Как сделать 2 изолированные сети на 2 разных PPPoE интерфейсах?

Question

[vasmarfas]

Здравствуйте. Появилась довольно непростая (для меня) задача. Постараюсь расписать подробно что имеется и что нужно сделать. Устройство - Mikrotik RB3011UiAS-RM
Есть 2 провайдерских кабеля (один провайдер, но по разным линиям и разные PPPoE аккаунты). Один приходит в SFP порт с трансивером Mikrotik S-RJ01 (по сути дополнительный ethernet RJ45 порт), второй приходит в порт Ethernet1. Для удобства будем называть PPPoE-sfp и PPPoE-eth1.
Устройство уже полностью настроено для работы с одним кабелем (по eth1), в нём прописаны все необходимые настройки (dhcp, firewall, полностью настроенный CAPsMAN и т.д.). Важно, чтобы при настройке доп. сети в предыдущей ничего не изменилось. Подсеть 192.168.88.1, используемые в данный момент порты - eth1 (PPPoE), eth2, eth3, eth4, eth5, eth10.
Мне нужно на базе этого устройства создать новую сеть (по сути она уже есть готовая на RB951, мне нужно её перенести на RB3011) с подсетью 192.168.10.1, своим dhcp, firewall и чтобы она брала интернет только с PPPoE-sfp и использовала порты SFP (PPPoE), eth6, eth7, eth8, eth9.
Сети не должны друг с другом соприкасаться (нужно запретить доступ из одной в другую и наоборот), иметь свои автономные настройки и т.д. Но доступ к настройкам роутера должен быть с обоих сетей (с одной по адресу 192.168.88.1, с другой по адресу 192.168.10.1)
Пробовал сделать через настройку двух Bridge, но при добавлении в него портов, на которых висят PPPoE клиенты, PPPoE отрубаются. Долго и много пытался шаманить по разным статьям, но по итогу ничего не вышло.
Буду безмерно благодарен помощи, т.к. сам в микротиках довольно слаб.

Comments

[kprohorow]

Порты провайдера уж точно не нужно добавлять в бриджи.

[rPman]

Я верно понимаю, что там попытка из одного устройства сделать тупо два.

С точки зрения возможности linux это само собой возможно, жутко интересно, можно ли такое на микротике, подпишусь

[hint000]

rPman, наверняка, и на Микротике можно реализовать, но... seel2304, я бы не рекомендовал любой ценой добиваться решения (разве что из спортивного интереса). Потому что вам же потом это администрировать, а это будет регулярный геморрой. Повышенные шансы допустить ошибку в конфигурации. При перезагрузке роутера будут ложиться сразу обе сети. Инженерный подход говорит, что нужно избегать сложных и запутанных решений, даже если в данный момент такое решение каким-то чудом работает.

[vasmarfas]

hint000, но с другой стороны один из подходов нам гласит, что нужно добиваться минимального количества железок в вашей сети. Плюс, RB3011 помощнее будет и думаю на нём сидеть будет комфортнее, ибо RB951 иногда pppoe подключение обрывает

[AntHTML]

seel2304,

добиваться минимального количества железок

добиваться не минимального, а рационального. Минимального это про то что вместо гирлянды 5ти портовых Дглюков использовать нормальные 24п свичи, а заводить всю маршрутизацию в единую точку отказа - ну как бы хреноватый подход.

Answer 1

[graf_Alibert]

Я тоже не вижу проблемы, просто все настойки будут повторятся с изменением интерфейсов и адресов
1) Создаете еще один бридж LAN2 и вешаете на него IP 192.168.10.1
2) Создаете второй DHCP-сервер
3) Создаете все те же правила фаервола, только меняете 192.168.88.0 на 192.168.10.0 и PPPoE1 на PPPoE2
4) NAT отдельно для каждой сети с указанием src-address=192.168.88.0/24 и src-address=192.168.10.0/24 соответственно
5) Блокируете трафик между сетями:
/ip route rule
add action=unreachable dst-address=192.168.88.0/24 src-address=192.168.10.0/24
add action=unreachable dst-address=192.168.10.0/24 src-address=192.168.88.0/24
/ip firewall filter
add action=drop chain=forward dst-address=192.168.88.0/24 src-address=192.168.10.0/24
add action=drop chain=forward dst-address=192.168.10.0/24 src-address=192.168.88.0/24

Answer 2

[AntHTML]

А в чем собственно проблема?
1. Создаем бридж 1 из 1-5,10 и назначаем с него роуты на PPPoE-eth1
2. Создаем бридж 2 из 6-9 и назначаем с него роуты на PPPoE-sfp
Вот вам и 2 роутера в одной железке. Капсман тоже помойму вяжется на интерфейсы/брижи, управление - тоже роутинг входящего/исходящего трафика.

PS: Но не понимаю зачем городить такую конфигурацию при цене 951го 40$? Если только потом строить маршрутизацию между LANами или резервирование WANов, а две полностью изолированные сети на одной железке - оно то возможно, но нафик нужно.

Answer 3

[fdroid]

/ip route rule

add src-address=192.168.0.0/24 dst-address=192.168.33.0/24 action=unreachable

add src-address=192.168.33.0/24 dst-address=192.168.0.0/24 action=unreachable

Comments

[hint000]

Это хорошо, но ему же нужны 2 таблицы маршрутизации, в каждой свой шлюз.

[Валентин]

hint000,

Это хорошо, но ему же нужны 2 таблицы маршрутизации, в каждой свой шлюз.

Это явно не написано. Может быть подойдет source-based-routing.

Но из того, что написано, больше подойдет VRF-Lite. Вопрос только в том, осилит ли это автор вопроса и действительно ли ему надо то, что у него описано.