미크로틱 라우터와 스위치를 활용한 VLAN구성.., 제대로 됐는지 확인 부탁드려도 될까요?

쓰기

미크로틱 라우터와 스위치를 활용한 VLAN구성.., 제대로 됐는지 확인 부탁드려도 될까요?

떠블류

2022-07

2022-07-15 14:59:00

조회 4295 추천 0

아래에도 VLAN 구성관련 문의를 드렸었는데요,

박건님께서 상세한 가이드를 해주셔서 이해에 많은 도움이 되었습니다. 다시한번 감사의 말씀을 드립니다.

이전 문의와 이어진 내용입니다만,

다음과 그림과 같이 포트단위 VLAN을 구성하려고 합니다.

건물과 기능이 분산되어 있는 환경에서, VLAN을 구성하여 기능별 동일네트웍으로 이용하려는 목적입니다.

미크로틱 매뉴얼, 2CPU 사이트자료, 유튜브자료 그리고 가이드해주신 내용을 바탕으로 라우터와 스위치의 Configuration을 짜보았습니다

빠진부분은 없는지?, 수정할 부분은 없는지 봐주시면 감사하겠습니다.

<라우터 CCR1009 Configuration>

/interface bridge

add name="bridge-common"

add name=bridge-VLAN vlan-filtering=yes

/interface vlan

add interface=bridge-VLAN name="VLAN-10" vlan-id=10

add interface=bridge-VLAN name="VLAN-20" vlan-id=20

add interface=bridge-VLAN name="VLAN-99" vlan-id=99

/interface wireless security-profiles

set [ find default=yes ] supplicant-identity=MikroTik

/ip pool

add name=dhcp_pool0 ranges=192.168.110.2-192.168.110.254

add name=dhcp_pool1 ranges=192.168.120.2-192.168.120.254

add name=dhcp_pool2 ranges=192.168.100.2-192.168.100.254

/ip dhcp-server

add address-pool=dhcp_pool0 disabled=no interface="VLAN-10" name=\

dhcp1

add address-pool=dhcp_pool1 disabled=no interface="VLAN-20" name=dhcp2

add address-pool=dhcp_pool2 disabled=no interface="bridge-common" name=\

dhcp3

/interface bridge port

add bridge=bridge-VLAN interface=sfp-sfpplus1

add bridge=bridge-VLAN interface=combo1

add bridge=bridge-VLAN interface=ether2

add bridge=bridge-VLAN interface=ether3

add bridge=bridge-VLAN interface=ether4 pvid=10

add bridge=bridge-VLAN interface=ether5 pvid=10

add bridge="bridge-common" interface=ether6

add bridge="bridge-common" interface=ether7

/interface bridge vlan

add bridge=bridge-VLAN tagged=sfp-sfpplus1,combo1,ether2,ether3,bridge-VLAN \

untagged=ether4,ether5 vlan-ids=10

add bridge=bridge-VLAN tagged=\

sfp-sfpplus1,combo1,ether2,ether3,ether4,ether5,bridge-VLAN vlan-ids=20

add bridge=bridge-VLAN tagged=\

sfp-sfpplus1,combo1,ether2,ether3,ether4,ether5,bridge-VLAN vlan-ids=99

/ip address

add address=192.168.110.1/24 interface="VLAN-10" network=\

192.168.110.0

add address=192.168.120.1/24 interface="VLAN-20" network=192.168.120.0

add address=192.168.199.1/24 interface="VLAN-99" network=\

192.168.199.0

add address=192.168.100.1/24 interface="bridge-common" network=\

192.168.100.0

/ip dhcp-client

add disabled=no interface=ether1

/ip dhcp-server network

add address=192.168.100.0/24 dns-server=8.8.8.8 gateway=192.168.100.1

add address=192.168.110.0/24 gateway=192.168.110.1

add address=192.168.120.0/24 gateway=192.168.120.1

/ip firewall address-list

add address=192.168.110.0/24 list=Shindoch-VLAN

add address=192.168.120.0/24 list=Shindoch-VLAN

/ip firewall filter

add action=accept chain=input comment="accept established,related" connection-state=established,related

add action=drop chain=input comment="drop invalid packet" connection-state=invalid

add action=accept chain=input comment="allow ICMP" in-interface=ether1 protocol=icmp

add action=accept chain=input comment="allow Winbox" in-interface=ether1 port=8291 protocol=tcp

add action=drop chain=input comment="block everything else" in-interface=ether1

add action=drop chain=forward comment="Block User Traffic to Management Vlan" dst-address=192.168.199.0/24 src-address-list=UserNetwork

/ip firewall nat

add action=masquerade chain=srcnat

add action=dst-nat chain=dstnat comment="Link to Media Server (NAS)" dst-address=190.10.0.2 dst-port=80 protocol=tcp to-addresses=192.168.110.200 to-ports=3927

<스위치 CRS-326-1 Configuration>

/interface bridge

#add name=bridge-CRS326-1 vlan-filtering=no

add name=bridge-CRS326-1 vlan-filtering=yes

/interface vlan

add interface=bridge-CRS326-1 name="VLAN-99" vlan-id=99

/interface bridge port

add bridge=bridge-CRS326-1 interface=ether2 pvid=10

add bridge=bridge-CRS326-1 interface=ether3 pvid=10

add bridge=bridge-CRS326-1 interface=ether4 pvid=10

add bridge=bridge-CRS326-1 interface=ether5 pvid=10

add bridge=bridge-CRS326-1 interface=ether6 pvid=10

add bridge=bridge-CRS326-1 interface=ether7 pvid=10

add bridge=bridge-CRS326-1 interface=ether8 pvid=10

add bridge=bridge-CRS326-1 interface=ether9 pvid=10

add bridge=bridge-CRS326-1 interface=ether10 pvid=10

add bridge=bridge-CRS326-1 interface=ether11 pvid=10

add bridge=bridge-CRS326-1 interface=ether12 pvid=10

add bridge=bridge-CRS326-1 interface=ether13 pvid=10

add bridge=bridge-CRS326-1 interface=ether14 pvid=10

add bridge=bridge-CRS326-1 interface=ether15 pvid=10

add bridge=bridge-CRS326-1 interface=ether16 pvid=10

add bridge=bridge-CRS326-1 interface=ether17 pvid=20

add bridge=bridge-CRS326-1 interface=ether18 pvid=20

add bridge=bridge-CRS326-1 interface=ether19 pvid=20

add bridge=bridge-CRS326-1 interface=ether20 pvid=20

add bridge=bridge-CRS326-1 interface=ether21 pvid=20

add bridge=bridge-CRS326-1 interface=ether22 pvid=20

add bridge=bridge-CRS326-1 interface=ether23 pvid=20

add bridge=bridge-CRS326-1 interface=ether24 pvid=20

add bridge=bridge-CRS326-1 interface=ether1

add bridge=bridge-CRS326-1 interface=sfp-sfpplus1

add bridge=bridge-CRS326-1 interface=sfp-sfpplus2

/interface bridge vlan

add bridge=bridge-CRS326-1 tagged=ether1,sfp-sfpplus1,sfp-sfpplus2 untagged=ether2,ether3,ether4,ether5,ether6,ether7,ether8,ether9,ether10,ether11,ether12,ether13,ether14,ether15,ether16 vlan-ids=10

add bridge=bridge-CRS326-1 tagged=ether1,sfp-sfpplus1,sfp-sfpplus2 untagged=ether17,ether18,ether19,ether20,ether21,ether22,ether23,ether24 vlan-ids=20

add bridge=bridge-CRS326-1 tagged=ether1,sfp-sfpplus1,sfp-sfpplus2,bridge-CRS326-1 vlan-ids=99

/ip address

add address=192.168.199.2/24 interface="VLAN-99" network=192.168.199.0

/ip route

add distance=1 gateway=192.168.199.1

<스위치 CRS-326-2 Configuration>

/interface bridge

add name=bridge-CRS326-2 vlan-filtering=yes

/interface vlan

add interface=bridge-CRS326-2 name="VLAN-99" vlan-id=99

/interface bridge port

add bridge=bridge-CRS326-2 interface=ether1 pvid=10

add bridge=bridge-CRS326-2 interface=ether2 pvid=10

add bridge=bridge-CRS326-2 interface=ether3 pvid=10

add bridge=bridge-CRS326-2 interface=ether4 pvid=10

add bridge=bridge-CRS326-2 interface=ether5 pvid=10

add bridge=bridge-CRS326-2 interface=ether6 pvid=10

add bridge=bridge-CRS326-2 interface=ether7 pvid=10

add bridge=bridge-CRS326-2 interface=ether8 pvid=10

add bridge=bridge-CRS326-2 interface=ether9 pvid=10

add bridge=bridge-CRS326-2 interface=ether10 pvid=10

add bridge=bridge-CRS326-2 interface=ether11 pvid=10

add bridge=bridge-CRS326-2 interface=ether12 pvid=10

add bridge=bridge-CRS326-2 interface=ether13 pvid=10

add bridge=bridge-CRS326-2 interface=ether14 pvid=10

add bridge=bridge-CRS326-2 interface=ether15 pvid=10

add bridge=bridge-CRS326-2 interface=ether16 pvid=10

add bridge=bridge-CRS326-2 interface=ether17 pvid=20

add bridge=bridge-CRS326-2 interface=ether18 pvid=20

add bridge=bridge-CRS326-2 interface=ether19 pvid=20

add bridge=bridge-CRS326-2 interface=ether20 pvid=20

add bridge=bridge-CRS326-2 interface=ether21 pvid=20

add bridge=bridge-CRS326-2 interface=ether22 pvid=20

add bridge=bridge-CRS326-2 interface=ether23 pvid=20

add bridge=bridge-CRS326-2 interface=ether24 pvid=20

add bridge=bridge-CRS326-2 interface=sfp-sfpplus1

add bridge=bridge-CRS326-2 interface=sfp-sfpplus2

/interface bridge vlan

add bridge=bridge-CRS326-2 tagged=sfp-sfpplus1,sfp-sfpplus2 untagged=ether1,ether2,ether3,ether4,ether5,ether6,ether7,ether8,ether9,ether10,ether11,ether12,ether13,ether14,ether15,ether16 vlan-ids=10

add bridge=bridge-CRS326-2 tagged=sfp-sfpplus1,sfp-sfpplus2 untagged=ether17,ether18,ether19,ether20,ether21,ether22,ether23,ether24 vlan-ids=20

add bridge=bridge-CRS326-2 tagged=sfp-sfpplus1,sfp-sfpplus2,bridge-CRS326-2 vlan-ids=99

/ip address

add address=192.168.199.3/24 interface="VLAN-99" network=192.168.199.0

/ip route

add distance=1 gateway=192.168.199.1



박건 2022-07 와... 고생좀 하셨겠습니다. 한가지, 라우터에서 src-address-list=UserNetwork 부분이 지정이 안되어 있네요. Shindoch-VLAN로 수정하시면 되겠습니다. 그리고, 포트포워딩 사용시, 방화벽 input체인에서 해당포트를 열어줘야 합니다. 와... 고생좀 하셨겠습니다. 한가지, 라우터에서 src-address-list=UserNetwork 부분이 지정이 안되어 있네요. Shindoch-VLAN로 수정하시면 되겠습니다. 그리고, 포트포워딩 사용시, 방화벽 input체인에서 해당포트를 열어줘야 합니다.



떠블류 2022-07 조언 주신대로 다음과 같이 수정했습니다. add action=drop chain=forward comment="Block User Traffic to Management Vlan" dst-address=192.168.199.0/24 src-address-list=Shindoch-VLAN 추가로 Firewall을 보강하기 위해서 "Building Your First Firewall" 문서 (https://help.mikrotik.com/docs/display/ROS/Building+Your+First+Firewall) 를 참고하여, 다음과 같이 Firewall항목을 추가하려고 합니다. 괜찮겠는지요? #라우터 자체 보호 /ip firewall filter add action=accept chain=input comment="default configuration" connection-state=established,related add action=accept chain=input src-address-list=allowed_to_router add action=accept chain=input protocol=icmp add action=drop chain=input /ip firewall address-list add address=192.168.100.2-192.168.100.254 list=allowed_to_router add address=192.168.110.2-192.168.110.254 list=allowed_to_router add address=192.168.120.2-192.168.120.254 list=allowed_to_router add address=192.168.199.2-192.168.199.254 list=allowed_to_router # #LAN 장치 보호 /ip firewall address-list add address=0.0.0.0/8 comment=RFC6890 list=not_in_internet add address=172.16.0.0/12 comment=RFC6890 list=not_in_internet add address=192.168.0.0/16 comment=RFC6890 list=not_in_internet add address=10.0.0.0/8 comment=RFC6890 list=not_in_internet add address=169.254.0.0/16 comment=RFC6890 list=not_in_internet add address=127.0.0.0/8 comment=RFC6890 list=not_in_internet add address=224.0.0.0/4 comment=Multicast list=not_in_internet add address=198.18.0.0/15 comment=RFC6890 list=not_in_internet add address=192.0.0.0/24 comment=RFC6890 list=not_in_internet add address=192.0.2.0/24 comment=RFC6890 list=not_in_internet add address=198.51.100.0/24 comment=RFC6890 list=not_in_internet add address=203.0.113.0/24 comment=RFC6890 list=not_in_internet add address=100.64.0.0/10 comment=RFC6890 list=not_in_internet add address=240.0.0.0/4 comment=RFC6890 list=not_in_internet add address=192.88.99.0/24 comment="6to4 relay Anycast [RFC 3068]" list=not_in_internet # /ip firewall filter add action=fasttrack-connection chain=forward comment=FastTrack connection-state=established,related add action=accept chain=forward comment="Established, Related" connection-state=established,related add action=drop chain=forward comment="Drop invalid" connection-state=invalid log=yes log-prefix=invalid add action=drop chain=forward comment="Drop incoming packets that are not NAT`ted" connection-nat-state=!dstnat \ connection-state=new in-interface=ether1 log=yes log-prefix=!NAT add action=jump chain=forward comment="jump to ICMP filters" jump-target=icmp protocol=icmp add action=drop chain=forward comment="Drop incoming from internet which is not public IP" in-interface=ether1 \ log=yes log-prefix=!public src-address-list=not_in_internet # #"icmp" 체인에서 필요한 icmp 코드만 허용: add action=accept chain=icmp comment="echo reply" icmp-options=0:0 protocol=icmp add action=accept chain=icmp comment="net unreachable" icmp-options=3:0 protocol=icmp add action=accept chain=icmp comment="host unreachable" icmp-options=3:1 protocol=icmp add action=accept chain=icmp comment=\ "host unreachable fragmentation required" icmp-options=3:4 protocol=icmp add action=accept chain=icmp comment="allow echo request" icmp-options=8:0 protocol=icmp add action=accept chain=icmp comment="allow time exceed" icmp-options=11:0 protocol=icmp add action=accept chain=icmp comment="allow parameter bad" icmp-options=12:0 protocol=icmp add action=drop chain=icmp comment="deny all other types" 조언 주신대로 다음과 같이 수정했습니다. add action=drop chain=forward comment="Block User Traffic to Management Vlan" dst-address=192.168.199.0/24 src-address-list=Shindoch-VLAN 추가로 Firewall을 보강하기 위해서 "Building Your First Firewall" 문서 (https://help.mikrotik.com/docs/display/ROS/Building+Your+First+Firewall) 를 참고하여, 다음과 같이 Firewall항목을 추가하려고 합니다. 괜찮겠는지요? #라우터 자체 보호 /ip firewall filter add action=accept chain=input comment="default configuration" connection-state=established,related add action=accept chain=input src-address-list=allowed_to_router add action=accept chain=input protocol=icmp add action=drop chain=input /ip firewall address-list add address=192.168.100.2-192.168.100.254 list=allowed_to_router add address=192.168.110.2-192.168.110.254 list=allowed_to_router add address=192.168.120.2-192.168.120.254 list=allowed_to_router add address=192.168.199.2-192.168.199.254 list=allowed_to_router # #LAN 장치 보호 /ip firewall address-list add address=0.0.0.0/8 comment=RFC6890 list=not_in_internet add address=172.16.0.0/12 comment=RFC6890 list=not_in_internet add address=192.168.0.0/16 comment=RFC6890 list=not_in_internet add address=10.0.0.0/8 comment=RFC6890 list=not_in_internet add address=169.254.0.0/16 comment=RFC6890 list=not_in_internet add address=127.0.0.0/8 comment=RFC6890 list=not_in_internet add address=224.0.0.0/4 comment=Multicast list=not_in_internet add address=198.18.0.0/15 comment=RFC6890 list=not_in_internet add address=192.0.0.0/24 comment=RFC6890 list=not_in_internet add address=192.0.2.0/24 comment=RFC6890 list=not_in_internet add address=198.51.100.0/24 comment=RFC6890 list=not_in_internet add address=203.0.113.0/24 comment=RFC6890 list=not_in_internet add address=100.64.0.0/10 comment=RFC6890 list=not_in_internet add address=240.0.0.0/4 comment=RFC6890 list=not_in_internet add address=192.88.99.0/24 comment="6to4 relay Anycast [RFC 3068]" list=not_in_internet # /ip firewall filter add action=fasttrack-connection chain=forward comment=FastTrack connection-state=established,related add action=accept chain=forward comment="Established, Related" connection-state=established,related add action=drop chain=forward comment="Drop invalid" connection-state=invalid log=yes log-prefix=invalid add action=drop chain=forward comment="Drop incoming packets that are not NAT`ted" connection-nat-state=!dstnat \ connection-state=new in-interface=ether1 log=yes log-prefix=!NAT add action=jump chain=forward comment="jump to ICMP filters" jump-target=icmp protocol=icmp add action=drop chain=forward comment="Drop incoming from internet which is not public IP" in-interface=ether1 \ log=yes log-prefix=!public src-address-list=not_in_internet # #"icmp" 체인에서 필요한 icmp 코드만 허용: add action=accept chain=icmp comment="echo reply" icmp-options=0:0 protocol=icmp add action=accept chain=icmp comment="net unreachable" icmp-options=3:0 protocol=icmp add action=accept chain=icmp comment="host unreachable" icmp-options=3:1 protocol=icmp add action=accept chain=icmp comment=\ "host unreachable fragmentation required" icmp-options=3:4 protocol=icmp add action=accept chain=icmp comment="allow echo request" icmp-options=8:0 protocol=icmp add action=accept chain=icmp comment="allow time exceed" icmp-options=11:0 protocol=icmp add action=accept chain=icmp comment="allow parameter bad" icmp-options=12:0 protocol=icmp add action=drop chain=icmp comment="deny all other types"



박건 2022-07 아래 내용까지 추가해주면 더 좋습니다. blacklist라는 이름의 address-list가 계속 업데이트될겁니다. 목록 업데이트만 하지, 실제로 필터링하는 부분이 없기에, filter에서 blacklist 목록에 대하여 추가해주면 됩니다. http://www.2cpu.co.kr/network/2761 아래 내용까지 추가해주면 더 좋습니다. blacklist라는 이름의 address-list가 계속 업데이트될겁니다. 목록 업데이트만 하지, 실제로 필터링하는 부분이 없기에, filter에서 blacklist 목록에 대하여 추가해주면 됩니다. http://www.2cpu.co.kr/network/2761



떠블류 2022-07 조언 주신대로 알려주신 링크의 내용까지 추가하였습니다. - http://www.2cpu.co.kr/network/2761 이렇게 하면, 어느 정도 방화벽 안심은 되는거겠죠^^ 거듭 감사드립니다. 조언 주신대로 알려주신 링크의 내용까지 추가하였습니다. - http://www.2cpu.co.kr/network/2761 이렇게 하면, 어느 정도 방화벽 안심은 되는거겠죠^^ 거듭 감사드립니다.

로그인 하시면 댓글을 남길 수 있습니다

쓰기

네트웍

쓰기

67/105

번호	제목Page 67/105	글쓴이	날짜	조회	추천
767	UBNT 10G 삽질 중입니다 (8)	훔냥	2019-04	7693	0
UBNT 10G 삽질 중입니다 (8) 2019-04 7693 1 훔냥
766	서버 네트워크 문의 (18)	Negatic	2020-09	5869	0
서버 네트워크 문의 (18) 2020-09 5869 1 Negatic
765	네트워크 구성에 관해 질문드립니다. (공유기 하단 공유기) (19)	고래1006	2021-04	7286	0
네트워크 구성에 관해 질문드립니다. (공… (19) 2021-04 7286 1 고래1006
764	포트포워딩 설정은 하는데 접속은 어떻게하나요? (3)	키리에	2021-07	3338	0
포트포워딩 설정은 하는데 접속은 어떻게… (3) 2021-07 3338 1 키리에
763	iptime 공유기들만 100메가 속도가 나오는데 어떤 원인일까요? (16)	Mazinga	2021-12	13402	0
iptime 공유기들만 100메가 속도가 나오는… (16) 2021-12 13402 1 Mazinga
762	KT 가정용 인터넷 유동IP 관련 선배님들의 조언 구합니다... (13)	ckzkdsyd2	07-05	3677	0
KT 가정용 인터넷 유동IP 관련 선배님들의… (13) 07-05 3677 1 ckzkdsyd2
761	[구매 문의] 혹시 국내에서 구매 가능한 제품 모델이 있을까요.… (3)	chroma	2016-09	6737	0
[구매 문의] 혹시 국내에서 구매 가능한 … (3) 2016-09 6737 1 chroma
760	미크로틱 X86 vs iptime a6004ns 궁금합니다~ (4)	마나마	2017-02	10167	0
미크로틱 X86 vs iptime a6004ns 궁금합니… (4) 2017-02 10167 1 마나마
759	linksys velop 후기 (4)	회원K	2018-11	7615	0
linksys velop 후기 (4) 2018-11 7615 1 회원K
758	관통형 EZ RJ45 커넥터랑 랜툴 편하군요~ (8)	박수형	2019-10	12793	0
관통형 EZ RJ45 커넥터랑 랜툴 편하군요~ (8) 2019-10 12793 1 박수형
757	IP 모니터링 관련해서 조언 구해 봅니다	나가이써	2022-11	7995	0
IP 모니터링 관련해서 조언 구해 봅니다 2022-11 7995 1 나가이써
756	회사 인터넷 및 네트워크 기가로 변경하기 (부분 성공)->(해… (11)	거니아빠	2023-01	10085	0
회사 인터넷 및 네트워크 기가로 변경하기… (11) 2023-01 10085 1 거니아빠
755	영업소 L2스위치 한대가 통신장애라고 떠 있습니다. (3)	NeTe	2019-08	6779	0
영업소 L2스위치 한대가 통신장애라고 떠 … (3) 2019-08 6779 1 NeTe
754	네트워크 구성, 라우터 추천부탁드립니다. 장비사진추가 (12)	inoriks	2021-09	4211	0
네트워크 구성, 라우터 추천부탁드립니다… (12) 2021-09 4211 1 inoriks
753	VPN 관련 문의	pavilion	2022-11	8633	0
VPN 관련 문의 2022-11 8633 1 pavilion
752	amazon dns 서비스 - route 53 (6)	회원K	2016-11	15407	0
amazon dns 서비스 - route 53 (6) 2016-11 15407 1 회원K
751	CISCO RV340 Stie To Site VPN 세팅 관련 질문드립니다. (1)	냉수한잔	2020-03	3952	0
CISCO RV340 Stie To Site VPN 세팅 관련 … (1) 2020-03 3952 1 냉수한잔
750	중고로 구입한 X540-T2 한 포트만 10G가 되네요 (5)	해모라	2022-01	3970	0
중고로 구입한 X540-T2 한 포트만 10G가 … (5) 2022-01 3970 1 해모라
749	이베이 저렴이 SFP+ 트랜시버 구매해도 될까요? (10)	구고기	2022-03	5603	0
이베이 저렴이 SFP+ 트랜시버 구매해도 될… (10) 2022-03 5603 1 구고기
748	미크로틱 라우터와 스위치를 활용한 VLAN구성.., 제대로 됐는지… (4)	떠블류	2022-07	4296	0
미크로틱 라우터와 스위치를 활용한 VLAN… (4) 2022-07 4296 1 떠블류