Hướng dẫn cấu hình MikroTik RB5009UPr+S+IN cho hệ thống mạng tổng thể

Tôi sẽ xây dựng bài hướng dẫn theo hướng triển khai thực tế cho BKV: một router MikroTik RB5009UPr+S+IN quản lý 2 đường Internet WAN, mạng LAN máy tính, Wi-Fi, hệ thống camera IP và tổng đài IP. Mục tiêu là có cấu hình rõ ràng, dễ vận hành, dễ xử lý sự cố và có thể mở rộng sau này.

Phương án tôi đề xuất là chia hệ thống thành các VLAN riêng biệt, cân bằng tải hai đường Internet và thiết lập chính sách để camera, tổng đài IP không bị ảnh hưởng bởi lưu lượng của người dùng thông thường.

1. Sơ đồ kiến trúc hệ thống

Lưu ý: đây là sơ đồ logic. Khi triển khai thực tế, các VLAN sẽ được cấu hình trên router và switch managed; không nên cắm toàn bộ thiết bị vào cùng một mạng phẳng.

2. Vai trò và giới hạn của RB5009UPr+S+IN

Thiết bị trung tâm

• Quản lý hai đường WAN.

• Định tuyến giữa các VLAN và áp dụng firewall.

• Cấp DHCP cho từng mạng.

• NAT Internet, theo dõi kết nối và tự chuyển tuyến khi WAN lỗi.

• Ưu tiên lưu lượng thoại IP nếu được cấu hình phù hợp.

RB5009UPr+S+IN có cổng Ethernet Gigabit, cổng 2.5 Gigabit, cổng SFP+ 10 Gigabit và hỗ trợ cấp nguồn PoE-out trên các cổng tương ứng. Thiết bị phù hợp làm router trung tâm cho nhiều mạng VLAN; tuy nhiên, khả năng thực tế còn phụ thuộc lưu lượng, tính năng firewall, mã hóa VPN và cấu hình bật FastTrack.

Không nên dùng router để thay thế NVR hoặc switch PoE chuyên dụng. Camera nên kết nối vào switch PoE, Wi-Fi nên dùng Access Point, còn tổng đài IP có thể là máy chủ vật lý, thiết bị chuyên dụng hoặc hệ thống tổng đài cloud.

3. Quy hoạch địa chỉ IP và VLAN

Tôi đề xuất dùng dải mạng riêng 10.10.0.0/16 để dễ mở rộng, tránh trùng với các mạng phổ biến như 192.168.1.0/24 của modem nhà mạng.

Đây là phương án mẫu. Các thiết bị như NVR, máy chủ tổng đài, switch quản trị và Access Point có thể đặt IP tĩnh hoặc DHCP reservation ngoài phạm vi cấp phát thông thường.

Nguyên tắc quan trọng: Camera không nên được phép tự do truy cập vào máy tính nhân viên; Wi-Fi khách không được truy cập mạng nội bộ; chỉ máy quản trị được phép truy cập giao diện quản lý router, switch, NVR và Access Point.

4. Chuẩn bị trước khi cấu hình

Thực hiện trên WinBox với máy tính kết nối trực tiếp vào router.

1. Đăng nhập router qua địa chỉ mặc định hoặc MAC Address.

2. Vào Files và tạo bản sao lưu bằng Backup, đồng thời xuất cấu hình bằng Export.

3. Kiểm tra phiên bản RouterOS tại System → Resources; cập nhật lên phiên bản stable phù hợp và khởi động lại nếu cần.

4. Xác nhận router đang ở cấu hình mặc định. Nếu đã có cấu hình sản xuất, không reset hoặc chạy lại toàn bộ lệnh một cách máy móc.
5. Chuẩn bị máy tính kỹ thuật và phương án truy cập dự phòng trước khi thay đổi VLAN, bridge hoặc firewall.

Tài liệu chính hãng xác nhận model này sử dụng RouterOS v7, có 7 cổng Gigabit, 1 cổng 2.5 Gigabit và 1 cổng SFP+ 10 Gigabit.

RB5009UPr+S+IN

+1

4.1. Phân công cổng vật lý

Trong cấu hình mẫu bên dưới, ether3 được dùng làm trunk chính. Những cổng trunk bổ sung phải được khai báo VLAN tương ứng; không tự ý kết nối chúng vào mạng sản xuất trước khi hoàn thiện cấu hình.

5. Cấu hình cơ bản hai đường WAN

Trước tiên, cần phân biệt hai chức năng:

• Failover: WAN1 là đường chính, WAN2 tự tiếp quản khi WAN1 lỗi.

• Cân bằng tải PCC: Phân chia các kết nối mới qua cả hai đường Internet, đồng thời vẫn chuyển sang đường còn hoạt động khi một đường gặp sự cố.

Cân bằng tải PCC là cân bằng theo kết nối, không cộng băng thông thành một luồng duy nhất. MikroTik cũng mô tả đây là phương pháp phù hợp cho các router có nhiều WAN.

RouterOS Manual

+1

5.1. Đổi tên các cổng

Chạy trong Terminal của WinBox:

/interface ethernet
set [find default-name=ether1] name=WAN1-Viettel
set [find default-name=ether2] name=WAN2-VNPT
set [find default-name=ether3] name=TRUNK-SWITCH

Tên cổng trong các lệnh tiếp theo phải khớp chính xác với tên bạn đặt.

5.2. Nhận địa chỉ IP từ hai nhà mạng

Nếu cả hai modem/ONT đang cấp IP bằng DHCP, cấu hình:

/ip dhcp-client
add interface=WAN1-Viettel add-default-route=yes \
    default-route-distance=1 use-peer-dns=no \
    disabled=no comment="WAN1 primary"

add interface=WAN2-VNPT add-default-route=yes \
    default-route-distance=2 use-peer-dns=no \
    disabled=no comment="WAN2 backup"

Hai route mặc định có khoảng cách lần lượt là 1 và 2. Đây là cấu hình ưu tiên WAN1, dự phòng WAN2, chưa phải cân bằng tải PCC. Tài liệu MikroTik mô tả cơ chế dự phòng bằng route distance và kiểm tra gateway.

RouterOS Manual

+1

Kiểm tra:

/ip dhcp-client print detail
/ip address print
/ip route print detail

Bạn cần thấy cả hai DHCP client nhận được địa chỉ IP và gateway hợp lệ.

Lưu ý: Cấu hình trên chưa bảo đảm phát hiện mọi sự cố Internet nằm phía sau gateway nhà mạng. Khi triển khai thực tế cần thiết kế kiểm tra đường truyền đầu cuối và route tương ứng. Không nên chỉ rút cáp hoặc ping gateway rồi kết luận rằng toàn bộ Internet đã được giám sát chính xác.

5.3. NAT cho hai đường WAN

Nếu router đang dùng cấu hình mặc định, hãy kiểm tra các quy tắc NAT trước khi thêm mới. Với thiết kế không có NAT trên thiết bị trung gian khác, có thể sử dụng NAT theo interface list WAN:

/interface list
add name=WAN comment="Internet uplinks"
add name=LAN comment="Internal networks"

/interface list member
add list=WAN interface=WAN1-Viettel
add list=WAN interface=WAN2-VNPT

/ip firewall nat
add chain=srcnat out-interface-list=WAN \
    action=masquerade comment="NAT Internet"

Nếu danh sách WAN, LAN hoặc quy tắc NAT đã tồn tại thì không thêm trùng. NAT chỉ xử lý chuyển đổi địa chỉ; nó không tự tạo cân bằng tải.

6. Tạo bridge và cấu hình VLAN trên RouterOS v7

Phần này áp dụng cho thiết kế dùng switch managed, trong đó MikroTik làm router định tuyến giữa các VLAN. Cổng TRUNK-SWITCH truyền các VLAN dưới dạng tagged; switch sẽ phân phối VLAN xuống camera, máy tính, AP và tổng đài.

Quan trọng: Các lệnh dưới đây là mẫu triển khai cho cấu hình bridge/VLAN mới, không phải khối lệnh để dán nguyên xi lên router đang chạy cấu hình mặc định. Cần kiểm tra và điều chỉnh bridge, bridge port, interface list và DHCP server hiện có để tránh trùng cấu hình hoặc mất kết nối.

6.1. Tạo bridge và VLAN interface

Giả sử bridge trung tâm tên BR-LAN:

/interface bridge
add name=BR-LAN protocol-mode=rstp vlan-filtering=no

/interface bridge port
add bridge=BR-LAN interface=TRUNK-SWITCH \
    ingress-filtering=yes \
    frame-types=admit-only-vlan-tagged

Tạo interface Layer 3 cho các VLAN:

/interface vlan
add name=VLAN10-LAN interface=BR-LAN vlan-id=10
add name=VLAN20-WIFI interface=BR-LAN vlan-id=20
add name=VLAN30-CAMERA interface=BR-LAN vlan-id=30
add name=VLAN40-VOIP interface=BR-LAN vlan-id=40
add name=VLAN50-GUEST interface=BR-LAN vlan-id=50
add name=VLAN99-MGMT interface=BR-LAN vlan-id=99

Gán địa chỉ gateway:

/ip address
add address=10.10.10.1/24 interface=VLAN10-LAN
add address=10.10.20.1/24 interface=VLAN20-WIFI
add address=10.10.30.1/24 interface=VLAN30-CAMERA
add address=10.10.40.1/24 interface=VLAN40-VOIP
add address=10.10.50.1/24 interface=VLAN50-GUEST
add address=10.10.99.1/24 interface=VLAN99-MGMT

6.2. Khai báo VLAN trên bridge

Với một cổng trunk chính, cần cho phép bridge CPU và cổng trunk mang các VLAN cần thiết:

/interface bridge vlan
add bridge=BR-LAN vlan-ids=10 \
    tagged=BR-LAN,TRUNK-SWITCH

add bridge=BR-LAN vlan-ids=20 \
    tagged=BR-LAN,TRUNK-SWITCH

add bridge=BR-LAN vlan-ids=30 \
    tagged=BR-LAN,TRUNK-SWITCH

add bridge=BR-LAN vlan-ids=40 \
    tagged=BR-LAN,TRUNK-SWITCH

add bridge=BR-LAN vlan-ids=50 \
    tagged=BR-LAN,TRUNK-SWITCH

add bridge=BR-LAN vlan-ids=99 \
    tagged=BR-LAN,TRUNK-SWITCH

Sau khi đã cấu hình đúng VLAN trên switch và xác nhận có đường quản trị dự phòng, mới bật:

/interface bridge
set [find name=BR-LAN] vlan-filtering=yes

Nếu switch có nhiều uplink trunk, phải khai báo chúng đúng trong bảng VLAN và cấu hình tương ứng ở switch. Không bật VLAN filtering trước khi hoàn thành toàn bộ bảng VLAN, vì sai cấu hình có thể làm mất kết nối quản trị.

7. Cấu hình DHCP cho từng mạng

Tạo pool địa chỉ cho từng VLAN:

/ip pool
add name=POOL-LAN ranges=10.10.10.50-10.10.10.240
add name=POOL-WIFI ranges=10.10.20.50-10.10.20.240
add name=POOL-CAMERA ranges=10.10.30.50-10.10.30.240
add name=POOL-VOIP ranges=10.10.40.50-10.10.40.200
add name=POOL-GUEST ranges=10.10.50.50-10.10.50.240
add name=POOL-MGMT ranges=10.10.99.100-10.10.99.200

Tạo DHCP server:

/ip dhcp-server
add name=DHCP-LAN interface=VLAN10-LAN \
    address-pool=POOL-LAN disabled=no

add name=DHCP-WIFI interface=VLAN20-WIFI \
    address-pool=POOL-WIFI disabled=no

add name=DHCP-CAMERA interface=VLAN30-CAMERA \
    address-pool=POOL-CAMERA disabled=no

add name=DHCP-VOIP interface=VLAN40-VOIP \
    address-pool=POOL-VOIP disabled=no

add name=DHCP-GUEST interface=VLAN50-GUEST \
    address-pool=POOL-GUEST disabled=no

add name=DHCP-MGMT interface=VLAN99-MGMT \
    address-pool=POOL-MGMT disabled=no

Khai báo mạng DHCP:

/ip dhcp-server network
add address=10.10.10.0/24 gateway=10.10.10.1 \
    dns-server=10.10.10.1

add address=10.10.20.0/24 gateway=10.10.20.1 \
    dns-server=10.10.20.1

add address=10.10.30.0/24 gateway=10.10.30.1 \
    dns-server=10.10.30.1

add address=10.10.40.0/24 gateway=10.10.40.1 \
    dns-server=10.10.40.1

add address=10.10.50.0/24 gateway=10.10.50.1 \
    dns-server=10.10.50.1

add address=10.10.99.0/24 gateway=10.10.99.1 \
    dns-server=10.10.99.1

Bật DNS cache trên router để các máy khách có thể sử dụng router làm DNS trung gian:

/ip dns
set allow-remote-requests=yes servers=1.1.1.1,8.8.8.8

Phải bổ sung firewall giới hạn truy cập dịch vụ DNS từ WAN. Không được để DNS cache mở cho truy cập từ Internet.

7.1. Đặt IP tĩnh cho thiết bị quan trọng

Ví dụ:

Đây là địa chỉ mẫu. Cần bảo đảm không trùng địa chỉ đang sử dụng; thiết bị có thể dùng IP tĩnh ngoài pool hoặc DHCP reservation.

8. Cấu hình switch và Wi-Fi

Router chỉ quản lý VLAN Layer 3. Bạn vẫn cần cấu hình VLAN trên switch managed và Access Point để thiết bị cuối thực sự nằm đúng mạng.

Đối với Wi-Fi, nên tạo ít nhất hai SSID:

• BKV-STAFF: gắn VLAN 20, dành cho nhân viên.

• BKV-GUEST: gắn VLAN 50, dành cho khách; chỉ được truy cập Internet.

Không nên bật VLAN guest isolation một cách tùy tiện trên switch nếu chưa kiểm tra cơ chế VLAN của AP, vì có thể làm mất kết nối DHCP hoặc quản trị.

9. Cấu hình firewall bảo vệ hệ thống

Firewall cần phân biệt hai loại lưu lượng:

• Input: Lưu lượng truy cập chính router, chẳng hạn WinBox, DNS và DHCP.

• Forward: Lưu lượng đi xuyên qua router, chẳng hạn máy tính truy cập Internet hoặc máy quản trị xem camera.

9.1. Khai báo danh sách interface

Nếu chưa tồn tại các danh sách này:

/interface list
add name=VLAN-INTERFACES

/interface list member
add list=LAN interface=VLAN10-LAN
add list=LAN interface=VLAN20-WIFI
add list=LAN interface=VLAN30-CAMERA
add list=LAN interface=VLAN40-VOIP
add list=LAN interface=VLAN50-GUEST
add list=LAN interface=VLAN99-MGMT

add list=VLAN-INTERFACES interface=VLAN10-LAN
add list=VLAN-INTERFACES interface=VLAN20-WIFI
add list=VLAN-INTERFACES interface=VLAN30-CAMERA
add list=VLAN-INTERFACES interface=VLAN40-VOIP
add list=VLAN-INTERFACES interface=VLAN50-GUEST
add list=VLAN-INTERFACES interface=VLAN99-MGMT

9.2. Chặn Wi-Fi khách truy cập mạng nội bộ

Tạo danh sách các mạng nội bộ cần bảo vệ:

/ip firewall address-list
add list=PRIVATE-NETS address=10.10.0.0/16

Chặn VLAN khách truy cập vào các mạng nội bộ:

/ip firewall filter
add chain=forward action=drop \
    src-address=10.10.50.0/24 \
    dst-address-list=PRIVATE-NETS \
    comment="Guest blocked from internal networks"

Đặt quy tắc này trước các quy tắc forward cho phép lưu lượng tổng quát. Nếu khách cần truy cập một dịch vụ được phép cụ thể, hãy thêm ngoại lệ có giới hạn rõ ràng trước quy tắc chặn.

9.3. Nguyên tắc bảo vệ camera và tổng đài

• Camera chỉ được truy cập NVR, DNS, NTP hoặc máy chủ cần thiết; không nên mặc định cho toàn bộ camera ra Internet.

• NVR chỉ cấp quyền xem cho các nhóm người dùng được phép.

• Tổng đài IP được phép trao đổi với các máy nhánh và máy chủ SIP cần thiết. Nếu sử dụng tổng đài cloud, phải cho phép các luồng SIP/RTP theo yêu cầu của nhà cung cấp.

• VLAN quản trị chỉ cho phép máy quản trị truy cập WinBox, SSH hoặc giao diện quản lý.

• Không mở cổng quản trị router trực tiếp ra Internet.

Nếu router đã có firewall mặc định, phải rà soát và sắp xếp lại các quy tắc trước khi thêm quy tắc mới. Không xóa toàn bộ firewall mặc định chỉ để áp dụng mẫu trên.

10. Cân bằng tải PCC cho hai đường Internet

Đến đây, hệ thống đã có hai WAN, VLAN, DHCP, NAT và firewall cơ bản. Tuy nhiên, cấu hình WAN ở mục 5 mới là WAN1 chính – WAN2 dự phòng.

Nếu muốn cả Viettel và VNPT cùng phục vụ lưu lượng Internet, cần bổ sung cấu hình PCC (Per Connection Classifier), đánh dấu kết nối, đánh dấu định tuyến, các bảng định tuyến riêng và cơ chế kiểm tra tình trạng từng đường truyền. Không chỉ thêm hai default route có khoảng cách bằng nhau là đủ.

Với hệ thống có camera và tổng đài IP, tôi đề xuất nguyên tắc triển khai như sau:

Một cấu hình PCC hoàn chỉnh cho hai WAN DHCP phải xử lý đúng gateway động do nhà mạng cấp, các route theo từng bảng định tuyến và các kết nối được đánh dấu. Vì vậy, không nên áp dụng một đoạn PCC tổng quát chưa xác nhận gateway, phiên bản RouterOS và cấu hình hiện hữu lên router đang vận hành. Tham khảo hướng dẫn chính thức về Load Balancing của MikroTik.

RouterOS Manual

+1

11. Kiểm thử và nghiệm thu

Sau khi cấu hình, cần kiểm thử theo từng giai đoạn trước khi đưa toàn bộ hệ thống vào vận hành.

Các lệnh kiểm tra hữu ích:

/interface print
/ip dhcp-client print detail
/ip address print
/ip route print detail
/ip dhcp-server lease print
/ip firewall filter print stats
/ip firewall nat print stats
/system resource print

Đối với kiểm thử failover, cần thử cả việc mất cáp WAN và trường hợp modem vẫn hoạt động nhưng mất kết nối Internet phía sau modem. Ghi lại thời gian gián đoạn, kết quả cuộc gọi và khả năng khôi phục phiên làm việc.

12. Các lưu ý quan trọng khi triển khai thực tế tại BKV

1. Không dùng chung VLAN cho mọi thiết bị. Tách camera, Wi-Fi khách, LAN nhân viên và tổng đài sẽ giúp giảm rủi ro bảo mật và dễ khoanh vùng sự cố.

2. Không nhầm cân bằng tải với cộng băng thông. PCC phân phối các kết nối, không bảo đảm một phiên tải xuống duy nhất đạt tổng tốc độ của cả hai WAN.

3. Kiểm tra băng thông camera. Nếu camera và NVR cùng VLAN hoặc liên lạc qua switch Layer 2, luồng video có thể không đi qua router. Nếu khác VLAN, lưu lượng sẽ đi qua router và cần tính tải định tuyến.

4. Bảo vệ cấu hình quản trị. Đổi mật khẩu mặc định, giới hạn WinBox/SSH theo VLAN quản trị và lưu bản sao cấu hình trước mỗi lần thay đổi.

5. Kiểm tra nguồn PoE. RB5009UPr+S+IN hỗ trợ PoE-out, nhưng cần tính công suất từng thiết bị, điện áp và tổng ngân sách nguồn. Với nhiều camera hoặc AP, switch PoE chuyên dụng thường phù hợp hơn.