نکات کلیدی
- /interface bridge vlan add bridge=bridge-lan vlan-ids=10 tagged=bridge-lan untagged=ether2
- /interface bridge vlan add bridge=bridge-lan vlan-ids=20 tagged=bridge-lan untagged=ether3
- /interface bridge vlan add bridge=bridge-lan vlan-ids=30 tagged=bridge-lan
یک سوئیچ و یک روتر میکروتیک می‌توانند چند شبکه مستقل بسازند؛ این راهنما از تعریف Bridge تا DHCP و مسیریابی بین VLAN را با دستورهای واقعی نشان می‌دهد.
- VLAN یک شبکه منطقی روی زیرساخت فیزیکی مشترک است و دامنه پخش را کوچک می‌کند.
- پورت Access به یک VLAN تعلق دارد؛ پورت Trunk چند VLAN برچسب‌خورده را عبور می‌دهد.
- در RouterOS کار با VLAN روی Bridge و با فعال‌سازی VLAN Filtering انجام می‌شود.
- مسیریابی بین VLAN نیازمند آدرس‌دهی و قواعد فایروال است، نه فقط ساخت VLAN.
VLAN چیست و چه مشکلی را حل می‌کند؟
شبکه محلی مجازی یا VLAN، گروه‌بندی منطقی دستگاه‌هاست؛ دستگاه‌هایی که ممکن است روی یک سوئیچ مشترک باشند، اما گویی در شبکه‌های جدا کار می‌کنند. نتیجه اصلی، کوچک‌شدن دامنه پخش است: ترافیک پخش هر گروه محدود به همان گروه می‌ماند و ظرفیت شبکه برای کارهای واقعی آزاد می‌شود.
دلیل دوم، امنیت است. با جدا کردن شبکه کارکنان از شبکه مهمان، دوربین‌ها از رایانه‌های اداری و تلفن‌ها از سرورها، یک آلودگی در یک بخش به بخش دیگر سرایت نمی‌کند. دلیل سوم، نظم مدیریتی است: می‌توانید برای هر گروه سیاست آدرس‌دهی و قواعد فایروال مستقل تعریف کنید.
سه مفهوم کلیدی پیش از شروع
| مفهوم | معنا در عمل | نشانه اشتباه رایج |
|---|---|---|
| Access | پورت متصل به دستگاه نهایی؛ فقط عضو یک VLAN | پورت دستگاه نهایی به‌اشتباه Trunk تنظیم شده |
| Trunk | پورت بین سوئیچ‌ها یا به روتر که چند VLAN را عبور می‌دهد | فراموش‌کردن افزودن VLAN به فهرست مجاز |
| PVID | شناسه‌ای که فریم‌های بدون برچسب روی پورت دریافت می‌کنند | PVID نادرست، دستگاه را به VLAN اشتباه می‌برد |
گام یک: ساخت Bridge و تعریف VLANها
در RouterOS مدرن، VLANها روی یک Bridge تعریف می‌شوند. ابتدا Bridge را بسازید، سپس برای هر شبکه یک رابط VLAN روی همان Bridge ایجاد کنید:
گام دو: تخصیص پورت‌ها
هر پورت دستگاه نهایی با PVID به VLAN خودش وصل می‌شود و پورت اتصال به سوئیچ دیگر یا به سرور مجازی‌سازی، Trunk در نظر گرفته می‌شود. سپس VLANها در جدول Bridge ثبت می‌شوند:
نکته مهم این است که رابط Bridge باید در هر VLAN به‌صورت tagged ثبت شود؛ در غیر این صورت، خود روتر به آن شبکه دسترسی ندارد و آدرس‌دهی روی رابط VLAN کار نمی‌کند.
گام سه: آدرس‌دهی و سرویس DHCP برای هر VLAN
برای هر VLAN یک آدرس روی رابط VLAN تعریف کنید و یک محدوده و سرور DHCP مستقل بسازید. جداسازی محدوده‌ها، مدیریت و عیب‌یابی را ساده می‌کند:
گام چهار: مسیریابی بین VLANها و کنترل دسترسی
وقتی هر VLAN آدرس دروازه خودش را دارد، روتر به‌طور طبیعی بین آن‌ها مسیریابی می‌کند. اما مسیریابی نباید بی‌قاعده باشد: باید مشخص کنید کدام شبکه اجازه دسترسی به کدام سرویس را دارد. سه قاعده پایه تقریباً در همه پروژه‌ها لازم است:
- شبکه مهمان فقط به اینترنت دسترسی داشته باشد و به شبکه داخلی نرسد.
- شبکه تلفن یا دوربین فقط با سرور مربوط خودش ارتباط داشته باشد.
- شبکه کاربران به سرورهای فایل و چاپگر دسترسی داشته باشد، اما نه برعکس.
گام پنج: فعال‌سازی و تست
عیب‌یابی سریع
| نشانه | علت محتمل | اقدام |
|---|---|---|
| دستگاه آدرس نمی‌گیرد | PVID نادرست یا DHCP روی VLAN اشتباه | پورت و رابط DHCP را بررسی کنید |
| بین VLANها پینگ نمی‌رود | نبود آدرس روی رابط VLAN | آدرس دروازه هر VLAN را تعریف کنید |
| ترافیک از Trunk عبور نمی‌کند | VLAN در فهرست مجاز نیست | VLAN را در جدول Bridge ثبت کنید |
| همه شبکه‌ها به هم دسترسی دارند | نبود قاعده فایروال | قواعد forward را تعریف کنید |
| پس از فعال‌سازی قطع شد | ناهماهنگی تنظیمات Bridge و پورت | تنظیمات پورت را بازبینی و مرحله‌ای فعال کنید |
✓ مزایا
- کوچک‌شدن دامنه پخش و بهبود کارایی شبکه | جداسازی مهمان از شبکه داخلی | امکان تعریف سیاست آدرس‌دهی و فایروال مستقل
✕ معایب
- نیاز به تجهیزات مدیریتی سازگار | حساسیت بالا به تنظیم PVID و Trunk | خطر قطع دسترسی مدیریتی در زمان فعال‌سازی
