Ах, настройка BVF на Mikrotik — это почти как приготовить борщ: вроде бы все ингредиенты понятны, а результат иногда всё равно удивляет. Берём наш геройский hAPac2, который в мире роутеров — примерно как швейцарский нож среди кухонных гаджетов. В шестой версии RouterOS (начиная с 6.41) и даже в седьмой — принципиальных отличий не заметил, так что можно смело готовиться к веселью.
Итак, представьте себе топологию «Router on a stick». Нет, это не новый танцевальный стиль или способ сервировки роллов, а всего лишь когда у вас куча подсетей, а коммутатор дистрибуции подключён к роутеру одной магистральной линией. В этой линии трафик всех подсетей передаётся с тегами, словно разноцветными ленточками на подарках — чтобы ничего не перепутать. Правда, у Mikrotik со switch-чипами всё не так радужно: они BVF не поддерживают аппаратно. Это значит, что за обработку фреймов отвечает CPU — то есть наш маленький процессор будет пахать как лошадь на ярмарке.
Теперь немного анекдота для поднятия настроения. Сидит админ и думает: «Почему мой роутер греется? Ах да, он же теперь и коммутатором работает!» Вот так и мы: включаем bonding интерфейс между ether4 и ether5 нашего hAPac2. Режим 802.3ad выбран — это как если бы два друга решили вместе таскать тяжёлую сумку: синхронно и эффективно. А параметр «Transmit Hash Policy» ставим на «layer 2 and 3», чтобы передача была гладкой и без лишних вопросов.
Дальше создаём бридж и добавляем туда bonding1 — ведь через него пойдёт только тегированный трафик. Настраиваем VLANы как транковые интерфейсы — это примерно как пропускная система на вечеринке: только приглашённые по тегу могут пройти внутрь. Добавляем наши VLANы в bridge VLANs с фильтрацией включённой по полной программе — режим «Frame Types admit only VLAN tagged» гарантирует, что никто без бейджа не попадёт.
Создаём vlan-интерфейсы для каждого VLAN (я обычно называю их просто по номеру тега — чтобы потом не путаться). На каждом интерфейсе назначаем IP адреса из нашей таблицы подсетей — роутер всегда будет иметь адрес .1 в каждой сети, ведь кто-то же должен быть главным! Это напоминает старый анекдот про айтишника: «Почему ты всегда берёшь IP .1? Чтобы быть первым во всём!»
После того как базовая настройка завершена (ура!), переходим к дополнительным сервисам и межсетевому экрану. К примеру, добавляем vlan110 в список интерфейсов MAC-Services для разрешения MNDP протокола — это как создать VIP-зону для устройств Mikrotik в нашей сети.
А теперь самое весёлое! Заходим в меню IP=>Neighbors и видим там соседние устройства только из управляющей подсети. Если вдруг замечаете знакомое оборудование Mikrotik – можно прямо из этого меню открыть консоль управления через MAC Telnet! Представьте себе ситуацию: вы сидите дома с чашкой кофе, а ваш роутер дружелюбно шлёт вам приветственные сообщения с соседнего устройства по MAC адресу без всяких IP заморочек. Это почти магия!
Вспоминается история из жизни одного администратора: решил он проверить соседний Mikrotik по MAC Telnet’у, а там его коллега уже вовсю играет в пасьянс прямо через консоль! Главное – чтобы оба устройства были в одном broadcast домене; иначе никакой магии.
Вот такая она, настройка BVF на Mikrotik – немного сложная штука с элементами волшебства и юмора сетевого администрирования. Но если подойти к ней с улыбкой и терпением (и хорошим кофе), то даже самый запутанный VLAN-трафик станет послушным подданным вашего маршрутизатора!