[MikroTik] VLAN niet bereikbaar

[ari3]

Ik probeer een MikroTik router te configureren:
- Ether1 is een trunk port voor VLAN 120, 190 en 99
- Ether2 t/m 5 zijn access ports.

Probleem:
- VLAN 120 werkt niet, VLAN 190 en 99 wel.

Geobserveerd:
- Ik kan op de router zelf wel 192.168.120.11 pingen, maar alle hosts in VLAN 120 op het netwerk zijn niet bereikbaar.
- Op de upstream router blijft het MAC-adres in de ARP tabel voor 192.168.120.11 leeg.
- Na reboot geen verschil in gedrag.

Gezien VLAN 190 en 99 wel werken en de configuratie voor VLAN 120 gelijkvormig is zou ik verwachten dat het zou moeten werken. Mogelijk zie ik iets over het hoofd, maar na tig keer de configuratie nagelopen te hebben zie ik het nog steeds niet. Iemand een idee waar de fout zit?

Relevante config:

code:

# jan/19/2020 17:39:27 by RouterOS 6.46.1
# model = RBD52G-5HacD2HnD
/interface bridge
add name=bridge_vlan120+190+mgt protocol-mode=none vlan-filtering=yes
/interface vlan
add interface=bridge_vlan120+190+mgt name=vlan120 vlan-id=120
add interface=bridge_vlan120+190+mgt name=vlan190 vlan-id=190
add interface=bridge_vlan120+190+mgt name=vlan_mgt vlan-id=99
/interface bridge port
add bridge=bridge_vlan120+190+mgt frame-types=\
    admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=\
    ether2 pvid=99
add bridge=bridge_vlan120+190+mgt frame-types=\
    admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=\
    ether3 pvid=120
add bridge=bridge_vlan120+190+mgt frame-types=\
    admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=\
    ether4 pvid=190
add bridge=bridge_vlan120+190+mgt frame-types=\
    admit-only-untagged-and-priority-tagged ingress-filtering=yes interface=\
    ether5 pvid=120
add bridge=bridge_vlan120+190+mgt frame-types=admit-only-vlan-tagged \
    ingress-filtering=yes interface=ether1
/interface bridge vlan
add bridge=bridge_vlan120+190+mgt tagged=bridge_vlan120+190+mgt,ether1 \
    untagged=ether2,ether3,ether4,ether5 vlan-ids=190,120,99
/ip address
add address=192.168.190.11/24 interface=vlan190 network=192.168.190.0
add address=10.10.99.11/24 interface=vlan_mgt network=10.10.99.0
add address=192.168.120.11/24 interface=vlan120 network=192.168.120.0
/ip route
add distance=1 gateway=192.168.190.1 pref-src=192.168.190.11
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked

[Thralas]

ari3 schreef op zondag 19 januari 2020 @ 18:24:
Mogelijk zie ik iets over het hoofd, maar na tig keer de configuratie nagelopen te hebben zie ik het nog steeds niet. Iemand een idee waar de fout zit?

Ik zie er in ieder geval één.

code:

/interface bridge vlan
add bridge=bridge_vlan120+190+mgt tagged=bridge_vlan120+190+mgt,ether1 \
    untagged=ether2,ether3,ether4,ether5 vlan-ids=190,120,99

Dit is bogus. Hier maak je alle 'access'-poorten member van alle drie de vlans voor egress traffic. Even uitsplitsen naar meerdere regels of simpelweg de untagged specifier weglaten: alle untagged ports krijgen al automatisch een egress vlan rule op basis van het geconfigureerde pvid - dwingt je meteen om de pvid niet te vergeten.

Of het ook de oplossing is durf ik niet te zeggen, maar er kunnen een hoop rare dingen gebeuren als je vlans leaken. In ieder geval lijkt het me niet onwaarschijnlijk dat een upstream switch nu hetzelfde mac op meerdere poorten ziet...

Zie ook Manual:Bridge_VLAN_Table, waar dit verder uitgelegd wordt.

n.b. de hAP ac² doet geen hardware bridge vlan filtering (enkel CRS3xx); als performance een ding is zul je de vlans zelf op de switch chip moeten configureren.

[ Voor 13% gewijzigd door Thralas op 26-01-2020 12:44 ]