Mikrotik. VLAN. Настройка
Ссылки
https://mikrotiklab.ru/nastrojka/artga-vlan.html
Описание
TAGGED PORTS - for connect to routers, switches, etc
UNTAGGED (ACCESS) PORTS - for connect to PCs, sip phones, printers, etc
PVID - The Port VLAN ID is used for ACCESS PORTS to tag all ingress traffic with a specific VLAN ID
Топология сети
Общие положения и задачи
- Mikrotik router, к которому подключены: mikrotik switch l3 + cisco switch l2
- 3 изолированных L2 сети - lan(vlan1), vlan100 and vlan200
- 3 компьютера, подключенные к свитчу mikrotik, должны быть каждый в своей L2 сети
- 3 компьютера, подключенные к свитчу cisco, должны быть каждый в своей L2 сети
- Компы общаются через L3 маршрутизацию на маршрутизаторе Mikrotik
Устройства и сети
- network#1 vlan1: 192.168.10.0/24
- network#2 vlan100: 10.10.100.0/24
- network#3 vlan200: 10.10.200.0/24
- router MIKROTIK gw01: 192.168.10.8
- switch MIKROTIK sw01: 192.168.10.224
- switch CISCO sw02: 192.168.10.225
- Компы, подключенные к switch MIKROTIK sw01:
- vpc01: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
- vpc02: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24
- vpc03: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24
- Компы, подключенные к switch CISCO sw02:
- vpc04: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
- vpc05: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24
- vpc06: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24
Настройка Mikrotik Router gw01
Имя устройства
/system identity set name=gw01
Именуем интерфейсы
/interface ethernet
set [ find default-name=ether2 ] name=ether2-lan_SW01
set [ find default-name=ether3 ] name=ether3-wan1_ISP1 comment=wan1
set [ find default-name=ether4 ] name=ether4-lan_SW02
Шлюз по-умолчанию провайдерский, SRC-NAT, DNS
/ip route add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.17.8 comment=gw1
/ip firewall nat add action=masquerade chain=srcnat out-interface=ether3-wan1_ISP1
/ip dns set servers=8.8.8.8
Добавляем бридж
/interface bridge add name=bridge-local comment=lan
Добавляем порты в бридж
/interface bridge port
add bridge=bridge-local interface=ether2-lan_SW01
add bridge=bridge-local interface=ether4-lan_SW02
Создаем vlan интерфейсы на интерфейсе bridge-local
/interface vlan
add interface=bridge-local name=vlan100 vlan-id=100
add interface=bridge-local name=vlan200 vlan-id=200
Создаем адреса на интерфейсах
/ip address
add address=192.168.17.201/24 interface=ether3-wan1_ISP1 comment=wan1
add address=192.168.10.8/24 interface=bridge-local comment=lan
add address=10.10.100.1/24 interface=vlan100 comment=vlan100
add address=10.10.200.1/24 interface=vlan200 comment=vlan200
Настраиваем фильтрацию vlan на бридже (в каком порте какой тип vlan и VID будут работать)
/interface bridge vlan
add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=100
add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=200
Включаем vlan-filtering
/interface bridge set bridge-local vlan-filtering=yes
Пулы адресов
/ip pool
add name=pool_LAN ranges=192.168.10.160/27
add name=pool_vlan100 ranges=10.10.100.160/27
add name=pool_vlan200 ranges=10.10.200.160/27
Dhcp серверы для каждой L2 сети
/ip dhcp-server network
add address=192.168.10.0/24 dns-server=8.8.8.8 gateway=192.168.10.8 netmask=24
add address=10.10.100.0/24 dns-server=8.8.8.8 gateway=10.10.100.1 netmask=24
add address=10.10.200.0/24 dns-server=8.8.8.8 gateway=10.10.200.1 netmask=24
/ip dhcp-server
add address-pool=pool_LAN interface=bridge-local name=dhcp-server_LAN
add address-pool=pool_vlan100 interface=vlan100 name=dhcp-server_vlan100
add address-pool=pool_vlan200 interface=vlan200 name=dhcp-server_vlan200
После того как свитчи и компы будут настроены, управлять доступом между сетями разных VLAN можно через маршрутизацию на маршрутизаторе gw01.
Например, можно закрыть доступ между сетями vlan100 и vlan200
/ip firewall filter
add action=drop chain=forward dst-address=10.10.100.0/24 src-address=10.10.200.0/24
add action=drop chain=forward dst-address=10.10.200.0/24 src-address=10.10.100.0/24
Настройка Mikrotik Switch sw01
К свитчу подключены 3 компа:
- ether3 - vpc01
- ether4 - vpc02
- ether5 - vpc03
Необходимо чтобы каждый комп получал IP по DHCP из соответствующей L2 сети
Имя устройства
/system identity set name=sw01
Именуем интерфейсы
/interface ethernet
set [ find default-name=ether2 ] name=ether2-lan_GW01
set [ find default-name=ether3 ] name=ether3-lan_vpc01-vlan100
set [ find default-name=ether4 ] name=ether4-lan_vpc02-vlan200
set [ find default-name=ether4 ] name=ether5-lan_vpc03-LAN
Создаем bridge-local
/interface bridge add name=bridge-local comment=lan
Добавляем порты в бридж
/interface bridge port
add bridge=bridge-local interface=ether2-lan_GW01
add bridge=bridge-local interface=ether3-lan pvid=100
add bridge=bridge-local interface=ether4-lan pvid=200
add bridge=bridge-local interface=ether5-lan pvid=1
Настраиваем фильтрацию vlan на бридже (в каком порте какой тип vlan и VID будут работать)
/interface bridge vlan
add bridge=bridge-local tagged=ether2-lan_GW,bridge-local untagged=ether3-lan vlan-ids=100
add bridge=bridge-local tagged=ether2-lan_GW,bridge-local untagged=ether4-lan vlan-ids=200
Создаем vlan интерфейсы на интерфейсе bridge-local
/interface vlan
add interface=bridge-local name=vlan100 vlan-id=100
add interface=bridge-local name=vlan200 vlan-id=200
Включаем vlan-filtering
/interface bridge set bridge-local vlan-filtering=yes
Адрес свитча sw01
/ip address
add address=192.168.10.224/24 interface=bridge-local comment=lan
Создаем dhcp клиенты, тем самым проверяя работоспособность vlan
На каждый интерфейс должен присвоиться адрес из соответствующей сети
/ip dhcp-client
add interface=bridge-local
add interface=vlan100
add interface=vlan200
Настройка компьютера VPC01
vpc01 порт eth0 подключаем к sw01 порт eth3 (порт UNTAGGED vlan100)
ip dhcp
vpcs01 получает IP из диапазона 10.10.100.0/24 (vlan100)
Настройка компьютера VPC02
vpc02 порт eth0 подключаем к sw01 порт eth4 (порт UNTAGGED vlan200)
ip dhcp
vpcs02 получает IP из диапазона 10.10.200.0/24 (vlan200)
Настройка компьютера VPC03
vpc03 порт eth0 подключаем к sw01 порт eth5 (порт LAN - без настройки vlan (но так то vlan1))
ip dhcp
vpcs03 получает IP из диапазона 192.168.10.0/24 (LAN (vlan1))
Настройка Cisco Switch sw02
К свитчу подключены 3 компа:
- GigabitEthernet 0/1 - vpc04
- GigabitEthernet 0/2 - vpc05
- GigabitEthernet 0/3 - vpc06
Необходимо чтобы каждый комп получал IP по DHCP из соответствующей L2 сети
Создаем vlan
cisco(config)#vlan 100
cisco(config)#exit
cisco(config)#vlan 200
cisco(config)#exit
Включаем vlan 1,100,200 в режиме TRUNK (TAGGED) на порте, который подключен к маршрутизатору gw01
cisco(config)#interface GigabitEthernet 0/0
cisco(config-if)#switchport trunk allowed vlan 1,100,200
cisco(config-if)#switchport trunk encapsulation dot1q
cisco(config-if)#switchport mode trunk
Включаем vlan 100 в режиме ACCESS (UNTAGGED) на порте, подключенном к vpc04
cisco(config)#interface GigabitEthernet 0/1
cisco(config-if)#switchport access vlan 100
cisco(config-if)#switchport mode access
Включаем vlan 200 в режиме ACCESS (UNTAGGED) на порте, подключенном к vpc05
cisco(config)#interface GigabitEthernet 0/2
cisco(config-if)#switchport access vlan 200
cisco(config-if)#switchport mode access
Показать информацию по vlan и интерфейсам
cisco# show vlan brief
Настройка компьютера VPC04
vpc04 порт eth0 подключаем к sw02 порт Gi0/1 (порт UNTAGGED vlan100)
ip dhcp
vpcs04 получает IP из диапазона 10.10.100.0/24 (vlan100)
Настройка компьютера VPC05
vpc05 порт eth0 подключаем к sw02 порт Gi0/2 (порт UNTAGGED vlan200)
ip dhcp
vpcs05 получает IP из диапазона 10.10.200.0/24 (vlan200)
Настройка компьютера VPC06
vpc06 порт eth0 подключаем к sw02 порт Gi0/3 (порт LAN - без настройки vlan (но так то vlan1))
ip dhcp
vpcs06 получает IP из диапазона 192.168.10.0/24 (LAN (vlan1))