Проблема с Bridge Firewall при использовании vlan в Bridge

[alexder]

нужен совет.
давно хотел перенастроить на своем микротике вланы на бридже (ка описано тут https://wiki.mikrotik.com/wiki/Manual:Bridge_VLAN_Table). прочитал все мануалы на wiki и настроил подобным образом, но вот столкнулся с проблемой:
требуется отфильтровать трафик в фаерволе бриджа по типу трафика (конкретно интересует пппое трафик), но фаервол его не помечает на транковых портах. если читать трафик на аццесных портах,- то читается лишь трафик в сторону аццесного порта, а обратно в транк нет.
Подскажите, может я что-либо проглядел, может где-то что-то нужно разрешить? или это непобедимо?
не хочется вновь возвращаться к бриджам между снятыми с портов тегами (визуально перегружает интерфейс).

 

заранее благодарен

[jffulcrum]

Железо какое?

[alexder]

на данный момент это "hap ac2", но это всеголишь обкаточная модель. сам зоопарк железа велик, и все это - маршрутизаторы.

то-есть речь идет о попытке понимания коммутаторной логики посредством vlan in bridge через ЦПУ, без использования свитч-чипа, т.к. портами данного бриджа также будут использываться и радио-порты..

[alexder]

и снова здравствуйте.

увы уже за 3 недели не получил ни единого совета. все еще очень жду.

 

п.с. методом тыка научился читать трафик и от ацесного порта  в транковый. может кому пригодится в частном случае:

если из транка в аццесс читаем так:

/interface bridge filter add chain=forward in-interface=ether1 out-interface=ether2 mac-protocol=pppoe

то обратно будет работать так:

/interface bridge filter add chain=forward in-interface=ether2 out-interface=ether1 mac-protocol=vlan vlan-encap=pppoe

где ether1 - транковый, а ether2 - аццесный порты.

но вот между двумя транковыми портами прочитать трафик никак не получается. Да и для себя этот вариант считаю костылем, т.к. правила можно случайно поперепутать местами и все пойдет не так, как хотелось бы.

[DeLL]

По всей видимости у вас трафик между транковыми портами не попадает в цпу, поэтому с ним ничего сделать и нельзя. Он ходит только через свитч-чип, что логично.

[alexder]

да в том то и проблема. что именно НЕ через свитч-чип, так как это первое, что пришло мне в голову и я пустил трафик через радиопорт, что на сто процентов проводит его через цпу.

и нифига...

[Saab95]

При настройке вланов по новой схеме файрвол с такими данными не работает.