http://mikrotik.moscow Новое в теме Помощь по фильтрации VLAN в Bridge форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 11 Aug 2026 23:24:28 -0400 Помощь по фильтрации VLAN в Bridge RouterOS в форуме RouterOS.
Так что я не отреагировал на твой пост. Отрицаю, что это могло быть из-за моей невнимательности. Честно говоря, ты прав (и именно поэтому я не отреагировал... извини, что лишил тебя заслуженного похвального "пожатия плеча"). Ладно, шучу в сторону: единственная причина, почему это может реально сработать для @harvey — это то, что PC-5, возможно, на Windows, а @sindy не раз объясняла, что первые действия многих драйверов Windows с входящими пакетами — это срывать все VLAN-заголовки. Поэтому пакеты в направлении CHR1 -> PC-5 проходят из-за этой особенности драйвера, а пакеты в обратную сторону помечаются CHR1 на входе из-за настройки pvid.
29.08.2019 12:16:00, mkx.]]> http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395862 http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395862 Thu, 29 Aug 2019 12:16:00 -0400 RouterOS Помощь по фильтрации VLAN в Bridge RouterOS в форуме RouterOS.
Focus mkx! Смотри мой важный вопрос выше этого мягкого поста от D-stink.
28.08.2019 22:17:00, anav.]]> http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395861 http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395861 Wed, 28 Aug 2019 22:17:00 -0400 RouterOS Помощь по фильтрации VLAN в Bridge RouterOS в форуме RouterOS.
Мой старый добрый коммутатор Dlink имеет такую функцию, у них это называется «асимметричный VLAN». Я обычно использовал его как своего рода L2-файрвол или split horizon… Например, на одном порту у меня подключён смарт-ТВ. Я хочу, чтобы этот ТВ был в составе LAN (чтобы он мог воспроизводить медиа с моего DLNA-сервера), но при этом не должен иметь доступ в интернет (потому что нельзя отключить автоматические обновления прошивки, да и полностью доверять умной технике, которая постоянно «звонит домой», я не хочу). Конечно, это легко можно сделать с нормальным файрволом (которого у моего роутера тогда не было), либо через настройки защиты порта (например, horizon — чего у указанного коммутатора нет), либо же с помощью функции multi-untagged vlan. Например: #предположим, что роутер/файрвол — это отдельное устройство без VLAN

/interface bridge port  
add bridge=bridge interface=router pvid=10  
add bridge=bridge interface=TV pvid=11  
add bridge=bridge interface=DLNA pvid=12  # DLNA сервер  
add bridge=bridge interface=LAN pvid=12  # ещё один хост в LAN  

/interface bridge vlan  
add bridge=bridge untagged=DLNA,LAN vlan-ids=10  # роутер может отправлять пакеты на DLNA и LAN порты  
add bridge=bridge untagged=DLNA,LAN vlan-ids=11  # ТВ может отправлять пакеты на DLNA и LAN, но не на роутер  
add bridge=bridge untagged=router,DLNA,LAN,TV vlan-ids=12  # DLNA и LAN могут отправлять пакеты всем остальным устройствам  

[исправление] в последней строке конфигурации отсутствовал интерфейс TV как untagged член VLAN 12.
28.08.2019 19:47:00, mkx.]]> http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395860 http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395860 Wed, 28 Aug 2019 19:47:00 -0400 RouterOS Помощь по фильтрации VLAN в Bridge RouterOS в форуме RouterOS.
Из предыдущих статей. Порт моста — это поведение INGRESS. Интерфейс Bridge VLAN — это поведение EGRESS. На портах моста: транковые порты не требуют настройки pvid, а access-порты требуют! Настройка pvid на порту моста указывает роутеру помечать входящие фреймы VLAN-тегом. Безопасность на портах моста обычно для tagged-фреймов (транк), для access — только для untagged и priority фреймов. Если нужно, чтобы мост выполнял L3-функции, его надо включать в настройки интерфейса Bridge VLAN. Настройка interface vlan bridge говорит роутеру снимать тег с пакетов, идущих обратно к устройствам (обычно не VLAN-совместимым). Чтобы прояснить на первом роутере, конфиг такой…

/interface bridge port add bridge=bridge1 interface=ether3  
add bridge=bridge1 interface=ether2 pvid=400

/interface bridge vlan add bridge=bridge1 tagged=ether3,bridge1 vlan-ids=300  
add bridge=bridge1 tagged=ether3,bridge1 vlan-ids=200  
add bridge=bridge1 tagged=ether3,bridge1 vlan-ids=400

???

Не должно ли быть так…

/interface bridge vlan add bridge=bridge1 tagged=ether3,bridge1 vlan-ids=300  
add bridge=bridge1 tagged=ether3,bridge1 vlan-ids=200  
add bridge=bridge1 tagged=ether3,bridge1, untagged=ether2 vlan-ids=400??
28.08.2019 16:20:00, anav.]]> http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395859 http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395859 Wed, 28 Aug 2019 16:20:00 -0400 RouterOS Помощь по фильтрации VLAN в Bridge RouterOS в форуме RouterOS.
Есть какое-то объяснение, почему «фильтрация VLAN сама по себе не заставит процессор обрабатывать все пакеты на серии CRS3xx, но будет на других моделях из-за отключённого аппаратного ускорения» — даже несмотря на то, что эти другие модели могут делать то же самое с аппаратным ускорением, если настроить это в меню коммутатора, а не в меню моста? Разве конфигурация моста не может просто тихо настроить коммутатор при запросе аппаратного ускорения и только тегирования VLAN? (без spanning tree, без фильтрации моста и так далее)
28.08.2019 11:57:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395858 http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395858 Wed, 28 Aug 2019 11:57:00 -0400 RouterOS Помощь по фильтрации VLAN в Bridge RouterOS в форуме RouterOS.
Не совсем так, фильтрация VLAN сама по себе не заставит CPU обрабатывать все пакеты на серии CRS3xx, но на других устройствах это будет происходить из-за отключённого аппаратного ускорения. Также нужно учитывать и другие параметры, например:

Конфигурация:  
/interface bridge vlan  
add bridge=bridge1 tagged=bridge1,ether3 vlan-ids=300  
add bridge=bridge1 tagged=ether3 vlan-ids=200  
add bridge=bridge1 tagged=ether3 vlan-ids=400

Это позволит пакетам VLAN300 приниматься CPU на серии CRS3xx, но это вовсе не значит, что все пакеты будет обрабатывать процессор. CPU будет принимать и обрабатывать только широковещательные, неизвестные одноадресные пакеты, пакеты, адресованные самому мосту и т.д.

Чтобы понять возможности и лучшие практики конфигурации VLAN в RouterOS, посмотрите нашу документацию:  
https://wiki.mikrotik.com/wiki/Manual:Bridge_VLAN_Table  
https://wiki.mikrotik.com/wiki/Manual:Layer2_misconfiguration
28.08.2019 11:04:00, Reinis.]]> http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395857 http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395857 Wed, 28 Aug 2019 11:04:00 -0400 RouterOS Помощь по фильтрации VLAN в Bridge RouterOS в форуме RouterOS.
Что меня очень сбило с толку при настройке моста с VLAN-фильтрацией — когда ты указываешь определённый порт как untagged в разделе /interface bridge vlan, тебе ВСЁ РАВНО нужно выставить тот же pvid в разделе /interface bridge port! Такая ситуация встречается и в некоторых коммутаторах. Вероятно, это значит, что pvid в настройках порта используется для тегирования входящих пакетов, а untagged в определении VLAN — для исходящих, но я не могу придумать случая, когда это действительно понадобится. В моём коммутаторе Netgear один и тот же порт может быть untagged участником нескольких VLAN, а pvid задаёт, какой тег получат входящие пакеты. Мне кажется, настройка VLAN-фильтрации на мосту MikroTik позволяет то же самое, но зачем это нужно? В других коммутаторах, которые я знаю, либо настраиваешь VLAN с определением портов, которые являются tagged или untagged участниками этого VLAN (причём каждый порт может быть untagged только в одном VLAN), либо для каждого порта отдельно задаёшь tagged и untagged VLAN, и тогда ясно, что порт может быть untagged только для одного VLAN.
28.08.2019 10:40:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395856 http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395856 Wed, 28 Aug 2019 10:40:00 -0400 RouterOS Помощь по фильтрации VLAN в Bridge RouterOS в форуме RouterOS.
Шутки в сторону, MKX, я думаю, в конфигурации могла быть ошибка или упущение, и именно на это я и хотел указать или, по крайней мере, спросить.
29.08.2019 11:06:00, anav.]]> http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395855 http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395855 Thu, 29 Aug 2019 11:06:00 -0400 RouterOS Помощь по фильтрации VLAN в Bridge RouterOS в форуме RouterOS.
@anav, ты такой неуловимый (да и мои глаза уже не те), что сложно на тебя сосредоточиться... но в любом случае, я просто хотел объяснить @pe1chl возможный сценарий использования этой функции «а?». Вы, ребята, справляетесь отлично, так что перестану мешать.
29.08.2019 05:11:00, mkx.]]> http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395854 http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395854 Thu, 29 Aug 2019 05:11:00 -0400 RouterOS Помощь по фильтрации VLAN в Bridge RouterOS в форуме RouterOS.
И еще, это имеет смысл? «Если на устройстве настроен DHCP и так далее, то нужно будет также добавить мост к tagged» на маршрутизаторе, который выполняет роль DHCP-сервера.
28.08.2019 09:57:00, nichky.]]> http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395853 http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395853 Wed, 28 Aug 2019 09:57:00 -0400 RouterOS Помощь по фильтрации VLAN в Bridge RouterOS в форуме RouterOS.
Я не знаю ни одной модели Mikrotik, где кадры между беспроводным интерфейсом и Ethernet не проходят через процессор, вне зависимости от того, включена ли фильтрация VLAN или нет. Помимо этого, в вики есть таблица по bridge (я пишу с мобильного, так что точную страницу вам придется найти самостоятельно), в которой представлен обзор совместимости различных функций с аппаратным форвардингом между Ethernet-портами для каждого типа чипа коммутатора.
28.08.2019 09:52:00, sindy.]]> http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395852 http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395852 Wed, 28 Aug 2019 09:52:00 -0400 RouterOS Помощь по фильтрации VLAN в Bridge RouterOS в форуме RouterOS.
Один вопрос по этой теме. Значит, как только включается VLAN-фильтрация, трафик начинает проходить через CPU? То есть, если я хочу использовать ether и wlan, мне нужно поставить галочку VLAN Filtering. У меня три роутера на RouterOS, и мне нужно запускать VLAN как на ether, так и на wlan. Значит, по идее, трафик будет проходить через CPU, так?
28.08.2019 09:32:00, nichky.]]> http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395851 http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395851 Wed, 28 Aug 2019 09:32:00 -0400 RouterOS Помощь по фильтрации VLAN в Bridge RouterOS в форуме RouterOS.
Привет! Я экспериментирую с Bridge VLAN Filtering, чтобы понять, как это всё работает. Собрал рабочий пример:

CHR-1:  
/interface bridge  
add name=bridge1 vlan-filtering=yes  
/interface vlan  
add interface=ether3 name=vlan200 vlan-id=200  
add interface=ether3 name=vlan300 vlan-id=300  
add interface=ether3 name=vlan400 vlan-id=400  
/interface wireless security-profiles  
set [ find default=yes ] supplicant-identity=MikroTik
/ip pool  
add name=dhcp_pool0 ranges=20.0.0.2-20.0.0.254  
add name=dhcp_pool1 ranges=30.0.0.2-30.0.0.254  
add name=dhcp_pool2 ranges=40.0.0.2-40.0.0.254  
/ip dhcp-server  
add address-pool=dhcp_pool0 disabled=no interface=vlan200 name=dhcp1  
add address-pool=dhcp_pool1 disabled=no interface=vlan300 name=dhcp2  
add address-pool=dhcp_pool2 disabled=no interface=vlan400 name=dhcp3  
/interface bridge port  
add bridge=bridge1 interface=ether3  
/interface bridge settings  
set use-ip-firewall-for-vlan=yes  
/interface bridge vlan  
add bridge=bridge1 tagged=ether3 vlan-ids=300  
add bridge=bridge1 tagged=ether3 vlan-ids=200  
add bridge=bridge1 tagged=ether3 vlan-ids=400  
/ip address  
add address=20.0.0.1/24 interface=vlan200 network=20.0.0.0  
add address=30.0.0.1/24 interface=vlan300 network=30.0.0.0  
add address=40.0.0.1/24 interface=vlan400 network=40.0.0.0  
/ip dhcp-client  
add disabled=no interface=ether1  
/ip dhcp-server network  
add address=20.0.0.0/24 gateway=20.0.0.1  
add address=30.0.0.0/24 gateway=30.0.0.1  
add address=40.0.0.0/24 gateway=40.0.0.1  
/ip firewall filter  
add action=drop chain=forward in-interface=all-vlan out-interface=all-vlan  
/system identity  
set name=r1  

И CHR-2:  
/interface bridge  
add name=bridge1 vlan-filtering=yes  
/interface wireless security-profiles  
set [ find default=yes ] supplicant-identity=MikroTik
/interface bridge port  
add bridge=bridge1 interface=ether2 pvid=200  
add bridge=bridge1 interface=ether3 pvid=200  
add bridge=bridge1 interface=ether4 pvid=300  
add bridge=bridge1 interface=ether5 pvid=400  
add bridge=bridge1 interface=ether1  
/interface bridge vlan  
add bridge=bridge1 tagged=ether1 untagged=ether2,ether3 vlan-ids=200  
add bridge=bridge1 tagged=ether1 untagged=ether4 vlan-ids=300  
add bridge=bridge1 tagged=ether1 untagged=ether5 vlan-ids=400  
/ip dhcp-client  
# DHCP клиент не может работать на slave-интерфейсе!  
add dhcp-options=hostname,clientid disabled=no interface=ether1  
/system identity  
set name=switch  

Всё работает отлично. Но я никак не могу понять, как добавить PC-5 без тегирования на ether2 CHR-1 вот так:

Я перепробовал разные варианты, но PC-5 так и не получал IP по DHCP. Мне уже пришло в голову, что, может, «Bridge VLAN Filtering» стоит включать только на CHR-2, а на CHR-1 использовать более традиционную настройку VLAN. Но можно ли вообще использовать «Bridge VLAN Filtering» на CHR-1 таким образом? Если да, то как?

Буду признателен за мысли и помощь! Спасибо!

Обновление: с помощью @xvo и @sindy вопрос решён. Свой итоговый конфиг я выложил в этом посте https://forum.mikrotik.com/viewtopic.php?f=2&t=139054&p=685811#p685811 на случай, если кому-то это будет полезно.
11.09.2018 10:21:00, harvey.]]> http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395850 http://mikrotik.moscow/forum/forum57/85379-pomoshch-po-filtratsii-vlan-v-bridge/message395850 Tue, 11 Sep 2018 10:21:00 -0400 RouterOS