Nastavení mikrotiku jako swiče

sarance · 2025-08-06T06:50:40+00:00

Donrý den.Jde mi o MikrotikCRS328-24P-4S+. Stroj umí pracovat jako router nebo svič. Má dualbot. Provozovaljsem ho jako swič. Minulý týden (ať mě myš upadne...

Alois

Má mít tagovaná síť i IP adresu? Pokud ne, je potřeba vytvořit bridge, nastavit mu VLAN Filtering a filtrování na tagovaný provoz (není nezbytné, ale ořeže to bordel, který tam nemá co dělat), do bridge naházet všechny porty, které budou patřit daným VLANám a je jedno jestli tagované nebo netagované. U každého portu nastavit VLAN filtering u netagovaných nastavit PVID na správnou VLAN. A pak v záložce VLANs definovat jednotlivé VLANy a členství portů (tagged a untagged). Bridge musí být taky tagovaným členem.
Pokud má mít VLAN i IP, tak je třeba vlézt do Interfaces - VLAN, vytvořit VLAN a jako Interface dát ten bridge, kde ty VLANy jsou. IP se pak nastavuje přímo na ten VLANový interface, nesmí být nastavena na bridge nebo port.
Návodů na toto téma jsou na internetu stovky. Obecně L2 se definuje v Bridge, L3 se definuje v Interfaces.

ludvik

No, pokud neukážeš konfiguraci, tak už ti asi nikdo neporadí. Ale zkusím to ještě jednou:

Vytvoříš si základní bridge:

/interface bridge
add name=bridge4 protocol-mode=none vlan-filtering=yes

Pokud tam nebude zapnutý vlan-filtering, nebudou fungovat untagged vlany.
V příkladu je také vypnutý STP protokol. Jestli ho chceš, nebo ne, to nevím.

Do toho bridge naházíš všechny porty (pro "bezpečnost" bez toho portu, kterým tam momentálně jsi připojen, tu je vynechán ether4).

/interface bridge port
add bridge=bridge4 interface=ether1 pvid=81
add bridge=bridge4 interface=ether2 pvid=82
add bridge=bridge4 interface=ether3
add bridge=bridge4 interface=ether5

No a sám bridge musí vědět (je to totiž prostě switch, není-li správný HW, bude to dělat čistě softwarově) o VLANách.

/interface bridge vlan
add bridge=bridge4 tagged=bridge4 untagged=ether1 vlan-ids=81
add bridge=bridge4 tagged=bridge4,ether3 untagged=ether2 vlan-ids=82

Tady je vidět, že používám jen dva porty, každý s jinou VLAN a oba jsou untagged (v části /bridge/port je vidět PVID hodnota). Vlan 82 je zároveň i na portu 3 jako tagged, tedy bez PVID.
Na bridge4 je tagged, abych si mohl vytvořit VLAN interface a použít v MK jako běžné rozhranní. Což samozřejmě nemusím, pokud chci jen forwardovat traffic mezi fyzickými porty.

Je trošku matoucí (alespoň pro začátečníka), že lze definovat untagged vlanu, ale zapomenout na PVID. Lze to dokonce i obráceně ... Ale pak to logicky nemůže fungovat.

A nakonec si pod ten bridge vytvoříš VLAN interface, u kterých chceš, aby do nich mikrotik "viděl" - abys mohl třeba přidělit IP adresu. To jsou ty, co jsou v předchozí části zadány s tagged=bridge4.

/interface vlan
add interface=bridge4 name=vlan81 vlan-id=81
add interface=bridge4 name=vlan82 vlan-id=82

A už nám nepiš, že ti to nefunguje. Dokud nedáš svoji konfiguraci (alespoň "/interface export"), už odpovídat nebudu.

hapi

za mě by se mělo zapnutí vlan-filtering dělat až na konci když si s tím hraje na stole. Jinak je možnost zabránění přístupu k routeru velmi vysoká. Pěkně v klidu si nastav vlan tabulku a pak zapni "safe mode" a filtrování zapni. Když se to nepovede, tak přijdeš jenom o jeden krok.

Alois

Pokud má dost portů, tak si stačí nechat jeden port jako záchranu, přes kterou se dá přímo připojit (přes MAC nebo mu dát nějakou IP). Problém je u jednoportových AP, tam si člověk odstřelí přístup jedním jebem, tam je to potřeba nastavovat, jak píšeš.

hapi

Pokud máš sólo tak v klidu. Pokud máš ale všechno v bridge a ten port nemáš ve vlan tabulce tak se prostě odpojí resp. pokud ho nehodíš do vlany a ta vlana není pověšená na bridge a ten bridge není taged ve vlan tabulce tak si odstřelíš management.

sarance

Dobrý den.
Děkuji za rady, řídil jsem se radou od ludvika (byla nejpodrobnější)
Protože nechci laborovat na ostrých datech, udělal jsem si malou laboratoř.
První mikrotik má konektivitu k internetu a pracuje jako router, druhý mikrotik by měl fungovat v roli chytrého sviče.
Viz obrázek.

Bohužel požadovaného stavu nemůžu dosáhnout.

nastavení prvního mikrotiku - routeru (nastavení Cisco a O2 si nevšímejte, sloužilo k jiným testům)

model = RB951G-2HnD

/interface bridge
add fast-forward=no name=Lan protocol-mode=none
/interface ethernet
set [ find default-name=ether4 ] comment=CiscoPrime
set [ find default-name=ether5 ] comment="PPOE Server"
/interface vlan
add interface=Lan name=vlan55 vlan-id=55
add interface=ether5 name=vlanO2Test vlan-id=848
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
add authentication-types=wpa2-psk group-ciphers=tkip,aes-ccm mode=\
dynamic-keys name=profile_users supplicant-identity="" unicast-ciphers=\
tkip,aes-ccm
/interface wireless
set [ find default-name=wlan1 ] country="czech republic" disabled=no \
installation=indoor security-profile=profile_users ssid=users
/ip pool
add name=Lan ranges=192.168.4.100-192.168.4.199
add name=poolvlan55 ranges=192.168.55.100-192.168.55.199
/ip dhcp-server
add address-pool=Lan authoritative=after-2sec-delay bootp-support=none \
interface=Lan lease-time=23h10m name=DHCP_Lan
add address-pool=poolvlan55 authoritative=after-10sec-delay bootp-support=\
none interface=vlan55 name=Testvlan55
/ip smb users
set [ find default=yes ] disabled=yes
/ppp profile
add local-address=192.168.3.1 name=profileO2Test remote-address=10.0.0.1 \
use-ipv6=no use-mpls=no
/ip smb
set enabled=no
/interface bridge port
add bridge=Lan interface=ether1
add bridge=Lan interface=ether2
add bridge=Lan interface=ether3
/interface bridge settings
set allow-fast-path=no
/ip settings
set allow-fast-path=no
/ipv6 settings
set disable-ipv6=yes
/interface pppoe-server server
add default-profile=profileO2Test disabled=no interface=ether5 max-mru=1492 \
max-mtu=1492 one-session-per-host=yes service-name=O2Server
/ip address
add address=192.168.4.1/24 interface=Lan network=192.168.4.0
add address=10.84.3.40/26 interface=ether4 network=10.84.3.0
add address=192.168.55.1/24 comment="Test vlan55" interface=vlan55 network=\
192.168.55.0
/ip dhcp-client
add default-route-tables=main interface=wlan1 use-peer-ntp=no
/ip dhcp-server config
set store-leases-disk=never
/ip dhcp-server network
add address=192.168.4.0/24 dns-server=192.168.4.1 gateway=192.168.4.1 \
netmask=24
add address=192.168.55.0/24 dns-server=192.168.4.1 gateway=192.168.55.1 \
netmask=24
/ip dns
set allow-remote-requests=yes
/ip firewall filter
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
invalid
add action=accept chain=input comment=Ping protocol=icmp
add action=accept chain=input comment=Loop in-interface=lo
add action=accept chain=input comment=\
"defconf: accept established,related,untracked" connection-state=\
established,related,untracked
add action=accept chain=input comment="Povoli vse z Lan." in-interface=Lan
add action=drop chain=input comment=\
"Zakaze Vse. Docasne vypnuto pro ucely testu vlan55." disabled=yes
add action=drop chain=forward comment="Zakaz Invalid." connection-state=\
invalid
add action=accept chain=forward comment=Cisco connection-state=\
established,related,new in-interface=Lan out-interface=ether4
add action=accept chain=forward comment=Cisco connection-state=\
established,related in-interface=ether4 out-interface=Lan
add action=accept chain=forward comment="Komunilace Lan Wlan1." in-interface=\
Lan out-interface=wlan1
add action=accept chain=forward comment="Komunilace Wlan1 Lan" in-interface=\
wlan1 out-interface=Lan
add action=drop chain=forward comment="Drop ALL" disabled=yes
/ip firewall nat
add action=masquerade chain=srcnat out-interface=wlan1
add action=accept chain=srcnat comment=Cisco out-interface=ether4
/ppp secret
add name=O2 profile=profileO2Test service=pppoe
/system clock
set time-zone-autodetect=no
/system clock manual
set time-zone=+01:00
/system identity
set name="MikroTik Nemec"
/tool bandwidth-server
set authenticate=no

nastavení druhého mikrotiku v roli sviče.

model = C53UiG+5HPaxD2HPaxD

/interface bridge
add name=bridge_svic vlan-filtering=yes
/interface ethernet
set [ find default-name=ether1 ] poe-out=off
/interface vlan
add interface=bridge_svic name=vlan55 vlan-id=55
/interface bridge port
add bridge=bridge_svic comment="Vstup z routeru." interface=ether1
add bridge=bridge_svic comment="Tady chci vlanu 55." interface=ether2 pvid=55
add bridge=bridge_svic comment="Tady chci netagovanou lan." interface=ether3
add bridge=bridge_svic comment="Tady chci lan i vlan55" interface=ether4
/ip neighbor discovery-settings
set discover-interface-list=!dynamic
/interface bridge vlan
add bridge=bridge_svic tagged=bridge_svic untagged=ether2 vlan-ids=55
/ip address
add address=192.168.3.1/24 interface=ether5 network=192.168.3.0

radek_kovacik

sarance Řekl bych, že je na tom druhém MT nedostatečně definovaná VLAN tabulka v sekci /interface bridge vlan. Je tam potřeba zapsat všechny porty.
V sekci /interface bridge port chybí u některých položek definice PVID.

ludvik

Také jen tak pro jistotu doporučuji nepoužívat VLAN 1.
A v obou routerech je switch ... i kdyby nebyl, pořád je to pomocí bridge. Takže to vlastně nastavuješ úplně stejně ... Na tom prvním třeba máš vlan jen na bridge, ale porty o ní neví.

Zkusím se na to mrknout, ale jsem z toho nějaký zmatený.

ludvik

/interface bridge
add fast-forward=no name=Lan protocol-mode=none

/interface vlan
add interface=Lan name=vlan11 vlan-id=11
add interface=Lan name=vlan55 vlan-id=55

/interface bridge port
add bridge=Lan interface=ether1 pvid=11
add bridge=Lan interface=ether2 pvid=11
add bridge=Lan interface=ether3 pvid=11

/interface bridge vlan
add bridge=Lan tagged=Lan,ether2 vlan-ids=55
add bridge=Lan tagged=Lan untagged=ether1,ether2,ether3 vlan-ids=11

/ip address
add address=192.168.4.1/24 interface=vlan11 network=192.168.4.0
add address=10.84.3.40/26 interface=ether4 network=10.84.3.0
add address=192.168.55.1/24 comment="Test vlan55" interface=vlan55

---
/interface bridge
add name=bridge_svic vlan-filtering=yes
/interface vlan
add interface=bridge_svic name=vlan55 vlan-id=55

/interface bridge port
add bridge=bridge_svic comment="Vstup z routeru." interface=ether1 pvid=11
add bridge=bridge_svic comment="Tady chci vlanu 55." interface=ether2 pvid=55
add bridge=bridge_svic comment="Tady chci netagovanou lan." interface=ether3 pvid=11
add bridge=bridge_svic comment="Tady chci lan i vlan55" interface=ether4 pvid=11

/interface bridge vlan
add bridge=bridge_svic tagged=bridge_svic,ether1,ether4 untagged=ether2 vlan-ids=55
add bridge=bridge_svic untagged=ether1,ether3,ether4 vlan-ids=11

Akorát mám takový pocit, že jsem ti to již napsal ... stačilo změnit ID a porty.

sarance

Děkuji za radu. Konečně to funguje jak jsem chtěl. Dokonce není potřeba ani ta vlan11.(funguje to i s 1)
Moje chyba byla, že jsem si udělal chybný úsudek o nastavení bridge vlan.

ludvik

Doporučil jsem nepoužívat VLAN 1. Ale kdo chce kam, pomožme mu tam ...

Důvodem je právě to, že je to všelijaký default a nemáš tedy moc pod kontrolou nastavení. Se tam tak po různu objevuje a zase mizí, jak si nedáš pozor, budeš zase kroutit hlavou. Pokud je vše staticky ručně, vše pěkně vidíš.