미크로틱 라우터와 스위치를 활용한 VLAN구성.., 제대로 됐는지 확인 부탁드려도 될까요?

해외구매 more

검색 목록

쓰기

미크로틱 라우터와 스위치를 활용한 VLAN구성.., 제대로 됐는지 확인 부탁드려도 될까요?

떠블류

2022-07

2022-07-15 14:59:00

조회 3616 추천 0

아래에도 VLAN 구성관/144; 문1032;를 드/160;었ǉ16;데요,

0149;,148;님께서 상세한 가1060;드를 해1452;셔서 1060;해에 많1008; 도움1060; .104;었습니다. 다시한번 감사1032; 말씀1012; 드립니다.

1060;1204; 문1032;와 1060;Ǻ12;1652; 내용1077;니다만, 

다1020;과 그림과 같1060; 포트단위 VLAN1012; 구성Ȣ16;/140;고 합니다.

,148;물과 기능1060; ǥ16;산.104;Ǻ12; 1080;ǉ16; 환ᅆ1;에서, VLAN1012; 구성Ȣ16;여 기능별 ᇼ1;1068;네트웍1004;/196; 1060;용Ȣ16;/140;ǉ16; 목1201;1077;니다.

0120;크/196;ᔘ1; 매뉴얼, 2CPU 사1060;트1088;료, 유ț16;브1088;료 그리고 가1060;드해1452;신 내용1012; 0148;ᓢ1;1004;/196; 라우터와 스위치1032; Configuration1012; 1676;보았습니다

빠1652;ǥ12;ǥ16;1008; 없ǉ16;1648;?, 수1221;할 ǥ12;ǥ16;1008; 없ǉ16;1648; 봐1452;시면 감사Ȣ16;,192;습니다.

<라우터 CCR1009 Configuration>

/interface bridge

add name="bridge-common"

add name=bridge-VLAN vlan-filtering=yes

/interface vlan

add interface=bridge-VLAN name="VLAN-10" vlan-id=10

add interface=bridge-VLAN name="VLAN-20" vlan-id=20

add interface=bridge-VLAN name="VLAN-99" vlan-id=99

/interface wireless security-profiles

set [ find default=yes ] supplicant-identity=MikroTik

/ip pool

add name=dhcp_pool0 ranges=192.168.110.2-192.168.110.254

add name=dhcp_pool1 ranges=192.168.120.2-192.168.120.254

add name=dhcp_pool2 ranges=192.168.100.2-192.168.100.254

/ip dhcp-server

add address-pool=dhcp_pool0 disabled=no interface="VLAN-10" name=\

    dhcp1

add address-pool=dhcp_pool1 disabled=no interface="VLAN-20" name=dhcp2

add address-pool=dhcp_pool2 disabled=no interface="bridge-common" name=\

    dhcp3

/interface bridge port

add bridge=bridge-VLAN interface=sfp-sfpplus1

add bridge=bridge-VLAN interface=combo1

add bridge=bridge-VLAN interface=ether2

add bridge=bridge-VLAN interface=ether3

add bridge=bridge-VLAN interface=ether4 pvid=10

add bridge=bridge-VLAN interface=ether5 pvid=10

add bridge="bridge-common" interface=ether6

add bridge="bridge-common" interface=ether7

/interface bridge vlan

add bridge=bridge-VLAN tagged=sfp-sfpplus1,combo1,ether2,ether3,bridge-VLAN \

    untagged=ether4,ether5 vlan-ids=10

add bridge=bridge-VLAN tagged=\

    sfp-sfpplus1,combo1,ether2,ether3,ether4,ether5,bridge-VLAN vlan-ids=20

add bridge=bridge-VLAN tagged=\

    sfp-sfpplus1,combo1,ether2,ether3,ether4,ether5,bridge-VLAN vlan-ids=99

/ip address

add address=192.168.110.1/24 interface="VLAN-10" network=\

    192.168.110.0

add address=192.168.120.1/24 interface="VLAN-20" network=192.168.120.0

add address=192.168.199.1/24 interface="VLAN-99" network=\

    192.168.199.0

add address=192.168.100.1/24 interface="bridge-common" network=\

    192.168.100.0

/ip dhcp-client

add disabled=no interface=ether1

/ip dhcp-server network

add address=192.168.100.0/24 dns-server=8.8.8.8 gateway=192.168.100.1

add address=192.168.110.0/24 gateway=192.168.110.1

add address=192.168.120.0/24 gateway=192.168.120.1

/ip firewall address-list

add address=192.168.110.0/24 list=Shindoch-VLAN

add address=192.168.120.0/24 list=Shindoch-VLAN

/ip firewall filter

add action=accept chain=input comment="accept established,related" connection-state=established,related

add action=drop chain=input comment="drop invalid packet" connection-state=invalid

add action=accept chain=input comment="allow ICMP" in-interface=ether1 protocol=icmp

add action=accept chain=input comment="allow Winbox" in-interface=ether1 port=8291 protocol=tcp

add action=drop chain=input comment="block everything else" in-interface=ether1

add action=drop chain=forward comment="Block User Traffic to Management Vlan" dst-address=192.168.199.0/24 src-address-list=UserNetwork

/ip firewall nat

add action=masquerade chain=srcnat

add action=dst-nat chain=dstnat comment="Link to Media Server (NAS)" dst-address=190.10.0.2 dst-port=80 protocol=tcp to-addresses=192.168.110.200 to-ports=3927

<스위치 CRS-326-1 Configuration>

/interface bridge

#add name=bridge-CRS326-1 vlan-filtering=no

add name=bridge-CRS326-1 vlan-filtering=yes

/interface vlan

add interface=bridge-CRS326-1 name="VLAN-99" vlan-id=99

/interface bridge port

add bridge=bridge-CRS326-1 interface=ether2 pvid=10

add bridge=bridge-CRS326-1 interface=ether3 pvid=10

add bridge=bridge-CRS326-1 interface=ether4 pvid=10

add bridge=bridge-CRS326-1 interface=ether5 pvid=10

add bridge=bridge-CRS326-1 interface=ether6 pvid=10

add bridge=bridge-CRS326-1 interface=ether7 pvid=10

add bridge=bridge-CRS326-1 interface=ether8 pvid=10

add bridge=bridge-CRS326-1 interface=ether9 pvid=10

add bridge=bridge-CRS326-1 interface=ether10 pvid=10

add bridge=bridge-CRS326-1 interface=ether11 pvid=10

add bridge=bridge-CRS326-1 interface=ether12 pvid=10

add bridge=bridge-CRS326-1 interface=ether13 pvid=10

add bridge=bridge-CRS326-1 interface=ether14 pvid=10

add bridge=bridge-CRS326-1 interface=ether15 pvid=10

add bridge=bridge-CRS326-1 interface=ether16 pvid=10

add bridge=bridge-CRS326-1 interface=ether17 pvid=20

add bridge=bridge-CRS326-1 interface=ether18 pvid=20

add bridge=bridge-CRS326-1 interface=ether19 pvid=20

add bridge=bridge-CRS326-1 interface=ether20 pvid=20

add bridge=bridge-CRS326-1 interface=ether21 pvid=20

add bridge=bridge-CRS326-1 interface=ether22 pvid=20

add bridge=bridge-CRS326-1 interface=ether23 pvid=20

add bridge=bridge-CRS326-1 interface=ether24 pvid=20

add bridge=bridge-CRS326-1 interface=ether1

add bridge=bridge-CRS326-1 interface=sfp-sfpplus1

add bridge=bridge-CRS326-1 interface=sfp-sfpplus2

/interface bridge vlan

add bridge=bridge-CRS326-1 tagged=ether1,sfp-sfpplus1,sfp-sfpplus2 untagged=ether2,ether3,ether4,ether5,ether6,ether7,ether8,ether9,ether10,ether11,ether12,ether13,ether14,ether15,ether16 vlan-ids=10

add bridge=bridge-CRS326-1 tagged=ether1,sfp-sfpplus1,sfp-sfpplus2 untagged=ether17,ether18,ether19,ether20,ether21,ether22,ether23,ether24 vlan-ids=20

add bridge=bridge-CRS326-1 tagged=ether1,sfp-sfpplus1,sfp-sfpplus2,bridge-CRS326-1 vlan-ids=99

/ip address

add address=192.168.199.2/24 interface="VLAN-99" network=192.168.199.0

/ip route

add distance=1 gateway=192.168.199.1

<스위치 CRS-326-2 Configuration>

/interface bridge

add name=bridge-CRS326-2 vlan-filtering=yes

/interface vlan

add interface=bridge-CRS326-2 name="VLAN-99" vlan-id=99

/interface bridge port

add bridge=bridge-CRS326-2 interface=ether1 pvid=10

add bridge=bridge-CRS326-2 interface=ether2 pvid=10

add bridge=bridge-CRS326-2 interface=ether3 pvid=10

add bridge=bridge-CRS326-2 interface=ether4 pvid=10

add bridge=bridge-CRS326-2 interface=ether5 pvid=10

add bridge=bridge-CRS326-2 interface=ether6 pvid=10

add bridge=bridge-CRS326-2 interface=ether7 pvid=10

add bridge=bridge-CRS326-2 interface=ether8 pvid=10

add bridge=bridge-CRS326-2 interface=ether9 pvid=10

add bridge=bridge-CRS326-2 interface=ether10 pvid=10

add bridge=bridge-CRS326-2 interface=ether11 pvid=10

add bridge=bridge-CRS326-2 interface=ether12 pvid=10

add bridge=bridge-CRS326-2 interface=ether13 pvid=10

add bridge=bridge-CRS326-2 interface=ether14 pvid=10

add bridge=bridge-CRS326-2 interface=ether15 pvid=10

add bridge=bridge-CRS326-2 interface=ether16 pvid=10

add bridge=bridge-CRS326-2 interface=ether17 pvid=20

add bridge=bridge-CRS326-2 interface=ether18 pvid=20

add bridge=bridge-CRS326-2 interface=ether19 pvid=20

add bridge=bridge-CRS326-2 interface=ether20 pvid=20

add bridge=bridge-CRS326-2 interface=ether21 pvid=20

add bridge=bridge-CRS326-2 interface=ether22 pvid=20

add bridge=bridge-CRS326-2 interface=ether23 pvid=20

add bridge=bridge-CRS326-2 interface=ether24 pvid=20

add bridge=bridge-CRS326-2 interface=sfp-sfpplus1

add bridge=bridge-CRS326-2 interface=sfp-sfpplus2

/interface bridge vlan

add bridge=bridge-CRS326-2 tagged=sfp-sfpplus1,sfp-sfpplus2 untagged=ether1,ether2,ether3,ether4,ether5,ether6,ether7,ether8,ether9,ether10,ether11,ether12,ether13,ether14,ether15,ether16 vlan-ids=10

add bridge=bridge-CRS326-2 tagged=sfp-sfpplus1,sfp-sfpplus2 untagged=ether17,ether18,ether19,ether20,ether21,ether22,ether23,ether24 vlan-ids=20

add bridge=bridge-CRS326-2 tagged=sfp-sfpplus1,sfp-sfpplus2,bridge-CRS326-2 vlan-ids=99

/ip address

add address=192.168.199.3/24 interface="VLAN-99" network=192.168.199.0

/ip route

add distance=1 gateway=192.168.199.1



박건 2022-07 와... 고생좀 하셨겠습니다. 한가지, 라우터에서 src-address-list=UserNetwork 부분이 지정이 안되어 있네요. Shindoch-VLAN로 수정하시면 되겠습니다. 그리고, 포트포워딩 사용시, 방화벽 input체인에서 해당포트를 열어줘야 합니다. 와... 고생좀 하셨겠습니다. 한가지, 라우터에서 src-address-list=UserNetwork 부분이 지정이 안되어 있네요. Shindoch-VLAN로 수정하시면 되겠습니다. 그리고, 포트포워딩 사용시, 방화벽 input체인에서 해당포트를 열어줘야 합니다.



떠블류 2022-07 조언 주신대로 다음과 같이 수정했습니다. add action=drop chain=forward comment="Block User Traffic to Management Vlan" dst-address=192.168.199.0/24 src-address-list=Shindoch-VLAN 추가로 Firewall을 보강하기 위해서 "Building Your First Firewall" 문서 (https://help.mikrotik.com/docs/display/ROS/Building+Your+First+Firewall) 를 참고하여, 다음과 같이 Firewall항목을 추가하려고 합니다. 괜찮겠는지요? #라우터 자체 보호 /ip firewall filter add action=accept chain=input comment="default configuration" connection-state=established,related add action=accept chain=input src-address-list=allowed_to_router add action=accept chain=input protocol=icmp add action=drop chain=input /ip firewall address-list add address=192.168.100.2-192.168.100.254 list=allowed_to_router add address=192.168.110.2-192.168.110.254 list=allowed_to_router add address=192.168.120.2-192.168.120.254 list=allowed_to_router add address=192.168.199.2-192.168.199.254 list=allowed_to_router # #LAN 장치 보호 /ip firewall address-list add address=0.0.0.0/8 comment=RFC6890 list=not_in_internet add address=172.16.0.0/12 comment=RFC6890 list=not_in_internet add address=192.168.0.0/16 comment=RFC6890 list=not_in_internet add address=10.0.0.0/8 comment=RFC6890 list=not_in_internet add address=169.254.0.0/16 comment=RFC6890 list=not_in_internet add address=127.0.0.0/8 comment=RFC6890 list=not_in_internet add address=224.0.0.0/4 comment=Multicast list=not_in_internet add address=198.18.0.0/15 comment=RFC6890 list=not_in_internet add address=192.0.0.0/24 comment=RFC6890 list=not_in_internet add address=192.0.2.0/24 comment=RFC6890 list=not_in_internet add address=198.51.100.0/24 comment=RFC6890 list=not_in_internet add address=203.0.113.0/24 comment=RFC6890 list=not_in_internet add address=100.64.0.0/10 comment=RFC6890 list=not_in_internet add address=240.0.0.0/4 comment=RFC6890 list=not_in_internet add address=192.88.99.0/24 comment="6to4 relay Anycast [RFC 3068]" list=not_in_internet # /ip firewall filter add action=fasttrack-connection chain=forward comment=FastTrack connection-state=established,related add action=accept chain=forward comment="Established, Related" connection-state=established,related add action=drop chain=forward comment="Drop invalid" connection-state=invalid log=yes log-prefix=invalid add action=drop chain=forward comment="Drop incoming packets that are not NAT`ted" connection-nat-state=!dstnat \ connection-state=new in-interface=ether1 log=yes log-prefix=!NAT add action=jump chain=forward comment="jump to ICMP filters" jump-target=icmp protocol=icmp add action=drop chain=forward comment="Drop incoming from internet which is not public IP" in-interface=ether1 \ log=yes log-prefix=!public src-address-list=not_in_internet # #"icmp" 체인에서 필요한 icmp 코드만 허용: add action=accept chain=icmp comment="echo reply" icmp-options=0:0 protocol=icmp add action=accept chain=icmp comment="net unreachable" icmp-options=3:0 protocol=icmp add action=accept chain=icmp comment="host unreachable" icmp-options=3:1 protocol=icmp add action=accept chain=icmp comment=\ "host unreachable fragmentation required" icmp-options=3:4 protocol=icmp add action=accept chain=icmp comment="allow echo request" icmp-options=8:0 protocol=icmp add action=accept chain=icmp comment="allow time exceed" icmp-options=11:0 protocol=icmp add action=accept chain=icmp comment="allow parameter bad" icmp-options=12:0 protocol=icmp add action=drop chain=icmp comment="deny all other types" 조언 주신대로 다음과 같이 수정했습니다. add action=drop chain=forward comment="Block User Traffic to Management Vlan" dst-address=192.168.199.0/24 src-address-list=Shindoch-VLAN 추가로 Firewall을 보강하기 위해서 "Building Your First Firewall" 문서 (https://help.mikrotik.com/docs/display/ROS/Building+Your+First+Firewall) 를 참고하여, 다음과 같이 Firewall항목을 추가하려고 합니다. 괜찮겠는지요? #라우터 자체 보호 /ip firewall filter add action=accept chain=input comment="default configuration" connection-state=established,related add action=accept chain=input src-address-list=allowed_to_router add action=accept chain=input protocol=icmp add action=drop chain=input /ip firewall address-list add address=192.168.100.2-192.168.100.254 list=allowed_to_router add address=192.168.110.2-192.168.110.254 list=allowed_to_router add address=192.168.120.2-192.168.120.254 list=allowed_to_router add address=192.168.199.2-192.168.199.254 list=allowed_to_router # #LAN 장치 보호 /ip firewall address-list add address=0.0.0.0/8 comment=RFC6890 list=not_in_internet add address=172.16.0.0/12 comment=RFC6890 list=not_in_internet add address=192.168.0.0/16 comment=RFC6890 list=not_in_internet add address=10.0.0.0/8 comment=RFC6890 list=not_in_internet add address=169.254.0.0/16 comment=RFC6890 list=not_in_internet add address=127.0.0.0/8 comment=RFC6890 list=not_in_internet add address=224.0.0.0/4 comment=Multicast list=not_in_internet add address=198.18.0.0/15 comment=RFC6890 list=not_in_internet add address=192.0.0.0/24 comment=RFC6890 list=not_in_internet add address=192.0.2.0/24 comment=RFC6890 list=not_in_internet add address=198.51.100.0/24 comment=RFC6890 list=not_in_internet add address=203.0.113.0/24 comment=RFC6890 list=not_in_internet add address=100.64.0.0/10 comment=RFC6890 list=not_in_internet add address=240.0.0.0/4 comment=RFC6890 list=not_in_internet add address=192.88.99.0/24 comment="6to4 relay Anycast [RFC 3068]" list=not_in_internet # /ip firewall filter add action=fasttrack-connection chain=forward comment=FastTrack connection-state=established,related add action=accept chain=forward comment="Established, Related" connection-state=established,related add action=drop chain=forward comment="Drop invalid" connection-state=invalid log=yes log-prefix=invalid add action=drop chain=forward comment="Drop incoming packets that are not NAT`ted" connection-nat-state=!dstnat \ connection-state=new in-interface=ether1 log=yes log-prefix=!NAT add action=jump chain=forward comment="jump to ICMP filters" jump-target=icmp protocol=icmp add action=drop chain=forward comment="Drop incoming from internet which is not public IP" in-interface=ether1 \ log=yes log-prefix=!public src-address-list=not_in_internet # #"icmp" 체인에서 필요한 icmp 코드만 허용: add action=accept chain=icmp comment="echo reply" icmp-options=0:0 protocol=icmp add action=accept chain=icmp comment="net unreachable" icmp-options=3:0 protocol=icmp add action=accept chain=icmp comment="host unreachable" icmp-options=3:1 protocol=icmp add action=accept chain=icmp comment=\ "host unreachable fragmentation required" icmp-options=3:4 protocol=icmp add action=accept chain=icmp comment="allow echo request" icmp-options=8:0 protocol=icmp add action=accept chain=icmp comment="allow time exceed" icmp-options=11:0 protocol=icmp add action=accept chain=icmp comment="allow parameter bad" icmp-options=12:0 protocol=icmp add action=drop chain=icmp comment="deny all other types"



박건 2022-07 아래 내용까지 추가해주면 더 좋습니다. blacklist라는 이름의 address-list가 계속 업데이트될겁니다. 목록 업데이트만 하지, 실제로 필터링하는 부분이 없기에, filter에서 blacklist 목록에 대하여 추가해주면 됩니다. http://www.2cpu.co.kr/network/2761 아래 내용까지 추가해주면 더 좋습니다. blacklist라는 이름의 address-list가 계속 업데이트될겁니다. 목록 업데이트만 하지, 실제로 필터링하는 부분이 없기에, filter에서 blacklist 목록에 대하여 추가해주면 됩니다. http://www.2cpu.co.kr/network/2761



떠블류 2022-07 조언 주신대로 알려주신 링크의 내용까지 추가하였습니다. - http://www.2cpu.co.kr/network/2761 이렇게 하면, 어느 정도 방화벽 안심은 되는거겠죠^^ 거듭 감사드립니다. 조언 주신대로 알려주신 링크의 내용까지 추가하였습니다. - http://www.2cpu.co.kr/network/2761 이렇게 하면, 어느 정도 방화벽 안심은 되는거겠죠^^ 거듭 감사드립니다.

로그인 하시면 댓글을 남길 수 있습니다

검색 목록

쓰기

네트웍

쓰기

2/93

번호	제목Page 2/93	글쓴이	날짜	조회	추천
1838	DELL 스위치 구성 문의 (12)	클래식	2019-12	4100	0
DELL 스위치 구성 문의 (12) 2019-12 4100 1 클래식
1837	1코어? 2코어? 지빅질문드립니다. (5)	NeTe	2020-02	6204	0
1코어? 2코어? 지빅질문드립니다. (5) 2020-02 6204 1 NeTe
1836	케이티 에그 단말기에관한 문의입니다. (5)	돈대신몸으로	2020-03	4527	0
케이티 에그 단말기에관한 문의입니다. (5) 2020-03 4527 1 돈대신몸으로
1835	코로나 때문에 줌화상회의를 돌리고 있는 학원의 네트워크 구성… (30)	햇빛축제	2020-03	12240	0
코로나 때문에 줌화상회의를 돌리고 있는 … (30) 2020-03 12240 1 햇빛축제
1834	시스코 스위치 arp 테이블 관련 문의드립니다. (7)	NeTe	2020-06	9975	0
시스코 스위치 arp 테이블 관련 문의드립… (7) 2020-06 9975 1 NeTe
1833	인터넷 연결 관련 질문 (9)	맥시멈	2020-07	2864	0
인터넷 연결 관련 질문 (9) 2020-07 2864 1 맥시멈
1832	사무실 인터넷 (4)	po2481	2020-11	4195	0
사무실 인터넷 (4) 2020-11 4195 1 po2481
1831	유저가 VPN 을 사용하지 못하게 막을 수 있나요?? (4)	공백기	2020-12	3763	0
유저가 VPN 을 사용하지 못하게 막을 수 … (4) 2020-12 3763 1 공백기
1830	나스를 10기가로 내부에서 사용하려고 합니다.조언 부탁드립니… (17)	heeko	2021-01	9676	0
나스를 10기가로 내부에서 사용하려고 합… (17) 2021-01 9676 1 heeko
1829	하.. pfsense... (13)	카이제린	2021-02	4742	0
하.. pfsense... (13) 2021-02 4742 1 카이제린
1828	UniFi Dream Machine Pro , UniFi 6 Long-Range Access Point … (5)	해모라	2021-03	4871	0
UniFi Dream Machine Pro , UniFi 6 Long-… (5) 2021-03 4871 1 해모라
1827	멜라녹스 sx1410 스위치 port up/down (5)	새내기	2021-05	3228	1
멜라녹스 sx1410 스위치 port up/down (5) 2021-05 3228 1 새내기
1826	가정용 공유기 (17)	통통튀네	2021-06	4045	0
가정용 공유기 (17) 2021-06 4045 1 통통튀네
1825	집에서 일부 PC에만 공인 IP를 뿌려주고싶습니다. (6)	모맵	2021-08	4694	0
집에서 일부 PC에만 공인 IP를 뿌려주고싶… (6) 2021-08 4694 1 모맵
1824	가상화 + 네트워크 관련 문의드립니다 (5)	우루리루	2021-09	4185	0
가상화 + 네트워크 관련 문의드립니다 (5) 2021-09 4185 1 우루리루
1823	mikrotik 네트워크 문의 (12)	asdf123123	2021-11	2802	0
mikrotik 네트워크 문의 (12) 2021-11 2802 1 asdf123123
1822	Wifi6 AP 2x2 4개 vs 4x4 8개 (10)	강아지좋아	2022-01	2958	0
Wifi6 AP 2x2 4개 vs 4x4 8개 (10) 2022-01 2958 1 강아지좋아
1821	IP 설정 문의 (8)	첼디	2022-03	2751	0
IP 설정 문의 (8) 2022-03 2751 1 첼디
1820	Mikrotik switch에 sfp 설정에 rate select가 어떤건가요??(아… (20)	MOONL	2022-05	4642	0
Mikrotik switch에 sfp 설정에 rate selec… (20) 2022-05 4642 1 MOONL
1819	esxi web ui접속 도움부탁드립니다 (5)	Wnahd	2022-07	3203	0
esxi web ui접속 도움부탁드립니다 (5) 2022-07 3203 1 Wnahd