Ах, настройка MikroTik — это как попытка объяснить бабушке, зачем ей нужен смартфон: вроде понятно, но с первого раза не всегда. Сегодня мы продолжаем наши приключения с BVF на коммутаторах MikroTik и обещаю, что будет весело, даже если вы никогда раньше не слышали о том, что такое «Router on a stick». Представьте себе: у вас есть одна волшебная палочка (ну или магистральный интерфейс), которая соединяет все ваши подсети через коммутатор дистрибуции. Как в анекдоте про программиста, который решил объединить все свои проблемы в одну — и теперь сидит и думает, как её починить.
Итак, в роли главного героя выступает наш верный hAPac2. Этот малыш — настоящий трудяга, но у него есть один недостаток: его switch чипы не поддерживают BVF. То есть всю тяжелую работу по обработке фреймов приходится делать CPU. Это как если бы ваш шеф решил сам носить кофе вместо того, чтобы нанять бариста – вроде и полезно для здоровья, но эффективность страдает.
Начинаем с базовых настроек: подключаемся к коммутатору дистрибуции через два интерфейса ether4 и ether5 и объединяем их в bonding-интерфейс. Режим работы bonding должен быть одинаковым на обоих концах — 802.3ad с «Transmit Hash Policy» на «layer 2 and 3». Если вы подумали «что за магия?», не переживайте — это просто способ сказать вашему оборудованию: «Давайте работать вместе и делиться нагрузкой». А то ведь иногда техника ведёт себя так же капризно, как коты: «Я сегодня буду работать только на половину».
Дальше создаём бридж и добавляем туда наш bonding1 интерфейс — он у нас будет единственным героем сцены для тегированного трафика. Тут главное не перепутать VLANы и настроить их как транковые – иначе трафик пойдёт гулять без билета и попадёт куда попало. Помните историю о том, как мой друг забыл настроить VLAN на роутере? Его сеть превратилась в дискотеку для пакетов без контроля доступа – полный хаос!
В разделе bridge vlan filtering включаем фильтрацию VLAN и ставим режим «Frame Types admit only VLAN tagged». Это примерно как на входе в ночной клуб: пускаем только тех, кто предъявил правильный билет (тег). Без этого шлюза наши пакеты могли бы ходить по сети как туристы без визы – никому не нужные.
Создаём vlan-интерфейсы для каждого VLANа прямо на мосту — каждому по имени с номером тега. И конечно же назначаем IP адреса из нашей таблицы подсетей — роутер будет выглядеть в каждой сети как добрый сосед с адресом .1 (все любят иметь знакомого рядом).
Теперь переходим к IP=>Addresses и добавляем IP адреса для каждого vlan-интерфейса. Вспоминается старый анекдот про сетевого администратора: «Почему ты всегда ставишь IP .1?» — «Потому что я люблю быть первым!»
После того как мост готов и VLANы настроены, можно расслабиться… ой нет! Начинается самое интересное — настройка дополнительных сервисов и межсетевого экрана. Как говорил один мой знакомый системщик: «Firewall — это твой личный телохранитель от интернет-бандитов». Ну а мы ещё добавим vlan110 в список MAC-Services для MNDP протокола — это такой способ узнать своих соседей по сети без лишних вопросов «Кто там?».
В меню Interfaces создаём группу MAC-Services (можете назвать её хоть “Супергерои сети”) и добавляем туда vlan110. Теперь при проверке соседей в IP=>Neighbors видим только тех товарищей, кто действительно живёт с нами под одной крышей управления.