Если вы вдруг решили стать сетевым волшебником и приручить свою домашнюю сеть, то добро пожаловать в мир MikroTik и его RouterOS! Сегодня мы поговорим о том, как заставить вашего роутера работать на все сто, не превращая его процессор в горячий бутерброд. И да, это будет весело — ведь кто сказал, что настройка VLAN’ов должна быть скучной?
Начнём с того, что наш герой — роутер hAPac2 — готов к бою. Представьте себе: у вас дома столько подсетей, что можно устроить вечеринку для каждого члена семьи отдельно. Но как же всё это мудрёное хозяйство соединить? Тут на помощь приходит классика жанра — «Router on a stick». Не пугайтесь названия! Это просто когда одна единственная магистральная линия связывает коммутатор дистрибуции с роутером, и по ней бегают трафики всех ваших любимых VLAN’ов, аккуратно разделённые тегами. Вот только в MikroTik есть одна особенность: их switch-чипы не дружат с BVF (Bridge VLAN Filtering), поэтому всю работу по обработке кадров придётся выполнять CPU роутера. В общем, он у нас тут как секретарь на приёме: всё принимает и раздаёт по нужным адресатам.
Для тех, кто любит порядок в доме (и в сети), сначала создаём bonding-интерфейс из ether4 и ether5 — чтобы увеличить пропускную способность и не дать трафику застрять в пробке. Представьте двух друзей, которые держатся за руки и вместе идут по улице — так же работают эти порты в режиме 802.3ad с политикой «Transmit Hash Policy» на уровне слоёв 2 и 3. Главное — договориться между собой!
Дальше создаём бридж и добавляем туда наш bonding1 интерфейс. Но внимание: поскольку через него пойдёт только тегированный трафик (то есть такой VIP-трафик с бейджиками VLAN), надо настроить этот интерфейс как транковый. Попробуйте объяснить это бабушке: «Внук, у меня тут бридж такой…» Она посмотрит на вас так, будто вы рассказали о космическом корабле.
Затем добавляем наши VLAN’ы в меню bridge VLANs — ведь каждый хочет иметь свой отдельный входной билет на вечеринку сети. Для каждого VLAN создаём отдельный интерфейс с соответствующим тегом — иначе роутер просто запутается и начнёт рассылать пакеты всем подряд, словно сплетник на районе.
Не забываем включить фильтрацию VLAN-ов через галочку «VLAN Filtering» в настройках бриджа и выбрать режим «Frame Types admit only VLAN tagged». Это как отсеять непрошенных гостей на входе: без бейджика сюда не проходишь!
Теперь назначаем IP-адреса каждому vlan-интерфейсу согласно плану подсетей — наш маршрутизатор становится настоящим домоуправом со списком квартирников (адрес .1 для каждой сети). И вот тут начинается настоящее веселье: можно наблюдать соседей в меню «IP=>Neighbors» — но только тех самых из управляющей подсети.
Если среди соседей мелькнул Mikrotik-устройствец, то прямо из этого списка можно подключиться к нему через MAC Telnet! Это примерно как зайти к соседу через окно заднего двора без звонка в дверь — удобно и быстро! При этом вам даже не нужен IP адрес удалённого устройства — просто магия MAC-адресов.
Кстати говоря, если вы думаете: «Зачем мне всё это?» — вспомните анекдот про программиста:
— Почему ты всегда носишь очки?
— Потому что без них я вижу только баги!
Так вот настройка VLAN’ов без proper фильтрации – это как ходить без очков по своему же коду сети: увидишь лишь хаос и ошибки.