Как настроить vlan микротик

ИТ База знаний

Курс по Asterisk

Полезно

— Узнать IP — адрес компьютера в интернете

— Онлайн генератор устойчивых паролей

— Онлайн калькулятор подсетей

— Калькулятор инсталляции IP — АТС Asterisk

— Руководство администратора FreePBX на русском языке

— Руководство администратора Cisco UCM/CME на русском языке

— Руководство администратора по Linux/Unix

Навигация

Серверные решения

Телефония

FreePBX и Asterisk

Настройка программных телефонов

Корпоративные сети

Протоколы и стандарты

Настройка VLAN в Mikrotik

Умение настраивать VLAN (Virtual Local Area Network) или виртуальные локальные сети — одно из самых базовых умений, которым должен обладать системный администратор. Сегментирование сети с помощью VLAN-ов строго необходимо для PCI, HIPAA и прочих стандартов безопасности, и, кроме того, это помогает сохранять “чистоту” и порядок в больших сетях. Настройка VLAN-ов на маршрутизаторах MikroTik не является сложной задачей, подробнее о шагах настройки вы можете прочесть ниже.

Полный курс по Сетевым Технологиям

В курсе тебя ждет концентрат ТОП 15 навыков, которые обязан знать ведущий инженер или senior Network Operation Engineer

Дизайн VLAN в организации

Первым шагом в сегментировании сети должен быть не настройка маршрутизатора, а понимание будущей схемы в целом — предпочтительно нарисовать схему на листе бумаги, использовать ПО наподобие Microsoft Visio и т.д. К тому же, если ваша сеть должна соответствовать стандартам безопасности, которые были перечислены выше, то практически не нужно ничего придумывать — в описании стандартов есть подробные инструкции что и как должно быть сегментировано. Однако, чаще всего, сегментирование происходит для общей оптимизации сети — и тут необходимо будет что-то придумать самому. На наш взгляд, проще всего отразить структуру организации в схеме VLAN-ов. Каждый департамент должен находится в собственном VLAN-е, т.к каждый департамент обладает своими собственными уникальными функциями, и, скорее всего, различными правами доступа. Также в отдельные VLAN-ы необходимо поместить сервера и дисковые хранилища.

Для серверов и хранилищ рекомендуется использовать отдельные коммутаторы, но, для маленьких компаний это часто невозможно из-за лимитированного бюджета.

К тому же, с помощью таких инструментов как Torch или NetFlow можно будет контролировать и мониторить трафик каждого департамента. Гостевая сеть также должна быть помещена в отдельный VLAN, который будет полностью изолирован от внутренней сети. Беспроводные сети также должны находится в своем VLAN, таким образом весь трафик мессенджеров, обновлений мобильных приложений и т.д будет полностью отделен от основной сети.

Транковые протоколы VLAN

В нашем сценарии у нас есть только один роутер, и создадим VLAN-ы для HR (192.168.105.0/24), бухгалтерии (192.168.155.0/24) и гостевую сеть (192.168.1.175.0/24). Если у вас получится создать три VLAN-а, то, очевидно, получится создать и сто — в нашем примере мы описываем создание только трех VLAN-ов для простоты и прозрачности примера. IP-адреса для каждого VLAN-а также были выбраны случайным образом — для вашей организации, скорее всего, адресация будет иной. В нашем случае, маршрутизатор подключен к коммутатору по интерфейсу ether2, с 802.1q транком между ними — эта схема также известна под именем “роутер на палке” (router on a stick). Мы не будем углубляться в детали касаемо свитча — это может быть Cisco, HP и т.д — потому что 802.1q транки одинаковы практически на всех платформах — если у вас какой-нибудь необычный свитч, то вам стоит просто обратиться к документации и прочесть, как выполняется конфигурация транкового порта. Наш маршрутизатор также обладает подключением к WAN на порту ether1 — все пользователи в VLAN-ах будут использовать его для доступа к интернету.

Создание VLAN-ов на MikroTik

Сперва необходимо создать VLAN-ы на маршрутизаторе и назначить их на интерфейс ether2. После этого, интерфейс ether2 будет автоматически настроен как 802.1q транк и не будет доступен для трафика без тэгов, что означает, что до конца настройки этот линк будет “лежать” — поэтому строго рекомендуется выполнять эти действия во в нерабочее время.

Крайне рекомендуется всегда давать понятные имена интерфейсам и писать комментарии — в дальнейшем это может сильно облегчить администрирование сети и обучение новых системных администраторов. Как мы упомянули выше, создание VLAN-ов и назначение их на физический порт ether2 автоматически изменит тип инкапсуляции на 802.1q, но вы нигде этого не увидите — даже если выведете всю информацию об интерфейсе.

Назначаем IP-адреса

Далее, необходимо назначить сетевые адреса, чтобы VLAN интерфейсы могли работать как шлюзы:

На всякий случай, еще раз обращу ваше внимание на то, как важно комментировать интерфейсы для удобства в дальнейшем. На данном моменте у нас уже настроены VLAN-ы и у них назначены сетевые адреса. Если у вас не используется DHCP, а используется статическая адресация — на этом настройка VLAN в общем-то закончена. Следующим шагом (этот шаг, соответственно, опционален) является настройка DHCP на VLAN интерфейсах, для того чтобы клиенты внутри каждого VLAN могли автоматически получить динамический IP-адрес.

DHCP для VLAN

Для начала, необходимо установить адресные пулы для каждого из VLAN-ов:

Далее, настраиваем DHCP с опциями для DNS и шлюзов:

В данном случае мы используем DNS сервис от Google. Далее, добавляем ранее настроенные пулы на VLAN интерфейсы:

Адресные пулы соответствуют настроенным сетям, и именно такие DHCP опции как шлюз и DNS присваиваются конкретной DHCP инстанции. Смысл присвоения DHCP для каждого VLAN в том, чтобы у вас была возможность контролировать сроки выдачи адреса (lease times), опции и т.д для каждого сегмента сети, что дает большой простор для оптимизации и контроля DHCP в вашей организации.

Настройка VLAN на коммутаторе

На данном этапе настройки вам необходимо будет назначить порты доступа на ваших свитчах на конкретные VLAN-ы, и клиенты, которые будут подключены к этим портам будут находится в их VLAN и получать соответствующие IP-адреса по DHCP. Теперь уже вам решать, какие VLAN будут полностью изолированы друг от друга, а какие смогут “общаться” — осталось только настроить соответствующие правила на фаерволле. Как правило, мы разрешаем доступ только абсолютно необходимого трафика в VLAN — если разрешить весь трафик, тогда теряется смысл сегментирования.

Онлайн курс по Кибербезопасности

Изучи хакерский майндсет и научись защищать свою инфраструктуру! Самые важные и актуальные знания, которые помогут не только войти в ИБ, но и понять реальное положение дел в индустрии

Источник

Твой Сетевичок

Все о локальных сетях и сетевом оборудовании

Как настроить Vlan на Mikrotik: пошаговая инструкция

Если вы нашли эту статью, значит вы определенно уже понимаете для чего нужен Vlan и что это такое вообще. Если вы попали сюда случайно или настройка Vlan нужна, но пока вы самостоятельно не можете или не знаете, как это сделать – то вы попали туда, куда нужно.

Что такое VLAN?

По своей сути Vlan – это некая виртуальная сеть внутри физической сети. По-простому – это ЛВС внутри ЛВС. Внутри одной физической сети можно создать до 4096 виртуальных сетей, если быть точным, то 4094. Откуда берутся эти цифры? Давайте рассмотрим чуть более детально.

Для идентификации виртуальной сети используется VLAN ID или как его сокращенно называют VID – номер Vlan`а. Это метка, присоединяемая к кусочку кадра, который передается по сети. Для этой метки отведен блок размером в 12 бит. Путем нехитрых вычислений узнаем, что можно получить номера Vlan`ов с 0 по 4095 (всего 4096) но первый и последний ID зарезервированы системой, потому их использовать запрещено.

Обычное неуправляемое сетевое оборудование (такое как коммутатор, простая сетевая карта без поддержки Vlan и т.п.) не понимает, что такое Vlan, это задача коммутаторов и прочего «умного» оборудования второго уровня. В управляемых коммутаторах можно указать каким Vlan разрешено проходить по данному порту, а каким запрещено.

Зачем это нужно? Надо ли так усложнять сеть?

• Технология Vlan позволяет объединить компьютеры в одну локальную сеть независимо от их территориального или географического расположения;
• Становится возможным разделение физической сети на несколько виртуальных, которые не будут пересекаться и доступ из одной виртуальной сети в другую будет невозможен;
• Снижается нагрузка на сеть, так как на указанные порты коммутатора попадают только те пакеты сети, которым разрешено прохождение по данному порту;

Это лишь крохотная часть возможностей, которые предоставляет Vlan.

С первого раза тяжело «переварить» информацию, но на самом деле здесь нет ничего сложного.

Перейдем к настройке VLAN на оборудовании Mikrotik

Предположим, что нам нужно разделить одну большую сеть на 3 виртуальных.
Для примера будем использовать RB750UP. Структура будущей сети выглядит следующим образом:

Подключаемся через WinBox к оборудованию.

• Заходим в раздел Interfaces;
• Переходим на вкладку VLAN;
• Нажимаем на значок «+»;
• В появившемся окне присваиваем имя vlan5 интерфейсу в поле Name;
• Прописываем VLAN ID, которое равно 5;
• Выбираем интерфейс, для которого создается Vlan (в нашем случае это Ether5);

Видим, что интерфейс добавился:

Также он отображается в окне Interfaces и структурно находится под интерфейсом, на который добавлен, название vlan5 смещается чуть-чуть вправо относительно основного списка интерфейсов

Аналогично добавляем vlan4 на ether4 и vlan3 на ether3

Следующее, что нам нужно сделать – это добавить IP адрес для созданных виртуальных сетей:

• Переходим в раздел IP > Addresses;
• Добавляем адрес как обычно, только в поле интерфейс выбираем наш vlan5;

Добавляем IP адреса на vlan4 и vlan3.

В результате у нас должно получиться следующее:

Доступ в интернет

Подсети созданы, IP адреса присвоенны, теперь нужно «выпустить в интернет» устройства, работающие в vlan3, vlan4, vlan5.

Переходим в раздел IP > Firewall вкладка NAT и создаем новое правило

Переходим на вкладку Action и в поле Action выбираем действие masquerade и сохраняем правило

Такие правила нужно создать для каждой из подсети, изменяя лишь адреса сети.

В результате должно получиться следующее:

Дополнительные «фишки»

Теперь каждая из виртуальных сетей имеет доступ в интернет, но при необходимости его можно ограничить, разрешая доступ только выделенным адресам.

• Переходим на вкладку Address List;
• Добавляем, для примера, IP адрес 168.5.24 в Address List под названием Net (Прописать вручную);

Теперь, если в правиле под номером 13 (вкладка NAT) перейти на вкладку Advanced и в поле Src. Address List указать список Net

то выход в интернет получат только те хосты, которые находятся в списке Net. В нашем случае – это единственный хост, который мы добавили: 192.168.5.24

Сеть разделена и настроена. Так же можно поднять DHCP сервер на каждом из созданных нами vlan – тогда не придется прописывать адрес каждому ПК в локальной сети, но это уже совсем другая тема…

Источник

Настройка VLAN на операционной системе routerOS

Для наглядного примера я буду использовать маршрутизатор Mikrotik CCR1036-8G-2S+ и коммутатор CRS125-24G-1S.

Этот вариант на данный момент работает в нескольких гостиницах Москвы и Московской области.
Поставим условную задачу, чтобы на каждом коммутационном узле присутствовала сеть класса А (10.1.0.0/24) для работников фирмы и сеть класса С (192.168.1.0/24) для WiFi для посетителей.

Допустим, у нас имеется коммутационный узел A c маршрутизатором Mikrotik CCR1036-8G-2S+, коммутационный узел B с коммутатором CRS125-24G-1S. Коммутационные узлы А и В будут соединены каналом связи (Trunk) в нашем случае по витой паре (каналов связи (trunk) может быть несколько в зависимости от количества коммутационных узлов; также если имеется ВОЛС и оптический модуль SFP mikrotik, то можно trunk назначить и на SFP). Приведу ниже схему с использованием trunk по витой паре.

Приступим к настройке коммутационного узла A с маршрутизатором Mikrotik CCR1036-8G-2S+.

Назовем наш маршрутизатор «router-A».

Обозначим физические порты так, чтобы не возникало путаницы, каким сетям они принадлежат. Обозначим маркировкой lan физические порты, которые будут принадлежать сети (класса А) 10.1.0.0/24, маркировкой wifi физические порты, которые будут принадлежать сети (класса С) 192.168.1.0/24 и маркировкой trunk физические порты, которые будут использоваться под канал связи типа trunk.

Создадим виртуальные интерфейсы во вкладке bridge, для объединения LAN портов.

Создаем Vlan интерфейсы, с помощью которых будут транспортироваться сети 10.1.0.0/24 и 192.168.1.0/24 до коммутационного узла B по каналу связи типа trunk. VLAN id для сети 10.1.0.0/24 будет 11, а для сети 192.168.1.0/24 будет 22. С помощью этих id будет передаваться информация о принадлежности трафика к vlan1-lan и vlan2-wifi.

Назначаем LAN порты маршрутизатора виртуальным интерфейсам (bridge) согласно вышеуказанной схеме

(Добавлю этот LAN порт для возможно будущего коммутационного узла С, на всякий пожарный)

Назначаем сети виртуальным интерфейсам

Провайдер предоставляет мне интернет по протоколу EOiP. Поэтому вы на эту команду не обращайте внимания, а настраивайте доступ в интернет по wan-порту согласно настройкам, предоставленным Вашим провайдером

Настроим Пул раздаваемых адресов сетям, настроим dhcp

Включим NAT, чтобы устройства, находящиеся в сетях 192.168.1.0/24 и 10.1.0.0/24, имели выход в интернет.

Изолируем подсети, чтобы устройства из сети 192.168.1.0/24 не видели и не использовали устройства, находящиеся в сети 10.1.0.0/24. (Я предпочитаю таким способом осуществить изоляцию; есть еще способ изолировать подсети с помощью Route Rules, но я буду использовать правило Firewall)

Данное правило можно включать и отключать в зависимости от вашей потребности в доступе к устройствам из сети 10.1.0.0/24 в 192.168.1.0/24 или наоборот.

Теперь настроим коммутационный узел B с коммутатором Mikrotik CRS125-24G-1S

Назовем наш коммутатор «switch-B»:

Обозначим физические LAN порты. Объединим порты с 1 по 8 включительно в общий аппаратный коммутатор с мастер портом ether-1 и обозначим его master, остальные со 2 по 8 включительно обозначим slave. Аналогично сделаем и с портами с 9 по 16 включительно с мастер портом ether-9.

Создаем Vlan интерфейсы на физическом 24 lan-порту, с помощью которых будут транспортироваться сети 10.1.0.0/24 и 192.168.1.0/24 от коммутационного узла А по каналу связи типа trunk. Не забываем указать тот vlan id, который мы указали в соответствии с начальной схемой.

Создадим виртуальные интерфейсы во вкладке bridge для объединения LAN портов.

Источник