Александр Романов

Свитч компании Mikrotik -- штука крайне производительная и бодрая, когда она работает в роли коммутатора. В роли маршрутизатора 125 и 109 модели будут ещё ничего, примерно как 2011 роутер, но многого от них ждать не стоит -- процессор может не справиться. Хватит одного коммутатора или нет -- зависит от того, какой ширины у Вас каналы. Я бы взял лучше ещё маршрутизатор вдобавок к коммутатору, например, hEX.

https://mum.mikrotik.com//presentations/IT14/starn...
Это Вам поможет.

https://mum.mikrotik.com/presentations/US16/presen...
https://youtu.be/4Ptcx_1LoHE
И это тоже Вам поможет.

Начните с простого: нарисуйте все вланы. Доступы между ними уже режьте фаерволом.

Ответ на Ваш вопрос кроется в этой презенташке. Слайд 50 и дальше.

/interface l2tp-client monitor l2tp-out1 once do={:global STATUS $"status"}

Это если без объявления переменной. Если сначала объявить, то конструкция чуть меняется:

:global STATUS
/interface l2tp-client monitor l2tp-out1 once do={:set STATUS $"status"}

Прочитайте статью внимательно. в итоге мы приходим к двойной рекурсии. Кстати, интересное решение. Получается, что мы мониторим несколько хостов прямыми маршрутами в интернет, через каждый из них делаем маршрут для "виртуального" адреса, который, в свою очередь, является гейтвеем для рекурсивного маршрута по-умолчанию для клиентов. Получается, что маршруты черерез "виртуальные" адреса чекают любое кол-во внешних адресов. И если один из адресов не доступен, а остальные работают -- он будет в апе. Если все адреса сдохли -- значит, провайдер недоступен, деактивируем маршрут. Если Вы поймёте, как это работает, то не запутаетесь. Маршрутов нужно прописать много, да. Но решение интересное )

Полностью не соглашусь с утверждением l0ser140 о том, что фейловер на скриптах лучше. Ничего в нём хорошего нет. Чистая маршрутизация с этим справляется на 200% безо всяких костылей.

На точке всё просто -- влан на бридж, в котором ethernet и wlan. А со стороны клиента нужен беспроводной режим station bridge, для того, чтобы vlan-ы заработали. А так всё тоже самое

Распишите, какие порты в каких вланах у вас должны находиться? Если Вам просто нужны две группы портов -- то с этой задачей справляются просто два мастер-порта, навешиваете на них адреса -- и всё готово. Использование более, чем одного мастер-порта накладывает некоторые ограничения на использование вланов. Если Вам нужна более гибкая схема с тегированием и пр, то все порты объединяйте в один свитч ( /interface ethernet set [find default-name!=ether1] master-port=[/interface ethernet get [find default-name=ether1] name]), дальше в switch-vlans на первой вкладке определяете членство портов во вланах, на второй вкладке определяете тегированные порты (если не нужны -- то порт switch-cpu для роутинга), и на вкладке ingress vlan translations определяете untagged-порты для ваших vlanов. Вкладку Egress translations вообще тогать не нужно, она предназначена для другого. После этих процедур в interfaces-vlan создаёте нужные вам вланы на мастер-порту, навешиваете на них ip-адреса, а дальше рулите, как хотите.