VLAN nad bridge v RouterOS

tulo

Mám v jednej kancelárii mikrotik ako Router (1 port uplink ako WAN ostatné porty v porty bridge ako LAN), ktorý je sfp spojený s druhým mikrotik switchom, kde beží aj wifi.

Teraz by chcel zákazník urobiť pre nejakých hostí wifinu mimo siete. Napadlo ma urobiť Virtual AP, ktoré dať do vlany a preniesť to cez ten bridge do druhého mikrotiku kde urobiť vlan s iným rozsahom.

Zase mi chýba to pomyselné nakopnutie aký zvoliť postup. Pozrel som zo desať videí na youtube, ale takéto niečo som nenašiel. Normálnu vlan urobím, ale ako ju urobiť nad bridgeom mi nejde hlavy. 🙂 ...zase raz...

martas

Hlavní router: Vytvořit VLAN nad interfacem bridge, nastavit tam IP adresu, maškarádu na rozsah, DHCP server.
Router s Wi-Fi: Vytvořit VLAN na bridgem, vytvořit Virtual AP, vytvořit druhý bridge do kterého se v portech přidá VLANa a Virtual AP.

Výhodou je potom tyto rozsahy firewall oddělit, případně oddělit i přístup do routeru z daného rozsahu.

tulo

martas zajtra skusim vobec ma nenapadlo ze musim urobit bridge nad virtual AP dakujem.

jezdec

Jen otazka.... obecne se nedoporucuje na jednom konkretnim mikrotiku vytvaret 2 bridge, ponevadz clovek prijde o HW offload na bridgi. Je to tedy spravne nebo spatne ?😃 (samozrejme vyjimkou jsou zarizeni ktere maji 2x switch chip)

martas

Ještě je možnost to prohnat přes VLANy přímo v Bridgi, v sekci VLANs a vybrat tam tagovaný iface (přívodní s tou vlanou) a potom odtagovaný Virtual AP, tím pádem odpadá nutnost vytvářet VLANu na tom routeru s Wi-Fi, asi je to lepší řešení. Poslední nejjednoduší a nejefektivnější je to nasadit celé do CAPSMANa, potom se router s AP nastaví jenom jako CAP, a na tom hlavním routeru se vytvoří 2 SSID a v tom jednom se dá ta VLANa odtagovat.

Puski

Za mě taky určitě lepší způsob použít na bridgi VLAN filtering než dělat dva bridge. Ale o ten hw.offload si myslím že stejně přijdeš. Zapnutej filter a offload podporuje myslím jenom CRS3xx řada. Zbytek už bylo řečeno.

martas

Puski A ten CAPSMAN to řeší přes ty bridge, nebo jak?

Puski

martas no CAPsMAN to buď může řešit bez local forwarding módu. To znamená vše ti teče skrz ten hlavní Mikrotik. Každa WiFi síť má vlastní bridge, rozsah, DHCP atd. Vlany vůbec nejsou nutné. Dají se použít ale taky. A v ten moment ti opět stačí jen 1 bridge.

Nebo ten local forwarding použiješ a pak pracuješ s Vlanama. A v ten moment musíš na tu další WiFi síť v data-path nastavit vlan-mode use tag a odpovídající VLAN ID. V případě že na bridgi pak používáš ten VLAN filtering tak na tom access pointu to virtualko přidá dynamicky do bridge a nastaví si PVID podle toho co jsi na CAPsMANu nastavil v data-path. Ale mělo by to fungovat ikdyz ten filtering nepoužijes. Jenom ti pak ta VLANa leze na všechny interfaci co máš v tom bridgi, což ne vždycky chceš.

martas

5nik Když jsem psal příspěvek výše, tak jsem to v tom nastavení Wi-Fi hledal, i když jsem věděl že to tam je, teď už to tam vidím, takže nejjednodušší řešení.

Puski S tím CAPSMANem je to stejně jak s použitím tagu u té Wi-Fi, samozřejmě v local forwarding módu.

5nik

Dva bridge na jednom zařízení jsou blbost. Bohatě stačí jeden. Ani není nutné zapínat VLAN filtrování (a přijít tak o HW offload). Virtual AP se přidá do jediného bridge, pouze v nastavení toho Virtual AP je potřeba nastavit VLAN Mode na Use tag a nastavit správnou VLAN ID.

tulo

Ďakujem za nakopnutie, išlo to tým najjednoduchším spôsobom. Sám som to písal v nadpise a nerobil som to tak, tam bola chyba. Nerobil som tú VLANu nad rozhraním bridge 🙂

Na hlavnom routri: - vytvoril som VLAN3 nad rozhraním bridge, pridal mu IP, dhcp, urobit NAT
Na kancelárskom: - vytvoril som virtuálne wifi, nastavil mu use service tag + označil, a potom som ho pridal do bridge a všetko funguje,

mirmo80

tulo Prosim ta, postol by si tu config? Chystam sa pomenit svoje nastavenia bridge a vlan a myslim, ze by mi to pomohlo.
Dakujem

theitman

řešení která tu padla jsou všechna správná ale proč vytvářet vlan nad bridgem? proč ji nevytvořit jen nad tím SFP ?

tulo

theitman a nemusel by som potom robit bridge nad tym sfp aby som tam dostal tu virtualnu wlan? A ten tagovat?

theitman

tulo Ne, sfp a vlan nad ním jsou pro mikrotik dva různé interfacy,
na MK si dáš vlan nad SFP a k ní se chováš jako k fyzickému portu přidělíš jí IP ošetříš ji ve FW, na switchi máš tři možnosti
1) Na bridgi máš povolené vlan, a přiřadíš ji přímo v nastavení toho wlan interfacu
2) přímo v tom bridgi si nastavíš VLAN member kde zadáš SFP jako tagged a guest wlan jako untagged
3) vytvoříš si VLAN přímo nad tím SFP a dáš ji do druhého bridge (moc nedoporučuji ale je to nejjednoduší, ale snižuje to propustnost switche záleží co tudy taháš)

tulo

to mirmo80:

Veď je to písané v mojom príspevku vyššie. Jedná sa o obyčajnú kanceláriu, kde robia ľudia len na PC a delia sa o tlačiareň. Takže prívod internetu je do portu 1 urobené NAT, ostatné porty boli v bridge len ako switch, v druhej časti budovy pokladňa s jedným notebookom, jedným terminálom (pripojená na na RB2011 s wifi).

Do tohto setupu bola požiadavka urobiť wifi pre hostí čakajúcich na pokladni.

Na hlavnom routri som urobil "vlan3" pridal nad interface "bridge" pridal jej ID3, interfacu "vlan3" som pridal iny rozsah ip adries, urobi dalsi nat, na firewalle spravil pravidlo ze forward medzi rozsahmi ip adries je drop.

Na routri v pokladni RB 2011, kde som pridal na WLAN "virtual AP", nastavil ssid a nastavil VLAN MODE "use tag" a nastavil vlan ID 3.

Na hlavnom routri som este urobil simple queue kde som dal rozsah tej Vlan3 a obmedzil to na 20mbit.

Puski

tulo jednoduché, rychlé, účinné. V tohle setupu můj navrhovaný VLAN filtering by opravdu byl zbytečný a jen by ubral výkon. A pokud řešíme pouze WiFi tak víc než toto nepotřebujeme.

mirmo80

tulo Ja tomu popisu rozumiem a chápem čo si akým nastavením dosiahol. Ale potreboval by som to vidieť v configu, pretože neviem úplne presne ako to nastaviť. Určite sa k tomu pregooglim, ale veľmi by si mi to uľahčil.
Ďakujem