آموزش VLAN در میکروتیک با یک سناریوی اداری

مبنای این آموزش مستندات RouterOS با برچسب نسخه 7.26 در ۱۵ اکتبر ۲۰۲۶ است. این عدد نسخه آزمایش‌شده نت‌مسترز یا توصیه نصب یک انتشار مشخص نیست؛ نام رابط‌ها و گزینه‌ها را با نسخه و دستگاه خود تطبیق دهید.

این تمرین برای کارشناس مجاز روی دستگاه جدا از شبکه فعال، با پنج رابط Ethernet است. پیش از شروع، ether5 باید خارج از هر bridge و دارای 192.168.99.1/24 باشد؛ رایانه مدیر با 192.168.99.10/24 و بدون gateway از همین پورت وارد می‌شود. ورود IP و راه بازیابی محلی یا کنسول را قبلاً بررسی کنید. ether1 تا ether3 باید آزاد از bridge، آدرس IP و DHCP قبلی باشند. اگر این شرایط برقرار نیست، فرمان‌ها را اجرا نکنید؛ آماده‌سازی دستگاه فعال نیازمند طرح انتقال جداست و با حذف کورکورانه bridge پیش‌فرض انجام نمی‌شود.

ether1 در این صفحه WAN نیست؛ سناریو از آموزش راه‌اندازی اولیه جداست. سمت مقابل trunk نیز باید از قبل برای VLANهای tagged شماره 10 و 20 آماده باشد و پورت آزمایشی access داشته باشد. برای تفاوت VLAN، subnet و routing، مفهوم VLAN را ببینید. این طرح هنوز اینترنت یا مجوز ارتباط بین گروه‌ها ایجاد نمی‌کند.

از تنظیمات فعلی بکاپ و Export بگیرید و مقدارها و اتصال مدیریت را ثبت کنید. در نشست مدیریت Safe Mode را با Ctrl+X فعال کنید و نشان SAFE را ببینید. هر تغییر را در همین بازه محدود انجام دهید؛ Safe Mode جای بکاپ یا راه بازیابی محلی نیست.

/interface/print
/interface/bridge/print detail
/interface/bridge/port/print detail
/ip/address/print detail
/ip/dhcp-client/print detail
/ip/dhcp-server/print detail

نام br-office نباید از قبل وجود داشته باشد. کابل‌های ether1 تا ether3 را جدا نگه دارید: وقتی vlan-filtering=no است، صرف نوشتن PVID و جدول VLAN جداسازی را برقرار نمی‌کند. نام فیزیکی و کاربرد واقعی هر پورت را با جدول بالا تطبیق دهید.

/interface/bridge/add name=br-office vlan-filtering=no frame-types=admit-only-vlan-tagged ingress-filtering=yes
/interface/bridge/port/add bridge=br-office interface=ether1 frame-types=admit-only-vlan-tagged ingress-filtering=yes
/interface/bridge/port/add bridge=br-office interface=ether2 pvid=10 frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes
/interface/bridge/port/add bridge=br-office interface=ether3 pvid=20 frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes

PVID فریم بدون برچسب ورودی access را به VLAN مربوط نسبت می‌دهد. trunk در این طرح فریم بدون برچسب نمی‌پذیرد. ingress-filtering عضویت پورت ورودی در VLAN را کنترل می‌کند؛ اثر این تنظیم‌ها با فعال‌شدن VLAN filtering کامل می‌شود. ether5 را به این bridge اضافه نکنید.

/interface/bridge/vlan/add bridge=br-office vlan-ids=10 tagged=ether1 untagged=ether2
/interface/bridge/vlan/add bridge=br-office vlan-ids=20 tagged=ether1 untagged=ether3
/interface/bridge/vlan/print detail where bridge=br-office
/interface/bridge/port/print detail where bridge=br-office

دو VLAN را در یک ردیف مشترک با هر دو پورت access ننویسید؛ عضویت خروجی اشتباه می‌تواند جداسازی را از بین ببرد. پس از فعال‌سازی، current-tagged و current-untagged را نیز بررسی کنید؛ عضویت پویای untagged از PVID ممکن است در خروجی دیده شود.

خود br-office مسیر منطقی bridge به CPU روتر است. اینجا آن را عضو tagged VLANهای کاربران نکرده‌ایم و روی آن IP یا رابط VLAN نمی‌سازیم، چون مدیریت از ether5 است. frame-types روی bridge نیز پذیرش untagged ناخواسته را محدود می‌کند. در نسخه‌ها و مدل‌هایی که برای عبور نرم‌افزاری یا بین تراشه‌ها ردیف پویای added by switch-cpu می‌سازند، آن ردیف را با مجوز ورود مدیریتی یکی ندانید. افزودن مدیریت یا gateway روی VLAN بعداً به طراحی رابط VLAN، عضویت CPU و فایروال نیاز دارد.

این روش برای یادگیری Bridge VLAN Filtering است؛ پردازش سخت‌افزاری و ظرفیت عبور به مدل و تراشه بستگی دارد. در خروجی پورت‌ها وضعیت H را بررسی کنید و روش مناسب مدل را در مستندات رسمی بسنجید؛ این مثال تضمین سرعت برای همه مدل‌ها نیست.

پیش از ادامه، اتصال مدیریت ether5، یک bridge با نام br-office، سه عضو صحیح و دو ردیف VLAN را تأیید کنید. اگر خروجی با نقشه سازگار نیست، همان‌جا اصلاح کنید. سپس فقط bridge جدید را فعال کنید:

/interface/bridge/set [find where name="br-office"] vlan-filtering=yes
/interface/bridge/print detail where name=br-office
/interface/bridge/vlan/print detail where bridge=br-office

اکنون کابل trunk و کلاینت‌های آزمایشی را وصل کنید. با یک نشست تازه از ether5 ورود به 192.168.99.1 را امتحان کنید. اگر مدیریت پایدار نیست، آزمون داده را ادامه ندهید و از مسیر مستقل مشکل را اصلاح کنید.

این آدرس‌ها فقط برای آزمایش جدا از شبکه فعال‌اند: رایانه A برابر 192.0.2.10/24 و B برابر 192.0.2.20/24، هر دو بدون gateway. مسیر جایگزین Wi-Fi، VPN یا رابط شبکه دوم نباشد. فایروال میزبان باید برای همین همتای آزمایش پاسخ ICMP را مجاز کند؛ خاموش‌کردن کل فایروال لازم نیست.

• A را به ether2 و B را به پورت access VLAN10 سوئیچ مقابل وصل کنید. ping بین دو کلاینت باید در هر دو جهت پاسخ بگیرد؛ این آزمون مسیر trunk مربوط به VLAN10 را هم بررسی می‌کند.
• A را به ether3 منتقل کنید و پورت B را در سوئیچ مقابل به access VLAN20 تغییر دهید. با همان آدرس‌ها و پاک‌کردن رکورد ARP همتای قبلی روی کلاینت‌ها، آزمون موفق را برای VLAN20 تکرار کنید.
• B را در VLAN20 نگه دارید و A را به ether2 برگردانید. دوباره رکورد ARP همتا را پاک و ارتباط را امتحان کنید. اکنون با وجود یکسان‌بودن subnet آزمایشی، ARP همتا و ping نباید برقرار شوند. اگر ارتباط برقرار ماند، عضویت پورت‌ها و هر اتصال جایگزین را بررسی کنید.

/interface/bridge/host/print where bridge=br-office
/interface/bridge/vlan/print detail where bridge=br-office

شکست ping به‌تنهایی اثبات جداسازی نیست: تا آزمون موفق داخل هر VLAN انجام نشده، کابل، trunk یا فایروال کلاینت هم می‌تواند علت باشد. در پایان، IPهای موقت را بردارید و آدرس‌دهی مصوب هر گروه را اعمال کنید. ایجاد DHCP، gateway و قواعد ارتباط بین VLANها مرحله طراحی جداست؛ صرف ایجاد VLAN مجوز دسترسی کاربران به هم یا به روتر را تعیین نمی‌کند.

پیش از خاموش‌کردن فیلتر یا برگشت Safe Mode، کابل trunk و پورت‌های داده این تمرین را جدا کنید؛ خاموش‌شدن فیلتر روی لینک‌های متصل می‌تواند دو گروه را به هم وصل کند. از ether5 جدول را اصلاح کنید یا تغییرهای همین نشست را برگردانید. در Safe Mode، Ctrl+D تغییرهای آن نشست را برمی‌گرداند؛ Ctrl+X خروج همراه نگه‌داشتن تغییرهاست. قطع غیرعادی نشست نیز سازوکار برگشت دارد، اما آن را جای دسترسی مستقل نگذارید.

پس از موفقیت همه آزمون‌ها از Safe Mode خارج شوید، جدول پورت‌ها و نتیجه واقعی آزمون‌ها را ثبت و بکاپ جدید بگیرید. برای بستن سرویس‌های روتر، آموزش محدودکردن مدیریت میکروتیک سناریوی جداگانه‌ای دارد.