Настроил разделение гостевой и корпоративной Wi-Fi сети через тегированные VLAN в CAPsMAN на роутере Mikrotik, но подключаемые клиенты бесконечно висят на получении IP-адреса. Обычный DHCP-сервер на мосту работает, а внутри виртуального интерфейса трафик блокируется. Как запустить раздачу адресов?
Если тегирование в Datapaths прописано верно, но IP все еще не выдается, проверьте глобальный ползунок VLAN Filtering в свойствах самого моста Bridge.
Если эта функция активирована для ускорения аппаратного хардварного оффлоадинга, роутер будет принудительно дропать любые пакеты, чьи идентификаторы не прописаны жестко в таблице Bridge VLAN. Обязательно добавьте туда как сам мост в качестве тегированного порта, так и целевые магистральные транк-порты.
Если клиенты подключаются к SSID, но бесконечно получают IP, проблема почти всегда в том, что VLAN не доходит до DHCP-сервера. В CAPsMAN важно не просто создать VLAN-интерфейс, а правильно связать его с бриджем и включить VLAN filtering.
Проверьте по шагам:
1. В /interface bridge включите vlan-filtering=yes. Без этого тегированный трафик в bridge обычно не обрабатывается так, как ожидается.
2. Создайте VLAN на бридже: /interface vlan add interface=bridge vlan-id=XX name=vlanXX. Не создавайте VLAN на физическом порту, если он уже является member портом bridge.
3. Добавьте VLAN в bridge как tagged-порт: /interface bridge vlan add bridge=bridge tagged=bridge,vlanXX vlan-ids=XX. Здесь важно, чтобы bridge был tagged, иначе трафик не попадёт в локальный VLAN-интерфейс.
4. Назначьте IP на VLAN-интерфейс: /ip address add address=192.168.XX.1/24 interface=vlanXX.
5. Создайте пул и DHCP-сервер именно на vlanXX: /ip pool add name=pool-vlanXX ranges=192.168.XX.10-192.168.XX.254; /ip dhcp-server add interface=vlanXX address-pool=pool-vlanXX name=dhcp-vlanXX disabled=no.
6. Добавьте DHCP-сеть: /ip dhcp-server network add address=192.168.XX.0/24 gateway=192.168.XX.1 dns-server=192.168.XX.1.
7. В настройках CAPsMAN для datapath укажите local-forwarding=no, если DHCP должен обрабатываться на контроллере. Если включён local-forwarding=yes, DHCP и VLAN должны корректно работать уже на самой точке доступа — это отдельная схема.
Частая ошибка: VLAN добавлен в bridge, но bridge не указан как tagged. В результате DHCP-запросы от клиентов приходят на точку доступа, но не попадают в vlanXX на контроллере. Вторая частая проблема — firewall: проверьте, что в цепочке forward разрешён трафик между vlanXX и нужными сетями, а для DHCP не блокируется UDP 67/68.
Для быстрой диагностики выполните:
/interface bridge vlan print
/ip address print
/ip dhcp-server print
/ip firewall connection print
Затем подключите тестового клиента и посмотрите, появляются ли записи DHCP. Если запросы видны, но ответа нет — смотрите firewall и настройки DHCP. Если запросов нет вообще — проблема в CAPsMAN datapath, VLAN filtering или тегировании на bridge.
Ещё нюанс: если точка доступа подключена к контроллеру через trunk-порт, убедитесь, что VLAN управления и VLAN клиентов разрешены на этом порту, а native VLAN не конфликтует с корпоративной сетью.