Ах, настройки роутера — это вам не котиков в интернете листать! Но не переживайте, сейчас я расскажу вам про волшебство под названием BVF на Mikrotik так, что даже ваша бабушка поймёт и, возможно, захочет настроить себе домашнюю сеть (хотя она скорее спросит: «А зачем мне этот интернет?»). Начнём с того, что у нас есть такой замечательный зверь — hAPac2. Не путайте с каким-нибудь хапаком для рыбалки, это наш герой-роутер.
Итак, представьте себе ситуацию: у вас куча подсетей, как гостей на вечеринке, а коммутатор дистрибуции — это такой диджей, который подключён к роутеру одной единственной магистральной линией. Всё весело танцуют и общаются через эту линию, но чтобы никто не путался в разговорах — трафик разделён тегами. Это называется топология «router on a stick», звучит почти как название модного коктейля. Представьте: один кабель таскает все разговоры сразу! Впрочем, если вы думаете, что Mikrotik поставил туда какой-то супер-чип для BVF — ошибаетесь. Там CPU всё делает вручную. Представьте себе официанта в кафе: пока он бегает между столиками с подносом (CPU), гости ждут свой заказ (пакеты). Вот такая вот нагрузочка.
Теперь немного о том, как мы всё это собираем. У нас есть bonding интерфейс — то есть два порта ether4 и ether5 объединились в брачный союз под названием bonding1. Они работают в режиме 802.3ad — звучит как код секретного агента, но на самом деле это просто способ сделать два кабеля одним мощным каналом. А чтобы они дружили по-настоящему крепко — выбираем политику «Transmit Hash Policy» «layer 2 and 3». Если объяснять проще: это как если бы вы выбрали музыку для свадьбы так, чтобы и бабушка танцевала под классику, и молодёжь качалась под рэп.
Дальше создаём бридж и кладём туда наш bonding1. Поскольку через него идёт только тегированный трафик (то есть пакеты ходят с бирочками), настраиваем его как транковый интерфейс. VLANы добавляем аккуратно – каждый VLAN получает собственный интерфейс с номером тега в имени (обычно я называю их просто по номерам – кто ещё запутается?). Теперь включаем фильтрацию VLAN-ов в bridge vlan filtering и говорим системе принимать только пакеты с тегами VLAN – это как на входе клуба проверять приглашение.
Забавно наблюдать за этими настройками: иногда кажется, что ты режиссёр сложного спектакля из битов и байтов! Когда создаёшь vlan-интерфейсы для каждого VLAN-а и назначаешь им IP адреса (.1 обязательно!) – чувствуешь себя чуть ли не Богом сети. Помню анекдот: «Почему программисты путают Хэллоуин и Рождество? Потому что OCT 31 = DEC 25.» Вот так же мы тут играемся с цифрами IP!
После того как основная магия свершена – можно подключать дополнительные сервисы и ставить межсетевой экран (firewall). И тут начинается веселье! Для тех VLAN-ов, которые участвуют в MAC-сервисах (например vlan110), разрешаем протокол MNDP – он помогает роутерам узнавать друг друга без лишних вопросов. Это примерно как на вечеринке кричать: «Кто ты? Откуда?» И получать честные ответы.
А теперь фишка для настоящих гиков – управление соседними устройствами Mikrotik напрямую через MAC Telnet! Да-да, без IP адреса! Это сродни тому, как если бы вы могли поговорить с соседом через стену просто постучав пальцем по кирпичу – никаких проводов лишних не надо! Очень удобно для админов: хочешь проверить роутер соседа – щёлкнул правой кнопкой мыши и вперёд по MAC адресу!
BV на Mikrotik — магия роутера на практике.