Несколько VLAN, свичи последовательно, роутер один - как правильно?

[ArtemRoot]

Здравствуйте!
Возникло много вопросов по VLAN, прошу помочь)
1) Прочитал https://wiki.mikrotik.com/wiki/Manual:Bridge_VLAN_Table и вот никак не могу применить данный мануал к своей схеме сети. Верно я понимаю, что в примере на Вики в качестве switch c портами ether3 \ ether2 указан тоже некий настраиваемый свич с RoutesOS?
2) Как грамотно реализовать работу VLAN в такой вот схеме сети (изменить ее пока невозможно) на Mikrotik RB4011igs?

net_forum.jpg

??
3) Сейчас сделано так - в interfaces \ interface на дефолтном bridge повешены 3 vlan interfaces (18,20,100)
На этих vlan соответственно на каждом adresses и dhcp-pool и dhcp-server
НО, и на самом корневом bridge также повешен adresses vlan1 (дефолтный) и dhcp-pool и dhcp-server.

net_forum2.jpg

Как-то это неправильно? Правильно вроде бы реализовать через bridge \ vlans, но сколько не искал внятного мануала и не тестировал его - не работает.
Подскажите четкий алгоритм, как модернизировать имеющуюся структуру более правильно?

[Chupaka]

Приветствую.

1. Любой управляемый свитч. Всё работает по стандарту 802.1q, поэтому привязки к вендору нет.

2.3. Что у вас входит в "дефолтный бридж"? Вся локалка, а вам надо только eth2 и eth3? Чтобы реализовать это через Bridge/VLANs, надо бридж переключить в режим VLAN Filtering - это написано во втором предложении в статье При этом в Bridge/VLAN надо соответствующие интерфейсы VLAN добавить как tagged. При этом вы лишитесь hardware offloading на портах бриджа. Если это критично - официальная документация отправляет смотреть https://wiki.mikrotik.com/wiki/Manual:B ... _switching

[ArtemRoot]

Спасибо!
1. Свичи HP 1920s, на них добавлены vlan, и магистральные порты настроены так - входят в во все vlan(18\20\100 - tagged) (vlan1 -untagged)/ Свичи, как видно на схеме, выстроены в цепочку, передают трафик друг через друга через эти магистральные порты до роутера. Это верно? Подключить все свичи в роутер пока нельзя, но на будущее есть такое желание (приобретением роутера с множеством sfp портов, и от каждого свича - свое волокно разварить, и вот каждый свич будет смотреть в определенный порт роутера) Это я правильно мыслю или не очень?


2.Сейчас в дефолтный бридж входят все порты роутера.

net_forum3.jpg

Вот и выходит, что dhcp для этого бриджа работает на всех портах. Внутри этого бриджа есть бриджи с vlan-ами, на которых свои dhcp и addresses, вот это-то мне и кажется неправильным

Чтобы реализовать это через Bridge/VLANs, надо бридж переключить в режим VLAN Filtering

- на тестовой среде (с таким же роутером и свичом у меня не заработало почему-то. Т.е. я сделал все так, как сказано:
1)bridge \ add bridge100, на нем vlan100, на нем свои dhcp100 и addresses100, потом включаю vlan filtering.
2)на свиче магистральный порт делаю так - в него входят в во все vlan(18\20\100 - tagged) (vlan1 -untagged)
3)магистральным портом подключаю в роутер в порт допустим ether2, на котором висит все то, что описано в 1)
4) делаю все аналогично для vlan20, как в п.1), и тут главный вопрос - на что вешать? на порт ether2 нельзя, там уже есть. На bridge100 можно, но тогда точка получает адрес из сети 100...
Вот это я никак не пойму, вот вообще(((

[Chupaka]

1. Да, в целом, нормально.

2. Тут что-то всё смешалось...

Внутри этого бриджа есть бриджи с vlan-ами

Наверное, не бриджи, а просто VLAN'ы. То, что вы их назвали bridge*, не делает их бриджами

вот это-то мне и кажется неправильным

Всё правильно: вам надо на бридже принять тегированные пакеты и обработать их на роутере. Для этого вы создаёте интерфейс VLAN - как логический объект, который будет заниматься обработкой соответствующих пакетов.

По тестовой схеме: так вы создаёте Bridge/VLAN после включения VLAN Filtering на бридже, или вы просто создаёте интерфейс VLAN в Interfaces, а не в меню Bridge/VLAN?
Вы, может, лучше покажите итоговые настройки из "/export hide-sensitive" в Терминале, чтобы информация не терялась за туманным описанием?

[ArtemRoot]

Спасибо! Да я обязательно покажу, чуть позже,как расправлюсь с текущей работой, просто пока нет времени сесть за тесты