VLAN на MikroTik: от VLAN-интерфейсов до bridge VLAN filtering

Самый простой способ настроить VLAN на MikroTik: создать VLAN-интерфейсы на порту, дать им адреса и увидеть теги в sniffer. А для коммутатора и нескольких портов есть bridge VLAN filtering: access- и trunk-порты, DHCP на каждый VLAN и маршрутизация между ними. Команды проверены на RouterOS 7.22 и 6.49, а фильтрацию мы включаем из Safe Mode, чтобы не потерять доступ.

Что такое VLAN и зачем он нужен

VLAN (Virtual LAN) делит одну физическую сеть на несколько изолированных логических. Компьютеры бухгалтерии, камеры и гостевой Wi-Fi могут подключаться к одному коммутатору, но не видеть друг друга на втором уровне: у каждой группы свой номер VLAN, своя подсеть и свой DHCP-сервер. Пересекаются они только там, где вы сами это разрешили, на роутере.

Зачем это нужно: меньше широковещательного трафика в каждой сети, проще правила firewall («VLAN 20 не ходит в VLAN 10»), и не нужно тянуть отдельный кабель и коммутатор под каждую группу устройств. Метка VLAN, то есть тег по стандарту 802.1Q, добавляется к Ethernet-кадру и несёт номер от 1 до 4094. Один кабель между коммутатором и роутером (транк) переносит кадры сразу всех VLAN.

В статье два варианта. Сначала самый простой: VLAN-интерфейсы на порту. Затем более гибкий вариант для коммутатора и нескольких портов: bridge VLAN filtering, где мы соберём схему «коммутатор S, роутер R и один транк между ними».

Часть 1. Самый простой пример: VLAN-интерфейсы на порту

Начнём с самого простого способа, без bridge, таблиц VLAN и фильтрации: два роутера соединены одним кабелем, а на каждом конце поверх порта созданы VLAN-интерфейсы. Два VLAN ходят по одному кабелю и не смешиваются.

• Два устройства с RouterOS (подойдут два роутера, роутер и CHR и т.п.), соединённые кабелем.
• Подключение по WinBox. Если вы ещё не подключались, начните со статьи «WinBox: первое подключение к MikroTik за 10 минут».

В примере роутер R подключён кабелем из порта ether2 в порт ether1 роутера S. Для первого VLAN возьмём сеть 192.168.10.0/24 (R получит .1, S получит .2), для второго 192.168.20.0/24 (так же .1 и .2). Команды проверены на RouterOS 7.22 и 6.49.

Шаг 1. Создайте VLAN-интерфейсы

В WinBox: Interfaces → вкладка VLAN → New. Укажите имя (Name), номер VLAN (VLAN ID) и физический порт, поверх которого строится VLAN (Interface). Остальные поля (MTU, ARP, Use Service Tag) оставьте по умолчанию: use-service-tag нужен только для двойных тегов 802.1ad, а MTU 1500 в обычной сети подходит.

Как это выглядит в WinBox 3 (Windows)

То же в терминале. На роутере R (кабель в ether2):

/interface vlan add name=vlan10 vlan-id=10 interface=ether2
/interface vlan add name=vlan20 vlan-id=20 interface=ether2

На роутере S те же VLAN ID, но поверх порта, куда приходит кабель (ether1). Имена интерфейсов могут быть любыми, важны только VLAN ID: он должен совпасть на обоих концах.

/interface vlan add name=vlan10 vlan-id=10 interface=ether1
/interface vlan add name=vlan20 vlan-id=20 interface=ether1

Шаг 2. Назначьте адреса и проверьте связь

VLAN-интерфейс ведёт себя как обычный: ему назначают IP-адрес. У каждого VLAN своя подсеть. На R:

/ip address add address=192.168.10.1/24 interface=vlan10
/ip address add address=192.168.20.1/24 interface=vlan20

На S:

/ip address add address=192.168.10.2/24 interface=vlan10
/ip address add address=192.168.20.2/24 interface=vlan20

Как это выглядит в WinBox 3 (Windows)

Проверяем с R:

/ping 192.168.10.2 count=3
/ping 192.168.20.2 count=3

Оба адреса отвечают, хотя кабель один. Если вы управляете роутером по сети, учтите, что новые интерфейсы никак не трогают прежний нетегированный трафик, поэтому доступ по WinBox не пропадёт.

Что на самом деле идёт по кабелю

Посмотрите кадры sniffer’ом на физическом порту. В колонке VLAN видны номера 10 и 20: роутер добавляет тег к кадрам каждого VLAN, а на другом конце читает его и отдаёт кадр нужному VLAN-интерфейсу. Запустите пинг и перехват одновременно (команда пинга в другой консоли):

/tool sniffer quick interface=ether1 ip-protocol=icmp duration=3

Как это выглядит в WinBox 3 (Windows)

Так VLAN и устроен: в одном кабеле идут кадры с тегами 802.1Q, а у каждого VLAN есть собственный интерфейс и собственная подсеть. Поэтому адреса в разных VLAN могут даже совпадать, и роутер не перепутает сети. Команды interface=, vlan-id= и name= и вывод sniffer совпадают на RouterOS 7.22 и 6.49; из отличий только у 7.22 в свойствах VLAN-интерфейса есть параметр mvrp (он нам не нужен).

Неверный VLAN ID: связи нет

Если на одном конце номер другой, кадры доходят до порта, но принимающий роутер не находит VLAN-интерфейса с таким ID и отбрасывает их. Смените на S vlan-id у vlan10 с 10 на 11, и пинг 192.168.10.1 ↔ 192.168.10.2 пропадёт (проверено на 7.22 и 6.49), а VLAN 20 продолжит работать:

/interface vlan set vlan10 vlan-id=11

Как это выглядит в WinBox 3 (Windows)

Верните vlan-id=10, и связь восстановится. Это первое, что нужно проверять, если «VLAN не заработал»: ID на обоих концах, интерфейс (физический порт) и адреса из одной подсети.

Врезка: VLAN бывает и на компьютере

VLAN-интерфейс можно создать не только на роутере. В Linux такой же интерфейс поверх сетевой карты создаётся командой (имя карты у вас может быть другим, посмотрите ip a):

sudo ip link add link ens18 name ens18.30 type vlan id 30
sudo ip addr add 192.168.30.3/24 dev ens18.30
sudo ip link set ens18.30 up

Здесь взят VLAN 30, чтобы не пересекаться с примером выше. На роутере в порту, куда подключён компьютер, нужен такой же VLAN-интерфейс с адресом, например /interface vlan add name=vlan30 vlan-id=30 interface=ether1 и /ip address add address=192.168.30.1/24 interface=vlan30. Тогда ping 192.168.30.1 с компьютера проходит: он сам ставит тег 30. Так делают серверы и гипервизоры, которым нужно сразу несколько VLAN на одной сетевой карте.

Ограничения простого способа

• На каждый VLAN нужен отдельный интерфейс на каждом порту, где он используется. Десять VLAN на пяти портах означают десятки интерфейсов.
• Это маршрутизация, а не коммутация: порты не объединены, и два компьютера из одного VLAN на разных портах не окажутся в одной сети на втором уровне.
• Раздать один VLAN нескольким портам коммутатора (access-порты) и протянуть несколько VLAN по транку одним правилом так нельзя.

Как только VLAN много или их нужно раздавать по портам коммутатора, переходим ко второй части: VLAN на bridge.

Часть 2. VLAN на bridge: bridge VLAN filtering (access- и trunk-порты)

Идея та же самая: кадры с тегом идут по одному кабелю. Но теперь VLAN привязываются не к отдельным портам, а к bridge: он сам решает, какому VLAN принадлежит каждый порт, с тегом или без тега выпускать кадр, и пропускает ли нужные VLAN через транк. Для этого в RouterOS есть bridge VLAN filtering: таблица VLAN и параметры портов. Взамен вы получаете access-порты для обычных устройств, транк между коммутатором и роутером и возможность добавить новый VLAN одной записью, а не десятком интерфейсов. Отличия от части 1: появляется таблица /interface bridge vlan, pvid у портов и переключатель vlan-filtering, который нужно включать осторожно.

Access, trunk, tagged, untagged и PVID простыми словами

• Access-порт: порт для обычного устройства (компьютер, принтер, камера). Устройство ничего не знает про VLAN, кадры у него без тега. Порт сам решает, к какому VLAN они относятся.
• Trunk-порт: порт между сетевыми устройствами (коммутатор – роутер, коммутатор – коммутатор). По нему идут кадры с тегами сразу многих VLAN.
• Tagged: в таблице VLAN так отмечают порты, из которых кадр уходит с тегом. Это транки.
• Untagged: из такого порта кадр уходит без тега, тег снимается. Это access-порты.
• PVID (Port VLAN ID): номер VLAN, который порт присваивает всем входящим кадрам без тега. На access-порту это его VLAN, на транке остаётся 1.

Запомнить проще всего так: pvid работает на вход (какой VLAN получит кадр, пришедший от устройства), а tagged/untagged в таблице /interface bridge vlan работают на выход (с тегом или без тега кадр уйдёт из порта).

Что понадобится

• Два устройства MikroTik с RouterOS: роутер R и коммутатор S (подойдёт и один роутер с несколькими портами, но схема нагляднее с двумя).
• Два клиента: по одному в VLAN 10 и VLAN 20.
• Подключение по WinBox. Если вы ещё не подключались, начните со статьи «WinBox: первое подключение к MikroTik за 10 минут».
• Понимание Safe Mode: включать vlan-filtering мы будем именно из него, подробности в статье «Safe Mode в MikroTik».

Во второй части работаем со схемой из рисунка выше: коммутатор S, роутер R и один транк между ними; оба устройства работают на RouterOS, поэтому настройки bridge у них почти одинаковые. Схема подключения и адреса:

Команды в статье проверены на RouterOS 7.22 и 6.49. Где версии различаются, это сказано в тексте, а сводка есть в разделе «Чем отличаются 7.22 и 6.49».

Шаг 1. Коммутатор S: bridge и порты

На коммутаторе создаём один bridge и добавляем в него все три порта. Для каждого порта сразу задаём pvid и допустимые типы кадров (frame-types): на access-портах пропускаем только кадры без тега, на транке только с тегом.

В WinBox: Bridge → New для самого bridge, затем вкладка Ports → New для каждого порта. PVID, Frame Types и Ingress Filtering находятся в свойствах порта на вкладке VLAN (и в WinBox 4, и в WinBox 3, а не на General). Поля Tagged и Untagged в таблице VLAN в WinBox 3 это списки: стрелка вниз добавляет значение, стрелка вверх убирает.

Как это выглядит в WinBox 3 (Windows)

То же в терминале:

/interface bridge add name=bridge1
/interface bridge port add bridge=bridge1 interface=ether1 pvid=1 frame-types=admit-only-vlan-tagged
/interface bridge port add bridge=bridge1 interface=ether2 pvid=10 frame-types=admit-only-untagged-and-priority-tagged
/interface bridge port add bridge=bridge1 interface=ether3 pvid=20 frame-types=admit-only-untagged-and-priority-tagged

Что здесь важно: у ether2 и ether3 разные pvid, он и определяет, в каком VLAN окажется устройство; frame-types=admit-only-vlan-tagged на транке не пустит в сеть кадры без тега. Значение по умолчанию admit-all на обеих версиях пропускает всё, это допустимо, но менее строго.

Шаг 2. Коммутатор S: таблица VLAN

Теперь описываем, какие VLAN существуют и через какие порты они выходят: Bridge → VLANs → New. В каждой записи в поле Tagged указываем транк, в Untagged соответствующий access-порт.

Как это выглядит в WinBox 3 (Windows)

/interface bridge vlan add bridge=bridge1 vlan-ids=10 tagged=ether1 untagged=ether2
/interface bridge vlan add bridge=bridge1 vlan-ids=20 tagged=ether1 untagged=ether3

Пока в этих командах нет ничего опасного: vlan-filtering ещё выключен, и bridge работает как обычный коммутатор. Таблица начнёт действовать только в шаге 5.

Шаг 3. Роутер R: bridge, транк и VLAN-интерфейсы

На роутере access-портов нет: только транк ether1. Но bridge тоже нужен: к нему привязываются VLAN-интерфейсы, и сам bridge должен быть участником каждого VLAN как tagged. Иначе роутер не сможет «услышать» кадры этих VLAN.

/interface bridge add name=bridge1
/interface bridge port add bridge=bridge1 interface=ether1 frame-types=admit-only-vlan-tagged
/interface bridge vlan add bridge=bridge1 vlan-ids=10,20 tagged=ether1,bridge1

Обратите внимание на tagged=ether1,bridge1: сам bridge указан в списке tagged-участников. Этот пункт чаще всего забывают, подробнее в разделе с разбором ошибок. Затем создаём VLAN-интерфейсы поверх bridge и назначаем им адреса, которые станут шлюзами:

/interface vlan add name=vlan10 interface=bridge1 vlan-id=10
/interface vlan add name=vlan20 interface=bridge1 vlan-id=20
/ip address add address=192.168.10.1/24 interface=vlan10
/ip address add address=192.168.20.1/24 interface=vlan20

Как это выглядит в WinBox 3 (Windows)

Так устроена маршрутизация между VLAN. У каждого VLAN есть свой интерфейс и свой адрес на роутере, а все подсети вместе роутер знает как подключённые (connected), поэтому пакет из 192.168.10.0/24 в 192.168.20.0/24 он просто пересылает. Отдельных маршрутов добавлять не нужно.

Шаг 4. DHCP-сервер на каждый VLAN

В каждом VLAN своя подсеть, поэтому и DHCP-сервер нужен свой: сервер привязывается к интерфейсу, а у каждого VLAN он свой. Создаём два пула, два сервера и описание сетей. Мастер DHCP Setup в WinBox назовёт серверы dhcp1 и dhcp2, а пулы dhcp_pool0 и dhcp_pool1; в командах ниже мы даём свои имена, суть та же (подробно про каждый параметр в статье «DHCP-сервер на MikroTik»):

/ip pool add name=pool10 ranges=192.168.10.10-192.168.10.200
/ip pool add name=pool20 ranges=192.168.20.10-192.168.20.200
/ip dhcp-server add name=dhcp10 interface=vlan10 address-pool=pool10 disabled=no
/ip dhcp-server add name=dhcp20 interface=vlan20 address-pool=pool20 disabled=no
/ip dhcp-server network add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1
/ip dhcp-server network add address=192.168.20.0/24 gateway=192.168.20.1 dns-server=192.168.20.1

Как это выглядит в WinBox 3 (Windows)

DNS в примере указан адрес роутера, поэтому на нём должен быть включён /ip dns set allow-remote-requests=yes. Если вы раздаёте клиентам внешний DNS, этот параметр можно не трогать.

Шаг 5. Включите vlan-filtering из Safe Mode

В WinBox: нажмите Safe Mode, откройте Bridge → bridge1 → вкладка VLAN, отметьте VLAN Filtering и нажмите OK. Убедитесь, что связь с устройством жива, и выключите Safe Mode повторным нажатием кнопки: изменение останется.

Как это выглядит в WinBox 3 (Windows)

В терминале Safe Mode включается и выключается сочетанием Ctrl+X:

# Ctrl+X: включить Safe Mode
/interface bridge set bridge1 vlan-filtering=yes
# связь жива? Ctrl+X ещё раз: сохранить

Эту команду выполните на обоих устройствах, S и R. На R нужно держать запасной вход: если вы подключены по WinBox через клиента в VLAN 10, дополнительно откройте консоль устройства или подключение по MAC-адресу. Если сбой всё же случился и вы вышли из Safe Mode по Ctrl+D, вы потеряете все несохранённые изменения этой сессии, поэтому после успеха выходите именно через Ctrl+X.

Главная ловушка: доступ к самому коммутатору

Если вы управляете коммутатором S по сети (WinBox по IP или MAC через порт VLAN), то после включения vlan-filtering связь с ним оборвётся, пока у самого bridge нет доступа в «свой» VLAN. Bridge должен быть участником VLAN управления, иначе кадры до процессора коммутатора не доходят. На нашем стенде первая попытка включить фильтрацию на S через MAC-подключение именно так и закончилась: соединение пропало, а Safe Mode откатил изменение. Решение, вариант 1: сделать bridge tagged-участником VLAN 10, создать на нём VLAN-интерфейс и получить адрес по DHCP:

/interface bridge vlan set [find vlan-ids=10] tagged=ether1,bridge1
/interface vlan add name=vlan10 interface=bridge1 vlan-id=10
/ip dhcp-client add interface=vlan10 disabled=no

Вариант 2: поместить сам bridge в VLAN 10 без тега: задайте pvid=10 у bridge1 и добавьте bridge1 в Untagged записи VLAN 10 (untagged=ether2,bridge1), а адрес назначьте на bridge1. Оба варианта проверены на стенде. После этого повторите включение vlan-filtering из Safe Mode. Если вы работаете только через консоль устройства, шаг можно пропустить.

Шаг 6. Проверьте, что всё работает

Сначала клиенты. Адрес выдаётся с конца пула, поэтому первый клиент получает что-то вроде 192.168.10.254: это нормально. Клиент на ether2 должен получить адрес из 192.168.10.0/24 и шлюз 192.168.10.1, клиент на ether3 из 192.168.20.0/24. Затем проверьте связь: ping шлюза своей сети и ping шлюза соседнего VLAN. Второй пинг идёт через роутер, и по TTL это видно: у ответа от устройства из другой подсети TTL на единицу меньше (63 вместо 64).

Как это выглядит в WinBox 3 (Windows)

На роутере и коммутаторе проверьте таблицу VLAN. После включения фильтрации в ней видны текущие tagged- и untagged-порты (колонки current-tagged и current-untagged):

/interface bridge vlan print

Чтобы увидеть, какие устройства «живут» в каком VLAN и на каком порту, посмотрите таблицу MAC-адресов bridge. В колонке VID указан VLAN, а ON-INTERFACE показывает порт:

/interface bridge host print

Если хочется увидеть сами теги, запустите sniffer на транке. Колонка VLAN показывает номер VLAN каждого кадра. Пока клиент из VLAN 10 пингует шлюз своей сети или адрес 192.168.20.1, все кадры на транке идут с тегом 10; когда роутер пересылает пакет в хост VLAN 20, он выходит из роутера уже с тегом 20:

/tool sniffer quick interface=ether1 ip-protocol=icmp duration=4

Как это выглядит в WinBox 3 (Windows)

Параметр duration нужен, чтобы команда не работала бесконечно, а завершилась сама. В WinBox это Tools → Packet Sniffer. Команда работает на обеих версиях, колонка VLAN есть и в 7.22, и в 6.49.

Изолируйте VLAN друг от друга (по желанию)

По умолчанию роутер свободно маршрутизирует между VLAN, и это делает схему удобной. Но часто нужно наоборот, запретить сетям ходить друг к другу. Достаточно правила в цепочке forward:

/ip firewall filter add chain=forward src-address=192.168.10.0/24 dst-address=192.168.20.0/24 action=drop comment="isolate 10 to 20"

После добавления ping из VLAN 10 в VLAN 20 перестаёт проходить, а счётчик правила в /ip firewall filter print stats растёт. Доступ к самому роутеру правило не блокирует: оно действует только на транзитный трафик, а запросы к шлюзу идут в цепочку input.

Как это выглядит в WinBox 3 (Windows)

Чем отличаются RouterOS 7.22 и 6.49

Синтаксис /interface bridge vlan и параметры портов одинаковы на обеих версиях: pvid, frame-types, ingress-filtering, tagged, untagged, vlan-ids. Отличаются умолчания и некоторые мелочи:

Коротко про оборудование. Аппаратное ускорение (HW offload) VLAN-фильтрации работает на устройствах с чипом коммутатора (CRS3xx, hAP, hEX и другие); признак в /interface bridge port print: флаг H. Если у устройства несколько чипов, каждый чип коммутирует VLAN-трафик только между своими портами. На старых CRS1xx/2xx под RouterOS 6 аппаратные VLAN исторически настраивали в меню /interface ethernet switch, здесь мы это не разбираем. Проверка в статье шла на виртуальных CHR, поэтому поведение железного ускорения мы не проверяли, а опираемся на документацию MikroTik.

Не работает: разбор проблем

Как это выглядит в WinBox 3 (Windows)

Частые вопросы

Нужен ли CRS и аппаратное ускорение для VLAN? Нет. Схема из статьи работает на любом устройстве с RouterOS, включая виртуальные CHR. Но на устройствах с чипом коммутатора фильтрация VLAN выполняется в железе: трафик между портами идёт на скорости линка и не нагружает процессор. Если ускорение недоступно, VLAN-фильтрация работает программно, и скорость определяется процессором.

Можно ли использовать VLAN ID 1? Технически да, но VLAN 1 по умолчанию получает весь нетегированный трафик, поэтому его удобнее не использовать для рабочих сетей. Начинайте нумерацию с 10, 20, 30: это понятно и легко запомнить.

Почему нельзя просто повесить VLAN-интерфейсы на порт и объединить их в bridge, как делали раньше? Так делали раньше, но документация MikroTik прямо называет такую схему источником проблем с производительностью и связностью и советует вместо неё bridge VLAN filtering. Мост без vlan-filtering=yes и без таблицы VLAN теги не обрабатывает: в нашей проверке клиент на access-порту с pvid=10 оставался без адреса, пока фильтрация не была включена.

Зачем отдельный DHCP-сервер на каждый VLAN? Каждый VLAN это отдельная подсеть и отдельный широковещательный домен: запрос DHCP из VLAN 10 не попадает в VLAN 20. Серверу нужен интерфейс, на котором есть адрес именно этой подсети, то есть vlan10 и vlan20.

Сколько VLAN можно создать? Номер VLAN занимает 12 бит, то есть допустимы значения 1–4094. На практике лимитом бывают таблицы и память конкретного устройства, а в небольшой сети хватает пяти-десяти.

Как выпустить VLAN в интернет? VLAN-интерфейсы на роутере ничем не отличаются от обычных: добавьте masquerade для их подсетей, см. «Маскировка сети: NAT masquerade».