Trong thực tế triển khai mạng doanh nghiệp tại TP.HCM, tôi thường xuyên gặp các yêu cầu kết nối giữa trụ sở chính và các chi nhánh sao cho nhân viên có thể truy cập dữ liệu nội bộ như đang ngồi tại văn phòng. Thay vì sử dụng các dịch vụ VPN trung gian tốn phí, MikroTik RouterOS cung cấp giải pháp VPN Site-to-Site cực kỳ ổn định và hiệu năng cao. Bài viết này tôi sẽ hướng dẫn các bạn cấu hình sử dụng giao thức IPsec/L2TP hoặc WireGuard – tùy chọn hiện đại nhất hiện nay.
Tại sao chọn WireGuard cho VPN Site-to-Site trên MikroTik?
Trước khi đi vào lệnh CLI (Command Line Interface), chúng ta cần hiểu tại sao tôi khuyên dùng WireGuard thay vì các giao thức cũ như PPTP hay L2TP/IPsec truyền thống:
- Hiệu năng: WireGuard chạy trong không gian nhân (kernel space), tiêu tốn ít CPU hơn hẳn so với OpenVPN hay IPsec. Trên các dòng Router MikroTik giá rẻ (như hAP lite, hAP ax2), đây là yếu tố sống còn để duy trì băng thông ổn định.
- Độ phức tạp: Cấu hình đơn giản, không cần các bước thiết lập chứng chỉ (Certificate) phức tạp như IPsec.
- Khả năng xuyên tường lửa: WireGuard sử dụng UDP, giúp việc đi xuyên qua các NAT router của nhà mạng dễ dàng hơn.
Chuẩn bị hạ tầng kỹ thuật
Để hệ thống hoạt động, bạn cần đảm bảo các điều kiện tiên quyết sau:
1. IP Public: Cả hai đầu (Site A và Site B) bắt buộc phải có IP Public tĩnh (Static IP). Nếu không có, bạn phải dùng MikroTik IP Cloud để lấy tên miền động (DDNS).
2. RouterOS: Khuyên dùng bản ổn định (Stable) từ v7.x trở lên vì WireGuard được tích hợp sẵn từ phiên bản này.
3. Mạng nội bộ: Lớp mạng LAN của hai đầu không được trùng nhau (Ví dụ: Site A là 192.168.10.0/24, Site B là 192.168.20.0/24). Nếu trùng, bạn buộc phải dùng NAT để chuyển đổi, rất phức tạp.
Quy trình thực hiện cấu hình WireGuard Site-to-Site
Giả định:
- Site A: IP Public 1.1.1.1, LAN 192.168.10.0/24
- Site B: IP Public 2.2.2.2, LAN 192.168.20.0/24
Bước 1: Tạo Interface WireGuard trên cả hai đầu
Tại mỗi đầu, ta tạo một interface WireGuard và gán IP cho nó. Bạn có thể coi đây là đường ống dẫn dữ liệu giữa hai site.
Bước 2: Thiết lập Peer (Kết nối giữa hai đầu)
Đây là bước xác thực để Site A nhận diện Site B và ngược lại. Bạn cần sinh Public Key từ mỗi router.
Sau khi có Key, ta cấu hình peer:
Bước 3: Cấu hình Routing (Định tuyến)
Sau khi tunnel đã "UP", các gói tin từ LAN A muốn sang LAN B cần được chỉ đường.
Bước 4: Mở Firewall cho VPN
Đây là lỗi phổ biến nhất khiến VPN không thông. Bạn phải cho phép traffic UDP trên port 13231 và cho phép traffic giữa các interface.
Bảng so sánh các giao thức VPN trên MikroTik
Các sự cố thực tế và cách khắc phục (Kinh nghiệm tại VietITPro)
Trong quá trình bảo trì cho khách hàng, tôi thường gặp các pan bệnh sau:
1. Tunnel không lên (Handshake thất bại):
- Kiểm tra xem nhà mạng có chặn port UDP không. Hãy thử đổi port khác (ví dụ 51820).
- Kiểm tra IP Public: Nếu router đang sau một lớp NAT của ISP, bạn cần cấu hình NAT port forwarding trên modem chính của nhà mạng.
2. Ping thông nhưng không truy cập được dịch vụ (SMB, RDP):
- Thường do Firewall lọc gói tin. Hãy kiểm tra lại
ip firewall filtervàip firewall nat. - Một số trường hợp do MTU (Maximum Transmission Unit). Thử giảm MTU trên interface WireGuard xuống 1380 hoặc 1400.
3. Mất kết nối định kỳ:
- Kiểm tra thông số
persistent-keepalive. Nếu mạng không ổn định, hãy đặt giá trị này là 25s để duy trì kết nối liên tục.
Lưu ý về phần cứng và bảo trì
Các dòng MikroTik phổ biến như hAP ac2, ac3, hay dòng RB4011/RB5009 đều hỗ trợ WireGuard rất tốt. Tuy nhiên, nếu bạn chạy VPN với băng thông lớn (trên 500Mbps), hãy ưu tiên các dòng có hỗ trợ IPsec Hardware Acceleration hoặc CPU mạnh mẽ như dòng CCR (Cloud Core Router).
Việc bảo trì định kỳ:
- Cập nhật Firmware RouterOS mỗi 6 tháng một lần để vá các lỗ hổng bảo mật.
- Kiểm tra log định kỳ (
/log print) để phát hiện các nỗ lực truy cập trái phép vào tunnel. - Sao lưu cấu hình (
/export file=backup-config) mỗi khi thay đổi cấu hình VPN.
FAQ - Giải đáp thắc mắc thường gặp
Q: Tôi có thể cấu hình VPN Site-to-Site nếu một đầu dùng IP động (Dynamic IP) không?
A: Có, bạn sử dụng tính năng IP Cloud của MikroTik. Thay vì điền IP vào endpoint-address, bạn hãy điền tên miền dạng xxxx.sn.mynetname.net.
Q: WireGuard có an toàn không so với IPsec?
A: WireGuard được thiết kế hiện đại hơn, mã nguồn ít hơn (khoảng 4000 dòng code so với hàng trăm ngàn dòng của IPsec), giúp giảm thiểu bề mặt tấn công. Với nhu cầu doanh nghiệp vừa và nhỏ, nó an toàn tuyệt đối.
Q: Nếu tôi muốn tất cả traffic của chi nhánh đi qua VPN để ra Internet tại trụ sở thì sao?
A: Bạn cần cấu hình allowed-address=0.0.0.0/0 tại phía chi nhánh và thiết lập NAT masquerade tại trụ sở. Lưu ý cách này sẽ tiêu tốn băng thông Internet của trụ sở chính.
Hy vọng hướng dẫn này giúp các bạn kỹ thuật viên có cái nhìn thực tế và làm chủ được việc triển khai VPN trên thiết bị MikroTik. Nếu gặp sự cố phức tạp về phần cứng hoặc cấu hình mạng chuyên sâu, hãy liên hệ VietITPro để được hỗ trợ trực tiếp tại phòng lab của chúng tôi.
