Mikrotik.moscow [тема: Использование RouterOS для создания VLAN в вашей сети]

Использование RouterOS для создания VLAN в вашей сети

Fri, 08 Feb 2019 19:15:00 -0500

Использование RouterOS для создания VLAN в вашей сети RouterOS в форуме RouterOS.
Я не считаю vlan-mode=use-tag чем-то особенным, раньше это был единственный способ в ROS<=6.40… как и VLAN-функции на чипе коммутатора. Но ты прав… ты плохо обращался с @anav, так что сегодня vlan-mode=use-tag тебе не светит.
08.02.2019 19:15:00, mkx.

Использование RouterOS для создания VLAN в вашей сети

Fri, 08 Feb 2019 18:36:00 -0500

Использование RouterOS для создания VLAN в вашей сети RouterOS в форуме RouterOS.
@anav, я обновил конфигурационные файлы. Пожалуйста, пересмотри их и задай свой вопрос снова. Тогда я дам тебе официальный ответ. Вчера вечером я смог на самом деле применить эти конфигурации на реальном оборудовании и сделал несколько корректировок.

Вопрос 1: Отвечая на то, что ты написал, пока скажу, что одна из причин, почему я разбиваю команды на части — показать, концептуально, что именно происходит. При проектировании VLAN администратор должен думать о том, как Access-порты будут взаимодействовать с Trunk-портами и как всё это в итоге будет работать поверх L3. Естественно, если кто-то хорошо знаком с командной строкой MikroTik, он может объединять несколько настроек в одну строку. Но это сбивает с толку, когда пытаешься понять всё с нуля.

Вопрос 2: Мне кажется, что текущий API MikroTik недостаточно выразителен для того, что происходит. Бывают случаи, когда нужно указать PVID, поэтому, на мой личный взгляд, чтобы лучше показать концепцию VLAN, читателю проще понять именно такой подход. При PVID=1 явно видно, что создаётся Trunk-порт.
08.02.2019 18:36:00, pcunite.

Использование RouterOS для создания VLAN в вашей сети

Fri, 08 Feb 2019 18:05:00 -0500

Использование RouterOS для создания VLAN в вашей сети RouterOS в форуме RouterOS.
OT: Забавно, но в предыдущем посте @pcunite я видел только первый абзац его сообщения (заканчивающийся на «So we have to document it.»). Если начинаю писать ответ (цитируя его пост или нет), появляются ещё два абзаца. [редактирую] После того, как разместил этот разгром, вижу весь предыдущий пост целиком. Это что-то тёмное, Ватсон...

Полностью согласен, что когда bridge фактически ведёт себя как порт, это действительно странно и вызывает кучу недоразумений. В том числе и дилемму — включать ли bridge как тегированный член самого себя? Наверное, большинство проблем исчезло бы, если бы был специальный псевдо-интерфейс (пусть даже создаваемый неявно для каждого bridge), который действительно выполнял бы роль интерфейса. Помимо этого, отдельные версии того же типа интерфейса пригодились бы как loop-back устройство... а сейчас приходится использовать мост для таких целей, что не совсем корректно.

Воспользуюсь случаем, чтобы открыть дискуссию о том, как лучше работать с «access портами» wifi для VLAN. Есть два варианта:

1. Старый (наследуемый) способ — настраивать /interface wireless командой типа set [ find name=wlan1 ] vlan-mode=use-tag vlan-id=BLUE и делать интерфейс wlan1 тегированным членом bridge.
2. Вероятно, новый способ — не заморачиваться с VLAN в /interface wireless, а управлять этим в дереве настройки /interface bridge, где интерфейс wlan1 настроен как access порт VLAN.

Какой способ лучше (понятнее, удобнее для чтения)? Я склоняюсь ко второму, так как VLAN — в одном месте, в одном поддереве конфигурации. Что думают по этому поводу другие участники форума?
08.02.2019 18:05:00, mkx.

Использование RouterOS для создания VLAN в вашей сети

Fri, 08 Feb 2019 17:00:00 -0500

Использование RouterOS для создания VLAN в вашей сети RouterOS в форуме RouterOS.
Спасибо, нет, я действительно имею в виду странно (используя существительное), потому что мне сложно понять, почему доступ через мост установлен именно так на этом этапе синтаксиса. Приведённые причины объясняют почему, но мне кажется, что порт и мост (мост — это виртуальный коммутатор или контейнер для ваших портов) — это разные понятия. Когда настраиваешь отдельные порты, зачем в это вмешивать этот неуклюжий мост? Тем не менее, если этого не понять, возникают неожиданные проблемы. Так что это нужно документировать. Мне также кажется, что при включённом vlan-filtering=yes должно соблюдаться общее понимание работы Access и Trunk портов (отбрасывать абсолютно все пакеты, которые не соответствуют, ну почему этого не сделать?). Я понимаю раздражение автора вики, который пытается объяснить безопасность VLAN. Думаю, MikroTik сможет сделать это правильно, и мы должны их к этому подталкивать. Тем, кто нуждается в незашищённых VLAN, пожалуйста, пусть будет такая опция. Но остальные хотят, чтобы Access и Trunk порты работали надёжно и без лишних настроек. Безопасность должна быть по умолчанию. Думаю, комментарии в моём конфиге стоит переписать, чтобы было понятнее: «Потому что странно, мы “также” добавляем сам мост как тегированный участник! Это нужно, чтобы контролировать, какие пакеты получают доступ к самому мосту».
08.02.2019 17:00:00, pcunite.

Использование RouterOS для создания VLAN в вашей сети

Fri, 08 Feb 2019 16:41:00 -0500

Использование RouterOS для создания VLAN в вашей сети RouterOS в форуме RouterOS.
@pcunite очень КЛАССНАЯ [отличная] работа. Не знаю, опечатка ли это или что, но в rsc файле под названием switch one comment line есть строка: Because weird, we “also” add the Bridge. Ты хочешь сказать wired или действительно weird?
08.02.2019 16:41:00, mozerd.

Использование RouterOS для создания VLAN в вашей сети

Thu, 07 Feb 2019 15:51:00 -0500

Использование RouterOS для создания VLAN в вашей сети RouterOS в форуме RouterOS.
Привет, pcunite. Два вопроса. Во-первых, в первом примере, в первой диаграмме (1) зачем ты разделяешь VLANы, если, по моему мнению, это не добавляет никакой пользы? Например, команда add bridge=B1 tagged=sfp1,sfp2 vlan-ids=10,20,30 должна быть достаточной! Аналогично, add bridge=B1 tagged=ether2,ether3,ether4,ether5,ether6,ether7,sfp1 vlan-ids=10,20,30. Так как между точным количеством и идентификацией tagged-портов нет никаких различий (это точная копия), я не понимаю, зачем VLANы разделять. (2) Почему ты указываешь настройки PVID=1? Разве по умолчанию не предполагается PVID1 без явной записи?
07.02.2019 15:51:00, anav.

Использование RouterOS для создания VLAN в вашей сети

Wed, 06 Feb 2019 16:32:00 -0500

Использование RouterOS для создания VLAN в вашей сети RouterOS в форуме RouterOS.
Отличная работа. Normis, закрепи эту тему.
06.02.2019 16:32:00, Dude2048.

Использование RouterOS для создания VLAN в вашей сети

Fri, 08 Feb 2019 18:34:00 -0500

Использование RouterOS для создания VLAN в вашей сети RouterOS в форуме RouterOS.
У меня будет более чёткое мнение, когда начну это внедрять. На первый взгляд, vlan-mode=use-tag — это как бесплатные конфеты, а это, как правило, значит, что от них может быть плохо. Пока не уверен. В любом случае, не давайте мне слабо!
08.02.2019 18:34:00, pcunite.

Использование RouterOS для создания VLAN в вашей сети

Fri, 04 Jan 2019 23:02:00 -0500

Использование RouterOS для создания VLAN в вашей сети RouterOS в форуме RouterOS.
Заголовок: Использование RouterOS для создания VLAN в вашей сети

Введение: Эта статья предназначена для системных интеграторов, сетевых администраторов и энтузиастов продукции, которые ищут исчерпывающее руководство по проектированию и настройке VLAN-сетей с использованием MikroTik. Следуйте за лёгким текстом и схемами, которые делают изучение VLAN интересным и понятным. Сначала разберём теорию, а затем подробно рассмотрим команды для реализации. Мы обсудим Access, Trunk и Hybrid порты, коммутацию и маршрутизацию, а также гостевой доступ в наши сети.

Зачем VLAN? Если вам нужно разделить и изолировать сети и устройства друг от друга, используя одно и то же физическое оборудование, VLAN — это то, что вам нужно. Если у вас есть устройства IoT, IP-камеры, гости, которым нужен доступ к WiFi, и необходимость контролировать качество обслуживания (QoS), VLAN позволит упростить управление сетью. В небольших сетях можно использовать и другие методы помимо VLAN, но VLAN — никогда не будет ошибочным выбором. Это даст вам уверенность изучить концепцию VLAN, зная, что она масштабируется по мере роста вашей сети и количества устройств.

Типы VLAN: Иногда вы встретите такие термины, как Port Based VLAN, MAC Based VLAN, Native VLAN и Voice VLAN. Некоторые из них — просто разные названия одного и того же. Возможно, они используют различные подходы (автоматический vs ручной), но в конце концов речь идёт о сегментации сетевых устройств. В этом документе мы сосредоточимся на ручном подходе Tag Based VLAN. Примеры динамического назначения VLAN через Radius будут добавлены, если поступит интерес и соответствующая обратная связь.

Примеры VLAN: Я сосредоточусь на наиболее часто запрашиваемых сценариях: коммутатор с отдельным роутером, комбо роутер с WiFi, гостевой WiFi, публичные VLAN и принтеры. Фактически, это оборудование и сценарии, соответствующие линейке продуктов MikroTik. Из этих примеров вы сможете создать любую кастомную конфигурацию самостоятельно. Вопросы безопасности будут рассмотрены позже в отдельном разделе.

Обзор терминологии VLAN: Прежде чем разбирать примеры, необходимо определить общую терминологию и концепции VLAN. В Tag Based VLAN вы будете работать с Access и Trunk портами, настраивать IP-адресацию и маршрутизацию, а также IP-сервисы на VLAN-интерфейсах. Все эти элементы создают управляемую VLAN-сеть. Такая виртуальная сеть может быть любого размера. Вам предстоит решить, что разрешать, а что блокировать. Прочтите определения ниже, чтобы понять, как использовать их в наших примерах команд.

Access-порты: Эти порты — вход в вашу VLAN. Они объединяют группы устройств, которые должны иметь доступ друг к другу, но не к другим сетям. Их группируют по ID. В документации для наглядности используются цвета: синий, зелёный, красный — чтобы легче запомнить номера VLAN. Access-порты настраиваются так, что входящие (ingress) пакеты не имеют тегов и им присваивается тег, а исходящие (egress) пакеты, отправляемые назад, — теги снимаются.

Trunk-порты: Эти порты несут весь трафик между VLAN. Если Access-порты — это группы устройств, то Trunk-порты позволяют этим группам связываться с другими частями коммутатора или сети. Trunk-порты настраиваются так, что входящие и исходящие пакеты обязательно имеют теги.

Hybrid-порты: Такие порты используются в спецслучаях и сочетают свойства Access и Trunk портов. По сути, они работают как Access-порт для входящего трафика без тегов, но если трафик приходит с тегами и эти теги разрешены, порт работает как Trunk. При проектировании VLAN вы сделаете первый шаг, когда сможете логично представить группировку Access-портов и взаимосвязь через Trunk-порты. Сколько VLAN и устройств вам нужно настроить? Кто к чему будет иметь доступ? Не торопитесь с этим этапом — лучше сначала нарисуйте схему VLAN.

Native, Base и MGMT (управляющая) VLAN: Когда вы создаёте VLAN и выбираете ID для каждой, учтите, что базовая сеть, которую вы использовали для первоначального подключения к роутеру или коммутатору, часто называется Native VLAN. В наших примерах эту стандартную сеть мы не используем. Вместо этого вводим Base VLAN (наш термин для управляющей VLAN) с ID 99. По этой сети будет идти обмен трафиком между устройствами (маршрутизация и т.п.). Здесь же по умолчанию доступен Winbox.

Важно помнить, если вы планируете использовать VLAN 1 в вашей сети. Большинство производителей используют VLAN 1 как native VLAN по умолчанию. MikroTik же использует VLAN 0. Если пытаться реализовать VLAN 1 в MikroTik с тегированием, это будет несовместимо с другими устройствами, где VLAN 1 считается нетегированным. Поэтому, если вы не готовы менять стандартные настройки в MikroTik или у других производителей, лучше использовать VLAN 2 и выше.

IP-адресация и маршрутизация: Каждая созданная VLAN должна иметь уникальную схему IP-адресации. Например, если Base VLAN у вас 192.168.0.x, то Blue VLAN — 10.0.10.x, Green — 10.0.20.x, Red — 10.0.30.x. Главное, чтобы адреса были уникальны для каждой VLAN. Исходя из схемы, назначайте статические IP на ключевом оборудовании: роутер — 192.168.0.1, основной коммутатор — 192.168.0.2, точка доступа WiFi — 192.168.0.3 и так далее. Роутер станет шлюзом по умолчанию, маршрутизирующим VLAN, коммутаторы и подключённые устройства.

IP-сервисы: Самый известный — DHCP. Обычно у каждой VLAN свой DHCP-сервер, который говорит устройствам, какие шлюзы и DNS использовать. Когда устройства получают IP, они начинают общаться по Ethernet-протоколу, отправлять широковещательные сообщения и другой сетевой трафик внутри VLAN. При наличии нескольких VLAN вы получаете настоящую сегментированную сеть. Если вы подключите ПК в VLAN Blue, он будет видеть и общаться только с другими устройствами Blue, но не с Green или Red. Если принтер в Green VLAN, то доступ к нему будет только у устройств из Green. При этом можно организовать шаринг ресурсов между VLAN без разрешения межVLAN-доступа — одно из преимуществ такой настройки.

Отказ от ответственности: Вся информация основана на моём личном понимании реализации описанных целей в RouterOS версии 6.43.12, исходя из доступной документации. Для создания точного руководства нужна обратная связь от MikroTik и участников форума. Пожалуйста, предлагайте изменения. Давайте сделаем этот вопрос общепринятым и понятным. Спасибо!
04.01.2019 23:02:00, pcunite.