GPEN21 series Manual
MikroTik GPEN21 智能 PoE 供电注入器和中继器的 SwOS Lite 手册：功能、端口设置、VLAN 和交换机管理。
GPEN21 系列手册
概述
GPEN21 是一款智能供电注入器，可作为高级的软件控制中继器使用。它不仅可以通过 PoE 为您的上行设备供电，还能提供一系列实用的软件功能。GPEN21 具有一个以太网端口和一个用于光纤连接的 SFP 端口。客户可以选择使用 GPEN21 为光模块供电以上行连接到运营商，或者提供 PoE 为以太网上行供电以连接到运营商（使用我们的 GPeR 和/或 netPower 产品）。GPEN21 设备可以安全地固定在墙上或通信机柜中。以太网电缆可以按需直接穿过其底部电缆开口布线，也可以布入墙内。
SwOS Lite 是一款专为管理 MikroTik GPEN21 产品而设计的操作系统。GPEN21 仅支持 SwOS Lite 操作系统。
GPEN21 系列功能
| Features | Description |
|---|---|
| Forwarding | 全非阻塞线速交换主机表中最多支持 2k 条 MAC 条目 ¹转发数据库仅基于 SVL 工作巨型帧支持 - 10222 字节 |
| Monitoring | SNMP链路故障检测SFP 诊断接口统计 |
| VLAN | 完全兼容 IEEE802.1Q基于端口的 VLAN最多 250 条 VLAN 条目（受 SwOS 限制）VLAN 过滤 |
| Security | 端口锁定广播风暴控制 |
| Quality of Service (QoS) | 入站流量限制出站流量限制 |
| Access Control List | 入站 ACL 表最多 32 条 ACL 规则（受 SwOS 限制）基于端口、L2、L3、L4 协议头字段的分类ACL 操作包括过滤、转发和修改协议头字段 |
¹ 主机表限制不会影响转发，因为即使达到了 MAC 学习限制，数据包仍会从上游端口发送到下游端口，反之亦然。
连接到设备
打开您的 Web 浏览器并输入设备的 IP 地址（默认为 192.168.88.1），将出现登录界面。设备也可以运行 DHCP 客户端，请查看 DHCP 服务器是否已分配了不同的 IP 地址。
SwOS 默认 IP 地址：192.168.88.1，用户名：admin，并且没有密码。
可以使用 MikroTik Neighbor Discovery 来发现 Mikrotik 交换机的 IP 地址。不支持 LLDP。
接口概览
SwOS 接口菜单根据设备型号由多个标签页组成。以下是所有可能的 SwOS 菜单：Link、SFP、Forwarding、Stats、Errors、Hist、VLAN、VLANs、Hosts、SNMP、ACL、System 和 Upgrade。
SwOS 配置工具中按钮的说明：
- Append - 在列表末尾添加一个新条目
- Apply All - 应用当前的配置更改
- Cut - 从列表中移除一个条目
- Clear - 重置条目的属性
- Discard Changes - 移除未保存的配置
- Insert - 向列表中添加一个新条目（将其放置在当前条目之前）
- Sort - 按 VLAN-ID 对 VLAN 表排序；按 MAC 地址对主机表排序
- Change Password - 更改设备的密码
- Logout - 从当前设备注销
- Reboot - 重启设备
- Reset Configuration - 将配置重置回出厂默认值
- Choose File - 浏览升级或备份文件
- Upgrade - 使用选定的文件升级设备的固件
- Download & Upgrade - 自动尝试下载并升级固件，运行 Web 浏览器的 PC 应能访问互联网
- Restore Backup - 使用选定的备份文件恢复设备
- Save Backup - 从设备生成并下载备份文件
注意： 每台设备都有其自己的固件，无法安装在其他系列型号上！
- GPEN21 支持 SwOS Lite v2.13 及更新版本。
System
System 标签页执行以下功能：
- 关于设备的一般信息
- 设备管理
- 配置重置
- 备份和恢复配置
注意： SwOS 使用一种简单的算法来确保 TCP/IP 通信 - 它仅回复数据包来源的相同 IP 和 MAC 地址。这样设备本身就不需要默认网关。
| Property | Description |
|---|---|
| Address Acquisition | 指定要使用的地址获取方式：DHCP with fallback - 设备尝试从 DHCP 服务器请求 IPv4 地址。如果请求不成功，则可以使用 Static IP Address 值访问设备static - 地址设置为 Static IP Address 值（仅 IPv4）DHCP only - 设备使用 DHCPv4 客户端获取地址 |
| Static IP Address | 当 Address Acquisition 设置为 DHCP with fallback 或 static 时设备的 IP 地址 |
| Identity | 设备名称（用于 Mikrotik Neighbor Discovery 协议） |
| Allow From | 可以访问该设备的 IP 地址。默认值为 0.0.0.0/0 - 任意地址 |
| Allow From Ports | 可以访问该设备的设备端口列表 |
| Allow From VLAN | 可以访问该服务的 VLAN ID。请确保先配置 VLAN 和 VLAN 页面 |
| Watchdog | 启用或禁用系统看门狗。在发生故障情况时它会重置设备的 CPU |
| Mikrotik Discovery Protocol | 启用或禁用 Mikrotik Neighbor Discovery 协议 |
| Dark Mode | 禁用或启用设备上的所有 LED |
| MAC Address | 设备的 MAC 地址（只读） |
| Serial Number | 设备的序列号（只读） |
| Board Name | 设备的 MikroTik 型号名称（只读） |
| Uptime | 当前设备运行时间（只读） |
| PoE Out Mode | 指定 PoE-Out 状态：auto-on - 板卡将尝试检测是否可以对该端口施加供电。要发生通电，备用线对上应有 3kΩ 到 26.5kΩ 范围内的电阻forced-on - 移除检测范围。因此以太网供电将始终开启off - 关闭此端口的所有检测和供电 |
| PoE Out Status | 显示端口上当前的 PoE-Out 状态（只读） |
密码和备份
Link
Link 标签页允许您配置每个接口的设置并监控链路状态。
| Property | Description |
|---|---|
| Enabled | 启用或禁用端口 |
| Name | 可编辑的端口名称 |
| Link Status | 当前链路状态（只读） |
| Auto Negotiation | 启用或禁用自动协商 |
| Speed | 显示协商的速率，或允许手动更改端口的速率设置（需要禁用自动协商） |
| Full Duplex | 显示协商的双工模式，或允许手动更改端口的双工模式（需要禁用自动协商） |
| Hops | 显示链路中 GPER 中继器的数量 |
| Last Hop | 如果链路终止，显示最后一个 GPER 中继器的编号 |
| Length | 如果链路终止，显示电缆长度（以米为单位） |
| Fault At | 如果电缆损坏但链路仍然活动，显示到故障点的距离（以米为单位） |
| Cable Pairs | 显示电缆线对的四个位置及其状态：O - 开路；S - 短路；P - 反极性 |
该设备支持最大 10222 字节的巨型帧。SwOS Lite 设备不支持手动降低 MTU 设置。
SFP
SFP 标签页允许您监控 SFP 模块的状态。
Forwarding
Forwarding 标签页提供设备端口之间的高级转发选项、端口锁定、带宽限制和广播风暴控制功能。
| Property | Description |
|---|---|
| Port Lock | Port Lock - 启用或禁用此端口上的 MAC 地址学习。当启用该选项时，它将限制 MAC 地址学习，并且应配置静态 MAC 地址。任何收到源 MAC 地址未知的帧都将被丢弃。Lock On First - 允许从第一个收到的帧学习源 MAC 地址；此属性应与 Port Lock 一起使用。每次接口状态更改时，第一个 MAC 地址的学习都会重置。 |
| Uplink Port | Set As Uplink Port - 允许在 PoE-in（Port1）、PoE-out（Port2）或 SFP 接口之间更改上行端口。在下游端口上收到的数据包仅转发到上行端口；只能使用单个接口作为上行。 |
| Broadcast Storm Control | Storm Rate - 限制接口发送的广播数据包数量。速率以比特每秒（bps）为单位测量。Limit Unknown Unicast - 将主机表中没有条目的单播数据包纳入 Storm Rate 限制。 |
| Bandwidth Limit | Ingress Rate - 限制进入此端口的流量（bps）Egress Rate - 限制离开此端口的流量（bps） |
注意： 可以基于每个端口限制入站/出站流量。入站流量使用 policer，出站流量使用 shaper。入站 policer 通过丢包控制收到的流量 - 超过定义限制的所有内容都将被丢弃。这可能影响终端主机上的 TCP 拥塞控制机制，实际达到的带宽可能少于定义值。出站 shaper 尝试将超过限制的数据包排队而不是丢弃它们。最终当输出队列满时它也会丢弃数据包；但是，它应该能更好地利用定义的吞吐量。
Stats、Errors 和 Histogram
这些菜单提供有关接收和发送数据包的详细信息。
VLAN 和 VLANs
设备端口的 VLAN 配置。
| Property | Description |
|---|---|
| VLAN Mode (disabled | optional | strict; Default: optional) | VLAN 过滤模式；这些选项与出站端口相关（strict 模式除外）。disabled - 不使用 VLAN 表。设备在出站端口上丢弃带有 VLAN 标签的数据包。如果数据包带有 VLAN 标签且 VLAN ID 与出站端口上的 Default VLAN ID 匹配，则在 VLAN Receive=any 的情况下，设备将移除 VLAN 标签并转发该数据包。optional - 禁用 VLAN 过滤。处理带有 VLAN 标签 ID 但 VLAN 表中不存在的 VLAN 数据包，就像处理不带 VLAN 标签的数据包一样。strict - 启用 VLAN 过滤并附加入站过滤，检查入站端口是否为 VLAN 表中收到 VLAN ID 的成员。在入站端口上收到的 VLAN ID 与 VLAN 表不匹配的数据包将被丢弃。必须为接入端口指定默认 VLAN ID，因为它将用于为特定端口打标签入站流量和去标签出站流量。 |
| VLAN Receive (any | only tagged | only untagged; Default: optional) | 基于 VLAN 标签存在性的接收流量过滤。any - 允许特定端口上的已标记和未标记数据包only tagged - 仅允许带 VLAN 标签的数据包。"Default VLAN ID" 将不起作用，因为它仅适用于未标记流量only untagged - 仅允许不带 VLAN 标签的数据包 |
| Default VLAN ID (integer: 1..4095; Default: 1) | 设备将收到的未标记数据包放入 "Default VLAN ID" VLAN。仅对未标记流量有影响，并且当 VLAN Receive 设置为 "any" 或 "only untagged" 时。它不适用于已标记流量。此参数通常用于为接入端口分配特定的 VLAN。如果数据包的 VLAN ID 与 Default VLAN ID 匹配，它也可用于去标签出站流量。 |
| Force VLAN ID (yes | no; Default: no) | 将 Default VLAN ID 值分配给所有入站流量（已标记和未标记）。在所有 VLAN 模式下均有效。如果端口收到已标记流量且 Default VLAN ID 设置为 1，则使用此参数出站流量将被去标签。 |
设备端口的 VLAN 成员配置。
| Property | Description |
|---|---|
| VLAN ID (integer: 1..4094; Default: 0) | 将端口分配给的目标 VLAN ID |
| Members (ports; Default: none) | 允许在定义的 VLAN 上转发流量的端口组 |
VLAN 配置示例
这些 VLAN 配置示例取自 CSS610 交换机用户手册；但是，相同的原理可以应用于 GPEN21 设备。
干道和接入端口
- 在 VLANs 菜单中添加 VLAN 条目并指定端口成员关系。
- 在 VLAN 菜单中在计划的接入端口（未标记）上配置 Default VLAN ID，选择正确的 VLAN Receive 设置（Port2 仅已标记，Port6-8 仅未标记）并启用 strict VLAN 过滤以确保只有允许的 VLAN 可以通过端口。
干道和混合端口
- 在 VLANs 菜单中添加 VLAN 条目并指定端口成员关系。
- 在 VLAN 菜单中在计划的混合端口（用于未标记 VLAN）上配置 Default VLAN ID，选择正确的 VLAN Receive 设置（Port2 仅已标记，Port6-8 any）并启用 strict VLAN 过滤以确保只有允许的 VLAN 可以通过端口。
管理访问
在此示例中，将创建 VLAN 200 上的设备管理访问。配置方案与 "Trunk and Access Ports" 相同，步骤 1.、2. 完全一致。额外的 第 3 步需要在 System 菜单中指定管理 VLAN ID。应用配置后，设备将仅响应 Port2 上的已标记 VLAN 200 数据包和 Port6 上的未标记数据包。DHCP 客户端也将在指定的 VLAN ID 中工作。
警告： 如果 VLAN 设置配置不正确，更改管理 VLAN 可能完全禁用对设备管理的访问。在更改此设置之前保存配置备份，并在管理访问丢失时使用 Reset and Reinstall。
Hosts
此表表示动态学习的 MAC 地址到端口映射条目。它可以包含两种类型的条目：动态和静态。动态条目会自动添加 - 这也称为学习过程：当设备从某个端口收到数据包时，它将数据包的源 MAC 地址和收到数据包的端口添加到主机表，因此当带有某个目标 MAC 地址的数据包到达时，它知道应将数据包转发到哪个端口。如果目标 MAC 地址不在主机表中，则它将数据包转发到组中的所有端口。动态条目大约需要 5 分钟超时。
如果已存在具有相同 MAC 地址的动态条目，静态条目将接管动态条目。添加静态条目还提供了对更多功能的访问。
Static host properties
| Property | Description |
|---|---|
| Ports | 数据包应转发到的端口 |
| MAC | MAC 地址 |
Dynamic host properties (read-only)
| Property | Description |
|---|---|
| Port | 数据包应转发到的端口 |
| MAC | 学习到的 MAC 地址 |
SNMP
SwOS 支持 SNMP v1 和 v2c（GetRequest、GetNextRequest 和 GetBulkRequest 的 Response），并使用 IF-MIB、SNMPv2-MIB、BRIDGE-MIB 和 MIKROTIK-MIB（仅用于 health、PoE-out 和 SFP 诊断）。不支持 SNMP trap 和写入 SwOS 配置。
可用的 SNMP 数据：
- 系统信息
- 系统运行时间
- 端口状态
- 接口统计
- 主机表信息
| Property | Description |
|---|---|
| Enabled | 启用或禁用 SNMP 服务 |
| Community | SNMP 团体名称 |
| Contact Info | NMS 的联系信息 |
| Location | NMS 的位置信息 |
ACL
访问控制列表（ACL）规则表是一个非常强大的工具，允许基于 L2、L3 和 L4 协议头字段条件进行线速数据包过滤、转发和 VLAN 标记。每条规则包含条件部分和操作部分。
Conditions part parameters
| Property | Description |
|---|---|
| From | 数据包进入的端口 |
| MAC Src | 源 MAC 地址和掩码 |
| MAC Dst | 目标 MAC 地址和掩码 |
| Ethertype | 封装在以太网帧有效载荷中的协议 |
| VLAN | VLAN 头存在性：any / present / not present |
| VLAN ID | VLAN 标签 ID |
| Priority | VLAN 标签中的优先级 |
| IP Src (IP/netmask:port) | 源 IPv4 地址、网络掩码和 L4 端口号 |
| IP Dst (IP/netmask:port) | 目标 IPv4 地址、网络掩码和 L4 端口号 |
| Protocol (integer) | IP 协议 |
| DSCP | IP DSCP 字段 |
Action part parameters
| Property | Description |
|---|---|
| Drop | 丢弃数据包 |
| Set VLAN ID | 如果存在 VLAN 标签，则更改 VLAN 标签 ID |
| Priority | 如果存在 VLAN 标签，则更改 VLAN 标签优先级位 |
重置和重装
GPEN21 具有内置的备份 SwOS 固件，可以在标准固件损坏或升级失败时加载：
- 在设备启动时按住 Reset 按钮几秒钟将重置配置并加载备份固件。Reset 按钮位于前盖后面。
- 加载备份固件后，可以使用 Web 浏览器连接到 192.168.88.1（或从 DHCP 服务器租用的地址）并安装新的 SwOS 固件。