2) на WAN-порт ac3. Знаю, что многие не любят двойной NAT, но в этом случае он особых проблем не доставляет, так что двойной NAT — не проблема. Даже если в роутере провайдера включен файрвол, когда звонишь им с проблемой, они всё равно как-то получают доступ к внутренней топологии сети, а это меня раздражает. С вторым роутером за роутером провайдера они видят только один IP — ac3 (192.168.1.2), а не всю топологию. Порты из Интернета во внутреннюю сеть пробрасывать не нужно.

2) Ether2 выделен под VLAN10, который дальше идет на обычный свитч, так что это access-порт. Верно, при необходимости этот свитч можно заменить на другой TPlink TL-SG108G (поддерживает 802.1Q).

3) Ether3 выделен под VLAN101 и идет на mesh-устройство, но неясно, умное оно или обычное? Это Tenda MW6 Mesh (3 штуки), они работают очень эффективно, но очень простые. Ты просто подключаешь основное устройство к роутеру, настраиваешь SSID через их приложение, потом включаешь второе устройство, которое обычно соединяется с первым по отдельному радиоканалу (у меня для быстрой связи используется back-haul порт), а потом третье, и они просто работают. Так что, отвечая на вопрос, я бы сказал, что это “простые” устройства.

4) Ether4 выделен под VLAN8, подключен к управляемому свитчу, обычно это trunk-порт, но я не вижу других VLAN, кроме 8, которые обслуживает этот свитч, хотя он должен быть в management VLAN или базовом VLAN — значит, должно быть два VLAN!!! Сейчас этот TPLink используется как обычный (неуправляемый) свитч. Он поддерживает 802.1Q, но это не реализовано. Маленький 8-портовый управляемый свитч стоит всего на пару евро дороже обычного, так что я придерживаюсь философии — покупай лучшее, что можешь себе позволить по бюджету.

5) Ethernet5 выделен под VLAN222, и это, по-видимому, access-порт, учитывая, что PiHole не умеет работать с VLAN… Верно, по моим данным PiHole не поддерживает VLAN.

7) Всем VLAN нужен доступ к PiHole для DNS? Верно, PiHole работает как сетевой DNS-сервер, чтобы избавиться от всех надоедливых всплывающих окон, французского RGPD (этих заморочек с защитой данных), которые испортили 3/4 интернета. PiHole — это лучшее, что придумали после изобретения хлеба в нарезке.

8) По VLAN222: хочешь ограниченный доступ вне подсети,
а) ограниченный доступ только к DNS-сервисам на PiHole? Если так, то это уже покрыто пунктом (7).
б) ограниченный доступ к FTP-сервисам куда и к чему (в интернет, к FTP роутера, не уверен).
VLAN222 используется только для одной машины — NanoPi Neo2 с Docker. В Docker у меня Portainer, PiHole и локальный OpenSpeedTest для теста гигабитного кабеля и прочего.

9) Вопрос — какие VLAN получают полный доступ в интернет???
Отвечаю: да, все VLAN имеют полный доступ в интернет.

10) Ты планировал management VLAN или админ всегда в VLAN10?
Идеально, если management будет на VLAN10 и VLAN8.

11) Нужно больше информации про mesh, умные устройства, бренд и т.д.
Окей, это Tenda… но они умные? См. пункт (3).

FrogTik

Guest

#12

27.07.2021 11:19:00

Написав всё это, я теперь начинаю думать, что вместо использования портов коммутатора на ac3 (а там ограниченное количество портов и у меня не очень большой опыт с настройкой Mikrotik), почему бы не настроить ac3 как RoaS, а всю коммутацию поручить коммутатору TPLink TLSG108G с поддержкой 802.1Q, а ac3 оставить только для маршрутизации? Как я и говорил раньше, я не гуру сетей, но очень хочу разобраться с этой головоломкой ;.) Моё предположение — если заменить простой коммутатор на ещё один TLSG108E с поддержкой 802.1Q, ситуация с VLAN станет намного более гибкой, до такой степени, что можно будет точно задавать, какой порт относится к какому VLAN, а может, даже вывести PowerLine+WiFi (сайт №2) из VLAN8 и перевести его в VLAN101, несмотря на то, что он находится в другом месте/на другом объекте. PS: Использование трёх маленьких коммутаторов вместо одного большого связано с ограничениями по каналам связи и площадкам. Ещё раз огромное спасибо за любую помощь!

anav

Guest

#13

27.07.2021 12:42:00

Все варианты будут работать. Но вам всё равно нужно настроить DHCP-сервисы для всех VLANов. Однако нужно разобраться с management VLAN. Откуда админ будет заходить на маршрутизатор для настройки? Какова цель сети 192.168.2.0? (если она не на мосту, то неплохо иметь вне моста аварийный резервный доступ к маршрутизатору).

FrogTik Guest	#14 0 27.07.2021 15:28:00 Привет, anav, большое спасибо за твой отзыв. Мне кажется, что решение RoaS №2 выглядит более достойно, может, это только мое мнение, но, думаю, конфигурация MikroTik будет проще. Откуда админ будет заходить в роутер для настройки? Админ, то есть «pc(D)», должен иметь физический доступ к [ISP роутеру] + [всем tplinks] + [hAPac3] на площадке #1, подключаясь к порту #8 на TPLink (просто идея), и со второй площадки — тоже физически к порту #8 на TPLink (тоже идея). Какова цель сети 192.168.2.0? Я бы хотел сохранить NAT/Firewall на ac3 и заблокировать всё, что приходит от ISP роутера, при этом hApac3#1 выступает WAN. Мне показалось логичным использовать 192.168.2.0/24, но ты предлагаешь оставить оригинальную 192.168.88.0/24 для MikroTik? (Если не через мост — хорошо бы иметь резервный аварийный доступ к роутеру без моста). Отличное замечание, может, использовать порт #5 на ac3 как несвязанный с мостом?

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры