Mikrotik. VLAN. Настройка: различия между версиями

Материал из Wiki
Перейти к навигации Перейти к поиску
 
(не показано 5 промежуточных версий этого же участника)
Строка 6: Строка 6:


== Описание ==
== Описание ==
MIKROTIK ROUTER, К КОТОРОМУ ПОДКЛЮЧЕНЫ: MIKROTIK SWITCH L3 + CISCO SWITCH L2
<blockquote>
'''TAGGED (TRUNK) PORTS''' - (for connect to routers, switches, etc) - порт передающий тегированный трафик одного или нескольких VLAN’ов. Этот порт не изменяет тег, а лишь пропускает кадры с тегами, которые разрешены на этом порту


ТРИ ИЗОЛИРОВАННЫХ L2 СЕТИ - LAN(vlan1), VLAN100 AND VLAN200
'''UNTAGGED (ACCESS) PORTS''' - (for connect to PCs, sip phones, printers, etc) - порт принадлежащий одному VLAN’у и передающий нетегированный трафик. По спецификации cisco, access порт может принадлежать только одному VLAN’у, по умолчанию это первый (нетегированный) VLAN. Любой кадр, который проходит через access порт, помечается номером, принадлежащим этому VLAN’у


3 КОМПЬЮТЕРА, ПОДКЛЮЧЕННЫЕ К СВИТЧУ MIKROTIK, ДОЛЖНЫ БЫТЬ КАЖДЫЙ В СВОЕЙ L2 СЕТИ
'''PVID''' - The Port VLAN ID is used for ACCESS PORTS to tag all ingress traffic with a specific VLAN ID</blockquote>


3 КОМПЬЮТЕРА, ПОДКЛЮЧЕННЫЕ К СВИТЧУ CISCO, ДОЛЖНЫ БЫТЬ КАЖДЫЙ В СВОЕЙ L2 СЕТИ
=== Топология сети ===
[[Файл:Mikrotik vlan topology.jpg|без|мини|568x568пкс|Топология сети]]


КОМПЫ ОБЩАЮТСЯ ЧЕРЕЗ L3 МАРШРУТИЗАЦИЮ НА МАРШРУТИЗАТОРЕ
=== Общие положения и задачи ===


<nowiki>-----</nowiki>
* Mikrotik router, к которому подключены: mikrotik switch l3 + cisco switch l2
* 3 изолированных L2 сети - lan(vlan1), vlan100 and vlan200
* 3 компьютера, подключенные к свитчу mikrotik, должны быть каждый в своей L2 сети
* 3 компьютера, подключенные к свитчу cisco, должны быть каждый в своей L2 сети
* Компы общаются через L3 маршрутизацию на маршрутизаторе Mikrotik


=== Устройства и сети ===


<nowiki>#</nowiki> !!!
* network#1 vlan1: 192.168.10.0/24
* network#2 vlan100: 10.10.100.0/24
* network#3 vlan200: 10.10.200.0/24
* router MIKROTIK gw01: 192.168.10.8
* switch MIKROTIK sw01: 192.168.10.224
* switch CISCO sw02: 192.168.10.225


<nowiki>#</nowiki> TAGGED PORTS - for connect to routers, switches, etc
* Компы, подключенные к switch MIKROTIK sw01:
** vpc01: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
** vpc02: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24
** vpc03: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24
* Компы, подключенные к switch CISCO sw02:
** vpc04: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
** vpc05: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24    
** vpc06: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24


<nowiki>#</nowiki> UNTAGGED (ACCESS) PORTS - for connect to PCs, sip phones, printers, etc
== Настройка '''Mikrotik Router gw01''' ==
Имя устройства


<nowiki>#</nowiki> PVID - The Port VLAN ID is used for ACCESS PORTS to tag all ingress traffic with a specific VLAN ID
<code>/system identity set name=gw01</code>


<nowiki>#</nowiki> !!!
Именуем интерфейсы


network#1 vlan1: 192.168.10.0/24
<code>/interface ethernet</code>


network#2 vlan100: 10.10.100.0/24
<code>set [ find default-name=ether2 ] name=ether2-lan_SW01</code>


network#3 vlan200: 10.10.200.0/24
<code>set [ find default-name=ether3 ] name=ether3-wan1_ISP1 comment=wan1</code>


router MIKROTIK gw01: 192.168.10.8
<code>set [ find default-name=ether4 ] name=ether4-lan_SW02</code>


switch MIKROTIK sw01: 192.168.10.224
Шлюз по-умолчанию провайдерский, SRC-NAT, DNS


switch CISCO sw02: 192.168.10.225
<code>/ip route add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.17.8 comment=gw1</code>


Компы, подключенные к switch MIKROTIK sw01:
<code>/ip firewall nat add action=masquerade chain=srcnat out-interface=ether3-wan1_ISP1</code>


   vpc01: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
<code>/ip dns set servers=8.8.8.8</code>


   vpc02: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24
Добавляем бридж


   vpc03: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24
<code>/interface bridge add name=bridge-local comment=lan</code>


Компы, подключенные к switch CISCO sw02:
Добавляем порты в бридж


   vpc04: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
<code>/interface bridge port</code>


   vpc05: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24    
<code>add bridge=bridge-local interface=ether2-lan_SW01</code>


   vpc06: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24
<code>add bridge=bridge-local interface=ether4-lan_SW02</code>


ROUTER GW01
Создаем vlan интерфейсы на интерфейсе bridge-local


---
<code>/interface vlan</code>


/system identity set name=gw01
<code>add interface=bridge-local name=vlan100 vlan-id=100</code>


<nowiki>#</nowiki> именуем интерфейсы
<code>add interface=bridge-local name=vlan200 vlan-id=200</code>


/interface ethernet
Создаем адреса на интерфейсах


set [ find default-name=ether2 ] name=ether2-lan_SW01
<code>/ip address</code>


set [ find default-name=ether3 ] name=ether3-wan1_ISP1 comment=wan1
<code>add address=192.168.17.201/24 interface=ether3-wan1_ISP1 comment=wan1</code>


set [ find default-name=ether4 ] name=ether4-lan_SW02
<code>add address=192.168.10.8/24 interface=bridge-local comment=lan</code>


<nowiki>###</nowiki>set [ find default-name=ether5 ] name=ether5-lan_SW03
<code>add address=10.10.100.1/24 interface=vlan100 comment=vlan100</code>


<nowiki>#</nowiki> шлюз по-умолчанию провайдерский, SRC-NAT, DNS
<code>add address=10.10.200.1/24 interface=vlan200 comment=vlan200</code>


/ip route add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.17.8 comment=gw1
Настраиваем фильтрацию vlan на бридже (в каком порте какой тип vlan и VID будут работать)


/ip firewall nat add action=masquerade chain=srcnat out-interface=ether3-wan1_ISP1
<code>/interface bridge vlan</code>


/ip dns set servers=8.8.8.8
<code>add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=100</code>


<nowiki>#</nowiki> добавляем бридж
<code>add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=200</code>


/interface bridge add name=bridge-local comment=lan
Включаем vlan-filtering


<nowiki>#</nowiki> добавляем порты в бридж
<code>/interface bridge set bridge-local vlan-filtering=yes</code>


/interface bridge port
Пулы адресов


add bridge=bridge-local interface=ether2-lan_SW01
<code>/ip pool</code>


add bridge=bridge-local interface=ether4-lan_SW02
<code>add name=pool_LAN ranges=192.168.10.160/27</code>


<nowiki>###</nowiki>add bridge=bridge-local interface=ether5-lan_SW03
<code>add name=pool_vlan100 ranges=10.10.100.160/27</code>


<nowiki>#</nowiki> создаем vlan интерфейсы на интерфейсе bridge-local
<code>add name=pool_vlan200 ranges=10.10.200.160/27</code>


/interface vlan
Dhcp серверы для каждой L2 сети


add interface=bridge-local name=vlan100 vlan-id=100
<code>/ip dhcp-server network</code>


add interface=bridge-local name=vlan200 vlan-id=200
<code>add address=192.168.10.0/24 dns-server=8.8.8.8 gateway=192.168.10.8 netmask=24</code>


<nowiki>#</nowiki> создаем адреса на интерфейсах
<code>add address=10.10.100.0/24 dns-server=8.8.8.8 gateway=10.10.100.1 netmask=24</code>


/ip address
<code>add address=10.10.200.0/24 dns-server=8.8.8.8 gateway=10.10.200.1 netmask=24</code>


add address=192.168.17.201/24 interface=ether3-wan1_ISP1 comment=wan1
<code>/ip dhcp-server</code>


add address=192.168.10.8/24 interface=bridge-local comment=lan
<code>add address-pool=pool_LAN interface=bridge-local name=dhcp-server_LAN</code>


add address=10.10.100.1/24 interface=vlan100 comment=vlan100
<code>add address-pool=pool_vlan100 interface=vlan100 name=dhcp-server_vlan100</code>


add address=10.10.200.1/24 interface=vlan200 comment=vlan200
<code>add address-pool=pool_vlan200 interface=vlan200 name=dhcp-server_vlan200</code>


<nowiki>#</nowiki> настраиваем фильтрацию vlan на бридже (в каком порте какой тип vlan и VID будут работать)
После того как свитчи и компы будут настроены, управлять доступом между сетями разных VLAN можно через маршрутизацию на маршрутизаторе gw01.


/interface bridge vlan
Например, можно закрыть доступ между сетями vlan100 и vlan200


add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=100
<code>/ip firewall filter</code>


add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=200
<code>add action=drop chain=forward dst-address=10.10.100.0/24 src-address=10.10.200.0/24</code>


<nowiki>#</nowiki> включаем vlan-filtering
<code>add action=drop chain=forward dst-address=10.10.200.0/24 src-address=10.10.100.0/24</code>


/interface bridge set bridge-local vlan-filtering=yes
== Настройка '''Mikrotik Switch sw01''' ==
К свитчу подключены 3 компа:


<nowiki>#</nowiki> пулы адресов
* ether3 - vpc01
* ether4 - vpc02
* ether5 - vpc03


/ip pool
Необходимо чтобы каждый комп получал IP по DHCP из соответствующей L2 сети


add name=pool_LAN ranges=192.168.10.160/27
Имя устройства


add name=pool_vlan100 ranges=10.10.100.160/27
<code>/system identity set name=sw01</code>


add name=pool_vlan200 ranges=10.10.200.160/27
Именуем интерфейсы


<nowiki>#</nowiki> dhcp серверы для каждой L2 сети
<code>/interface ethernet</code>


/ip dhcp-server network
<code>set [ find default-name=ether2 ] name=ether2-lan_GW01</code>


add address=192.168.10.0/24 dns-server=8.8.8.8 gateway=192.168.10.8 netmask=24
<code>set [ find default-name=ether3 ] name=ether3-lan_vpc01-vlan100</code>


add address=10.10.100.0/24 dns-server=8.8.8.8 gateway=10.10.100.1 netmask=24
<code>set [ find default-name=ether4 ] name=ether4-lan_vpc02-vlan200</code>


add address=10.10.200.0/24 dns-server=8.8.8.8 gateway=10.10.200.1 netmask=24
<code>set [ find default-name=ether4 ] name=ether5-lan_vpc03-LAN</code>


/ip dhcp-server
Создаем bridge-local


add address-pool=pool_LAN interface=bridge-local name=dhcp-server_LAN
<code>/interface bridge add name=bridge-local comment=lan</code>


add address-pool=pool_vlan100 interface=vlan100 name=dhcp-server_vlan100
Добавляем порты в бридж


add address-pool=pool_vlan200 interface=vlan200 name=dhcp-server_vlan200
<code>/interface bridge port</code>


<nowiki>#</nowiki> после того как свитчи и компы будут настроены,
<code>add bridge=bridge-local interface=ether2-lan_GW01</code>


<nowiki>#</nowiki> управлять доступом между сетями разных VLAN можно через маршрутизацию на маршрутизаторе gw1
<code>add bridge=bridge-local interface=ether3-lan pvid=100</code>


<nowiki>#</nowiki> например, можно закрыть доступ между сетями vlan100 и vlan200
<code>add bridge=bridge-local interface=ether4-lan pvid=200</code>


/ip firewall filter
<code>add bridge=bridge-local interface=ether5-lan pvid=1</code>


add action=drop chain=forward dst-address=10.10.100.0/24 src-address=10.10.200.0/24
Настраиваем фильтрацию vlan на бридже (в каком порте какой тип vlan и VID будут работать)


add action=drop chain=forward dst-address=10.10.200.0/24 src-address=10.10.100.0/24
<code>/interface bridge vlan</code>


SWITCH MIKROTIK SW01
<code>add bridge=bridge-local tagged=ether2-lan_GW,bridge-local untagged=ether3-lan vlan-ids=100</code>


---
<code>add bridge=bridge-local tagged=ether2-lan_GW,bridge-local untagged=ether4-lan vlan-ids=200</code>


<nowiki>#</nowiki> к свитчу подключены 3 компа:
Создаем vlan интерфейсы на интерфейсе bridge-local


<nowiki>#</nowiki>    ether3 - vpc01
<code>/interface vlan</code>


<nowiki>#</nowiki>    ether4 - vpc02
<code>add interface=bridge-local name=vlan100 vlan-id=100</code>


<nowiki>#</nowiki>    ether5 - vpc03
<code>add interface=bridge-local name=vlan200 vlan-id=200</code>


<nowiki>#</nowiki> необходимо чтобы каждый комп получал IP по DHCP из соответствующей L2 сети
Включаем vlan-filtering


/system identity set name=sw01
<code>/interface bridge set bridge-local vlan-filtering=yes</code>


<nowiki>#</nowiki> именуем интерфейсы
Адрес свитча sw01


/interface ethernet
<code>/ip address</code>


set [ find default-name=ether2 ] name=ether2-lan_GW01
<code>add address=192.168.10.224/24 interface=bridge-local comment=lan</code>


set [ find default-name=ether3 ] name=ether3-lan_vpc01-vlan100
Создаем dhcp клиенты, тем самым проверяя работоспособность vlan


set [ find default-name=ether4 ] name=ether4-lan_vpc02-vlan200
На каждый интерфейс должен присвоиться адрес из соответствующей сети


set [ find default-name=ether4 ] name=ether5-lan_vpc03-LAN
<code>/ip dhcp-client</code>


<nowiki>#</nowiki> создаем bridge-local
<code>add interface=bridge-local</code>


/interface bridge add name=bridge-local comment=lan
<code>add interface=vlan100</code>


<nowiki>#</nowiki> добавляем порты в бридж
<code>add interface=vlan200</code>


/interface bridge port
== Настройка компьютера '''VPC01''' ==
vpc01 порт eth0 подключаем к sw01 порт eth3 (порт UNTAGGED vlan100)


add bridge=bridge-local interface=ether2-lan_GW01
<code>ip dhcp</code>


add bridge=bridge-local interface=ether3-lan pvid=100
vpcs01 получает IP из диапазона 10.10.100.0/24 (vlan100)   


add bridge=bridge-local interface=ether4-lan pvid=200
== Настройка компьютера '''VPC02''' ==
vpc02 порт eth0 подключаем к sw01 порт eth4 (порт UNTAGGED vlan200)


add bridge=bridge-local interface=ether5-lan pvid=1
<code>ip dhcp</code>


<nowiki>#</nowiki> настраиваем фильтрацию vlan на бридже (в каком порте какой тип vlan и VID будут работать)
vpcs02 получает IP из диапазона 10.10.200.0/24 (vlan200)   


/interface bridge vlan
== Настройка компьютера '''VPC03''' ==
vpc03 порт eth0 подключаем к sw01 порт eth5 (порт LAN - без настройки vlan (но так то vlan1))


add bridge=bridge-local tagged=ether2-lan_GW,bridge-local untagged=ether3-lan vlan-ids=100
<code>ip dhcp</code>


add bridge=bridge-local tagged=ether2-lan_GW,bridge-local untagged=ether4-lan vlan-ids=200
vpcs03 получает IP из диапазона 192.168.10.0/24 (LAN (vlan1))   


<nowiki>#</nowiki> создаем vlan интерфейсы на интерфейсе bridge-local
== Настройка '''Cisco Switch sw02''' ==
К свитчу подключены 3 компа:


/interface vlan
* GigabitEthernet 0/1 - vpc04
* GigabitEthernet 0/2 - vpc05
* GigabitEthernet 0/3 - vpc06


add interface=bridge-local name=vlan100 vlan-id=100
Необходимо чтобы каждый комп получал IP по DHCP из соответствующей L2 сети


add interface=bridge-local name=vlan200 vlan-id=200
Создаем vlan


<nowiki>#</nowiki> включаем vlan-filtering
<code>cisco(config)#vlan 100</code>


/interface bridge set bridge-local vlan-filtering=yes
<code>cisco(config)#exit</code>


<nowiki>#</nowiki> адрес свитча sw01
<code>cisco(config)#vlan 200</code>


/ip address
<code>cisco(config)#exit</code>


add address=192.168.10.224/24 interface=bridge-local comment=lan
Включаем vlan 1,100,200 в режиме TRUNK (TAGGED) на порте, который подключен к маршрутизатору gw01


<nowiki>#</nowiki> создаем dhcp клиенты, тем самым проверяя работаспособность vlan
<code>cisco(config)#interface GigabitEthernet 0/0</code>


<nowiki>#</nowiki> на каждый интерфейс должен присвоиться адрес из соответствующей сети
<code>cisco(config-if)#switchport trunk allowed vlan 1,100,200</code>


/ip dhcp-client
<code>cisco(config-if)#switchport trunk encapsulation dot1q</code>


add interface=bridge-local
<code>cisco(config-if)#switchport mode trunk</code>


add interface=vlan100
Включаем vlan 100 в режиме ACCESS (UNTAGGED) на порте, подключенном к vpc04


add interface=vlan200
<code>cisco(config)#interface GigabitEthernet 0/1</code>


VPC01
<code>cisco(config-if)#switchport access vlan 100</code>


---
<code>cisco(config-if)#switchport mode access</code>


<nowiki>#</nowiki> vpc01 порт eth0 подключаем к sw01 порт eth3 (порт UNTAGGED vlan100)
Включаем vlan 200 в режиме ACCESS (UNTAGGED) на порте, подключенном к vpc05


ip dhcp
<code>cisco(config)#interface GigabitEthernet 0/2</code>


   vpcs01 получает IP из диапазона 10.10.100.0/24 (vlan100)
<code>cisco(config-if)#switchport access vlan 200</code>


   
<code>cisco(config-if)#switchport mode access</code>


VPC02
Показать информацию по vlan и интерфейсам


---
<code>cisco# show vlan brief</code>


<nowiki>#</nowiki> vpc02 порт eth0 подключаем к sw01 порт eth4 (порт UNTAGGED vlan200)
== Настройка компьютера '''VPC04''' ==
vpc04 порт eth0 подключаем к sw02 порт Gi0/1 (порт UNTAGGED vlan100)


ip dhcp
<code>ip dhcp</code>


   vpcs02 получает IP из диапазона 10.10.200.0/24 (vlan200)
vpcs04 получает IP из диапазона 10.10.100.0/24 (vlan100)   


   
== Настройка компьютера '''VPC05''' ==
vpc05 порт eth0 подключаем к sw02 порт Gi0/2 (порт UNTAGGED vlan200)


VPC03
<code>ip dhcp</code>


---
vpcs05 получает IP из диапазона 10.10.200.0/24 (vlan200)   


<nowiki>#</nowiki> vpc03 порт eth0 подключаем к sw01 порт eth5 (порт LAN - без настройки vlan (но так то vlan1))
== Настройка компьютера '''VPC06''' ==
vpc06 порт eth0 подключаем к sw02 порт Gi0/3 (порт LAN - без настройки vlan (но так то vlan1))


ip dhcp
<code>ip dhcp</code>


   vpcs03 получает IP из диапазона 192.168.10.0/24 (LAN (vlan1))
vpcs06 получает IP из диапазона 192.168.10.0/24 (LAN (vlan1))
 
[[Категория:VLAN]]
   
 
SWITCH CISCO SW02
 
---
 
<nowiki>#</nowiki> к свитчу подключены 3 компа:
 
<nowiki>#</nowiki>    GigabitEthernet 0/1 - vpc04
 
<nowiki>#</nowiki>    GigabitEthernet 0/2 - vpc05
 
<nowiki>#</nowiki>    GigabitEthernet 0/3 - vpc06
 
<nowiki>#</nowiki> необходимо чтобы каждый комп получал IP по DHCP из соответствующей L2 сети
 
<nowiki>#</nowiki> создаем vlan
 
cisco(config)#vlan 100
 
cisco(config)#exit
 
cisco(config)#vlan 200
 
cisco(config)#exit
 
<nowiki>#</nowiki> включаем vlan 1,100,200 в режиме TRUNK (TAGGED) на порте, который подключен к маршрутизатору gw01
 
cisco(config)#interface GigabitEthernet 0/0
 
cisco(config-if)#switchport trunk allowed vlan 1,100,200
 
cisco(config-if)#switchport trunk encapsulation dot1q
 
cisco(config-if)#switchport mode trunk
 
<nowiki>#</nowiki> включаем vlan 100 в режиме ACCESS (UNTAGGED) на порте, подключенном к vpc04
 
cisco(config)#interface GigabitEthernet 0/1
 
cisco(config-if)#switchport access vlan 100
 
cisco(config-if)#switchport mode access
 
<nowiki>#</nowiki> включаем vlan 200 в режиме ACCESS (UNTAGGED) на порте, подключенном к vpc05
 
cisco(config)#interface GigabitEthernet 0/2
 
cisco(config-if)#switchport access vlan 200
 
cisco(config-if)#switchport mode access
 
<nowiki>#</nowiki> показать информацию по vlan и интерфейсам
 
cisco# show vlan brief
 
VPC04
 
---
 
<nowiki>#</nowiki> vpc04 порт eth0 подключаем к sw02 порт Gi0/1 (порт UNTAGGED vlan100)
 
ip dhcp
 
   vpcs04 получает IP из диапазона 10.10.100.0/24 (vlan100)
 
   
 
VPC05
 
---
 
<nowiki>#</nowiki> vpc05 порт eth0 подключаем к sw02 порт Gi0/2 (порт UNTAGGED vlan200)
 
ip dhcp
 
   vpcs05 получает IP из диапазона 10.10.200.0/24 (vlan200)
 
   
 
VPC06
 
---
 
<nowiki>#</nowiki> vpc06 порт eth0 подключаем к sw02 порт Gi0/3 (порт LAN - без настройки vlan (но так то vlan1))
 
ip dhcp
 
   vpcs06 получает IP из диапазона 192.168.10.0/24 (LAN (vlan1))

Текущая версия на 11:20, 8 сентября 2023


Ссылки

https://mikrotiklab.ru/nastrojka/artga-vlan.html

Описание

TAGGED (TRUNK) PORTS - (for connect to routers, switches, etc) - порт передающий тегированный трафик одного или нескольких VLAN’ов. Этот порт не изменяет тег, а лишь пропускает кадры с тегами, которые разрешены на этом порту

UNTAGGED (ACCESS) PORTS - (for connect to PCs, sip phones, printers, etc) - порт принадлежащий одному VLAN’у и передающий нетегированный трафик. По спецификации cisco, access порт может принадлежать только одному VLAN’у, по умолчанию это первый (нетегированный) VLAN. Любой кадр, который проходит через access порт, помечается номером, принадлежащим этому VLAN’у

PVID - The Port VLAN ID is used for ACCESS PORTS to tag all ingress traffic with a specific VLAN ID

Топология сети

Топология сети

Общие положения и задачи

  • Mikrotik router, к которому подключены: mikrotik switch l3 + cisco switch l2
  • 3 изолированных L2 сети - lan(vlan1), vlan100 and vlan200
  • 3 компьютера, подключенные к свитчу mikrotik, должны быть каждый в своей L2 сети
  • 3 компьютера, подключенные к свитчу cisco, должны быть каждый в своей L2 сети
  • Компы общаются через L3 маршрутизацию на маршрутизаторе Mikrotik

Устройства и сети

  • network#1 vlan1: 192.168.10.0/24
  • network#2 vlan100: 10.10.100.0/24
  • network#3 vlan200: 10.10.200.0/24
  • router MIKROTIK gw01: 192.168.10.8
  • switch MIKROTIK sw01: 192.168.10.224
  • switch CISCO sw02: 192.168.10.225
  • Компы, подключенные к switch MIKROTIK sw01:
    • vpc01: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
    • vpc02: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24
    • vpc03: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24
  • Компы, подключенные к switch CISCO sw02:
    • vpc04: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
    • vpc05: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24    
    • vpc06: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24

Настройка Mikrotik Router gw01

Имя устройства

/system identity set name=gw01

Именуем интерфейсы

/interface ethernet

set [ find default-name=ether2 ] name=ether2-lan_SW01

set [ find default-name=ether3 ] name=ether3-wan1_ISP1 comment=wan1

set [ find default-name=ether4 ] name=ether4-lan_SW02

Шлюз по-умолчанию провайдерский, SRC-NAT, DNS

/ip route add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.17.8 comment=gw1

/ip firewall nat add action=masquerade chain=srcnat out-interface=ether3-wan1_ISP1

/ip dns set servers=8.8.8.8

Добавляем бридж

/interface bridge add name=bridge-local comment=lan

Добавляем порты в бридж

/interface bridge port

add bridge=bridge-local interface=ether2-lan_SW01

add bridge=bridge-local interface=ether4-lan_SW02

Создаем vlan интерфейсы на интерфейсе bridge-local

/interface vlan

add interface=bridge-local name=vlan100 vlan-id=100

add interface=bridge-local name=vlan200 vlan-id=200

Создаем адреса на интерфейсах

/ip address

add address=192.168.17.201/24 interface=ether3-wan1_ISP1 comment=wan1

add address=192.168.10.8/24 interface=bridge-local comment=lan

add address=10.10.100.1/24 interface=vlan100 comment=vlan100

add address=10.10.200.1/24 interface=vlan200 comment=vlan200

Настраиваем фильтрацию vlan на бридже (в каком порте какой тип vlan и VID будут работать)

/interface bridge vlan

add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=100

add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=200

Включаем vlan-filtering

/interface bridge set bridge-local vlan-filtering=yes

Пулы адресов

/ip pool

add name=pool_LAN ranges=192.168.10.160/27

add name=pool_vlan100 ranges=10.10.100.160/27

add name=pool_vlan200 ranges=10.10.200.160/27

Dhcp серверы для каждой L2 сети

/ip dhcp-server network

add address=192.168.10.0/24 dns-server=8.8.8.8 gateway=192.168.10.8 netmask=24

add address=10.10.100.0/24 dns-server=8.8.8.8 gateway=10.10.100.1 netmask=24

add address=10.10.200.0/24 dns-server=8.8.8.8 gateway=10.10.200.1 netmask=24

/ip dhcp-server

add address-pool=pool_LAN interface=bridge-local name=dhcp-server_LAN

add address-pool=pool_vlan100 interface=vlan100 name=dhcp-server_vlan100

add address-pool=pool_vlan200 interface=vlan200 name=dhcp-server_vlan200

После того как свитчи и компы будут настроены, управлять доступом между сетями разных VLAN можно через маршрутизацию на маршрутизаторе gw01.

Например, можно закрыть доступ между сетями vlan100 и vlan200

/ip firewall filter

add action=drop chain=forward dst-address=10.10.100.0/24 src-address=10.10.200.0/24

add action=drop chain=forward dst-address=10.10.200.0/24 src-address=10.10.100.0/24

Настройка Mikrotik Switch sw01

К свитчу подключены 3 компа:

  • ether3 - vpc01
  • ether4 - vpc02
  • ether5 - vpc03

Необходимо чтобы каждый комп получал IP по DHCP из соответствующей L2 сети

Имя устройства

/system identity set name=sw01

Именуем интерфейсы

/interface ethernet

set [ find default-name=ether2 ] name=ether2-lan_GW01

set [ find default-name=ether3 ] name=ether3-lan_vpc01-vlan100

set [ find default-name=ether4 ] name=ether4-lan_vpc02-vlan200

set [ find default-name=ether4 ] name=ether5-lan_vpc03-LAN

Создаем bridge-local

/interface bridge add name=bridge-local comment=lan

Добавляем порты в бридж

/interface bridge port

add bridge=bridge-local interface=ether2-lan_GW01

add bridge=bridge-local interface=ether3-lan pvid=100

add bridge=bridge-local interface=ether4-lan pvid=200

add bridge=bridge-local interface=ether5-lan pvid=1

Настраиваем фильтрацию vlan на бридже (в каком порте какой тип vlan и VID будут работать)

/interface bridge vlan

add bridge=bridge-local tagged=ether2-lan_GW,bridge-local untagged=ether3-lan vlan-ids=100

add bridge=bridge-local tagged=ether2-lan_GW,bridge-local untagged=ether4-lan vlan-ids=200

Создаем vlan интерфейсы на интерфейсе bridge-local

/interface vlan

add interface=bridge-local name=vlan100 vlan-id=100

add interface=bridge-local name=vlan200 vlan-id=200

Включаем vlan-filtering

/interface bridge set bridge-local vlan-filtering=yes

Адрес свитча sw01

/ip address

add address=192.168.10.224/24 interface=bridge-local comment=lan

Создаем dhcp клиенты, тем самым проверяя работоспособность vlan

На каждый интерфейс должен присвоиться адрес из соответствующей сети

/ip dhcp-client

add interface=bridge-local

add interface=vlan100

add interface=vlan200

Настройка компьютера VPC01

vpc01 порт eth0 подключаем к sw01 порт eth3 (порт UNTAGGED vlan100)

ip dhcp

vpcs01 получает IP из диапазона 10.10.100.0/24 (vlan100)   

Настройка компьютера VPC02

vpc02 порт eth0 подключаем к sw01 порт eth4 (порт UNTAGGED vlan200)

ip dhcp

vpcs02 получает IP из диапазона 10.10.200.0/24 (vlan200)   

Настройка компьютера VPC03

vpc03 порт eth0 подключаем к sw01 порт eth5 (порт LAN - без настройки vlan (но так то vlan1))

ip dhcp

vpcs03 получает IP из диапазона 192.168.10.0/24 (LAN (vlan1))   

Настройка Cisco Switch sw02

К свитчу подключены 3 компа:

  • GigabitEthernet 0/1 - vpc04
  • GigabitEthernet 0/2 - vpc05
  • GigabitEthernet 0/3 - vpc06

Необходимо чтобы каждый комп получал IP по DHCP из соответствующей L2 сети

Создаем vlan

cisco(config)#vlan 100

cisco(config)#exit

cisco(config)#vlan 200

cisco(config)#exit

Включаем vlan 1,100,200 в режиме TRUNK (TAGGED) на порте, который подключен к маршрутизатору gw01

cisco(config)#interface GigabitEthernet 0/0

cisco(config-if)#switchport trunk allowed vlan 1,100,200

cisco(config-if)#switchport trunk encapsulation dot1q

cisco(config-if)#switchport mode trunk

Включаем vlan 100 в режиме ACCESS (UNTAGGED) на порте, подключенном к vpc04

cisco(config)#interface GigabitEthernet 0/1

cisco(config-if)#switchport access vlan 100

cisco(config-if)#switchport mode access

Включаем vlan 200 в режиме ACCESS (UNTAGGED) на порте, подключенном к vpc05

cisco(config)#interface GigabitEthernet 0/2

cisco(config-if)#switchport access vlan 200

cisco(config-if)#switchport mode access

Показать информацию по vlan и интерфейсам

cisco# show vlan brief

Настройка компьютера VPC04

vpc04 порт eth0 подключаем к sw02 порт Gi0/1 (порт UNTAGGED vlan100)

ip dhcp

vpcs04 получает IP из диапазона 10.10.100.0/24 (vlan100)   

Настройка компьютера VPC05

vpc05 порт eth0 подключаем к sw02 порт Gi0/2 (порт UNTAGGED vlan200)

ip dhcp

vpcs05 получает IP из диапазона 10.10.200.0/24 (vlan200)   

Настройка компьютера VPC06

vpc06 порт eth0 подключаем к sw02 порт Gi0/3 (порт LAN - без настройки vlan (но так то vlan1))

ip dhcp

vpcs06 получает IP из диапазона 192.168.10.0/24 (LAN (vlan1))

Источник — https://wiki.cless.pro/index.php?title=Mikrotik._VLAN._Настройка&oldid=1635