RRouterOS 中文手册
无线/VLANs on Wireless

VLANs on Wireless

中文英文原文
官方原文约 6 分钟阅读

本页说明如何在 MikroTik RouterOS 无线接口上配置 VLAN，从而实现不同 Virtual AP 和网络之间的二层（Layer2）分段。它包括使用 VLAN 接口隔离 Guest 和 Work AP 的设置示例、带 VLAN filtering 的 bridge 配置，以及安全配置文件设置。

VLANs on Wireless

Summary

VLAN 提供了在仍使用相同一层（Layer1）介质的情况下将设备隔离到不同二层（Layer2）分段的可能性。这在您希望分离不同类型的设备或用户的设置中非常有用。此功能对无线设置也非常有用，因为您可以隔离不同的 Virtual AP，并通过 Firewall 限制对某些服务或网络的访问。下面是一个示例，在同一设备上有两个 Access Point，将它们隔离到不同的 VLAN 中。当您拥有 Guest AP 和 Work AP 时，这种场景非常常见。

Example

Bridge VLAN Filtering 在 bridge 内提供 VLAN 感知的二层转发和 VLAN 标记修改。

R1

  • 在 ethernet 接口上添加必要的 VLAN 接口，使其成为 VLAN trunk 端口。在 VLAN 接口上添加 IP 地址：
/interface/vlan
add interface=ether1 name=vlan111 vlan-id=111
add interface=ether1 name=vlan222 vlan-id=222

/ip/address
add address=192.168.1.1/24 interface=vlan111
add address=192.168.2.1/24 interface=vlan222

R2

  • 在 wlan1 接口下添加 VirtualAP，并为 wlan1 和 wlan2 创建 wireless security-profiles：
/interface/wireless/security-profiles
add name=vlan111 authentication-types=wpa-psk,wpa2-psk mode=dynamic-keys wpa-pre-shared-key=secret111 wpa2-pre-shared-key=secret111
add name=vlan222 authentication-types=wpa-psk,wpa2-psk mode=dynamic-keys wpa-pre-shared-key=secret222 wpa2-pre-shared-key=secret222
/interface/wireless
set [ find default-name=wlan1 ] disabled=no mode=ap-bridge security-profile=vlan111 ssid=vlan111 vlan-id=111 vlan-mode=use-tag
add disabled=no master-interface=wlan1 name=wlan2 security-profile=vlan222 ssid=vlan222 vlan-id=222 vlan-mode=use-tag

信息

将 wlan1、wlan2 的 vlan-mode 设置为 "use-tag" 很重要。

  • 创建一个带有 vlan-filtering=yes 的 bridge；
  • 添加必要的 bridge 端口；
  • 在 interface bridge vlan 部分下添加 tagged 接口，并带有正确的 vlan-ids：
/interface/bridge
add fast-forward=no name=bridge1 vlan-filtering=yes

/interface/bridge/port
add bridge=bridge1 interface=ether2
add bridge=bridge1 interface=wlan1
add bridge=bridge1 interface=wlan2
/interface/bridge/vlan
add bridge=bridge1 tagged=ether2,wlan1 vlan-ids=111
add bridge=bridge1 tagged=ether2,wlan2 vlan-ids=222

警告

某些设备内置交换机芯片，可以以线速性能在 Ethernet 端口之间交换数据包。Bridge VLAN filtering 会为某些设备禁用硬件卸载，这将阻止数据包被交换。这不会影响无线接口，因为无论哪种方式，通过它们的流量都无法卸载到交换机芯片。 提示

在此设置中不要求 VLAN filtering，但出于安全原因强烈建议使用。如果没有 VLAN filtering，在某些场景下可能会转发未知的 VLAN ID。禁用 VLAN filtering 确实有性能优势。

R3

  • 在 wlan1 接口上添加 IP 地址；
  • 创建与 R2 wlan1 兼容的 wireless security-profile：
/ip/address
add address=192.168.1.3/24 interface=wlan1

/interface/wireless
set [ find default-name=wlan1 ] disabled=no mode=station security-profile=vlan111 ssid=vlan111

R4

  • 在 wlan1 接口上添加 IP 地址；
  • 创建与 R2 wlan2 兼容的 wireless security-profile：
/ip/address
add address=192.168.2.4/24 interface=wlan1

/interface/wireless
set [ find default-name=wlan1 ] disabled=no mode=station security-profile=vlan222 ssid=vlan222