Ах, настройка Mikrotik — это как поход в лес с компасом, где вместо компаса у тебя роутер, а вместо леса — бескрайние дебри VLAN’ов и bonding’ов. И если вы думали, что «Router on a stick» — это какая-то диета или новое блюдо в меню кафе, то нет! Это топология сети, где один роутер играет роль официанта, который приносит блюда (трафик) со всех столиков (подсетей) по одной магистральной линии. Представьте: роутер ходит с подносом и доставляет каждому VLAN его порцию данных — красиво и эффективно.
Ну а теперь про нашего героя — hAPac2. Этот парень будет испытывать все прелести BVF (Bridge VLAN Filtering), начиная с версии RouterOS 6.41 и до седьмой версии включительно. Принципиальных отличий между версиями я не заметил — видимо, разработчики решили не усложнять жизнь сетевым админам и оставили всё как есть. Как говорится, если что-то работает — не трогай!
Теперь представьте себе коммутатор Mikrotik с его switch-чипами, которые BVF не переваривают. Это примерно как пытаться научить кота приносить тапочки: вроде бы можно заставить, но он предпочитает заниматься своим делом — сидеть на клавиатуре и мешать работе CPU роутера. Поэтому весь трафик через BVF будет обрабатываться центральным процессором устройства. Не самая быстрая история, но зато весело!
Начинаем наш сетевой квест с создания bonding-интерфейса на портах ether4 и ether5. Важно, чтобы режим работы был одинаковым на обоих концах магистрали — выбираем 802.3ad с политикой распределения нагрузки «layer 2 and 3». Если честно, звучит как название новой рок-группы: «Layer 2 and 3». А вы уже слушали их последний альбом?
Далее создаём бридж и добавляем в него этот самый bonding-интерфейс под названием bounding1 (да-да, опечатки тоже случаются даже у профессионалов). Так как через него пойдёт только тегированный трафик VLAN’ов — настраиваем его как транк. Не забудьте про комментарии! Они нужны так же сильно, как кофе утром или шутки в конце рабочего дня.
Настройка VLAN-ов напоминает приготовление салата оливье: каждый ингредиент должен попасть именно туда, куда нужно. На вкладке VLAN добавляем наши любимые виртуальные сети и связываем их с бриджем bridge1 так, чтобы каждый VLAN имел свой отдельный интерфейс на роутере. Это позволит нам красиво разделять трафик без путаницы.
Включаем фильтрацию VLAN в bridge vlan filtering и ставим галочку «Frame Types admit only VLAN tagged». Это примерно как пропускная система на вечеринке: пускаем только тех гостей (пакеты), которые пришли по приглашению (с тегами). Остальным говорим: «Извините, проход закрыт!»
Создаём vlan-интерфейсы для каждого VLAN-а – это похоже на раздачу бейджиков участникам конференции по сетевым технологиям: имя интерфейса обычно совпадает с номером тега для удобства запоминания. Каждому интерфейсу назначаем IP адрес из нашей таблицы подсетей – ведь без адреса ты просто незаметный гость в большой сети.
Когда всё готово и настроено – переходим к более интересным вещам: межсетевому экрану и дополнительным сервисам. Кстати говоря, добавление интерфейсов vlan110 в список MAC-Services для поддержки MNDP протокола напоминает мне анекдот про программиста:
— Почему программисты путают Хэллоуин и Рождество?
— Потому что OCT 31 = DEC 25.
Так же здесь мы создаём группы интерфейсов для удобства управления протоколами.
Настройка Mikrotik может быть сравнена с путешествием в лес, где роутер заменяет компас, а VLAN’ы и bonding’и — бескрайние дебри. «Router on a stick» оказывается не диетой, а топологией, где роутер выступает официантом, распределяющим трафик между подсетями. Герой hAPac2 сталкивается с BVF, которое, хоть и не меняется с версии на версию, представляет собой вызов для коммутаторов Mikrotik и их switch-чипов, требующих обработки трафика CPU роутера.