+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр".

Фильтровать выходящие из моста порты CRS BDPUs, также известное как "BPDU-фильтр"., RouterOS

tomranson

Guest

04.05.2017 12:00:00

Всем привет! У меня ситуация, где нужно отфильтровать STP BPDU, которые выходят из портов моста на разных моделях CRS (112/125/226 и т.п.); это чтобы предотвратить передачу этих BPDUs в удалённую сеть. В удалённой сети их тоже будут фильтровать на входе, но нам нужно сделать фильтрацию и на выходе, ради безопасности. Это примерно аналог функции bpdu-filter у других вендоров. Сейчас тестирую на версии 6.38.5, так как это у нас внутренняя "стабильная" прошивка. Топология такова: локальная сеть сайта < все другие интерфейсы << CRS >> через ether1-master > удалённая сеть (STP BPDUs не должны передаваться в эту сеть). Конфигурация ниже создаёт мост для аппаратного STP-процесса коммутаторного чипа CRS, который динамически добавляет подчинённые интерфейсы в STP-мост. Пытаюсь использовать фильтр моста, чтобы отбрасывать все STP BPDUs (dst-mac-address=01:80:C2:00:00:00/FF:FF:FF:FF:FF:FF), выходящие по ether1-master, но фильтр моста ACL не влияет, и STP BPDUs с этим MAC-адресом назначения всё равно видны внешним Wireshark на ether1-master. Проверял разные варианты фильтров, например, без указания out-interface — результата нет.

/interface bridge add comment="Switch chip STP bridge" name=bridge-stp
/interface bridge filter add action=drop chain=output comment="Drop STP BPDUs egress ether1-master" dst-mac-address=01:80:C2:00:00:00/FF:FF:FF:FF:FF:FF out-interface=ether1-master
/interface bridge port add bridge=bridge-stp comment="Switch chip master interface" interface=ether1-master

Буду признателен за любые мысли или комментарии.

DarkNate

Guest

05.01.2023 15:50:00

Вся ваша топология построена неправильно. RSTP (или MSTP, в зависимости от того, что вам нужно) должен быть включён на всех коммутаторах и правильно настроен для всех транковых портов, то есть для всех портов, не являющихся edge-портами. Сначала исправьте топологию и корректно настройте RSTP по всей сети.

expert

Guest

15.07.2018 14:26:00

Недавно столкнулся с похожей проблемой, когда BDPUs от провайдера попадали в мою L2-сеть и мешали работе моего RSTP. Помог следующий фильтр: /interface bridge filter add action=drop chain=forward in-interface=wan dst-mac-address=01:80:C2:00:00:00/FF:FF:FF:FF:FF:FF comment="filter ®STP from wan"

joshhboss Guest	#4 0 31.12.2022 06:06:00 Проблема всё ещё не решена в 2022 году, а мы уже идём в 2023-й. Искал везде, пытаясь разобраться, что к чему.

bernardthomas Guest	#5 0 04.01.2023 08:03:00 Эта проблема сохраняется и в 2023 году. Я пытался найти ответ на этот вопрос повсюду.

joshhboss

Guest

04.01.2023 13:47:00

Это сработало у меня после общения с техподдержкой. RouterOS поддерживает стандартные протоколы M/R/STP, и вы можете указать, какие порты не будут участвовать в spanning tree, используя «edge=yes». Такие порты не будут отправлять и игнорировать стандартные BPDUs (01:80:C2:00:00:00). Однако RouterOS не поддерживает проприетарный PVST, поэтому программные и аппаратно-ускоренные мосты будут просто рассылать эти BPDUs (01:00:0C:CC:CC:CD) как обычный мультикаст-трафик. В зависимости от вашей сети и используемых протоколов, вы можете выбрать, какие входящие порты будут отбрасывать эти пакеты, если вы не хотите, чтобы их пересылали. С наилучшими пожеланиями, add dst-mac-address=01:00:0C:CC:CC:CD/FF:FF:FF:FF:FF:FF new-dst-ports=“” ports=combo1,combo2,sfp1,sfp2 switch=switch1

DarkNate

Guest

04.01.2023 17:09:00

Да, это правильный способ сделать. И только порты/интерфейсы вниз по потоку или внутри AS делают членами моста. Входящий канал к провайдеру нельзя включать в состав моста — он всегда должен быть отдельным интерфейсом, так сигналы BPDU не будут разливаться или утекать на другие интерфейсы. Это помогает, когда у моего провайдера начинается широковещательный шторм на их стороне.

joshhboss

Guest

04.01.2023 22:56:00

Ну, это было на моём свитче, чтобы я мог получить VLAN для интернета на уровне Layer 2... так что так же можно раздавать публичные адреса на уровне Layer 2. Роутер подключён к отдельному независимому порту для интернета, но весь трафик проходит через тот же самый свитч, который, по сути, является ядром остальной сети.

DarkNate Guest	#9 0 05.01.2023 12:15:00 Затем вы фильтруете напрямую на самом коммутаторе, используя тот же метод, который я описал. Вот и всё. Никакой BUM-трафик не попадёт на другие интерфейсы.

laca77

Guest

#10

05.01.2023 14:58:00

Привет, моя проблема похожа, но, похоже, эти методы её не решили. У меня есть 3 коммутатора:
SW1: включён BPDU guard на всех портах (не Mikrotik)
SW2: устройство MT, там только один мост, и все порты являются его участниками, STP установлен в NONE
SW3: устройство MT, там тоже только мост, все порты — участники, включён RSTP.

Сетевая конфигурация такая: SW1 (eth1) — (eth2) SW2 (eth4) — (eth3) SW3

Проблема в том, что если на SW2 STP стоит в NONE, он пересылает BPDU-пакеты с SW3 в сторону SW1, из-за чего SW1 отключает свой порт eth1, а мне нужно сохранить такую топологию (нужно держать eth2 на SW2 в мосту).

Поэтому хотел бы отфильтровать исходящие BPDU-пакеты на SW2 с любого порта в направлении eth2.

Пробовал сделать такой фильтр на SW2:
/interface bridge filter
add action=drop chain=forward comment="stp filter" dst-mac-address=01:80:C2:00:00:00/FF:FF:FF:FF:FF:FF log=yes log-prefix="stp log" out-interface=ether2

Но фильтр не сбрасывает STP-пакеты, счётчик у него равен 0:
[admin@MikroTik] /interface/bridge/filter> print stats
Columns: CHAIN, ACTION, BYTES, PACKETS
# CHAIN ACTION BYTES PACKETS
;;; stp filter
0 forward drop 0 0

Если же поменять цепочку с forward на input, то счётчик растёт и логи появляются, но пакеты всё равно форвардятся — естественно, я менял входной интерфейс на eth4:
[admin@MikroTik] /interface/bridge/filter> print
Flags: X - disabled, I - invalid, D - dynamic
0 ;;; stp filter
chain=input action=drop in-interface=ether4 dst-mac-address=01:80:C2:00:00:00/FF:FF:FF:FF:FF:FF log=yes log-prefix="stp log"
Stats:
[admin@MikroTik] /interface/bridge/filter> print stats
Columns: CHAIN, ACTION, BYTES, PACKETS
# CHAIN ACTION BYTES PACKETS
;;; stp filter
0 input drop 184 4

Лог:
00:15:22 firewall,info stp log input: in:ether4 out:(unknown 0), connection-state:invalid src-mac 6c:3b:6b:40:0c:fc, dst-mac 01:80:c2:00:00:00, eth-proto 0027
00:15:24 firewall,info stp log input: in:ether4 out:(unknown 0), connection-state:invalid src-mac 6c:3b:6b:40:0c:fc, dst-mac 01:80:c2:00:00:00, eth-proto 0027

Пробовал выставлять на SW2 порты eth2 и eth4 как edge port (в любой комбинации), но это не помогло.

laca77 Guest	#11 0 09.01.2023 09:35:00 Ваша вся топология неправильная. RSTP (или MSTP, какой вам нужен) должен быть включён на всех коммутаторах и корректно настроен на всех транковых портах, то есть на портах, которые не являются edge. Сначала исправьте топологию и правильно настройте RSTP по всей сети. Привет, да, это работает (RSTP + edge: да), но я хотел бы сделать это с помощью опции фильтра моста. Поэтому, думаю, мне нужно это сделать и в фильтре моста. Вопрос в том, должен ли фильтр тоже выполнять эти функции?

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры