本页说明如何使用 bridge VLAN filtering 在 MikroTik RouterOS 上配置 Wireless VLAN Trunking，允许在无线 PtP 链路上选择性地转发特定 VLAN 而阻止其他 VLAN。内容涵盖网桥设置、VLAN 表配置、接口访问控制以及硬件卸载 VLAN 的处理。

Wireless VLAN Trunk

一个非常常见的任务是仅通过无线点对点（PtP）链路转发某一组特定的 VLAN。这可以使用 bridge VLAN filtering 来完成，并且应使用它而非任何其他方法（包括桥接 VLAN 接口）。假设我们需要通过无线链路转发 2 个不同的 VLAN，而所有其他 VLAN ID 都应被丢弃。VLAN 10 将是我们的 Internet 流量，而 VLAN 99 将用于我们的管理流量。下面您可以找到网络拓扑：

配置

首先在 AP 和 ST 上创建一个新网桥，并将 ether1 和 wlan1 端口添加到其中：

/interface/bridge
add name=bridge protocol-mode=none
/interface/bridge/port
add bridge=bridge interface=ether1
add bridge=bridge interface=wlan1

信息

如果需要，您可以启用 RSTP，但通常 PtP 链路不需要 RSTP，因为不应有任何发生环路的可能。 出于安全原因，您应启用 ingress-filtering，因为您只期望带标记的流量。然后您可以将网桥设置为过滤掉所有未标记的流量。在 AP 和 ST 上执行以下操作：

/interface/bridge/port
set [find where interface=ether1 or interface=wlan1] frame-types=admit-only-vlan-tagged ingress-filtering=yes

设置网桥 VLAN 表。由于 VLAN99 将是我们的管理流量，因此我们需要允许此 VLAN ID 能够访问网桥接口，否则当您尝试访问设备时流量将立即被丢弃。VLAN10 不需要访问网桥，因为它仅用于转发到另一端。要实现此类功能，请在 AP 和 ST 上的网桥 VLAN 表中添加以下条目：

/interface/bridge/vlan
add bridge=bridge tagged=ether1,wlan1 vlan-ids=10
add bridge=bridge tagged=ether1,wlan1,bridge vlan-ids=99

:::info Interface Access Control 您可以按接口限制对设备的管理访问。如果您希望阻止来自特定接口（例如 wlan1）的访问，只需从相应的网桥 VLAN 条目中移除该接口即可。 :::

:::warning Handling Wireless & HW-Offloaded VLANs 对于具有硬件卸载 VLAN 过滤和无线支持的设备（例如 RB4011、LtAP），请务必谨慎。如果未明确允许该 VLAN 的 CPU 访问，从硬件卸载端口流向无线接口的数据包可能会被丢弃。

要允许特定 VLAN 的 CPU 访问：

• 将网桥接口添加为该 VLAN 的成员（参见 VLAN99 示例）。
• 或者，在受影响的网桥端口上禁用硬件卸载。 :::

所有设备（R1、R2、AP 和 ST）都需要创建一个 VLAN 接口，以便能够通过特定的 VLAN ID 访问设备。对于 AP 和 ST，在网桥接口之上创建 VLAN 接口并为其分配 IP 地址：

/interface/vlan
add interface=bridge name=MGMT vlan-id=99
/ip/address
add address=192.168.99.X/24 interface=MGMT

对于 R1 和 R2，执行相同操作，但您需要在其上创建 VLAN 接口的接口可能会有所不同，具体取决于您的设置：

/interface/vlan
add interface=ether1 name=MGMT vlan-id=99
/ip/address
add address=192.168.99.X/24 interface=MGMT

信息

要允许转发更多 VLAN，您只需在网桥 VLAN 表中指定更多 VLAN ID，可以用逗号分隔指定多个 VLAN，甚至可以使用 VLAN 范围。

在 AP 上设置无线链路

/interface/wireless/security-profiles
add authentication-types=wpa2-psk mode=dynamic-keys name=wlan_sec wpa2-pre-shared-key=use_a_long_password_here
/interface/wireless
set wlan1 band=5ghz-a/n/ac channel-width=20/40/80mhz-Ceee disabled=no mode=bridge scan-list=5180 security-profile=wlan_sec ssid=ptp_test

在 ST 上设置无线链路

/interface/wireless/security-profiles
add authentication-types=wpa2-psk mode=dynamic-keys name=wlan_sec wpa2-pre-shared-key=use_a_long_password_here
/interface/wireless
set wlan1 band=5ghz-a/n/ac channel-width=20/40/80mhz-Ceee disabled=no mode=station-bridge scan-list=5180 security-profile=wlan_sec ssid=ptp_test

信息

每种类型的设置都有不同的要求。对于 PtP 链路，通常使用 NV2 无线协议。您可以在 NV2 Manual 页面阅读有关 NV2 的更多信息。 链路设置完成后，您可以在 AP 和 ST 上启用网桥 VLAN filtering：

/interface/bridge
set bridge vlan-filtering=yes

危险

在启用 VLAN filtering 之前，请仔细检查网桥 VLAN 表。配置错误的网桥 VLAN 表可能导致设备无法访问，并且可能需要重置配置。