RouterOS VLAN trunk + access. Вечная проблема?

Question

[bruges]

Доброночи.

Дано:
1. Самый дешевый управляемый свич на букву "D". (Забегая вперед: менялся на HP, но не помогло)

2. Микротик 951Ui-2HnD. RuterOS 6.46.1. Сброшен в дефолты. За 3 минуты настроен vlanы, схема на картинке. В ether1 приходит интернет по DHCP. VLAN10, VLAN20 куда-то к компам через accessные порты свича, MGMT99 - управляйка (тоже в accessный). Эти виланы навешаны на дефолтный бридж. На них навешаны DHCP. Файрвол - дефолтный как и прочие правила. Клиенты получают нужные IP, сетка работает, инет есть, всё шикарно, пакетики бегают.

/interface bridge port
add bridge=bridge comment=defconf interface=ether1 hw=yes
add bridge=bridge comment=defconf interface=ether2 hw=yes
add bridge=bridge comment=defconf interface=ether3 hw=yes
add bridge=bridge comment=defconf interface=ether4 hw=yes
/interface vlan
add interface=bridge name=vlan10 vlan-id=10
add interface=bridge name=vlan20 vlan-id=20
add interface=bridge name=mgmt99 vlan-id=99

Чего хочется: В свиче закончились дырки, нужно использовать пару дырок из роутера. Т.е. 3 и 4 порты сделать access в VLAN20. Как только я делаю по официальному ману сетка падает, и ничто никуда не ходит и с роутера не пингуется ничего, клиенты не видят роутер:

/interface ethernet switch vlan
add ports=ether2 switch=switch1 vlan-id=10
add ports=ether2 switch=switch1 vlan-id=99	
add ports=ether2,ether3,ether4 switch=switch1 vlan-id=20

/interface ethernet switch port
set ether2 vlan-header=add-if-missing vlan-mode=secure
set ether3 default-vlan-id=20 vlan-header=always-strip vlan-mode=secure
set ether4 default-vlan-id=20 vlan-header=always-strip vlan-mode=secure

Comments

[Melkij]

где cpu порт на свиче?

Answer 1

[Keffer]

Проще простого. Нужно виланы в бридж с нужными портами микрота сделать. И все взлетит.

Comments

[Keffer]

paxlo, Они все не должны быть в дефолтном бридже. А только нужные. Самый простой вариант организации access порта это создание бриджа где будет нужный вилан и нужный порт. Все.

[bruges]

Keffer, Понятно, спасибо. Не совсем понятна логика настройки vlan на микротиках - это какой-то ад сравнительно с другими брендами.

1. Неужели каждый раз при создании аксессного/транкового порта на самом микротике, я должен создавать ещё и лишнюю сущность в виде бриджа (что в теории даст ещё большую нагрузку на CPU). Верно?

2. Где настраивается дефолтное поведение бриджа при работе с виланами, навешанными на него? Т.е. где определено что порты находящиеся в одном бридже все являются транковыми в одинаковых виланах?

3. Для чего нужен bridge vlan filtering?

[Keffer]

bruges,
1. Никакой нагрузки на CPU не будет от бриджей. Это просто самый простейший способ получить аксесный порт на микроте. Раз портов у тебя всего 4, в лучшем случае 5, то ничего страшного не будет от пары "лишних" бриджей.

2 - об этом лучше спрашивать разработчиков РоутерОС. Вменяемого мануала на русском с описанием всех этих фичей я пока не нашел.

3. Filtering это скорее всего "обрезать" виланы которые приходят в физический eth1 чтобы их не было в тегированом виде на прочих устройствах, входящих в этот бридж. Но это не точно.