VLAN switching на устройствах Mikrotik

Многие устройства Mikrotik имеют чипы коммутации, которые позволяют выполнять VLAN коммутацию на аппаратном уровне. Поэтому, для получения лучшей производительности, конфигурацию VLAN следует выбирать в зависимости от типа и серии устройства. Условно можно выделить четыре типа устройств:

  • устройства с чипом коммутации
  • устройства без чипа коммутации
  • коммутаторы серии CRS1xx/2xx
  • коммутаторы серии CRS3xx

Узнать какой чип коммутации используется на устройстве Mikrotik можно в Winbox в разделе меню Switch:

Или с помощью команды терминала:

/interface ethernet switch print

Рассмотрим базовую конфигурацию VLAN позволяющую разделить локальную сеть на два виртуальных сегмента для разных отделов офиса.

Ether1 - это trunk-порт: VLAN20, VLAN30 и VLAN90_MGMT
Ether2 - access-порт VLAN20
Ether3 - access-порт VLAN30

Настройка VLAN switching на устройствах Mikrotik с чипом коммутации

Этот вариант рассматривается первым так как устройства этого сегмента являются массовыми - это в основном роутеры из серий RB75x, RB95x, RB1100, RB2011, RB3011.

Подробный список устройств можно посмотреть на сайте help.mikrotik.com. В таблице на сайте обратите внимание на то, что не все устройства поддерживают VLAN коммутацию на аппаратном уровне, а только те у которых указан параметр VLAN Table.

Пошаговая инструкция создания VLAN switching c TRUNK и ACCESS портами.

1. Создайте мост bidge1.
Не включайте "VLAN Filtering" на этом этапе, чтобы не потерять управление устройством.

interface bridge add name=bridge1

2. Добавьте порты в мост bidge1.

/interface bridge port
add bridge=bridge1 interface=ether1
add bridge=bridge1 interface=ether2
add bridge=bridge1 interface=ether3

3. Добавьте записи в VLAN-таблицу коммутатора и присвойте им vlan-id.

/interface ethernet switch vlan
add ports=ether1,ether2 switch=switch1 vlan-id=20
add ports=ether1,ether3 switch=switch1 vlan-id=30
add ports=ether1,switch1-cpu switch=switch1 vlan-id=90

4. Создайте на bidge1 vlan-интерфейс для доступа к управлению устройством.

/interface vlan
add interface=bridge1 vlan-id=90 name=VLAN90_MGMT

5. Назначьте адрес VLAN-интерфейсу.

/ip address
add address=192.168.90.1/24 interface=VLAN90_MGMT

6. Назначьте vlan-mode и vlan-headermode для каждого порта, а также default-vlan-id для каждого access-порта:

  • vlan-mode=secure - приказывает использовать таблицу vlan;
  • vlan-header=always-strip - используется для ACCESS-портов, удаляет заголовок vlan с ethernet-кадра при покидании чипа коммутации;
  • vlan-header=add-if-missing используется в TRUNK-портах и добавляет заголовок VLAN для нетегированных кадров;
  • default-vlan-id определяет какой VLAN ID добавляетя на нетегированный входящий трафик access-порта.
/interface ethernet switch port
set ether1 vlan-mode=secure vlan-header=add-if-missing
set ether2 vlan-mode=secure vlan-header=always-strip default-vlan-id=20
set ether3 vlan-mode=secure vlan-header=always-strip default-vlan-id=30
set switch1-cpu vlan-mode=secure vlan-header=leave-as-is 

Настройка VLAN на коммутаторах серии CRS1xx/2xx

/interface bridge
add name=bridge1
/interface bridge port
add bridge=bridge1 interface=ether1
add bridge=bridge1 interface=ether2
add bridge=bridge1 interface=ether3
/interface ethernet switch ingress-vlan-translation
add ports=ether2 customer-vid=0 new-customer-vid=20
add ports=ether3 customer-vid=0 new-customer-vid=30
/interface ethernet switch egress-vlan-tag
add tagged-ports=ether1 vlan-id=20
add tagged-ports=ether1 vlan-id=30
add tagged-ports=ether1,switch1-cpu vlan-id=90
/interface ethernet switch vlan
add ports=ether1,ether2 vlan-id=20
add ports=ether1,ether3 vlan-id=30
add ports=ether1,switch1-cpu vlan-id=90
/interface vlan
add interface=bridge1 vlan-id=90 name=VLAN90_MGMT
/ip address
add address=192.168.90.1/24 interface=VLAN90_MGMT
/interface ethernet switch
set drop-if-invalid-or-src-port-not-member-of-vlan-on-ports=ether1,ether2,ether3

Настройка VLAN на коммутаторах серии CRS3xx

/interface bridge
add name=bridge1 frame-types=admit-only-vlan-tagged
/interface bridge port
add bridge=bridge1 interface=ether1 frame-types=admit-only-vlan-tagged
add bridge=bridge1 interface=ether2 pvid=20 frame-types=admit-only-untagged-and-priority-tagged
add bridge=bridge1 interface=ether3 pvid=30 frame-types=admit-only-untagged-and-priority-tagged
/interface bridge vlan
add bridge=bridge1 tagged=ether1 vlan-ids=20
add bridge=bridge1 tagged=ether1 vlan-ids=30
add bridge=bridge1 tagged=ether1,bridge1 vlan-ids=90
/interface vlan
add interface=bridge1 vlan-id=90 name=VLAN90_MGMT
/ip address
add address=192.168.90.1/24 interface=VLAN90_MGMT

/interface bridge
set bridge1 vlan-filtering=yes

Настройка VLAN без использования Switch

Настройка VLAN без использования чипа коммутации выполняется с помощью бриджа. При этом следует учесть, что всю работу по коммутации будет выполнять CPU и нагрузка на него возрастет.

Болле подробно о настройке VLAN Bridge можно прочесть в статьте VLAN bridge на Mikrotik - TRUNK и ACCESS порты.

/interface bridge
add name=bridge1 frame-types=admit-only-vlan-tagged
/interface bridge port
add bridge=bridge1 interface=ether1 frame-types=admit-only-vlan-tagged
add bridge=bridge1 interface=ether2 pvid=20 frame-types=admit-only-untagged-and-priority-tagged
add bridge=bridge1 interface=ether3 pvid=30 frame-types=admit-only-untagged-and-priority-tagged
/interface bridge vlan
add bridge=bridge1 tagged=ether1 vlan-ids=20
add bridge=bridge1 tagged=ether1 vlan-ids=30
add bridge=bridge1 tagged=ether1,bridge1 vlan-ids=90
/interface vlan
add interface=bridge1 vlan-id=90 name=VLAN90_MGMT
/ip address
add address=192.168.90.1/24 interface=VLAN90_MGMT
/interface bridge
set bridge1 vlan-filtering=yes

2 thoughts on “VLAN switching на устройствах Mikrotik

  1. Андрей

    Добрый день.
    Есть сеть организации порядка 100 пользователей с несколькими VLAN (конкретнее 5). Сеть организована на коммутаторах второго уровня. Хочется настроить схему межвлановой маршрутизации на Mikrotik 2011iL, заведя на него через транковый порт все имеющиеся VLAN и используя правила файервола разграничить доступы. Но есть 2 вопроса:
    1. Потянет ли данная модель нагрузку по маршрутизации?
    2. Как правильнее сделать: заводить имеющиеся VLAN в микротик через один TRUNK порт или каждый имеющийся VLAN на свой порт микротика (используя его как ACCESS порт)?

    1. admin Автор записи

      Здравствуйте. На вопросы, связанные с нагрузкой в вашей сети, никто лучше Вас ответить не сможет =) Важно знать инфраструктуру сети, чем эти 100 пользователей занимаются, куда и как они ходят, какие сетевые сервисы используют. Про использование транк и аксес портов - ответ будет аналогичен. Все зависит от той цели, которую вы перед собой ставите. Ваши вопросы слишком комплексные, простого ответа на них нет.

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *