Как завести vlanroute на Mikrotik CRS?

Question

[smokerxf]

задача настроить port-based VLANы и роутинг между ними
как я понимаю процесс, есть две группы портов на L2

[user@MikroTik-1] /interface> print
Flags: D - dynamic, X - disabled, R - running, S - slave 
 #     NAME                                TYPE       ACTUAL-MTU L2MTU  MAX-L2MTU MAC-ADDRESS      
 0     ether01-master-sw-ext               ether            1500  1588       4064 6C:3B:6B:87:37:91
 1   S ether02                             ether            1500  1588       4064 6C:3B:6B:87:37:92
 2   S ether03                             ether            1500  1588       4064 6C:3B:6B:87:37:93
 3   S ether04                             ether            1500  1588       4064 6C:3B:6B:87:37:94
 4  R  ether05-master-sw-int               ether            1500  1588       4064 6C:3B:6B:87:37:95
 5   S ether06                             ether            1500  1588       4064 6C:3B:6B:87:37:96
 6   S ether07                             ether            1500  1588       4064 6C:3B:6B:87:37:97
 7   S ether08                             ether            1500  1588       4064 6C:3B:6B:87:37:98
 8   S ether09                             ether            1500  1588       4064 6C:3B:6B:87:37:99
 9   S ether10                             ether            1500  1588       4064 6C:3B:6B:87:37:9A
10  RS ether11                             ether            1500  1588       4064 6C:3B:6B:87:37:9B
11   S ether12                             ether            1500  1588       4064 6C:3B:6B:87:37:9C
12   S ether13                             ether            1500  1588       4064 6C:3B:6B:87:37:9D
13  RS ether14                             ether            1500  1588       4064 6C:3B:6B:87:37:9E
14   S ether15                             ether            1500  1588       4064 6C:3B:6B:87:37:9F
15   S ether16                             ether            1500  1588       4064 6C:3B:6B:87:37:A0
16   S ether17                             ether            1500  1588       4064 6C:3B:6B:87:37:A1
17   S ether18                             ether            1500  1588       4064 6C:3B:6B:87:37:A2
18   S ether19                             ether            1500  1588       4064 6C:3B:6B:87:37:A3
19   S ether20                             ether            1500  1588       4064 6C:3B:6B:87:37:A4
20   S ether21                             ether            1500  1588       4064 6C:3B:6B:87:37:A5
21   S ether22                             ether            1500  1588       4064 6C:3B:6B:87:37:A6
22   S ether23                             ether            1500  1588       4064 6C:3B:6B:87:37:A7
23  RS ether24                             ether            1500  1588       4064 6C:3B:6B:87:37:A8
24  XS sfp1                                ether            1500  1588       4064 6C:3B:6B:87:37:A9
25  RS VLAN20                              vlan             1500  1584            6C:3B:6B:87:37:95

VLAN20: 13-14 порты доступа, switch1-cpu транк в L3 к CPU где повесим IP

[user@MikroTik-1] /interface ethernet switch vlan> print
Flags: X - disabled, I - invalid, D - dynamic 
 #   VLAN-ID PORTS                                                                                       SVL LEARN FLOOD INGRESS-MIRROR QOS-GROUP                                                                                     
 0        20 ether13                                                                                     no  yes   no    no             none                                                                                          
             ether14                                                                                    
             switch1-cpu                                                                                
 1 D    4091 ether05-master-sw-int                                                                       no  yes   no    no             none                                                                                          
             ether06                                                                                    
             ether07                                                                                    
             ether08                                                                                    
             ether09                                                                                    
             ether10                                                                                    
             ether11                                                                                    
             ether12                                                                                    
             ether13                                                                                    
             ether14                                                                                    
             ether15                                                                                    
             ether16                                                                                    
             ether17                                                                                    
             ether18                                                                                    
             ether19                                                                                    
             ether20                                                                                    
             ether21                                                                                    
             ether22                                                                                    
             ether23                                                                                    
             ether24                                                                                    
             switch1-cpu                                                                                
 2 D    4095 switch1-cpu                                                                                 no  no    no    no             none

помечаю switch1-cpu транком

[user@MikroTik-1] /interface ethernet switch egress-vlan-tag> pr
Flags: X - disabled, I - invalid, D - dynamic 
 #   VLAN-ID TAGGED-PORTS                                                                                                                                                                                                             
 0        20 switch1-cpu                                                                                                                                                                                                              
 1 D    4091
 2 D    4095

тегирую входящий трафик на 13 и 14

[user@MikroTik-1] /interface ethernet switch ingress-vlan-translation> pr
Flags: X - disabled, I - invalid, D - dynamic 
 0   ports=ether13,ether14 service-vlan-format=any customer-vlan-format=any customer-vid=0 new-customer-vid=20 pcp-propagation=no sa-learning=yes 

 1 D ports=ether05-master-sw-int,ether06,ether07,ether08,ether09,ether10,ether11,ether12,ether13,ether14,ether15,ether16,ether17,ether18,ether19,ether20,ether21,ether22,ether23,ether24 service-vlan-format=any 
     customer-vlan-format=any new-customer-vid=4091 pcp-propagation=no sa-learning=yes 

 2 D ports="" service-vlan-format=any customer-vlan-format=any new-customer-vid=4095 pcp-propagation=no sa-learning=no

снимаю тегирование у исходящего

[user@MikroTik-1] /interface ethernet switch egress-vlan-translation> pr
Flags: X - disabled, I - invalid, D - dynamic 
 0   ports=ether13,ether14 service-vlan-format=any customer-vlan-format=any customer-vid=20 new-customer-vid=0 pcp-propagation=no

создаю интерфейс

[user@MikroTik-1] /interface vlan> print 
Flags: X - disabled, R - running, S - slave 
 #    NAME                                                                                                MTU ARP        VLAN-ID INTERFACE                                                                                            
 0 R  VLAN20                                                                                             1500 enabled         20 ether05-master-sw-int

и вешаю адрес

[user@MikroTik-1] /ip address> pr
Flags: X - disabled, I - invalid, D - dynamic 
 #   ADDRESS            NETWORK         INTERFACE                                                                                                                                                                                     
 0   192.168.0.1/24     192.168.0.0     ether05-master-sw-int                                                                                                                                                                         
 1   ххх.ххх.ххх.ххх/29    ххх.ххх.ххх.ххх    ether01-master-sw-ext                                                                                                                                                                         
 2   172.22.20.1/24     172.22.20.0     VLAN20

но "лыжи не катят" пинг с клиента 14го 172.22.20.5 не ходит на 172.22.20.1
где я ошибаюсь?

Answer 1

[Александр Романов]

Распишите, какие порты в каких вланах у вас должны находиться? Если Вам просто нужны две группы портов -- то с этой задачей справляются просто два мастер-порта, навешиваете на них адреса -- и всё готово. Использование более, чем одного мастер-порта накладывает некоторые ограничения на использование вланов. Если Вам нужна более гибкая схема с тегированием и пр, то все порты объединяйте в один свитч ( /interface ethernet set [find default-name!=ether1] master-port=[/interface ethernet get [find default-name=ether1] name]), дальше в switch-vlans на первой вкладке определяете членство портов во вланах, на второй вкладке определяете тегированные порты (если не нужны -- то порт switch-cpu для роутинга), и на вкладке ingress vlan translations определяете untagged-порты для ваших vlanов. Вкладку Egress translations вообще тогать не нужно, она предназначена для другого. После этих процедур в interfaces-vlan создаёте нужные вам вланы на мастер-порту, навешиваете на них ip-адреса, а дальше рулите, как хотите.

Comments

[smokerxf]

проблема вероятно в "Использование более, чем одного мастер-порта накладывает некоторые ограничения на использование вланов", завтра проверю - отпишусь. Благодарю за ответ!

была мысль использовать первую группу портов в качестве свитча для канала провайдера, хотя сейчас понимаю что эту задачу наверно решит лишний VLAN.
а какого рода ограничения накладывает использование нескольких мастер-портов?

[smokerxf]

очень странно, что на портах входящих в один мастер-порт (при конфиге который я описал выше) в ответ на ping c клиента вижу тегированный ARP трафик с dst клиента, но до клиента он не доходит.

[smokerxf]

проверил - VLAN работает при условии, что мастер-порт всегда первый, при назначении любого другого порта мастером, в switch-vlan создаться какой-то динамический VLAN (по какой логике туда попадают порты неясно) и все другие VLANs перестают работать