Dotaz: Mikrotik jako částečný bridge/router

[radekpaos]

Ahoj, potřeboval bych nakopnout správným směrem - v rámci lokální sítě bude zapojený jeden Mikrotik, který by měl plnit následující role:

1. na vybraných lokálních portech switchovat mezi sebou a routovat do nadřazené sítě (WAN). Zde může být stejný segment jako ve WAN (dejme tomu skupina A) 2. dále bude skupina B, která bude vlastnostně stejná jako skupina A 3. potřebuji možnost firewallem omezit, kam mohou zařízení ze skupiny B

Jak bude nejlépe na to jít? Díky.

Odpovědi

[Petr Šobáň]

A kde je problém?

Prostě si to nastavím a funguji.

Jeden LAN bude A druhý LAN bude B a zbytek LAN dám do bridge a bude to C a firewallem nastavím co kam může.

Jediný problém je podle počtu položek ve firewallu aby ten požadovaný mikrotik měl dostatečný výkon aby to uroutoval.

[radekpaos]

takže nemít default konfiguraci, dva bridge?

[radekpaos]

Já to zkusím popsat trochu lépe, aby byl jasný záměr.

Existuje lokální síť, ke které je připojený jeden Mikrotik. Ten by měl sloužit především jako firewall, rád bych se na něm vyhnul natování.

Potřeboval bych dosáhnout toho, aby pro skupinu A i B byl stejný segment sítě, ideálně, aby získávali IP adresu z hlavního DHCP serveru v lokální síti.

Dále potřebuji zajistit, aby se v případě skupiny B hardwarově neswitchovalo na mikrotiku - jinými slovy, aby komunikace mezi klienty ve skupině B vzájemně a s jakýmkoli klientem ve skupině A (či ostatní lokální síti) byla na L3 (kvůli firewallu). Pro B je nutné mít možnost pomocí pravidel firewallu omezit komunikaci vzájemně nebo jinam.

Naopak pro skupinu A je žádoucí hardwarový L2.

Jde o RB4011, výkon by měl být dostatečný.

Napadlo mne x řešení jak na to jít, včetně čisté konfigurace, dvou bridge apod. Ale nerad bych objevoval kolo.

Díky za nakopnutí.

[Petr Šobáň]

Dále potřebuji zajistit, aby se v případě skupiny B hardwarově neswitchovalo na mikrotiku - jinými slovy, aby komunikace mezi klienty ve skupině B vzájemně

Nesmyslný požadavek - nerealizovatelné!

Jak by jsi to chtěl realizovat aby se PC ve skupině B navzájem neviděly když budou mít IP z jednoho rozsahu?

To by musel být každý PC připojen na jeden LAN konektor a celá skupina by nebyla v bridgi a vše by se řešilo routováním a bylo by to složité.

Prostě PC které jsou v jedné síti se budou navzájem vidět a když je oddělíš na mikrotiku tak stejně ty PC co budou na jednom switchu na sebe budou vidět, protože komunikace nepůjde přes mikrotik, ale pouze PC externí switch a PC.

[radekpaos]

proč by to nebylo realizovatelné? Mluvím o tom, že by komunikace probíhala v takovém případě na L3 (a tedy nebyl použit switchning na Mikrotiku). Všichni klienti budou připojení výhradně k Mikrotiku-

[radekpaos]

Ale konečně se trochu posouvám dál - takže pro skupinu A budou porty na Mikrotiku (např. 2-5) v bridgi, pro skupinu B (např. 6-10) samostatně. Do bridge pro skupinu A bude i WAN port a DHCP klient. Zde routování bude automatické při standardní konfoguraci bez natu, předpokládám.

Pro skupinu B budu definovat vlastní statické routy.

Je to best practices nebo ne? Ještě dotaz - jak správně nastavit, aby pro skupinu B se využil hlavní DHCP server v LAN?

[Petr Šobáň]

Musíš nastavit routování a v firewalu aby se pakety pro skupinu B přenášely do skupiny A a obráceně....

Vůbec netuším zda to jde nstavit, nikdy jsem nic takového nenastavoval.

Pokud to chápu dobře chceš to jako router pouze některé LAN konektory chceš izolovat.

Pak prostě ty co chceš izolovat vyhodíš z bridge a budeš muset nastavit routování, firewall atd....

[radekpaos]

V podstatě jo, jen to chci bez NATu. Prostě taková jednodušší DMZ...

[Max]

To, co chceš, se jmenuje Port isolation.
Zdar Max

[radekpaos]

takže režim bridge s port isolation?

[Petr Šobáň]

O tomdle jsem nevěděl....

Takže by to mělo stačit zapnout a nastavit kam se má příchozí paket z toho portu předávat.

[radekpaos]

a jak valstně správně ošetřit, aby se bral hlavní DHCP pro všechny porty?

[Petr Šobáň]

Pokud jsem to pochopil tak by to druhým směrem mělo fungovat, akorát třeba vyzkoušet zda tam bude muset být nastavený pouze eth1 (ten wan) a nebo i CPU port.

Nevím budeš muset vyzkoušet.

[radekpaos]

Koukám na to, ale jistý si nejsem. Dejme tomu, že na eth1 je wan port. Když dám izolaci 1,2,3,4,5 a druhou 6,7,8,9,10, tak ze skupiny B (vše je v jednom bridge) musím nadefinovat routu na eth1?

[Petr Šobáň]

Jak chceš mít default nastavení když to jako router nechceš používat?

Prostě si to nastavím tak jak potřebuji.

Samozřejmě nevím zda sítě A,B a C kolik musí mít LAN konektorů pokud jeden tak tam žádný bridge nepotřebuješ, pokud musí mát víc LAN konektorů tak tam musíš udělat tolik bridge kolik potřebuješ, pokud každá síť A,B a C má víc LAN konektorů budeš potřebovat 3 bridge atd.....

Prostě jak si to nastavíš tak to budeš mít.