Mikrotik. VLAN. Настройка
Ссылки
https://mikrotiklab.ru/nastrojka/artga-vlan.html
Описание
TAGGED (TRUNK) PORTS - (for connect to routers, switches, etc) - порт передающий тегированный трафик одного или нескольких VLAN’ов. Этот порт не изменяет тег, а лишь пропускает кадры с тегами, которые разрешены на этом порту
UNTAGGED (ACCESS) PORTS - (for connect to PCs, sip phones, printers, etc) - порт принадлежащий одному VLAN’у и передающий нетегированный трафик. По спецификации cisco, access порт может принадлежать только одному VLAN’у, по умолчанию это первый (нетегированный) VLAN. Любой кадр, который проходит через access порт, помечается номером, принадлежащим этому VLAN’у
PVID - The Port VLAN ID is used for ACCESS PORTS to tag all ingress traffic with a specific VLAN ID
Топология сети
Общие положения и задачи
- Mikrotik router, к которому подключены: mikrotik switch l3 + cisco switch l2
- 3 изолированных L2 сети - lan(vlan1), vlan100 and vlan200
- 3 компьютера, подключенные к свитчу mikrotik, должны быть каждый в своей L2 сети
- 3 компьютера, подключенные к свитчу cisco, должны быть каждый в своей L2 сети
- Компы общаются через L3 маршрутизацию на маршрутизаторе Mikrotik
Устройства и сети
- network#1 vlan1: 192.168.10.0/24
- network#2 vlan100: 10.10.100.0/24
- network#3 vlan200: 10.10.200.0/24
- router MIKROTIK gw01: 192.168.10.8
- switch MIKROTIK sw01: 192.168.10.224
- switch CISCO sw02: 192.168.10.225
- Компы, подключенные к switch MIKROTIK sw01:
- vpc01: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
- vpc02: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24
- vpc03: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24
- Компы, подключенные к switch CISCO sw02:
- vpc04: комп для ввода в сеть vlan100 с диапазоном 10.10.100.0/24
- vpc05: комп для ввода в сеть vlan200 с диапазоном 10.10.200.0/24
- vpc06: комп для ввода в сеть LAN (vlan1) с диапазоном 192.168.10.0/24
Настройка Mikrotik Router gw01
Имя устройства
/system identity set name=gw01
Именуем интерфейсы
/interface ethernet
set [ find default-name=ether2 ] name=ether2-lan_SW01
set [ find default-name=ether3 ] name=ether3-wan1_ISP1 comment=wan1
set [ find default-name=ether4 ] name=ether4-lan_SW02
Шлюз по-умолчанию провайдерский, SRC-NAT, DNS
/ip route add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.17.8 comment=gw1
/ip firewall nat add action=masquerade chain=srcnat out-interface=ether3-wan1_ISP1
/ip dns set servers=8.8.8.8
Добавляем бридж
/interface bridge add name=bridge-local comment=lan
Добавляем порты в бридж
/interface bridge port
add bridge=bridge-local interface=ether2-lan_SW01
add bridge=bridge-local interface=ether4-lan_SW02
Создаем vlan интерфейсы на интерфейсе bridge-local
/interface vlan
add interface=bridge-local name=vlan100 vlan-id=100
add interface=bridge-local name=vlan200 vlan-id=200
Создаем адреса на интерфейсах
/ip address
add address=192.168.17.201/24 interface=ether3-wan1_ISP1 comment=wan1
add address=192.168.10.8/24 interface=bridge-local comment=lan
add address=10.10.100.1/24 interface=vlan100 comment=vlan100
add address=10.10.200.1/24 interface=vlan200 comment=vlan200
Настраиваем фильтрацию vlan на бридже (в каком порте какой тип vlan и VID будут работать)
/interface bridge vlan
add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=100
add bridge=bridge-local tagged=ether2-lan_SW01,bridge-local vlan-ids=200
Включаем vlan-filtering
/interface bridge set bridge-local vlan-filtering=yes
Пулы адресов
/ip pool
add name=pool_LAN ranges=192.168.10.160/27
add name=pool_vlan100 ranges=10.10.100.160/27
add name=pool_vlan200 ranges=10.10.200.160/27
Dhcp серверы для каждой L2 сети
/ip dhcp-server network
add address=192.168.10.0/24 dns-server=8.8.8.8 gateway=192.168.10.8 netmask=24
add address=10.10.100.0/24 dns-server=8.8.8.8 gateway=10.10.100.1 netmask=24
add address=10.10.200.0/24 dns-server=8.8.8.8 gateway=10.10.200.1 netmask=24
/ip dhcp-server
add address-pool=pool_LAN interface=bridge-local name=dhcp-server_LAN
add address-pool=pool_vlan100 interface=vlan100 name=dhcp-server_vlan100
add address-pool=pool_vlan200 interface=vlan200 name=dhcp-server_vlan200
После того как свитчи и компы будут настроены, управлять доступом между сетями разных VLAN можно через маршрутизацию на маршрутизаторе gw01.
Например, можно закрыть доступ между сетями vlan100 и vlan200
/ip firewall filter
add action=drop chain=forward dst-address=10.10.100.0/24 src-address=10.10.200.0/24
add action=drop chain=forward dst-address=10.10.200.0/24 src-address=10.10.100.0/24
Настройка Mikrotik Switch sw01
К свитчу подключены 3 компа:
- ether3 - vpc01
- ether4 - vpc02
- ether5 - vpc03
Необходимо чтобы каждый комп получал IP по DHCP из соответствующей L2 сети
Имя устройства
/system identity set name=sw01
Именуем интерфейсы
/interface ethernet
set [ find default-name=ether2 ] name=ether2-lan_GW01
set [ find default-name=ether3 ] name=ether3-lan_vpc01-vlan100
set [ find default-name=ether4 ] name=ether4-lan_vpc02-vlan200
set [ find default-name=ether4 ] name=ether5-lan_vpc03-LAN
Создаем bridge-local
/interface bridge add name=bridge-local comment=lan
Добавляем порты в бридж
/interface bridge port
add bridge=bridge-local interface=ether2-lan_GW01
add bridge=bridge-local interface=ether3-lan pvid=100
add bridge=bridge-local interface=ether4-lan pvid=200
add bridge=bridge-local interface=ether5-lan pvid=1
Настраиваем фильтрацию vlan на бридже (в каком порте какой тип vlan и VID будут работать)
/interface bridge vlan
add bridge=bridge-local tagged=ether2-lan_GW,bridge-local untagged=ether3-lan vlan-ids=100
add bridge=bridge-local tagged=ether2-lan_GW,bridge-local untagged=ether4-lan vlan-ids=200
Создаем vlan интерфейсы на интерфейсе bridge-local
/interface vlan
add interface=bridge-local name=vlan100 vlan-id=100
add interface=bridge-local name=vlan200 vlan-id=200
Включаем vlan-filtering
/interface bridge set bridge-local vlan-filtering=yes
Адрес свитча sw01
/ip address
add address=192.168.10.224/24 interface=bridge-local comment=lan
Создаем dhcp клиенты, тем самым проверяя работоспособность vlan
На каждый интерфейс должен присвоиться адрес из соответствующей сети
/ip dhcp-client
add interface=bridge-local
add interface=vlan100
add interface=vlan200
Настройка компьютера VPC01
vpc01 порт eth0 подключаем к sw01 порт eth3 (порт UNTAGGED vlan100)
ip dhcp
vpcs01 получает IP из диапазона 10.10.100.0/24 (vlan100)
Настройка компьютера VPC02
vpc02 порт eth0 подключаем к sw01 порт eth4 (порт UNTAGGED vlan200)
ip dhcp
vpcs02 получает IP из диапазона 10.10.200.0/24 (vlan200)
Настройка компьютера VPC03
vpc03 порт eth0 подключаем к sw01 порт eth5 (порт LAN - без настройки vlan (но так то vlan1))
ip dhcp
vpcs03 получает IP из диапазона 192.168.10.0/24 (LAN (vlan1))
Настройка Cisco Switch sw02
К свитчу подключены 3 компа:
- GigabitEthernet 0/1 - vpc04
- GigabitEthernet 0/2 - vpc05
- GigabitEthernet 0/3 - vpc06
Необходимо чтобы каждый комп получал IP по DHCP из соответствующей L2 сети
Создаем vlan
cisco(config)#vlan 100
cisco(config)#exit
cisco(config)#vlan 200
cisco(config)#exit
Включаем vlan 1,100,200 в режиме TRUNK (TAGGED) на порте, который подключен к маршрутизатору gw01
cisco(config)#interface GigabitEthernet 0/0
cisco(config-if)#switchport trunk allowed vlan 1,100,200
cisco(config-if)#switchport trunk encapsulation dot1q
cisco(config-if)#switchport mode trunk
Включаем vlan 100 в режиме ACCESS (UNTAGGED) на порте, подключенном к vpc04
cisco(config)#interface GigabitEthernet 0/1
cisco(config-if)#switchport access vlan 100
cisco(config-if)#switchport mode access
Включаем vlan 200 в режиме ACCESS (UNTAGGED) на порте, подключенном к vpc05
cisco(config)#interface GigabitEthernet 0/2
cisco(config-if)#switchport access vlan 200
cisco(config-if)#switchport mode access
Показать информацию по vlan и интерфейсам
cisco# show vlan brief
Настройка компьютера VPC04
vpc04 порт eth0 подключаем к sw02 порт Gi0/1 (порт UNTAGGED vlan100)
ip dhcp
vpcs04 получает IP из диапазона 10.10.100.0/24 (vlan100)
Настройка компьютера VPC05
vpc05 порт eth0 подключаем к sw02 порт Gi0/2 (порт UNTAGGED vlan200)
ip dhcp
vpcs05 получает IP из диапазона 10.10.200.0/24 (vlan200)
Настройка компьютера VPC06
vpc06 порт eth0 подключаем к sw02 порт Gi0/3 (порт LAN - без настройки vlan (но так то vlan1))
ip dhcp
vpcs06 получает IP из диапазона 192.168.10.0/24 (LAN (vlan1))