Tạo cấu hình và nhập vào Terminal

Chỉ dùng trên router đã reset trắng mạng. Bộ tạo không phải công cụ cập nhật tại chỗ: chạy lại trên cấu hình đã nạp có thể tạo trùng rule hoặc dừng ở lỗi tên đã tồn tại.

1. Điền bộ tạo

Mở Bộ tạo. Dữ liệu xử lý trong trình duyệt; khi copy file, mật khẩu PPPoE nằm trong nội dung nên phải giữ riêng tư.

Thiết bị: chọn đúng model và bản RouterOS đang chạy. Tên khách hàng là tùy chọn, dùng làm identity trong cảnh báo.
LAN và DHCP: gateway phải thuộc mạng private, pool không chứa gateway/IP tĩnh và không trùng subnet VLAN. Chọn cổng LAN khác cổng WAN. Với 172.16.1.1/22, subnet thực là 172.16.0.0/22.
PPPoE: nhập tài khoản/mật khẩu, cổng vật lý và VLAN WAN do ISP cấp nếu cần. Một cổng chỉ dùng nhiều PPPoE VLAN khi ISP hỗ trợ; PPPoE trực tiếp không chia sẻ cùng cổng trong bộ tạo.
Multi-WAN: PCC theo kết nối chia các kết nối; PCC theo IP giữ máy trên một WAN; Failover dùng đường chính rồi dự phòng; ECMP L4 chỉ có ở nhánh v7 của bộ tạo. Một luồng tải đơn không cộng tốc độ mọi WAN. Không bật Weighted PCC nếu chưa biết tốc độ từng đường.
VLAN: chọn Qua AP/switch có gắn tag để giữ cách cấu hình VLAN ảo hiện có, hoặc Gán trực tiếp cho cổng LAN để dành các cổng vật lý cho một mạng riêng. Chọn Cổng LAN trực tiếp + AP/switch có gắn tag để dùng cả hai: chọn riêng cổng trực tiếp và cổng mang tag. Cổng mang tag được dùng chung cho nhiều VLAN và vẫn nhận LAN chính không gắn tag. Cổng access phải thuộc nhóm BridgeLAN, không trùng WAN, cổng mang tag đã chọn hoặc VLAN access khác. Giữ ít nhất một cổng LAN chính để quản trị. Khi có VLAN access, bộ tạo sinh PVID và bảng VLAN, bật VLAN filtering ở cuối phần 2; chế độ chỉ qua AP/switch mang tag trên các cổng LAN chính còn lại, còn chế độ kết hợp chỉ mang tag trên cổng được chọn. Ma trận truy cập quyết định chiều khởi tạo giữa các mạng; phản hồi established vẫn được chấp nhận.

Ví dụ RB4011: tạo Camera30, ID 30, gateway 192.168.30.1/24, DHCP 192.168.30.200–192.168.30.254, chọn ether7–8; tạo Camera99, ID 99, gateway 192.168.99.1/24, DHCP 192.168.99.200–192.168.99.254, chọn ether9–10. Chọn các cổng này trong nhóm BridgeLAN trước. Camera/đầu ghi dùng dây không cần gắn tag; đổi IP/gateway của thiết bị đặt tĩnh và cập nhật IP trong đầu ghi/NAT khi chuyển mạng. Tích quyền từ LAN chính đến VLAN camera nếu cần xem hoặc quản trị. VLAN cô lập broadcast/multicast, không tự sửa nguồn phát lưu lượng bất thường. Ví dụ kết hợp: Camera30 trực tiếp ether7–8, mang tag qua ether4 tới AP/switch; tất cả dùng chung subnet/DHCP VLAN30. SSID khác VLAN không nhận trực tiếp multicast camera khi cấu hình đúng, nhưng các SSID cùng radio vẫn chia sẻ airtime; nếu multicast camera vẫn phát ra Wi-Fi, SSID khác vẫn có thể chậm. Với camera có dây, chỉ đưa VLAN camera tới switch cần dùng và tránh gán vào SSID.
Mở port: chỉ thêm khi cần. Cần IPv4 public và firewall ISP cho phép; DDNS không vượt CGNAT. Rule theo IP local của router nên có hairpin nhưng có thể đụng dịch vụ router cùng port.
QoS: nhập tốc độ đo được; FQ-CoDel/SFQ dùng 95% để tạo điểm nghẽn trên router. PCQ mỗi IP hiện chỉ target LAN chính. Bật QoS/PCQ sẽ bỏ FastTrack; phải kiểm tra CPU khi có tải.

2. Kiểm tra trước khi copy

Bấm Kiểm tra cấu hình, sửa hết lỗi. Đọc phần Lưu ý tương thích và lệnh xem trước. Đặc biệt, cấu hình hiện cho WinBox từ WAN có rate limit: nên giới hạn IP > Services > winbox > Available From về subnet LAN hoặc IP quản trị cố định trước khi nối WAN. Rate limit không thay VPN hay allowlist.

Ví dụ chỉ cho LAN mặc định; thay subnet nếu LAN của bạn khác:

/ip service set winbox address=192.168.1.0/24

Thực hiện lệnh này sau khi nhập phần còn lại, vì phần generator sẽ đặt lại địa chỉ dịch vụ. Cấu hình tắt SSH/WebFig/API, UPnP và IPv6; không phù hợp mạng cần các dịch vụ đó nếu chưa điều chỉnh có chủ đích.

3. Tạo BridgeLAN trước

Mở New Terminal ở MAC WinBox. Bấm Copy BridgeLAN, dán và chờ xong. Việc chuyển cổng vào bridge có thể làm rớt phiên WinBox. Nối lại qua MAC bằng một cổng thuộc BridgeLAN, kiểm tra:

/interface bridge print detail where name=BridgeLAN
/interface bridge port print
/interface ethernet print detail

Phải có BridgeLAN, protocol-mode=rstp, igmp-snooping=yes, đúng các cổng LAN và không có cổng WAN. Bộ tạo bật Loop Protect trên tất cả cổng LAN đã chọn, kể cả SFP và cổng dùng cho VLAN: loop-protect=on, chu kỳ dò 5s, thời gian ngắt 5m; không bật trên WAN hoặc cổng ngoài danh sách LAN. Bình thường các cổng này có loop-protect-status=on. Khi phát hiện loop, toàn bộ cổng bị ngắt và thiết bị phía sau mất kết nối qua đường đó trong thời gian chặn. Giữ RSTP trên bridge. Không dán phần 2 khi chưa chắc phần 1 đã tồn tại.

4. Nhập phần còn lại

Khi MAC WinBox đã ổn, bấm Copy phần còn lại, dán trong New Terminal và chờ tới thông báo kết thúc. Giữ WAN rút ra trong lúc firewall chưa được tạo xong. Mạng nhiều VLAN/PCC có thể sinh hàng trăm thao tác; không xem thông báo cuối là xác nhận mọi lệnh trước đều thành công.

Đọc toàn bộ output Terminal; nếu có failure, syntax error hoặc already have such name, dừng. Ghi lệnh và lỗi đã che bí mật, kiểm tra phần nào đã chạy; không dán lại cả file để thử may rủi. Nếu không xác định được trạng thái sau import lỗi, quay lại reset trắng tại chỗ theo bước trước.

Safe Mode có giới hạn: MikroTik giữ tối đa 100 thao tác trong history. File dài vượt giới hạn sẽ tự thoát Safe Mode. Nếu phiên Safe Mode bị mất khi tạo bridge, thay đổi có thể bị hoàn tác; phải kiểm tra lại bridge trước khi tiếp tục. Cài router trắng tại chỗ bằng MAC với đường khôi phục chuẩn bị sẵn; chỉ dùng Safe Mode cho các nhóm thay đổi nhỏ, kiểm tra rồi nhấn Ctrl+X để lưu trước nhóm tiếp theo. Không coi { ... } hoặc /import là giao dịch atomic. Nguồn MikroTik.

Copy tất cả dành cho người biết rõ đường quản trị không bị ngắt, hoặc lưu file để đọc; không phải lựa chọn khuyên dùng cho lần cài đầu.

5. Nối WAN và kiểm tra mạng nền

Giới hạn WinBox như mục 2, nối WAN vào đúng cổng. Renew DHCP hoặc rút/cắm mạng máy tính. Chạy từng lệnh trong phần kiểm tra của bộ tạo, sau đó:

/interface pppoe-client monitor pppoe-out1 once
/ip route print where dst-address=0.0.0.0/0
/ip dhcp-server lease print
/ping 1.1.1.1 count=5
:put [:resolve "example.com"]

Từng WAN phải có trạng thái connected, route dự kiến active, máy tính có IP/gateway/DNS đúng và mở web bình thường. Ping từ router không chứng minh máy LAN ra mạng: phải test cả hai.

Chạy bài test LAN, VLAN và từng WAN. Khi đạt, mới cài bot cảnh báo. Nếu gặp bad command name trên nhánh v6, kiểm tra gói IPv6/NTP của thiết bị; không bỏ qua phần firewall/PPPoE còn lại rồi coi cấu hình hoàn tất.