Préparer un switch avec distribution de vlans
Par défaut, les CCR et CRS sont livrés configurés avec tous les ports (sauf un, le WAN, sur les routeurs) dans un bridge multi-vlans. Pratique pour faire juste switch, mais si on veut tagguer/détagguer des vlans sur certains ports, c'est la galère. Comment faire ça bien sans se couper la patte et s'y reprendre 12 fois ?
Préparer le switch pour l'accès d'admin sur le VLAN10
Comme tous les autres mikrotik, on n'oublie pas :
- De mettre un mot de passe admin
- De créer un certificat SSL
- De basculer l'admin en https et de désactiver tous les services sauf https et ssh
- De renseigner les paramètres pour le SNMP
- De flasher le routeur avec la version stable la plus récente
Ensuite, on commence par ajouter une interface VLAN10 au bridge et on lui met une IP et on claque une route par défaut vers le .50 du subnet d'admin concerné :
Une fois ces opérations effectuées, on doit pouvoir causer à notre switch sur le VLAN 10 avec une IP de la même classe.
Préparer la configuration des VLANs sur les différents ports
On va commencer par identifier les ports trunk de notre switch et ceux qui serviront d'accès (typiquement dans le cas d'un switch de distri FTTH P2P) :
Ici nous avons deux ports SFP+ qui sont tout indiqués pour trunker l'uplink. On va donc se les garder en tête. Les autres seront de la distribution.
Dans le bridge, on va donc ajouter un premier VLAN, le 10, avec la config suivante :
ou on va donc tagguer le trafic sur le bridge, et spécifiquement nos deux SFP+, et ne pas le tagguer sur le VLAN10 (pour qu'on puisse tjrs causer à l'IP du switch qu'on a ajouté lors de la préparation)
On va ensuite ajouter les VLANs dont on a besoin, ici pour du SCANiFi sur le port 24 qui connecte une Unifi, on détag le 89 et on tag le 90 :
Dans le port du bridge, on va spécifier le PVID à 89 également :
Pour finir, il est prudent d'activer le safemode pour ne pas se couper la patte si on s'est planté :
Le principe de ce bouton est que le mikrotik reviendra dans sa config précédente si plus rien ne se passe sur son interface d'admin après l'application d'une modification de paramètres. Pratique !
On va activer le vlan filtering global du bridge :
Ne pas oublier, si tout a fonctionné comme prévu, de désactiver le safemode.
And VOILÀ !