Việc cấu hình một chiếc Router Cisco kết nối ra Internet thoạt nhìn có vẻ phức tạp với những ai mới tiếp cận dòng thiết bị cấp doanh nghiệp (Enterprise) này, nhưng thực chất đây là một quy trình logic nếu bạn nắm vững nguyên lý hoạt động của các lớp mạng OSI và cú pháp dòng lệnh IOS (Internetwork Operating System). Tại phòng lab của VietITPro.vn, chúng tôi tiếp nhận hàng tuần các thiết bị mạng Cisco từ các doanh nghiệp vừa và nhỏ (SMB) gặp sự cố định tuyến, rớt gói tin do cấu hình sai NAT, hoặc lỗi phân giải tên miền (DNS).
Bài viết này sẽ đúc kết toàn bộ kinh nghiệm thực tế, hướng dẫn bạn từng bước cấu hình một Router Cisco (lấy dòng Cisco ISR 4000 hoặc 2900 series làm chuẩn) kết nối ra Internet thông qua đường truyền leased line hoặc FTTH của nhà mạng, đảm bảo tiêu chuẩn vận hành an toàn và ổn định cho hệ thống IT doanh nghiệp.
Chuẩn bị trước khi cấu hình: Sơ đồ kết nối và quy hoạch dải IP
Trước khi gõ bất kỳ dòng lệnh nào vào giao diện CLI của Cisco, bạn cần nắm rõ mô hình vật lý và quy hoạch địa chỉ IP (IP Addressing Scheme). Một kịch bản triển khai thực tế tại doanh nghiệp thường bao gồm:
- Cổng WAN (GigabitEthernet 0/0): Nhận IP từ thiết bị chuyển đổi quang điện (Converter/Modem) của nhà mạng cung cấp (ISP). Giả sử IP WAN là
113.160.10.2/30, Gateway là113.160.10.1. - Cổng LAN (GigabitEthernet 0/1): Kết nối xuống hệ thống mạng nội bộ (Switch cốt lõi hoặc trực tiếp vào mạng nội bộ). Giả sử quy hoạch dải mạng LAN là
192.168.10.0/24, Router đóng vai trò là Gateway với IP192.168.10.1.
Dưới đây là bảng đối chiếu các thông số cấu hình mạng mẫu mà chúng ta sẽ sử dụng xuyên suốt hướng dẫn này:
Truy cập thiết bị và thiết lập chế độ cấu hình toàn cục
Để cấu hình Router Cisco, bạn cần sử dụng cáp Console kết nối từ cổng COM/USB của máy tính vào cổng Console trên Router. Mở phần mềm giả lập đầu cuối (PuTTY, SecureCRT, hoặc Tera Term) với thông số: Baud rate 9600, Data bits 8, Stop bits 1, Parity None, Flow Control None.
Sau khi đăng nhập thành công vào Router, bạn sẽ thấy dấu nhắc lệnh Router>. Hãy thực hiện các lệnh sau để chuyển sang chế độ đặc quyền và truy cập vào chế độ cấu hình toàn cục:
Cấu hình địa chỉ IP cho các cổng giao tiếp (Interface)
Bước tiếp theo là khai báo địa chỉ IP, bật cổng (no shutdown) và thêm mô tả để dễ quản lý về sau.
Cấu hình cổng WAN kết nối nhà mạng
Cấu hình cổng LAN kết nối mạng nội bộ
Thiết lập Định tuyến mặc định (Default Route) ra Internet
Để Router biết cách đẩy tất cả các gói tin đi ra Internet (những gói tin không tìm thấy đích trong bảng định tuyến nội bộ), bạn phải cấu hình Default Route trỏ về địa chỉ Gateway của nhà mạng cấp.
Lệnh trên có ý nghĩa: Bất kỳ IP đích nào (0.0.0.0/0) không nằm trong bảng định tuyến, hãy chuyển tiếp qua IP nhảy tiếp theo (Next-hop IP) là 113.160.10.1.
Cấu hình NAT (Network Address Translation) Overload / PAT
Vì dải IP LAN (192.168.10.0/24) là dải IP nội bộ (Private IP) không được định tuyến trên khônggian Internet công cộng, chúng ta bắt buộc phải cấu hình NAT PAT (Port Address Translation) để chuyển đổi các IP nội bộ thành IP WAN công cộng (113.160.10.2).
Bước 1: Khai báo Access Control List (ACL) xác định dải mạng được phép NAT
Bước 2: Chỉ định cổng Inside và Outside cho NAT
Bước 3: Kích hoạt câu lệnh NAT Overload
Tham số overload đóng vai trò cốt lõi cho phép hàng trăm thiết bị trong mạng LAN cùng chia sẻ một địa chỉ IP WAN duy nhất thông qua việc sử dụng các cổng TCP/UDP khác nhau.
Cấu hình dịch vụ phân giải tên miền (DNS) và DHCP Server (Tùy chọn)
Trong mô hình doanh nghiệp lớn, các dịch vụ này thường do Windows Server hoặc Linux đảm nhiệm. Tuy nhiên, trên các Router Cisco chi nhánh nhỏ (Branch Office), bạn hoàn toàn có thể cấu hình nhanh tính năng cấp phát IP và DNS cho người dùng.
Cấu hình DNS Server
Cấu hình DHCP Server cho mạng nội bộ
Cấu hình bảo mật cơ bản cho Router Cisco chuẩn IT doanh nghiệp
Một thiết bị kết nối Internet trực tiếp luôn là mục tiêu quét cổng (port scan) và tấn công dò mật khẩu từ hacker ngoài Internet. Do đó, việc thắt chặt bảo mật là yêu cầu bắt buộc đối với một kỹ sư IT chuyên nghiệp.
Đặt mật khẩu bảo vệ chế độ đặc quyền và truy cập từ xa (VTY)
Mã hóa toàn bộ mật khẩu dạng clear-text trong file cấu hình
Khóa các dịch vụ không an toàn (HTTP server, Finger, Bootp...)
Kiểm tra, xác thực kết nối và lưu cấu hình thực tế
Sau khi hoàn tất toàn bộ câu lệnh, bước kiểm tra (Troubleshooting & Verification) đóng vai trò quyết định xem hệ thống đã hoạt động trơn tru hay chưa.
Kiểm tra trạng thái cổng giao tiếp
Đảm bảo tất cả các cổng GigabitEthernet 0/0 và GigabitEthernet 0/1 đều hiển thị trạng thái up / up.
Kiểm tra bảng định tuyến
Xác định sự tồn tại của dòng mã chứa ký tự S* 0.0.0.0/0 [1/0] via 113.160.10.1.
Kiểm tra hoạt động NAT
Thực hiện lệnh ping từ một máy tính trong mạng LAN ra ngoài Internet (ví dụ: ping 8.8.8.8), sau đó chạy lại lệnh trên trên Router để kiểm tra xem các gói tin nội bộ đã được dịch sang IP WAN hay chưa.
Kiểm tra kết nối Internet từ Router
Lưu cấu hình vào bộ nhớ Non-Volatile (NVRAM)
Bước cuối cùng và cực kỳ quan trọng để cấu hình không bị mất đi khi Router khởi động lại (reboot):
Hoặc câu lệnh tương đương:
Những điểm lưu ý thực tế và phòng ngừa sự cố từ chuyên gia VietITPro.vn
Trong quá trình triển khai thực tế tại các công trình mạng, đội ngũ kỹ thuật của chúng tôi đúc kết một số kinh nghiệm xương máu giúp bạn tránh các lỗi vặt:
1. Vấn đề MTU (Maximum Transmission Unit) trên đường truyền FTTH: Đôi khi các gói tin bị kẹt hoặc một số trang web không truy cập được dù ping IP vẫn thông. Nguyên nhân thường do giá trị MTU chuẩn Ethernet (1500 bytes) bị vượt quá dung lượng đóng gói của nhà mạng qua cáp quang (PPPoE thường là 1492 bytes). Bạn cần thêm câu lệnh ip tcp adjust-mss 1360 vào trong cấu hình cổng WAN để Router tự động tinh chỉnh kích thước gói tin TCP.
2. Quản lý file cấu hình: Luôn luôn sao lưu file startup-config ra một máy chủ lưu trữ hoặc thiết bị lưu trữ ngoài bằng giao thức TFTP/SCP định kỳ mỗi khi có thay đổi hệ thống.
3. Bảo dưỡng phần cứng định kỳ: Router Cisco hoạt động liên tục 24/7 sinh ra lượng nhiệt lớn. Định kỳ 6 tháng đến 1 năm, doanh nghiệp nên liên hệ các trung tâm dịch vụ kỹ thuật uy tín như VietITPro.vn để vệ sinh hệ thống tản nhiệt, kiểm tra tình trạng nguồn cấp (Power Supply Unit) và quạt gió nhằm hạn chế tối đa tình trạng sập nguồn đột ngột gây hỏng file cấu hình flash.
Các câu hỏi thường gặp (FAQ)
1. Tại sao tôi đã cấu hình NAT và Default Route đầy đủ nhưng máy tính trong mạng LAN vẫn không ra được Internet?
Trả lời: Nguyên nhân phổ biến nhất là do máy tính trong mạng LAN chưa trỏ Gateway về IP của cổng LAN trên Router (192.168.10.1) hoặc bị chặn bởi thiết bị tường lửa (Firewall) / phần mềm diệt virus trên máy tính trạm. Hãy kiểm tra lệnh tracert 8.8.8.8 từ máy tính để xem gói tin bị dừng lại ở bước nào.
2. Làm thế nào để cho phép các máy tính từ ngoài Internet có thể truy cập vào một dịch vụ nội bộ (như máy chủ Camera hoặc Web Server)?
Trả lời: Bạn cần sử dụng tính năng Static NAT hoặc Port Forwarding (NAT Port Mapping) trên Router Cisco. Cú pháp cơ bản như sau:
ip nat inside source static tcp 192.168.10.50 80 113.160.10.2 80 extendable
Đồng thời phải đảm bảo cấu hình Access Control List (ACL) cho phép chiều traffic từ ngoài đi vào cổng WAN.
3. Router Cisco của tôi bị quên mật khẩu Enable, có cách nào khôi phục mà không làm mất cấu hình không?
Trả lời: Có. Bạn cần kết nối cáp Console, khởi động lại thiết bị và ngắt quãng quá trình khởi động bằng tổ hợp phím Ctrl + Break để truy cập vào chế độ ROMMON (rommon 1>). Sau đó cấu hình thanh ghi cấu hình (Configuration Register) thành 0x2142 để bỏ qua file startup-config khi boot lên, tiến hành đặt lại mật khẩu mới, lưu lại và đổi thanh ghi về mặc định 0x2102. Quy trình này đòi hỏi kỹ năng chuyên sâu để tránh làm mất sạch cấu hình cũ của doanh nghiệp.
