Настройка VLAN с тегированным и нетегированным трафиком

[Xaero777]

Проблема в следующем. Ранее в кампании был установлен dir-100 с настройками VLAN которые на фото. Приобрели Микротик 951g вместо Dir-100, и нужно сделать аналогичные настройки VLAN. На dir-100 VLAN делается элементарно, добавляются порты с выбором tag или untag, а на Микротике никак не разберусь. Если не сложно опишите как сделать на Микротике аналогичные настройки.

[Vlad-2]

Плохо что Вы даже не пытаетесь понять как оно работает.
Понимаю, что почти всегда надо срочно и сейчас чтобы заработало,
но всё равно, тут про виланы лично я ни раз писал.

Эх... держите "шпору"

[Xaero777]

Простите Влад, но действительно, нужно "как можно быстрее". Обещаю подтянуть свои знания. Плюсую Вам в карму! Безгранично благодарен!

[doorsman]

Vlad, здрастуйте. Подскажите пожалуйста сделал по вашей подсказке, бриджам поднял DHCP ,все заработало только с одного пк с адресом 192.168.0.100 и шлюзом 192.168.0.254 на адрес другого пк 192.168.1.100 и шлюз 192.168.1.254 ping не проходит а сам шлюз 192.168.1.254 пингуеться. Пробовал и фаервол правила добовлять и правила маршрутизации и все не как не могу понять где моя ошибка. Помогите пожалуйста, заранее спасибо.

[Vlad-2]

Vlad, здрастуйте. Подскажите пожалуйста сделал по вашей подсказке, бриджам поднял DHCP ,все заработало только с одного пк с адресом 192.168.0.100 и шлюзом 192.168.0.254 на адрес другого пк 192.168.1.100 и шлюз 192.168.1.254 ping не проходит а сам шлюз 192.168.1.254 пингуеться. Пробовал и фаервол правила добовлять и правила маршрутизации и все не как не могу понять где моя ошибка. Помогите пожалуйста, заранее спасибо.

1) Ну при настройке VLAN'ов мы как бы создаём отдельную локальную сеть. Поэтому в целом и обобщённо пинги и VLAN'ы как бы не связаны напрямую.
2) Думаю на 85% проблема в компе(ах). Обычно стандартный файрвол блокирует пинги чужих (удалённых) подсетей. Отключите файрволы на компах (на том, с кого пинги идут и на том также кого вы пингуете) (временно и полностью)
и проверьте доступность ещё раз компьютеров.
2.1) а адреса (шлюзы) пингуются ?
3) Ну и я надеюсь, что на момент тестирования у Вас внутри микротика тоже были отключены правила файрволы или этих правил пока вообще ещё не было.

[doorsman]

На компах фаирволы отключены, антивирусники не стоят, я даже ручками маршруты на обоих прописал результат прежний. На микротике все правила фаервола вообще поудалял.
Адреа шлюзов с любого порта (vlana) пингуються.
Traceroute доходит до шлюза и все.

[Vlad-2]

На компах фаирволы отключены, антивирусники не стоят, я даже ручками маршруты на обоих прописал результат прежний. На микротике все правила фаервола вообще поудалял.
Адреа шлюзов с любого порта (vlana) пингуються.
Traceroute доходит до шлюза и все.

1) на компах маршруты писать не надо, если роутеры есть, это их задача
2) что у Вас с правилами НАТа ? такое ощущение что Вы пере-за-НАТили одну сеть через другую.

Ну и наверно уже пора выполнить 5й пункт.

[doorsman]

 "Конфиг"

/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip pool
add name=dhcp_pool0 ranges=192.168.2.100-192.168.2.110
add name=dhcp_pool1 ranges=192.168.3.100-192.168.3.110
/ip dhcp-server
add address-pool=dhcp_pool0 disabled=no interface=bridge_vlan10 lease-time=3d \
name=dhcp1
add address-pool=dhcp_pool1 disabled=no interface=bridge_vlan20 lease-time=3d \
name=dhcp2
/tool user-manager customer
set admin access=\
own-routers,own-users,own-profiles,own-limits,config-payment-gw
/interface bridge port
add bridge=bridge_vlan10 interface=ether2
add bridge=bridge_vlan10 interface=vlan10
add bridge=bridge_vlan20 interface=ether3
add bridge=bridge_vlan20 interface=vlan20
/ip firewall connection tracking
set enabled=yes
/ip address
add address=192.168.2.254/24 interface=bridge_vlan10 network=192.168.2.0
add address=192.168.3.254/24 interface=bridge_vlan20 network=192.168.3.0
add address=192.168.1.150/24 interface=ether1 network=192.168.1.0
/ip dhcp-server network
add address=192.168.2.0/24 dns-server=8.8.8.8 gateway=192.168.2.254
add address=192.168.3.0/24 dns-server=8.8.8.8 gateway=192.168.3.254
/ip dns
set servers=192.168.1.1,8.8.8.8
/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether1 out-interface-list=\
all
/ip route
add distance=1 gateway=192.168.1.1
/system lcd
set contrast=0 enabled=no port=parallel type=24x4
/system lcd page
set time disabled=yes display-time=5s
set resources disabled=yes display-time=5s
set uptime disabled=yes display-time=5s
set packets disabled=yes display-time=5s
set bits disabled=yes display-time=5s
set version disabled=yes display-time=5s
set identity disabled=yes display-time=5s
set vlan20 disabled=yes display-time=5s
set vlan10 disabled=yes display-time=5s
set bridge_vlan10 disabled=yes display-time=5s
set bridge_vlan20 disabled=yes display-time=5s
set ether1 disabled=yes display-time=5s
set ether2 disabled=yes display-time=5s
set ether3 disabled=yes display-time=5s
set ether4 disabled=yes display-time=5s
set ether5 disabled=yes display-time=5s
/tool user-manager database
set db-path=user-manager

NAT я пробовал отключать, пинга нет я уже задумываюсь, а правильно ли настроил в принципе.
Под спойлером конфиг который я только что сделал на домашнем роуте и эфект тотже

[Vlad-2]

Код: Выделить всё

/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether1 out-interface-list=\
    all

Вот тут Вы перемудрили, добавили сразу два выходящих параметра,
но вроде out-interface=ether1 более явный, и скорее он только и будет
действовать, так что строку с out-interface-list=all лучше убрать, в будущем
могут быть логические проблемы, что что-то не так будет отрабатываться.

NAT я пробовал отключать, пинга нет я уже задумываюсь, а правильно ли настроил в принципе.
Под спойлером конфиг который я только что сделал на домашнем роуте и эфект тотже

1) мне не совсем ясно зачем имея сети 2.0/24 и 3.0/24 - делать виланы 10 и 20, не проще для
удобства сделать для сети 2.0/24 вилан 20, а для сети 3.0/24 вилан 30? (если это конечно
возможно в Ваших условиях). Или если виланы (id) нельзя сменить, то как-то сети
возможно подобрать/выбрать другие, для логического их понимания на схеме/в конфиге.
2) в Вашем первом сообщении было, что комп с сети 0.0/24 не видит комп с сети 1.0/24,
но опять же, я в Вашей конфигурации сеть 0.0/24 не увидел вообще, а значит пакет с роутера
уйдёт на шлюз, то есть уйдёт в 1.0/24, ну а сеть 1.0/24 и комп в ней = тоже вне ваших пределов, это сеть
за Вами (Выше уровня) Вас. Получается пинговать компы между 0 и 1 сетями - вне Вашей юрисдикции :)

Опишите полностью словами, какие виланы, какие порты, как сделано/подключен, и
что пытаетесь сделать. И что у Вас за роутер? (настроек LCD смотрю много, есть экранчик значит)

[doorsman]

Данный конфиг я собрал дома поэтому виланы выбрал на скорую руку.
На работе приехал MikroTik CCR1036-12G-4S.
Я для себя решил сделать следующее:
1. На первый порт приходит интернет по DHCP от провайдера, и на этот же порт я повешал 10 виланов (с 20 по 120).
2. Попарно объединил 2й порт с 20м виланом 3й с 30 и так далее с помощью бриджей.
3. Каждому вилан бриджу присвоил IP. 20й - 192.168.2.254, 30й - 192.168.3.254 и т.д.
4. Для каждого бридж-вилана создал DHCP server.
5. Во 2й порт подключен сервер с 1С, 3й - бухгалтера, 4й-отдел кадров, 5й - отдел логистики и т.д.
6. Задача чтоб бухгалтера с сети 192.168.3.0 ходили по RDP на сервер с IP 192.168.2.250, а все остальные просто получали интернет.
(Еще думаю про QoS, ограничение скорости по вланам, но пока с этим не разберался.)
По поводу правела NAT скажу чесно нашел на просторах интернета и добавил после чего у меня поднялся интернет на всех портах.
С микротиком работаю впервые, дома тренировался на старом RB750. По этому буду благодарен за любую помощь и критику. На работе схема пока не работает я могу менять как угодно пока не протестирую подключать не буду.
Есле можно посоветуйте свою схему буду очень признателен.
Спасибо!