سوئیچینگ و روتینگ مجزا بر روی یک میکروتیک

[shahram_yy]

سلام

طبق تصویر دو تا شبکه کاملا مجزا داریم.



یکی تشکیل شده از یک subnet که هر 3 نود توسط یک سوئیچ به هم دیگه متصل هستند.

دومی تشکیل شده از دو subnet که نود ها به وسیله یک روتر میکروتیک به هم متصل شده و مسیر یابی یه عهده میکروتیک گذاشته شده.

مسلما این دو شبکه کاملا جدا از هم هستند و هیچ گونه ارتباط فیزیکی و منطقی در هیچ لایه ای از شبکه با همدیگه ندارن و نباید هم داشته باشند.هم به دلایل امنیتی و هم مشابه بودن ip ها.

آیا امکان داره که طبق تصویر زیر سوئیچ رو حذف کنیم و وظیفه سوئیچ رو هم به عهده میکروتیک بزاریم و همون امنیت و عدم ارتباط بین شبکه هارو در تمام لایه ها داشته باشیم ؟



تو این حالت آیا نیاز به تعریف filter ی هم وجود داره ؟

اصلا ترافیک بین پورت های یک بریج ، ارتباطی با پورت هایی که عضو اون بریج نیستند میتونه داشته باشه ؟

اگه از دستور:

interface bridge settings
set use-ip-firewall=yes

هم برای مدیریت ترافیک بین پورت های bridge در IP > Firewall میکروتیک استفاده کرده باشیم چی ؟

کلا این کار اصولیه ؟

---

موضوعات مشابه:

• دانلود میکروتیک 5.22 نصب شده روی میکروتیک
• سوال در رابطه با بستن آنتن روی برد میکروتیک
• راهنمایی در مورد روتینگ در میکروتیک جهت انتقال یک رتج آی پی ولید بین دو روتر میکروتیک
• اضافه کردن VLAN بر روی روتر میکروتیک و سوئیچ 2960
• روتینگ بین VLAN ها روی سوئیچ 3750

---

[SADEGH65]

هم برای مدیریت ترافیک بین پورت های bridge در IP > Firewall میکروتیک استفاده کرده باشیم چی ؟

کلا این کار اصولیه ؟

شما بریج تعریف نمایید ولی به بریجتان IP ندهید مورد نیازتان برطرف خواهد شد .( البته در مورد محدودیت دسترسی به میکروتیک توسط Mac را باید در نظر داشته باشید.)

ولی این کار به دلیل باری که بر روی میکروتیک ایجاد میکند منطقی نیست و بهتر است از سوییچی مجزا استفاده نمایید.

[almas455]

اين كار همون طور كه گفتند شدني هست
و من هم اضافه كنم كه باري روي ميكروتيك نخواهد داشت

[shahram_yy]

صادق عزیز

شما بریج تعریف نمایید ولی به بریجتان IP ندهید مورد نیازتان برطرف خواهد شد .( البته در مورد محدودیت دسترسی به میکروتیک توسط Mac را باید در نظر داشته باشید.)

دادن ip چه مشکلی رو ایجاد میکنه ؟

ولی این کار به دلیل باری که بر روی میکروتیک ایجاد میکند منطقی نیست و بهتر است از سوییچی مجزا استفاده نمایید.

فرض کنیم که از یک روتر با CPU بالاتر استفاده کنیم.

امین جان

اين كار همون طور كه گفتند شدني هست

بله همونطور که شما میفرمایید شدنی هست ولی سوال اصلی من در خصوص امنیت هست.

به چه صورت امنیت رو در این حالت برقرار کنم و ترافیک بین پورتهای روتر و پورت های بریج را کاملا ایزوله کنم ؟

MIKROTIK-PACKET FLOW

[SADEGH65]

صادق عزیز
دادن ip چه مشکلی رو ایجاد میکنه ؟
فرض کنیم که از یک روتر با CPU بالاتر استفاده کنیم.

ببینید موردی در استفاده از CPU بالاتر نیست فقط از نظر اصولی خیلی حداقل برای من توجیه پذیر نیست از روتر برای عملیات سوییچینگ استفاده شود.

شما میخواهید روت نداشته باشید خوب IP تنظیم نکنید بهترین راه است.

شما در صورت نیاز به تغییر دسترسی ها میتوانید از فیلتر نیز استفاده کنید ولی الزامی به فیلتر نیست ( محدود کردن دسترسی همان سیستم های داخل بریج به هم )

[shahram_yy]

ممنون

راستش این سناریو چیز دیگری بوده که من به این صورت تغییرش دادم.
اول به همون صورت بیانش کردم که مشخص شد بحث در اون مورد در انجمن ممنوع است و من مجبور به یک تغییر اساسی شدم.

شما فرض کنید که دستگاه های متصل شده به bridge1 دستگاه های با آدرس های اینترنتی هستند که میخواهیم خود بریج هم یک IP اینترنتی بدیم که مثلا از اینترنت هم بشه از FTP-SERVER میکروتیک استفاده کرد و در همین حال همین دستگاه هم بیاد و یک ترافیک Private مربود به یک سازمان رو که امنیت براشون مهم هست ، route کنه و از طرفی نمیخوان پولی بابت حتی یک سوئیچ 40000 تومنی پرداخت کنن یا اینکه ما نمیخواهیم تعداد دستگاهها رو افزایش بدیم.


حالا به این نتیجه میرسیم که میکروتیک رو طبق عکس دوم به دستگاهها متصل کنیم.به خود بریج هم یک IP بدیم. که از اینترنت هم قابل دسترسی باشه و کلا اختیار کابل های متصل به بریج (از لایه 1) گرفته به بالا در اختیار اشخاص دیگری باشه ولی پسوردی از میکروتیک نداشته باشند ، یعنی میتونن هر کاری در هر لایه ای که دوست داشتند خارج از میکروتیک بر روی ترافیکی که توسط 3 پورت بریج سوئیچ میشه انجام بدن ، آیا راهی برای برقراری ارتباط با شبکه Private که متصل به روتر هست میتونن ایجاد کنن ؟

[wazet]

این طور که پیداست تک ای پی هستن موارد مورد نیاز شما که به نظر من تک تک این ها رو نت کنید به ای پی اینترنتی خودتون و برای دسترسی از بیرون هم برعکس dst nat انجام بده و برای اینکه همدیگر رو نبینند یه چندتا forward با action=reject بساز روی پورت هایی که مورد نیازت هستن برای سابنت هات.

[shahram_yy]

از همه دوستان ممنون.

تو این لینک اطلاعات واقعا کاملی بیان شده بود که با توجه به اون و با توجه به نیاز من بهترین کار استفاده از filter های مناسب هست و ترافیک پورت های یک بریج کاملا مستقل از router هدایت میشه و میشه با filter امنیت مناسبی ایجاد کرد.

Manual:Packet Flow - MikroTik Wiki