Việc triển khai VLAN trên các dòng thiết bị chạy hệ điều hành SwOS của Mikrotik (như dòng CSS106, CSS326, CSS328) thường gây bối rối cho nhiều kỹ thuật viên mạng do cơ chế xử lý frame hoàn toàn khác biệt so với RouterOS. Bài viết này sẽ đi sâu vào cấu trúc phần cứng (ASIC) và logic xử lý VLAN trên SwOS để bạn có thể tối ưu hiệu năng hệ thống mạng doanh nghiệp mà không gặp phải các lỗi "broadcast storm" hay mất kết nối ngoài ý muốn.
Tại sao SwOS khác biệt so với RouterOS trong xử lý VLAN?
Trước khi cấu hình, bạn cần hiểu rõ bản chất kỹ thuật: RouterOS xử lý gói tin dựa trên CPU (Software-based), trong khi SwOS được thiết kế để điều khiển trực tiếp chip chuyển mạch (Switch Chip/ASIC).
Trên SwOS, mọi thao tác cấu hình VLAN đều được đẩy thẳng xuống thanh ghi của chip chuyển mạch. Điều này mang lại tốc độ chuyển mạch đạt ngưỡng "wire-speed" (tối đa băng thông cổng), nhưng đồng thời đòi hỏi sự chính xác tuyệt đối trong khâu thiết lập. Nếu bạn cấu hình sai một tham số PVID hoặc VLAN ID, gói tin có thể bị drop ngay tại tầng Layer 2 trước khi kịp định tuyến.
Chuẩn bị hạ tầng kỹ thuật
Trước khi truy cập vào giao diện web của SwOS (mặc định là 192.168.88.1), hãy đảm bảo:
1. Thiết bị: Đã cập nhật firmware SwOS lên phiên bản mới nhất (khuyến cáo 2.16 trở lên) để sửa các lỗi liên quan đến IEEE 802.1Q.
2. Cáp kết nối: Sử dụng cáp chuẩn Cat6/6A để đảm bảo không xảy ra hiện tượng CRC errors khi chạy Trunking ở tốc độ 1Gbps hoặc 10Gbps (đối với dòng SFP+).
3. Quy hoạch dải mạng: Xác định rõ VLAN ID (Ví dụ: 10 cho Data, 20 cho VoIP, 30 cho Camera).
Thiết lập VLAN trên giao diện SwOS: Quy trình chuẩn 4 bước
Để cấu hình VLAN trên SwOS, chúng ta không dùng menu "Bridge" như RouterOS. Mọi thứ nằm trong tab VLAN và VLANs.
Bước 1: Khai báo VLAN ID trong bảng VLANs
Đây là bước khai báo "danh sách" các VLAN sẽ tồn tại trên Switch.
- Truy cập menu VLANs.
- Nhập VLAN ID (ví dụ: 10).
- Tại cột Ports, chọn các cổng vật lý sẽ tham gia vào VLAN này.
- Quan trọng: Bạn phải xác định cổng nào là Tagged (trunk) và cổng nào là Untagged (access).
Bước 2: Cấu hình cổng Access (Untagged)
Cổng Access là cổng kết nối trực tiếp với máy tính, máy in hoặc camera. Thiết bị đầu cuối không hiểu VLAN, nên Switch phải "bóc" tag trước khi gửi dữ liệu xuống.
- Tại menu VLAN, mục VLAN Receive: Chọn Only Tagged hoặc Any.
- Tại mục Default VLAN ID (PVID): Điền ID của VLAN mà cổng đó thuộc về (ví dụ: 10).
- Hành động này đảm bảo mọi gói tin từ thiết bị đẩy vào cổng này sẽ được "đóng dấu" ID 10 trước khi được chuyển mạch trong nội bộ Switch.
Bước 3: Cấu hình cổng Trunk (Tagged)
Cổng Trunk là "xa lộ" nối giữa Switch Mikrotik và Router (hoặc giữa các Switch với nhau).
- Tại menu VLAN, chọn cổng được chỉ định làm Trunk.
- Đảm bảo VLAN Mode được set là Enabled.
- VLAN Receive: Chọn Any hoặc Only Tagged.
- Trong bảng VLANs, đảm bảo cổng này được tick vào cột Tagged cho tất cả các VLAN ID mà bạn muốn cho phép đi qua (Trunking).
Bước 4: Kiểm tra sự cô lập (VLAN Isolation)
Sau khi cấu hình, hãy kiểm tra kỹ tính năng VLAN Mode trên mỗi cổng. Nếu bạn set là Strict, Switch sẽ từ chối bất kỳ frame nào có VLAN ID không nằm trong bảng VLANs đã khai báo. Đây là tính năng bảo mật tầng 2 mạnh mẽ nhất của SwOS, giúp ngăn chặn các thiết bị lạ chèn gói tin trái phép vào hệ thống.
Bảng đối chiếu thông số cấu hình VLAN trên SwOS
Các lỗi thực tế và kinh nghiệm từ VietITPro
Trong quá trình bảo trì tại các dự án, tôi thường gặp các sự cố sau mà các bạn kỹ thuật viên mới hay mắc phải:
1. Hiện tượng mất kết nối khi cấu hình từ xa
Khi bạn cấu hình VLAN trên cổng mà chính bạn đang dùng để truy cập vào Switch, bạn sẽ bị mất kết nối ngay lập tức nếu quên thiết lập VLAN cho máy tính của mình.
Kinh nghiệm: Luôn luôn dành riêng một cổng làm "Management Port" (VLAN 1, không tagged) hoặc cấu hình VLAN quản trị riêng biệt trước khi thay đổi cấu hình các cổng khác.
2. Lỗi "Loop" (Vòng lặp) khi Trunking
Nhiều trường hợp Switch SwOS bị treo hoặc nghẽn do cấu hình Trunk nhưng không kích hoạt STP (Spanning Tree Protocol).
Lời khuyên: Luôn vào menu STP và bật tính năng này. Hãy để Switch tự động chọn Root Bridge nếu bạn không quá rành về sơ đồ ưu tiên (Priority), nhưng hãy chắc chắn rằng mỗi cổng đều có trạng thái "Forwarding".
3. Hỏng chip chuyển mạch do nhiệt độ
Dòng CSS326/328 tỏa nhiệt rất lớn ở chip xử lý. Nếu bạn lắp đặt trong tủ rack kín mà thiếu quạt tản nhiệt, SwOS sẽ tự động giảm xung nhịp (throttling), gây ra tình trạng "packet drop" ngẫu nhiên.
Giải pháp: Luôn kiểm tra nhiệt độ trong menu System -> Health. Nếu nhiệt độ vượt quá 65 độ C, hãy bổ sung quạt tản nhiệt cưỡng bức cho tủ rack ngay lập tức.
Giải đáp câu hỏi thực tế (FAQ)
Câu hỏi 1: Tại sao tôi đã cấu hình VLAN nhưng máy tính vẫn nhận được IP từ dải mạng khác?
Trả lời: Kiểm tra kỹ xem cổng đó đã được cấu hình PVID đúng chưa. Nếu cổng vẫn để PVID là 1 (mặc định), nó sẽ luôn thuộc VLAN 1 bất chấp bạn đã khai báo VLAN 10 hay chưa. Hãy gán PVID đúng với VLAN mong muốn.
Câu hỏi 2: SwOS có hỗ trợ Inter-VLAN Routing không?
Trả lời: Không. SwOS là hệ điều hành thuần Switch Layer 2. Nó không thể định tuyến giữa các VLAN. Bạn bắt buộc phải có một Router (như Mikrotik RouterOS, Cisco, hoặc Firewall) kết nối vào cổng Trunk để thực hiện nhiệm vụ định tuyến (Inter-VLAN Routing).
Câu hỏi 3: Có nên dùng VLAN 1 làm VLAN quản trị không?
Trả lời: Về mặt bảo mật, không nên. VLAN 1 là VLAN mặc định của mọi thiết bị mạng, rất dễ bị tấn công kiểu "VLAN Hopping". Hãy tạo một VLAN ID riêng (ví dụ: 99) để quản trị thiết bị và chỉ cho phép truy cập vào VLAN này từ một vài cổng nhất định.
Lời kết từ Kỹ Sư Phần Cứng
Cấu hình VLAN trên SwOS không khó, nhưng nó đòi hỏi sự tỉ mỉ. Một lỗi nhỏ trong việc chọn "Tagged" hay "Untagged" cũng đủ để làm sập toàn bộ hệ thống mạng của một chi nhánh. Tại VietITPro, chúng tôi luôn khuyên các bạn hãy thực hiện cấu hình từng bước (step-by-step) và kiểm tra bằng lệnh ping hoặc công cụ Torch (nếu có RouterOS ở đầu kia) sau mỗi thay đổi nhỏ.
Hy vọng bài hướng dẫn này giúp bạn làm chủ thiết bị Mikrotik của mình. Nếu có bất kỳ sự cố phần cứng hoặc lỗi vi mạch nào trên thiết bị mạng, hãy liên hệ với chúng tôi tại VietITPro.vn để được hỗ trợ kiểm tra chuyên sâu.
