+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Изоляция VLAN не работает.

Изоляция VLAN не работает., RouterOS

1littlewisp

Guest

17.07.2012 21:48:00

Привет всем! Я настроил несколько VLAN, которые вроде бы работают нормально, за одним исключением: трафик между ними разрешен без ограничений. Вот конфигурация:

Gateway [user@MikroTik] > interface vlan print
Flags: X - отключен, R - работает, S - подчиненный
# NAME MTU ARP VLAN-ID INTERFACE
0 R vlan100 1500 enabled 100 ether6
1 R vlan200 1500 enabled 200 ether6
2 R vlan300 1500 enabled 300 ether6

[user@MikroTik] > ip address print
Flags: X - отключен, I - недействителен, D - динамический
# ADDRESS NETWORK INTERFACE
LAN
0 10.13.31.254/24 10.13.31.0 vlan100
1 10.13.32.254/24 10.13.32.0 vlan200
2 10.13.33.254/24 10.13.33.0 vlan300

DHCP-сервер настроен на выдачу соответствующих диапазонов.

AP [user@MikroTik] > /interface vlan print
Flags: X - отключен, R - работает, S - подчиненный
# NAME MTU ARP VLAN-ID INTERFACE
0 R vlan100 1500 enabled 100 lan_bridge
1 R vlan200 1500 enabled 200 lan_bridge
2 R vlan300 1500 enabled 300 lan_bridge

[user@MikroTik] > /interface bridge port print
Flags: X - отключен, I - неактивен, D - динамический
# INTERFACE BRIDGE PRIORITY PATH-COST HORIZON
0 ether1 lan_bridge 0x80 10 none
1 I ether2 lan_bridge 0x80 10 none
2 I ether3 lan_bridge 0x80 10 none
3 I ether4 lan_bridge 0x80 10 none
4 I ether5 lan_bridge 0x80 10 none
5 vlan100 br-vlan1-Administ... 0x80 10 none
6 wlan1 br-vlan1-Administ... 0x80 10 none
7 vlan200 br-vlan2-Faculty 0x80 10 none
8 I wlan2 br-vlan2-Faculty 0x80 10 none
9 vlan300 br-vlan3-Guest 0x80 10 none
10 I wlan3 br-vlan3-Guest 0x80 10 none

[user@MikroTik] > interface wireless print
Flags: X - отключен, R - работает
0 R ;;;Administration
name="wlan1" mtu=1500 mac-address=D4:CA:6D:21:2F:7A arp=enabled
interface-type=Atheros 11N mode=ap-bridge ssid="Administrative Access"
frequency=2412 band=2ghz-b/g/n channel-width=20mhz scan-list=default
wireless-protocol=802.11 antenna-mode=ant-a wds-mode=disabled
wds-default-bridge=none wds-ignore-ssid=no bridge-mode=enabled
default-authentication=yes default-forwarding=no default-ap-tx-limit=0
default-client-tx-limit=0 hide-ssid=yes
security-profile=Administration WPA compression=no

1 ;;;Faculty
name="wlan2" mtu=1500 mac-address=D6:CA:6D:21:2F:7B arp=enabled
interface-type=virtual-AP master-interface=wlan1 ssid="Faculty"
wds-mode=disabled wds-default-bridge=none wds-ignore-ssid=no
bridge-mode=enabled default-authentication=yes default-forwarding=no
default-ap-tx-limit=0 default-client-tx-limit=0 hide-ssid=no
security-profile=Faculty WPA

2 ;;;Guest
name="wlan3" mtu=1500 mac-address=D6:CA:6D:21:2F:7B arp=enabled
interface-type=virtual-AP master-interface=wlan1 ssid="Guest"
wds-mode=disabled wds-default-bridge=none wds-ignore-ssid=no
bridge-mode=enabled default-authentication=yes default-forwarding=no
default-ap-tx-limit=0 default-client-tx-limit=0 hide-ssid=no

Когда я подключаюсь к SSID, я получаю IP-адрес от соответствующего DHCP-сервера и могу нормально выходить в интернет из каждой сети. Проблема в том, что я могу пинговать что угодно из каждой сети в другие. ОДНАКО, когда я забираюсь в AP и использую инструмент ping, я могу пинговать только шлюзы (10.13.3x.254), только если укажу соответствующий интерфейс. Например, я могу пинговать только 10.13.31.254, если укажу использовать br-vlan1-Administration vlan. Как только я меняю его на br-vlan2-Faculty, пинги начинают пропадать. Похоже, изоляция работает до AP. Я подозреваю, что проблема связана с конфигурацией беспроводной сети или моста.

CelticComms Guest	#2 0 18.07.2012 01:58:00 Какие у тебя правила переадресации в /IP Firewall?

1littlewisp Guest	#3 0 18.07.2012 02:24:00 Просто прикрываем диапазоны у "Врата".

antkamidiv

Guest

18.07.2012 08:00:00

Привет! Мне кажется, проблема в настройках vlan: [user@MikroTik] > /interface vlan print
Flags: X - disabled, R - running, S - slave
# NAME MTU ARP VLAN-ID INTERFACE
0 R vlan100 1500 enabled 100 lan_bridge
1 R vlan200 1500 enabled 200 lan_bridge
2 R vlan300 1500 enabled 300 lan_bridge Тебе нужно изменить lan_bridge в настройках vlan на конкретный ethernet-интерфейс, подключенный к шлюзу. И заодно выкинь этот интерфейс из всех бриджей!

CelticComms

Guest

18.07.2012 10:17:00

Помни всегда – RouterOS по умолчанию будет маршрутизировать все подключенные IP-подсети! Поскольку каждый VLAN представляет виртуальный интерфейс для RouterOS, он будет маршрутизировать их, если ты не заблокируешь это в правилах пересылки. Если у тебя сейчас нет правил пересылки, то все подключенные интерфейсы будут маршрутизироваться друг к другу, включая виртуальные VLAN-интерфейсы.

1littlewisp

Guest

18.07.2012 10:54:00

Спасибо за ответ. То же самое происходит, когда я использую ether1 в качестве родительского интерфейса. Поэтому я решил объединить порты Ethernet в мост, потому что мне нужно, чтобы проводные хосты могли общаться друг с другом без использования VLAN.

1littlewisp

Guest

18.07.2012 11:00:00

Я думал, как можно предотвратить такое поведение с помощью файрволов, но внутренний голос мне подсказывал, что этого вообще не должно происходить. Я подумал, что 802.1Q-тег остановит меж-VLAN-коммуникацию в любом случае, ведь он работает на уровне 2. Пока нет лучшего способа это спроектировать, я буду действовать так. Спасибо.

CelticComms

Guest

18.07.2012 11:20:00

Роутер будет маршрутизировать IP-слой на уровне 3 – ему плевать, что несколько VLAN мультиплексируются на физическом слое. Насколько ему известно, у него куча (VLAN) интерфейсов с IP-адресами на уровне 3, и он их маршрутизирует, если ему не укажут другое. В широком смысле, это устройство – роутер. Он становится файерволом только в случае применения правильных правил.

1littlewisp Guest	#9 0 18.07.2012 15:14:00 Спасибо за помощь!

scampbell

Guest

#10

20.07.2012 04:29:00

Не могли бы вы не устанавливать для всех VLAN Horizon’s=1 в настройках Bridge Port, чтобы изолировать их? По моему пониманию, трафик между портами с одинаковой настройкой Horizon в бридже не передается. Если какой-либо VLAN в бридже должен быть общим/доступным для остальных, установите Horizon=0 (например).

CelticComms Guest	#11 0 20.07.2012 09:26:00 Функция "горизонт" нужна для предотвращения образовании петель замыкания. Если хочешь избегать определенных IP-маршрутов на уровне 3, правильно будет изменить правила пересылки данных.

estlin

Guest

#12

20.07.2012 19:21:00

Привет! Вот что я сделал, чтобы изолировать мою VLAN. Я настроил три правила брандмауэра.

Первое правило не позволит VLAN и моей локальной сети видеть друг друга.
Chain=forward
SrcAddress=192.168.2.0/24 -- это моя VLAN
Dst.Address=192.168.1.0/24 -- это моя локальная сеть
Action=drop

Второе правило заблокирует доступ VLAN к 192.168.1.1, что является IP-адресом моего роутера. Я хотел убедиться, что никто из VLAN не сможет получить доступ к конфигурации роутера.
Chain=input
SrcAddress=192.168.2.0/24 -- это VLAN
DstAddress=192.168.1.1 -- это IP-адрес моего роутера
Action=drop

Третье правило позволяет моей локальной сети видеть и получать доступ ко всему трафику VLAN, но не дает VLAN доступа к локальной сети.
Chain=forward
SrcAddress=192.168.2.0/24 -- это моя VLAN
DstAddress=192.168.1.0/24 -- это моя локальная сеть
ConnectionState=established
action=accept

Я не эксперт в этом, но эти три правила сработали для меня.

CelticComms Guest	#13 0 21.07.2012 00:30:00 Ты на правильном пути, но тебе стоит серьезно пересмотреть подход. Почему? Потому что предложенный тобой метод основан на явных правилах для отбрасывания нежелательного трафика, а это обычно не самый лучший способ. Попробуй перефразировать правила, но сначала создай абсолютно безусловное правило переадресации, которое отбрасывает весь трафик, и помести его в самый низ списка правил переадресации. Теперь, над этим правилом "отбрасывать всё" размести правила, явно "разрешающие" тот трафик, который тебе нужно разрешить. Это более безопасный подход!

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры