Skip to main content

MikroTik — Configurare porte ACCESS e TRUNK (riferimento)

Guida generica per configurare le porte di un bridge VLAN-aware come access (una VLAN, per un PC) o trunk (più VLAN taggate, per un apparato VLAN-aware). Sostituisci i placeholder:

  • etherX, etherY = porte da configurare
  • etherUP = uplink verso lo switch a monte (es. ether1)
  • <VID> = un ID VLAN (es. 9, 173)
  • <VID_A>, <VID_B> = più ID VLAN Presuppone bridge in vlan-filtering=yes.

1. Access vs Trunk — il concetto

ACCESS TRUNK
VLAN sulla porta una sola più di una
Tag untagged (senza tag) tagged (col tag)
Cosa colleghi un PC / dispositivo normale switch, router, AP (VLAN-aware)
PVID = la VLAN della porta 1 (neutro)

Le tre primitive:

  • tagged = la VLAN esce/entra col tag → trunk
  • untagged = la VLAN esce/entra senza tag → access
  • PVID = a quale VLAN assegnare il traffico untagged in ingresso

⚠️ Sicurezza: se metti una porta access sulla VLAN di management, chi si collega lì raggiunge SSH/WinBox del router. Comodo come "porta di rientro" fidata, ma non esporla a utenti non affidabili.

2. Porta ACCESS

Un PC su etherX finisce nella VLAN <VID> senza saperlo.

Creare (VLAN nuova)

/interface bridge vlan add bridge=bridge vlan-ids=<VID> tagged=etherUP untagged=etherX
/interface bridge port set [find interface=etherX] pvid=<VID>
  • tagged=etherUP → la VLAN arriva taggata dallo switch a monte.
  • untagged=etherX → esce pulita verso il PC.
  • pvid=<VID> → il traffico del PC entra nella VLAN giusta.

Aggiungere una porta access a una VLAN che ESISTE già

La VLAN c'è già in tabella → modifica (non add), aggiungendo la porta agli untagged:

/interface bridge vlan set [find vlan-ids=<VID>] tagged=etherUP untagged=etherX
/interface bridge port set [find interface=etherX] pvid=<VID>

set riscrive l'intera lista: rielenca i tagged/untagged già presenti che devono restare.

Convertire una porta da TRUNK ad ACCESS

Se la porta era tagged e la vuoi untagged:

/interface bridge vlan set [find vlan-ids=<VID>] tagged=etherUP untagged=etherX
/interface bridge port set [find interface=etherX] pvid=<VID>

(togli etherX dai tagged rielencando solo le porte da mantenere, e mettila negli untagged)

3. Porta TRUNK

Su etherX colleghi un apparato VLAN-aware. Più VLAN taggate.

Creare

# aggiungere la porta al bridge
/interface bridge port add bridge=bridge interface=etherX

# una VLAN
/interface bridge vlan add bridge=bridge vlan-ids=<VID> tagged=etherUP,etherX

# più VLAN nella stessa riga
/interface bridge vlan add bridge=bridge vlan-ids=<VID_A>,<VID_B> tagged=etherUP,etherX

# PVID neutro (di solito già 1)
/interface bridge port set [find interface=etherX] pvid=1

Aggiungere una porta a una VLAN già esistente

/interface bridge vlan set [find vlan-ids=<VID>] tagged=etherUP,etherX

⚠️ set tagged=... sovrascrive: rielenca tutte le porte da mantenere.

Native VLAN (una VLAN untagged sul trunk)

/interface bridge vlan set [find vlan-ids=<VID>] tagged=etherUP untagged=etherX
/interface bridge port set [find interface=etherX] pvid=<VID>

4. Togliere / modificare

# togliere una VLAN SOLO da una porta (riscrivi senza quella porta)
/interface bridge vlan set [find vlan-ids=<VID>] tagged=etherUP

# rimuovere una VLAN da TUTTE le porte
/interface bridge vlan remove [find vlan-ids=<VID>]

# togliere la porta dal bridge del tutto
/interface bridge port remove [find interface=etherX]

# cambiare il PVID
/interface bridge port set [find interface=etherX] pvid=1

Disabilitare (granularità)

Obiettivo Comando
VLAN off su tutto lo switch /interface bridge vlan disable [find vlan-ids=<VID>]
VLAN off solo su una porta non c'è disable per-porta: usa set togliendo la porta

5. Verifica

/interface bridge vlan print detail                    # config reale (tagged/untagged)
/interface bridge port print                           # PVID, flag hw-offload (H), inactive (I)
/interface bridge host print where interface=etherX    # MAC appresi sulla porta
/interface bridge host print where interface=etherX vid=<VID>

tagged vs current-tagged: tagged = configurato (sempre); current-tagged = attivo ora (solo porte up). Porta scollegata (I) → non appare in current-tagged ma la config c'è: guarda print detail.

Filtri host: i campi sono interface e vid, NON on-interface/vlan-id. Dopo where premi Tab per l'elenco dei campi validi.

6. Lato switch a monte (Cisco)

Ogni VLAN usata sul MikroTik deve essere allowed anche sul trunk dell'apparato a monte:

vlan <VID_A>
vlan <VID_B>
interface <porta-verso-mikrotik>
 switchport mode trunk
 switchport trunk allowed vlan add <VID_A>,<VID_B>

7. Trappole comuni (imparate sul campo)

  1. set tagged=... / untagged=... SOVRASCRIVE la lista intera — rielenca sempre le porte da mantenere, o le perdi.
  2. add di una VLAN che esiste già → failure: vlan already added, e fallisce l'INTERO comando (anche le altre VLAN della stessa riga). Se una VLAN esiste (es. la management), aggiungi la porta con set, non con add.
  3. Access = untagged + PVID. Servono entrambi: senza PVID il traffico in ingresso dal PC finisce in VLAN 1.
  4. Trunk = tagged + PVID 1. Il PVID resta neutro perché tutto viaggia taggato.
  5. VLAN di management: modificandola, mantieni sempre tagged=bridge,etherUP o perdi l'accesso. Lavora in Safe Mode (Ctrl+X).
  6. Config su entrambi i lati: la VLAN va permessa sia sul MikroTik sia sull'apparato a monte.
  7. Porta scollegata (I): verifica con print detail, non col riepilogo.

8. Chiusura (quando funziona)

[Ctrl+X]                                   # esci da Safe Mode = rende permanente
/system backup save name=porte-vlan-ok
/export file=config-porte-vlan

Scarica i file dal menu Files e conservali fuori dal router.

Back to top