+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Помощь по фильтрации VLAN в Bridge

Помощь по фильтрации VLAN в Bridge, RouterOS

harvey

Guest

11.09.2018 10:21:00

Привет! Я экспериментирую с Bridge VLAN Filtering, чтобы понять, как это всё работает. Собрал рабочий пример:

CHR-1:
/interface bridge
add name=bridge1 vlan-filtering=yes
/interface vlan
add interface=ether3 name=vlan200 vlan-id=200
add interface=ether3 name=vlan300 vlan-id=300
add interface=ether3 name=vlan400 vlan-id=400
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip pool
add name=dhcp_pool0 ranges=20.0.0.2-20.0.0.254
add name=dhcp_pool1 ranges=30.0.0.2-30.0.0.254
add name=dhcp_pool2 ranges=40.0.0.2-40.0.0.254
/ip dhcp-server
add address-pool=dhcp_pool0 disabled=no interface=vlan200 name=dhcp1
add address-pool=dhcp_pool1 disabled=no interface=vlan300 name=dhcp2
add address-pool=dhcp_pool2 disabled=no interface=vlan400 name=dhcp3
/interface bridge port
add bridge=bridge1 interface=ether3
/interface bridge settings
set use-ip-firewall-for-vlan=yes
/interface bridge vlan
add bridge=bridge1 tagged=ether3 vlan-ids=300
add bridge=bridge1 tagged=ether3 vlan-ids=200
add bridge=bridge1 tagged=ether3 vlan-ids=400
/ip address
add address=20.0.0.1/24 interface=vlan200 network=20.0.0.0
add address=30.0.0.1/24 interface=vlan300 network=30.0.0.0
add address=40.0.0.1/24 interface=vlan400 network=40.0.0.0
/ip dhcp-client
add disabled=no interface=ether1
/ip dhcp-server network
add address=20.0.0.0/24 gateway=20.0.0.1
add address=30.0.0.0/24 gateway=30.0.0.1
add address=40.0.0.0/24 gateway=40.0.0.1
/ip firewall filter
add action=drop chain=forward in-interface=all-vlan out-interface=all-vlan
/system identity
set name=r1

И CHR-2:
/interface bridge
add name=bridge1 vlan-filtering=yes
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/interface bridge port
add bridge=bridge1 interface=ether2 pvid=200
add bridge=bridge1 interface=ether3 pvid=200
add bridge=bridge1 interface=ether4 pvid=300
add bridge=bridge1 interface=ether5 pvid=400
add bridge=bridge1 interface=ether1
/interface bridge vlan
add bridge=bridge1 tagged=ether1 untagged=ether2,ether3 vlan-ids=200
add bridge=bridge1 tagged=ether1 untagged=ether4 vlan-ids=300
add bridge=bridge1 tagged=ether1 untagged=ether5 vlan-ids=400
/ip dhcp-client
# DHCP клиент не может работать на slave-интерфейсе!
add dhcp-options=hostname,clientid disabled=no interface=ether1
/system identity
set name=switch

Всё работает отлично. Но я никак не могу понять, как добавить PC-5 без тегирования на ether2 CHR-1 вот так:

Я перепробовал разные варианты, но PC-5 так и не получал IP по DHCP. Мне уже пришло в голову, что, может, «Bridge VLAN Filtering» стоит включать только на CHR-2, а на CHR-1 использовать более традиционную настройку VLAN. Но можно ли вообще использовать «Bridge VLAN Filtering» на CHR-1 таким образом? Если да, то как?

Буду признателен за мысли и помощь! Спасибо!

Обновление: с помощью @xvo и @sindy вопрос решён. Свой итоговый конфиг я выложил в этом посте https://forum.mikrotik.com/viewtopic.php?f=2&t=139054&p=685811#p685811 на случай, если кому-то это будет полезно.

nichky

Guest

28.08.2019 09:32:00

Один вопрос по этой теме. Значит, как только включается VLAN-фильтрация, трафик начинает проходить через CPU? То есть, если я хочу использовать ether и wlan, мне нужно поставить галочку VLAN Filtering. У меня три роутера на RouterOS, и мне нужно запускать VLAN как на ether, так и на wlan. Значит, по идее, трафик будет проходить через CPU, так?

sindy

Guest

28.08.2019 09:52:00

Я не знаю ни одной модели Mikrotik, где кадры между беспроводным интерфейсом и Ethernet не проходят через процессор, вне зависимости от того, включена ли фильтрация VLAN или нет. Помимо этого, в вики есть таблица по bridge (я пишу с мобильного, так что точную страницу вам придется найти самостоятельно), в которой представлен обзор совместимости различных функций с аппаратным форвардингом между Ethernet-портами для каждого типа чипа коммутатора.

nichky Guest	#4 0 28.08.2019 09:57:00 И еще, это имеет смысл? «Если на устройстве настроен DHCP и так далее, то нужно будет также добавить мост к tagged» на маршрутизаторе, который выполняет роль DHCP-сервера.

mkx

Guest

29.08.2019 05:11:00

@anav, ты такой неуловимый (да и мои глаза уже не те), что сложно на тебя сосредоточиться... но в любом случае, я просто хотел объяснить @pe1chl возможный сценарий использования этой функции «а?». Вы, ребята, справляетесь отлично, так что перестану мешать.

anav Guest	#6 0 29.08.2019 11:06:00 Шутки в сторону, MKX, я думаю, в конфигурации могла быть ошибка или упущение, и именно на это я и хотел указать или, по крайней мере, спросить.

pe1chl

Guest

28.08.2019 10:40:00

Что меня очень сбило с толку при настройке моста с VLAN-фильтрацией — когда ты указываешь определённый порт как untagged в разделе /interface bridge vlan, тебе ВСЁ РАВНО нужно выставить тот же pvid в разделе /interface bridge port! Такая ситуация встречается и в некоторых коммутаторах. Вероятно, это значит, что pvid в настройках порта используется для тегирования входящих пакетов, а untagged в определении VLAN — для исходящих, но я не могу придумать случая, когда это действительно понадобится. В моём коммутаторе Netgear один и тот же порт может быть untagged участником нескольких VLAN, а pvid задаёт, какой тег получат входящие пакеты. Мне кажется, настройка VLAN-фильтрации на мосту MikroTik позволяет то же самое, но зачем это нужно? В других коммутаторах, которые я знаю, либо настраиваешь VLAN с определением портов, которые являются tagged или untagged участниками этого VLAN (причём каждый порт может быть untagged только в одном VLAN), либо для каждого порта отдельно задаёшь tagged и untagged VLAN, и тогда ясно, что порт может быть untagged только для одного VLAN.

Reinis

Guest

28.08.2019 11:04:00

Не совсем так, фильтрация VLAN сама по себе не заставит CPU обрабатывать все пакеты на серии CRS3xx, но на других устройствах это будет происходить из-за отключённого аппаратного ускорения. Также нужно учитывать и другие параметры, например:

Конфигурация:
/interface bridge vlan
add bridge=bridge1 tagged=bridge1,ether3 vlan-ids=300
add bridge=bridge1 tagged=ether3 vlan-ids=200
add bridge=bridge1 tagged=ether3 vlan-ids=400

Это позволит пакетам VLAN300 приниматься CPU на серии CRS3xx, но это вовсе не значит, что все пакеты будет обрабатывать процессор. CPU будет принимать и обрабатывать только широковещательные, неизвестные одноадресные пакеты, пакеты, адресованные самому мосту и т.д.

Чтобы понять возможности и лучшие практики конфигурации VLAN в RouterOS, посмотрите нашу документацию:
https://wiki.mikrotik.com/wiki/Manual:Bridge_VLAN_Table
https://wiki.mikrotik.com/wiki/Manual:Layer2_misconfiguration

pe1chl

Guest

28.08.2019 11:57:00

Есть какое-то объяснение, почему «фильтрация VLAN сама по себе не заставит процессор обрабатывать все пакеты на серии CRS3xx, но будет на других моделях из-за отключённого аппаратного ускорения» — даже несмотря на то, что эти другие модели могут делать то же самое с аппаратным ускорением, если настроить это в меню коммутатора, а не в меню моста? Разве конфигурация моста не может просто тихо настроить коммутатор при запросе аппаратного ускорения и только тегирования VLAN? (без spanning tree, без фильтрации моста и так далее)

anav

Guest

#10

28.08.2019 16:20:00

Из предыдущих статей. Порт моста — это поведение INGRESS. Интерфейс Bridge VLAN — это поведение EGRESS. На портах моста: транковые порты не требуют настройки pvid, а access-порты требуют! Настройка pvid на порту моста указывает роутеру помечать входящие фреймы VLAN-тегом. Безопасность на портах моста обычно для tagged-фреймов (транк), для access — только для untagged и priority фреймов. Если нужно, чтобы мост выполнял L3-функции, его надо включать в настройки интерфейса Bridge VLAN. Настройка interface vlan bridge говорит роутеру снимать тег с пакетов, идущих обратно к устройствам (обычно не VLAN-совместимым). Чтобы прояснить на первом роутере, конфиг такой…

/interface bridge port add bridge=bridge1 interface=ether3
add bridge=bridge1 interface=ether2 pvid=400

/interface bridge vlan add bridge=bridge1 tagged=ether3,bridge1 vlan-ids=300
add bridge=bridge1 tagged=ether3,bridge1 vlan-ids=200
add bridge=bridge1 tagged=ether3,bridge1 vlan-ids=400

???

Не должно ли быть так…

/interface bridge vlan add bridge=bridge1 tagged=ether3,bridge1 vlan-ids=300
add bridge=bridge1 tagged=ether3,bridge1 vlan-ids=200
add bridge=bridge1 tagged=ether3,bridge1, untagged=ether2 vlan-ids=400??

mkx

Guest

#11

28.08.2019 19:47:00

Мой старый добрый коммутатор Dlink имеет такую функцию, у них это называется «асимметричный VLAN». Я обычно использовал его как своего рода L2-файрвол или split horizon… Например, на одном порту у меня подключён смарт-ТВ. Я хочу, чтобы этот ТВ был в составе LAN (чтобы он мог воспроизводить медиа с моего DLNA-сервера), но при этом не должен иметь доступ в интернет (потому что нельзя отключить автоматические обновления прошивки, да и полностью доверять умной технике, которая постоянно «звонит домой», я не хочу). Конечно, это легко можно сделать с нормальным файрволом (которого у моего роутера тогда не было), либо через настройки защиты порта (например, horizon — чего у указанного коммутатора нет), либо же с помощью функции multi-untagged vlan. Например: #предположим, что роутер/файрвол — это отдельное устройство без VLAN

/interface bridge port
add bridge=bridge interface=router pvid=10
add bridge=bridge interface=TV pvid=11
add bridge=bridge interface=DLNA pvid=12 # DLNA сервер
add bridge=bridge interface=LAN pvid=12 # ещё один хост в LAN

/interface bridge vlan
add bridge=bridge untagged=DLNA,LAN vlan-ids=10 # роутер может отправлять пакеты на DLNA и LAN порты
add bridge=bridge untagged=DLNA,LAN vlan-ids=11 # ТВ может отправлять пакеты на DLNA и LAN, но не на роутер
add bridge=bridge untagged=router,DLNA,LAN,TV vlan-ids=12 # DLNA и LAN могут отправлять пакеты всем остальным устройствам

[исправление] в последней строке конфигурации отсутствовал интерфейс TV как untagged член VLAN 12.

anav Guest	#12 0 28.08.2019 22:17:00 Focus mkx! Смотри мой важный вопрос выше этого мягкого поста от D-stink.

mkx Guest	#13 0 29.08.2019 12:16:00 Так что я не отреагировал на твой пост. Отрицаю, что это могло быть из-за моей невнимательности. Честно говоря, ты прав (и именно поэтому я не отреагировал... извини, что лишил тебя заслуженного похвального "пожатия плеча"). Ладно, шучу в сторону: единственная причина, почему это может реально сработать для @harvey — это то, что PC-5, возможно, на Windows, а @sindy не раз объясняла, что первые действия многих драйверов Windows с входящими пакетами — это срывать все VLAN-заголовки. Поэтому пакеты в направлении CHR1 -> PC-5 проходят из-за этой особенности драйвера, а пакеты в обратную сторону помечаются CHR1 на входе из-за настройки pvid.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры