Хроники связи СВО

QinQ - практика. Продолжаем. Есть сеть провайдера, через которую надо передать телефонию, интернет и управление своими коммутаторами. Для примера возьмём CRS106-1C-5S с RouterOS 7. Пять гигабитных SFP-портов, один комбинированный RJ45/SFP, процессор 400 МГц, 128 МБ памяти. Комбинированный порт работает через медь либо оптику, одновременно использовать обе его части нельзя. Небольшой корпус, пассивное охлаждение, никаких вентиляторов. При ориентире около 3000 рублей за б/у устройство получается бюджетно. SFP-модули считаем отдельно. Надёжность конкретного экземпляра, конечно, зависит и от его состояния. У CRS106 есть аппаратная обработка VLAN. Именно её и используем: процессор здесь скромный. Настройку для CRS3xx с включением bridge VLAN filtering на него механически переносить не надо. Наша схема: • sfp1 — подключение к провайдеру, внешний VLAN 500. • sfp2 — транк в свою сеть. • VLAN 10 и 100 — две сети управления. • VLAN 200 — телефония. • VLAN 400 — интернет. На sfp1 кадр несёт два тега: [500][внутренний VLAN]. На sfp2 остаётся внутренний тег. В обратную сторону внешний добавляется снова. Договоримся об условиях: внешний TPID — 0x88a8, внутренний — 0x8100. Провайдер должен подтвердить эти значения и передачу кадров нужного размера. Для Ethernet с полезной нагрузкой 1500 байт и двумя тегами это 1526 байт с FCS. В терминах RouterOS физическому порту требуется L2MTU не меньше 1508. Команды рассчитаны на чистую конфигурацию: sfp1 и sfp2 свободны, старых switch-правил нет. Заводской bridge тоже считается существующей конфигурацией. Настраиваем через отдельное подключение управления или консоль. Параметр bridge-type действует на весь switch-чип. Создаём мост с аппаратной коммутацией. VLAN filtering здесь оставляем выключенным: фильтрацию настроим в switch-чипе. /interface bridge add name=br-qinq vlan-filtering=no /interface bridge port add bridge=br-qinq interface=sfp1 hw=yes add bridge=br-qinq interface=sfp2 hw=yes Для кадров из своей сети назначаем внешний VLAN 500: /interface ethernet switch ingress-vlan-translation add ports=sfp2 customer-vid=10 new-service-vid=500 add ports=sfp2 customer-vid=100 new-service-vid=500 add ports=sfp2 customer-vid=200 new-service-vid=500 add ports=sfp2 customer-vid=400 new-service-vid=500 Внешний тег выдаём только в сторону провайдера. Разрешаем сервисный VLAN между двумя портами и включаем проверку принадлежности: /interface ethernet switch egress-vlan-tag add tagged-ports=sfp1 vlan-id=500 /interface ethernet switch vlan add ports=sfp1,sfp2 vlan-id=500 /interface ethernet switch set bridge-type=service-vid-used-as-lookup-vid set drop-if-invalid-or-src-port-not-member-of-vlan-on-ports=sfp1,sfp2 На sfp2 внешний тег снимается, внутренние сохраняются. Обе сети управления проходят дальше вместе с телефонией и интернетом. Адрес управления самому CRS этими командами не назначается. Есть тонкость: со стороны провайдера фильтрация проверяет внешний VLAN 500. Отдельного белого списка внутренних VLAN на этом входе мы не сделали. Его задают отдельно на границе своей сети. Проверяем: /interface bridge port print /interface ethernet print detail /interface ethernet switch vlan print /interface ethernet switch ingress-vlan-translation print У портов моста ожидаем флаг H. Затем проверяем связь отдельно в каждом внутреннем VLAN и передачу полноразмерных пакетов. Маленький ping ещё не подтверждает, что с MTU всё хорошо. Communicatio est victoria. — Душнила t.me/zas_svo vk.com/zas_svo #СВО #связь #QinQ #MikroTik