+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Запрос на добавление функции: proxy_arp_pvlan

Запрос на добавление функции: proxy_arp_pvlan, RouterOS

ufm

Guest

15.11.2013 11:09:00

Привет! Нужна помощь с proxy_arp_pvlan («/proc/sys/net/ipv4/conf//proxy_arp_pvlan» в Linux). proxy_arp_pvlan — это булево значение Private VLAN proxy ARP. По сути, оно позволяет отправлять proxy ARP-ответы обратно на тот же интерфейс, с которого пришёл ARP-запрос или запрос на обнаружение. Это делается для поддержки функций переключателей (ethernet), таких как RFC 3069, где отдельные порты НЕ могут общаться друг с другом, но разрешено взаимодействие с вышестоящим маршрутизатором.

Как описано в RFC 3069, возможно разрешить такой хостовой обмен через вышестоящий маршрутизатор с помощью proxy_arp. При этом не обязательно использовать proxy_arp вместе с proxy_arp_pvlan. Эта технология известна под разными названиями: в RFC 3069 её называют VLAN Aggregation, в Cisco и Allied Telesyn — Private VLAN, у Hewlett-Packard это Source-Port filtering или изоляция портов, у Ericsson — MAC-Forced Forwarding (черновик RFC).

tcsweetser

Guest

17.03.2016 10:37:00

Я пробовал несколько вариантов трюка с arp-reply nat — никакого прогресса. После MITM-перехватов, чтобы убедиться, что ответ действительно отправляется, каждая последняя версия R/OS всё равно не отправляла этот ответ.

nz_monkey Guest	#3 0 30.09.2016 09:51:00 Начиная с версии 6.38rc7 в мостах появилась новая опция ответа ARP — «local-proxy-arp». Это позволяет реализовать функциональность типа PVLAN на мостах Mikrotik.

nz_monkey Guest	#4 0 08.07.2014 04:27:00 К вашему сведению, я только что тоже это запросил.

roadracer96 Guest	#5 0 08.07.2014 08:30:00 Это уже можно сделать с помощью... ну... Proxy ARP и ip firewall или с использованием split horizon bridging.

nz_monkey

Guest

08.07.2014 08:41:00

Не совсем так… Split Horizon Bridging в первую очередь предназначен для предотвращения L2-петель, а не для изоляции клиентов. Сейчас Proxy-ARP не отвечает с MAC-адресом интерфейса моста, если целевой IP/MAC находятся на том же интерфейсе. Именно для этого нужна функция proxy-arp-pvlan. С помощью Split Horizon Bridging вы сможете помешать PortA напрямую связаться с PortB, но не сможете заставить весь IP-трафик между ними проходить через интерфейс моста, потому что Proxy-ARP отвечает MAC-адресом интерфейса моста только для ARP-записей на других интерфейсах, но не на том же мостовом интерфейсе. Для этого нужен proxy-arp-pvlan. Сегодня я отправил запрос в поддержку Mikrotik, эта функция есть в ядре, которое использует RouterOS 6, и это будет небольшое изменение. Надеюсь, они одобрят фичу, и мы сможем сделать /interface bridge set bridge1 arp=proxy-arp-pvlan.

roadracer96

Guest

08.07.2014 12:06:00

НО, автор темы хотел, чтобы устройства в одной подсети могли общаться с вышестоящим роутером, но не между собой. Разделение горизонта (split horizon) легко решит эту задачу. Просто назначьте все клиентские порты в горизонт 1, а порт к вышестоящему устройству — в горизонт 0, и дело в шляпе. Хотя я понимаю, что именно вы спрашивали немного по-другому.

Hammy Guest	#8 0 08.07.2014 21:09:00 Если для этого есть RFC, и ядро, используемое в RouterOS, его поддерживает, я не понимаю, почему это не сделано. В конце концов, это просто логично.

DynStatic Guest	#9 0 09.07.2014 17:32:00 Пожалуйста, воплотите это в жизнь.

nz_monkey Guest	#10 0 10.07.2014 01:26:00 Для справки Mikrotik: этот запрос находится в тикетах: Ticket#2014070866000074 Ticket#2014070866000047

nz_monkey Guest	#11 0 10.07.2014 22:13:00 Окей. Мне ответили из поддержки. Они рассматривают возможность добавить эту функцию. А пока вы можете добиться похожего результата с помощью bridge nat. /interface bridge nat add chain=dstnat mac-protocol=arp action=arp-reply to-arp-reply-mac-address=<bridge1-MAC> /interface bridge filter add chain=forward comment="Принимать ARP" in-bridge=bridge1 mac-protocol=arp out-bridge=bridge1 add action=drop chain=forward comment="Бросать всё" in-bridge=bridge1 out-bridge=bridge1 /ip firewall filter add chain=output protocol=icmp icmp-options=5 out-interface=bridge1 action=drop

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры