NET CLI — команды и рабочие сценарии

Проверить состояние портов

Проверь физический линк, скорость и duplex. UP ещё не означает доступность IP.

Просмотр: EXEC / display / терминал RouterOS

show interfaces status

show interfaces status

show interfaces status

display interface brief

display interface brief

/interface ethernet print

Посмотреть конкретный интерфейс

Смотри состояние, счётчики ошибок и согласованную скорость. Номера портов — примеры.

Просмотр: EXEC / display / терминал RouterOS

show interfaces fastethernet 0/1

show interfaces gigabitethernet 1/0/1

show interfaces GigabitEthernet1/0/1

display interface GigabitEthernet1/0/1

display interface GigabitEthernet0/0/1

/interface ethernet monitor ether1 once

Посмотреть VLAN

Найди VLAN и его участников. Само наличие VLAN не гарантирует прохождение по аплинкам.

Просмотр: EXEC / display / терминал RouterOS

show vlan

show vlan

show vlan brief

display vlan

display vlan

/interface bridge vlan print

Проверить VLAN на портах

Сравни членство VLAN, PVID и обработку тегов на обоих концах линка.

Просмотр: EXEC / display / терминал RouterOS

show vlan port config

show interfaces switchport

show interfaces trunk

display port trunk
display vlan 120

display port vlan

/interface bridge port print
/interface bridge vlan print

Найти изученные MAC

MAC изучается по адресу источника входящего кадра. Проверяй нужный VLAN и порт.

Просмотр: EXEC / display / терминал RouterOS

show mac-address-table

show mac address-table

show mac address-table

display mac-address

display mac-address

/interface bridge host print

Найти MAC по IP

ARP-таблица показывает соседей IPv4 в локальных сегментах устройства. Для удалённого IP ищи на его шлюзе.

Просмотр: EXEC / display / терминал RouterOS

show ip arp

show arp

show ip arp

display arp

display arp

/ip arp print

Посмотреть соседние коммутаторы

Сопоставь локальный порт с именем и портом соседа. Отсутствие LLDP не доказывает отсутствие линка.

Просмотр: EXEC / display / терминал RouterOS

show lldp neighbors

show lldp neighbors

show lldp neighbors

display lldp neighbor-information

display lldp neighbor brief

/ip neighbor print

Проверить STP / RSTP

Найди root bridge, роли портов и блокировки. Заблокированный резервный порт может быть нормой.

Просмотр: EXEC / display / терминал RouterOS

show spanning-tree

show spanning-tree

show spanning-tree

display stp brief

display stp brief

/interface bridge monitor bridge1 once

Проверить промышленное кольцо

Проверь протокол, роль менеджера и ring ports. Active у менеджера может означать открытие резервного пути при разрыве.

Просмотр: EXEC / display / терминал RouterOS

show ring-redundancy

Для этих SCALANCE команда относится к ring redundancy. Поддержку MRP нельзя переносить на все серии других вендоров.

Посмотреть переключения кольца

Сопоставь число переключений с временем аварии и журналом событий.

Просмотр: EXEC / display / терминал RouterOS

show ring-redundancy manager counters

Проверить агрегацию

Проверь участвующие порты и состояние партнёра. Один поток обычно не использует суммарную скорость всех линков.

Просмотр: EXEC / display / терминал RouterOS

show lacp

show lacp port-channel

show etherchannel summary

display link-aggregation verbose

display eth-trunk

/interface bonding monitor bond1 once

Посмотреть текущую конфигурацию

Это рабочая конфигурация. Перед изменениями сохрани копию и сравни с загружаемой после перезапуска.

Просмотр: EXEC / display / терминал RouterOS

show running-config

show running-config

show running-config

display current-configuration

display current-configuration

/export

Сохранить конфигурацию

Сохрани проверенные изменения, чтобы они сохранились после перезапуска.

EXEC # / user view; RouterOS — терминал

write startup-config

copy running-config startup-config

copy running-config startup-config

save

save

/system backup save name=before-change

RouterOS применяет и сохраняет настройки автоматически; backup здесь создаёт отдельный бинарный снимок. Comware/VRP могут запросить подтверждение.

Посмотреть журнал событий

Ищи время смены состояния порта, кольца и перезагрузки. Проверь синхронизацию часов.

Просмотр: EXEC / display / терминал RouterOS

show logbook

show logging

show logging

display logbuffer

display logbuffer

/log print

Узнать версию и модель

Запиши точную модель и версию ПО перед выбором синтаксиса.

Просмотр: EXEC / display / терминал RouterOS

show device information

show version

show version

display version

display version

/system resource print

Посмотреть IP-интерфейсы

Проверь адреса и состояние SVI. IP управления L2-коммутатора не делает его маршрутизатором между VLAN.

Просмотр: EXEC / display / терминал RouterOS

show ip interface

show ip interface

show ip interface brief

display ip interface brief

display ip interface brief

/ip address print

Посмотреть таблицу маршрутов

Ищи маршрут к адресу назначения и next hop. Побеждает наиболее длинный совпавший префикс.

Просмотр: EXEC / display / терминал RouterOS

show ip route

show ip route

display ip routing-table

display ip routing-table

/ip route print

L3-функции зависят от модели и лицензии. Для XC200 не подставляем команды L3-серий.

Проверить доступность IPv4

Успешный ping проверяет ICMP-путь в обе стороны. Неуспешный может быть следствием фильтрации.

Просмотр: EXEC / display / терминал RouterOS

ping 10.120.0.10

ping 10.120.0.10

ping 10.120.0.10

ping 10.120.0.10

ping 10.120.0.10

/ping 10.120.0.10 count=4

Проверить синхронизацию времени

Сравни время устройства с сервером: это нужно для сопоставления событий.

Просмотр: EXEC / display / терминал RouterOS

show ntp info

show sntp configuration

show ntp associations

display ntp-service status

display ntp-service status

/system ntp client print

Посмотреть multicast-группы

Проверь группу, VLAN и порты подписчиков. Затем проверь наличие querier.

Просмотр: EXEC / display / терминал RouterOS

show ip igmp snooping groups

show ip igmp snooping groups

show ip igmp snooping groups

display igmp-snooping group

display igmp-snooping port-info

/interface bridge mdb print

Проверить оптический модуль

Сравни Rx/Tx и пороги конкретного модуля. DDM доступен не у каждого SFP.

Просмотр: EXEC / display / терминал RouterOS

show fiber-ports optical-transceiver

show interfaces transceiver detail

display transceiver diagnosis interface GigabitEthernet1/0/1

display transceiver diagnosis interface GigabitEthernet0/0/1

/interface ethernet monitor sfp-sfpplus1 once

Для SCALANCE используй диагностику SFP в WBM конкретной модели; неподтверждённую CLI-команду не подставляем.

Проверить резервирование шлюза

Сверь VRID, виртуальный IP, роль и priority на обоих узлах.

Просмотр: EXEC / display / терминал RouterOS

show vrrp brief

display vrrp verbose

display vrrp brief

/interface vrrp print detail

Только устройства с поддержкой VRRP. У Eltex MES команда зависит от линейки; добавим после выбора модели.

Проверить соседей OSPF

Проверь состояние соседства и интерфейс. Для двух DROTHER на broadcast-сегменте 2-Way может быть нормой.

Просмотр: EXEC / display / терминал RouterOS

show ip ospf neighbor

display ospf peer

display ospf peer

/routing ospf neighbor print

OSPF — для поддерживаемых L3-моделей.

Посмотреть правила NAT/PAT

Отдельно проверь правила, счётчики и соединения. NAT не заменяет маршрут и разрешение firewall.

Просмотр: EXEC / display / терминал RouterOS

/ip firewall nat print stats

RouterOS: NAT на маршрутизаторе. Для Catalyst, MES и XC200 не предполагаем наличие NAT.

Создать VLAN 120

Создай новый VLAN. В RouterOS пример добавляет запись для уже существующего bridge1 и двух аплинков.

Режим конфигурации → VLAN; RouterOS — терминал

vlan 120
name OFFICE

vlan database
vlan 120 name OFFICE
exit

vlan 120
name OFFICE

vlan 120
name OFFICE

vlan 120
description OFFICE

/interface bridge vlan add bridge=bridge1 vlan-ids=120 tagged=ether1,ether2

SCALANCE: только 802.1Q VLAN Bridge; FastEthernet/GigabitEthernet выбирай по модели и порту. RouterOS: bridge и порты уже существуют, VLAN filtering настроен; повторный add не нужен для существующей записи.

Добавить VLAN в существующий тракт

Пример для уже настроенного trunk. Добавь VLAN на обоих концах каждого используемого линка.

Глобальная конфигурация → VLAN / интерфейс

vlan 120
ports fastethernet 0/1-2

interface gigabitethernet 1/0/1
switchport trunk allowed vlan add 120

interface GigabitEthernet1/0/1
switchport trunk allowed vlan add 120

interface GigabitEthernet1/0/1
port trunk permit vlan 120

interface GigabitEthernet0/0/1
port trunk allow-pass vlan 120

/interface bridge vlan add bridge=bridge1 vlan-ids=120 tagged=ether1,ether2

SCALANCE: ports ЗАМЕНЯЕТ список в VLAN 120. Пример для нового VLAN и двух tagged-портов; при существующем VLAN перечисли всех нужных участников. Cisco/Eltex: add сохраняет прежние VLAN. PVID аплинков для нового tagged VLAN менять не надо.

Назначить конечный порт VLAN 120

Пример для нового VLAN и порта устройства без тегов. Аплинки в примере — tagged.

Глобальная конфигурация → VLAN / интерфейс

vlan 120
ports fastethernet 0/1-2 untagged fastethernet 0/3
exit
interface fastethernet 0/3
switchport pvid 120

interface gigabitethernet 1/0/5
switchport mode access
switchport access vlan 120

interface GigabitEthernet1/0/5
switchport mode access
switchport access vlan 120

interface GigabitEthernet1/0/5
port link-type access
port access vlan 120

interface GigabitEthernet0/0/5
port link-type access
port default vlan 120

/interface bridge vlan set [find bridge=bridge1 vlan-ids=120] tagged=ether1,ether2 untagged=ether5
/interface bridge port set [find interface=ether5] pvid=120

SCALANCE: перечисли полный состав VLAN в ports. До изменения конечного порта проверь его прежнее назначение. RouterOS: VLAN 120 уже создан; set задаёт полный состав этой записи, перечисли всех участников.

Войти в режим конфигурации

Команды ниже меняют режим CLI, но сами по себе не меняют настройки сети.

Из начального приглашения CLI

enable
configure terminal

enable
configure terminal

enable
configure terminal

system-view

system-view

RouterOS использует меню и абсолютные пути команд, отдельного configure terminal нет.

Посмотреть конфигурацию порта

Сравни режим порта, разрешённые VLAN и параметры с соседним устройством.

Просмотр: EXEC / display / терминал RouterOS

show running-config

show running-config interface gigabitethernet 1/0/1

show running-config interface GigabitEthernet1/0/1

display current-configuration interface GigabitEthernet1/0/1

display current-configuration interface GigabitEthernet0/0/1

/interface bridge port print detail

SCALANCE: найди блок нужного интерфейса в выводе.

Проверить сигнал неисправности

Для SCALANCE проверь текущие faults: питание, контролируемые порты и другие события.

Просмотр: EXEC / display / терминал RouterOS

show events faults status

802.1Q / VLAN

Метка VLAN разделяет широковещательные домены. Tagged сохраняет метку на выходе, untagged снимает. PVID определяет VLAN входящего кадра без метки.

STP / RSTP / MSTP

Предотвращают L2-петли. RSTP быстрее сходится; MSTP объединяет VLAN в экземпляры. Проверяй root и роли портов.

MRP

Резервирование промышленного кольца. Менеджер управляет резервным трактом; при разрыве обеспечивает обход. VLAN должен проходить по обоим возможным путям.

LACP

Согласует агрегацию линков. Проверяй партнёра и участвующие порты; VLAN обычно настраиваются на логическом агрегате.

LLDP

Обмен сведениями о соседях на одном линке. Помогает восстановить физическую схему.

VRRP

Резервирует виртуальный шлюз внутри сегмента. Хосты используют один виртуальный IP; роль Master может перейти к Backup.

OSPF

Динамическая маршрутизация по состоянию каналов. Сначала проверь соседство, затем маршруты.

RIP

Дистанционно-векторная маршрутизация; метрика — число переходов. Максимальный рабочий путь 15 hops.

Статические маршруты / SVI

SVI — L3-интерфейс VLAN. Для связи между VLAN нужны маршрутизация, корректные шлюзы и разрешающие политики.

NAT / PAT

NAT меняет адреса; PAT дополнительно использует порты, чтобы несколько соединений делили внешний адрес. Обычно это функция пограничного маршрутизатора.

ACL

Правила разрешения и запрета трафика. Важны порядок правил, направление и место применения.

DHCP / Relay

DHCP выдаёт адрес, маску и другие параметры. Relay передаёт запросы к серверу из другого IP-сегмента.

DNS

Преобразует имена в адреса. Если IP доступен, а имя нет — проверь DNS отдельно.

NTP / SNTP

Синхронизируют часы; помогают сравнивать время аварии на разных устройствах.

SNMP

Позволяет мониторить состояние, счётчики и события. SNMPv3 поддерживает аутентификацию и шифрование.

Syslog

Отправляет журналы на общий сервер. Нужны корректное время и достижимость сервера.

SSH / Telnet

SSH шифрует управление. Telnet передаёт данные открыто; учитывай это при выборе доступа.

TFTP / SFTP

Передача конфигураций и файлов. TFTP не предоставляет защиты SSH; SFTP работает поверх SSH.

IGMP / Snooping / Querier

IGMP сообщает о подписчиках IPv4 multicast. Snooping ограничивает L2-рассылку; querier поддерживает актуальность подписок.

QinQ

Добавляет внешнюю VLAN-метку поверх внутренней. Проверяй MTU и поддержку оборудования.

Port Security / Storm Control

Ограничивают MAC и лавину broadcast/multicast/unknown unicast. Срабатывание защиты может объяснять потерю связи.

SPAN / Port Mirroring

Копирует трафик на порт анализатора. Проверь направление и загрузку: зеркало может терять пакеты.

PROFINET

Промышленный Ethernet; использует IP для части функций и прямую L2-передачу для RT. RT-трафик нельзя считать обычным TCP-потоком.

Modbus TCP

Обмен запросами и ответами поверх TCP, обычно порт 502. Отдельно проверяй TCP-соединение и ответы приложения.

PROFIBUS

Полевая шина, не Ethernet VLAN. Диагностика требует проверки шины, терминаторов и адресов станций.

PTP / IEEE 1588

Точная синхронизация времени. Поддержка transparent/boundary clock и профиля зависит от модели.

PRP / HSR

Передают дубли кадров по резервным путям и удаляют повтор на приёмнике. Требуют совместимых узлов и топологии.

Loop Detection

Обнаруживает петли по механизмам конкретного вендора. Отличай от STP и не снимай блокировку, пока причина петли не устранена.

Добавить VLAN через 5–6 коммутаторов

1. Зафиксируй VLAN, аплинки и резервный путь

Сними конфигурации, выбери новый VLAN ID. Проверь схему через LLDP и текущие VLAN. Уточни, какие порты ведут по основному и резервному пути.

2. Создай новый VLAN на каждом узле

Добавь VLAN 120 на всех коммутаторах тракта. Не удаляй существующие VLAN и не меняй режим bridge в работающей сети.

3. Добавь tagged-членство

На каждом линке настрой оба конца. Для кольца добавь VLAN на все участки резервного пути; для LAG проверь логический интерфейс. PVID существующего trunk не меняй.

4. Настрой конечный порт

Если устройство не ставит тег: untagged/access VLAN 120 и PVID 120. Если оно передаёт tagged, согласуй членство и теги с его настройкой.

5. Сгенерируй трафик и проверь путь

От устройства-источника отправь трафик. Ищи его MAC в VLAN 120 по активному пути, проверь связь в обе стороны. Затем убедись, что прежние VLAN работают.

6. Сохрани проверенные изменения

Сохрани конфигурации всех изменённых устройств. Проверку переключения кольца выполняй в согласованное окно, а не обрывай рабочие линки ради теста.

VLAN не проходит: найти участок

Создай трафик источника, затем проверяй один и тот же MAC в нужном VLAN последовательно по активному пути. Переход от узла с MAC к узлу без MAC указывает участок для проверки, но не доказывает причину. Учитывай aging и резервирование.

MRP: кольцо разомкнуто

1. Проверь ring state и роль менеджера

Проверь протокол, роль менеджера и ring ports. Active у менеджера может означать открытие резервного пути при разрыве.

2. Сопоставь ring ports с линками и LLDP

Сопоставь локальный порт с именем и портом соседа. Отсутствие LLDP не доказывает отсутствие линка.

3. Проверь события и счётчики переключений

Сопоставь число переключений с временем аварии и журналом событий.

4. Проверь прохождение VLAN по резервному пути

Сравни членство VLAN, PVID и обработку тегов на обоих концах линка.

Порт UP, устройство не пингуется

1. Проверь линк, ошибки и speed/duplex

Смотри состояние, счётчики ошибок и согласованную скорость. Номера портов — примеры.

2. Сверь VLAN/PVID конечного порта

Сравни членство VLAN, PVID и обработку тегов на обоих концах линка.

3. Создай трафик и проверь MAC источника

MAC изучается по адресу источника входящего кадра. Проверяй нужный VLAN и порт.

4. Проверь IP, маску, шлюз и ARP

ARP-таблица показывает соседей IPv4 в локальных сегментах устройства. Для удалённого IP ищи на его шлюзе.

5. Проверь маршрут, обратный путь и ACL

Ищи маршрут к адресу назначения и next hop. Побеждает наиболее длинный совпавший префикс.

Растут CRC / порт флапает

1. Сравни прирост ошибок за одинаковый интервал

Смотри состояние, счётчики ошибок и согласованную скорость. Номера портов — примеры.

2. Проверь SFP, уровни Rx/Tx, патч-корд и разъёмы

Сравни Rx/Tx и пороги конкретного модуля. DDM доступен не у каждого SFP.

3. Сопоставь время флапов с журналом

Ищи время смены состояния порта, кольца и перезагрузки. Проверь синхронизацию часов.

4. Проверь скорость, duplex, питание и соседний порт

Проверь физический линк, скорость и duplex. UP ещё не означает доступность IP.

Замена коммутатора

1. Сохрани копию конфигурации и запиши версию

Это рабочая конфигурация. Перед изменениями сохрани копию и сравни с загружаемой после перезапуска.

2. Сверь модель, прошивку, нумерацию портов и SFP

Запиши точную модель и версию ПО перед выбором синтаксиса.

3. Восстанови VLAN, порты, IP управления и доступ

Сравни членство VLAN, PVID и обработку тегов на обоих концах линка.

4. Проверь роли кольца и соседей до возврата в тракт

Проверь протокол, роль менеджера и ring ports. Active у менеджера может означать открытие резервного пути при разрыве.

5. Проверь прежние сервисы и сохрани изменения

Сохрани проверенные изменения, чтобы они сохранились после перезапуска.

VRRP: переключение шлюза

Хосты используют виртуальный шлюз 10.120.0.1. SW-A: 10.120.0.2, priority 110; SW-B: 10.120.0.3, priority 100. После обнаружения отказа Master его роль принимает Backup. При включённом preemption SW-A возвращает роль после восстановления. Состояние вышестоящего пути требует tracking.

NAT/PAT: путь пакета

Учебный пример TCP PAT: 10.10.10.25:53001 → 198.51.100.20:443. После трансляции: 203.0.113.5:40017 → 198.51.100.20:443. Ответ к внешнему порту 40017 по записи соединения возвращается к 10.10.10.25:53001. Внешний порт выбран для примера.

LACP: один линк не вошёл в агрегат

Два аплинка должны работать в одном LAG. Один участник не передаёт трафик или суммарная скорость кажется ниже ожидаемой.

1. Проверить участников

Запиши агрегат и его физические порты на обоих устройствах. Отличай UP физического порта от включения в forwarding агрегата.

Команды: Проверить агрегацию

Что видно в состоянии агрегата?

• Все участники активны: Перейди к VLAN и распределению потоков. Физическая агрегация уже работает.
• Один порт вне агрегата: Сравни режим LACP, партнёра и настройки этого порта с рабочим участником.
• Агрегат не поднялся: Проверь сначала физические линки и соответствие портов на обоих концах.

2. Сравнить оба конца

Сверь LACP active/passive, скорость, duplex и членство портов. Два passive-узла не инициируют переговоры. Все участники должны вести к одному логическому партнёру; два отдельных коммутатора требуют поддерживаемого стека/MLAG.

Команды: Посмотреть конфигурацию порта

Как настроены переговоры?

• Passive с обеих сторон: Настрой active хотя бы на одной стороне в согласованном изменении. Проверь режимы обоих устройств.
• Active есть, партнёр виден: Проверь совместимость участников: скорость, режим L2/L3, VLAN и параметры агрегата.
• Партнёр отсутствует: Проверь кабельный тракт, LACP на соседнем порту и совпадение схемы подключения.

3. Проверить VLAN на агрегате

VLAN проверяй на логическом интерфейсе LAG и на соседнем устройстве. Не добавляй разрозненные настройки VLAN на физические участники, если модель наследует их от агрегата.

Команды: Проверить VLAN на портах

Что происходит с VLAN?

• Проходит только часть VLAN: Сверь allowed VLAN и native/PVID на обоих логических интерфейсах.
• Все VLAN проходят: Перейди к нагрузке и распределению нескольких потоков.
• Настройки участников различаются: Приведи их к совместимому виду по руководству модели и повторно проверь включение в агрегат.

4. Проверить скорость и отказ

Один TCP-поток обычно закрепляется за одним линком по хэшу. Оцени несколько независимых потоков и прирост счётчиков участников. Проверяй отказ линка в согласованное окно.

Команды: Посмотреть конкретный интерфейс

Как проводился замер?

• Одним потоком: Скорость одного линка сама по себе не означает неисправность LAG. Проверь несколько потоков с разными адресами/портами.
• Несколько потоков, один порт без трафика: Сверь алгоритм хэша и разнообразие потоков, затем состояние collecting/distributing участника.
• При отказе связь сохраняется: Проверь прежние VLAN, зафиксируй состояние и сохрани только проверенные изменения.

L2-петля: сеть резко замедлилась

Появились лавина broadcast, перемещения MAC или высокая загрузка портов. Нужно локализовать источник и сохранить резервирование.

1. Сопоставить симптомы и время

Запиши время начала, последние подключения и порты с быстрым ростом трафика. Большая нагрузка сама по себе ещё не доказывает петлю.

Команды: Посмотреть журнал событий

Какой симптом подтверждён?

• MAC быстро меняет порты: Сопоставь эти порты с LLDP и схемой. Петля вероятна, но проверь также миграцию устройства и агрегацию.
• Broadcast резко растёт: Сравни прирост на соседних портах и найди участок с наибольшим входящим потоком.
• Только один сервис медленный: Сначала проверь его путь и конечные узлы. Без других признаков вывод о петле преждевременен.

2. Проверить защиту топологии

Сверь root, роли и состояние STP/RSTP, счётчики смены топологии. В промышленном кольце сначала уточни MRP и его роль: нельзя считать любой резервный порт ошибочно заблокированным.

Команды: Проверить STP / RSTP

Что обнаружено?

• Резервный порт заблокирован: Это может быть штатная защита от петли. Не снимай блокировку без проверки схемы.
• Оба пути forwarding: Уточни протокол резервирования, экземпляр STP и участие VLAN. Два forwarding-пути требуют объяснения по топологии.
• На участке используется MRP: Открой сценарий кольца, проверь ring ports и менеджера. Настройки STP для ring ports сверяй с руководством.

3. Локализовать лишний путь

По LLDP и схеме найди недавнюю перемычку, неверный LAG или коммутатор без нужной защиты. Изолируй только подтверждённый подозрительный линк по принятому порядку, сохраняя управление и основной тракт.

Команды: Посмотреть соседние коммутаторы

Удалось локализовать участок?

• Найдена лишняя перемычка: Проверь, какие сервисы использует линк, согласуй изоляцию и сравни нагрузку до/после.
• LLDP не показывает соседей: Сверь маркировку, патч-панели и кабельную схему. Отсутствие LLDP не означает отсутствия соединения.
• Схема неясна: Продолжи сбор наблюдений и сверку подключений. Не отключай порты последовательно наугад.

4. Проверить восстановление

После устранения причины сравни прирост broadcast, стабильность MAC и доступность прежних сервисов. Storm Control ограничивает ущерб, но не устраняет физическую петлю.

Команды: Найти изученные MAC

Что стало после изменения?

• Нагрузка и MAC стабилизировались: Проверь резервный путь в согласованное окно, обнови схему и сохрани конфигурацию.
• Симптомы остались: Причина ещё не подтверждена. Проверь другие пути и источник broadcast, сопоставь время наблюдений.
• Один сервис пропал: Проверь его VLAN и резервный путь; локализация не завершена, пока прежние сервисы не восстановлены.

DHCP: устройство не получает адрес

Клиент остаётся без IPv4 или получает адрес 169.254.x.x. Пройдём от порта до DHCP-сервера и ответного пути.

1. Начать с клиента и VLAN

Проверь, что клиент настроен на DHCP, физический линк поднят и untagged/PVID соответствует нужному VLAN. Действующую аренду не сбрасывай на работающем устройстве без необходимости.

Команды: Проверить VLAN на портах

Какой адрес у клиента?

• 169.254.x.x или адреса нет: Переходи к захвату DHCP-обмена. Такой адрес не сообщает точную причину отсутствия аренды.
• Адрес из чужой подсети: Сверь VLAN/PVID и сервер, отправивший Offer/ACK. Возможны неверный VLAN или посторонний DHCP-сервер.
• Правильный адрес, связи нет: Проверь выданные маску, шлюз и DNS; затем обычный IP-путь. Это уже не обязательно сбой выдачи адреса.

2. Посмотреть DHCP-обмен

Захвати обмен у клиента при повторной попытке. Для начального получения аренды ожидаются Discover → Offer → Request → ACK. Продление может начинаться с Request; сопоставляй transaction ID и клиента.

Фильтр отображения Wireshark:

dhcp

На каком этапе останавливается обмен?

• Discover есть, Offer нет: Проверь, дошёл ли Discover до сервера/relay, есть ли свободные адреса и разрешён ли ответный трафик.
• Offer есть, ACK нет: Сравни Request, выбранный server identifier и ответы сервера, включая NAK. Проверь обе стороны пути.
• Запросов клиента не видно: Сверь точку захвата и интерфейс, настройки клиента и момент попытки. Пустой захват сам по себе не доказывает отказ клиента.

3. Проверить сервер или Relay

Если сервер в другом IP-сегменте, на шлюзе клиента нужен DHCP Relay. Проверь адрес сервера, интерфейс/VLAN клиента, маршруты в обе стороны, scope и политики DHCP Snooping/ACL. На транзитном L2-коммутаторе relay обычно не нужен.

Команды: Посмотреть таблицу маршрутов

Где находится DHCP-сервер?

• В том же VLAN: Проверь L2-прохождение запросов и ответов, серверный пул и фильтры. Relay для этого обмена не требуется.
• В другом сегменте: На шлюзе проверь relay и доступность сервера, обратный маршрут и пул для клиентской подсети.
• Адреса в пуле закончились: Исправь размер/состояние пула по правилам сервера, затем повтори получение аренды.

4. Проверить выданные параметры

Сверь IP, маску, шлюз, DNS и сервер аренды. Проверь шлюз, затем нужный сервер по IP и по имени. Не подменяй исправление DHCP постоянным случайным статическим адресом.

Команды: Проверить доступность IPv4

Что не работает после ACK?

• Шлюз недоступен: Сверь маску и VLAN, ARP, фильтры и возможный конфликт IP.
• IP доступен, имя нет: Проверь DNS, выданный DHCP, запросы и ответы DNS.
• Все проверки проходят: Зафиксируй причину и параметры аренды. Сохрани изменения на изменённых сетевых устройствах.

Multicast: поток пропадает или заливает VLAN

Видео или другой UDP multicast не приходит подписчику, пропадает спустя время либо попадает на лишние порты.

1. Зафиксировать группу и источник

Уточни multicast-группу, UDP-порт, адрес источника, VLAN и подписчика. Проверь трафик источника отдельно от подписки. Ping источника не проверяет доставку multicast.

Фильтр отображения Wireshark:

ip.dst == 239.1.1.10 && udp

Поток источника виден?

• Есть у источника, нет у подписчика: Проследи VLAN и членство группы по активному пути.
• Нет и у источника: Проверь приложение-источник, интерфейс и правильность точки захвата.
• Приходит на все порты: Проверь IGMP Snooping и политику unknown multicast. Flooding не всегда означает поломку.

2. Проверить подписчика

Сверь IGMP Membership Report и multicast-таблицу: нужные группа, VLAN и порт получателя. Пример 239.1.1.10 заменяй реальной группой; для SSM учитывай также источник.

Команды: Посмотреть multicast-группы

Фильтр отображения Wireshark:

igmp

Порт подписчика есть в таблице?

• Нет, Report тоже не видно: Проверь приложение, VLAN и IGMP-обмен у клиента. Убедись, что захват охватывает его порт.
• Report есть, записи нет: Сверь IGMP-версию, snooping и ограничения модели. Сравни таблицы на соседних узлах.
• Запись есть: Проверь путь от источника и router ports, затем наличие регулярных Query.

3. Проверить Querier и старение

В VLAN должен быть доступный IGMP Querier, чтобы обновлять динамические подписки. Проследи Query/Report во времени. На RouterOS возможности встроенного querier зависят от режима bridge: не включай его автоматически для всех tagged VLAN.

Фильтр отображения Wireshark:

igmp

Что происходит спустя время?

• Query нет, записи исчезают: Проверь querier для конкретного VLAN и прохождение Query. Не включай несколько устройств наугад.
• Query есть, клиент не отвечает: Проверь доставку Query клиенту, его приложение и фильтры.
• Query и Report есть: Сопоставь таймеры и таблицу группы на всех участках пути. Проверь источник и потери отдельно.

4. Проверить путь и потери

В одном VLAN проверь snooping и членство портов. Между подсетями требуется поддерживаемая multicast-маршрутизация или подходящий proxy; одной unicast-маршрутизации недостаточно.

Команды: Проверить VLAN на портах

Какой путь нужен?

• Внутри одного VLAN: Сверь tagged-членство, порт подписчика и прирост счётчиков потока.
• Между IP-подсетями: Проверь multicast routing/proxy на поддерживаемом шлюзе и требования приложения.
• Поток приходит с потерями: Сравни загрузку, ошибки и drops по тракту; захват на перегруженном зеркале также может терять пакеты.

Wireshark: найти уровень, где ломается связь

Устройство не открывает сервис. Разберём ARP, TCP и ответы приложения по одному направлению и моменту ошибки.

1. Выбрать точку захвата

Захватывай на клиенте или на правильно настроенном зеркале его порта/аплинка. Ноутбук в соседнем порту не видит весь чужой unicast. Уточни направления зеркала; теги VLAN могут быть сняты драйвером или оборудованием.

Команды: Посмотреть конфигурацию порта

Где снят трафик?

• На самом клиенте: Повтори ошибку и запиши время. Сверь выбранный сетевой интерфейс.
• На зеркале порта: Сверь source/destination зеркала, направления Rx/Tx и пропускную способность порта анализатора.
• На соседнем обычном порту: Перенеси захват на клиент или настрой поддерживаемое зеркалирование. Иначе отсутствие пакетов не показательно.

2. Проверить локальную доставку

Если IPv4-узел назначения вне подсети клиента, ARP нужен для шлюза, а не удалённого сервера. Отсутствие ARP в коротком захвате нормально при уже заполненном кэше.

Фильтр отображения Wireshark:

arp || icmp

Как выглядит обмен?

• Повторяются ARP Request без Reply: Уточни, ищется ли правильный сосед. Проверь VLAN, маску, доступность шлюза/узла и полноту захвата.
• ARP Reply получен: MAC соседа найден. Переходи к TCP или нужному протоколу приложения.
• ARP нет, другие пакеты есть: Проверь кэш ARP и продолжи анализ: новое разрешение адреса могло не потребоваться.

3. Проверить TCP-соединение

Выдели сервер и порт. В примере — 10.120.0.10:502 (Modbus TCP). Замени адрес/порт под свою задачу. Смотри SYN → SYN/ACK → ACK и обратный путь.

Фильтр отображения Wireshark:

ip.addr == 10.120.0.10 && tcp.port == 502

Что видно в TCP?

• SYN повторяется, SYN/ACK нет: Проверь маршрут, ACL/firewall, сервер и обратный путь. По одному клиентскому захвату точный участок потери не определяется.
• В ответ приходит RST: Узел или промежуточное устройство активно отвергает соединение. Проверь порт, службу и политики, уточни отправителя RST.
• Handshake завершён: Транспортное соединение установлено. Теперь проверь запрос/ответ приложения; TCP не гарантирует успешную операцию Modbus.

4. Отличить потери от сбоя приложения

Сопоставь отмеченные повторы с sequence/ACK, временем и полнотой захвата. Retransmission — повод проверить путь, но зеркало и неполный захват тоже влияют на анализ. Follow TCP Stream помогает видеть разговор приложения.

Фильтр отображения Wireshark:

tcp.analysis.retransmission || tcp.analysis.duplicate_ack

Какой результат?

• Повторы есть, ответ запаздывает: Сверь ошибки/drops/загрузку по тракту и захват с другой стороны. Не объявляй кабель причиной только по метке Wireshark.
• TCP работает, приложение возвращает ошибку: Проверь код ответа, параметры запроса и состояние сервера/контроллера.
• В захвате только одно направление: Проверь точку зеркала и маршрут ответа. Без второй стороны вывод о потерях может быть неполным.