Cloud Hosted Router (CHR) — это версия RouterOS, предназначенная для работы в качестве виртуальной машины. Она поддерживает x86 64-битную архитектуру и может использоваться на большинстве популярных гипервизоров, таких как VMWare, Hyper-V, VirtualBox, KVM и других. В CHR по умолчанию включены все функции RouterOS, но модель лицензирования отличается от других версий RouterOS. Читать
Инструкция по настройке 2-ух провайдеров на роутере MikroTik. В описании буду рассмотрены два распространённых типа работы двух провайдеров: резервирование и балансировка.
Резервирование(автопереключение) — при обрыве провайдера-1, весь интернет трафик переключается на провайдера-2; Читать
WireGuard is a free, open source, secure and high-speed modern VPN solution. WireGuard is extremely easy to implement but utilizes state-of-the-art cryptography. WireGuard can be used as either Client-Server VPN technology or Site to Site VPN technology.
From the RouterOS 7, MikroTik introduces WireGuard VPN as their native package. So, who are using RouterOS 7 can use WireGuard VPN and can implement both client-server and site to site VPN with WireGuard free VPN server.
In my previous article, I discussed how to configure client-server free VPN server with WireGuard and how to connect windows client with WireGuard VPN. In this article, I am going to show how to setup a site-to-site WireGuard VPN between two MikroTik RouterOS 7.
In this article, we are going to implement a site-to-site VPN like the following image where two offices are connected over WireGuard site to site VPN service.
Note: in the above diagram, we are using private IP addresses in public interface for demo purpose. In live network, you should replace these IP Addresses with your public IP Addresses.
According to the above network diagram, we will now configure site to site WireGuard VPN in MikroTik RouterOS. But before going to start WireGuard VPN, you should have RouterOS 7 basic configuration which includes WAN, LAN, DNS, Gateway and Masquerade setup.
If you are new in MikroTik RouterOS, feel free to study another article about how to configure MikroTik RouterOS 7 first time and complete WAN, LAN, DNS and other Setup and then follow our WireGuard configuration steps.
If you have existing network and RouterOS 7 is running there, don’t forget to replace my demo IP information according to your existing one. You just follow my steps keeping your existing IP information.
We will now do configurations those are required for WireGuard configuration. For WireGuard configuration we need to do enabling WireGuard, Creating Peers, assigning IP address in WireGuard virtual interface and doing routing over virtual interface to communicate among LAN devices.
WireGuard package is installed by default in MikroTik RouterOS 7. So, you will get a WireGuard menu item in Winbox by default. To enable WireGuard in R1 Router, do the following steps.
Similarly, enable WireGuard in R2 Router of Office 2 Router and create a new WireGuard interface. Your configurations will look like the following image.
After enabling WireGuard in RouterOS 7, a new virtual interface will be created in each Router. We will now assign IP address in each WireGuard interface so that both interfaces can communicate with each other after establishing WireGuard tunnel.
To assign IP address on WireGuard virtual interface in R1 Router, issue the following steps.
Similarly, add the second IP address on the WireGuard virtual interface of R2 Router at office 2. According to the above diagram, the second router’s IP will be 10.10.10.2/30.
After assigning IP addresses on WireGuard virtual interface, we will now configure peers in both Routers. To create peers in R1 Router of office1, issue the following steps.
Similarly, create peer in R2 Router and information accordingly. Be careful to put Public Key, Endpoint and Endpoint Port of R1 Router. Also be careful to put IP block of R2 Router’s LAN block. The configuration should be like the following image.
At the last step of site-to-site WireGuard VPN configuration, we will configure static routing between R1 and R2 Router so that R1 Router’s LAN can access R2 Router’s LAN and vice versa.
To configure static routing in R1 Router, do the following steps.
Similarly, configure static routing in R2 Router and put the LAN IP block (in this article: 192.168.25.0/24) of R1 Router and WireGuard interface IP address (10.10.10.1) of R1 Router.
How to configure site to site WireGuard VPN between two RouterOS has been discussed in this article. I hope, you will now be able to configure site to site WireGuard VPN in MikroTik RouterOS. However, if you face any issue to configure site to site WireGuard VPN in MikroTik RouterOS, feel free to discuss in comment or contact me from Contact page. I will try my best to stay with you.
Логи от разных устройств в локальной сети собираются в одном месте, на сервере логов, чтоб их было удобно анализировать. Одно из таких устройств – роутер микротик. Выполним настройку отправки логов на сервер и проверим результат.
Настройка выполняется на роутере RB750Gr3 c прошивкой v6.49 через WinBox.
Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.
Настройка отправки логов.
IP-адрес сервера логов.
Подключаемся к роутеру, в боковом меню переходим в System >> Logging >> Actions.
Выбираем строчку: remote
Remote Address: 192.168.5.15 — адрес сервера логов в локальной сети.
Удаленный порт 514 не изменяем, потому что, как правило, syslog протокол передается по этому порту в большинстве серверов логов.
ОК для сохранения настройки.
Через командную строку терминала:
|
1
| /system logging action set 3 remote=192.168.5.15 |
Правило отправки логов.
Переходим на вкладку правил System >> Logging >> Rules
Создаем новое правило нажав +
Topics: !debug – все темы кроме debug (! – означает отрицание).
Action: remote — настроенное ранее действие отправки логов на удаленный сервер.
OK.
Через командную строку терминала:
|
1
| /system logging add action=remote topics=!debug |
debug не выбран потому что он создает много мешающих логов калькуляций. Можно исключить другие не используемые логи. Можно выбрать конкретные логи, которые хотим просматривать.
Если выбрать в одном правиле три темы, то лог будет отправлен только при выполнении всех трех событий одновременно.
Чтоб отправлялись логи с содержанием хотя бы одной темы, для каждой темы нужно создавать отдельное правило.
Чтоб не летело множество debug логов из какой-нибудь конкретной темы, например PPP хотим мониторить, нужно исключить debug из этой темы.
Проверка приема логов.
Для проверки необходим сервер логов, подключенный в локальную сеть. Одно из быстрых и бесплатных решений для Windows – Syslog Watcher.
Недостаток бесплатной версии Syslog Watcher – можно добавить только 3 источника логов.
Скачиваем, устанавливаем.
Запускаем программу от имени администратора.
Далее переходим в настройки.
Создаем сетевой интерфейс UDP.
Это все, что нужно для работы. Дополнительно можно указать другое место хранения логов. Подробная инструкция есть на сайте этого ПО.
Нажимаем кнопку «Start Server».
Выполняем любые действия в роутере, создающие логи или ждем пару минут, если роутер работает в локальной сети.
Далее смотрим, что прилетело в сервер логов.
Нажимаем кнопку «View» и выбираем время.
В списке источников на вкладке «Originators» микротик уже появился автоматически. Можно добавлять источники в ручную.
Видим логи из роутера.
В разных ЛВС используются разные серверы логов и данный вариант был представлен только для демонстрации отправки логов с роутера MikroTik.
Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.
Это дополнение к предыдущей публикации о VLAN. Здесь рассмотрено подключение оборудования в порты доступа непосредственно в микротике и соединение через транк-порт с другим роутером.
Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.
Согласно поставленной задаче необходимо создать 3 VLAN:
1-Видеонаблюдение +сеть управления – VLAN-10;
2-Рабочая сеть – VLAN-11;
3-Гостевая сеть – VLAN-12;
Настроить не тегированные (Untagged) VLAN порты в GW1 для подключения оконечного оборудования: компьютера, ноутбука и IP-камеры (access-порты).
Организовать тегированный (Tagged) транк-порт VLAN для связи с роутером GW2 и настроить этот роутер для подключения оконечного оборудования.
Настройка протестирована на RB3011 и RB750Gr3 с RouterOS v6.49.
Настройка роутера GW1.
Сброс конфигурации.
Настройки MikroTik выполняются через WinBox.
Подключаемся к роутеру через первый порт, сбрасываем конфигурацию на пустую (blank).
Через командную строку терминала:
|
1
| /system reset—configuration no—defaults=yes skip—backup=yes |
Подключаемся к роутеру по MAC-адресу.
Логин (первоначальный): admin
Пароля нет.
После подключения меняем логин и пароль.
System >> Users
Идентификатор роутера.
Обозначим название для роутера GW1, чтоб отличать от второго роутера, который назовем GW2.
Через командную строку терминала:
|
1
| /system identity set name=GW1 |
Настройки VLAN в роутере GW1.
Мост для VLAN.
Создаем мост.
Name: bridge-VLAN – любое понятное имя латиницей.
Переходим на вкладку VLAN.
Активируем VLAN Filtering.
После активации этой настройки мост сможет обрабатывать кадры VLAN.
Через командную строку терминала:
|
1
| /interface bridge add name=bridge—VLAN vlan—filtering=yes ingress—filtering=no |
Интерфейсы.
Добавляем в созданный bridge-VLAN все порты кроме ether1.
Нажимаем + и добавляем ether2. 
Аналогично добавляем остальные.
Редактирование PVID порта.
Выбираем порт и на вкладке VLAN изменяем PVID в соответствии со схемой.
Для ether2 изменяем только тип пропускаемых кадров, так как это trunk-порт.
Frames Type: admit only VLAN tagged – пропускать только тэгированный трафик.
В порт 3 будет направлен VLAN-10.
Так как данный порт предназначен для подключения только оконечного оборудования, можно применить настройку:
Frames Type: admit only untagged and priority tagged – пропускать только не тэгированный трафик. 
Аналогично ether3 редактируем порты ether4 и ether5 с учетом PVID 11 и 12 соответственно.
Через командную строку терминала:
|
1 2 3 4 5
| /interface bridge port add bridge=bridge—VLAN interface=ether2 frame—types=admit—only—vlan—tagged add bridge=bridge—VLAN interface=ether3 pvid=10 frame—types=admit—only—untagged—and—priority—tagged add bridge=bridge—VLAN interface=ether4 pvid=11 frame—types=admit—only—untagged—and—priority—tagged add bridge=bridge—VLAN interface=ether5 pvid=12 frame—types=admit—only—untagged—and—priority—tagged |
Bridge-VLAN.
На вкладке VLANs добавляем все VLAN IDs для bridge-VLAN. Указываем тегированный интерфейс, по которому будет выполняться связь со вторым роутером (trunk-порт).
Bridge: bridge-VLAN – созданный ранее мост.
VLAN IDs: 10 идентификатор для VLAN-10.
Tagged: ether2, bridge-VLAN – тегированные порты.
Untagged: ether3 – не тегированный порт по плану.
ОК для сохранения.
Добавляем VLAN ID 11.
Bridge: bridge-VLAN – созданный мост.
VLAN IDs: 11 идентификатор для VLAN-11.
Tagged: ether2, bridge-VLAN – тегированные порты.
Untagged: ether4 – не тегированный порт.
ОК для сохранения.
Добавляем VLAN ID 12.
Через командную строку терминала:
|
1 2 3 4
| /interface bridge vlan add bridge=bridge—VLAN tagged=ether2,bridge—VLAN untagged=ether3 vlan—ids=10 add bridge=bridge—VLAN tagged=ether2,bridge—VLAN untagged=ether4 vlan—ids=11 add bridge=bridge—VLAN tagged=ether2,bridge—VLAN untagged=ether5 vlan—ids=12 |
VLAN интерфейсы.
Создаем интерфейсы VLAN-10, VLAN-11, VLAN-12.
Интерфейсы нужны, чтоб назначить на них IP-адреса и затем DHCP сервера.
Interfaces >> + >> VLAN
Name: VLAN-10 – любое понятное название латиницей.
VLAN ID: 10 – идентификатор VLAN.
Interface: bridge-VLAN – интерфейс для VLAN-10.
Создаем таким же способом еще 2 интерфейса для VLAN-11 и VLAN-12.
Через командную строку терминала:
|
1 2 3 4
| /interface vlan add name=VLAN—10 vlan—id=10 interface=bridge—VLAN add name=VLAN—11 vlan—id=11 interface=bridge—VLAN add name=VLAN—12 vlan—id=12 interface=bridge—VLAN |
IP-адреса для VLAN.
Назначаем IP-адрес для VLAN интерфейсов.
IP >> Addresses >> +
Таким же способом назначаем IP-адреса другим интерфейсам.
Через командную строку терминала:
|
1 2 3 4
| /ip address add address=172.16.10.1/28 interface=VLAN—10 network=172.16.10.0 add address=172.16.11.1/28 interface=VLAN—11 network=172.16.11.0 add address=172.16.12.1/28 interface=VLAN—12 network=172.16.12.0 |
DHCP-сервер для VLAN.
Назначим раздачу IP-адресов VLAN с помощью DHCP-сервера.
Пул IP-адресов для DHCP-сервера.
Создаем новый пул нажав +.
Name: VLAN-10-POOL – любое понятное имя.
Addresses: 172.16.10.2-172.16.10.14 – диапазон IP-адресов для раздачи.
ОК
Создаем аналогично три пула адресов для всех VLAN.
Через командную строку терминала:
|
1 2 3
| /ip pool add name=VLAN—10—POOL ranges=172.16.10.2—172.16.10.14 /ip pool add name=VLAN—11—POOL ranges=172.16.11.2—172.16.11.14 /ip pool add name=VLAN—12—POOL ranges=172.16.12.2—172.16.12.14 |
Настройка сети для DHCP-сервера.
Создаем сеть для VLAN-10.
Adress: 172.16.10.0/28 – адрес сети
Gateway: 172.16.10.1 – шлюз.
DNS Server: 172.16.10.1 – DNS сервер который будет раздаваться в сеть.
Аналогично создаем три сети для всех VLAN.
Через командную строку терминала:
|
1 2 3
| /ip dhcp—server network add address=172.16.10.0/28 dns—server=172.16.10.1 gateway=172.16.10.1 /ip dhcp—server network add address=172.16.11.0/28 dns—server=172.16.11.1 gateway=172.16.11.1 /ip dhcp—server network add address=172.16.12.0/28 dns—server=172.16.12.1 gateway=172.16.12.1 |
Создание DHCP-сервера.
Name: DHCP-VLAN-10 – любое понятное имя.
Interface: VLAN-10 – интерфейс на котором будет работать DHCP.
Adress Pool: VLAN-10-POOL – созданный ранее пул адресов.
Создаем три DHCP-сервера для всех VLAN.
Через командную строку терминала:
|
1 2 3
| /ip dhcp—server add address—pool=VLAN—10—POOL interface=VLAN—10 name=DHCP—VLAN—10 disabled=no /ip dhcp—server add address—pool=VLAN—11—POOL interface=VLAN—11 name=DHCP—VLAN—11 disabled=no /ip dhcp—server add address—pool=VLAN—12—POOL interface=VLAN—12 name=DHCP—VLAN—12 disabled=no |
Настройка роутера GW1 завершена. Выполняем промежуточную проверку. Подключаем в порты роутера ether3, ether4, ether5 видеокамеру, компьютер и гостевой ноутбук.
Все устройства получили IP-адреса из разных VLAN в соответствии с планом.
Далее следует выполнить еще некоторые настройки локальной сети, Интернета и безопасности.
Можно воспользоваться базовой настройкой на этой странице.
Настройка роутера GW2.
По смыслу роутер будет выполнять работу коммутатора. Он будет принимать все три VLAN на первый порт ether1 и раздавать нужный трафик с тэгами 10, 11 и 12 в порты ether2, ether3 и ether4 соответственно.
Подключаемся к GW2 с использованием WinBox по MAC-адресу через пятый порт, сбрасываем конфигурацию на пустую (blank).
Через командную строку терминала:
|
1
| /system reset—configuration no—defaults=yes skip—backup=yes |
После подключения меняем логин и пароль.
System >> Users
Идентификатор роутера.
Обозначим название для роутера GW2.
Через командную строку терминала:
|
1
| /system identity set name=GW2 |
Настройки VLAN.
Мост для VLAN.
Создаем мост.
Name: bridge-VLAN-GW2 – любое понятное имя латиницей.
Переходим на вкладку VLAN.
Активируем VLAN Filtering.
Через командную строку терминала:
|
1
| /interface bridge add name=bridge—VLAN—GW2 vlan—filtering=yes ingress—filtering=no |
Интерфейсы.
Добавляем в созданный bridge-VLAN-GW2 все порты кроме ether5.
ether5 не задействованный порт.
Редактирование PVID порта.
Выбираем порт и на вкладке VLAN изменяем PVID в соответствии со схемой.
Для ether1 изменяем только тип пропускаемых кадров, так как это trunk-порт.
Frames Type: admit only VLAN tagged – пропускать только тэгированный трафик.
В порт 2 будет направлен VLAN-10.
PVID:10
Frames Type: admit only untagged and priority tagged – пропускать только не тэгированный трафик.
Аналогично ether2 редактируем порты ether3 (PVID11) и ether4 (PVID12).
Через командную строку терминала:
|
1 2 3 4 5
| /interface bridge port add bridge=bridge—VLAN—GW2 interface=ether1 frame—types=admit—only—vlan—tagged add bridge=bridge—VLAN—GW2 interface=ether2 pvid=10 frame—types=admit—only—untagged—and—priority—tagged add bridge=bridge—VLAN—GW2 interface=ether3 pvid=11 frame—types=admit—only—untagged—and—priority—tagged add bridge=bridge—VLAN—GW2 interface=ether4 pvid=12 frame—types=admit—only—untagged—and—priority—tagged |
VLANs для Bridge-VLAN-GW2 (таблица виланов моста).
На вкладке VLANs добавляем все VLAN IDs для bridge-VLAN. Указываем тегированные и не тегированные интерфейсы.
Bridge: bridge-VLAN-GW2 – созданный ранее мост.
VLAN IDs: 10 идентификатор для VLAN-10.
Tagged: ether1, bridge-VLAN – тегированные порты.
Untagged: ether2 – не тегированный порт по плану.
ОК для сохранения.
Добавляем VLAN ID 11.
Bridge: bridge-VLAN-GW2 – созданный мост.
VLAN IDs: 11 идентификатор для VLAN-11.
Tagged: bridge-VLAN-GW2, ether1 – тегированные порты.
Untagged: ether3 – не тегированный порт.
ОК для сохранения.
Добавляем VLAN ID 12.
Bridge: bridge-VLAN-GW2 – созданный мост.
VLAN IDs: 12 идентификатор для VLAN-12.
Tagged: bridge-VLAN-GW2, ether1 – тегированные порты.
Untagged: ether4 – не тегированный порт.
ОК для сохранения.
Через командную строку терминала:
|
1 2 3 4
| /interface bridge vlan add bridge=bridge—VLAN—GW2 tagged=ether1,bridge—VLAN—GW2 untagged=ether2 vlan—ids=10 add bridge=bridge—VLAN—GW2 tagged=bridge—VLAN—GW2,ether1 untagged=ether3 vlan—ids=11 add bridge=bridge—VLAN—GW2 tagged=bridge—VLAN—GW2,ether1 untagged=ether4 vlan—ids=12 |
После этих действий хостам в портах GW2 ether2, ether3, ether4 начнут раздаваться IP-адреса из VLAN.
IP-адрес для GW2.
Для того, чтоб GW2 получил IP-адрес из VLAN-10 который, в том числе, является сетью управления, настроим DHCP-клиент.
Назначить IP-адрес из 10 вилана напрямую на мост не получится. Создадим дополнительный виртуальный интерфейс для этого.
Name: VLAN-10-GW2 – любое понятное название латиницей.
VLAN ID: 10 – идентификатор VLAN.
Interface: bridge-VLAN-GW2 – интерфейс для VLAN-10.
OK.
Через командную строку терминала:
|
1
| /interface vlan add interface=bridge—VLAN—GW2 name=VLAN—10—GW2 vlan—id=10 |
DHCP-client.
Создаем новый DHCP-client на VLAN интерфейсе.
После подтверждения настройки роутеру сразу присваивается IP-адрес из VLAN-10.
Через командную строку терминала:
|
1
| /ip dhcp—client add interface=VLAN—10—GW2 |
В списке адресов роутера GW1 видно, что раздались следующие адреса:
1-172.16.10.2 – роутер GW2 – VLAN-10
2-172.16.10.3 – видеокамера – VLAN-10.
3-172.16.11.3 – компьютер – VLAN-11.
4-172.16.12.14 – ноутбук для гостя – VLAN-12.
Настройка VLAN завершена.
Так как использование коммутаторов/роутеров CRS326-24G-2S+ в сети с VLAN является популярным решением на сегодняшний день, в описание добавлена настройка этого коммутатора.
Конфигурация роутера GW1 такая же, как в описании выше. На Trunk-порт подключен SW2, вместо GW2.
Подключение.
Патч-корд от компьютера, с которого выполняется настройка, подключен в последний порт SW2.
Настройки выполняются через WinBox и Web-браузер.
При первоначальном включении в устройстве запускается RouterOS.
Подключаемся к SW2 и перезагружаем его в режим SwOS.
SwOS (Switch OS) — это операционная система, разработанная специально для администрирования коммутаторов MikroTik. 
Первоначальный IP-адрес у всех коммутаторов MikroTik с SwOS – 192.168.88.1
Для дальнейшей работы меняем IP-адрес в сетевой карте компьютера, с которого выполняется настройка.
Нужно настроить любой адрес из сети 192.168.88.024 (кроме первого и последнего). 
Входим в настройку SW2 через любой браузер, введя в адресной строке 192.168.88.1.
Если подключение выполняется через WinBox, то все равно произойдет перенаправление в браузер.
Учетная запись – admin.
Пароля нет.
Настройка VLAN.
Настройка выполняется на двух вкладках меню – VLAN и VLANs.
Настройка Trunk-порта.
По плану транк – это первый порт, по которому будут передаваться 3 разных VLAN.
VLAN Mode: enabled – активация режима VLAN порта.
VLAN Receive: only tagged – только тегированный трафик разрешается через этот порт.
Default VLAN ID:1 – дефолтный ID. Этот параметр влияет только на нетэгированный трафик. Поэтому для транка его можно не изменять.
Force VLAN ID – не изменяется.
Настройка Access-портов.
Порт 2 – VLAN10
Порт 3 – VLAN11
Порт 4 – VLAN12
VLAN Mode: enabled – активация режима VLAN порта.
VLAN Receive: only untagged – нетегированный трафик будет проходить через все эти порты т.к. в них будет подключатся оконечное оборудование.
Default VLAN ID: 10, 11, 12 – дефолтные ID у каждого порта соответственно.
Для сохранения настроек нужно нажать кнопку Apply All в нижней правой части окна браузера. 
Порты участники VLAN.
Переходим на вкладку VLANs для настройки участвующих в VLAN портов. 
Создаем дополнительные строки перечня, нажав кнопку «Append». В каждой новой строке указываем настройки для соответствующего VLAN (10, 11, 12).
В данном случае интересуют настройки VLAN ID и Members.
VLAN ID – идентификаторы VLAN для отмеченных портов.
Members – участники VLAN для заданных ID.
Первый порт отмечен для всех ID так как это транк.
Сохраняем настройку, нажав кнопку «Apply All».
Системные настройки.
Назначаем получение IP-адреса по DHCP на вкладке System.
Дополнительно можно изменить идентификатор коммутатора, порт DHCP и VLAN, с которых разрешено подключение. 
Address Acquisition: DHCP only. Если этот параметр оставить без изменений (DHCP with fallback) то при любой потере связи с роутером, коммутатору будет присваиваться статический IP.
Identity: SW2 – любое понятное название латиницей.
Allow From Ports: отмечены 1 и 2 порты – это порты с которых можно подключатся в коммутатор для выполнения настроек.
Если отметить только первый порт, то подключится можно будет только через него, соответственно нужно подключиться в порт роутера GW1 c VLAN10 и далее соединение пойдет через транк-порт и в первый порт коммутатора.
Allow From VLAN: 10 – подключение только из VLAN-10.
Проверка.
Проверяем DHCP список в роутере GW1.
Коммутатору SW2 раздался IP-адрес из VLAN-10.
На других портах устройствам раздаются IP-адреса в соответствии с назначенными на порты VLAN.
Более детальная настройка VLAN в CRS326-24G-2S+ на официальном сайте.
Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.
Представлена настройка сегментации локальной сети в организации с использованием VLAN. Организатором VLAN выступает роутер MikroTik. В сети использованы коммутаторы ZyXEL и D-Link. Далее схема повторяется на большое число однотипных сегментов.
Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.
VLAN использован для следующих целей:
-разделить большую сеть на сегменты, отделить разные отделы, уменьшить широковещательный трафик;
-создать изоляцию между сетями;
-подключить коммутатор в который приходит 2 и более сетей одним проводом к роутеру (не тянуть лишние провода, не покупать доп. коммутаторы);
-объединить некоторые компьютеры расположенные в разных корпусах в общую логическую сеть;
Если все сети разделены проводами каждая к своему коммутатору, то можно обойтись простой сегментацией без VLAN как у нас было первоначально (ссылка).
Согласно поставленной задаче необходимо создать 3 VLAN:
1-Видеонаблюдение +сеть управления – VLAN-10;
2-Рабочая сеть – VLAN-11;
3-Гостевая сеть – VLAN-12;
Сети разделены на такие группы для упрощения описания. В реальной ситуации у нас в ЛВС 6 сетей с количеством хостов от 50 до 150 в каждой.
Настройка организована через VLAN Bridging. Мосты используются в том случае если одна и та же сеть нужна на разных портах, так же на мост ложится задача обрабатывать модифицированные кадры VLAN. Непосредственную обработку выполняет процессор.
Настройка подходит для всех типов роутеров с RouterOS v6.49. Первоначально настройка протестировалась на RB750Gr3 и RB3011. В рабочем варианте в локальной сети использован CRS326.
Существует так же возможность настройки VLAN через Switch-чип, но в данном описании она не рассматривается.
Для примера представлено описание настройки VLAN самых распространенных в нашей сети коммутаторов GS1900 и DGS-1100.
Кратко о VLAN.
VLAN – виртуальная локальная сеть, которая логически формируется на инфраструктуре физический локальной сети. Используется для сегментации сети и изоляции различных ее сегментов друг от друга.
VLAN работает на 2 уровне модели OSI (канальный). На этом уровне информация передается в виде кадров. В кадр добавляется дополнительное поле, в которое в том числе входит номером – VLAN ID.
В микротике есть два типа портов VLAN:
1-Тегированные (Tagged) – это порты для связи с другим сетевым оборудование, например с коммутаторами (trunk-порты, uplink или магистральные).
2-Не тегированные (Untagged) – это порты для подключения оконечного оборудования, например компьютеров (access-порты).
Все коммутаторы подключены к роутеру через trunk-порты. Коммутатор считывает номер тэга и отправляют его в нужный порт к оконечному оборудованию удаляя тэг на выходе. В обратную сторону (от оконечного оборудования к роутеру) передача идет так же, но в обратном порядке.
VLAN1 – трафик считается не тегированным.
Сброс конфигурации роутера.
Настройки MikroTik выполняются через WinBox.
Чтоб самого себя не отключить от роутера будем выполнять настройки через неиспользуемый порт, например ether5.
Подключаемся к роутеру, сбрасываем конфигурацию на пустую (blank).
Через командную строку терминала:
|
1
| /system reset—configuration no—defaults=yes skip—backup=yes |
*если роутер выполняет работу в ЛВС, сбрасывать конфигурацию не нужно
Подключаемся к роутеру по MAC-адресу.
Логин (первоначальный): admin
Пароля нет.
После подключения меняем логин и пароль. (см. базовые настройки).
Настройки VLAN в роутере.
Мост для VLAN.
Создаем мост.
Name: bridge-VLAN – любое понятное имя латиницей.
Переходим на вкладку VLAN.
Активируем VLAN Filtering.
После активации этой настройки мост сможет обрабатывать кадры VLAN.
Ether Type: 0x8100 – тэг по умолчанию считающийся VLAN (метка о том что кадр принадлежит VLAN 802.1Q).
PVID 1 – для всего моста.
Frame Types: admit all – уточнение какие типы кадров разрешены для прохождения. (все типы)
После того как все будет настроено и заработает эту настройку можно поменять на admit only VLAN tagged — пропускать только тэгированный трафик.
Через командную строку терминала:
|
1
| /interface bridge add name=bridge—VLAN vlan—filtering=yes ingress—filtering=no |
Интерфейсы.
Добавляем в созданный bridge-VLAN порты, которые планируются для VLAN. Согласно схемы это ether2 и ether3.
Нажимаем + и добавляем ether2.
Аналогично добавляем ether3.
Через командную строку терминала:
|
1 2 3
| /interface bridge port add bridge=bridge—VLAN interface=ether2 add bridge=bridge—VLAN interface=ether3 |
Bridge-VLAN.
На вкладке VLANs добавляем все VLAN IDs для bridge-VLAN. Указываем тегированные интерфейсы, по которым будет выполняться связь с коммутаторами (trunk-порты).
Bridge: bridge-VLAN – созданный ранее мост.
VLAN IDs: 10 идентификатор для VLAN-10.
Tagged: ether2, ether3, bridge-VLAN – тегированные порты.
ОК для сохранения.
Особенность настройки в том, что пока не добавить bridge-VLAN в bridge-VLAN ничего не начнет работать. Т.е. мы добавляем метку VLANа для самого моста.
Можно добавить все три метки в одной настройке, нажав стрелочку вниз (возле VLAN IDs), но лучше так не делать и создать отдельные VLANs для удобства управления.
Добавляем VLAN IDs 11 и 12 аналогично.
Через командную строку терминала:
|
1 2 3 4
| /interface bridge vlan add bridge=bridge—VLAN tagged=ether2,ether3,bridge—VLAN vlan—ids=10 add bridge=bridge—VLAN tagged=ether2,ether3,bridge—VLAN vlan—ids=11 add bridge=bridge—VLAN tagged=ether2,ether3,bridge—VLAN vlan—ids=12 |
VLAN интерфейсы.
Создаем интерфейсы VLAN-10, VLAN-11, VLAN-12.
Интерфейсы нужны, чтоб назначить на них IP-адреса и затем DHCP сервера.
Interfaces >> + >> VLAN
Name: VLAN-10 – любое понятное название латиницей.
VLAN ID: 10 – идентификатор VLAN.
Interface: bridge-VLAN – интерфейс для VLAN-10.
Создаем таким же способом еще 2 интерфейса для VLAN-11 и VLAN-12.
Через командную строку терминала:
|
1 2 3 4
| /interface vlan add name=VLAN—10 vlan—id=10 interface=bridge—VLAN add name=VLAN—11 vlan—id=11 interface=bridge—VLAN add name=VLAN—12 vlan—id=12 interface=bridge—VLAN |
IP-адреса для VLAN.
Назначаем IP-адрес для VLAN интерфейсов.
IP >> Addresses >> +
Таким же способом назначаем IP-адреса другим интерфейсам.
Через командную строку терминала:
|
1 2 3 4
| /ip address add address=172.16.10.1/28 interface=VLAN—10 network=172.16.10.0 add address=172.16.11.1/28 interface=VLAN—11 network=172.16.11.0 add address=172.16.12.1/28 interface=VLAN—12 network=172.16.12.0 |
DHCP-сервер для VLAN.
Назначим раздачу IP-адресов VLAN с помощью DHCP-сервера.
Можно воспользоваться мастером настройки нажав кнопку «DHCP Setup».
Или выполнить настройку вручную. Применим второй вариант.
Пул IP-адресов для DHCP-сервера.
Создаем новый пул нажав +.
Name: VLAN-10-POOL – любое понятное имя.
Addresses: 172.16.10.2-172.16.10.14 – диапазон IP-адресов для раздачи.
ОК
Создаем аналогично три пула адресов для всех VLAN.
Через командную строку терминала:
|
1 2 3
| /ip pool add name=VLAN—10—POOL ranges=172.16.10.2—172.16.10.14 /ip pool add name=VLAN—11—POOL ranges=172.16.11.2—172.16.11.14 /ip pool add name=VLAN—12—POOL ranges=172.16.12.2—172.16.12.14 |
Настройка сети для DHCP-сервера.
Создаем сеть для VLAN-10.
Adress: 172.16.10.0/28 – адрес сети
Gateway: 172.16.10.1 – шлюз.
DNS Server: 172.16.10.1 – DNS сервер который будет раздаваться в сеть.
Аналогично создаем три сети для всех VLAN.
Через командную строку терминала:
|
1 2 3
| /ip dhcp—server network add address=172.16.10.0/28 dns—server=172.16.10.1 gateway=172.16.10.1 /ip dhcp—server network add address=172.16.11.0/28 dns—server=172.16.11.1 gateway=172.16.11.1 /ip dhcp—server network add address=172.16.12.0/28 dns—server=172.16.12.1 gateway=172.16.12.1 |
Создание DHCP-сервера.
Name: DHCP-VLAN-10 – любое понятное имя.
Interface: VLAN-10 – интерфейс на котором будет работать DHCP.
Adress Pool: VLAN-10-POOL – созданный ранее пул адресов.
Так же в настройке можно изменить время привязки (Lease Time), но лучше это делать когда все пользователи получат запланированные адреса. В нашей рабочей сети время привязки от 8 до 12 часов по продолжительности рабочего дня. Для гостевой сети время привязки 1-2 часа.
Создаем три DHCP-сервера для всех VLAN.
Через командную строку терминала:
|
1 2 3
| /ip dhcp—server add address—pool=VLAN—10—POOL interface=VLAN—10 name=DHCP—VLAN—10 disabled=no /ip dhcp—server add address—pool=VLAN—11—POOL interface=VLAN—11 name=DHCP—VLAN—11 disabled=no /ip dhcp—server add address—pool=VLAN—12—POOL interface=VLAN—12 name=DHCP—VLAN—12 disabled=no |
Настройка VLAN завершена.
Далее следует выполнить еще некоторые настройки локальной сети, Интернета и безопасности.
Можно воспользоваться базовой настройкой на этой странице.
Настройки VLAN в коммутаторе ZyXEL GS1900.
В нашей ЛВС около 15 коммутаторов GS1900 -24 -48. Настраиваются они примерно одинаково. В меню есть некоторые различия зависящие от прошивки.
Подключаемся в коммутатор по IP-адресу напрямую от компьютера, с которого выполняются настройки. Оборудование должно быть в одной сети.
IP-адрес коммутатора (первоначальный): 192.168.1.1, по этому назначаем сетевому адаптеру ПК IP-адрес в том же диапазоне.
Если коммутатор потерялся в сети, то находим его с помощью утилиты ZON.
Если не получается найти коммутатор в сети после предыдущих настроек, то можно выполнить его сброс в заводские настройки. Для этого нужно нажать кнопку «Reset» на корпусе у включенного коммутатора и удерживать около 10-12 сек. После этого все диоды засветятся, помигают пару раз синхронно, коммутатор перезагрузится и настройки сбросятся.
Подключаемся с использованием любого браузера.
Логина: admin.
Пароль (первоначальный): 1234.
Меняем первоначальный пароль.
Устанавливаем сложный пароль не менее 8 знаков из букв разного регистра и цифр.
Для сохранения настроек нужно нажать «Save» в правом верхнем углу окна.
Если не сохранить, то после перезагрузки у настроек будет первоначальный вид.
Настройка VLAN.
Переходим в боковом меню Configuration >> VLAN >> VLAN >> VLAN.
Создаем три дополнительных VLAN ID с номерами 10, 11 и 12, нажимая кнопку «add».
Переходим на вкладку «Port», отмечаем галочкой первый порт и наживаем кнопку «Edit».
Для передачи трафика всех VLAN в роутер через этот порт, назначим его trunk-портом.
В этой настройке так же можно указать конкретно тип трафика – тэгированный или не тегированный. По умолчанию любой тип.
Далее, в соответствии с планом назначаем порты для VLAN 10, 11 и 12.
Порты 2, 3, 4 назначим VLAN-10. Для оконечного оборудования, которым будет 3 видеокамеры, нужно отметить порт как не тегированный (Untag Only). Коммутатор будет заворачивать весь трафик с меткой 10 в эти порты и обратно из портов в VLAN-10.
Выбираем порт, отмечаем настройки, нажимаем кнопку «Apply».
Порты 5-15 спланированы для рабочей сети. Можно их отредактировать все сразу.
Отмечаем нужные порты галочками. Нажимаем кнопку «Edit».
Настраиваем PVID 11, отмечаем Untag Only, нажимаем «Apply».
Порты 16-20 спланированы для гостевой сети
Выбираем порты. Указываем PVID 12, отмечаем Untag Only, нажимаем «Apply».
Переходим на вкладку VLAN Port и устанавливаем значение Tagged для всех VLAN ID (1, 10, 11, 12) на порту №1.
Для остальных портов выставляем значение Untagged и Forbidden в соответствии с планом.
Для VLAN-1:
Все порты запрещены (Forbidden).
Порт №1 тэгирован (Tagged).
VLAN-1 в нашей схеме вообще не участвует и можно его не трогать, но на всякий случай пусть 1 порт будет.
После каждой настройки нужно нажимать кнопку «Apply» внизу страницы.
Для VLAN-10:
Все порты запрещены (Forbidden).
Порт №1 тэгирован (Tagged).
Порты №2-4 нетэгированы (Untagged).
Подтверждаем на кнопку «Apply».
Для VLAN-11:
Все порты запрещены (Forbidden).
Порт №1 тэгирован (Tagged).
Порты №5-15 нетэгированы (Untagged).
Для VLAN-12:
Все порты запрещены (Forbidden).
Порт №1 тэгирован (Tagged).
Порты №16-20 нетэгированы (Untagged).
Получение IP-адреса коммутатора по DHCP.
Чтоб коммутатор не терялся в различных сетях, подсетях нужно назначить ему получение IP-адреса по DHCP.
Так как запланированная сеть для обслуживания (Management) совмещена с VLAN-10 (видеонаблюдение), выполним настройку так, чтоб коммутатору раздался IP-адрес из VLAN-10.
Mode: DHCP.
Management VLAN: 10 – эта настройка отвечает за сеть обслуживания.
После нажатия кнопки «Apply» в порт №1 коммутатора нужно подключить патч-корд от порта роутера с настроенным VLAN – ether2 или ether3.
Если все настроено правильно через некоторое время коммутатору раздастся IP-адрес из VLAN-10.
Новый IP-адрес можно посмотреть в настройка роутера IP >> DHCP-server >> Lease. Так же в этой таблице можно проверить раздаются ли IP-адреса в соответствии с настройкой.
Подключаем оборудование в разные порты коммутатора и проверяем, какие IP-адреса раздаются.
В разных портах коммутатора сетевые устройства получают IP-адреса разных VLAN, соответствующих настройке.
Коммутатору раздался IP-адрес 172.16.10.4
Это можно так же проверить в IP >> Neighbors (соседние устройства в сети)
Заходим в коммутатор по новому IP и сохраняем конфигурацию.
Информация о настройке VLAN коммутатора GS1900 взята с офф. сайта ZyXEL.
Такие коммутаторы используются для подключения видеокамер в нашей ЛВС, так как в них есть порты с питание по витой паре POE.
Выполняем настройку через последний порт коммутатора, чтоб самого себя не отключить.
В первый порт коммутатора подключаем входную сеть от любого порта VLAN роутера.
Подключаемся в коммутатор по IP-адресу напрямую от компьютера, с которого выполняются настройки. Оборудование должно быть в одной сети.
IP-адрес коммутатора (первоначальный): 10.90.90.90, по этому назначаем сетевому адаптеру ПК IP-адрес в том же диапазоне.
Если не получается найти коммутатор в сети после предыдущих настроек, то можно выполнить его сброс в заводские настройки. Для этого нужно нажать кнопку «Reset» на корпусе у включенного коммутатора и удерживать около 5 сек. Коммутатор перезагрузится и настройки сбросятся.
Для поиска в сети коммутаторов D-Link используется ПО SmartConsole Utility
Подключаемся с использованием любого браузера.
Логина нет.
Пароль (первоначальный): admin.
Меняем пароль на сложный, не менее 8 знаков из букв разного регистра и цифр.
Получение IP-адреса коммутатора по DHCP.
Переходим в меню System Settings, отмечаем DHCP, нажимаем Apply для подтверждения.
Сообщение предлагает использовать новый IP-адрес для доступа к устройству.
Пока DHCP сервер не подключен, страница браузера отобразит дисконнект, но через некоторое время (1мин.) можно будет зайти в настройку коммутатора по первоначальному IP-адресу.
Настройка VLAN.
Настройка портов будет такой:
Порт 1 – входящая сеть от роутера.
Порты 2-4 – VLAN-10 – Видеокамеры +сеть управления.
Порты 5-6 – VLAN-11 – Рабочая сеть.
Порты 7-8 – VLAN-12 – Гостевая сеть.
Переходим в меню VLAN.
Редактируем VLAN-1.
Порт1 – тэгированный.
Порт8 – не тегированный.
(временно, пока с него выполняется настройка и чтоб самого себя не отключить)
Остальные порты исключены.
Создаем 3 дополнительных VLAN 10, 11, 12 нажав кнопку «Add VID».
Первым добавляем VLAN-10.
Отмечаем порт 1 – тегированный.
Порты 2-4 – не тэгированные.
Порты 5-8 – не участвуют.
Таким же способом создаем остальные VLAN с учетом их портов.
Редактируем PVID.
Помним про порт 8 и пока с него выполняется настройка не включаем его в VLAN.
Переходим в меню Management VLAN и активируем его на десятом вилане.
После этих действий коммутатору раздастся IP-адрес из VLAN-10.
Тут возникла проблема – IP-адрес не раздавался весьма долго. Перезагружать коммутатор нельзя т.к. не была нажата кнопку сохранения конфигурации.
В итоге через ПО SmartConsole Utility был обновлен IP-адрес по DHCP и все дальше пошло по плану.
В компьютере с которого выполняется настройка выставляем получение IP-адреса по DHCP и подключаем его в порт VLAN-10 коммутатора.
Подключаемся в коммутатор по новому IP-адресу.
Исправляем порт 8.
Сохраняем конфигурацию.
Если этого не сделать, то после перезагрузки конфигурация сбросится на первоначальную.
Проверяем какие раздаются IP-адреса.
На разных портах в соответствии с настройкой, хостам раздаются IP-адреса из разных VLAN. Что и требовалось.
Коммутатору раздался адрес 172.16.10.13 из VLAN-10. И только из этой сети можно подключатся в коммутатор для выполнения настроек.
Изоляция между сетями VLAN.
Изолировать сети друг от друга можно двумя способами:
— с использованием правил в маршрутизации;
— с использованием правил фаервола.
Оба решения не очень удачные, но другие варианты пока не известны.
Изоляция через маршрутизацию.
IP >> Routes >>Rules >> + (создаем новое правило).
Src.Address: 172.16.10.0/28 – сеть источника.
Dst.Address: 172.16.11.0/28 – сеть назначения.
Action: unreachable – недоступность.
Создаем аналогичным способом правила для каждой сети. Меняем источник и назначение местами.
В итоге для 3х сетей получается шесть правил.
Через командную строку терминала:
|
1 2 3 4 5 6 7
| /ip route rule add action=unreachable dst—address=172.16.10.0/28 src—address=172.16.11.0/28 add action=unreachable dst—address=172.16.10.0/28 src—address=172.16.12.0/28 add action=unreachable dst—address=172.16.11.0/28 src—address=172.16.10.0/28 add action=unreachable dst—address=172.16.11.0/28 src—address=172.16.12.0/28 add action=unreachable dst—address=172.16.12.0/28 src—address=172.16.11.0/28 add action=unreachable dst—address=172.16.12.0/28 src—address=172.16.10.0/28 |
*в RouterOS v7 раздел /ip route rule перенесен в /routing/rule/
Проверяем пинг между сетями.
При выключенных правилах компьютеры пингуются. При включении правил пинг прекращается. Сети изолированы.
Неудачность метода в том, что если понадобится связать два каких-то конкретных хоста в разных сетях, то это сделать не получится. С увеличением количества сетей увеличивается количество правил.
Изоляция сетей с использованием фаервола.
IP >> Firewall >> Filter Rules >> + (создаем новое правило).
Chain: forward – проходной трафик
Src.Address: 172.16.10.0/28 – сеть источника.
Dst.Address: 172.16.11.0/28 – сеть назначения.
Переходим на вкладку Action.
Action: drop – действие запрета (отбросить).
Нажимаем ОК для сохранения.
Создаем аналогичным способом правила для каждой сети. Меняем источник и назначение местами.
В итоге для 3х сетей получается шесть правил. Располагаем правила вверху списка.
Через командную строку терминала:
|
1 2 3 4 5 6 7
| /ip firewall filter add action=drop chain=forward dst—address=172.16.10.0/28 src—address=172.16.11.0/28 add action=drop chain=forward dst—address=172.16.10.0/28 src—address=172.16.12.0/28 add action=drop chain=forward dst—address=172.16.11.0/28 src—address=172.16.10.0/28 add action=drop chain=forward dst—address=172.16.11.0/28 src—address=172.16.12.0/28 add action=drop chain=forward dst—address=172.16.12.0/28 src—address=172.16.10.0/28 add action=drop chain=forward dst—address=172.16.12.0/28 src—address=172.16.11.0/28 |
Проверяем ping между сетями.
При включении правил пинг не проходит. Сети изолированы.
Связь между хостами в разных VLAN.
Допустим, понадобилось организовать соединение между хостами с IP-адресами 172.16.11.14 и 172.16.10.3. Они находятся в разных VLAN.
IP >> Firewall >> Filter Rules >> + (создаем новое правило).
Chain: forward – проходной трафик
Src.Address: 172.16.10.3 – IP-адрес источника.
Dst.Address: 172.16.11.14 – IP-адрес назначения.
Action: accept (разрешение).
Создаем аналогично второе правило в котором меняем местами источник и назначение.
Размещаем правила вверху списка.
Через командную строку терминала:
|
1 2 3
| /ip firewall filter add action=accept chain=forward dst—address=172.16.11.14 src—address=172.16.10.3 add action=accept chain=forward dst—address=172.16.10.3 src—address=172.16.11.14 |
Проверяем связь. Пинг проходит для указанных хостов и не проходит для всего остального оборудования т.к. правила фаервола работают по принципу до первого совпадения.
Для соединения большого количества устройств в разных VLAN, чтоб не плодить много правил, добавляем IP-адреса хостов в списки и затем указываем в правилах эти списки.
Недостаток метода – затраты ресурсов процессора на обработку правил.
Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.