Mikrotik. VLAN. Настройка

Ссылки

https://mikrotiklab.ru/nastrojka/artga-vlan.html

Описание

TAGGED PORTS - for connect to routers, switches, etc

UNTAGGED (ACCESS) PORTS - for connect to PCs, sip phones, printers, etc

PVID - The Port VLAN ID is used for ACCESS PORTS to tag all ingress traffic with a specific VLAN ID

Общие положения и задачи

• Mikrotik router, к которому подключены: mikrotik switch l3 + cisco switch l2
• 3 изолированных L2 сети - lan(vlan1), vlan100 and vlan200
• 3 компьютера, подключенные к свитчу mikrotik, должны быть каждый в своей L2 сети
• 3 компьютера, подключенные к свитчу cisco, должны быть каждый в своей L2 сети
• Компы общаются через L3 маршрутизацию на маршрутизаторе Mikrotik

Устройства и сети

• network#1 vlan1: 192.168.10.0/24
• network#2 vlan100: 10.10.100.0/24
• network#3 vlan200: 10.10.200.0/24
• router MIKROTIK gw01: 192.168.10.8
• switch MIKROTIK sw01: 192.168.10.224
• switch CISCO sw02: 192.168.10.225

• Компы, подключенные к switch MIKROTIK sw01:
  • vpc01: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
  • vpc02: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24
  • vpc03: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24
• Компы, подключенные к switch CISCO sw02:
  • vpc04: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
  • vpc05: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24    
  • vpc06: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24

Настройка Mikrotik Router gw01

Имя устройства

/system identity set name=gw01

Именуем интерфейсы

/interface ethernet

set [ find default-name=ether2 ] name=ether2-lan_SW01

set [ find default-name=ether3 ] name=ether3-wan1_ISP1 comment=wan1

set [ find default-name=ether4 ] name=ether4-lan_SW02

Шлюз по-умолчанию провайдерский, SRC-NAT, DNS

/ip route add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.17.8 comment=gw1

/ip firewall nat add action=masquerade chain=srcnat out-interface=ether3-wan1_ISP1

/ip dns set servers=8.8.8.8

Добавляем бридж

/interface bridge add name=bridge-local comment=lan

Добавляем порты в бридж

/interface bridge port

add bridge=bridge-local interface=ether2-lan_SW01

add bridge=bridge-local interface=ether4-lan_SW02

Создаем vlan интерфейсы на интерфейсе bridge-local

/interface vlan

add interface=bridge-local name=vlan100 vlan-id=100

add interface=bridge-local name=vlan200 vlan-id=200

Создаем адреса на интерфейсах

/ip address

add address=192.168.17.201/24 interface=ether3-wan1_ISP1 comment=wan1

add address=192.168.10.8/24 interface=bridge-local comment=lan

add address=10.10.100.1/24 interface=vlan100 comment=vlan100

add address=10.10.200.1/24 interface=vlan200 comment=vlan200

Настраиваем фильтрацию vlan на бридже (в каком порте какой тип vlan и VID будут работать)

/interface bridge vlan

add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=100

add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=200

Включаем vlan-filtering

/interface bridge set bridge-local vlan-filtering=yes

Пулы адресов

/ip pool

add name=pool_LAN ranges=192.168.10.160/27

add name=pool_vlan100 ranges=10.10.100.160/27

add name=pool_vlan200 ranges=10.10.200.160/27

Dhcp серверы для каждой L2 сети

/ip dhcp-server network

add address=192.168.10.0/24 dns-server=8.8.8.8 gateway=192.168.10.8 netmask=24

add address=10.10.100.0/24 dns-server=8.8.8.8 gateway=10.10.100.1 netmask=24

add address=10.10.200.0/24 dns-server=8.8.8.8 gateway=10.10.200.1 netmask=24

/ip dhcp-server

add address-pool=pool_LAN interface=bridge-local name=dhcp-server_LAN

add address-pool=pool_vlan100 interface=vlan100 name=dhcp-server_vlan100

add address-pool=pool_vlan200 interface=vlan200 name=dhcp-server_vlan200

После того как свитчи и компы будут настроены, управлять доступом между сетями разных VLAN можно через маршрутизацию на маршрутизаторе gw01.

Например, можно закрыть доступ между сетями vlan100 и vlan200

/ip firewall filter

add action=drop chain=forward dst-address=10.10.100.0/24 src-address=10.10.200.0/24

add action=drop chain=forward dst-address=10.10.200.0/24 src-address=10.10.100.0/24

Настройка Mikrotik Switch sw01

К свитчу подключены 3 компа:

• ether3 - vpc01
• ether4 - vpc02
• ether5 - vpc03

Необходимо чтобы каждый комп получал IP по DHCP из соответствующей L2 сети

Имя устройства

/system identity set name=sw01

Именуем интерфейсы

/interface ethernet

set [ find default-name=ether2 ] name=ether2-lan_GW01

set [ find default-name=ether3 ] name=ether3-lan_vpc01-vlan100

set [ find default-name=ether4 ] name=ether4-lan_vpc02-vlan200

set [ find default-name=ether4 ] name=ether5-lan_vpc03-LAN

Создаем bridge-local

/interface bridge add name=bridge-local comment=lan

Добавляем порты в бридж

/interface bridge port

add bridge=bridge-local interface=ether2-lan_GW01

add bridge=bridge-local interface=ether3-lan pvid=100

add bridge=bridge-local interface=ether4-lan pvid=200

add bridge=bridge-local interface=ether5-lan pvid=1

Настраиваем фильтрацию vlan на бридже (в каком порте какой тип vlan и VID будут работать)

/interface bridge vlan

add bridge=bridge-local tagged=ether2-lan_GW,bridge-local untagged=ether3-lan vlan-ids=100

add bridge=bridge-local tagged=ether2-lan_GW,bridge-local untagged=ether4-lan vlan-ids=200

Создаем vlan интерфейсы на интерфейсе bridge-local

/interface vlan

add interface=bridge-local name=vlan100 vlan-id=100

add interface=bridge-local name=vlan200 vlan-id=200

Включаем vlan-filtering

/interface bridge set bridge-local vlan-filtering=yes

Адрес свитча sw01

/ip address

add address=192.168.10.224/24 interface=bridge-local comment=lan

Создаем dhcp клиенты, тем самым проверяя работоспособность vlan

На каждый интерфейс должен присвоиться адрес из соответствующей сети

/ip dhcp-client

add interface=bridge-local

add interface=vlan100

add interface=vlan200

Настройка компьютера VPC01

vpc01 порт eth0 подключаем к sw01 порт eth3 (порт UNTAGGED vlan100)

ip dhcp

vpcs01 получает IP из диапазона 10.10.100.0/24 (vlan100)   

Настройка компьютера VPC02

vpc02 порт eth0 подключаем к sw01 порт eth4 (порт UNTAGGED vlan200)

ip dhcp

vpcs02 получает IP из диапазона 10.10.200.0/24 (vlan200)   

Настройка компьютера VPC03

vpc03 порт eth0 подключаем к sw01 порт eth5 (порт LAN - без настройки vlan (но так то vlan1))

ip dhcp

vpcs03 получает IP из диапазона 192.168.10.0/24 (LAN (vlan1))   

Настройка Cisco Switch sw02

К свитчу подключены 3 компа:

• GigabitEthernet 0/1 - vpc04
• GigabitEthernet 0/2 - vpc05
• GigabitEthernet 0/3 - vpc06

Необходимо чтобы каждый комп получал IP по DHCP из соответствующей L2 сети

Создаем vlan

cisco(config)#vlan 100

cisco(config)#exit

cisco(config)#vlan 200

cisco(config)#exit

Включаем vlan 1,100,200 в режиме TRUNK (TAGGED) на порте, который подключен к маршрутизатору gw01

cisco(config)#interface GigabitEthernet 0/0

cisco(config-if)#switchport trunk allowed vlan 1,100,200

cisco(config-if)#switchport trunk encapsulation dot1q

cisco(config-if)#switchport mode trunk

Включаем vlan 100 в режиме ACCESS (UNTAGGED) на порте, подключенном к vpc04

cisco(config)#interface GigabitEthernet 0/1

cisco(config-if)#switchport access vlan 100

cisco(config-if)#switchport mode access

Включаем vlan 200 в режиме ACCESS (UNTAGGED) на порте, подключенном к vpc05

cisco(config)#interface GigabitEthernet 0/2

cisco(config-if)#switchport access vlan 200

cisco(config-if)#switchport mode access

Показать информацию по vlan и интерфейсам

cisco# show vlan brief

Настройка компьютера VPC04

vpc04 порт eth0 подключаем к sw02 порт Gi0/1 (порт UNTAGGED vlan100)

ip dhcp

vpcs04 получает IP из диапазона 10.10.100.0/24 (vlan100)   

Настройка компьютера VPC05

vpc05 порт eth0 подключаем к sw02 порт Gi0/2 (порт UNTAGGED vlan200)

ip dhcp

vpcs05 получает IP из диапазона 10.10.200.0/24 (vlan200)   

Настройка компьютера VPC06

vpc06 порт eth0 подключаем к sw02 порт Gi0/3 (порт LAN - без настройки vlan (но так то vlan1))

ip dhcp

vpcs06 получает IP из диапазона 192.168.10.0/24 (LAN (vlan1))