Настройка vlan в mikrotik, trunk и access порты

Link

Link Tab allows you to:

• Configure Ethernet and SFP ports
• Monitor status of Ethernet and SFP ports

Link settings

Property	Description
Enabled	Enable or disable port
Name	Editable port name
Link Status	Current link status (Read-only)
Auto Negotiation	Enable or disable auto negotiation (some SFP modules may required it disabled in order to work)
Speed	Specify speed setting of the port (requires auto negotiation to be disabled)
Full Duplex	Specify duplex mode of the port (requires auto negotiation to be disabled)
Flow control	Enable or disable 802.3x Flow control

Note: Using SFP+ 1m/3m DAC cable or S-RJ01 module, the device always shows that link is established even if nothing is connected on other end.

PoE (CSS106-1G-4P-1S)

PoE settings configure Power over Ethernet output on CSS106-1G-4P-1S port2-port5 and show PoE status and measurements.

CSS106-1G-4P-1S PoE Out settings

Property	Description
PoE Out	Sets PoE out mode of the port: — all detection and PoE out is turned off — detection is done regarding resistance on the spare pairs to check if port has PoE capability. For port to be turned on measured value should be within range from 3kΩ to 26.5kΩ — PoE out is enabled regardless of the resistance on the port. Use this with caution as that can damage connected equipment! — manual port PoE out recalibration. It may be necessary if there are ocasional problems with powering connected devices.
PoE Priority	Port priority for PoE out supply. If installation is going over power budged, port with the lowest priority is going to be turned off first. — the highest priority port; — the lowest priority port
PoE Status	Current PoE out status of the port: — PoE out is turned off — «auto» mode detects out of range resistance to turn on PoE out — PoE out is turned on — if it is detected, to ensure that there is no additional damage on powered device and no damage on powering device PoE out is turned off — not enough voltage supplied to turn on device with PoE out — not enough current supplied to turn on device with PoE out — manual recalibration with «calibr» has detected connected device and waits for disconnection to complete the recalibration process
PoE Current	Shows current usage on the port measured in miliamperes
PoE Power	Shows PoE out power on the port measured in watts

RSTP

Per port and global RSTP configuration and monitoring is available in the RSTP menu.

CSS326-24G-2S+ RSTP Settings

Property	Description
Bridge Priority (hex)	RSTP bridge priority for Root Bridge selection
Port Cost Mode	There are two methods for automatically detecting RSTP port cost depending on link speed. : 10G — 2; 1G — 4; 100M — 10; 10M — 100 : 10G — 2000; 1G — 20000; 100M — 200000; 10M — 2000000
Root Bridge	The priority and MAC address of the selected Root Bridge in the network (Read-only)

Property	Description
RSTP	Enable or disable STP/RSTP functionality on this port
Mode	Shows STP/RSTP functionality mode on specific port (Read-only):
Role	Shows specific port role (Read-only): — port that is facing towards the root bridge and will be used to forward traffic from/to the root bridge — port that is facing towards root bridge, but is not going to forward traffic (a backup for root port) — port that is facing away from the root bridge, but is not going to forward traffic (a backup for non-root port) — port that is facing away from the root bridge and is going to forward traffic — port that is not strictly part of STP (RSTP functionality is disabled)
Root Path Cost	Shows root path cost for ports that are facing root bridge (Read-only)
Type	— ports that are not supposed to receive any BPDUs, should be connected to end station (Read-only) — ports that operates in full-duplex links, can be part of STP and operate in forwarding state (Read-only)
State	Shows each port state (Read-only): — port participates in traffic forwarding and is learning MAC addresses, is receiving BPDUs — port does not participate in traffic forwarding and is not learning MAC addresses, is receiving BPDU — port does not participate in traffic forwarding, but is learning MAC addresses

System

System Tab performs the following functions:

• General information about Switch
• Switch management
• Configuration reset
• Backup and restore configuration

Note: SwOS uses a simple algorithm to ensure TCP/IP communication — it just replies to the same IP and MAC address packet came from. This way there is no need for Default Gateway on the device itself.

General Settings

Property	Description
Address Acquisition	Specify which address acquisition method to use: — For first 10 seconds switch uses DHCP client. If request is unsuccessful, then address is set as a Static IP Address value — Address is set as a Static IP Address value — Switch uses DHCP client to acquire address
Static IP Address	IP address of the switch in case of Address Acquisition is set as or
Identity	Name of the switch (for Mikrotik Neighbor Discovery protocol)
Allow From	IP address from which the switch is accessible. Default value is ‘0.0.0.0/0’ — any address
Allow From Ports	List of switch ports from which it is accessible
Allow From VLAN	VLAN ID from which the switch is accessible (VLAN Mode on ingress port must be other than in order to connect)
Watchdog	Enable or disable system Watchdog. It will reset CPU of the switch in case of fault condition
IGMP Snooping	Enable or disable IGMP Snooping
Mikrotik Discovery Protocol	Enable or disable Mikrotik Neighbor Discovery protocol
MAC Address	MAC address of the switch (Read-only)
Serial Number	Serial number of the switch (Read-only)
Board Name	MikroTik model name of the switch (Read-only)
Uptime	Current switch uptime (Read-only)

DHCP & PPPoE Snooping

DHCP & PPPoE snooping settings

Property	Description
Trusted Ports	Group of ports, which allows DHCP or PPPoE servers to provide a requested information. Mainly used to limit unauthorized servers to provide malicious information for users, access ports usually do not configure as trusted
Add Information Option	Enables or disables DHCP Option-82 information. When enabled, the Option-82 information (Agent Remote ID and Circuit ID) is added for DHCP packets received from untrusted ports. Can be used together with Option-82 capable DHCP server to assign IP addresses and implement policies

Перейдем к настройке VLAN на оборудовании Mikrotik

Предположим, что нам нужно разделить одну большую сеть на 3 виртуальных. Для примера будем использовать RB750UP. Структура будущей сети выглядит следующим образом:

Подключаемся через WinBox к оборудованию.

• Заходим в раздел Interfaces;
• Переходим на вкладку VLAN;
• Нажимаем на значок «+»;
• В появившемся окне присваиваем имя vlan5 интерфейсу в поле Name;
• Прописываем VLAN ID, которое равно 5;
• Выбираем интерфейс, для которого создается Vlan (в нашем случае это Ether5);

Видим, что интерфейс добавился:

Также он отображается в окне Interfaces и структурно находится под интерфейсом, на который добавлен, название vlan5 смещается чуть-чуть вправо относительно основного списка интерфейсов

Аналогично добавляем vlan4 на ether4 и vlan3 на ether3

Следующее, что нам нужно сделать – это добавить IP адрес для созданных виртуальных сетей:

• Переходим в раздел IP > Addresses;
• Добавляем адрес как обычно, только в поле интерфейс выбираем наш vlan5;

Добавляем IP адреса на vlan4 и vlan3.

В результате у нас должно получиться следующее:

VLAN между Ubiquiti(UniFi, Nanostation) и MikroTik, через коммутатор MikroTik CSS326-24G-2S+RM

Чтобы избежать путаницы в настройке VLAN, этот раздел будет описан полностью, даже если часть настроек будет пересекаться с прямой схемой подключения.

Настройка находится Bridge→Bridge

/interface bridge
add admin-mac=2A:59:86:88:2D:4B auto-mac=no name=Bridge-VLAN vlan-filtering=yes

Настройка находится Interfaces→VLAN

/interface vlan
add interface=Bridge-VLAN name=Bridge-Vlan17 vlan-id=17
add interface=Bridge-VLAN name=Bridge-Vlan27 vlan-id=27

Эту настройку нужно распространить для двух VLAN ID – 17 и 27, которые будут назначаться Managment VLAN и клиентам WiFi соответственно.

Настройка находится Bridge→Ports

/interface bridge port 
add bridge=Bridge-VLAN interface=ether5 pvid=1

Настройка находится Bridge→VLANs

/interface bridge vlan
add bridge=Bridge-VLAN tagged=Bridge-VLAN tagged=ether5 vlan-ids=17

Настройка находится Bridge→VLANs

/interface bridge vlan 
add bridge=Bridge-VLAN tagged=Bridge-VLAN untagged=ether5 vlan-ids=27

Настройка находится IP→Addresses

/ip address
add address=192.168.17.1/24 interface=Bridge-Vlan17 network=192.168.17.0
add address=192.168.27.1/24 interface=Bridge-Vlan27 network=192.168.27.0

Настройка находится IP→DHCP Server→DHCP

/ip dhcp-server
add address-pool=Pool-LAN-17 disabled=no interface=Bridge-Vlan17 lease-time=\
1d name=dchp_vlan17
add address-pool=Pool-LAN-27 disabled=no interface=Bridge-Vlan27 lease-time=\ 
1d name=dchp_vlan27

После подключения к 5-ом порту маршрутизатора(роутера) MikroTik точки доступа WiFi Ubiquiti(UniFi, Nanostation), через опцию точки доступа Managment VLAN присваивается IP 17-ого VLAN, ну а всем WiFi клиентам из 27-ого VLAN.

Если у вас есть профессиональный интерес в расширении данной статьи – заполните форму запроса.

Summary

SwOS is an operating system designed specifically for administration of MikroTik switch products.

SwOS is configurable from your web browser. It gives you all the basic functionality for a managed switch, plus more: allows to manage port-to-port forwarding, broadcast storm control, apply MAC filter, configure VLANs, mirror traffic, apply bandwidth limitation and even adjust some MAC and IP header fields.

Warning: Each RouterBoard switch series device has its own firmware which cannot be installed on other series models!

• CRS326-24G-2S+ supports SwOS v2.0 and newer.
• CRS317-1G-16S+ supports SwOS v2.3 and newer.
• CRS328-24P-4S+ supports SwOS v2.7 and newer.
• CRS328-4C-20S-4S+ supports SwOS v2.7 and newer.
• CRS305-1G-4S+ supports SwOS v2.8 and newer.
• CRS309-1G-8S+ supports SwOS v2.8 and newer.
• CRS312-4C+8XG supports SwOS v2.10 and newer.
• CRS326-24S+2Q+ supports SwOS v2.10 and newer.
• CRS318-16P-2S+ supports SwOS v2.11 and newer.
• CRS318-1Fi-15Fr-2S supports SwOS v2.11 and newer.

Port Isolation

Port Isolation table allows or restricts traffic forwarding between specific ports. By default, all available switch chip ports can communicate with any other port, there is no isolation used. When the checkbox is enabled/ticked you allow to forward traffic from this port towards the ticked port. Below are some port isolation examples.

In some scenarios you might need to isolate a group of devices from other groups. In this example devices on Port1-Port5 are not able to communicate with Port6-Port10 devices, and vice versa.

In some scenarios you might need to forward all traffic to an uplink port while all other ports are isolated from each other. This kind of setup is called Private VLAN configuration. The switch will forward all Ethernet frames only to the uplink Port1, while uplink can reach all other ports

Individual isolated Port1 (e.g. for management purpose), it cannot send or receive traffic from any other port

Note: It is possible to check/uncheck multiple checkboxes by checking one of them and then dragging horizontally (Click & Drag).

Note: (R)STP will only work properly in Private VLAN setups. In setups with multiple isolated switch groups (R)STP might not properly receive BPDUs and therefore fail to detect network loops.

1.6 Настройка DHCP серверов

Чтобы компьютеры получали сетевые настройки автоматически, необходимо настроить DHCP сервера. Поскольку у нас будут две сети, то нужно настроить два DHCP сервера.

Настраиваем DHCP сервер внутренней сети предприятия:

1. Откройте меню IP – DHCP server;
2. Нажмите “красный плюсик”;
3. В появившемся окне в поле Name укажите название dhcp_server_main;
4. В списке Interface выберите интерфейс офисной сети bridge_main;
5. В списке Address Pool выберите пул IP адресов dhcp_pool_main, которые будут присваиваться компьютерам предприятия;
6. Нажмите кнопку OK.

Настраиваем DHCP сервер гостевой сети аналогичным образом:

1. Нажмите “красный плюсик”;
2. В появившемся окне в поле Name укажите название dhcp_server_vlan2;
3. В списке Interface выберите виртуальный интерфейс гостевой сети vlan2;
4. В списке Address Pool выберите пул IP адресов dhcp_pool_vlan2, которые будут присваиваться гостевым ноутбукам;
5. Нажмите кнопку OK.

Теперь переходим на вкладку Networks и добавляем наши сети:

Добавляем сеть предприятия:

1. Нажмите “красный плюсик”;
2. В поле Address укажите сеть предприятия 192.168.88.0/24;
3. В поле Gateway укажите адрес шлюза 192.168.88.1;
4. В поле Netmask укажите маску 24;
5. В поле DNS Servers укажите адрес DNS сервера 192.168.88.1;
6. Нажмите кнопку OK.

Добавляем гостевую сеть:

1. Нажмите “красный плюсик”;
2. В поле Address укажите сеть предприятия 192.168.10.0/24;
3. В поле Gateway укажите адрес шлюза 192.168.10.1;
4. В поле Netmask укажите маску 24;
5. В поле DNS Servers укажите адрес DNS сервера 192.168.10.1;
6. Нажмите кнопку OK.

Summary

Sub-menu:
Standards:

Virtual Local Area Network (VLAN) is a Layer 2 method that allows multiple Virtual LANs on a single physical interface (ethernet, wireless, etc.), giving the ability to segregate LANs efficiently.

You can use MikroTik RouterOS (as well as Cisco IOS, Linux and other router systems) to mark these packets as well as to accept and route marked ones.

As VLAN works on OSI Layer 2, it can be used just as any other network interface without any restrictions. VLAN successfully passes through regular Ethernet bridges.

You can also transport VLANs over wireless links and put multiple VLAN interfaces on a single wireless interface. Note that as VLAN is not a full tunnel protocol (i.e., it does not have additional fields to transport MAC addresses of sender and recipient), the same limitation applies to bridging over VLAN as to bridging plain wireless interfaces. In other words, while wireless clients may participate in VLANs put on wireless interfaces, it is not possible to have VLAN put on a wireless interface in station mode bridged with any other interface.

Настройка сервера PPPoE на Микротик

Нам необходимо создать адресное пространство (IP пул). Подключимся к NetworkCore и перейдем в IP – Pool.

Создадим новый. Задаем понятное название и диапазон адресов.

Сохраняем и переходим к следующему пункту.

Создание профиля

Переходим к созданию профиля. Открываем PPP – Profiles.

• Задаем понятное имя профиля;
• Local Address – 172.16.25.1;
• Remote Address – ранее созданный пул;
• DNS – в качестве примера 8.8.8.8;
• Change TCP MSS – yes;
• Use UPnP – no.

Переходим в Protocols.

• Use MPLS – no;
• Use Compression – no;
• Use Encryption – yes.

Открываем Limits.

Only One – no.

Сохраняем и идем далее.

Создание пользователей

Т.к. PPPoE требует аутентификацию по логину и паролю, нам необходимо создать два пользователя, по одному для каждого офиса. Последовательно открываем PPP – Secrets.

• Name – учетная запись, регистр имеет значение;
• Password – пароль;
• Service – можно выбрать any, но я предпочитаю указывать конкретные сервисы;
• Profile – раннее созданный профиль.

По аналогии создаем пользователя для офиса SPB.

Включение сервера

Для ограничения широковещательного трафика я не стал создавать bridge и добавлять в него порты, связанные с офисами. Так же я создал одну сеть, что не рекомендуется для production сети. Сервер настраивается в PPP – PPPoE Servers. Создадим первый, подключенный к московскому офису.

Задаем параметры:

• Service Name — указываем уникальное имя сервиса;
• Interface – ether2 для офиса в Москве;
• Default profile – раннее созданный профиль;
• One Session Peer Host – ставим галочку;
• Authentication – оставляем только MSCHAPv1 и MSCHAPv2.

Есть возможность указать задержку ответа в параметре PAD0 Delay. Данный параметр будет полезен для сценариев с несколькими серверами. Его мы не изменяем.

Сохраняем и создаем еще один, но только указываем другое имя сервиса и порт ether3 в параметре interface.

Настройка клиента PPoE на Микротик

Необходимо настроить таким образом, чтобы был доступ в интернет. На московском роутере я покажу как это сделать. Для начала проверим что на нем нет никаких IP адресов и маршрутов.

Далее переходим в PPP – Interface и добавляем новый.

В создании интерфейса на вкладке General зададим:

• Name – понятное название интерфейса;
• Interface – тот интерфейс, который подключен к провайдеру, в нашем случае ether1.

Предлагаю воспользоваться утилитой PPPoE Scan – она позволяет без подключения и аутентификации просканировать эфир на наличие каких-либо серверов. Особенно полезная штука для поиска неисправностей доступности крупнейшего провайдера нашей страны. После нажатия кнопки Start утилита начинает сканирование. На скриншоте ниже, виден наш сервер с заданным именем сервиса и AC Name – он берется из Identity в меню System. При желании можно сменить.

Закрываем утилиту и переходим во вкладку Dial Out.

• Service – for-MSC (можно не указывать);
• AC Name – NetworkCore (можно не указывать);
• User – MSC – обязательный параметр;
• Password – обязательный параметр;
• Use Peer DNS – ставим галочку;
• Allow – снимаем галочки с chap и pap.

Add Default Route нужен для автоматического добавления маршрута 0.0.0.0/0 в нашу таблицу маршрутизации. Данная запись обеспечит выход в интернет

Обращаю внимание, что она устанавливается на клиентской стороне. Сохраняем и проверяем на вкладке Status

Мы видим внизу статус – connected, что символизирует об успешном подключении. Исходя из скриншота выше можно сказать, что, последний раз соединение поднялось 05.02.2020 в 19:51, время жизни 44 секунды, получили адрес 172.16.25.20, Service Name — for-MSC, AC Name — NetworkCore. Попробуем проверить доступность интернета.

Отправив ping запрос по доменному имени, мы убедились, что имя преобразуется – это означает что DNS сервер добавился без проблем и получаем ответы на запросы — работает интернет-соединение. Не ленимся и перепроверим в соответствующих консолях.

Проделаем аналогичные действия на Mikrotik в Питере и посмотрим, что происходит на главном роутере NetworkCore.

Как мы видим, на интерфейсах ether2 и ether3 появились дополнительные соединения. Далее мы можем из этих интерфейсов сделать статические адрес листы и в зависимости от ситуации, разрешать или запрещать определенный трафик. В данном примере я продемонстрировал как с помощью PPPoE на роутере Mikrotik разрешить доступ в интернет, вы же можете предоставлять с его помощью доступ к иным службам или сетям

Спасибо за внимание

Настройка нетегированного(untagged) VLAN в MikroTik, схема только access портов

К каждому порту маршрутизатора(роутера) будет подключаться конечный клиент(ПК, принтер, точка доступа). Со стороны клиента трафик нетегированный, а в момент попадания пакета на порт, ему будет присваиваться тег VLAN ID(тегированный трафик). Access порт – это синоним приведенной схемы у производителя оборудования такого как Cisco.

Настройка находится Bridge→Bridge

Необходимо определить Bridge интерфейс, настройки которого содержат параметр Ether. type = 0x8100. Это параметр указывает на то, что на данном интерфейсе будет использоваться тег VLAN-а.

/interface bridge
add admin-mac=AA:AA:E7:78:04:D7 auto-mac=no name=Bridge vlan-filtering=yes

Стоит обратить внимание на заполнение параметра Admin MAC Address, это действие нужно взять в привычку: копировать сгенерированный MAC Address сразу после создания Bridge, т.е. до внесения портов

В противном случае Admin MAC Address будет произвольно меняться и на каком-то этапе это может быть помехой в доступности или в работе маршрутизации.

Настройка находится Interfaces→VLAN

В созданном VLAN-е нужно определить VLAN ID, а также указать интерфейс, на котором он будет присваиваться. В схеме, где отсутствует центральный Bridge, VLAN нужно назначить на Bridge интерфейс

По аналогии создаются все необходимые интерфейсы.

/interface vlan
add interface=Bridge name=Bridge-Vlan12 vlan-id=12
add interface=Bridge name=Bridge-Vlan13 vlan-id=13
add interface=Bridge name=Bridge-Vlan14 vlan-id=14
add interface=Bridge name=Bridge-Vlan15 vlan-id=15
add interface=Bridge name=Bridge-Vlan16 vlan-id=16
add interface=Bridge name=Bridge-Vlan17 vlan-id=17
add interface=Bridge name=Bridge-Vlan18 vlan-id=18
add interface=Bridge name=Bridge-Vlan27 vlan-id=27

Настройка находится Bridge→Ports

/interface bridge port
add bridge=Bridge interface=ether2 pvid=12
add bridge=Bridge interface=ether3 pvid=13
add bridge=Bridge interface=ether4 pvid=14
add bridge=Bridge interface=ether5 pvid=15
add bridge=Bridge interface=ether6 pvid=16
add bridge=Bridge interface=ether7 pvid=17
add bridge=Bridge interface=ether8 pvid=18

Для всех портов нужно определить VLAN ID, обозначив эти порты как тегированные.

PVID = 12 будет маркировать все пакеты поступившие на порт соответствующим VLAN ID.

Настройка находится Bridge→VLANs

/interface bridge vlan
add bridge=Bridge tagged=Bridge untagged=ether2 vlan-ids=12
add bridge=Bridge tagged=Bridge untagged=ether3 vlan-ids=13
add bridge=Bridge tagged=Bridge untagged=ether4 vlan-ids=14
add bridge=Bridge tagged=Bridge untagged=ether5 vlan-ids=15
add bridge=Bridge tagged=Bridge untagged=ether6 vlan-ids=16
add bridge=Bridge tagged=Bridge untagged=ether7 vlan-ids=17
add bridge=Bridge tagged=Bridge untagged=ether8 vlan-ids=18

Tagged=Bridge будет использовать как тегированный(trunk) интерфейс и будет пропускать через себя VLAN ID 12…18;

Untagged=ether2 определен как нетегированный порт.

Hosts

This table represents dynamically learnt MAC address to port mapping entries. It can contain two kinds of entries: dynamic and static. Dynamic entries get added automatically, this is also called a learning process: when switch receives a packet from certain port, it adds the packet’s source MAC address X and port it received the packet from to host table, so when a packet comes in with destination MAC address X it knows to which port it should forward the packet. If the destination MAC address is not present in host table then it forwards the packet to all ports in the group. Dynamic entries take about 5 minutes to time out.

Note: CSS106 series switches support 2048 host table entries.

Host table

Property	Description
Port	Ports the packet should be forwarded to (Read-only)
MAC	Learned MAC address (Read-only)
VLAN ID	Learned VLAN ID (Read-only)

Static Hosts

Static entries will take over dynamic if dynamic entry with same mac-address already exists. Also by adding a static entry you get access to some more functionality.

Static host table

Property	Description
Ports	Ports the packet should be forwarded to
MAC	MAC address
VLAN ID	VLAN ID (only supported on RB260GS/RB260GSP)
Drop	Packet with certain MAC address coming from certain ports can be dropped
Mirror	Packet can be cloned and sent to mirror-target port

Reset and Reinstall

With a you can restore RouterOS default-configuration, from where you can .

CRS3xx devices with a serial console have some additional options.

To change between RouterOS and SwOS follow these steps:

1. Connect to the device using a serial console
2. Enter RouterBOOT setup
3. Chose «j — boot os»
4. Chose either RouterOS or SwOS

It is possible to load a SwOS backup firmware in case standard firmware breaks or upgrade fails:

1. Connect to the device using a serial console
2. Boot SwOS
3. Choose «p — boot primary SwOS»
4. After loading backup firmware, it is possible to connect to 192.168.88.1 using a web browser and install new SwOS firmware.

To reset SwOS configuration:

1. Connect to the device using a serial console
2. Boot SwOS
3. Choose «r — reset configuration»

Dual boot

SwOS serial console access

VLAN and VLANs

Port VLAN settings

Property	Description
VLAN Mode (disabled | optional | enabled | strict; Default: optional)	VLAN filtering mode, these options are relevant to egress ports (except for strict mode). disabled — VLAN table is not used. Switch discards packets with a VLAN tag on egress ports. If the packet has a VLAN tag and the VLAN ID matches on egress ports, then with the switch will remove the VLAN tag and forward the packet. optional — Disabled VLAN filtering. Handle packets with VLAN tag ID that is not present in VLAN table just like packets without VLAN tag. enabled — Enabled VLAN filtering. Drop packets with VLAN tag ID that is not present in VLAN table. Default VLAN ID must be specified for access ports since it will be used to tag ingress traffic and untag egress traffic for the certain port. strict — Enabled VLAN filtering with additional ingress filtering, which checks if the ingress port is a member of the received VLAN ID in the VLAN table. Received packets on the ingress port with a VLAN ID that does not match with VLAN table will be dropped. Default VLAN ID must be specified for access ports since it will be used to tag ingress traffic and untag egress traffic for the certain port.
VLAN Receive (any | only tagged | only untagged; Default: any)	Ingress traffic filtering based on VLAN tag presence. any — Allows tagged and untagged packets on a certain port only tagged — Allows only packets with a VLAN tag only untagged — Allows only packets without a VLAN tag
Default VLAN ID (integer: 1..4095; Default: 1)	VLAN ID which will be assigned on ingress traffic. Only has effect on untagged traffic, it will be ignored for tagged traffic. This parameter is usually used to allocate access ports with specific VLAN. It is also used to untag egress traffic if packet’s VLAN ID matches Default VLAN ID.
Force VLAN ID (integer: yes | no; Default: no)	Assigns the value to all ingress traffic (tagged and untagged). Has effect in all VLAN Modes. If port receives tagged traffic and is set to 1, then with this parameter the egress traffic will be untagged.

VLAN table settings

Property	Description
VLAN ID (integer: 1..4095; Default: )	VLAN ID to which assign ports.
Port Isolation (yes | no; Default: yes)	Use settings from menu to isolate the defined VLAN to only certain ports. When disabled, the switch will ignore port isolation configuration and forward traffic with the defined VLAN ID only to ports that are checked as members.
Learning (yes | no; Default: yes)	Enables or disables MAC address learning on the defined VLAN. If disabled, then all learned MAC addresses will appear as they have had been learned from VLAN 1.
Mirror (yes | no; Default: no)	Enables or disables VLAN based mirroring. When enabled and is set in the menu, then all traffic from the defined VLAN will be mirrored to the selected port.
IGMP Snooping (yes | no; Default: no)	Enables or disables IGMP Snooping on the defined VLAN. When enabled, the switch will listen to IGMP Join and Leave requests from the defined VLAN and only forward traffic to ports, which have sent IGMP membership requests from the defined VLAN. When disabled, the switch will flood all VLAN member ports with Multicast traffic.
Members (ports; Default: none)	Group of ports, which are allowed to forward traffic on the defined VLAN.

VLAN configuration for switch ports.

CRS317-1G-16S+ Port VLAN Settings

VLAN membership configuration for switch ports.

CRS317-1G-16S+ VLAN Membership Settings

LAG

IEEE 802.3ad (LACP) compatible link aggregation is supported, as well as static link aggregation to ensure failover and load balancing based on Layer2 and Layer3 hashing.

Up to 16 link aggregation groups with up to 8 ports per a group are supported.

LAG Tab

Property	Description

Each individual port can be configured as Passive LACP, Active LACP or a Static LAG port.

Mode (default: passive)

Specify LACP packet exchange mode or Static LAG mode on ports:

• : Place port in listening state, use LACP only when it’s contrary port uses active LACP mode
• : Prefer to start LACP regardless contrary port mode
• : Set port in a Static LAG mode

Property	Description
Group	Specify a Static LAG group
Trunk (read only)	Represents group number port belongs to.
Partner (read only)	Represents partner mac-address.

ACL Tab

An access control list (ACL) rule table is very powerful tool allowing wire speed packet filtering, forwarding and VLAN tagging based on L2,L3 protocol header field conditions. Each rule contains a conditions part and an action part.

Conditions part parameters

Property	Description
From	Port that packet came in from
MAC Src	Source MAC address and mask
MAC Dst	Destination MAC address and mask
Ethertype	Protocol encapsulated in the payload of an Ethernet Frame
VLAN	VLAN header presence: any present not present
VLAN ID	VLAN tag ID
Priority	Priority in VLAN tag
IP Src (IP/netmask:port)	Source IPv4 address, netmask and L4 port number
IP Dst (IP/netmask:port)	Destination IPv4 address, netmask and L4 port number
Protocol (integer)	IP protocol
DSCP	IP DSCP field

Action part parameters

Property	Description
Redirect To	Force new packets destination port
Mirror	Clones packet and sends it to mirror-target port
Rate	Limits bandwidth (bps)
Drop	Drop packet
Set VLAN ID	Changes the VLAN tag ID, if VLAN tag is present
Priority	Changes the VLAN tag priority bits, if VLAN tag is present

Interface Overview

CRS317-1G-16S+ SwOS interface menu consists of multiple tabs: Link, SFP, SFP Status, Port Isolation, LAG, Forwarding, Stats, Errors, Histogram, VLAN, VLANs, Static Hosts, Hosts, SNMP, ACL, System and Upgrade.

Description of buttons in SwOS configuration tool:

• Append — add new item to the end of the list
• Apply All — applies current configuration changes
• Cut — removes item from the list
• Clear — resets properties of the item
• Discard Changes — removes unsaved configuration
• Insert — add new item to the list (places it before current item)
• Sort — sort VLAN table by VLAN-IDs; sort host table by MAC addresses

• Change Password — changes password of the switch
• Logout — logout from current Switch
• Reboot — reboot the switch
• Reset Configuration — reset configuration back to factory defaults
• Choose File — browse for upgrade or backup file
• Upgrade — upgrade firmware of the Switch
• Restore Backup — restore Switch using selected backup file
• Save Backup — generate and download backup file from the Switch

RSTP

Per port and global RSTP configuration and monitoring is available in the RSTP menu.

CSS106 RSTP Settings

Property	Description
RSTP	Enable or disable STP/RSTP functionality on this port
Mode	Shows STP/RSTP functionality mode on specific port (Read-only):
Role	Shows specific port role (Read-only): — port that is facing towards the root bridge and will be used to forward traffic from/to the root bridge — port that is facing towards root bridge, but is not going to forward traffic (a backup for root port) — port that is facing away from the root bridge, but is not going to forward traffic (a backup for non-root port) — port that is facing away from the root bridge and is going to forward traffic — port that is not strictly part of STP (RSTP functionality is disabled)
Root Path Cost	Shows root path cost for ports that are facing root bridge (Read-only)
Type	— ports that are not supposed to receive any BPDUs, should be connected to end station (Read-only) — ports that operates in full-duplex links, can be part of STP and operate in forwarding state (Read-only)
State	Shows each port state (Read-only): — port participates in traffic forwarding and is learning MAC addresses, is receiving BPDUs — port does not participate in traffic forwarding and is not learning MAC addresses, is receiving BPDU — port does not participate in traffic forwarding, but is learning MAC addresses

Property	Description
Bridge Priority (hex)	RSTP bridge priority for Root Bridge selection
Port Cost Mode	There are two methods for automatically detecting RSTP port cost depending on link speed. : 10G — 2; 1G — 4; 100M — 10; 10M — 100 : 10G — 2000; 1G — 20000; 100M — 200000; 10M — 2000000
Root Bridge	The priority and MAC address of the selected Root Bridge in the network (Read-only)