Mikrotik VLAN Konfigürasyonu

VLAN (Virtual LAN), tek bir fiziksel switch üzerinde mantıksal olarak ayrı ağlar kurmamıza izin verir. Mikrotik RouterOS 6.41+ ile birlikte modern bridge-vlan-filtering modeli geldi — Cisco'nun "native VLAN / trunk" yaklaşımına çok benziyor.

Senaryo

Tek bir CRS328 switch üzerinde 3 VLAN:

• VLAN 10 — Ofis (192.168.10.0/24)
• VLAN 20 — Misafir (192.168.20.0/24)
• VLAN 30 — Kamera (192.168.30.0/24)

## 1) Bridge + VLAN Filtering

/interface bridge
add name=bridge1 vlan-filtering=yes pvid=10

/interface bridge port
add bridge=bridge1 interface=ether2 pvid=10     ; Ofis PC — access port
add bridge=bridge1 interface=ether3 pvid=20     ; Misafir AP — access port
add bridge=bridge1 interface=ether4 pvid=30     ; Kamera DVR — access port
add bridge=bridge1 interface=ether24            ; trunk port (router'a)

2) VLAN Tanımları

/interface bridge vlan
add bridge=bridge1 vlan-ids=10 tagged=bridge1,ether24 untagged=ether2
add bridge=bridge1 vlan-ids=20 tagged=bridge1,ether24 untagged=ether3
add bridge=bridge1 vlan-ids=30 tagged=bridge1,ether24 untagged=ether4

3) VLAN Interface'leri (Layer 3)

/interface vlan
add name=vlan10-ofis  interface=bridge1 vlan-id=10
add name=vlan20-misafir interface=bridge1 vlan-id=20
add name=vlan30-kamera  interface=bridge1 vlan-id=30

/ip address
add address=192.168.10.1/24 interface=vlan10-ofis
add address=192.168.20.1/24 interface=vlan20-misafir
add address=192.168.30.1/24 interface=vlan30-kamera

4) VLAN'lar Arası İzolasyon

/ip firewall filter
add chain=forward in-interface=vlan20-misafir out-interface=vlan10-ofis action=drop
add chain=forward in-interface=vlan20-misafir out-interface=vlan30-kamera action=drop
# Misafir VLAN yalnızca WAN'a çıkabilir.

5) DHCP per VLAN

/ip pool
add name=pool-ofis    ranges=192.168.10.50-192.168.10.254
add name=pool-misafir ranges=192.168.20.50-192.168.20.254

/ip dhcp-server
add interface=vlan10-ofis    address-pool=pool-ofis    name=dhcp-ofis
add interface=vlan20-misafir address-pool=pool-misafir name=dhcp-misafir

Best Practices

• Her zaman bridge-vlan-filtering=yes; eski interface=ether+tag yöntemi bakımı zor ve buggy.
• pvid değeri access port için kritik: yanlış pvid → yanlış VLAN.
• Trunk port'lara PC bağlarsanız DHCP almaz; PVID'si 0'dır.
• Misafir VLAN firewall'u mutlaka "drop to other LANs" kuralıyla izole edin.