Trong các hệ thống mạng doanh nghiệp tại TP.HCM, thời gian downtime của Gateway (Default Gateway) chính là cơn ác mộng lớn nhất của người quản trị mạng. Khi một chiếc Router biên (Edge Router) chạy biên mạng bị treo tiến trình, sét đánh cháy cổng WAN, hoặc lỗi nguồn phần cứng, toàn bộ hệ thống internet của công ty tê liệt.
Tại phòng kỹ thuật của VietITPro.vn, chúng tôi tiếp nhận hàng tuần các thiết bị mạng bị sốc điện hoặc lỗi firmware. Bài học xương máu từ việc xử lý hàng trăm sự cố hạ tầng cho thấy: việc phụ thuộc vào một con Router duy nhất là một canh bạc rủi ro cực lớn.
Để triệt tiêu điểm yếu đơn lẻ (Single Point of Failure - SPOF) này, VRRP (Virtual Router Redundancy Protocol) chuẩn RFC 5798 là giải pháp tiêu chuẩn công nghiệp. Bài viết này sẽ chia sẻ toàn bộ quy trình cấu hình VRRP trên RouterOS của MikroTik từ A-Z dựa trên kinh nghiệm thực tế triển khai tại các hệ thống doanh nghiệp lớn.
Nguyên lý hoạt động của VRRP trong môi trường RouterOS
Trước khi đi vào dòng lệnh cấu hình, chúng ta cần nắm rõ bản chất kỹ thuật của giao thức này để tránh những lỗi logic tai hại khi thiết lập mạng LAN ảo hóa.
VRRP hoạt động theo cơ chế nhóm (VRRP Group). Nhóm này gồm một hoặc nhiều Router cùng chia sẻ một địa chỉ IP ảo (Virtual IP - VIP) và một địa chỉ MAC ảo (dạng 00-00-5E-00-01-{VRID}). Trong đó:
- Master Router: Là thiết bị thực sự đảm nhận việc định tuyến gói tin đi ra ngoài Internet, trả lời các gói tin ARP request gửi tới địa chỉ IP ảo.
- Backup Router: Là thiết bị ở chế độ chờ (Standby), liên tục lắng nghe các gói tin heartbeat (Multicast địa chỉ
224.0.0.18, IP Protocol 112) từ Master. Khi Master ngừng phát gói tin này trong khoảng thời gian timeout, Backup sẽ tự động chuyển trạng thái lên Master và tiếp nhận định tuyến.
Khác với Cisco HSRP (độc quyền) hay GLBP, VRRP là giao thức mở tiêu chuẩn quốc tế, cho phép cấu hình linh hoạt trên nhiều dòng thiết bị khác nhau, bao gồm cả RouterOS của MikroTik.
Chuẩn bị sơ đồ mạng và phân hoạch IP thực tế
Để hướng dẫn trực quan nhất, chúng ta giả lập một mô hình mạng LAN doanh nghiệp điển hình đang vận hành:
- Subnet LAN:
192.168.10.0/24 - Virtual IP (Gateway cho Client):
192.168.10.1 - Router Master (MikroTik RB4010 / CCR1009):
- Tên định danh:
R1-Master - IP thực tế trên cổng LAN (ether2):
192.168.10.2/24 - Priority (Độ ưu tiên):
100(Mặc định) - Router Backup (MikroTik RB4010 / hEX S):
- Tên định danh:
R2-Backup - IP thực tế trên cổng LAN (ether2):
192.168.10.3/24 - Priority (Độ ưu tiên):
90(Thấp hơn để nhường quyền)
Bảng so sánh thông số cấu hình cơ bản giữa hai thiết bị trong mô hình:
Cấu hình chi tiết trên Router Master (R1)
Truy cập vào R1 thông qua WinBox hoặc SSH, mở Terminal và thực hiện lần lượt các bước cấu hình mạng cơ bản đến cấu hình VRRP.
Bước 1: Đặt IP cho Interface LAN kết nối với switch nội bộ
Bước 2: Tạo Interface VRRP và cấu hình tham số
Tại đây, chúng ta gán VRRP chạy trên cổng ether2. VRID được đặt là 10. Chỉ số Priority để 100. Khoảng thời gian gửi gói tin heartbeat interval để mặc định là 1s.
Bước 3: Gán địa chỉ IP ảo (Virtual IP) cho Interface VRRP vừa tạo
IP này sẽ đóng vai trò là Default Gateway trỏ trên các máy trạm (PC, Printer, IP Phone...).
Cấu hình chi tiết trên Router Backup (R2)
Chuyển sang thiết bị R2-Backup, chúng ta thực hiện cấu hình tương tự nhưng điều chỉnh địa chỉ IP thực của cổng LAN và hạ thấp mức độ ưu tiên (Priority) xuống 90 để đảm bảo R1 luôn giữ vai trò Master khi hoạt động bình thường.
Bước 1: Đặt IP thực cho Interface LAN
Bước 2: Tạo Interface VRRP với Priority thấp hơn
Bước 3: Gán cùng địa chỉ IP ảo (Virtual IP)
Lưu ý quan trọng: Cả R1 và R2 bắt buộc phải dùng chung một Virtual IP (192.168.10.1) và chung một vrid=10. Nếu lệch VRID, hai Router sẽ không nhận diện được nhau và tạo ra xung đột IP trên mạng LAN.
Kỹ thuật nâng cao: Tracking Interface WAN để tự động Failover
Một lỗi cực kỳ phổ biến khi cấu hình VRRP cơ bản là: Cáp quang WAN của Router Master (R1) bị đứt, nhưng cổng LAN của R1 vẫn hoạt động bình thường. Lúc này, R1 vẫn đóng vai trò là Master, liên tục nhận gói tin từ LAN nhưng không thể đẩy ra Internet, gây ra tình trạng "treo mạng cục bộ" mà R2 không chịu nhảy lên thay thế vì kết nối LAN của R1 vẫn "Up".
Để giải quyết triệt để vấn đề này, kỹ sư mạng phải cấu hình Interface Tracking trên MikroTik. Khi cổng WAN chính của R1 mất kết nối, script hoặc cơ chế tracking sẽ tự động giảm Priority của R1 xuống thấp hơn R2 (ví dụ: giảm đi 20 đơn vị, từ 100 xuống 80). Ngay lập tức, R2 sẽ nhận thấy đối thủ yếu đi và chiếm quyền Master.
Cấu hình Script giám sát trạng thái WAN trên R1 (MikroTik Scripting & Netwatch)
Sử dụng tính năng Netwatch hoặc Netscript để kiểm tra liên tục trạng thái đường truyền WAN (giả sử cổng WAN là ether1, ping test tới 8.8.8.8 hoặc gateway nhà mạng).
Giải thích cơ chế hoạt động:
- Khi mạng WAN ổn định, ping tới
8.8.8.8thành công (up), Netwatch chạy lệnh đẩy Priority củavrrp-lanlên100. R1 giữ ngôi Master. - Khi cáp WAN đứt, ping timeout (
down), Netwatch lập tức hạ Priority củavrrp-lanxuống70. R2 (với priority đang là90) sẽ ngay lập tức chiếm quyền Master trong tích tắc.
Kiểm tra, xác thực và Debug lỗi thực tế
Sau khi hoàn tất cấu hình trên cả hai thiết bị, việc kiểm tra trạng thái hoạt động là bước bắt buộc để đảm bảo hệ thống không có độ trễ hay xung đột cấu hình lớp 2.
Kiểm tra trạng thái trên R1 (Master)
Chạy lệnh sau trong Terminal của R1:
Kết quả trả về trên cột Running và Flags sẽ hiển thị chữ M (Master).
Kiểm tra trạng thái trên R2 (Backup)
Chạy lệnh tương tự trên R2, kết quả phải hiển thị chữ B (Backup):
Kiểm tra bằng lệnh Ping từ máy tính client
Sử dụng một máy tính trong mạng LAN (192.168.10.x), mở cửa sổ dòng lệnh CMD và thực hiện ping liên tục kèm lệnh trace route tới Gateway:
Trong lúc máy đang ping, hãy rút nguồn hoặc disable cổng LAN của R1. Bạn sẽ thấy quá trình ping chỉ rớt từ 1 đến 2 gói tin (packet loss: 1-2 packets), sau đó thông lại bình thường. Điều đó chứng tỏ cơ chế chuyển đổi dự phòng (Failover) đã hoạt động hoàn hảo.
Các lỗi thường gặp và kinh nghiệm thực tế từ VietITPro.vn
Dựa trên kinh nghiệm xử lý hàng loạt sự cố mạng cho các doanh nghiệp vừa và nhỏ tại TP.HCM, chúng tôi đúc rút ra các điểm lưu ý kỹ thuật sống còn sau:
1. Vấn đề đồng bộ cấu hình Firewall & NAT:
VRRP chỉ giải quyết vấn đề định tuyến Gateway (Lớp 3). Nó không đồng bộ bảng NAT, danh sách Firewall Rules, hay quy luật Mangle giữa hai Router. Nếu bạn cấu hình Port Forwarding trên R1 mà R1 sập, khi chuyển sang R2, các kết nối đến cổng dịch vụ đó sẽ bị gián đoạn trừ khi bạn cấu hình đồng bộ cấu hình (Configuration Export/Import định kỳ hoặc dùng công cụ quản lý tập trung như Dude / Ansible).
2. Xung đột địa chỉ MAC ảo (VRRP MAC Conflict):
Trong một số môi trường mạng sử dụng Switch Core có tính năng bảo mật Port Security hoặc Dynamic ARP Inspection (DAI), địa chỉ MAC ảo dạng 00-00-5E-00-01-xx có thể bị hệ thống bảo mật của Switch chặn lại do nhầm lẫn là tấn công giả mạo MAC (MAC Spoofing). Cần khai báo whitelist địa chỉ MAC của VRRP trên Switch phân phối (Core Switch).
3. Sử dụng Authentication trong VRRP:
Để tăng cường tính bảo mật, tránh các cuộc tấn công giả mạo gói tin VRRP (VRRP Advertisement Spoofing) trong mạng LAN nội bộ, hãy kích hoạt tính năng mã hóa mật khẩu đơn giản trên cấu hình VRRP của cả hai MikroTik:
Giải đáp câu hỏi thực tế (FAQ)
Tôi có thể cấu hình VRRP chạy trên đường truyền không dây (Wireless Bridge / PtP) của MikroTik được không?
Trả lời: Hoàn toàn được, nhưng không khuyến khích. VRRP cực kỳ nhạy cảm với độ trễ (latency jitter). Trong môi trường không dây, khi nhiễu sóng xảy ra, gói tin heartbeat định kỳ giữa Master và Backup có thể bị mất, dẫn đến hiện tượng "Split-Brain" (cả hai thiết bị tranh nhau làm Master), gây xung đột mạnh trên mạng LAN. Hãy ưu tiên sử dụng cáp quang hoặc cáp mạng đồng trục vật lý cho các cổng kết nối VRRP.
Tại sao máy tính trong mạng LAN vẫn không ra được internet mặc dù VRRP đã trạng thái Master/Backup ổn định?
Trả lời: Vấn đề này thường không nằm ở VRRP mà nằm ở cấu hình định tuyến tĩnh (Static Route) đi ra WAN hoặc cấu hình NAT Masquerade trên thiết bị MikroTik Backup (R2). Hãy kiểm tra kỹ xem R2 đã được cấu hình dòng lệnh NAT cơ bản chưa:
Nếu thiếu dòng lệnh này, gói tin từ LAN đi qua R2 sẽ không được dịch địa chỉ IP và bị nhà mạng từ chối định tuyến.
Preemption-mode trong cấu hình VRRP có ý nghĩa gì và có nên tắt đi không?
Trả lời: preemption-mode=yes (mặc định) có nghĩa là: Khi Router Master bị lỗi rồi phục hồi trở lại, nó thấy mình có độ ưu tiên (Priority) cao hơn Backup, nó sẽ ngay lập tức giành lại quyền điều khiển Master.
Nếu bạn đặt preemption-mode=no, khi Master cũ phục hồi, nó sẽ chấp nhận ở trạng thái Backup và nhường quyền Master cho thiết bị đang chạy cho đến khi thiết bị đó gặp sự cố tiếp theo. Khuyến nghị thực tế: Nên để yes để hệ thống tự động quay về trạng thái thiết kế ban đầu sau khi bảo trì xong thiết bị chính.
Bài viết kỹ thuật chuyên sâu được biên soạn bởi đội ngũ Kỹ Sư Phần Cứng tại VietITPro.vn. Mọi trích dẫn vui lòng ghi rõ nguồn và liên hệ trung tâm hỗ trợ giải pháp hạ tầng mạng doanh nghiệp chuyên sâu.
