Hướng dẫn cấu hình email cảnh báo trên router Mikrotik

Là một kỹ sư mạng xử lý hàng trăm sự cố hệ thống mỗi tháng tại VietITPro.vn, tôi nhận thấy phần lớn quản trị viên chỉ chú ý đến việc cấu hình cân bằng tải, định tuyến hay tường lửa mà quên mất một tính năng sống còn: hệ thống giám sát sự cố chủ động. Khi RouterOS gặp lỗi phần cứng, mất kết nối đường truyền WAN, hoặc phát hiện tấn công Brute-force vào dịch vụ SSH/Winbox, việc ngồi đợi người dùng báo lỗi nghĩa là doanh nghiệp đã chịu thiệt hại về thời gian downtime.

Trong bài viết kỹ thuật thực tế này, tôi sẽ hướng dẫn chi tiết cách cấu hình dịch vụ gửi email cảnh báo tự động trên RouterBoard (sử dụng hệ điều hành RouterOS v6 và v7) thông qua công cụ Script kết hợp với Scheduler.

Tại sao các giải pháp giám sát khác thường thất bại và lý do chọn Mikrotik Email Alert?

Nhiều hệ thống sử dụng các phần mềm giám sát bên ngoài như Zabbix, PRTG hay Cacti. Tuy nhiên, các giải pháp này có điểm yếu chí tử: khi chính chiếc router biên (edge router) bị treo, mất nguồn hoặc rớt mạng toàn tập, các hệ thống đặt nội bộ hoặc trên cloud đôi khi không phản ánh chính xác trạng thái thực tế, hoặc đòi hỏi cấu hình phức tạp qua SNMP/Syslog.

Mikrotik giải quyết bài toán này cực kỳ tao nhã thông qua cơ chế /tool e-mail. Router có thể tự động gửi một thông báo trực tiếp qua SMTP ngay tại thời điểm xảy ra sự kiện mà không cần phụ thuộc vào một máy chủ giám sát trung gian.

Những tình huống thực tế bắt buộc phải bật email cảnh báo

• Đường truyền chính (WAN1) rớt và router tự động chuyển sang đường dự phòng (WAN2).
• Nhiệt độ chip CPU vượt ngưỡng an toàn (đặc biệt quan trọng với các dòng CCR chạy liên tục trong tủ rack thiếu tản nhiệt).
• Có IP lạ dò tìm mật khẩu truy cập (Brute-force attack trên cổng 8291 Winbox hoặc 22 SSH).
• Ổ cứng lưu lượng (nếu gắn thẻ nhớ hoặc USB trên các dòng RB mAP, hEX) sắp đầy hoặc có log ghi lỗi phân vùng.

Chuẩn bị trước khi cấu hình trên RouterOS

Trước khi gõ bất kỳ dòng lệnh nào vào Terminal của Mikrotik, bạn cần chuẩn bị sẵn sàng các thông số từ nhà cung cấp dịch vụ Email (khuyên dùng Gmail, Office 365 hoặc SMTP của doanh nghiệp).

Bảng thông số kết nối SMTP phổ biến

kinh nghiệm thực tế từ VietITPro: Tuyệt đối không dùng mật khẩu chính của tài khoản Gmail để cấu hình vào Mikrotik. Google có cơ chế bảo mật tự động chặn các ứng dụng bên thứ ba đăng nhập bằng mật khẩu thường. Hãy dùng App Password 16 ký tự được cấp riêng.

Các bước cấu hình chi tiết qua Terminal (RouterOS v6 và v7)

Chúng ta sẽ thực hiện cấu hình trực tiếp bằng dòng lệnh CLI. Phương pháp này giúp loại bỏ sai sót khi thao tác trên giao diện Winbox và dễ dàng sao chép script sang nhiều thiết bị khác nhau.

Bước 1: Khai báo thông tin máy chủ SMTP (Server Settings)

Truy cập vào thiết bị qua SSH hoặc Terminal trong Winbox, chạy lệnh sau để thiết lập máy chủ gửi mail. Hãy thay thế các thông tin trong ngoặc nhọn bằng thông tin thực tế của bạn:

/tool e-mail

Set address=smtp.gmail.com port=465 [email protected] password="your_app_password" start-tls=no

Lưu ý về bảo mật: Nếu bạn sử dụng cổng 587 với mã hóa STARTTLS, hãy đổi tham số thành port=587 start-tls=yes. Đối với cổng 465 chạy SSL thuần túy, giữ nguyên start-tls=no.

Bước 2: Kiểm tra kết nối SMTP từ Mikrotik

Trước khi viết script, bắt buộc phải kiểm tra xem router có gửi được email đi hay không bằng lệnh test thủ công:

/tool e-mail send [email protected] subject="Test RouterOS" body="Kiem tra he thống VietITPro"

Nếu không có thông báo lỗi trả về, hãy mở hộp thư đến của bạn để kiểm tra. Nếu gặp lỗi như connection timed out, hãy kiểm tra lại cấu hình Firewall (Nat/Filter) hoặc DNS trên router xem có đang chặn kết nối ra internet cổng 465/587 hay không.

Bước 3: Viết Script tự động gửi cảnh báo khi rớt mạng (WAN Failover Script)

Đây là kịch bản thực tế nhất. Khi cấu hình Netwatch hoặc Recursive Routing để kiểm tra đường truyền, chúng ta sẽ gọi một script gửi email cảnh báo.

Tạo một script mới có tên là send_mail_alert:

/system script

Add name="send_mail_alert" policy=ftp,reboot,read,write,policy,test,password,sniff,sensitive source={

:local currentTime [/system clock get time];

:local currentDate [/system clock get date];

/tool e-mail send to="[email protected]" subject="CANH BAO: Su co mang tai VietITPro" body="He thong ghi nhan su co mat ket noi duong truyen vao luc \$currentTime, ngay \$currentDate. De nghị kiem tra ngay!"

}

Bước 4: Tích hợp Script vào công cụ giám sát Netwatch

Để kích hoạt script này tự động khi đường truyền WAN mất kết nối với một IP mục tiêu (ví dụ: 8.8.8.8), chúng ta cấu hình Netwatch:

/tool netwatch

Add host=8.8.8.8 interval=10s timeout=3s up-script="" down-script="/system script run send_mail_alert"

Khi IP 8.8.8.8 không phản hồi trong vòng 3 giây (kiểm tra mỗi 10 giây), trạng thái chuyển sang down và Mikrotik sẽ ngay lập tức chạy script gửi email.

Xử lý các sự cố thường gặp (Troubleshooting) khi cấu hình Email trên Mikrotik

Trong quá trình triển khai cho khách hàng tại TP.HCM, đội ngũ kỹ thuật của VietITPro.vn đã tổng hợp lại các lỗi phổ biến nhất và cách khắc phục:

1. Lỗi: "mail server error: 535-5.7.8 Username and Password not accepted"

• Nguyên nhân: Google từ chối xác thực vì bạn dùng mật khẩu đăng nhập thông thường thay vì App Password, hoặc tài khoản chưa bật Xác thực 2 bước.
• Khắc phục: Đăng nhập vào tài khoản Google, bật 2-Step Verification, sau đó vào mục App Passwords tạo một mật khẩu riêng cho thiết bị mạng và cập nhật lại lệnh /tool e-mail set password="...".

2. Lỗi: "connection timed out" hoặc "could not connect to SMTP server"

• Nguyên nhân: ISP (Nhà mạng Viettel, VNPT, FPT) chặn cổng 25 hoặc cổng 465/587 do chính sách chống spam, hoặc DNS trên router chưa phân giải được tên miền smtp.gmail.com.
• Khắc phục:
• Kiểm tra phân giải tên miền bằng lệnh: /ping smtp.gmail.com count=3.
• Nếu không ping được, kiểm tra lại cấu hình /ip dns.
• Nếu ping được nhưng không gửi được mail, hãy thử đổi cổng hoặc dùng máy chủ SMTP nội bộ của công ty.

3. Lỗi gửi thành công nhưng email nằm trong mục Spam

• Nguyên nhân: Địa chỉ IP của router Mikrotik hoặc tên miền gửi không có bản ghi SPF/DKIM hợp lệ, khiến các hệ thống lớn như Gmail đánh giá là thư rác.
• Khắc phục: Sử dụng dịch vụ SMTP chuyên nghiệp có uy tín (như Amazon SES, SendGrid, hoặc SMTP của Office 365) thay vì dùng tài khoản Gmail cá nhân cho các hệ thống doanh nghiệp lớn.

Giải đáp thắc mắc thực tế (FAQ)

Hỏi: RouterOS có hỗ trợ gửi email chứa tệp đính kèm (như file backup hoặc file log) không?

Trả lời: Có. Bắt đầu từ các phiên bản RouterOS v6.43 trở lên, lệnh /tool e-mail send hỗ trợ tham số file. Bạn có thể đính kèm file cấu hình .backup hoặc .rsc vào email hàng ngày để lưu trữ dự phòng:

/tool e-mail send to="[email protected]" subject="Backup Router" body="File backup dinh ky" file="flash/backup_config.backup"

Hỏi: Tôi có thể cấu hình gửi cảnh báo qua Telegram thay vì Email được không?

Trả lời: Hoàn toàn được và đây cũng là xu hướng hiện nay vì tính tức thời cao hơn email. Bạn có thể sử dụng tính năng /tool fetch để gọi API của Telegram Bot. Tuy nhiên, email vẫn giữ vai trò lưu trữ lịch sử sự cố (audit log) lâu dài mà Telegram khó thay thế.

Tổng kết

Việc cấu hình email cảnh báo trên router Mikrotik không chỉ giúp nâng cao tính chuyên nghiệp trong quản trị hệ thống mạng mà còn là "tuyến phòng thủ" đầu tiên giúp kỹ sư nắm bắt sự cố trước khi người dùng kịp phàn nàn. Tại VietITPro.vn, chúng tôi luôn khuyến nghị tích hợp các kịch bản cảnh báo này vào mọi mô hình mạng từ văn phòng nhỏ đến các hệ thống cân bằng tải đa đường truyền phức tạp. Chúc các bạn cấu hình thành công!