Как организовать две и более подсети в одной ЛВС на MikroTik?

Question

[VrDrakon]

Здравствуйте ребят. У Меня есть MikroTik на котором все порты кроме одного объединены в Bridge (Мост), к каждому порту маршрутизатора подключено 4 неуправляемых коммутатора, всего портов 10, 1-4 порты это один Bridge, 5-9 не используются (Хотя находятся в том же Bridge), на 10-ом находится WAN.
За каждым коммутатором солянка из IP-телефонов и ПК и они все в одной подсети (192.168.1.0/24). Естественно такой подход неверный и VoIP телефоны надо выводить в отдельную подсеть с более высоким приоритетом, то есть, хочу сделать сегментацию с подсетями, а так же, чтобы это подсети видели друг друга (То есть, их НЕ надо изолировать). Почитав форумы и даже обратившись к документации MikroTik`a, не смог грамотно разобраться, хотя есть догадки, что вопрос поставлен не правильно.
Результат которого добиваюсь:

• 192.168.1.0/24 - ПК.
  
• 192.168.2.0/24 - IP-телефоны.
  
• Сети не изолированы, то есть доступны в обе стороны.
  
• Не надо выделять отдельный порт для отдельного VLAN. То есть, вся сеть остаётся как есть, только поверх неё идёт VLAN.
  

Полагаю что полный конфиг MikroTik не требуется, так как конфигурации практически нет.

Comments

[Valentin Barbolin]

Вполне реально, даже на не управляемых коммутаторах, некоторые неуправляемые коммутаторы пропускают тегированный пакет, а не дропают его.

На микроте создаешь интерфейс VLAN и приклеиваешь его к бриджу, назначаешь ему адрес и настраиваешь DHCP сервер. Потом идешь на телефон и указываешь использовать этот VLAN.

Пожалуйста, не используй эти подсети
192.168.1.0/24 - ПК.
192.168.2.0/24 - IP-телефоны.

Возьми что-то из 10.0.0.0/8.

[VrDrakon]

Valentin Barbolin, Так сеть не настолько огромная... К слову, примерно то же самое и настроил, но проблема осталась в том, что это не сработало. Хотя может что-то упустил.

[Valentin Barbolin]

VrDrakon, Нет, я не предлгаю использовать /8 маску.

Я имею ввиду выбрать сети из диапазона 10.0.0.0/8.
Например
10.11.10.0/24 - ПК
10.11.20.0/24 - VoIP
10.99.0.0/24 - VPN

[Valentin Barbolin]

VrDrakon,

Хотя может что-то упустил.

Можно взять ноут, воткнуть его в неуправляемый свич, запустить на нем wireshark, потом запустить на микротике пинг любого адреса из новой сети телефонов, не важно что адрес не существует, нам главное что бы микротик генерировал ARP. И смотрим в wireshark летает ли в сети пакеты (arp пакеты) с тегом нужного нам VLAN или нет. Если не летают, то можно подключиться прямо в микрот и проделать тоже самое, если тоже не летают, то что-то на микротике настроено не правильно, если летают, то коммутатор не пропускает тег, тут только замена коммутатора. Если коммутатор пропускает, значит проблема в конфигурации телефона.

[VrDrakon]

Valentin Barbolin, Выглядит и звучит интересно... В ПН попробую)

[azqwerty]

VoIP телефоны надо выводить в отдельную подсеть с более высоким приоритетом

Приоритетом где? На роутере? Телефония видна из Интернет? Зачем заставлять бегать локальный трафик через роутер? Чтобы увеличить на него нагрузку, и если бы вдруг он с ней не справлялся, то понадобилась приоритезация voip над остальным?

[VrDrakon]

azqwerty, Чел, судя по вопросам, Тебе явно не знакомы слова "сегментация" и организация сети.
"Приоритетом где?" - хм... А где же можно кроме маршрутизатора приоритет настроить, при условии всё, что за пределами интерфейсов маршрутизатора является коммутатором неуправляемым.

"Телефония видна из Интернет?" - а какая разница видна или нет? Это к теме вопроса не относится.

"Зачем заставлять бегать локальный трафик через роутер?" - трафика немного, так что дополнительно ставить коммутатор и через него коммутировать пакеты будет перебором.

[azqwerty]

VrDrakon

А где же можно кроме маршрутизатора приоритет настроить

а какая разница видна или нет?

Вот именно, что если не видна, то зачем настраивать это всё на роутере, когда надо на комутаторах. Да, я понял, что управляемых нет. Тогда это натягивание совы на глобус, настройка ради настройки.

трафика немного

Так если не много, то и телефонии захлёбываться не из-за чего, и смысл тогда заставлять её бегать через роутер, а не напрямую?

[VrDrakon]

azqwerty,

Тогда это натягивание совы на глобус, настройка ради настройки.

Не, ну если варить кашу из всего что есть под ногами, то вопросов нет, однако повар из меня ужасный и могу лишь по полочкам укладывать ради перфекционизма.

Так если не много, то и телефонии захлёбываться не из-за чего, и смысл тогда заставлять её бегать через роутер, а не напрямую?

Телефоны и так бегают напрямую и им как бы ок, однако замечу что не указал в вопросе причину всей...

настройка ради настройки.

Так вот, желание навести порядок и внутренний перфекционист спать не может спокойно, пока всё не будет "по полочкам".

[VrDrakon]

Valentin Barbolin, Решил сегодня заняться на досуге и... Всё как бы ок, всё работает и видеться, но у Меня ноутбук на Realtek и WireShark не показывает VLAN, почитал в интернете и вроде как это прикол с дровами, однако не понял как это обойти. Может есть способ заставить Wireshark видеть заголовки VLAN?

[Valentin Barbolin]

VrDrakon, Написано, что realtek самый лояльный.
https://wiki.wireshark.org/CaptureSetup/VLAN

Most "simple" network adapters (e.g. widely used Realtek RTL 8139) and their drivers will simply pass VLAN tags to the upper layer to handle these. In that case, Wireshark will see VLAN tags and can handle and show them

В конце концов можно запустить linux как вторую ОС или использовать VirtualBox+Linux+USB Ethernet

[VrDrakon]

Valentin Barbolin,

Написано, что realtek самый лояльный.

Понял...

linux как вторую ОС

На ноутбуке есть Manjaro, так что без виртуалок. В ПН попробую)

Answer 1

[Константин Зайцев]

Вам нет смысла делить на подсети и потом давать подсетям доступ друг к другу. Возьмите одну большую подсеть, например 192.168.0.0/23. В нее полностью входят подсети 192.168.0.0/24, 192.168.1.0/24. Таким образом большая подсеть в одном широковещательном сегменте, а "внутренние" /24 подсети могут иметь разные правила на фаерволе и в очередях. Хотя перейти на управляемые свичи и vlan - более правильный.

Comments

[VrDrakon]

Этот вариант полагаю тоже верный, управляемые коммутаторы не проблема, но вопрос об организации VLAN всё ещё открыт, ведь за интерфейсами дальше коммутаторов, власть порядка заканчивается...

Answer 2

[Drno]

Если именно в vlan выносить то - или IP телефоны должны его уметь, или их все надо подключать в свитч умеющий VLAN
Подсети можно так делить, и настроить маршруты, можно на бОльшую как советуют, но это не важно в данном контексте

Основной вопрос - зачем? если всё работает и проблем нет - то зачем выносить ip телефонию в отдельную подсеть?
Приоритет и так по идее можно задать для определенного списка IP адресов...

Comments

[VrDrakon]

Как минимум для эстетики "порядка" и простейшей сегментации. Проблема не расширить текущую сеть, в чём и вопроса не было, а в том, как при имеющейся LAN, поверх неё создать VLAN, не выделяя для этого отдельный интерфейс маршрутизатора, а использовать уже существующие интерфейсы, а так же не перебирая половину сети.

[Drno]

VrDrakon, просто сделай VLAN, добавь его в бридж. на другой стороне - создай VLAN с этим же ID и всё

[VrDrakon]

Drno, на другой стороне... Это где имеется ввиду?

[Drno]

VrDrakon, ну на телефоне или на свитче, куда он у тебя должен прийти)