MikroTik VLAN: разделяем сеть сотрудников, гостей и оборудования

Что получится: четыре VLAN и отдельный аварийный порт

• VLAN 10: сотрудники, интернет и один явно разрешённый принтер.
• VLAN 20: гости, интернет без доступа к остальным VLAN.
• VLAN 30: оборудование, без общего выхода в интернет.
• VLAN 99: управление; администратор на 10.10.99.10.

Порты ether3 и ether4 дадут локальные access-подключения сотрудников и гостей. Оборудование и обычный доступ управления подключаются через коммутатор на ether2. Физический ether5 не входит в bridge: к нему подключается только администратор при настройке или восстановлении.

План адресов и портов: договоритесь до команд

Access принимает обычные кадры клиента; PVID относит их к выбранному VLAN. Trunk переносит несколько VLAN с тегами. Чтобы устройства могли обращаться к своему шлюзу, соответствующий VLAN должен быть доступен самому маршрутизатору. Для этого ниже добавим br-office в список tagged каждого VLAN. IP-адреса шлюзов затем назначим отдельным VLAN-интерфейсам. Базовые понятия: VLAN, Bridge VLAN Table.

Как обрабатываются теги: switch chip, bridge и процессор

Ниже три упрощённые схемы для конфигурации статьи. Они показывают назначение VLAN и путь кадра; внутреннее представление VLAN в памяти конкретного чипа может отличаться от тега 802.1Q на кабеле.

1. Проверьте исходное состояние и доступ управления

Работайте локально, с отключённым WAN и отключёнными клиентскими кабелями. Сначала создайте личную административную учётную запись с сильной аутентификацией. Посмотрите версию, названия портов и конфигурацию; если обнаружены рабочие настройки, этот сценарий нужно адаптировать, а не дописывать поверх них.

/system resource print
/interface ethernet print
/interface bridge print
/ip address print
/ip firewall filter print
/export file=before-vlan

Скачайте экспорт и подготовьте защищённую резервную копию через Files → Backup. Экспорт не заменяет сохранение всех секретов и сертификатов. Настройте адрес на свободном ether5, ноутбуку назначьте 192.168.254.2/30 без шлюза и DNS. Затем откройте новую IP-сессию WinBox или SSH на 192.168.254.1.

/ip address add address=192.168.254.1/30 interface=ether5 comment="LAB OOB management"

Продолжайте только после проверки нового подключения. Используйте Safe Mode небольшими этапами: Ctrl+X включает режим, повторный Ctrl+X сохраняет проверенный этап. Ctrl+D завершает CLI-сессию с отменой изменений Safe Mode; команда /quit не равнозначна такому возврату. История ограничена; не рассчитывайте на откат неограниченного числа изменений. При обрыве сессии возврат может происходить не мгновенно. Управление конфигурацией и Safe Mode.

2. Создайте bridge, пока без фильтрации VLAN

/interface bridge add name=br-office protocol-mode=rstp vlan-filtering=no frame-types=admit-only-vlan-tagged

Фильтрация включается после заполнения таблиц и правил. До этого клиентские порты остаются физически отключёнными: временное состояние не считается изолированной рабочей сетью. RSTP оставлен для защиты топологии от петель; он не заменяет план кабельных соединений.

Производительность зависит от switch chip и модели. Поддержка bridge VLAN filtering не означает аппаратную обработку на любом устройстве. Проверьте таблицу для своего оборудования в Bridging and Switching. Не включайте L3 offload в рамках этого примера: политика маршрутизации здесь рассчитывает на программный IP firewall.

3. Добавьте trunk и два access-порта

/interface bridge port
add bridge=br-office interface=ether2 ingress-filtering=yes frame-types=admit-only-vlan-tagged
add bridge=br-office interface=ether3 pvid=10 ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged
add bridge=br-office interface=ether4 pvid=20 ingress-filtering=yes frame-types=admit-only-untagged-and-priority-tagged

ether2 принимает только тегированные кадры, а ether3 и ether4 — нетегированные и priority-tagged. Входная проверка отсекает VLAN, не разрешённые на порту. WAN ether1 и аварийный ether5 сюда не добавляются. Наличие поля PVID ещё не подтверждает работу изоляции: нужен следующий этап и финальное включение фильтрации.

4. Добавьте интерфейс bridge в таблицу VLAN для работы шлюзов

/interface bridge vlan
add bridge=br-office vlan-ids=10 tagged=br-office,ether2 untagged=ether3
add bridge=br-office vlan-ids=20 tagged=br-office,ether2 untagged=ether4
add bridge=br-office vlan-ids=30 tagged=br-office,ether2
add bridge=br-office vlan-ids=99 tagged=br-office,ether2

В каждой строке tagged=br-office,ether2 означает: этот VLAN проходит с тегом через trunk ether2 и доступен самому маршрутизатору через br-office. Это нужно для работы VLAN-интерфейсов и адресов шлюзов из следующего шага. Если оставить только ether2, устройства могут обмениваться кадрами через коммутатор, но не получить ожидаемый доступ к шлюзу на MikroTik. В этом проекте строки раздельные: так легче сверить выход каждого VLAN с таблицей портов. Untagged задаёт снятие тега на выходе, PVID — классификацию входящего кадра. Это разные направления обработки. Не объединяйте несколько VLAN в одну строку с access-портами без проверки: можно получить нежелательную доставку кадров. Типичные ошибки Layer 2.

5. Создайте VLAN-интерфейсы и адреса шлюзов

/interface vlan
add name=vlan10-staff interface=br-office vlan-id=10
add name=vlan20-guest interface=br-office vlan-id=20
add name=vlan30-devices interface=br-office vlan-id=30
add name=vlan99-mgmt interface=br-office vlan-id=99
/ip address
add address=10.10.10.1/24 interface=vlan10-staff
add address=10.10.20.1/24 interface=vlan20-guest
add address=10.10.30.1/24 interface=vlan30-devices
add address=10.10.99.1/24 interface=vlan99-mgmt

VLAN-интерфейсы создаются на bridge, не на физическом порту, который уже включён в него. На самом br-office обычного IP-адреса в этой схеме нет. Адреса шлюзов создают connected routes: без firewall маршрутизатор сможет передавать трафик между этими подсетями. Поэтому «создал четыре VLAN» ещё не означает «запретил гостям внутреннюю сеть».

6. Настройте DHCP для сотрудников и гостей

/ip pool
add name=pool-staff ranges=10.10.10.100-10.10.10.199
add name=pool-guest ranges=10.10.20.100-10.10.20.199
/ip dhcp-server
add name=dhcp-staff interface=vlan10-staff address-pool=pool-staff lease-time=8h disabled=no
add name=dhcp-guest interface=vlan20-guest address-pool=pool-guest lease-time=1h disabled=no
/ip dhcp-server network
add address=10.10.10.0/24 gateway=10.10.10.1 dns-server=1.1.1.1
add address=10.10.20.0/24 gateway=10.10.20.1 dns-server=1.1.1.1

В учебной схеме используется внешний DNS. В доменной сети сотрудникам обычно нужен корпоративный DNS — замените адрес и разрешите доступ к нему по матрице. На VLAN 30 и 99 DHCP здесь нет: принтеру назначьте 10.10.30.10/24 со шлюзом 10.10.30.1, административному компьютеру — 10.10.99.10/24 со шлюзом 10.10.99.1. Эти адреса не пересекаются с динамическими пулами. DHCP server и network.

7. Настройте правила доступа до подключения клиентов

Ниже — самостоятельный набор для пустого firewall. На существующем роутере порядок правил и уже разрешённые соединения могут изменить результат. Сначала создаём списки интерфейсов и адресов. INTERNET — только сотрудники и гости; оборудование не получает общий выход наружу.

/interface list
add name=VLAN-LAN
add name=INTERNET
add name=MGMT
add name=WAN
/interface list member
add list=VLAN-LAN interface=vlan10-staff
add list=VLAN-LAN interface=vlan20-guest
add list=VLAN-LAN interface=vlan30-devices
add list=VLAN-LAN interface=vlan99-mgmt
add list=INTERNET interface=vlan10-staff
add list=INTERNET interface=vlan20-guest
add list=MGMT interface=vlan99-mgmt
add list=MGMT interface=ether5
add list=WAN interface=ether1
/ip firewall address-list
add list=ADMIN address=10.10.99.10
add list=ADMIN address=192.168.254.2
add list=PRIVATE-UPSTREAM address=10.0.0.0/8
add list=PRIVATE-UPSTREAM address=172.16.0.0/12
add list=PRIVATE-UPSTREAM address=192.168.0.0/16
add list=PRIVATE-UPSTREAM address=169.254.0.0/16

input управляет обращениями к самому маршрутизатору, forward — проходящими через него пакетами. Разрешения управления ограничены одновременно интерфейсом, адресом и портом. Список IP не заменяет аутентификацию. Обработка цепочек описана в руководстве Filter.

/ip firewall filter
add chain=input action=accept connection-state=established,related comment="LAB input replies"
add chain=input action=drop connection-state=invalid
add chain=input action=accept in-interface-list=MGMT src-address-list=ADMIN protocol=tcp dst-port=22,8291 comment="LAB admin IP access"
add chain=input action=accept in-interface-list=VLAN-LAN protocol=udp src-port=68 dst-port=67 comment="LAB DHCP clients"
add chain=input action=accept in-interface-list=WAN protocol=udp src-port=67 dst-port=68 comment="LAB WAN DHCP reply"
add chain=input action=accept in-interface-list=VLAN-LAN protocol=icmp
add chain=input action=accept in-interface=ether5 protocol=icmp
add chain=input action=drop comment="LAB input deny other"
add chain=forward action=accept connection-state=established,related comment="LAB forward replies"
add chain=forward action=drop connection-state=invalid
add chain=forward action=accept in-interface=vlan99-mgmt src-address=10.10.99.10 out-interface-list=VLAN-LAN comment="LAB admin to VLANs"
add chain=forward action=accept in-interface=vlan10-staff out-interface=vlan30-devices dst-address=10.10.30.10 protocol=tcp dst-port=9100 comment="LAB staff to printer"
add chain=forward action=drop in-interface-list=INTERNET out-interface-list=WAN dst-address-list=PRIVATE-UPSTREAM comment="LAB block private upstream"
add chain=forward action=accept in-interface-list=INTERNET out-interface-list=WAN comment="LAB internet"
add chain=forward action=drop comment="LAB forward deny other"

Разрешение TCP 9100 — пример для конкретного принтера с raw printing. Если используется сервер печати или другой протокол, замените его точным правилом. Сканирование, обнаружение и печать не обязаны использовать один порт. Доступ к частным подсетям за WAN заблокирован отдельно, чтобы слово «интернет» не означало доступ к управлению модемом или внутренним сетям оператора. Для корпоративного WAN/VPN нужны отдельные продуманные исключения.

Ответы разрешены через connection tracking. Проверяйте запреты новыми соединениями: существующий разрешённый сеанс может продолжить работу. В примере нет FastTrack; не добавляйте его до приёмки политики. Connection tracking и FastTrack.

8. Закройте обходные способы управления и учтите IPv6

Следующий этап выполняется из уже проверенной IP-сессии через ether5, а не по MAC-адресу. IP firewall не закрывает MAC WinBox. В учебной схеме MAC-доступ и discovery выключены; SSH и WinBox по IP доступны только с двух административных адресов.

/tool mac-server set allowed-interface-list=none
/tool mac-server mac-winbox set allowed-interface-list=none
/tool mac-server ping set enabled=no
/ip neighbor discovery-settings set discover-interface-list=none
/tool bandwidth-server set enabled=no
/ip service disable telnet,ftp,www,www-ssl,api,api-ssl
/ip service set ssh address=10.10.99.10/32,192.168.254.2/32
/ip service set winbox address=10.10.99.10/32,192.168.254.2/32
/ip dns set allow-remote-requests=no
/ipv6 firewall filter
add chain=input action=drop comment="LAB IPv4 only input policy"
add chain=forward action=drop comment="LAB IPv4 only forward policy"

Последние две строки — намеренная политика IPv4-only для нового стенда с пустым IPv6 firewall: маршрутизируемый IPv6 и обращения к роутеру по IPv6 не разрешаются. Если бизнес использует IPv6, разработайте его политику отдельно, а не удаляйте запреты без замены. Внутри одного VLAN возможен прямой L2-обмен, включая IPv6; изоляция гостей друг от друга — отдельная задача.

Справка: MAC server, Securing your router, IP Services. Повторно откройте IP-подключение администратора, прежде чем фиксировать этап.

9. Подготовьте выход в интернет

Пример рассчитан на получение адреса по DHCP на ether1. Если оператор использует PPPoE, статический адрес или дополнительный VLAN, этот блок нужно заменить, включая состав WAN-списка. Кабель провайдера пока отключён.

/ip dhcp-client add interface=ether1 add-default-route=yes use-peer-dns=no disabled=no
/ip firewall nat add chain=srcnat out-interface-list=WAN action=masquerade comment="LAB dynamic WAN NAT"

Masquerade выбран для динамического адреса. Он не является разрешением доступа: соединение сначала должно пройти forward-политику. Проверка NAT выполняется с клиента, а не только командой ping самого роутера. NAT и masquerade.

10. Включите VLAN filtering последним

/interface bridge vlan print detail
/interface bridge port print detail
/interface vlan print
/ip address print
/ip firewall filter print
/interface bridge set [find where name="br-office"] vlan-filtering=yes

Перед последней строкой сверьте таблицу VLAN, роли портов, tagged br-office и аварийное подключение. После включения убедитесь, что новая сессия на 192.168.254.1 работает. Теперь подключайте по одному клиентскому порту и проверяйте ожидаемый сегмент. WAN подключается после проверки управляющих ограничений и правил. Непроверенное состояние Safe Mode не сохраняйте.

Что настроить на коммутаторе и точке Wi-Fi

• Uplink к ether2: tagged VLAN 10, 20, 30, 99 на обоих концах. Untagged/native VLAN в данном проекте не используется.
• Порт сотрудника: untagged VLAN 10 и PVID 10; порт оборудования — untagged VLAN 30 и PVID 30.
• Управление коммутатором: VLAN 99, например 10.10.99.2/24, шлюз 10.10.99.1; локальные ACL управления задаются и на коммутаторе.
• Порт к точке доступа: только нужные ей VLAN. Корпоративный SSID сопоставляется с 10, гостевой — с 20. Управление точкой — в 99, если модель и выбранный режим это поддерживают.

Команды здесь описывают маршрутизатор, а не произвольный коммутатор или Wi-Fi-драйвер. На другой стороне настройка обязательна: «поставить PVID 20» на одном конце trunk недостаточно. Для RouterOS WiFi, legacy wireless и CAPsMAN способы назначения VLAN различаются; их нельзя заменять одной универсальной строкой. Начните с физического access-порта, затем переносите проверенную политику на SSID.

Приёмка: проверяйте и разрешения, и запреты

Ping адреса другого интерфейса самого роутера не доказывает доступ в чужой VLAN: это input, а не forward к отдельному узлу. Проверяйте конкретный сервис на отдельном устройстве. Отказ TCP тоже нужно сопоставить со счётчиком нужного drop-правила, иначе причиной может быть выключенный принтер или firewall конечного компьютера.

Политика администратора из VLAN 99 разрешает маршрутизируемый доступ ко всем VLAN, но локальные ACL устройств могут его ограничить. Аварийный ether5 предназначен для доступа к роутеру и не получает транзитного доступа к VLAN. Для гостевой изоляции на одном SSID включайте соответствующий механизм точки доступа и проверяйте его отдельно.

Диагностика: где искать ошибку

/interface bridge vlan print detail
/interface bridge port print
/interface bridge host print
/interface vlan print
/ip dhcp-server lease print
/ip route print
/ip firewall filter print stats
/ip firewall nat print stats
/system resource print

Отсутствие кадров в захвате на CPU не всегда означает отсутствие трафика: аппаратно коммутируемые кадры могут не попасть в программный захват. Скорость проверяйте между внешними конечными узлами; генератор нагрузки на самом роутере измеряет ещё и работу его CPU. Сохраните фактические условия теста вместо обещания скорости «по модели».

Если доступ пропал: порядок возврата

1. Не фиксируйте неудачный этап Safe Mode. Сверьте его фактическое состояние и дождитесь предусмотренного возврата.
2. Подключитесь локально к ether5 с адреса 192.168.254.2/30. Он не зависит от br-office, но его IP-доступ всё равно зависит от input-правил.
3. Если требуется временно отключить фильтрацию bridge, сначала отсоедините WAN и клиентские/trunk-кабели. Иначе VLAN могут перестать разделять подключённые устройства.
4. Исправьте конкретную строку таблицы или порт, включите фильтрацию и повторите приёмку. Если возвращаете весь backup, учитывайте перезагрузку, совместимость устройства и потерю изменений после копии.

Из аварийной IP-сессии на изолированном устройстве можно временно вернуть bridge в состояние подготовки:

/interface bridge set [find where name="br-office"] vlan-filtering=no

Это диагностическое действие, а не допустимый рабочий режим. После исправления повторите этап включения и проверки. Не импортируйте полный экспорт поверх уже созданных объектов: повторные add не являются автоматическим откатом.

Разделим сеть и настроим доступ к рабочим ресурсам

Для начала пришлите модели устройств, текущую схему, список сегментов и нужных соединений. Подробнее: ИТ-аутсорсинг и обслуживание корпоративной сети.

Материалы для подготовки и проверки

Вопросы о VLAN на MikroTik