Mikrotik. VLAN. Настройка: различия между версиями

Материал из Wiki
Перейти к навигации Перейти к поиску
Строка 6: Строка 6:


== Описание ==
== Описание ==
MIKROTIK ROUTER, К КОТОРОМУ ПОДКЛЮЧЕНЫ: MIKROTIK SWITCH L3 + CISCO SWITCH L2
<blockquote>
'''TAGGED PORTS''' - for connect to routers, switches, etc


ТРИ ИЗОЛИРОВАННЫХ L2 СЕТИ - LAN(vlan1), VLAN100 AND VLAN200
'''UNTAGGED (ACCESS) PORTS''' - for connect to PCs, sip phones, printers, etc


3 КОМПЬЮТЕРА, ПОДКЛЮЧЕННЫЕ К СВИТЧУ MIKROTIK, ДОЛЖНЫ БЫТЬ КАЖДЫЙ В СВОЕЙ L2 СЕТИ
'''PVID''' - The Port VLAN ID is used for ACCESS PORTS to tag all ingress traffic with a specific VLAN ID</blockquote>


3 КОМПЬЮТЕРА, ПОДКЛЮЧЕННЫЕ К СВИТЧУ CISCO, ДОЛЖНЫ БЫТЬ КАЖДЫЙ В СВОЕЙ L2 СЕТИ
=== Общие положения и задачи ===


КОМПЫ ОБЩАЮТСЯ ЧЕРЕЗ L3 МАРШРУТИЗАЦИЮ НА МАРШРУТИЗАТОРЕ
* Mikrotik router, к которому подключены: mikrotik switch l3 + cisco switch l2
* 3 изолированных L2 сети - lan(vlan1), vlan100 and vlan200
* 3 компьютера, подключенные к свитчу mikrotik, должны быть каждый в своей L2 сети
* 3 компьютера, подключенные к свитчу cisco, должны быть каждый в своей L2 сети
* Компы общаются через L3 маршрутизацию на маршрутизаторе Mikrotik


<nowiki>-----</nowiki>
=== Устройства и сети ===


* network#1 vlan1: 192.168.10.0/24
* network#2 vlan100: 10.10.100.0/24
* network#3 vlan200: 10.10.200.0/24
* router MIKROTIK gw01: 192.168.10.8
* switch MIKROTIK sw01: 192.168.10.224
* switch CISCO sw02: 192.168.10.225


<nowiki>#</nowiki> !!!
* Компы, подключенные к switch MIKROTIK sw01:
** vpc01: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
** vpc02: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24
** vpc03: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24
* Компы, подключенные к switch CISCO sw02:
** vpc04: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
** vpc05: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24    
** vpc06: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24


<nowiki>#</nowiki> TAGGED PORTS - for connect to routers, switches, etc
== Настройка '''Mikrotik Router gw01''' ==
Имя устройства


<nowiki>#</nowiki> UNTAGGED (ACCESS) PORTS - for connect to PCs, sip phones, printers, etc
<code>/system identity set name=gw01</code>


<nowiki>#</nowiki> PVID - The Port VLAN ID is used for ACCESS PORTS to tag all ingress traffic with a specific VLAN ID
Именуем интерфейсы


<nowiki>#</nowiki> !!!
<code>/interface ethernet</code>


network#1 vlan1: 192.168.10.0/24
<code>set [ find default-name=ether2 ] name=ether2-lan_SW01</code>


network#2 vlan100: 10.10.100.0/24
<code>set [ find default-name=ether3 ] name=ether3-wan1_ISP1 comment=wan1</code>


network#3 vlan200: 10.10.200.0/24
<code>set [ find default-name=ether4 ] name=ether4-lan_SW02</code>


router MIKROTIK gw01: 192.168.10.8
Шлюз по-умолчанию провайдерский, SRC-NAT, DNS


switch MIKROTIK sw01: 192.168.10.224
<code>/ip route add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.17.8 comment=gw1</code>


switch CISCO sw02: 192.168.10.225
<code>/ip firewall nat add action=masquerade chain=srcnat out-interface=ether3-wan1_ISP1</code>


Компы, подключенные к switch MIKROTIK sw01:
<code>/ip dns set servers=8.8.8.8</code>


   vpc01: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
Добавляем бридж


   vpc02: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24
<code>/interface bridge add name=bridge-local comment=lan</code>


   vpc03: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24
Добавляем порты в бридж


Компы, подключенные к switch CISCO sw02:
<code>/interface bridge port</code>


   vpc04: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
<code>add bridge=bridge-local interface=ether2-lan_SW01</code>


   vpc05: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24    
<code>add bridge=bridge-local interface=ether4-lan_SW02</code>


   vpc06: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24
Создаем vlan интерфейсы на интерфейсе bridge-local


ROUTER GW01
<code>/interface vlan</code>


---
<code>add interface=bridge-local name=vlan100 vlan-id=100</code>


/system identity set name=gw01
<code>add interface=bridge-local name=vlan200 vlan-id=200</code>


<nowiki>#</nowiki> именуем интерфейсы
Создаем адреса на интерфейсах


/interface ethernet
<code>/ip address</code>


set [ find default-name=ether2 ] name=ether2-lan_SW01
<code>add address=192.168.17.201/24 interface=ether3-wan1_ISP1 comment=wan1</code>


set [ find default-name=ether3 ] name=ether3-wan1_ISP1 comment=wan1
<code>add address=192.168.10.8/24 interface=bridge-local comment=lan</code>


set [ find default-name=ether4 ] name=ether4-lan_SW02
<code>add address=10.10.100.1/24 interface=vlan100 comment=vlan100</code>


<nowiki>###</nowiki>set [ find default-name=ether5 ] name=ether5-lan_SW03
<code>add address=10.10.200.1/24 interface=vlan200 comment=vlan200</code>


<nowiki>#</nowiki> шлюз по-умолчанию провайдерский, SRC-NAT, DNS
Настраиваем фильтрацию vlan на бридже (в каком порте какой тип vlan и VID будут работать)


/ip route add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.17.8 comment=gw1
<code>/interface bridge vlan</code>


/ip firewall nat add action=masquerade chain=srcnat out-interface=ether3-wan1_ISP1
<code>add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=100</code>


/ip dns set servers=8.8.8.8
<code>add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=200</code>


<nowiki>#</nowiki> добавляем бридж
Включаем vlan-filtering


/interface bridge add name=bridge-local comment=lan
<code>/interface bridge set bridge-local vlan-filtering=yes</code>


<nowiki>#</nowiki> добавляем порты в бридж
Пулы адресов


/interface bridge port
<code>/ip pool</code>


add bridge=bridge-local interface=ether2-lan_SW01
<code>add name=pool_LAN ranges=192.168.10.160/27</code>


add bridge=bridge-local interface=ether4-lan_SW02
<code>add name=pool_vlan100 ranges=10.10.100.160/27</code>


<nowiki>###</nowiki>add bridge=bridge-local interface=ether5-lan_SW03
<code>add name=pool_vlan200 ranges=10.10.200.160/27</code>


<nowiki>#</nowiki> создаем vlan интерфейсы на интерфейсе bridge-local
Dhcp серверы для каждой L2 сети


/interface vlan
<code>/ip dhcp-server network</code>


add interface=bridge-local name=vlan100 vlan-id=100
<code>add address=192.168.10.0/24 dns-server=8.8.8.8 gateway=192.168.10.8 netmask=24</code>


add interface=bridge-local name=vlan200 vlan-id=200
<code>add address=10.10.100.0/24 dns-server=8.8.8.8 gateway=10.10.100.1 netmask=24</code>


<nowiki>#</nowiki> создаем адреса на интерфейсах
<code>add address=10.10.200.0/24 dns-server=8.8.8.8 gateway=10.10.200.1 netmask=24</code>


/ip address
<code>/ip dhcp-server</code>


add address=192.168.17.201/24 interface=ether3-wan1_ISP1 comment=wan1
<code>add address-pool=pool_LAN interface=bridge-local name=dhcp-server_LAN</code>


add address=192.168.10.8/24 interface=bridge-local comment=lan
<code>add address-pool=pool_vlan100 interface=vlan100 name=dhcp-server_vlan100</code>


add address=10.10.100.1/24 interface=vlan100 comment=vlan100
<code>add address-pool=pool_vlan200 interface=vlan200 name=dhcp-server_vlan200</code>


add address=10.10.200.1/24 interface=vlan200 comment=vlan200
После того как свитчи и компы будут настроены, управлять доступом между сетями разных VLAN можно через маршрутизацию на маршрутизаторе gw01.


<nowiki>#</nowiki> настраиваем фильтрацию vlan на бридже (в каком порте какой тип vlan и VID будут работать)
Например, можно закрыть доступ между сетями vlan100 и vlan200


/interface bridge vlan
<code>/ip firewall filter</code>


add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=100
<code>add action=drop chain=forward dst-address=10.10.100.0/24 src-address=10.10.200.0/24</code>


add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=200
<code>add action=drop chain=forward dst-address=10.10.200.0/24 src-address=10.10.100.0/24</code>


<nowiki>#</nowiki> включаем vlan-filtering
== Настройка '''Mikrotik Switch sw01''' ==
К свитчу подключены 3 компа:


/interface bridge set bridge-local vlan-filtering=yes
* ether3 - vpc01
* ether4 - vpc02
* ether5 - vpc03


<nowiki>#</nowiki> пулы адресов
Необходимо чтобы каждый комп получал IP по DHCP из соответствующей L2 сети


/ip pool
Имя устройства


add name=pool_LAN ranges=192.168.10.160/27
<code>/system identity set name=sw01</code>


add name=pool_vlan100 ranges=10.10.100.160/27
Именуем интерфейсы


add name=pool_vlan200 ranges=10.10.200.160/27
<code>/interface ethernet</code>


<nowiki>#</nowiki> dhcp серверы для каждой L2 сети
<code>set [ find default-name=ether2 ] name=ether2-lan_GW01</code>


/ip dhcp-server network
<code>set [ find default-name=ether3 ] name=ether3-lan_vpc01-vlan100</code>


add address=192.168.10.0/24 dns-server=8.8.8.8 gateway=192.168.10.8 netmask=24
<code>set [ find default-name=ether4 ] name=ether4-lan_vpc02-vlan200</code>


add address=10.10.100.0/24 dns-server=8.8.8.8 gateway=10.10.100.1 netmask=24
<code>set [ find default-name=ether4 ] name=ether5-lan_vpc03-LAN</code>


add address=10.10.200.0/24 dns-server=8.8.8.8 gateway=10.10.200.1 netmask=24
Создаем bridge-local


/ip dhcp-server
<code>/interface bridge add name=bridge-local comment=lan</code>


add address-pool=pool_LAN interface=bridge-local name=dhcp-server_LAN
Добавляем порты в бридж
 
add address-pool=pool_vlan100 interface=vlan100 name=dhcp-server_vlan100
 
add address-pool=pool_vlan200 interface=vlan200 name=dhcp-server_vlan200
 
<nowiki>#</nowiki> после того как свитчи и компы будут настроены,
 
<nowiki>#</nowiki> управлять доступом между сетями разных VLAN можно через маршрутизацию на маршрутизаторе gw1
 
<nowiki>#</nowiki> например, можно закрыть доступ между сетями vlan100 и vlan200
 
/ip firewall filter
 
add action=drop chain=forward dst-address=10.10.100.0/24 src-address=10.10.200.0/24
 
add action=drop chain=forward dst-address=10.10.200.0/24 src-address=10.10.100.0/24
 
SWITCH MIKROTIK SW01
 
---
 
<nowiki>#</nowiki> к свитчу подключены 3 компа:
 
<nowiki>#</nowiki>    ether3 - vpc01
 
<nowiki>#</nowiki>    ether4 - vpc02
 
<nowiki>#</nowiki>    ether5 - vpc03
 
<nowiki>#</nowiki> необходимо чтобы каждый комп получал IP по DHCP из соответствующей L2 сети
 
/system identity set name=sw01
 
<nowiki>#</nowiki> именуем интерфейсы
 
/interface ethernet
 
set [ find default-name=ether2 ] name=ether2-lan_GW01
 
set [ find default-name=ether3 ] name=ether3-lan_vpc01-vlan100
 
set [ find default-name=ether4 ] name=ether4-lan_vpc02-vlan200
 
set [ find default-name=ether4 ] name=ether5-lan_vpc03-LAN
 
<nowiki>#</nowiki> создаем bridge-local
 
/interface bridge add name=bridge-local comment=lan
 
<nowiki>#</nowiki> добавляем порты в бридж


/interface bridge port
/interface bridge port

Версия 18:31, 16 января 2022


Ссылки

https://mikrotiklab.ru/nastrojka/artga-vlan.html

Описание

TAGGED PORTS - for connect to routers, switches, etc

UNTAGGED (ACCESS) PORTS - for connect to PCs, sip phones, printers, etc

PVID - The Port VLAN ID is used for ACCESS PORTS to tag all ingress traffic with a specific VLAN ID

Общие положения и задачи

  • Mikrotik router, к которому подключены: mikrotik switch l3 + cisco switch l2
  • 3 изолированных L2 сети - lan(vlan1), vlan100 and vlan200
  • 3 компьютера, подключенные к свитчу mikrotik, должны быть каждый в своей L2 сети
  • 3 компьютера, подключенные к свитчу cisco, должны быть каждый в своей L2 сети
  • Компы общаются через L3 маршрутизацию на маршрутизаторе Mikrotik

Устройства и сети

  • network#1 vlan1: 192.168.10.0/24
  • network#2 vlan100: 10.10.100.0/24
  • network#3 vlan200: 10.10.200.0/24
  • router MIKROTIK gw01: 192.168.10.8
  • switch MIKROTIK sw01: 192.168.10.224
  • switch CISCO sw02: 192.168.10.225
  • Компы, подключенные к switch MIKROTIK sw01:
    • vpc01: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
    • vpc02: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24
    • vpc03: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24
  • Компы, подключенные к switch CISCO sw02:
    • vpc04: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
    • vpc05: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24    
    • vpc06: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24

Настройка Mikrotik Router gw01

Имя устройства

/system identity set name=gw01

Именуем интерфейсы

/interface ethernet

set [ find default-name=ether2 ] name=ether2-lan_SW01

set [ find default-name=ether3 ] name=ether3-wan1_ISP1 comment=wan1

set [ find default-name=ether4 ] name=ether4-lan_SW02

Шлюз по-умолчанию провайдерский, SRC-NAT, DNS

/ip route add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.17.8 comment=gw1

/ip firewall nat add action=masquerade chain=srcnat out-interface=ether3-wan1_ISP1

/ip dns set servers=8.8.8.8

Добавляем бридж

/interface bridge add name=bridge-local comment=lan

Добавляем порты в бридж

/interface bridge port

add bridge=bridge-local interface=ether2-lan_SW01

add bridge=bridge-local interface=ether4-lan_SW02

Создаем vlan интерфейсы на интерфейсе bridge-local

/interface vlan

add interface=bridge-local name=vlan100 vlan-id=100

add interface=bridge-local name=vlan200 vlan-id=200

Создаем адреса на интерфейсах

/ip address

add address=192.168.17.201/24 interface=ether3-wan1_ISP1 comment=wan1

add address=192.168.10.8/24 interface=bridge-local comment=lan

add address=10.10.100.1/24 interface=vlan100 comment=vlan100

add address=10.10.200.1/24 interface=vlan200 comment=vlan200

Настраиваем фильтрацию vlan на бридже (в каком порте какой тип vlan и VID будут работать)

/interface bridge vlan

add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=100

add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=200

Включаем vlan-filtering

/interface bridge set bridge-local vlan-filtering=yes

Пулы адресов

/ip pool

add name=pool_LAN ranges=192.168.10.160/27

add name=pool_vlan100 ranges=10.10.100.160/27

add name=pool_vlan200 ranges=10.10.200.160/27

Dhcp серверы для каждой L2 сети

/ip dhcp-server network

add address=192.168.10.0/24 dns-server=8.8.8.8 gateway=192.168.10.8 netmask=24

add address=10.10.100.0/24 dns-server=8.8.8.8 gateway=10.10.100.1 netmask=24

add address=10.10.200.0/24 dns-server=8.8.8.8 gateway=10.10.200.1 netmask=24

/ip dhcp-server

add address-pool=pool_LAN interface=bridge-local name=dhcp-server_LAN

add address-pool=pool_vlan100 interface=vlan100 name=dhcp-server_vlan100

add address-pool=pool_vlan200 interface=vlan200 name=dhcp-server_vlan200

После того как свитчи и компы будут настроены, управлять доступом между сетями разных VLAN можно через маршрутизацию на маршрутизаторе gw01.

Например, можно закрыть доступ между сетями vlan100 и vlan200

/ip firewall filter

add action=drop chain=forward dst-address=10.10.100.0/24 src-address=10.10.200.0/24

add action=drop chain=forward dst-address=10.10.200.0/24 src-address=10.10.100.0/24

Настройка Mikrotik Switch sw01

К свитчу подключены 3 компа:

  • ether3 - vpc01
  • ether4 - vpc02
  • ether5 - vpc03

Необходимо чтобы каждый комп получал IP по DHCP из соответствующей L2 сети

Имя устройства

/system identity set name=sw01

Именуем интерфейсы

/interface ethernet

set [ find default-name=ether2 ] name=ether2-lan_GW01

set [ find default-name=ether3 ] name=ether3-lan_vpc01-vlan100

set [ find default-name=ether4 ] name=ether4-lan_vpc02-vlan200

set [ find default-name=ether4 ] name=ether5-lan_vpc03-LAN

Создаем bridge-local

/interface bridge add name=bridge-local comment=lan

Добавляем порты в бридж

/interface bridge port

add bridge=bridge-local interface=ether2-lan_GW01

add bridge=bridge-local interface=ether3-lan pvid=100

add bridge=bridge-local interface=ether4-lan pvid=200

add bridge=bridge-local interface=ether5-lan pvid=1

# настраиваем фильтрацию vlan на бридже (в каком порте какой тип vlan и VID будут работать)

/interface bridge vlan

add bridge=bridge-local tagged=ether2-lan_GW,bridge-local untagged=ether3-lan vlan-ids=100

add bridge=bridge-local tagged=ether2-lan_GW,bridge-local untagged=ether4-lan vlan-ids=200

# создаем vlan интерфейсы на интерфейсе bridge-local

/interface vlan

add interface=bridge-local name=vlan100 vlan-id=100

add interface=bridge-local name=vlan200 vlan-id=200

# включаем vlan-filtering

/interface bridge set bridge-local vlan-filtering=yes

# адрес свитча sw01

/ip address

add address=192.168.10.224/24 interface=bridge-local comment=lan

# создаем dhcp клиенты, тем самым проверяя работаспособность vlan

# на каждый интерфейс должен присвоиться адрес из соответствующей сети

/ip dhcp-client

add interface=bridge-local

add interface=vlan100

add interface=vlan200

VPC01

---

# vpc01 порт eth0 подключаем к sw01 порт eth3 (порт UNTAGGED vlan100)

ip dhcp

   vpcs01 получает IP из диапазона 10.10.100.0/24 (vlan100)

   

VPC02

---

# vpc02 порт eth0 подключаем к sw01 порт eth4 (порт UNTAGGED vlan200)

ip dhcp

   vpcs02 получает IP из диапазона 10.10.200.0/24 (vlan200)

   

VPC03

---

# vpc03 порт eth0 подключаем к sw01 порт eth5 (порт LAN - без настройки vlan (но так то vlan1))

ip dhcp

   vpcs03 получает IP из диапазона 192.168.10.0/24 (LAN (vlan1))

   

SWITCH CISCO SW02

---

# к свитчу подключены 3 компа:

#    GigabitEthernet 0/1 - vpc04

#    GigabitEthernet 0/2 - vpc05

#    GigabitEthernet 0/3 - vpc06

# необходимо чтобы каждый комп получал IP по DHCP из соответствующей L2 сети

# создаем vlan

cisco(config)#vlan 100

cisco(config)#exit

cisco(config)#vlan 200

cisco(config)#exit

# включаем vlan 1,100,200 в режиме TRUNK (TAGGED) на порте, который подключен к маршрутизатору gw01

cisco(config)#interface GigabitEthernet 0/0

cisco(config-if)#switchport trunk allowed vlan 1,100,200

cisco(config-if)#switchport trunk encapsulation dot1q

cisco(config-if)#switchport mode trunk

# включаем vlan 100 в режиме ACCESS (UNTAGGED) на порте, подключенном к vpc04

cisco(config)#interface GigabitEthernet 0/1

cisco(config-if)#switchport access vlan 100

cisco(config-if)#switchport mode access

# включаем vlan 200 в режиме ACCESS (UNTAGGED) на порте, подключенном к vpc05

cisco(config)#interface GigabitEthernet 0/2

cisco(config-if)#switchport access vlan 200

cisco(config-if)#switchport mode access

# показать информацию по vlan и интерфейсам

cisco# show vlan brief

VPC04

---

# vpc04 порт eth0 подключаем к sw02 порт Gi0/1 (порт UNTAGGED vlan100)

ip dhcp

   vpcs04 получает IP из диапазона 10.10.100.0/24 (vlan100)

   

VPC05

---

# vpc05 порт eth0 подключаем к sw02 порт Gi0/2 (порт UNTAGGED vlan200)

ip dhcp

   vpcs05 получает IP из диапазона 10.10.200.0/24 (vlan200)

   

VPC06

---

# vpc06 порт eth0 подключаем к sw02 порт Gi0/3 (порт LAN - без настройки vlan (но так то vlan1))

ip dhcp

   vpcs06 получает IP из диапазона 192.168.10.0/24 (LAN (vlan1))

Источник — https://wiki.cless.pro/index.php?title=Mikrotik._VLAN._Настройка&oldid=449