Bonjour,
Voici une piste de configuration. J'ai considéré que la configuration était vierge.
En partant de la configuration par défaut, il faudra simplement modifier/supprimer certaines choses.
Par ailleurs, en l'absence de précisions dans le premier post, je considère les postulats suivants :
- Le LAN est sur le VLAN 20 et le réseau est 192.168.20.0/24
- Le Management se fait sur le VLAN 99 et le réseau est 192.168.99.0/24
L'adresse IP du switch sera 192.168.99.253.
L'adresse IP du routeur sera : 192.168.99.254
Je n'ai pas forcément respecté le nom de tes interfaces ni ton plan d'adressage.
La configuration présentée ci-dessous constitue surtout un début de solution.
J'espère ne pas avoir fait trop d'erreur de copié-collé (oui, je suis flemmard).
Configuration du CRS305
Je considère que la configuration est vierge, comme si la commande suivante avait été lancée.
/system/reset-configuration no-defaults=yes
On commence par créer le bridge sur lequel on ajoute tous les ports SFP. Dans un premier temps, le bridge vlan filtering n'est PAS activé.
Le port ethernet qui sert à l'administration reste en dehors afin de conserver l'accès en cas de problème.
/interface bridge
add name=bridge disabled=no auto-mac=yes protocol-mode=rstp;
:local bMACIsSet 0;
:foreach k in=[/interface find where !(slave=yes || passthrough=yes || name~"bridge")] do={
:local tmpPortName [/interface get $k name];
:if ($bMACIsSet = 0) do={
:if ([/interface get $k type] = "ether") do={
/interface bridge set "bridge" auto-mac=no admin-mac=[/interface get $tmpPortName mac-address];
:set bMACIsSet 1;
}
}
:if (([/interface get $k type] != "ppp-out") && ([/interface get $k type] != "lte")) do={
/interface bridge port
add bridge=bridge interface=$tmpPortName comment=defconf;
}
}
Ensuite, on crée une interface MGMT sur le VLAN 99 qui servira à administrer le switch.
Ainsi, on aura toujours accès au switch lorsque le bridge vlan filtering sera activé.
/interface vlan add interface=bridge name=MGMT vlan-id=99
On attribue une IP à l'interface précedemment créée ainsi qu'au port ether1.
/ip address add address=192.168.99.253/24 interface=MGMT network=192.168.99.0
/ip address add address=192.168.88.5/24 interface=ether1 network=192.168.88.0
Ensuite, on configure les VLANs.
- Sur le port SFP1, on accepte uniquement les paquets tagués avec le VLAN 832 ;
- Sur le port SFP2, on accepte les paquets tagués avec le VLAN 20, le VLAN 99 ou le VLAN 832 ;
- Avoir le VLAN 99 sur ce port permet l'administration depuis le LAN.
- Sur le port SFP4, on accepte uniquement les paquets tagués avec le VLAN 20 (éventuellement 99 si cette patte du LAN doit pouvoir administrer le switch).
Le fait de taguer le bridge permet au CPU (et donc à l'interface correspondante) d'avoir accès aux paquets.
Sur les ports tagués, le PVID reste à 1. Ce VLAN n'existant pas, les paquets seront rejetés.
/interface bridge vlan add bridge=bridge tagged=sfp-sfpplus1,sfp-sfpplus2 vlan-ids=832
/interface bridge vlan add bridge=bridge tagged=sfp-sfpplus2,sfp-sfpplus4 vlan-ids=20
/interface bridge vlan add bridge=bridge tagged=bridge,sfp-sfpplus2 vlan-ids=99
/interface bridge port add bridge=bridge frame-types=admit-only-vlan-tagged interface=sfp-sfpplus1
/interface bridge port add bridge=bridge frame-types=admit-only-vlan-tagged interface=sfp-sfpplus2
/interface bridge port add bridge=bridge frame-types=admit-only-vlan-tagged interface=sfp-sfpplus4
On configure les switch rules pour mettre la CoS à 6.
Le port correspond au port sur lequel arrivent les paquets. Ici, les paquets arrivent du routeur, donc sur sfp-sfpplus2.
/interface ethernet switch rule add comment="Orange - Set CoS6 on ARP request" mac-protocol=arp new-vlan-priority=6 ports=sfp-sfpplus2 switch=switch1 vlan-id=832
/interface ethernet switch rule add comment="Orange - Set CoS6 on DHCPv4 request" dst-port=67 mac-protocol=ip new-vlan-priority=6 ports=sfp-sfpplus2 protocol=udp switch=switch1 vlan-id=832
/interface ethernet switch rule add comment="Orange - Set CoS6 on DHCPv6 request" dst-port=547 mac-protocol=ipv6 new-vlan-priority=6 ports=sfp-sfpplus2 protocol=udp switch=switch1 vlan-id=832
/interface ethernet switch rule add comment="Orange - Set CoS6 on ICMPv4 request" mac-protocol=ip new-vlan-priority=6 ports=sfp-sfpplus2 protocol=icmp switch=switch1 vlan-id=832
/interface ethernet switch rule add comment="Orange - Set CoS6 on ICMPv6 request" mac-protocol=ipv6 new-vlan-priority=6 ports=sfp-sfpplus2 protocol=icmp switch=switch1 vlan-id=832
Cette configuration se limite à configurer une interface de management, le bridge et les VLAN associés.
Le switch n'a pas internet, n'est pas sécurisé, etc etc. C'est à faire.
Configuration du RB5009
Je considère que la configuration est vierge, comme si la commande suivante avait été lancée.
/system/reset-configuration no-defaults=yes
On commence par créer le bridge sur lequel on ajoute tous les ports ethernet et le sfp1. Dans un premier temps, le bridge vlan filtering n'est PAS activé.
Attention, tous les ports ethernet sont dans le bridge. Je n'ai prévu aucun port ethernet pour l'administration en cas de problème.
/interface bridge
add name=bridge disabled=no auto-mac=yes protocol-mode=rstp;
:local bMACIsSet 0;
:foreach k in=[/interface find where !(slave=yes || passthrough=yes || name~"bridge")] do={
:local tmpPortName [/interface get $k name];
:if ($bMACIsSet = 0) do={
:if ([/interface get $k type] = "ether") do={
/interface bridge set "bridge" auto-mac=no admin-mac=[/interface get $tmpPortName mac-address];
:set bMACIsSet 1;
}
}
:if (([/interface get $k type] != "ppp-out") && ([/interface get $k type] != "lte")) do={
/interface bridge port
add bridge=bridge interface=$tmpPortName comment=defconf;
}
}
Ensuite, on crée les interfaces correspondantes aux VLANs, y compris une interface pour le management.
Ainsi, on aura toujours accès au routeur lorsque le bridge vlan filtering sera activé.
/interface vlan add interface=bridge name=vlan20-lan vlan-id=20
/interface vlan add interface=bridge name=MGMT vlan-id=99
/interface vlan add interface=bridge name=wan-oge-net vlan-id=832
On attribue une IP aux interfaces VLAN créées (sauf wan-oge-net qui obtiendra l'IP publique Orange via DHCP).
/ip address add address=192.168.99.254/24 interface=MGMT network=192.168.99.0
/ip address add address=192.168.20.254/24 interface=vlan20-lan network=192.168.20.0
Ensuite, on configure les VLANs.
- Sur le port SFP1, on accepte les paquets tagués avec le VLAN 20, le VLAN 99 ou le VLAN 832 ;
- Sur les ports ether1-8, les paquets seront tagués en entrée, détagués en sortie.
- Il n'est pas nécessaire d'ajouter ces ports en untagged. Ils le seront automatiquement lorsque le PVID des ports sera configuré.
Le fait de taguer le bridge permet au CPU (et donc à l'interface correspondante) d'avoir accès aux paquets.
Sur les ports tagués, le PVID reste à 1. Ce VLAN n'existant pas, les paquets seront rejetés.
/interface bridge vlan add bridge=bridge tagged=bridge,sfp-sfpplus1 vlan-ids=20
/interface bridge vlan add bridge=bridge tagged=bridge,sfp-sfpplus1 vlan-ids=99
/interface bridge vlan add bridge=bridge tagged=bridge,sfp-sfpplus1 vlan-ids=832
/interface bridge port add bridge=bridge frame-types=admit-only-vlan-tagged interface=sfp-sfpplus1
/interface bridge port add bridge=bridge frame-types=admit-only-untagged-and-priority-tagged interface=ether1-8 pvid=20
Ensuite, on configure un serveur DHCP sur le LAN
/ip pool add name="dhcp-lan" ranges=192.168.20.100-192.168.20.200;
/ip dhcp-server add name=defconf address-pool="dhcp-lan" interface=vlan20-lan lease-time=30m disabled=no;
/ip dhcp-server network add address=192.168.20.0/24 gateway=192.168.20.254 dns-server=192.168.20.254;
Le client DHCP :
/ip dhcp-client option add code=60 name=vendor-class-identifier value=0x736167656d
/ip dhcp-client option add code=77 name=userclass value="0x2b46535644534c5f6c697665626f782e496e7465726e65742e736f66746174686f6d652e4c697665626f7833"
/ip dhcp-client option add code=90 name=authsend value="0x0*************************************************"
/ip dhcp-client add add-default-route=yes dhcp-options="clientid,oge - 60,oge - 77,oge - 90" interface=wan-oge-net
Cette configuration se limite à configurer le bridge et les VLAN associés ainsi que les interfaces pour les VLANs et le DHCP.
Il n'y a pas de pare-feu (ie. par ex. le VLAN 99 est accessible sans restriction depuis le VLAN 20 et vice-versa) et pas de sécurisation particulière. C'est à faire.
Finalisation
Une fois tout ceci fait, on peu activer le bridge vlan filtering sur le switch et le routeur.
Il sera toujours possible d'accéder au switch et au routeur via leur IP respective.
/interface/bridge/set "bridge" vlan-filtering=yes
Remplacer la LiveBox par un routeur