Как настроить VLAN на MikroTik для офиса, дома и бизнеса

01.02.2026

303

VLAN на MikroTik позволяет разделить одну физическую сеть на несколько независимых сегментов. Офисные компьютеры, камеры видеонаблюдения, гостевые устройства и серверы могут использовать одни кабели и коммутаторы, но при этом находиться в разных виртуальных сетях.
MikroTik в такой схеме выполняет функции маршрутизатора: создаёт интерфейсы VLAN, назначает им IP-адреса, выдаёт клиентам сетевые настройки, предоставляет доступ в интернет и контролирует обмен данными между сегментами.
Ниже приведён пример для RouterOS 7. Он подходит для устройств MikroTik с несколькими Ethernet-портами, включая hEX, hEX S и другие модели. Названия интерфейсов и IP-адреса при необходимости нужно изменить под свою сеть.

Как настроить VLAN на MikroTik разделение сети для офиса, дома и бизнеса

Зачем нужен VLAN

Без VLAN все устройства обычно находятся в одной локальной сети. Рабочие компьютеры, телефоны, телевизоры, камеры и гостевые устройства видят широковещательный трафик друг друга и могут обращаться к соседним адресам.

Для небольшой домашней сети это иногда допустимо. Но с увеличением количества устройств единая сеть становится менее безопасной и сложнее управляется.

VLAN позволяет создать несколько отдельных сетей:

VLAN	Назначение	Подсеть
10	Офис и доверенные устройства	192.168.10.0/24
20	Гостевые устройства	192.168.20.0/24
30	Камеры видеонаблюдения	192.168.30.0/24

У каждого сегмента будет собственный шлюз и DHCP-сервер. Правила firewall определят, какие VLAN могут связываться между собой.

Схема подключения

В нашем примере порты используются следующим образом:

ether1 — подключение к интернет-провайдеру;
ether2 — транк с VLAN 10, 20 и 30 для управляемого коммутатора или точки доступа;
ether3 — обычный порт офисной сети, VLAN 10;
ether4 — обычный порт гостевой сети, VLAN 20;
ether5 — обычный порт для камеры или регистратора, VLAN 30.

Устройство на ether3 не должно самостоятельно поддерживать VLAN. MikroTik принимает обычные нетегированные кадры и относит их к VLAN 10.

Порт ether2 работает как транк. Через него передаются тегированные кадры сразу нескольких виртуальных сетей. Подключённый к нему управляемый коммутатор или точка доступа должны быть настроены на те же номера VLAN.

Что проверить перед настройкой

Перед изменением конфигурации сохраните резервную копию:

/system backup save name=before-vlan
/export file=before-vlan

Подключаться к MikroTik желательно по кабелю. В WinBox следует включить Safe Mode, чтобы RouterOS смог отменить последние изменения при неожиданной потере соединения.

Проверьте текущую конфигурацию:

/interface bridge print
/interface bridge port print
/interface list print
/ip address print
/ip firewall nat print

Если на устройстве уже создан основной bridge, можно использовать его вместо создания нового. Одновременное существование нескольких bridge иногда отключает аппаратное ускорение на части портов.

В примере ниже создаётся отдельный bridge-vlan. Команды рассчитаны на устройство, которое настраивается заново или на котором соответствующие порты ещё не используются.

Создание bridge для VLAN

Создаём bridge с включённым RSTP, но пока без фильтрации VLAN:

/interface bridge
add name=bridge-vlan protocol-mode=rstp vlan-filtering=no

RSTP защищает сеть от петель. Если два коммутатора будут случайно соединены несколькими кабелями без правильно настроенного агрегирования, протокол сможет заблокировать лишний путь.

Параметр vlan-filtering=no оставляем до завершения всей конфигурации. Если включить фильтрацию раньше, доступ к MikroTik может пропасть.

Добавление портов в bridge

ether2 станет транковым портом. Он должен принимать только кадры с VLAN-тегами:

/interface bridge port
add bridge=bridge-vlan interface=ether2 \
    ingress-filtering=yes \
    frame-types=admit-only-vlan-tagged

ether3 назначаем офисной сети VLAN 10:

/interface bridge port
add bridge=bridge-vlan interface=ether3 \
    pvid=10 \
    ingress-filtering=yes \
    frame-types=admit-only-untagged-and-priority-tagged

ether4 назначаем гостевой сети VLAN 20:

/interface bridge port
add bridge=bridge-vlan interface=ether4 \
    pvid=20 \
    ingress-filtering=yes \
    frame-types=admit-only-untagged-and-priority-tagged

ether5 используем для камер в VLAN 30:

/interface bridge port
add bridge=bridge-vlan interface=ether5 \
    pvid=30 \
    ingress-filtering=yes \
    frame-types=admit-only-untagged-and-priority-tagged

Параметр pvid определяет, к какому VLAN относится нетегированный трафик, поступающий через порт.

Создание таблицы VLAN

Теперь определим, через какие порты должен передаваться каждый VLAN:

/interface bridge vlan
add bridge=bridge-vlan vlan-ids=10 \
    tagged=bridge-vlan,ether2 \
    untagged=ether3

add bridge=bridge-vlan vlan-ids=20 \
    tagged=bridge-vlan,ether2 \
    untagged=ether4

add bridge=bridge-vlan vlan-ids=30 \
    tagged=bridge-vlan,ether2 \
    untagged=ether5

Интерфейс bridge-vlan указан в списке tagged, потому что самому маршрутизатору необходим доступ к каждому VLAN. Через него трафик поступает к IP-интерфейсам, DHCP-серверам и firewall.

ether2 также находится в списке tagged, поскольку это транковый порт.

Порты ether3, ether4 и ether5 указаны как untagged. Подключённые к ним компьютеры и камеры получают обычный Ethernet-трафик без VLAN-тегов.

Создание интерфейсов VLAN

Создадим три виртуальных интерфейса на bridge-vlan:

/interface vlan
add name=vlan10-office interface=bridge-vlan vlan-id=10
add name=vlan20-guest interface=bridge-vlan vlan-id=20
add name=vlan30-cameras interface=bridge-vlan vlan-id=30

Эти интерфейсы используются для маршрутизации. Не нужно создавать VLAN-интерфейсы непосредственно на ether2, поскольку физический порт уже включён в bridge.

Назначение IP-адресов

Каждый VLAN получает собственный адрес шлюза:

/ip address
add address=192.168.10.1/24 interface=vlan10-office
add address=192.168.20.1/24 interface=vlan20-guest
add address=192.168.30.1/24 interface=vlan30-cameras

Для офисных компьютеров шлюзом будет 192.168.10.1, для гостей — 192.168.20.1, а для камер — 192.168.30.1.

После добавления адресов RouterOS автоматически создаст маршруты к непосредственно подключённым сетям.

Создание пулов DHCP

Определим диапазоны адресов, которые MikroTik будет выдавать клиентам:

/ip pool
add name=pool-office ranges=192.168.10.100-192.168.10.250
add name=pool-guest ranges=192.168.20.100-192.168.20.250
add name=pool-cameras ranges=192.168.30.100-192.168.30.250

Адреса в начале каждой подсети оставлены свободными для устройств со статической конфигурацией.

Настройка DHCP-серверов

Создадим по одному DHCP-серверу для каждого VLAN:

/ip dhcp-server
add name=dhcp-office interface=vlan10-office \
    address-pool=pool-office lease-time=12h disabled=no

add name=dhcp-guest interface=vlan20-guest \
    address-pool=pool-guest lease-time=4h disabled=no

add name=dhcp-cameras interface=vlan30-cameras \
    address-pool=pool-cameras lease-time=1d disabled=no

Теперь добавим параметры сетей:

/ip dhcp-server network
add address=192.168.10.0/24 gateway=192.168.10.1 \
    dns-server=192.168.10.1

add address=192.168.20.0/24 gateway=192.168.20.1 \
    dns-server=192.168.20.1

add address=192.168.30.0/24 gateway=192.168.30.1 \
    dns-server=192.168.30.1

Если клиентам передаётся MikroTik в качестве DNS-сервера, необходимо разрешить обработку удалённых запросов:

/ip dns
set allow-remote-requests=yes

Доступ к DNS должен быть разрешён только из локальных сетей. WAN-интерфейс нельзя добавлять в список доверенных интерфейсов.

Добавление VLAN в список локальных интерфейсов

Во многих стандартных конфигурациях RouterOS firewall использует список LAN. Добавим в него созданные VLAN:

/interface list member
add list=LAN interface=vlan10-office
add list=LAN interface=vlan20-guest
add list=LAN interface=vlan30-cameras

Если списка LAN ещё нет, сначала создайте его:

/interface list
add name=LAN

Порт провайдера должен находиться в списке WAN:

/interface list
add name=WAN
/interface list member
add list=WAN interface=ether1

Если списки LAN и WAN уже существуют, повторно создавать их не нужно.

Подключение к интернету

Способ настройки ether1 зависит от провайдера. Это может быть DHCP, PPPoE или статический адрес.

Для подключения через DHCP используется:

/ip dhcp-client
add interface=ether1 add-default-route=yes use-peer-dns=no disabled=no

Если провайдер использует PPPoE, вместо DHCP-клиента создаётся PPPoE-клиент с логином и паролем.

Не следует одновременно настраивать несколько способов подключения на одном WAN-порту.

Настройка NAT

Если в конфигурации уже имеется правило masquerade с out-interface-list=WAN, второе добавлять не нужно.

При отсутствии правила создайте его:

/ip firewall nat
add chain=srcnat action=masquerade \
    out-interface-list=WAN comment="Internet NAT"

Это позволит устройствам из всех трёх VLAN выходить в интернет через внешний адрес MikroTik.

Почему VLAN не обеспечивает полную изоляцию автоматически

VLAN разделяет сети на втором уровне, но MikroTik является маршрутизатором между ними. Поскольку все три подсети подключены к одному устройству, RouterOS знает маршруты к каждой из них.

Без правил firewall компьютер из гостевой сети сможет попытаться обратиться к офисному серверу или камере. Поэтому разделение VLAN необходимо дополнить политикой межсетевого доступа.

Изоляция гостевой сети

Запретим гостям обращаться к другим локальным VLAN:

/ip firewall filter
add chain=forward action=drop \
    in-interface=vlan20-guest \
    out-interface-list=LAN \
    comment="Block guests from local networks"

Правило не запрещает гостям пользоваться интернетом, поскольку внешний трафик выходит через интерфейс из списка WAN.

Если используется общее разрешающее правило для локальной сети, блокировку гостевого VLAN необходимо разместить выше него.

Изоляция камер видеонаблюдения

Камерам обычно не требуется самостоятельно подключаться к офисным компьютерам. Запретим новые соединения из VLAN камер в остальные локальные сети:

/ip firewall filter
add chain=forward action=drop \
    in-interface=vlan30-cameras \
    out-interface-list=LAN \
    comment="Block cameras from local networks"

При этом офисные компьютеры смогут обращаться к камерам, если правила established/related и общая политика firewall допускают ответный трафик.

Если видеорегистратор находится в другой сети, для него потребуется отдельное разрешающее правило, установленное выше блокировки.

Ограничение управления маршрутизатором

Управлять MikroTik желательно только из офисной сети. Ограничим WinBox и SSH:

/ip service
set winbox address=192.168.10.0/24
set ssh address=192.168.10.0/24

Отключим неиспользуемые службы:

/ip service
disable telnet
disable ftp
disable www
disable api
disable api-ssl

Если нужен WebFig через HTTPS, можно оставить www-ssl, ограничив его офисной подсетью:

/ip service
set www-ssl address=192.168.10.0/24

Ограничение IP Services не заменяет полноценный firewall, но уменьшает поверхность атаки.

Проверка до включения VLAN Filtering

Перед включением фильтрации ещё раз проверьте конфигурацию:

/interface bridge port print detail
/interface bridge vlan print
/interface vlan print
/ip address print
/ip dhcp-server print

Особенно важно убедиться, что:

ether2 является тегированным портом для VLAN 10, 20 и 30;
ether3 имеет PVID 10;
ether4 имеет PVID 20;
ether5 имеет PVID 30;
интерфейс bridge-vlan указан как tagged во всех трёх VLAN;
IP-адреса назначены интерфейсам VLAN;
Safe Mode остаётся включённым.

Включение VLAN Filtering

После завершения всех предыдущих действий включите фильтрацию:

/interface bridge
set bridge-vlan vlan-filtering=yes

Соединение может кратковременно прерваться. Если доступ к MikroTik не восстановился, Safe Mode должен отменить последние изменения.

При настройке через ether3 компьютер должен получить адрес из подсети 192.168.10.0/24, после чего WinBox будет доступен по адресу 192.168.10.1.

Проверка офисной сети

Подключите компьютер к ether3. Он должен получить:

IP-адрес из диапазона 192.168.10.100–192.168.10.250;
шлюз 192.168.10.1;
DNS-сервер 192.168.10.1.

Проверьте доступ к MikroTik, интернету и другим офисным устройствам.

Проверка гостевой сети

Подключите компьютер к ether4. Он должен получить адрес из подсети 192.168.20.0/24.

Интернет должен работать, но адреса 192.168.10.0/24 и 192.168.30.0/24 должны быть недоступны.

Проверка сети камер

Устройство на ether5 должно получить адрес из подсети 192.168.30.0/24.

Если камерам интернет не требуется, его можно запретить отдельным правилом:

/ip firewall filter
add chain=forward action=drop \
    in-interface=vlan30-cameras \
    out-interface-list=WAN \
    comment="Block camera internet access"

Разместить это правило нужно до общих разрешающих правил forward.

Настройка транка для коммутатора или точки доступа

На ether2 передаются VLAN 10, 20 и 30 с тегами. Подключённое устройство должно быть настроено соответствующим образом.

На управляемом коммутаторе:

порт к MikroTik настраивается как tagged для VLAN 10, 20 и 30;
пользовательские порты назначаются в нужный VLAN как untagged;
PVID каждого пользовательского порта должен совпадать с его VLAN.

На точке доступа:

основная Wi-Fi-сеть может использовать VLAN 10;
гостевая Wi-Fi-сеть — VLAN 20;
отдельная сеть для умных устройств — VLAN 30.

Номера VLAN должны совпадать на MikroTik, коммутаторе и точке доступа.

Проверка аппаратного ускорения

Выполните:

/interface bridge port print

Возле Ethernet-портов желательно увидеть флаг H. Он означает, что коммутация поддерживается аппаратным switch-чипом.

Однако межсетевой трафик между VLAN проходит через маршрутизацию и firewall. Его скорость зависит от процессора, поддержки FastTrack и аппаратных возможностей конкретной модели.

Во время тестирования можно посмотреть загрузку:

/tool profile

Если обычная передача внутри одного VLAN сильно загружает процессор, необходимо проверить поддержку аппаратного VLAN filtering выбранной моделью.

Частые ошибки при настройке VLAN

Наиболее распространённые проблемы:

vlan-filtering включён до создания полной таблицы VLAN;
транковый порт не добавлен в список tagged;
bridge не указан как tagged для VLAN, которым требуется маршрутизация;
VLAN-интерфейсы созданы на физическом порту вместо bridge;
PVID пользовательского порта не совпадает с VLAN;
одинаковая подсеть используется сразу в нескольких VLAN;
гостевая сеть добавлена, но не изолирована firewall;
повторно создано правило NAT;
VLAN-интерфейсы не добавлены в список LAN;
управление маршрутизатором доступно из гостевой сети;
конфигурация применяется без Safe Mode и резервной копии.

Правильно настроенный VLAN на MikroTik разделяет устройства, уменьшает ненужный широковещательный трафик и позволяет точно контролировать доступ между частями сети. При этом отдельная статья о MikroTik как свиче остаётся полезной для настройки коммутатора второго уровня, а данное руководство посвящено именно маршрутизации, DHCP и защите VLAN.