Настройка VLAN на роутерах на базе irzOS

#irzOS #роутеры #r0 #r2 #r10 #r50

Задача:

Обеспечить на роутере irzOS доступ к cегментам сети, организованной с использованием VLAN.

Схема 1. Схема сети

Клиенты подключены к управляемому коммутатору и размещены в двух VLAN. Клиенты из подсети 192.168.4.0/24 находятся в VLAN 10, клиенты из подсети 192.168.5.0/24 – в VLAN 20.

Коммутатор связан с роутером магистральным каналом (trunk), port 4 на роутере R1 .

Необходимые для работы мосты и интерфейсы уже настроены, требуется настроить передачу тегированных пакетов через port 4.

Настройка VLAN на роутере

В разделе /network → device нажмите Add.
В поле Name введите имя нового устройства, например, vlan_10. В поле Type выберите vlan.
В открывшейся форме заполните поля по образцу.

Описания полей формы
Поле	Описание	Значение
Type	Тип виртуального устройства	vlan
MTU	Максимальный размер кадра, 1500 по умолчанию. Не следует изменять без необходимости	–
TX Queue	Максимальный размер очереди пакетов, 1000 по умолчанию. Не следует изменять без необходимости	–
Host Device	Устройство, на базе которого будет создан виртуальный порт (субинтерфейс) VLAN	port 4
VLAN ID	Идентификатор тега VLAN, должен совпадать на протяжении всего VLAN домена. Часть идентификаторов нижнего диапазона зарезервирована для нужд роутера	10

Нажмите Apply.
Аналогично настройте устройство vlan_20 с указанием другого VLAN ID – 20.

Настройка в CLI

/network device add name=vlan_10 type=vlan
    device port4
    disabled -
    mtu 1500
    tx-queue-len 1000
    vid 10

/network device apply

/network device add name=vlan_20 type=vlan
    device port4
    disabled -
    mtu 1500
    tx-queue-len 1000
    vid 20

/network device apply
/system config commit

Подключение локальных клиентов роутера к VLAN сегментам сети

В разделе /ip → interface отображается назначенная IP подсеть для бриджей, созданных на роутере.
В разделе /network → bridge для данной посети добавьте интерфейс VLAN в соответствующий бридж.

Примеры

Диапазон 192.168.4.0/24 соответствует бриджу LAN10. В этом случае в бридж LAN10 нужно добавить порт VLAN_10.

Диапазон 192.168.4.0/24 соответствует бриджу LAN20. В этом случае в бридж LAN10 нужно добавить порт VLAN_20.

Настройка в CLI

/ip interface status
/network bridge LAN10 port vlan_10
/network bridge LAN10 apply
/network bridge LAN20 port vlan_20
/network bridge LAN20 apply
/system config commit

Маршрутизация изолированных VLAN на роутере (Router-on-a-Stick)

В этом варианте клиентские устройства подключены к коммутатору, а роутер осуществляет маршрутизацию трафика между отдельными VLAN и соответствующими им подсетями.

В разделе /network → devices каждому маршрутизируемому VLAN создайте соответствующее устройство (субинтерфейс).
В разделе /ip → interface создайте интерфейсы для каждого устройства и задайте соответствующие им IP-адреса и субсети.

IP-адрес соответствующих интерфейсов VLAN должен быть задан в качестве шлюза на устройствах, подключенных к данным VLAN.
Если роутер irzOS выступает в качестве DHCP сервера, в разделе /service → dhcp → server настройте выдачу адресов клиентам соответствующих подсетей.

Настройка в CLI

Пример для VLAN ID 10, VLAN ID 20, VLAN ID 30 c адресами роутера 192.168.4.1/24, 192.168.5.1/24, 192.168.6.1/24 соответственно. В качестве тегированного (trunk) порта используется port 4.

/network device add name=vlan_10 type=vlan
    device port4
    disabled -
    mtu 1500
    tx-queue-len 1000
    vid 10
/network device apply

/network device add name=vlan_20 type=vlan
    device port4
    disabled -
    mtu 1500
    tx-queue-len 1000
    vid 20
/network device apply

/network device add name=vlan_30 type=vlan
    device port4
    disabled -
    mtu 1500
    tx-queue-len 1000
    vid 30
/network device apply

/ip interface add device=vlan_10 type=static
    disabled -
    gateway -
    ip-address -
    ip-address 192.168.4.1/24
    metric 200
/ip interface apply

/ip interface add device=vlan_20 type=static
    disabled -
    gateway -
    ip-address -
    ip-address 192.168.5.1/24
    metric 200
/ip interface apply

/ip interface add device=vlan_30 type=static
    disabled -
    gateway -
    ip-address -
    ip-address 192.168.6.1/24
    metric 200
/ip interface apply

/system config commit

В данной конфигурации роутер будет обеспечивать полный доступ между всеми VLAN сетями, терминированными на роутере. При условии, что роутер по умолчанию является шлюзом для компьютеров в сегментах сети, разделенных VLAN, все они будут доступны друг для друга.

Если необходимо обеспечить ограничение доступа между VLAN сетями, настройте фильтрацию трафика между логическими интерфейсами в файрволле в разделе /firewall → filter.

IP интерфейсу (раздел /ip → interface), связанному с VLAN устройством, возможно настроить IP-адрес только при условии, что физический порт, на который назначено VLAN устройство, имеет активный линк. В противном случае интерфейс, созданный в /ip → interface, будет находиться в состоянии ошибки пока в физическом порте не появится линк.

Настройка DHCP для сегментво VLAN. Для подключенных к роутеру сегментов VLAN (пул адресов x.x.x.100 — x.x.x.200)

/service dhcp server add interface=vlan_10
    disabled -
    dns-server -
    flags -
    leasetime 12h
    mode server
    ntp-server -
    option -
    pool -
    pool 192.168.4.100-192.168.4.200
    router 192.168.4.1

/service dhcp server add interface=vlan_20
    disabled -
    dns-server -
    flags -
    leasetime 12h
    mode server
    ntp-server -
    option -
    pool -
    pool 192.168.5.100-192.168.5.200
    router 192.168.5.1

/service dhcp server add interface=vlan_30
    disabled -
    dns-server -
    flags -
    leasetime 12h
    mode server
    ntp-server -
    option -
    pool -
    pool 192.168.6.100-192.168.6.200
    router 192.168.6.1

/service dhcp server apply
/system config commit

Все настройки навсегда сохраняются в память роутера только после выполнения команды /system → config → commit или нажатия кнопки commit в web-интерфейсе.