Извините, я не могу перевести этот текст.

Во-первых, не совсем ясно, как это сейчас работает. Какие адреса получают гости? Есть ли отдельная подсеть только на AP? Также было бы интересно узнать, как работает блокированный доступ к LAN. Для новой конфигурации нужно настроить свитч, чтобы он разрешал тегированную VLAN 9 на портах, подключенных к AP и маршрутизатору. Ты даже не указал, есть ли у него RouterOS или SwOS, так что... Как только у тебя VLAN 9 пройдет через свитч, тебе нужна та же VLAN на маршрутизаторе. Если к свитчу подключен только один порт (без моста), просто добавь VLAN-интерфейс поверх этого порта. Если там что-то посложнее, придется интегрировать это в систему. Когда VLAN-интерфейс будет готов, добавь новую подсеть к нему, затем настрой DHCP-сервер, и у тебя получится гостевая подсеть. В зависимости от твоего текущего файрвола, у нее может быть доступ повсюду, или нигде, или что-то среднее, так что с этим нужно будет разобраться. Я понимаю, что не очень помогаю, но это сложно. У тебя классное изображение, но, по сути, все о текущей конфигурации - это одна большая загадка.

Это золотой стандарт, который вам следует использовать... по крайней мере для хекстера. Коммутатор - это совершенно другое дело, и я даже не квалифицирован, чтобы на него смотреть... http://forum.mikrotik.com/t/using-routeros-to-vlan-your-network/126489/1

Спасибо за ссылку на “Использование RouterOS для VLAN в вашей сети”. Я следовал этим примерам и почти всё настроил, но клиенты на гостевой сети SSID (теперь VLAN 20) похоже не получают назначенные IP-адреса. Я загрузил конфигурации моего коммутатора, роутера и точки доступа (точка доступа — это shell-скрипт для ASUS): https://gist.github.com/garymm/50f155000139f61cae4ba2a0abc665ef Есть идеи, в чём может быть проблема?

Предполагая, что AP подключен к CRS, как показано на картинке, нет конфигурации /interface bridge vlan для VLAN 20 на CRS.

Вы не исправили свою ошибку здесь, (1) правила NAT для DST нуждаются в параметре in-interface-list=WAN для динамического WANIP (кроме любых серверов, где вы хотите использовать hairpin nat – тогда не используйте in-interface-list=wan) (2) Нет нужды в двух портах, если они совпадают с портами назначения (3) Другая проблема – ваше второе правило srcnat для hairpin. /ip firewall nat add action=masquerade chain=srcnat comment=“defconf: masquerade” ipsec-policy=out,none out-interface-list=WAN add action=dst-nat chain=dstnat comment=“домашний помощник” dst-port=8023 protocol=tcp to-addresses=10.0.10.3 to-ports=8023 add action=dst-nat chain=dstnat comment=“веб (для certbot)” disabled=yes dst-port=80 protocol=tcp to-addresses=10.0.10.3 to-ports=80 add action=masquerade chain=srcnat comment= “hairpin NAT, чтобы LAN мог получить доступ к hass, используя WAN IP” dst-address=10.0.10.3 dst-port=8023 out-interface-list=VLAN protocol=tcp src-address= 10.0.10.0/24 add action=dst-nat chain=dstnat comment=Plex dst-port=15088 protocol=tcp to-addresses=10.0.10.3 to-ports=32400 add action=dst-nat chain=dstnat comment=“deluge torrents” dst-port=65267 protocol=tcp to-addresses=10.0.10.3 to-ports=65267 add action=dst-nat chain=dstnat comment=“deluge torrents” dst-port=65268 protocol=tcp to-addresses=10.0.10.3 to-ports=65268 Похоже, вы хотите получить доступ к серверам в сети 10.0.10. через ваш WANIP адрес из сети 192.168.0? Если да, то это должно работать без дополнительного правила sourcnat hairpin. Оно требуется только при доступе к серверу из той же сети, т.е. ПК в сети 10.0.10 пытается достучаться до сервера в сети 10.0.10 через WANIP роутера. Вопрос для Sob и Mkx, так как я не думал об этом раньше… При доступе к серверу из другой подсети может показаться, что это уникальный метод обхода нормальных ограничений второго уровня, но мне любопытно насчет L3 (правила брандмауэра). Например, обычно пользователь в vlan10 не сможет получить доступ к серверу в VLAN20 из-за базовой изоляции второго уровня, однако нам также нужно предотвратить маршрутизацию между двумя, поэтому мы добавляем либо правило drop vlan10 to vlan20, либо добавляем правило drop all else в конце цепочки forward и т.д. Так что при разделении VLAN и настройке брандмауэра, которая предотвращает взаимодействие VLAN, Вопрос – позволяет ли роутер пользователю VLAN10 обходить ограничения VLAN и брандмауэра к VLAN20, когда пользователь вводит WANIP роутера и порт сервера для доступа к серверу?

Спасибо, Anav. Я пытаюсь получить доступ к серверу 10.0.10.3, используя его WAN IP из той же сети (10.0.10.0/24). Как мне это сделать?

Просто добавьте следующее правило add chain=srcnat action=masquerate src-address=10.0.10.0.24 dst-address=10.0.10.0/24 Это связано с правилом dst nat? add action=dst-nat chain=dstnat comment=“home assistant” in-interface-list=WAN dst-port=8023 protocol=tcp to-addresses=10.0.10.3 Оказавшееся правило для назначения nat предназначено для динамических WANIP и должно также работать, если у вас есть статический WANIP, хотя лучше установить правило назначения nat вот так для статических wanips.. add action=dst-nat chain=dstnat comment=“home assistant” dst-port=8023 dst-address=x.x.x.x protocol=tcp to-addresses=10.0.10.3 Если у вас есть динамический WANIP И проблема с Hairpin, тогда нужно изменить правило назначения nat для ситуаций с hairpin… вам нужно изменить это правило назначения nat на следующее… add chain=dstnat action=dst-nat dst-port=8023 protocol=tcp dst-address=**!**10.0.10.1 dst-address-type=local to-addresses=10.0.10.3

также это отмечено на hex… добавьте action=dst-nat chain=dstnat comment=“home assistant” dst-port=8023 protocol=tcp to-addresses=10.0.10.2 to-ports=8023 добавьте action=dst-nat chain=dstnat comment=“web (для certbot)” disabled=yes dst-port=80 protocol=tcp to-addresses=10.0.10.2 to-ports=80 должно быть добавлено action=dst-nat chain=dstnat comment=“home assistant” dst-port=8023 protocol=tcp in-interface=WAN to-addresses=10.0.10.2 добавьте action=dst-nat chain=dstnat comment=“web (для certbot)” disabled=yes dst-port=80 protocol=tcp in-interface=WAN to-addresses=10.0.10.2 Примечание: Не нужно указывать порты, если они не отличаются от конечных портов.

Хорошая страница в вики о распространенных ошибках на уровне 2, симптомах и решениях… https://wiki.mikrotik.com/wiki/Manual:Layer2_misconfiguration#VLAN_interface_on_a_slave_interface