+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

CHR + Hyper-V + виртуальная сетевая карта в режиме транка = проблемы с VLAN

CHR + Hyper-V + виртуальная сетевая карта в режиме транка = проблемы с VLAN, RouterOS

acsrobert

Guest

03.03.2016 21:09:00

Краткий обзор того, чего я пытаюсь добиться: у нас есть хостинговая VM-инфраструктура кластера на базе Hyper-V 2012 R2. У нескольких клиентов есть виртуальные серверы (файловые, RDP, Exchange), размещённые в нашей системе, каждый — в своей VLAN, и все устройства настроены с не пересекающимися подсетями. У клиентов на площадке стоит MikroTik.

Нам нужно настроить VPN-туннель между офисом клиента и дата-центром, чтобы они могли напрямую получить доступ к данным со своих виртуальных устройств. Вместо того чтобы ставить физическую коробку с X86 RouterOS, которая может выйти из строя и вызвать проблемы, мы решили попробовать виртуализировать роутер.

Для нескольких клиентов мы настроили отдельные виртуальные машины с RouterOS версии 4.x, с двумя виртуальными сетевыми интерфейсами (WAN и LAN). На виртуальном интерфейсе, подключённом к LAN, мы используем настройку Hyper-V, чтобы пропускать трафик только с определённым VLAN ID. Минус в том, что если клиентов 50, нам надо 50 виртуальных машин.

Мы хотим попытаться слить все роутеры в один VPN-концентратор на базе RouterOS (или CHR).

Как мы это пытаемся сделать:

- Создали виртуальную машину для нового концентратора.
- Добавили два виртуальных сетевых адаптера (eth1=WAN, eth2=LAN):
add-vmnetworkadapter -vmname Concentrator -SwitchName WAN | rename-VMNetworkAdapter -name Eth1
add-vmnetworkadapter -vmname Concentrator -SwitchName ClientPrivate | rename-VMNetworkAdapter -name Eth2
- Через PowerShell включили для LAN-интерфейса режим транка:
set-vmnetworkadaptervlan -vmname Concentrator -VMNetworkAdapter ETH2 -Trunk -AllowedVlanIdList 900-999 -NativeVlanId 0
- Установили RouterOS в виртуальную машину (пробовали как 4.x с legacy NIC, так и последний релиз кандидат CHR с legacy и synthetic NIC).
- Создали новый VLAN-интерфейс на eth2 с VLAN ID из разрешённого диапазона виртуального свича (900-999):
/interface vlan add interface=ether2 name=vlan999 vlan-id=999
- Тестировали с другой виртуальной машиной, привязанной к той же VLAN из шага 5, но она не видит устройство RouterOS, и RouterOS не видит эту VM. По снифферам пакетов видно, что где-то в RouterOS VLAN-теги обрезаются, и трафик просто отбрасывается.
- Устройство RouterOS может общаться по LAN виртуальному интерфейсу на native VLAN, установленном на виртуальном адаптере, но не на каких-либо из разрешённых VLAN.

Альтернативно можно добавить несколько виртуальных сетевых карт к виртуалке (по одной на клиента) и дать Hyper-V управлять VLAN’ами на интерфейсе напрямую, но Hyper-V ограничен 8 виртуальными картами, так что получится максимум 1 WAN и 7 клиентов на роутер. Это уменьшит число роутеров, но всё равно будет неудобно в эксплуатации.

Мы пробовали то же самое с PFSense и ещё одним софтовым роутером — оба нормально навешивали VLANы на виртуальные интерфейсы без проблем.

Это баг в сетевой части RouterOS или я просто чего-то не понимаю и пропускаю настройку?

C0ReDuMP

Guest

21.06.2016 01:49:00

Привет, artie11, мы работаем с RouterOS 6.35.4 на HyperV (W2012R2), используя VLAN, и всё вроде работает нормально. Мы используем HyperV Synthetic Network adapter, так как теперь он полностью поддерживается. В PowerShell мы настроили “NativeVlanId 0” и AllowedVlanIdList, равный VLAN тегам, которые хотим передавать на RouterOS. Также в PowerShell включили MacAddressSpoofing на адаптерах, подключённых к RouterOS, поскольку используем мосты с "поддельными" MAC-адресами.

Решили отключить VMQ на HyperV-адаптере, подключённом к интерфейсам RouterOS, потому что заметили медленное восстановление сети после Live Migration виртуальной машины с VLAN-тегированными интерфейсами. Эта проблема не связана с RouterOS, а скорее всего с багом драйвера Broadcom NIC, установленного на гипервизоре (мы сталкивались с такой же проблемой и в других ОС с VLAN-тегированными интерфейсами). При отключённом VLAN-тегировании восстановление сети виртуальной машины после Live Migration на других узлах кластера работает нормально, даже если VMQ включён.

С некоторыми старыми драйверами Broadcom VMQ на HyperV вызывал кучу проблем с сетевыми соединениями. К сожалению, между виртуальной машиной CHR и сетевой картой гипервизора есть несколько сетевых уровней. Там много настроек, которые могут вызывать подобные проблемы, поэтому диагностика может быть непростой.

Какую версию Windows использует HyperV? Какая сетевая карта установлена на гипервизоре? Включён ли VMQ глобально?

artie11

Guest

21.06.2016 04:23:00

Я заново настроил всё, используя параметры, которые ты рекомендовал: MacSpoofing, VMQ выключен, IPSec offload выключен. Вот команда, которую я применил для внешнего сетевого интерфейса, где 104 — это VLAN, на котором я хочу его видеть:
set-vmnetworkAdapterVlan -NativeVlanId 0 -AllowedVlanIdList "0,104" -trunk

Запускаю Server 2012R2 с Broadcom NIC (Dell). Аналогичные проблемы… Но с VLAN 104 нет ответа. Я добавил VLAN на ether-порт и прописал IP-адрес, но всё равно не получаю ответы ARP от других IP в этом диапазоне. Возможно, попробую на Server 2016, который мы ставим для нашей новой архитектуры.

C0ReDuMP

Guest

24.06.2016 01:59:00

Привет, artie11! Могу подтвердить, что использовал похожую команду для настройки VLAN-тегирования на Ethernet, вот моя команда:
Get-VMNetworkAdapter -VMName “Virtual Machine Name” | Where { $_.MacAddress -eq “00155DD93113” } | Set-VMNetworkAdapterVlan -Trunk -NativeVlanId 0 -AllowedVlanIdList “9,20,64,2800,2801”

Я использую оператор “Where”, чтобы отфильтровать и применить настройки VLAN только к одному конкретному сетевому адаптеру, подключённому к MikroTik CHR VM (у меня к ВМ подключено три разных сетевых адаптера). Очевидно, перед выполнением этой команды нужно обязательно назначить статический MAC-адрес нужному виртуальному сетевому адаптеру.

Можешь подтвердить, что если выбираешь сетевой адаптер в настройках виртуальной машины (через Hyper-V Manager), опция “Enable virtual LAN identification” не отмечена?

Можешь также подтвердить, что версия RouterOS у тебя хотя бы 6.35? На более старых версиях VLAN-тегирование в Hyper-V не работало.

Мой экземпляр CHR работает на Dell blade с сетевым адаптером Broadcom 57810S KR. Я пробовал переносить этот экземпляр на другой Dell blade с Intel X520 KR — там всё работает идеально.

artie11 Guest	#5 0 24.06.2016 03:53:00 У меня уже работает стабильно три дня подряд… Настроил PPTP, и всё пашет… Надеюсь, что так и останется, без глюков пока.

toxicfusion

Guest

14.07.2016 20:45:00

Не уверен, связано ли это с похожей проблемой, но у меня есть CHR, установленный у VPS-провайдера, который поддерживает «внутреннюю приватную сеть». У инстанса CHR есть IP-адрес на интерфейсе приватной сети. У меня есть ещё три виртуальные машины с приватной сетью и настроенными eth-интерфейсами. На CHR настроен IPSEC VPN-туннель, который завершает соединение обратно в мой офис. Я могу отправлять трафик на адрес маршрутизатора CHR, назначенный интерфейсу. Но не могу передать трафик ни на одну из VM внутри приватной сети. CHR пингует роутер моего офиса — и больше ничего.

borodamd Guest	#7 0 15.08.2016 14:31:00 Я решил эту проблему, включив подмену MAC-адреса в настройках адаптера Hyper-V на обеих виртуальных машинах (Mikrotik и гостевой).

wtechlink Guest	#8 0 25.02.2021 23:32:00 Пишу, чтобы сказать, что включение подмены MAC-адреса в расширенных сетевых настройках виртуальной машины решило мою проблему с Hyper-V.

bpdozer Guest	#9 0 20.04.2016 04:18:00 C0ReDuMP Это работает! Версия 6.35

artie11 Guest	#10 0 20.06.2016 06:39:00 То же самое... NICs отображаются как "Незавершённые", независимо от того, старые они или нет. Странные проблемы... Один внутренний NIC — без маршрута по умолчанию (нет VLAN) — локальный IP. Один внешний NIC с маршрутом по умолчанию (с использованием VLAN) — внешний IP. Внутри сети пинги проходят без проблем... пытаешься подключиться к веб-порту или к внешнему Mikrotik — пинги пропадают??? По-прежнему можно подключиться через консоль в Hyper-V, но никакие изменения не помогают вернуть связь... она просто появляется, когда сама захочет.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры