суббота, 8 октября 2016 г.

Loop Protect - защищаем Mikrotik от петель на порту.

  Начиная с версии RouterOS 6.37.1 ввели в интерфейс WinBox настройку Loop Protect защиты:
*) winbox - added loop-protect settings;
  Loop-защита позволяет предотвращать Layer2 петли на интерфейсе путем отправки пакетов в интерфейс и мониторинга пакетов, которые попадают на этот интерфейс. Если все что Mikrotik отправляет в интерфейс возвращается назад - мы считаем, что на интерфейсе петля. Фактически мы проверяем MAC-источника пакетов с MAC-получателя пакетов, если совпадение найдено - порт отключается. В логах пишется сообщение. Такая защита может быть использована на bridged-интерфейсах и ethernet-интерфейсах. Функция доступна из меню:
/interface ethernet
/interface vlan
/interface eoip
/interface eoipv6
  Меню имеет такой вид:



loop-protect (on | off | default; Default: default) - Включает и выключает механизм защиты интерфейса. По умолчанию выключен.
loop-protect-send-interval (time interval; Default: 5s) - Выставляется время, как часто будет проверяться интерфейс на наличие петель.
loop-protect-disable-time (time interval | 0; Default: 5m) - Выставляется время, как долго будет выключен интерфейс при нахождении на нем петли. Если поставить 0 - навсегда.
  Параметр loop-protect-status может принимать несколько статусов:
  • on - функция защиты от петель включена на интерфейсе;
  • off - функция защиты - выключена;
  • disable - функция защиты включена, на интерфейсе обнаружена петля, механизм отключил интерфейс.
  Смоделируем ситуацию, на порту ether4 и ether5 включим защиту и воткнем в оба порта патчкорд.


  Как видим, порт выключился автоматически (тот, у которого была первая проверка). В WinBox это выглядит так:




  Все отработало отлично. Единственный момент, который не очень понятен, это то, что в настройке loop-protect много лишних недокументированных пунктов, возможно это ошибки разработчиков. Если вы знаете чего они касаются, можете написать это в комментариях.


  С названия можно предположить, что они определяют тип подключения (оптика, витая пара), но зачем это нужно - неясно.

upd:
  действительно, в версии 6.38rc10 (testing) этот недочет уже исправлен.




Использованные материалы:

Подписаться на новые статьи.

2 комментария:

  1. Кстати в Mikrotik Wiki в параметре "loop-protect-send-interval (time interval; Default: 5m)" , видимо, ошибка, т. к. в конфигурации по-умолчанию данный интервал равен 5-ти секундам, а не минутам.

    ОтветитьУдалить