Routing zwischen VLAN per Mikrotik

Der Mikrotik ist ein Router und keine Firewall !
Das ist der Grund warum sich alles pingen lässt, denn ein Router funktioniert immer nach dem Blacklist Prinzip, sprich generell ist ALLES immer erlaubt.
Eine Firewall aber immer nach dem Whitelist Prinzip, sprich alles was nicht explizit erlaubt ist, ist verboten.
Obwohl der Mikrotik auch eine stateful Firewall an Bord hat (die aber im Default nicht aktiv ist) ist er technisch gesehen ein Router, erlaubt also generell immer alle IP Routing Kommunikation im Default.
So einfach ist das...! Kollege @149569 hat es oben ja schon alles gesagt.
Das wäre Unsinn, denn die VLAN IP Netze sind ja direkt am Mikrotik dran und er agiert als Layer 3 (Routing) Switch. Da alles direkt an ihm dran ist "kennt" er folglich ja auch alle lokalen IP Netze und benötigt keine extra Route dafür. Logisch....!
Fazit:
Möglich das irgendwas schiefgelaufen ist in deiner MT Konfig wen du keine Connectivity hast. Bedenke bei Winblows Clients imemr auch die lokale Firewall wenn du aus fremden IP Netzen auf Winblows Rechner zugreifen willst. In der Regel blockiert das die lokale Firewall und muss entsprechend customized werden.
Also ggf. nochmal ganz in Ruhe das hiesige Mikrotik Tutorial genau durcharbeiten, sich an die dortigen Vorgaben halten und deine Fehler korrigieren:
Mikrotik VLAN Konfiguration ab RouterOS Version 6.41

Screenshots deines Setups oder wie oben schon gesagt ein export wäre sehr hilfreich hier um zu sehen was du falsch gemacht hast.
Wie man einfache Firewall Access Listen anlegt die VLAN Zugriffe blockieren kannst du u.a. hier als Beispiel sehen.

Das ist bei allen Routern dieser Welt so !! Eine Route die auf ein nicht erreichbares Gateway verweist wäre ja komplett sinnfrei.
Dann immer her damit...

Guckst du hier:
Mikrotik VLAN Konfiguration ab RouterOS Version 6.41
Folgende ToDos:

• Ports 1 bis 5 der VLAN Bridge als Memberports zuweisen
• Im Port Setup wird bestimmt ob diese Ports Tagged oder untagged sind
• UNtagged Endgeräte Ports = Nur die PVID setzen auf das VLAN in dem sie UNtagged abrbeiten sollen und Typ = admit only untagged setzen.
• Tagged Port = Type auf admit all setzen und im Bridge Setup unter VLAN das Tagging setzen.

Eigentlich doch ganz einfach und die gleiche Logik wie bei jedem simplen VLAN Switch.
Da stimmt dann irgendwas bei VLAN 22 nicht !
Soweit ist das oben OK allerdings hast du einen kosmetischen Fehler gemacht....
Die VLAN IP Interfaces müssen NICHT als Member Ports in der Bridge eingetragen werden. Die kannst du da rauslöschen was das Setup etwas übersichtlicher macht. Es schadet zwar nicht müllt aber die Konfig voll.
Checke zudem einmal dein Endgerät im VLAN 22 !!

• Stimmt dort die zugewiesene VLAN 22 IP Adrersse vom DHCP
• Stimmt das VLAN 22 Gateway ? Das muss die VLAN 22 IP des MT sein !
• Ist das ein Winblows Client im VLAN 22
• Wenn ja achte dort IMMER auf die lokale Winblows Firewall. Per se blockiert diese immer alles aus fremden IP Netzen !! Auch ICMP (Ping) ! ICMP (Ping) ist im Default immer blockiert und muss man erst explizit freigeben. Siehe dazu HIER.

Dein o.a. Fehler sieht nach einer Windows Firewall Problematik aus und NICHT nach etwas auf dem MT. Der Export Auszug zeigt eigentlich das du da alles richtig gemacht hast wenn man mal von der Kosmetik der IP Interfaces als Memberports absieht.
Sorry, aber wie kommst du auf so einen Unsinn ?!!
Siehe: https://mikrotik.com/product/RB941-2nD
Dort steht doch in den Spezifikationen ganz klar OS = RouterOS !!!
Alles was RouterOS als Firmware hat, hat auch das komplette L3 Featureset und kann folglich natürlich auch routen und das mit allem Drum und Dran.

Ganz einfach...
In die Bridge Member Ports gehen und dort bei Port 2 die PVID 22 und bei Port 3 die PVID 33 eintragen. Dann gilt:

• Port 2 = UNtagged in VLAN 22
• Port 3 = UNtagged in VLAN 33

Die PVID (und nur die) bestimmt immer in welchem VLAN ein Port auf dem MT UNtagged arbeitet.

Nein, sorry das ist Unsinn ! Das siehst du auch an einem nackten, nicht angeschlossenen Port sofern du als GUI die WinBox benutzt !!
Ob das ggf. im WebGUI nicht dargestellt wird müsste ich mal checken damit arbeite ich nie oder sehr selten.
Auf alle Fälle kannst du die PVID Zuordung aber auch sehen wenn du dir die Konfig mit export über das CLI ansiehst !
Dort stehen alle Bridge Memberports inklusive ihrer PVID Einstellung, völlig egal ob was angeschlossen ist oder nicht !
Ääähhh ja. Denn ohne DHCP Server müsstest du auf allen Geräte manuell statische IPs vergeben. Wenn du das nicht machst haben Endgeräte in den VLAN Segmenten logischerweise keine IP.
Sorry, aber solche Binsenweisheiten solltest du doch als Netzwerk Profi aber schon kennen ?!
🤣 Ha ha Tja, bei PEBKAC Problemen hilft auch das allerbeste Forum nix. 🤣
Zur Sicherheit sollte man die Poolbereich immer "mittig" setzen also z.B. .100 bis .200 da geht man dann meistens auf Nummer sicher bei 24er Prefixes.
Jeder gute Netzwerker weiss aber auch das Router in einem Subnetz in der Regel die erste oder letze IP haben also .1 oder .254 bei einem /24er Prefix. Sowas lernt schon der Azubi im ersten Lehrjahr.
Diese goldene Netzwerker Regel ist aber zu dir scheinbar noch nicht so ganz vorgedrungen... 🧐
Wie einfach es doch ist wenn man alles richtig macht. 👍

Wenn's das denn nun war bitte nicht vergessen den Thread dann als erledigt zu setzen:
Wie kann ich einen Beitrag als gelöst markieren?

👍 👏 Da erkennt man den Profi !!!
Es ging doch um die automatische Hardware Detection des WinBox Tool, oder ??
Wenn es allerdings um die aktuelle Anzeige der aktiven Tagged und untagged Ports in der VLAN Bridge geht werden die in der Tat nur angezeigt wenn ein aktiver Link besteht. Das hast du recht und sorry, wenn das missverstanden war.