Jump to content

Mikrotik 5: Bridge VLAN Filtering

From Haidhi Wiki

Tujuan

  • Paham kapan cukup memakai VLAN interface di port, dan kapan butuh bridge VLAN filtering.
  • Paham tiga bagian bridge VLAN filtering: PVID, tabel VLAN, dan VLAN interface di atas bridge.
  • Bisa membuat access port, trunk ke switch, dan trunk ke server.
  • Bisa men-debug konfigurasi VLAN lewat CLI.

Konsep

Router sebagai switch VLAN

  • Part 4 (router-on-a-stick): VLAN diurus switch. Router hanya menerima satu kabel trunk.
  • Part 5: router sendiri menjadi switch VLAN. Setiap port bisa menjadi access atau trunk, dan router sekaligus menjadi gateway setiap VLAN.

Kapan butuh bridge?

Situasi Pakai
Satu port membawa beberapa VLAN, dan setiap VLAN hanya ada di port itu VLAN interface langsung di port (cara Part 4, paling simpel)
Satu VLAN tersebar di beberapa port router Bridge + VLAN filtering

Port-port hanya bisa "disambung" menjadi satu segmen lewat bridge (Part 3). Begitu port-port berada dalam satu bridge, cara memisahkan VLAN-nya adalah bridge VLAN filtering.

Analogi: VLAN interface di port = satu pipa dibagi beberapa jalur. Bridge VLAN filtering = gedung dengan banyak pintu, setiap pintu diberi label "khusus staff" atau "khusus tamu", dan pintu berlabel sama tetap tersambung satu sama lain.

VLAN yang sudah dipakai di satu port tetap bisa dipakai di port lain. Justru itu gunanya: VLAN 10 bisa ada di ether2 dan ether3 sekaligus, dan semua perangkatnya tetap satu network.

Tiga bagian + satu saklar

# Bagian Menu Fungsi
1 PVID Bridge → Ports Frame polos yang masuk dari port ini dianggap milik VLAN berapa. Ini yang membuat port menjadi access port.
2 Tabel VLAN Bridge → VLANs Untuk setiap VLAN: port mana yang menjadi anggota, dan frame yang keluar dikirim tagged atau untagged. Ini daftar VLAN yang boleh lewat trunk.
3 VLAN interface di atas bridge Interfaces → VLAN Gateway Layer 3. Bridge sendiri harus menjadi anggota tagged di setiap VLAN ("port internal" ke otak router).
4 Saklar vlan-filtering Bridge → Bridge → tab VLAN Selama mati, semua aturan VLAN diabaikan. Nyalakan paling akhir.

Frame Types di Bridge → Ports:

  • Access port: admit-only-untagged-and-priority-tagged (frame bertag dari PC dibuang).
  • Trunk port: admit-only-vlan-tagged.

Peringatan: mengaktifkan vlan-filtering saat terhubung ke router lewat port anggota bridge bisa memutus koneksi Winbox. Di router produksi, selalu nyalakan Safe Mode dulu. 

              ┌──────────── CHR ─────────────┐
              │  vlan10 … vlan70 (gateway)    │  ← Layer 3
              │        │ tagged               │
              │   ┌─ bridge-vlan ──────┐      │  ← "switch"
              │   │ ether2-4  access   │      │
              │   │ ether5-6  trunk    │      │
              │   └────────────────────┘      │
              │ ether1 (WAN, di luar bridge)  │
              └───────────────────────────────┘

Pemakaian di dunia nyata

Di lab PC dicolok langsung ke port router agar sederhana. Di dunia nyata, port router biasanya tersambung ke:

Port Tipe Tersambung ke Keterangan
ether2 access 10 Switch ruangan staff Switch biasa (bahkan unmanaged). Semua yang dicolok otomatis VLAN 10.
ether3 trunk 10, 20 Access point Dua SSID: Kantor (VLAN 10) dan Kantor-Tamu (VLAN 20). Satu kabel, dua jaringan.
ether4 trunk 10, 20, 30 Server Proxmox VM ditempatkan di VLAN mana pun lewat satu kabel.
ether5 access 30 Switch CCTV Semua kamera terkurung di VLAN 30.

Di kantor besar, router sering hanya memakai 1–2 port trunk ke switch inti. Switch MikroTik (CRS) dikonfigurasi dengan cara yang sama persis.

Homelab: pola ini juga populer di rumah, misalnya VLAN keluarga, VLAN lab/server, VLAN IoT (smart TV, CCTV murah), dan VLAN tamu. Ingat: VLAN saja tidak mengisolasi, karena router tetap me-routing antar VLAN. Isolasi dibutuhkan lewat firewall (Part 6).

Lab

Topologi

                         [NAT]
                           │ ether1 (WAN)
                         [CHR]  ── bridge-vlan
   ether2    ether3    ether4        ether5                 ether6
   VLAN10    VLAN10    VLAN20     trunk 30+40           trunk 50+60+70
     │         │         │            │                      │
  Staff1    Staff2     Tamu       [Switch1]              [Proxmox]
                                  /       \             eth0.50/.60/.70
                              PC-30      PC-40
VLAN Subnet Gateway Lokasi
10 172.16.10.0/24 .1 ether2, ether3 (access)
20 172.16.20.0/24 .1 ether4 (access)
30, 40 172.16.30.0/24, 172.16.40.0/24 .1 ether5 (trunk ke switch)
50, 60, 70 172.16.50.0/24, .60., .70. .1 ether6 (trunk ke server)

PC memakai container lab-ubuntu (lihat lampiran Linux) atau VPCS.

0. Persiapan

  • Host: virsh net-start default dan aturan DOCKER-USER (Part 1).
  • Project baru, identity, NAT masquerade di ether1, DNS Allow Remote Requests (Part 4).
  • Backup: snapshot GNS3 atau /export file=....

1. Access port (ether2–ether4)

Bridge: Bridge → Bridge → New, Name bridge-vlan, VLAN Filtering belum dicentang.

Ports: Bridge → Ports → New

Interface PVID Frame Types
ether2 10 admit only untagged and priority tagged
ether3 10 admit only untagged and priority tagged
ether4 20 admit only untagged and priority tagged

Tabel VLAN: Bridge → VLANs → New

VLAN IDs Tagged Untagged
10 bridge-vlan ether2, ether3
20 bridge-vlan ether4

Gateway: VLAN interface di bridge-vlan (bukan di port fisik), IP, dan DHCP per VLAN.

Saklar: Bridge → Bridge → bridge-vlan → tab VLAN → centang VLAN Filtering.

2. Trunk ke switch (ether5, VLAN 30 + 40)

Switch GNS3: port 0 dot1q (ke ether5), port 1 access 30 (PC-30), port 2 access 40 (PC-40).

Di router:

  • Bridge → Ports: ether5, Frame Types admit only VLAN tagged, PVID dibiarkan default.
  • Bridge → VLANs: VLAN 30 dan 40, Tagged bridge-vlan + ether5, Untagged kosong.
  • VLAN interface vlan30, vlan40 di bridge-vlan, IP, DHCP.

Access port menerima frame polos dan memakai PVID untuk menentukan VLAN. Trunk menerima frame bertag karena VLAN-nya sudah tertulis di tag.

3. Trunk ke server (ether6, VLAN 50 + 60 + 70)

/interface bridge port add bridge=bridge-vlan interface=ether6 frame-types=admit-only-vlan-tagged

/interface bridge vlan
add bridge=bridge-vlan vlan-ids=50 tagged=bridge-vlan,ether6
add bridge=bridge-vlan vlan-ids=60 tagged=bridge-vlan,ether6
add bridge=bridge-vlan vlan-ids=70 tagged=bridge-vlan,ether6

/interface vlan
add name=vlan50 interface=bridge-vlan vlan-id=50
add name=vlan60 interface=bridge-vlan vlan-id=60
add name=vlan70 interface=bridge-vlan vlan-id=70

/ip address
add address=172.16.50.1/24 interface=vlan50 comment=VLAN50-proxmox
add address=172.16.60.1/24 interface=vlan60 comment=VLAN60-proxmox
add address=172.16.70.1/24 interface=vlan70 comment=VLAN70-proxmox

/ip pool
add name=pool50 ranges=172.16.50.100-172.16.50.200
add name=pool60 ranges=172.16.60.100-172.16.60.200
add name=pool70 ranges=172.16.70.100-172.16.70.200

/ip dhcp-server network
add address=172.16.50.0/24 gateway=172.16.50.1 dns-server=172.16.50.1
add address=172.16.60.0/24 gateway=172.16.60.1 dns-server=172.16.60.1
add address=172.16.70.0/24 gateway=172.16.70.1 dns-server=172.16.70.1

/ip dhcp-server
add name=server50 interface=vlan50 address-pool=pool50
add name=server60 interface=vlan60 address-pool=pool60
add name=server70 interface=vlan70 address-pool=pool70

Menambah trunk untuk VLAN yang sudah ada cukup menambahkan port ke kolom Tagged. Hati-hati: set tagged=... menimpa daftar lama, sehingga port yang sudah ada harus ditulis ulang: 

/interface bridge vlan set [find vlan-ids=30] tagged=bridge-vlan,ether5,ether6

4. Sisi server (container Linux)

ip link set eth0 up
for v in 50 60 70; do
  ip link add link eth0 name eth0.$v type vlan id $v
  ip link set eth0.$v up
  dhclient -v eth0.$v
done
ip -br addr

Hasil: 

eth0.50@eth0     UP     172.16.50.200/24
eth0.60@eth0     UP     172.16.60.200/24
eth0.70@eth0     UP     172.16.70.200/24
eth0             UP
  • RTNETLINK answers: File exists saat dhclient kedua/ketiga itu normal: Linux hanya memakai satu default gateway di tabel routing utama.
  • Ctrl+C di tengah loop menghentikan seluruh loop. VLAN berikutnya harus dicoba manual.
  • Baris xid: warning ... aman diabaikan.

Padanan di Proxmox sungguhan

auto vmbr0
iface vmbr0 inet manual
    bridge-ports eno1
    bridge-stp off
    bridge-fd 0
    bridge-vlan-aware yes
    bridge-vids 2-4094

auto vmbr0.50
iface vmbr0.50 inet static
    address 172.16.50.20/24
    gateway 172.16.50.1
  • bridge-vlan-aware yes = bridge Proxmox juga memakai VLAN filtering, konsepnya sama dengan bridge-vlan di MikroTik.
  • vmbr0.50 = IP manajemen host, statis di range server.
  • Setiap VM: Bridge vmbr0 + VLAN Tag di setting network VM.

Verifikasi

  • Setiap PC/VM mendapat IP sesuai VLAN-nya dan bisa ping 8.8.8.8.
  • trace dalam satu VLAN langsung sampai; antar VLAN lewat gateway.
  • Bridge → VLANs: keanggotaan tagged/untagged sesuai rencana.
  • Bridge → Hosts: MAC setiap perangkat beserta port dan VLAN-nya.

Entri dinamis seperti VLAN 1 ;;; added by pvid di tabel VLAN itu normal: bridge sendiri punya PVID default 1.

Masalah yang ditemui

VLAN interface berflag R tapi parameternya salah

Ketiga kasus di bawah sama-sama terlihat normal di print biasa. Flag R hanya berarti "interface hidup", bukan "konfigurasinya benar". Masalahnya baru terlihat di print detail.

Kasus Temuan di print detail Penyebab Perbaikan
PC-30 & PC-40 tidak dapat IP vlan30 dan vlan40: vlan-id=1 Kolom VLAN ID terlewat, memakai default /interface vlan set vlan30 vlan-id=30
PC-40 tidak dapat IP vlan40: use-service-tag=yes Checkbox Use Service Tag tercentang. Itu mode QinQ (penanda 0x88a8), sedangkan switch mengirim tag biasa 0x8100. ... vlan-id=40 use-service-tag=no
VLAN 50 jalan, VLAN 60 tidak vlan60: interface=ether1, MAC sama dengan ether1 Dropdown Interface terpilih port WAN /interface vlan set vlan60 interface=bridge-vlan

Efek samping VLAN interface ber-ID 1 di atas bridge: muncul entri dinamis VLAN 1 ;;; added by vlan on bridge di tabel VLAN.

Diagnosis cepat

Kalau satu VLAN jalan dan VLAN lain tidak di trunk yang sama, jalur fisik dan trunk sudah benar. Fokus ke konfigurasi khusus VLAN yang gagal.

Menentukan layer masalah: jalankan DHCP di client, sementara di router: 

/tool torch interface=vlan60
/tool sniffer quick interface=ether6
  • Ada traffic di vlanXX → paket sampai, masalah di DHCP/IP.
  • Kosong → masalah di VLAN ID, interface induk, atau tabel bridge VLAN.

Perintah pengecekan lengkap 

/interface vlan print detail
/interface bridge print
/interface bridge port print
/interface bridge vlan print
/ip address print
/ip pool print
/ip dhcp-server print
/ip dhcp-server network print
/ip dhcp-server lease print
/log print where topics~"dhcp"

Checklist VLAN baru

  1. Bridge → VLANs: VLAN ID; bridge-vlan + port trunk di Tagged; access port di Untagged.
  2. Interfaces → VLAN: cek vlan-id, interface = bridge-vlan, use-service-tag = no.
  3. IP → Addresses: gateway .1.
  4. DHCP: gateway/DNS di Networks.
  5. Langsung jalankan /interface vlan print detail.

Tips: simpan blok CLI VLAN sebagai template, ganti angkanya, lalu copy-paste. Sebagian besar kesalahan di lab ini terjadi saat mengisi form GUI.

Latihan

  1. Tebak dulu: hapus ether6 dari Tagged di VLAN 60. Di container, dhclient -r eth0.60 lalu dhclient -v eth0.60. Apa yang terjadi? Apakah VLAN 50 dan 70 ikut terdampak?
  2. IP manajemen statis: lepas DHCP di eth0.50, pasang 172.16.50.20/24 dengan gateway 172.16.50.1, sampai container bisa ping 8.8.8.8 lewat VLAN 50.
  3. Detektif: di Bridge → Hosts, MAC container muncul berapa kali dan di VLAN apa saja? Kenapa satu MAC bisa muncul beberapa kali?
  4. Tebak dulu: hapus bridge-vlan dari Tagged di VLAN 20 (biarkan ether4 untagged). Apakah Tamu masih bisa mendapat IP? Ping gateway? Ping Staff1?

Catatan

Bridge VLAN filtering sudah melampaui cakupan dasar MTCNA dan lebih dekat ke materi switching. Kesalahan di lab ini hampir semuanya salah input, bukan salah konsep. Kemampuan yang paling berguna bukan menghafal menu, tapi melacak kenapa sesuatu tidak berjalan.

Ringkasan

  • Satu VLAN di satu port → VLAN interface di port. Satu VLAN di banyak port → bridge VLAN filtering.
  • PVID = VLAN untuk frame polos yang masuk. Tabel VLAN = keanggotaan dan tagged/untagged saat keluar.
  • VLAN interface (gateway) ditempel di bridge, dan bridge harus tagged di setiap VLAN.
  • Nyalakan vlan-filtering paling akhir, dengan Safe Mode di router produksi.
  • Flag R bukan jaminan benar: biasakan print detail.
Retrieved from "https://wiki.haidhi.my.id/wiki/index.php?title=Mikrotik_5:_Bridge_VLAN_Filtering&oldid=885"