Mikrotik + Dlink: Как настроить видимость vlan?

Question

[qeeew]

Здравствуйте,

Есть следующая конфигурация: Провайдер -> Роутер Mikrotik -> Dlink 1210-24. На 1 порту - wan, свитч подключен первым портом к 5 порту роутера.
На микротике создал 3 vlan:

• 100 - управление,
  
• 200 - принтеры,
  
• 300 - ПК.
  

У каждого vlan свой dhcp сервер со своим пулом адресов (192.168.100.0/24, 192.168.200.0/24, 192.168.300.0/24). Vlan'ам 100 и 300 включил NAT, для доступа в интернет.
На свитче создал 3 vlan, в каждом 1 порт - tagged и еще один untagged для тестового подключения. В дефолтном vlan оставил untagged 1 и 2 порты, на всякий случай (при полном отключении дефолтного vlan свитч перестает пускать на себя).
По изначальной задумке должен быть принтеры и ПК должны видеть друг друга, но не должны видеть сегмент управления. 100 vlan должен видеть всех.
При подключении IP корректный, интернет есть, но ничего не пингуется в локалке, кроме шлюза другого vlan(то есть самого роутера, например имея 192.168.100.2 я могу пропинговать 192.168.200.1). Я, признаться, в замешательстве, проблема, вроде бы не особо сложная, но ответа найти не могу. Посоветуйте, пожалуйста, куда копать?

Comments

[Александр]

На ум приходят только настройки фаерволла.

[qeeew]

Satauchi Kimoto, Настройки по статье https://habrahabr.ru/post/265387 Продублировал правила 1,3,6,7 для каждого vlanа

[Ziptar]

qeeew,
Правила 1 и 3 в статье для входящих подключений на роутер, правила 6 и 7 для форварда между локалью и интернетом. Каким образом это кореллирует с Вашим случаем? И есть ли хоть одно запрещающее правило?

Answer 1

[Diman89]

Перенесите vlanы с маршрутизатора на коммутатор и соедините их кол-вом патчкордов, равным кол-ву vlanов, будет куда проще

Comments

[qeeew]

Спасибо, я думал над таким вариантом, но из 5 портов роутера 3 уже заняты.
В итоге засунул всех в одну подсеть, на свитче все в дефолтном vlanе.
Я просто не понимаю, почему нет возможности доступа из одной подсети в другую. По идее, если все vlanы на 1 интерфейсе микротика и dhcp-сервера + пулы настроены для каждой подсети, остается лишь дать NAT тем подсетям, которым нужен доступ в интернет. Межсетевая же коммутация должна работать "из коробки".
Настраивал в основном по статье https://habrahabr.ru/post/265387

[Diman89]

qeeew, отключите все drop правила, если они есть, и проверьте

[qeeew]

Diman89, Отключил drop правила, пропал доступ к консоли свитча по ip, который я сделал статическим. После ресета пересоздал vlanы на свитче, снова пинги из одного vlanа в другой не проходят.
При этом я заметил, что с микротика тоже невозможно пропинговать ПК, подключенного к порту, например, vlanа управления. Но с этого же ПК пинги по прежнему идут до любого шлюза :(

[Diman89]

qeeew, мне это знать зачем?