Cấu hình Internet Đa Phiên Doanh Nghiệp Cùng Mikrotik

Tác giả: Viet Luu (Kỹ Sư VietITPro)

Chuyên mục: Thiết Bị Mạng & Network – Phòng Lab Công Nghệ Cao VietITPro

1. Bản Chất Kỹ Thuật Của Internet Đa Phiên (Multi-WAN & Multi-Session) Trong Mạng Doanh Nghiệp Hiện Đại

Trong kiến trúc hệ thống mạng doanh nghiệp hiện đại, việc phụ thuộc vào một đường truyền Internet độc nhất từ một nhà cung cấp dịch vụ (ISP) duy nhất là một rủi ro vận hành nghiêm trọng (Single Point of Failure - SPOF). Khi đường truyền đó gặp sự cố, toàn bộ hoạt động giao dịch, hệ thống ERP nội bộ, và dịch vụ đám mây (Cloud Services) sẽ tê liệt. Giải pháp tối ưu hóa tính sẵn sàng cao (High Availability) và băng thông tổng hợp (Bandwidth Aggregation) chính là triển khai Internet Đa Phiên (Multi-WAN / Multi-Session) trên nền tảng phần cứng và hệ điều hành RouterOS của MikroTik.

Khác với các bộ định tuyến gia dụng thông thường chỉ hỗ trợ chuyển đổi dự phòng thô sơ (Failover), các thiết bị MikroTik cấp doanh nghiệp (Enterprise-grade Routers) cho phép định tuyến dòng dữ liệu dựa trên nhiều chính sách phức tạp (Policy-Based Routing - PBR), cân bằng tải động (Dynamic Load Balancing) thông qua các thuật toán như Per-Connection Classifier (PCC), Equal-Cost Multi-Path (ECMP), hoặc Recursive Routing.

Từ góc độ phần cứng và vi mạch hệ thống tại VietITPro Lab, việc xử lý đồng thời nhiều phiên Internet đòi hỏi năng lực tính toán packet forwarding cực kỳ mạnh mẽ từ các vi mạch chuyển mạch chuyên dụng (Switch IC) kết hợp với bộ vi xử lý trung tâm (SoC) đa nhân cấu trúc ARM hoặc MIPS64. Khi hàng triệu gói tin đi qua các cổng WAN khác nhau, bảng định tuyến (Routing Table) và bộ nhớ đệm NAT (Connection Tracking Table) phải chịu áp lực xử lý trạng thái liên tục. Bài viết chuyên luận này sẽ mổ xẻ toàn diện từ lý thuyết, cấu trúc phần cứng, cấu hình RouterOS chuyên sâu, chẩn đoán bằng thiết bị đo kiểm cho đến các pan bệnh thực tế khi triển khai Internet Đa Phiên Doanh Nghiệp cùng MikroTik.

2. Phân Tích Sơ Đồ Khối Phần Cứng & Nguyên Lý Hoạt Động Router MikroTik

2.1. Sơ đồ khối phần cứng (Hardware Block Diagram)

Một thiết bị Router MikroTik dòng CCR (Cloud Core Router) hoặc các dòng RB (RouterBoard) cao cấp dùng cho doanh nghiệp đa phiên bao gồm các thành phần cốt lõi sau:

[ Giao tiếp Quang/Đồng (SFP+/Ethernet) ]

│

▼

[ IC Giao tiếp Vật lý PHY / SFP Transceiver ]

│

▼

[ Switch Chip Chuyên Dụng (ví dụ: Atheros/Qualcomm/Marvell Switch IC) ]

│ (Bus PCIe / RGMII)

▼

[ Vi Xử Lý Trung Tâm (SoC - Multi-Core ARMv8 / Tilera TILE-Gx) ] ◄──► [ RAM DDR4 ECC ]

│                                                          │

▼                                                          ▼

[ Flash Storage (NAND/SPI) ]                                 [ Bộ nhớ đệm Packet Buffer ]

• Giao tiếp Vật lý & PHY Layer: Tiếp nhận tín hiệu quang học từ các bộ thu phát SFP/SFP+ (Transceivers) hoặc tín hiệu điện từ các cổng RJ45 Gigabit/10G. Các IC PHY chịu trách nhiệm khôi phục xung nhịp (Clock Recovery) và giải mã biên độ tín hiệu (PAM3/PAM4 đối với 10G hoặc MLT-3 đối với 1G).
• Switch Chip (IC Chuyển Mạch): Xử lý việc chuyển mạch gói tin ở Layer 2 tốc độ dòng (Wire-speed) mà không cần can thiệp sâu vào CPU, giúp giảm độ trễ (Latency) cho các gói tin nội mạng hoặc qua lại giữa các VLAN.
• SoC (System on Chip - Vi Xử Lý Trung Tâm): Trái tim của hệ thống. Đối với các hệ thống Multi-WAN phức tạp, CPU phải gánh các tác vụ nặng như:
• NAT (Network Address Translation): Biên dịch địa chỉ mạng cho hàng chục ngàn phiên kết nối đồng thời.
• PBR (Policy-Based Routing): Kiểm tra tiêu đề gói tin (Packet Header) để quyết định đẩy ra WAN 1 hay WAN 2.
• Firewall / Connection Tracking: Theo dõi trạng thái của từng phiên kết nối TCP/UDP.

2.2. Giao Thức Truyền Dẫn & Quản Lý Phiên (Session Management)

Khi cấu hình Đa Phiên, MikroTik không đơn thuần là gom băng thông mà là quản lý các phiên độc lập. Một phiên Internet được định nghĩa bởi bộ 5 tham số (5-tuple):

$$Session = \{ Source IP, Destination IP, Source Port, Destination Port, Protocol \}

RouterOS duy trì một bảng Connection Tracking. Khi một gói tin mới xuất hiện từ mạng LAN:

• Router kiểm tra xem gói tin này thuộc phiên đã tồn tại hay chưa.
• Nếu chưa, thuật toán cân bằng tải (ví dụ: PCC) sẽ băm (hash) bộ 5 tham số này để gán nó vào một cổng WAN cụ thể.
• Các gói tin tiếp theo thuộc cùng phiên đó sẽ được định tuyến ép buộc đi qua cổng WAN đã được chỉ định ban đầu để đảm bảo tính toàn vẹn phiên (Session Persistence), tránh việc rớt gói tin hoặc lỗi xác thực trên các ứng dụng ngân hàng/đám mây.

3. Quy Trình Chẩn Đoán Phần Cứng & Đo Kiểm Mạng Chuyên Sâu

Trước khi tiến hành cấu hình phần mềm, việc đảm bảo lớp vật lý (Physical Layer) và phần cứng Router hoạt động hoàn hảo là điều kiện tiên quyết. Các kỹ sư tại VietITPro Lab tuân thủ quy trình kiểm tra bằng thiết bị chuyên dụng sau:

3.1. Danh Mục Thiết Bị Đo Kiểm & Mục Đích Sử Dụng

3.2. Quy Trình Đo Kiểm Điện Áp & Tín Hiệu Thực Tế

Khi Router MikroTik gặp hiện tượng treo đột ngột hoặc tự khởi động lại (Reboot Loop) khi chạy đa phiên tải cao, các bước chẩn đoán phần cứng được thực hiện như sau:

• Kiểm tra nguồn cấp DC: Sử dụng VOM đo trực tiếp tại chân giắc cắm nguồn của Router. Điện áp chuẩn dao động trong dung sai cho phép ($\pm5$). Nếu sụt áp dưới 21.5V (với nguồn 24V), cần kiểm tra lại bộ nguồn (Power Supply Unit - PSU) hoặc công suất chịu tải của adapter.
• Kiểm tra biên độ tín hiệu quang (Optical Power Meter):
• Cắm module SFP+ vào cổng WAN của MikroTik.
• Đo công suất quang thu (Rx Optical Power). Giá trị chuẩn đối với mạng GPON/EPON thường nằm trong khoảng -8dBm đến -24dBm. Nếu thấp hơn -27dBm, phiên Internet sẽ liên tục rớt gói (Link Flapping).
• Phân tích lưu lượng qua Oscilloscope: Kiểm tra đường tín hiệu xung nhịp trên bo mạch tại các điểm test point (TP) nếu nghi ngờ lỗi vi mạch Switch Chip do tĩnh điện (ESD).

4. Hướng Dẫn Cấu Hình Chi Tiết: Internet Đa Phiên Doanh Nghiệp Trên RouterOS

Dưới đây là kịch bản cấu hình thực tế cho một doanh nghiệp sử dụng 3 đường truyền WAN (WAN 1: Viettel FTTH, WAN 2: VNPT FTTH, WAN 3: FPT FTTH) và phân phối xuống mạng LAN nội bộ bằng phương pháp cân bằng tải PCC (Per-Connection Classifier) kết hợp Recursive Routing Failover.

4.1. Sơ đồ phân bổ cổng trên MikroTik (Ví dụ: CCR1036 / RB4011)

• ether1: WAN 1 (IP: 192.168.10.2/24, Gateway: 192.168.10.1)
• ether2: WAN 2 (IP: 172.16.20.2/24, Gateway: 172.16.20.1)
• ether3: WAN 3 (IP: 10.10.30.2/24, Gateway: 10.10.30.1)
• ether4: LAN (IP: 192.168.88.1/24)

4.2. Kịch Bản Câu Lệnh CLI (Command Line Interface)

Bước 1: Đặt tên giao tiếp và cấu hình IP cơ bản

/interface ethernet

set [ find default-name=ether1 ] name=WAN1

set [ find default-name=ether2 ] name=WAN2

set [ find default-name=ether3 ] name=WAN3

set [ find default-name=ether4 ] name=LAN

/ip address

add address=192.168.10.2/24 interface=WAN1 comment="WAN 1 - Viettel"

add address=172.16.20.2/24 interface=WAN2 comment="WAN 2 - VNPT"

add address=10.10.30.2/24 interface=WAN3 comment="WAN 3 - FPT"

add address=192.168.88.1/24 interface=LAN comment="Local LAN Network"

Bước 2: Cấu hình Recursive Routing & Health Check (Failover Tự Động)

Để đảm bảo khi Gateway của ISP mất kết nối (dù cổng switch vật lý vẫn Up), hệ thống tự động chuyển hướng, ta sử dụng định tuyến đệ quy thông qua IP đích kiểm tra (ví dụ: Google DNS 8.8.8.8 và Cloudflare 1.1.1.1).

/ip route

add distance=1 dst-address=8.8.8.8 gateway=192.168.10.1 scope=10 comment="Check Gateway WAN1"

add distance=1 dst-address=1.1.1.1 gateway=172.16.20.1 scope=10 comment="Check Gateway WAN2"

add distance=1 dst-address=8.8.4.4 gateway=10.10.30.1 scope=10 comment="Check Gateway WAN3"

add distance=1 dst-address=0.0.0.0/0 gateway=8.8.8.8 target-scope=10 check-gateway=ping comment="Default Route WAN1"

add distance=2 dst-address=0.0.0.0/0 gateway=1.1.1.1 target-scope=10 check-gateway=ping comment="Default Route WAN2"

add distance=3 dst-address=0.0.0.0/0 gateway=8.8.4.4 target-scope=10 check-gateway=ping comment="Default Route WAN3"

Bước 3: Thiết lập NAT (Masquerade) cho các cổng WAN

/ip firewall nat

add action=masquerade chain=srcnat out-interface=WAN1 comment="NAT WAN 1"

add action=masquerade chain=srcnat out-interface=WAN2 comment="NAT WAN 2"

add action=masquerade chain=srcnat out-interface=WAN3 comment="NAT WAN 3"

Bước 4: Cấu hình Mangle và PCC (Per-Connection Classifier) để cân bằng tải 3 WAN

Thuật toán PCC sẽ chia đều lưu lượng dựa trên thuật toán băm bộ 5 tham số. Với 3 WAN, ta chia không gian thành 3 phần (denominator=3, remainder=0, 1, 2).

/ip firewall mangle

add action=mark-connection chain=input in-interface=WAN1 new-connection-mark=conn_wan1 passthrough=yes

add action=mark-connection chain=input in-interface=WAN2 new-connection-mark=conn_wan2 passthrough=yes

add action=mark-connection chain=input in-interface=WAN3 new-connection-mark=conn_wan3 passthrough=yes

add action=mark-routing chain=output connection-mark=conn_wan1 new-routing-mark=to_wan1 passthrough=no

add action=mark-routing chain=output connection-mark=conn_wan2 new-routing-mark=to_wan2 passthrough=no

add action=mark-routing chain=output connection-mark=conn_wan3 new-routing-mark=to_wan3 passthrough=no

add action=accept chain=prerouting dst-address=192.168.88.0/24 in-interface=LAN

add action=accept chain=prerouting dst-address=192.168.10.0/24 in-interface=LAN

add action=accept chain=prerouting dst-address=172.16.20.0/24 in-interface=LAN

add action=accept chain=prerouting dst-address=10.10.30.0/24 in-interface=LAN

add action=mark-connection chain=prerouting in-interface=LAN new-connection-mark=conn_wan1 passthrough=yes \

per-connection-classifier=both-addresses-and-ports:3/0

add action=mark-connection chain=prerouting in-interface=LAN new-connection-mark=conn_wan2 passthrough=yes \

per-connection-classifier=both-addresses-and-ports:3/1

add action=mark-connection chain=prerouting in-interface=LAN new-connection-mark=conn_wan3 passthrough=yes \

per-connection-classifier=both-addresses-and-ports:3/2

add action=mark-routing chain=prerouting connection-mark=conn_wan1 in-interface=LAN new-routing-mark=to_wan1 passthrough=no

add action=mark-routing chain=prerouting connection-mark=conn_wan2 in-interface=LAN new-routing-mark=to_wan2 passthrough=no

add action=mark-routing chain=prerouting connection-mark=conn_wan3 in-interface=LAN new-routing-mark=to_wan3 passthrough=no

Bước 5: Tạo Routing Tables phụ thuộc Routing Mark

/ip route

add dst-address=0.0.0.0/0 gateway=192.168.10.1 routing-mark=to_wan1 comment="Route Table for WAN 1"

add dst-address=0.0.0.0/0 gateway=172.16.20.1 routing-mark=to_wan2 comment="Route Table for WAN 2"

add dst-address=0.0.0.0/0 gateway=10.10.30.1 routing-mark=to_wan3 comment="Route Table for WAN 3"

Bước 6: Định tuyến ngoại lệ (Bypass Routing) cho các dịch vụ ngân hàng / chữ ký số

Một số hệ thống ngân hàng điện tử, cổng thanh toán hoặc cơ quan thuế từ chối phiên giao dịch nếu địa chỉ IP công cộng (Public IP) thay đổi liên tục giữa các gói tin trong cùng một phiên. Ta cần ép các IP đích này chạy cố định qua WAN 1.

/ip firewall address-list

add address=203.162.0.0/16 list=Bypass_PCC comment="Dich vu ngan hang / Thue dien tu"

/ip firewall mangle

add action=accept chain=prerouting dst-address-list=Bypass_PCC in-interface=LAN place-before=1

5. Phân Tích Pan Bệnh Thực Tế & Sai Lầm Phổ Biến

Trong quá trình vận hành hệ thống Internet Đa Phiên tại các doanh nghiệp lớn, các kỹ sư tại VietITPro Lab đã ghi nhận nhiều trường hợp lỗi phát sinh do cấu hình sai hoặc hạn chế phần cứng. Dưới đây là phân tích chi tiết các pan bệnh và hướng xử lý triệt để:

5.1. Pan Bệnh 1: Lỗi Rớt Phiên Giao Dịch Ngân Hàng, Lỗi Đăng Nhập SSO (Single Sign-On)

• Triệu chứng: Người dùng trong mạng LAN liên tục bị văng ra khỏi hệ thống phần mềm kế toán MISA, hệ thống ERP đám mây, hoặc không thể chuyển khoản ngân hàng trực tuyến. Các trang web thông thường (như báo chí, YouTube) vẫn chạy bình thường.
• Nguyên nhân gốc rễ (Root Cause): Cấu hình PCC áp dụng sai tham số băm (per-connection-classifier). Nếu chỉ băm dựa trên địa chỉ nguồn (src-address), tất cả các request từ một máy tính LAN đi ra ngoài sẽ chỉ đi qua một WAN duy nhất, gây mất cân bằng tải. Ngược lại, nếu băm quá nhỏ hoặc không loại trừ các IP đặc biệt bằng Address-List, các gói tin tiếp theo của một phiên SSL/TLS có thể đổi WAN giữa chừng, khiến Server đích từ chối kết nối do lệch IP bảo mật.
• Giải pháp khắc phục:
• Sử dụng tham số both-addresses-and-ports thay vì chỉ src-address.
• Thiết lập danh sách Bypass_PCC cho các dải IP của Ngân hàng và cơ quan nhà nước để ép đi cố định một đường WAN duy nhất.

5.2. Pan Bệnh 2: Treo Router / Tràn Connection Tracking Khi Chạy Tải Cao (High Load)

• Triệu chứng: Vào giờ cao điểm (sáng thứ Hai hoặc giờ giao dịch), CPU của Router MikroTik tăng vọt lên 100%, thiết bị phản hồi rất chậm hoặc treo hoàn toàn, phải rút nguồn khởi động lại cứng.
• Nguyên nhân gốc rễ (Root Cause): Số lượng phiên kết nối đồng thời vượt quá giới hạn phần cứng của dòng Router đang sử dụng. Ví dụ, một doanh nghiệp 500 nhân viên nhưng chạy các phần mềm P2P, livestream, hoặc download hàng loạt tạo ra hàng trăm ngàn connection cùng lúc. Bộ nhớ RAM bị cạn kiệt cho bảng Connection Tracking.
• Giải pháp khắc phục:
• Kiểm tra giới hạn bộ nhớ: Lệnh /ip firewall connection tracking print.
• Tăng kích thước bảng kết nối (nếu RAM cho phép): /ip firewall connection tracking set hash-size=65536 max-entries=524288.
• Giảm thời gian timeouts của các trạng thái TCP (TCP Timeouts) trong Connection Tracking để thu hồi nhanh các phiên không hoạt động.
• Nâng cấp phần cứng lên dòng Cloud Core Router (CCR) có dung lượng RAM lớn hơn và số lượng nhân CPU chuyên dụng.

5.3. Pan Bệnh 3: Lỗi Định Tuyến Đệ Quy (Recursive Routing Loop) Khi ISP Mất Mạng Cục Bộ

• Triệu chứng: Cổng quang cắm vào WAN 1 bị đứt ngầm dây tín hiệu nhưng đèn báo trên Switch quang vẫn sáng (Loss of Signal ở mức độ quang học chưa cắt hoàn toàn session PON), Router MikroTik vẫn đinh ninh rằng WAN 1 còn sống và tiếp tục đẩy lưu lượng vào đó, dẫn đến mất internet hoàn toàn.
• Nguyên nhân gốc rễ (Root Cause): Sử dụng check-gateway=ping truyền thống trực tiếp tới IP Gateway của ISP. Khi Gateway nội bộ của nhà mạng vẫn phản hồi ARP nhưng đường truyền đi quốc tế đứt, MikroTik không phát hiện được sự cố.
• Giải pháp khắc phục: Bắt buộc áp dụng Recursive Routing (như đã hướng dẫn ở Mục 4.2) trỏ đích kiểm tra đến IP toàn cầu (như 8.8.8.8 hoặc 1.1.1.1) với scope=10 và target-scope=10. Khi tuyến đường đến IP toàn cầu bị mất, tuyến đường đệ quy sẽ tự động vô hiệu hóa và chuyển sang WAN dự phòng.

6. Câu Hỏi Thường Gặp (FAQ) Chuyên Sâu Kỹ Thuật

Q1: Khi sử dụng tính năng PCC Load Balancing trên MikroTik, tốc độ download của một file đơn lẻ có được cộng dồn băng thông của tất cả các WAN hay không?

> Trả lời: Không. Theo bản chất của thuật toán PCC và giao thức TCP/IP, một phiên tải xuống (single download session) được xác định bởi một bộ 5 tham số duy nhất và sẽ được định tuyến đi qua một cổng WAN cụ thể. Do đó, tốc độ tối đa của file đó sẽ bị giới hạn bởi băng thông của đường WAN mà nó đang đi qua. Tính năng Đa Phiên giúp cộng dồn tổng băng thông cho toàn hệ thống (nhiều người dùng, nhiều phiên song song), chứ không nhân bản tốc độ của một luồng đơn lẻ. Để cộng dồn băng thông một luồng đơn, cần sử dụng các giải pháp bonding cấp cao hơn như MLPPP, VPN Bonding (như SpeedFusion) hoặc EoIP kết hợp Bonding trên server trung gian.

Q2: Làm thế nào để kiểm tra chính xác các gói tin đang đi qua cổng WAN nào trong thời gian thực (Real-time)?

> Trả lời: Các kỹ sư VietITPro Lab thường sử dụng công cụ Torch tích hợp sẵn trong RouterOS. Bạn có thể chạy lệnh CLI sau để soi lưu lượng trên giao diện WAN1:

> /tool torch interface=WAN1

> Hoặc sử dụng tính năng Packet Tracer / Firewall Packet Sniffer kết hợp với phần mềm Wireshark để bắt và phân tích chi tiết tiêu đề gói tin tại cổng LAN.

Q3: Tại sao một số ứng dụng gọi video (Zoom, Microsoft Teams, SIP VoIP) thỉnh thoảng bị giật tiếng hoặc mất kết nối khi chạy Multi-WAN MikroTik?

> Trả lời: Các ứng dụng thời gian thực (Real-time Communication) cực kỳ nhạy cảm với độ trễ (Latency Jitter) và việc thay đổi địa chỉ IP nguồn giữa chừng. Nếu không cấu hình định tuyến ngoại lệ (Bypass) cho các dải IP của các dịch vụ này, thuật toán cân bằng tải có thể phân bổ các gói tin UDP của cuộc gọi đi qua các WAN có độ trễ chênh lệch lớn. Giải pháp là đưa các dải IP của Zoom/Teams vào danh sách Bypass_PCC hoặc gán cứng cho đường WAN có chất lượng ổn định nhất (độ trễ thấp nhất).

Q4: Khi cấu hình Recursive Routing, nếu tất cả các WAN đều mất kết nối Internet, MikroTik có bị treo hoặc tạo vòng lặp định tuyến (Routing Loop) không?

> Trả lời: Không bị vòng lặp định tuyến nếu cấu hình đúng scope và target-scope. Khi tất cả các IP kiểm tra (như 8.8.8.8, 1.1.1.1, 8.8.4.4) không thể với tới, toàn bộ các default route đệ quy sẽ chuyển sang trạng thái inactive (màu xanh dương nhạt trong WinBox). Lúc này, lưu lượng sẽ không được chuyển đi đâu cả trừ khi có một tuyến đường mặc định tĩnh dự phòng cuối cùng (Backup Gateway) với khoảng cách (distance) lớn hơn trỏ ra một đường mạng nội bộ hoặc WAN dự phòng cục bộ khác.

7. Thư Mục Tài Liệu Tham Khảo Kỹ Thuật Chuẩn Quốc Tế

• IEEE Standard for Local and metropolitan area networks - IEEE Std 802.3-2018 (Section 3: Management of Ethernet).
• Cisco Systems, Inc. - Enterprise WAN Design and High Availability Architectures, White Paper, 2022.
• MikroTik Documentation - RouterOS Advanced Routing and Load Balancing Guide, Version 7.x Manual.
• Linux Kernel Organization - Netfilter & Connection Tracking (conntrack) Internal Architecture Documentation, Linux Kernel v5.15.
• VietITPro Engineering Lab - Internal Technical Report: Hardware Stress Testing & Multi-WAN Failover Optimization on MikroTik CCR Series, Lab Ref: VITP-NET-2024-08.