thejarne
Goto Top

Mikrotik VLAN-Konfiguration mit Ethernet-Ports und WLANs

Hallo zusammen,

ich versuche zurzeit mit einem Mikrotik hAP lite ein Netzwerk mit drei verschiedenen VLANs aufzubauen. Da ich bisher allerdings nur mit DD-WRT gearbeitet habe, was vergleichsweise wenig Funktionen hatte, blicke ich bei den vielen Einstellungen von RouterOS noch nicht ganz durch.

Ich habe hier mal in einer Skizze zusammengefasst was ich erreichen möchte:

router-konfiguration.001

Leider habe ich bisher nur Tutorials gefunden, in denen gezeigt wird, wie man einen Router mit einem AP per tagged-VLANs verbindet. Soweit ich jedoch verstanden habe, benötige ich untagged-VLANs, da ich alles auf einem Gerät mache und jeder Ethernet-Port nur ein VLAN ausgibt. An die Ethernet-Ports bzw. ins WLAN werden nur Endgeräte angeschlossen, es gibt keine weiteren Switches, APs, etc.

Also habe ich zunächst die drei verschiedenen WLANs erstellt: wlan1-verwaltung, wlan2-steuerung und wlan3-kameras.

Bei den Bridges, Switches und was auch immer komme ich jedoch nicht weiter:

1) Wie muss ich diese konfigurieren, sodass ich z.B. ETH 2 & 3 sowie wlan2-steuerung mit dem VLAN2 verbunden bekomme?
2) Wo ist der Unterschied zwischen "Interfaces > VLAN" und "Switch > VLAN"?
3) Wenn ich unter "Bridge > Ports" den Port ETH 3 oder 4 öffne, sind alle Felder ausgebaut ausgegraut, sodass ich z.B. die Bridge nicht ändern kann. Beim Master-Port ETH 2 funktioniert es, aber ich benötige ja z.B. für ETH 4 eine andere Bridge, da dieser im Kamera-VLAN sein soll.

Ganz gut verstanden habe ich die DHCP-Server und die Firewall, das sollte kein Problem sein. Wäre super, wenn mir da bei der VLAN- / Bridge- / Switch-Konfiguration jemand Licht ins Dunkle bringen könnte.

Viele Grüße und danke für eure Antworten!

Content-Key: 358462

Url: https://administrator.de/contentid/358462

Ausgedruckt am: 19.03.2024 um 04:03 Uhr

Mitglied: magicteddy
magicteddy 17.12.2017 um 21:47:56 Uhr
Goto Top
Moin,

Schnupper hier mal rein: https://forum.mikrotik.com/viewtopic.php?t=12025
anschließend habe ich den Rest alleine hinbekommen

-teddy
Mitglied: aqui
Lösung aqui 18.12.2017 um 09:35:58 Uhr
Goto Top
Das hier hilft auch:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
Schritte im Groben:
1.)
Einen Port z.B. 2 definierst du als Master Port den anderen als Slave. Beide Ports weist du dem VLAN x Interface zu.
2.)
Das Interface VLAN ist rein nur das Layewr 3 sprich das Routing Interface. Über dieses Interface wir Traffic aus und in das VLAN geroutet.
Das Switch Interface ist die reine Layer 2 Konfiguration also Tagged Untagged usw.
Siehe dazu auch hier:
VLAN Konfiguration mit dd-wrt bzw. Mikrotik hinter FritzBox ff.
3.)
Was genau meinst du mit "ausgebaut". Das Wort im Switch/Routing Kontext ist irgendwie sinnfrei ?!
Bei der Bridge is es so das du die entsprechenden Interfaces die NICHT über die Switch Funktion gekoppelt werden können damit zusammenhängst, eben "bridgest" (Layer 2 Mac Adress Basis).
In der Regel sind das insbesondere die WLAN Interfaces mit einem der LAN Interfaces. Klar, denn die WLAN Ports hängen physisch nicht am Switch Chip intern. Hier helfen also nur Bridges.
Z.B. hängst du den Port ether 2 zusammen mit dem WLAN Port um so eine Verbindung zw. dem WLAN und dem Netzwerk an diesem Port zu realisieren.
Mitglied: 134998
134998 18.12.2017 aktualisiert um 11:56:28 Uhr
Goto Top
Zitat von @aqui:
1.)
Einen Port z.B. 2 definierst du als Master Port den anderen als Slave. Beide Ports weist du dem VLAN x Interface zu.
Only for the sake of completeness I want to inform you that the master-port option will be removed soon, and replaced by a bridge config and automatic hw offload.
It has been already removed in the lastest RCs.
https://mikrotik.com/download/changelogs/release-candidate-release-tree
What's new in 6.41rc66 (2017-Dec-14 13:53):  

Important note!!! Backup before upgrade!
RouterOS (v6.40rc36-rc40 and) v6.41rc1+ contains new bridge implementation that supports hardware offloading (hw-offload).
This update will convert all interface "master-port" configuration into new bridge configuration, and eliminate "master-port" option as such.  
Bridge will handle all Layer2 forwarding and the use of switch-chip (hw-offload) will be automatically turned on based on appropriate conditions.
Best regards
Tom
Mitglied: aqui
aqui 18.12.2017 aktualisiert um 15:26:25 Uhr
Goto Top
that the master-port option will be removed soon
Deshalb sollte man es auch immer über den internen Switch direkt in HW machen wenn man es performant haben will !!
Guckst du dazu auch hier:
VLAN Konfiguration mit dd-wrt bzw. Mikrotik hinter FritzBox

Es geht in einer einfachen Konfig aber immer auch über den Master Port.
Mitglied: 134998
134998 18.12.2017 aktualisiert um 15:31:25 Uhr
Goto Top
Es geht in einer einfachen Konfig aber immer auch über den Master Port.
Sure, as long as it exists face-smile, I only wanted to inform you all face-wink that it will be history in the near future.
Mitglied: aqui
aqui 18.12.2017 aktualisiert um 17:35:25 Uhr
Goto Top
Yepp, thats true but i guess MT will (maybe) hesitate to make such a massive change in the config syntax. That will result in a big number of non functional networks and in consequence in large number of support calls.
Usually manufacturers first make both versions possible while deleting the first one after some time and after having that announced with fat letters in the release notes face-wink
Mitglied: 134998
134998 18.12.2017 um 15:42:32 Uhr
Goto Top
Yepp, thats true but i guess MT will hesitate to make such a massive change in the config syntax.
They will change it, I had a talk to one of the developers at the last MUM face-wink.
Mitglied: aqui
aqui 18.12.2017 um 17:35:00 Uhr
Goto Top
Thats interesting. Did they mention any deadline for this change ?
Mitglied: 134998
134998 18.12.2017 um 18:40:57 Uhr
Goto Top
Zitat von @aqui:

Thats interesting. Did they mention any deadline for this change ?
No, was to early, but the statements in the release candidates speak for themselves.
Mitglied: aqui
aqui 19.12.2017 um 09:25:23 Uhr
Goto Top
Overall it makes sense cause configuring the internal switch chip is a lot more logical and makes more sense than the somehow weired "master/slave" configuration. So a step in the right way....
Mitglied: thejarne
thejarne 19.12.2017 aktualisiert um 22:20:14 Uhr
Goto Top
Vielen Dank für die Antworten @magicteddy @aqui! Das hat mich schon um einiges weitergebracht.

Zu Frage 3 @aqui, da hat die Rechtschreibverbesserung wieder den Sinn verdreht, ich wollte „ausgegraut“ schreiben, also das Feld dafür ist deaktiviert.
Mitglied: aqui
aqui 20.12.2017 um 10:11:23 Uhr
Goto Top
OK, gibt es denn jetzt noch eine offene Frage die zu klären ist oder hast du das soweit schon hinbekommen ?
Mitglied: thejarne
thejarne 20.12.2017 um 21:41:30 Uhr
Goto Top
Danke, hat alles geklappt. Habe sogar herausgefunden, dass ich für meinen Netzwerk-Aufbau überhaupt keine VLANs benötige, sondern einfach mit Bridges arbeiten kann.
Mitglied: aqui
aqui 21.12.2017 um 09:38:04 Uhr
Goto Top
Wie immer ist das gefährlich, denn dann hast du einen vollen und unkontrollien Layer 2 Zugang in diese Netze.
Nicht imemr ist das gewollt, gerade bei WLANs die man von Kabel basierten Netzen immer besser per Routing trennt sollte Security im Spiel sein.
Nur mal so nebenbei....
Wenn du aber damit leben kannst und das nicht brauchst...dann alles gut !
Mitglied: colinardo
colinardo 22.12.2017 aktualisiert um 16:29:36 Uhr
Goto Top
Zitat von @aqui:

Thats interesting. Did they mention any deadline for this change ?
Servus @aqui,
heute hat RouterOS 6.41 das Licht der Welt erblickt, und die neue Bridge Implementation findet sich ab sofort im Current-Tree!
https://forum.mikrotik.com/viewtopic.php?f=21&t=128915
"Master-Port" ist damit Vergangenheit.

Frohes Fest und ein gut's Neues wünsche ich euch.
Grüße Uwe
Mitglied: aqui
aqui 22.12.2017 aktualisiert um 18:57:54 Uhr
Goto Top
Hallo Uwe !
Danke fürs Feedback !
Gleich mal installieren und etwas testen...
Dir auch fröhliche Weihnachten !