Dotaz: Mikrotik a VLAN

[Michal]

Jelikož tady spousta lidí používá mikrotik, třeba mě někdo nakopne správným směrem. Mám několik switchů CRS3xxx jako "páteř" pospojované přes SFP. Chtěl bych na nich nastavit mgmt VLAN tak, aby se na ni dalo dostat po té páteři přes SFP, ale z jiných portů ne.

Zkoušel jsem něco takovéhodle, ale úplně to nedělá, resp. se na tu vlan dostanu z jakéhokoliv portu:

/interface bridge vlan add bridge=bridge untagged=ether1,ether2,ether3,...... vlan-ids=1
/interface bridge vlan add bridge=bridge tagged=sfp-sfpplus1,sfp-sfpplus2 vlan-ids=11
/interface vlan add interface=bridge name=vlan11 vlan-id=11
/ip address add address=192.168.11.8/24 interface=vlan11
/interface bridge port set bridge=bridge ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged [find interface=ether1]
/interface bridge port set bridge=bridge ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged [find interface=ether2]
[...]
/interface bridge set bridge vlan-filtering=yes

Odpovědi

[V.]

Vy chcete mít mgmt vlan pouze na SFP?
Podle tohodle příkladu - link je nutno zadat

/interface ethernet switch
set drop-if-invalid-or-src-port-not-member-of-vlan-on-ports=ether2,ether6,ether7,ether8

[GeorgeWH]

na crs3xx sa vlan-y nastavuju na bridge, mas to aj v tom linku.

[GeorgeWH]

do mgmt vlan musis pridat aj samotny bridge interface https://wiki.mikrotik.com/wiki/Manual:Interface/Bridge#Management_access_configuration

[Michal]

No to právě nemá na to vůbec vliv. Resp. můj problém je opačný, ten mgmt interface je přístupný ze všech portů, nezávisle na tom, jestli jsou tagged/untagged, resp. je na nich nastavený ingress-filtering nebo není.

[GeorgeWH]

a to zariadenie, z ktoreho pingas, ma aku ip? ma tiez vlan-u? ake ip ma mikrotik? nie je to problem firewallu?

[Michal]

Zkouším to z nb připojeného přímo do toho switche, na různé porty (z některých to fungovat má-- z těch SFP; z ostatních to fungovat nemá, nicméně funguje). NB má stejnou vlan jako switch, jinou IP samozřejmě.

[GeorgeWH]

Ak mozes, posli:

/interface bridge print
/interface bridge port print detail
/interface bridge vlan print detail

[GeorgeWH]

Pravdupovediac som to trochu predpokladal a chcel sa na to opytat uz skor, ale v prvom poste to je, tak som neriesil.

Z emailu:

[admin@MKT] > /interface bridge print            
Flags: X - disabled, R - running 
 0 R ;;; defconf
     name="bridge" mtu=auto actual-mtu=1500 l2mtu=1592 arp=enabled arp-timeout=auto mac-address=XX:XX:XX:XX:XX:XX 
     protocol-mode=rstp fast-forward=yes igmp-snooping=no auto-mac=no admin-mac=XX:XX:XX:XX:XX:XX ageing-time=5m 
     priority=0x8000 max-message-age=20s forward-delay=15s transmit-hold-count=6 vlan-filtering=no dhcp-snooping=no 

[Michal]

FTR: to bylo ono; jsem debil (facepalm), po tolika pokusech uz je clovek slepej. Diky za nakopnuti