Hướng dẫn cài đặt MikroTik CCR2116-12G-4S+ cơ bản từ A đến Z

MikroTik CCR2116-12G-4S+ là thiết bị định tuyến hiệu năng cao, phù hợp với doanh nghiệp, trung tâm dữ liệu và hệ thống mạng có lưu lượng lớn. Để khai thác hiệu quả thiết bị, người quản trị cần biết cách truy cập RouterOS, cấu hình cổng WAN, thiết lập mạng LAN, cấp phát địa chỉ IP, NAT và các quy tắc bảo mật cơ bản.

Trong bài viết này, BKV hướng dẫn bạn cách cài đặt MikroTik CCR2116-12G-4S+ theo từng bước, sử dụng WinBox và các lệnh RouterOS v7 để dễ dàng triển khai, kiểm tra và quản trị hệ thống mạng.

1. Tổng quan về MikroTik CCR2116-12G-4S+

MikroTik CCR2116-12G-4S+ thuộc dòng Cloud Core Router, được thiết kế cho các hệ thống mạng doanh nghiệp cần khả năng định tuyến mạnh mẽ, kết nối tốc độ cao và khả năng mở rộng linh hoạt.

Thiết bị có 12 cổng Ethernet Gigabit và 4 cổng SFP+ hỗ trợ kết nối tốc độ 10 Gigabit, phù hợp triển khai tại trung tâm mạng, phòng máy chủ hoặc làm router trung tâm cho hệ thống nhiều switch.

Một số ứng dụng phổ biến:

Định tuyến Internet cho doanh nghiệp.
Kết nối mạng LAN với nhiều VLAN.
Quản lý lưu lượng mạng và định tuyến giữa các mạng.
Kết nối với switch quang 10Gbps và hệ thống máy chủ.
Triển khai firewall, NAT, VPN và các chính sách truy cập mạng.
Làm router trung tâm cho hệ thống Wi-Fi, camera IP và mạng nội bộ quy mô lớn.

2. Chuẩn bị trước khi cài đặt

Trước khi cấu hình MikroTik CCR2116-12G-4S+, bạn cần chuẩn bị:

Thiết bị MikroTik CCR2116-12G-4S+ và nguồn điện phù hợp.
Máy tính quản trị cài phần mềm WinBox.
Dây mạng Ethernet.
Thông tin kết nối Internet từ nhà cung cấp dịch vụ.
Sơ đồ kết nối WAN, LAN và switch.
Thông tin địa chỉ IP, dải DHCP và VLAN dự kiến sử dụng.

Mô hình mạng mẫu trong bài viết:

Thành phần	Cấu hình ví dụ
Cổng WAN	ether1
Cổng LAN	ether2–ether12
Cổng SFP+	Dành cho uplink LAN 10Gbps
IP quản trị LAN	192.168.88.1/24
Dải IP DHCP	192.168.88.100–192.168.88.250
Phương thức kết nối WAN	DHCP Client
Hệ điều hành	RouterOS v7

Lưu ý: Đây là cấu hình tham khảo cho một đường Internet nhận IP tự động qua DHCP. Nếu nhà mạng cấp PPPoE, IP tĩnh hoặc thiết bị đang chạy cấu hình khác, cần điều chỉnh cho phù hợp.

3. Bước 1: Kết nối máy tính với MikroTik CCR2116-12G-4S+

Đầu tiên, kết nối máy tính quản trị với cổng Ethernet phù hợp trên router. Nếu thiết bị còn cấu hình mặc định, hãy kiểm tra hướng dẫn Quick Guide để chọn đúng cổng kết nối.

Tiếp theo, cấp nguồn cho thiết bị và chờ hệ thống khởi động hoàn tất.

Tải WinBox từ trang chính thức:

https://mikrotik.com/download

Mở WinBox, chọn mục Neighbors để tìm thiết bị MikroTik trong mạng. Bạn có thể kết nối bằng địa chỉ MAC hoặc địa chỉ IP nếu thiết bị đã có IP quản trị.

Với cấu hình mặc định phù hợp, bạn có thể thử truy cập địa chỉ 192.168.88.1. Thông tin đăng nhập cần kiểm tra theo nhãn thiết bị và trạng thái cấu hình thực tế.

Sau khi đăng nhập thành công, hãy kiểm tra phiên bản RouterOS trong mục System → Resources.

4. Bước 2: Sao lưu và cập nhật RouterOS

Trước khi thay đổi cấu hình, nên sao lưu hệ thống.

Trong WinBox:

Truy cập Files.
Chọn chức năng Backup.
Đặt tên file dễ nhận biết, ví dụ CCR2116-before-config.
Tải file sao lưu về máy tính quản trị.

Có thể xuất cấu hình dạng văn bản bằng Terminal:

/export file=before-config

Sau đó kiểm tra phiên bản RouterOS và cập nhật lên phiên bản ổn định phù hợp với thiết bị. Hãy sử dụng trang tải xuống chính thức của MikroTik, đọc hướng dẫn nâng cấp và kiểm tra tính tương thích trước khi cập nhật.

Không nên nâng cấp thiết bị đang vận hành vào giờ cao điểm nếu chưa có phương án dự phòng và kế hoạch khôi phục.

5. Bước 3: Đặt mật khẩu quản trị router

Bảo vệ tài khoản quản trị là bước quan trọng để hạn chế truy cập trái phép.

Trong WinBox, vào System → Users để thay đổi mật khẩu của tài khoản quản trị hiện có hoặc tạo tài khoản quản trị mới phù hợp.

Có thể đổi mật khẩu tài khoản admin bằng Terminal:

/user set [find name="admin"] password="THAY_BANG_MAT_KHAU_MẠNH"

Hãy thay chuỗi mẫu bằng mật khẩu riêng, đủ dài và khó đoán. Không sử dụng mật khẩu ví dụ trong bài viết cho hệ thống thật.

Không chia sẻ mật khẩu quản trị trong tài liệu công khai và không mở quyền quản trị router trực tiếp ra Internet nếu không có biện pháp bảo vệ phù hợp.

6. Bước 4: Cấu hình WAN nhận Internet qua DHCP

Trong mô hình này, cổng ether1 kết nối với modem hoặc thiết bị bàn giao của nhà mạng. Nhà mạng cấp địa chỉ IP tự động bằng DHCP.

Mở Terminal trong WinBox và nhập:

/ip dhcp-client add interface=ether1 \
    add-default-route=yes \
    use-peer-dns=no \
    disabled=no

Nếu thiết bị đã có DHCP Client trên ether1, hãy kiểm tra cấu hình hiện tại thay vì tạo thêm một mục trùng lặp.

Kiểm tra trạng thái:

/ip dhcp-client print detail
/ip address print
/ip route print

Khi kết nối thành công, DHCP Client thường hiển thị trạng thái bound, đồng thời router nhận được địa chỉ IP và tuyến mặc định phù hợp.

Lưu ý: Nếu nhà mạng sử dụng PPPoE, bạn cần cấu hình PPPoE Client cùng thông tin tài khoản do nhà mạng cung cấp. Nếu nhà mạng cấp IP tĩnh, cần khai báo IP, gateway và DNS chính xác theo thông tin bàn giao.

7. Bước 5: Cấu hình mạng LAN và địa chỉ IP quản trị

Trong ví dụ này, ether2 đến ether12 cùng bốn cổng sfp-sfpplus1 đến sfp-sfpplus4 được sử dụng cho mạng LAN.

Trước khi áp dụng, cần bảo đảm các cổng này không đang được gán cho bridge, VLAN hoặc mục đích WAN khác. Các lệnh dưới đây dành cho thiết bị đã được xóa cấu hình và khởi tạo theo mô hình riêng; không chạy nguyên trạng trên router đang hoạt động.

Tạo bridge LAN:

/interface bridge
add name=bridge-LAN protocol-mode=rstp

Thêm các cổng LAN vào bridge:

/interface bridge port
add bridge=bridge-LAN interface=ether2
add bridge=bridge-LAN interface=ether3
add bridge=bridge-LAN interface=ether4
add bridge=bridge-LAN interface=ether5
add bridge=bridge-LAN interface=ether6
add bridge=bridge-LAN interface=ether7
add bridge=bridge-LAN interface=ether8
add bridge=bridge-LAN interface=ether9
add bridge=bridge-LAN interface=ether10
add bridge=bridge-LAN interface=ether11
add bridge=bridge-LAN interface=ether12
add bridge=bridge-LAN interface=sfp-sfpplus1
add bridge=bridge-LAN interface=sfp-sfpplus2
add bridge=bridge-LAN interface=sfp-sfpplus3
add bridge=bridge-LAN interface=sfp-sfpplus4

Gán địa chỉ IP quản trị cho bridge:

/ip address
add address=192.168.88.1/24 interface=bridge-LAN

Sau bước này, mạng LAN sử dụng dải 192.168.88.0/24, với địa chỉ router là 192.168.88.1.

Nếu muốn dùng cổng SFP+ để kết nối switch quang hoặc switch 10Gbps, cần bảo đảm hai đầu kết nối sử dụng module quang, dây cáp và tốc độ tương thích.

8. Bước 6: Cấu hình DHCP Server cấp IP tự động

DHCP Server giúp máy tính, điện thoại, máy in và các thiết bị trong mạng LAN tự động nhận địa chỉ IP.

Tạo dải IP cấp phát:

/ip pool
add name=pool-LAN ranges=192.168.88.100-192.168.88.250

Khai báo thông tin mạng LAN:

/ip dhcp-server network
add address=192.168.88.0/24 \
    gateway=192.168.88.1 \
    dns-server=192.168.88.1

Tạo DHCP Server:

/ip dhcp-server
add name=dhcp-LAN \
    interface=bridge-LAN \
    address-pool=pool-LAN \
    lease-time=1d \
    disabled=no

Bật chức năng DNS cho các thiết bị LAN:

/ip dns
set allow-remote-requests=yes

Với cấu hình này, các thiết bị kết nối vào LAN có thể nhận IP trong dải 192.168.88.100–192.168.88.250, gateway 192.168.88.1 và sử dụng router làm DNS trung gian.

Chỉ cho phép các máy trong mạng nội bộ truy vấn DNS qua router; không để các yêu cầu DNS từ Internet truy cập được dịch vụ này.

9. Bước 7: Cấu hình NAT để các thiết bị LAN truy cập Internet

NAT cho phép nhiều thiết bị trong mạng LAN sử dụng kết nối Internet thông qua địa chỉ WAN của router.

Tạo danh sách giao diện WAN và LAN:

/interface list
add name=WAN
add name=LAN

/interface list member
add list=WAN interface=ether1
add list=LAN interface=bridge-LAN

Cấu hình NAT masquerade:

/ip firewall nat
add chain=srcnat \
    out-interface-list=WAN \
    action=masquerade \
    comment="NAT LAN to Internet"

Sau khi có kết nối WAN hợp lệ, thiết bị LAN có thể truy cập Internet nếu định tuyến, DNS và firewall được cấu hình đúng.

10. Bước 8: Thiết lập firewall cơ bản

Firewall giúp bảo vệ router khỏi những kết nối không mong muốn từ bên ngoài.

Trên hệ thống mới được khởi tạo, có thể sử dụng bộ quy tắc cơ bản dưới đây. Hãy kiểm tra kỹ cấu hình hiện tại trước khi thêm, thay thế hoặc sắp xếp lại các quy tắc firewall.

/ip firewall filter
add chain=input action=accept \
    connection-state=established,related,untracked \
    comment="Allow established input"

add chain=input action=drop \
    connection-state=invalid \
    comment="Drop invalid input"

add chain=input action=accept \
    protocol=icmp \
    comment="Allow ICMP"

add chain=input action=accept \
    in-interface-list=LAN \
    comment="Allow LAN management"

add chain=input action=drop \
    comment="Drop other input"

add chain=forward action=accept \
    connection-state=established,related,untracked \
    comment="Allow established forward"

add chain=forward action=drop \
    connection-state=invalid \
    comment="Drop invalid forward"

add chain=forward action=accept \
    in-interface-list=LAN \
    out-interface-list=WAN \
    comment="Allow LAN to WAN"

add chain=forward action=drop \
    comment="Drop other forward"

Các quy tắc trên là ví dụ tối thiểu cho mô hình LAN đi Internet. Khi triển khai thực tế, cần đánh giá thêm các yêu cầu truy cập giữa VLAN, VPN, máy chủ công khai, quản trị từ xa và kết nối từ các mạng khác.

Nếu có máy chủ nội bộ cần công bố dịch vụ ra Internet, không nên mở toàn bộ cổng một cách tùy tiện. Hãy chỉ cho phép đúng địa chỉ IP, giao thức và cổng cần thiết.

11. Bước 9: Kiểm tra hoạt động sau cấu hình

Sau khi hoàn thành, hãy kiểm tra theo trình tự:

Kiểm tra 1 – Cổng mạng

/interface print
/interface bridge port print

Xác nhận các cổng WAN và LAN được gán đúng mục đích.

Kiểm tra 2 – WAN

/ip dhcp-client print detail
/ip route print

Xác nhận router nhận được IP từ nhà mạng và có tuyến mặc định hợp lệ.

Kiểm tra 3 – DHCP Server

/ip dhcp-server print
/ip dhcp-server lease print

Kết nối máy tính vào LAN, kiểm tra máy tính có nhận được IP, gateway và DNS đúng hay không.

Kiểm tra 4 – Kết nối Internet

/ping 1.1.1.1
/ping google.com

Nếu ping địa chỉ IP thành công nhưng ping tên miền thất bại, hãy kiểm tra cấu hình DNS. Nếu cả hai đều thất bại, kiểm tra WAN, gateway, định tuyến và firewall.

Kiểm tra 5 – Sao lưu sau khi hoàn tất

/export file=after-basic-config

Tải file cấu hình và lưu tại nơi an toàn để phục vụ bảo trì hoặc khôi phục khi cần.

12. Một số lỗi thường gặp khi cài đặt MikroTik CCR2116-12G-4S+

Không truy cập được router: Kiểm tra cáp mạng, cổng đang kết nối, địa chỉ IP máy tính và thử tìm thiết bị bằng WinBox Neighbors.

WAN không nhận IP: Kiểm tra modem, dây mạng, VLAN WAN nếu nhà mạng yêu cầu và xác nhận nhà mạng sử dụng DHCP, PPPoE hay IP tĩnh.

Máy tính nhận IP nhưng không vào được Internet: Kiểm tra default route, NAT, DNS và các quy tắc firewall.

Không truy cập được router sau khi chỉnh firewall: Có thể quy tắc mới đã chặn phiên quản trị. Nên cấu hình từ mạng LAN tin cậy, có phương án khôi phục và tránh thay đổi firewall từ xa nếu chưa kiểm tra.

Mạng LAN không liên lạc được: Kiểm tra bridge port, địa chỉ IP, DHCP Server, VLAN và sơ đồ đấu nối thực tế.

13. Kết luận

Việc cài đặt MikroTik CCR2116-12G-4S+ cần thực hiện theo trình tự từ truy cập thiết bị, sao lưu, cập nhật RouterOS, cấu hình WAN, LAN, DHCP, NAT đến firewall và kiểm thử.

Đối với hệ thống doanh nghiệp, cấu hình cơ bản chỉ là bước khởi đầu. Để khai thác tốt khả năng của thiết bị, người quản trị có thể triển khai thêm VLAN, định tuyến liên VLAN, cân bằng tải nhiều đường Internet, VPN, giám sát lưu lượng và chính sách bảo mật phù hợp với quy mô mạng.

BKV – Công ty Cổ phần Thiết bị An ninh Bách Khoa Việt cung cấp giải pháp thiết bị mạng, camera giám sát, máy chủ và hệ thống hạ tầng CNTT cho doanh nghiệp. Liên hệ BKV để được tư vấn lựa chọn thiết bị và phương án triển khai phù hợp.