Vlan no Mikrotik

Fala Galera,

Sou novo no fórum mas espero que vcs me deem uma luz pq o túnel aqui ta feio...rs

é o seguinte, to precisando montar uma vlan para laboratórios usando uma RB1200 e tenho a seguinte estrutura:

tenho meu gateway que é uma RB1100 que ta rodando blza, conectado a essa tenho uma RB1200 onde quero fazer a vlan. Essa Vlan vai passar por 2 switchs, ambos gerenciáveis, 3com Baseline e HP v1910, conectados por fibra.

O RB1200, entra no switch da 3com pela porta 30, o 3com sai com fibra pela porta 52 e se conecta no HP pela porta 26. As portas para onde saem os laboratórios são a 1 e a 9.

Fiz uma vlan dentro do 3com com ID 1300 e fiz o tag das portas 30 e 52, no HP criei a vlan com o msm ID e fiz o TAG das portas 1, 9, e 26.

Dentro do mikrotik para poder acessar via ip criei o endereço 172.x.x.x para poder acessá-lo já que está na minha rede atual através da porta 2 e na mesma porta(onde conecta na porta 30 do 3com), criei a vlan com o ID 1300.

Em endereços criei o endereço 192.168.0.1/24, que é a faixa que desejo para os laboratórios, e associei a vlan.

Em pool criei o pool desejado entre 192.168.0.2-192.168.0.254

Em dhcp, criei o dhcp e associei a interface - vlan e associei ao pool que eu criei da vlan.

em network criei a rede 192.168.0.0/24 com gateway 192.168.0.1

Sendo que o rb1200 se conecta ao rb1100 saindo pela porta 1 e entrando pela porta 11.

Gostaria de saber dos colegar onde estou errando porque coloco um note na porta 1 do HP e ele só pega o meu dhcp atual e se desativo ele não pega rede nenhuma, ou seja por algum motivo não ta pegando a vlan 192.

Grato pela ajuda e espero que tenha sido o mais específico possível.

Bom dia amigo.

Analisando rapidamente (dia corrido hoje, para variar!! hahaa), vejo que você fez quase tudo certo. Lá onde está ligando o note, as portas NÃO podem ser TAG (a menos que a placa de rede do note suporte VLAN, e você a crie com o ID 1300). Você tem que criar a VLAN com as portas 1,9 e 26, mas APENAS a porta 26 tem que ser TAG, pois é ela que está recebendo os pacotes "tageados". As outras duas portas precisam remover o ID para comunicar com os equipamentos sem VLAN, por isso precisam ser UNTAG.

Qualquer dúvida posta ai que ajudamos.

Abraço

Citação:

---

Postado originalmente por gamineiro

Bom dia amigo.

Analisando rapidamente (dia corrido hoje, para variar!! hahaa), vejo que você fez quase tudo certo. Lá onde está ligando o note, as portas NÃO podem ser TAG (a menos que a placa de rede do note suporte VLAN, e você a crie com o ID 1300). Você tem que criar a VLAN com as portas 1,9 e 26, mas APENAS a porta 26 tem que ser TAG, pois é ela que está recebendo os pacotes "tageados". As outras duas portas precisam remover o ID para comunicar com os equipamentos sem VLAN, por isso precisam ser UNTAG.

Qualquer dúvida posta ai que ajudamos.

Abraço

---

Muito obrigado pela resposta.

Vamos lá é a primeira vez que estou configurando uma vlan então veja bem, na placa do note eu apontei o id da vlan 1300 mas ai ele não pega nenhum ip.

mas quanto a dica que você deu de colocar elas como UNTAG vou realizar os testes e dou um retorno.

Obrigado novamente.

Olha os testes:

No switch hp dei como TAG na VLAN 1300 somente a porta 26 e como UNTAG as portas 1 e 9:

Resultado: Continuou pegando ip 172

Novamente no switch hp deixei como UNTAG as portas 1 e 9 como TAG a porta 26 e na VLAN 01 tirei o UNTAG das portas 1 e 9 e deixei as outras portas normais.

Resultado: não pega nenhum IP.

Repetindo o primeiro teste porém apontado na placa a VLAN 1300

Resultado: não pega nenhum ip

Repetindo o segundo teste porém adicionando na placa VLAN 1300

Resultado: não pega nenhum ip.

To meio perdido aqui... li muita documentação e aparentemente a parte de VLAN no switch ta certo, por algum motivo não ta chegando no dhcp novo do mikrotik.

E ai galera??

Mais alguma opinião?? Tá complicado...

Citação:

---

Postado originalmente por gamineiro

Bom dia amigo.

Analisando rapidamente (dia corrido hoje, para variar!! hahaa), vejo que você fez quase tudo certo. Lá onde está ligando o note, as portas NÃO podem ser TAG (a menos que a placa de rede do note suporte VLAN, e você a crie com o ID 1300). Você tem que criar a VLAN com as portas 1,9 e 26, mas APENAS a porta 26 tem que ser TAG, pois é ela que está recebendo os pacotes "tageados". As outras duas portas precisam remover o ID para comunicar com os equipamentos sem VLAN, por isso precisam ser UNTAG.

Qualquer dúvida posta ai que ajudamos.

Abraço

---

Gamineiro,
Pode me dar uma ajudinha neste tópico que postei?

https://under-linux.org/showthread.p...66759&p=676088

Bom dia,

Vamos "matar" esse problema hoje!! Mande as telas de configuração de todos os equipamentos. Vai dar um trabalho, mas certamente iremos corrigir o problema.

Abraço

Obs.: Vou dar uma olhada no outro tópico.

Citação:

---

Postado originalmente por gamineiro

Bom dia,

Vamos "matar" esse problema hoje!! Mande as telas de configuração de todos os equipamentos. Vai dar um trabalho, mas certamente iremos corrigir o problema.

Abraço

Obs.: Vou dar uma olhada no outro tópico.

---

Grato pela força gamineiro,
Conto com vc nessa dúvida...
Se não se importar, vou ir postando no tópico que criei para ficar mais centralizada minha questão!

Desculpa a demora grande.

Segue em anexo os prints.

Tente remover o IP da ether2. Deixa ela apenas para comunicação VLAN.

Obs.: A ether2 faz parte de alguma bridge?

Retirei o endereçamento da eth2 e testei, continua não pegando IP.

E não ta em nenhuma bridge as únicas configurações feita até agora na RB foram estas enviadas.

Problema de switch tbm não é pq já troquei e não resolveu.

Uma coisa que esqueci de falar pq não achava importante mas vi que é, é que passa outra vlan por essas portas para o wifi(hotspot), eles tagearam todas as portas de todos os swiths pq não tinham mapeamento de rede.

Para isso alterei as portas de interconexão entre os swiths para trunk (no 3com a porta 52 e no HP a porta 26) e retirei as portas que vão para os laboratórios da outra vlan.

Não resolveu...rs... to rindo aqui de nervoso não sei mais para onde ir não...rs

Agradeço a ajuda.

Caramba!!! Bom, vamos ao debug.

Primeiro, pegue o seu note que tem a placa de rede com vlan e ligue direto na ether2 do primeiro router. Se você pegar o IP certo, recoloque o cabo na ether2 e coloque o note na porta 52 do 3com, também terá que pegar o IP certo.

Vamos ver como ficam esses dois testes.

Abraço

Olá,

Coloquei direto na interface do MK e nada, fica buscando mas não encontra nada...

Então a VLAN do seu note não está funcionando. Coloque o IP e o dhcp direto na ether e teste com o seu note sem VLAN.

Rapaz.... acho q esse dhcp ta no pau pq mesmo apontando direto na placa... nada... não pega ip...

hahahaha. Acontece.

Quando consertar, nos diga como ficou.

Abraço

Fala cara,

Dei um system reset-configuration nesse trem e agora o dhcp ta funcionando e a vlan ta meio caminho andado.

Agora eu consigo pegar o ip da vlan la na interface dos laboratórios, porém, quando eu coloco untag nas portas dos laboratórios pra pegar o ip automático sem ter que apontar o id da vlan na placa, não pega.

E outra coisa, não to conseguindo rotear ela pra internet, nesse cenário a rede 192.x.x.x não tem conexão direta com a internet, eu ligo ela para a RB que é o meu gateway que está na rede 172.x.x.x, através da interface 1 porém qd crio a rota 0.0.0.0/0 pela eth1 não ping. Quando atribui um ip da minha rede para eth2 ou eth1 e coloco como gateway o ip 172.x.x.1 a rb pinga porém a rede 192 ainda não pinga.

Fiz o masquerate que vi numa video aula mas não sei se aplica nessa ocasião.

Estamos avançando falta so alguns pontos e obrigado pela força.

Opa, beleza!!! Você precisa configurar o PVID (Port ID) no switch, quando usa as portas como UNTAG. Procure esse opção e coloque o ID da VLAN em cada porta UNTAG que faz parte da VLAN.

Cara,

Shooowww de bola, ta quase redondinho...

Ta faltando só a questão do roteamento, pq a rede 192 não sai pra net e meu dns ta na rede 172, criei uma rota 0.0.0.0/0 para sair pela eth1 que liga ao meu gateway, porém nada.

Que bom!!

Agora tu precisa nos detalhar essas ligações, interfaces e IPs, para poder achar o problema do NAT. Faz um desenho no Paint mesmo, para ilustrar.

Abraço

Blza tem o anexo com o desenho ai mas vou tentar explicar.

Tenho um gateway (MK GW) que é uma RB 1100 que distribui ip 172 para toda a rede.

Tenho uma RB 1200 (MK192) que distribui ip 192 para a minha vlan.

Tenho um switch central da 3com (SW central) e um switch HP que distribui rede para o prédio A (SW prédio A).

Tenho um servidor DNS.

Vamos as conexões:

O MK192 se conecta ao MK GW, ele sai pela eth1 e entra pela eth11 no MK GW.

Esse meu MK192 se conecta ao SW central, ele sai pela eth2 e entra pela eth30 no SW Central.

Esse meu Sw central se conecta via fibra ao Sw predio A, ele sai pela eth52 e se entra pela eth26 no SW predio A

Em duas portas o SW predio A vão para os laboratórios que estão como untag, a eth1 e 9.

O meu servidor DNS está conectado diretamente ao SW central, servidor de DNS para rede 172 do MK GW.

Tenho um Servidor WEB que também está no central e com ip 172.

Também tenho um domínio com DNS configurado para a rede 192, porém essa rede tem que se conectar a páginas que estão no meu servidor web com ip 172.

No MK192 tenho a rota de endereçamento default 192.168.0.0/22 com gateway 192.168.0.1 e criei uma rota 0.0.0.0/0 com gateway porém não ta saindo pra internet.

Estou quase entendendo!! hahaha

De onde vem a internet?

No router que possui a ligação com a internet, nos mande a saída dos comandos:

Código :

---

/interface ethernet print

---

Código :

---

/ip address print

---

Código :

---

/ip route print

---

Código :

---

/ip firewall nat print

---

Cara a internet vem pela gvt e entra no MK GW conforme a figura, esqueci de por isso no desenho, entra na eth1.

segue os comandos feitos dentro do MK GW, como na figura o MK192 se conecta diretamente ao MK GW(como no desenho ele sai do MK192 pela eth1 e se conecta ao MK GW pela eth11), tem q se ter uma rota que direciona os pacotes 192 para o MK GW e eu não to sabendo fazer isso.

Coloquei as informações que considerei pertinente ao caso.

ip address print
;;; Rede GVT
0 177.x.x.x/29 177.x.x.x ether1
1 ;;; Rede Interna
172.x.x.x/20 172.x.x.x bridge1

A bridge é feita pela eth6


/interface ethernet print
# NAME MTU MAC-ADDRESS ARP MASTER-PORT SWITCH
0 ether12 1500 D4:CA:6D:2A:61:CF enabled
1 ether13 1500 D4:CA:6D:2A:61:D0 enabled
2 R ;;; Link GVT
ether1 1500 D4:CA:6D:2A:61:C4 enabled none switch2
3 ether2 1500 D4:CA:6D:2A:61:C5 enabled none switch2
4 R ;;; VPN Novacia
ether3 1500 D4:CA:6D:2A:61:C6 enabled none switch2
5 ether4 1500 D4:CA:6D:2A:61:C7 enabled none switch2
6 ether5 1500 D4:CA:6D:2A:61:C8 enabled none switch2
7 R ;;; Rede Corporativa
ether6 1500 D4:CA:6D:2A:61:C9 enabled none switch1
8 R ;;; Rede hotspot
ether7 1500 D4:CA:6D:2A:61:CA enabled none switch1
9 ether8 1500 D4:CA:6D:2A:61:CB enabled none switch1
10 ether9 1500 D4:CA:6D:2A:61:CC enabled none switch1
11 ether10 1500 D4:CA:6D:2A:61:CD enabled none switch1
12 R ether11 1500 D4:CA:6D:2A:61:CE enabled




ip route print


# DST-ADDRESS PREF-SRC
0 A S ;;; Gateway Link GVT
0.0.0.0/0
1 ADC 10.x.x.x/30 10.x.x.x

3 ADC 172.x.x.x/20 172.x.x.x





NAT


;;; Masquerade
chain=srcnat action=masquerade src-address=172.x.x.x/20
out-interface=ether1

Os clientes da rede 192 não vão para a internet?

Se for isso mesmo, crie uma regra de NAT também para essa rede, com o src-address=192.x.x.x.

Outra coisa. Você tem uma rota conectada para a rede 10.x.x.x, mas no IP address não tem esse IP.

Essa rota 10.x.x.x é de vpn, ta funcionando certinho ai num entrei em detalhes aqui não.

Vou colocar essa src nat e testar.

Mas os pacotes vai se conectar ao meu servidor web na rede 172?

Se o roteamento entre as redes passar por esse router, não.

Para isso você precisa fazer uma exceção que pode ser feita de várias maneiras, como interface, ip, etc.

Exemplo.

Em cada regra de masquerade, você coloca em dst-address o endereço da rede de destino, e marque o operador not (!).

Código :

---

/ip firewall nat add src-address=192.x.x.x/20 dst-address=!172.x.x.x/20 .....
 
/ip firewall nat add dst-address=172.x.x.x/20 src-address=!192.x.x.x/20 .....

---

Obs.: As regras estão incompletas, porque era apenas para ilustrar a configuração dos endereços.

Tente isso.

Citação:

---

Postado originalmente por gamineiro

Se o roteamento entre as redes passar por esse router, não.

Para isso você precisa fazer uma exceção que pode ser feita de várias maneiras, como interface, ip, etc.

Exemplo.

Em cada regra de masquerade, você coloca em dst-address o endereço da rede de destino, e marque o operador not (!).

Código :

---

/ip firewall nat add src-address=192.x.x.x/20 dst-address=!172.x.x.x/20 .....
 
/ip firewall nat add dst-address=172.x.x.x/20 src-address=!192.x.x.x/20 .....

---

Obs.: As regras estão incompletas, porque era apenas para ilustrar a configuração dos endereços.

Tente isso.

---

Bom eu sempre entendi oq diz mas dessa vez boiei... desculpa se estou sendo chato... mas realmente não entendi...

Código :

---

/ip firewall nat add src-address=192.x.x.x/20 dst-address=!172.x.x.x/20 .....  
 /ip firewall nat add src-address=172.x.x.x/20 dst-address=!192.x.x.x/20 .....

---

Me passei na hora de copiar a regrae inverti os parâmetros.

Em suas regras de masquerade, você não tem nada configurado em dst-address, certo?

Na regra que mascara a rede 192.x.x.x, você coloca dst-address=!172.x.x.x..

Isso quer dizer que é apenas para ir para a internet, quando o destino NÃO for a rede 172. Faça o mesmo para a outra rede que você tem.

Pode me ligar se quiser, peça o número por PVT.

Abraço

Veja bem meus testes:

No Rb192 configurei o masquerade como vc citou acima e permanece a rota 0.0.0.0/0 na eth1, a eth que liga a RB192 a RB GW, porém sem sucesso.

Testei tbm sem a rota no RB192, porém sem sucesso.

Exclui o masquerade da RB192 e configurei na RB Gw porém ainda sem sucesso, sem acesso a internet

Rapaz fiz um trem aqui, num sei se ta certo mas ta roteando direitinho.

Na eth2, que é ligada na minha rede normal coloquei como address um ip da rede 172.

Na hora de fazer o nat com masquerade, coloquei pra fazer na eth2 sem a exceção !172.x.x.x/20.

Rodou beleza agora.

Segunda feira vou testar o nmap e verificar se não acha nada da outra rede.

Só para finalizar,

Configurei regras que bloqueiam nmap para minha rede 172.x.x.x e proibi acesso as principais portas...

Vou ver como vai ficar em produção.

Agradeço todo e qualquer auxílio.

Se tiver alguma ressalva ou algo que esteja errado só dizer.

Abs-