Việc triển khai Mikrotik trong môi trường doanh nghiệp không chỉ dừng lại ở việc kết nối internet, mà là xây dựng một hệ thống mạng ổn định, bảo mật và khả năng chịu tải cao. Với kinh nghiệm nhiều năm xử lý các sự cố mạng tại VietITPro, tôi nhận thấy nhiều quản trị viên mạng thường mắc sai lầm ở khâu cấu hình cơ bản, dẫn đến tình trạng treo thiết bị hoặc bị tấn công do sơ hở trong Firewall.
Dưới đây là quy trình chuẩn hóa để cấu hình một Router Mikrotik từ con số 0, tập trung vào tính thực tế.
1. Chuẩn bị môi trường kết nối
Trước khi bắt đầu, hãy đảm bảo bạn đã cài đặt phần mềm Winbox (công cụ quản trị đồ họa chuyên dụng của Mikrotik).
- Kết nối dây LAN từ máy tính vào cổng Ether2 của Router (cổng Ether1 thường mặc định được cấu hình là cổng WAN - nhận internet).
- Mở Winbox, nhấn vào tab Neighbors, chọn địa chỉ MAC của Router và đăng nhập với User:
admin, Password:(để trống). - Lưu ý quan trọng: Ngay sau khi truy cập lần đầu, hãy truy cập menu System -> Users để đặt mật khẩu cho tài khoản quản trị. Tuyệt đối không để mặc định.
2. Thiết lập WAN (Internet) và LAN (Nội bộ)
Trong môi trường doanh nghiệp, chúng ta cần phân tách rõ ràng các cổng vật lý.
Cấu hình WAN (Nhận IP từ ISP)
Nếu nhà mạng cấp IP động (DHCP):
1. Vào IP -> DHCP Client.
2. Nhấn dấu +, chọn interface ether1.
3. Đảm bảo tick chọn Add Default Route là yes và Use Peer DNS là yes.
Nếu nhà mạng cấp IP tĩnh (Static IP):
1. Vào IP -> Addresses.
2. Nhấn +, nhập địa chỉ IP do nhà mạng cung cấp (ví dụ: 192.168.1.2/24) và chọn interface ether1.
Cấu hình LAN (Mạng nội bộ)
Để các thiết bị trong văn phòng nhận được mạng, ta cần gán IP cho cổng LAN (ví dụ ether2):
1. Vào IP -> Addresses, nhấn +.
2. Nhập 192.168.88.1/24, chọn interface là ether2.
3. Cấu hình NAT (Masquerade) để thông mạng
Dù đã có IP WAN, các máy trạm vẫn chưa thể ra internet nếu chưa cấu hình NAT (Network Address Translation).
- Truy cập IP -> Firewall -> NAT.
- Nhấn
+để thêm mới. - Tại tab General: Chain là
srcnat, Out. Interface làether1. - Tại tab Action: Chọn
masquerade. - Nhấn OK. Đây là lệnh "thần thánh" cho phép toàn bộ dải mạng LAN đi ra ngoài thông qua địa chỉ IP của cổng WAN.
4. Thiết lập DHCP Server cho mạng nội bộ
Thay vì đặt IP tĩnh cho từng máy tính trong công ty, hãy để Mikrotik tự động cấp phát.
1. Vào IP -> DHCP Server.
2. Nhấn DHCP Setup.
3. Chọn interface ether2 (cổng LAN).
4. Nhấn Next liên tục cho đến khi hoàn tất. Mikrotik sẽ tự động tạo dải IP, Gateway và DNS dựa trên địa chỉ IP bạn đã đặt ở bước 2.
5. Cấu hình Firewall - "Lá chắn thép" cho doanh nghiệp
Đây là phần quan trọng nhất để bảo vệ hệ thống. Một Router Mikrotik nếu không cấu hình Firewall sẽ trở thành mục tiêu tấn công của các loại botnet.
Các quy tắc Firewall cơ bản cần có:
Truy cập IP -> Firewall -> Filter Rules:
Lưu ý: Luôn đặt các quy tắc "Drop" ở phía dưới các quy tắc "Accept" để tránh bị chặn nhầm kết nối từ nội bộ.
6. Tối ưu hóa hiệu năng và bảo mật nâng cao
Trong thực tế tại VietITPro, chúng tôi thường khuyên các doanh nghiệp thực hiện thêm các bước sau để tăng độ bền cho thiết bị:
Tắt các dịch vụ không cần thiết
Vào IP -> Services. Nếu không dùng các giao thức như telnet, ftp, www (webfig), ssh (nếu không cần quản lý từ xa), hãy nhấn dấu X để vô hiệu hóa chúng. Điều này giúp giảm thiểu đáng kể khả năng bị brute-force.
Cấu hình DNS Server
Nên sử dụng DNS của Google (8.8.8.8) hoặc Cloudflare (1.1.1.1) để tăng tốc độ phân giải tên miền:
1. Vào IP -> DNS.
2. Nhập 8.8.8.8 và 1.1.1.1 vào ô Servers.
3. Tick chọn Allow Remote Requests.
7. Phân tích thực tế: Khi nào Mikrotik gặp sự cố?
Dù Mikrotik là dòng Router cực kỳ bền bỉ (sử dụng các dòng chip SoC của Qualcomm Atheros hoặc Tilera), nhưng chúng vẫn có thể gặp sự cố nếu:
1. Nhiệt độ môi trường: Các dòng Routerboard (như RB4011, RB5009) có hiệu năng cao thường tỏa nhiệt lớn. Nếu đặt trong tủ rack không thông gió, chip xử lý sẽ tự hạ xung nhịp (thermal throttling) dẫn đến mạng chập chờn.
2. Nguồn điện: Sử dụng nguồn adapter kém chất lượng (không đủ dòng 12V/24V) sẽ gây ra tình trạng reset đột ngột hoặc mất kết nối cổng Ethernet. Chúng tôi tại VietITPro thường xuyên thay thế các tụ lọc nguồn bị phù trên bo mạch do sử dụng adapter "lô".
3. Cấu hình quá tải: Việc bật quá nhiều quy tắc Layer 7 Firewall hoặc Queue phức tạp trên các dòng Router đời thấp (như hAP lite) sẽ làm CPU chạm ngưỡng 100%, gây treo thiết bị.
8. FAQ - Giải đáp câu hỏi thường gặp
Hỏi: Tại sao tôi đã cấu hình xong nhưng vẫn không vào được internet?
Trả lời: Kiểm tra lại IP -> Routes. Đảm bảo đã có một dòng route mặc định (Destination: 0.0.0.0/0, Gateway: IP của nhà mạng). Nếu không thấy, hãy kiểm tra lại phần DHCP Client ở bước 2.
Hỏi: Tôi muốn giới hạn băng thông cho từng nhân viên thì làm thế nào?
Trả lời: Sử dụng tính năng Queues -> Simple Queues. Tại đây bạn có thể đặt giới hạn Upload/Download cho từng dải IP cụ thể.
Hỏi: Có nên cập nhật RouterOS thường xuyên không?
Trả lời: Rất nên. Các bản cập nhật của Mikrotik thường xuyên vá các lỗ hổng bảo mật nghiêm trọng (như vụ tấn công Winbox trước đây). Hãy vào System -> Packages -> Check for Updates.
Hỏi: Router của tôi bị treo liên tục, làm sao để kiểm tra lỗi phần cứng?
Trả lời: Kiểm tra mục System -> Resources -> Bad Blocks (nếu có) hoặc xem log tại System -> Log. Nếu thiết bị tự khởi động lại mà không rõ lý do, 80% là do nguồn cấp hoặc tụ hóa trên bo mạch bị lão hóa.
Bài viết được đúc kết từ kinh nghiệm thực tế tại Trung tâm sửa chữa VietITPro. Mọi thắc mắc kỹ thuật chuyên sâu về sửa chữa phần cứng hoặc cấu hình hệ thống mạng doanh nghiệp, quý khách có thể liên hệ trực tiếp tại cơ sở của chúng tôi.
