Правильно ли настроен Mikrotik?

Question

[Capitollium]

У предприятия есть 1 офис и 2 филиала, все офисы подключены к одному и тому же провайдеру интернета.
На каждый роутер ISP раздает на ether1 по два VLAN (100,101,103) для WAN IP и VLAN 200 для объединения офисов в L2 сеть. Далее Vlan200 на каждом роутере добавлен в бридж с остальными портами. Шлюзом и dchp сервером для всех хостов есть R1, для всех офисов Pubic IP тот, который приходит на VLAN 100. VLAN 101 и 103 с Public IP используются только для управления R2 и R3 (с включением romon потребность отпала). Проблема в том что иногда сеть работает не стабильно. RSTP работает не правильно. Рутом с приоритетом 0x1000 есть R1, R2 смотрит на рута через VLAN 200, но R3 делает себя тоже рутом с приоритетом 0x8000, хотя через l2 видит R1. И как тогда работает транк между провайдером и маршрутизаторами, если из vlanов на микротиках настроен только interfaces/vlan?
На сколько правильно/неправильно настроен VLAN и mikrotik в целом?

Answer 1

[Дмитрий Александров]

RSTP и не должен работать в случае с vlan'ами и вашей схемой, тут нужен mstp.

Answer 2

[Артем Кайбагоров]

Формально все настроено верно, то есть работать должно если провайдер не фильтрует l2, но я бы не пускал бы нешифрованный трафик через провайдера, соединил бы филиалы на vlan200 шифрованным каналом, условным gre+ipsec или wg и настроил маршрутизацию. Если по каким-то причинам обязательно нужна связность филиалов на уровне l2 — eoip+ipsec

Comments

[Capitollium]

Просто увидел тут что так делать не надо. И не пойму какой pvid надо указать, если на порт приходит два влана.

[Артем Кайбагоров]

Capitollium, да, конфигурация с bridge vlan filtering более правильная, но будет чуть сложная в настройке, в вашем случае для R1 это должно выглядеть примерно так:
/interface bridge add name=bridge1 vlan-filtering=yes
/interface vlan add interface=bridge1 name=vlan.100 vlan-id=100
/interface vlan add interface=bridge1 name=vlan.200 vlan-id=200
/interface bridge port add bridge=bridge1 interface=ether1
/interface bridge port add bridge=bridge1 interface=ether2
/interface bridge port add bridge=bridge1 interface=ether3
/interface bridge port add bridge=bridge1 interface=ether4
/interface bridge vlan add bridge=bridge1 tagged=bridge1,ether1 vlan-ids=100
/interface bridge vlan add bridge=bridge1 tagged=bridge1,ether1 untagged=ether2,ether3,ether4 vlan-ids=200

Но, повторю, если вам не нужна л2 связность филиалов, а она почти никогда не нужна, лучше сделать все на 3 уровне, туннели и маршруты.