Hướng dẫn thực hành · MikroTik

Tương thích và lưu ý khi chạy toàn bộ

Phạm vi rà soát: generator/web, bốn installer Telegram/Zalo, source thủ công, mẫu RouterOS và công cụ WARP. Đối chiếu mã nguồn và tài liệu nhà cung cấp ngày 08/09/2026. Kiểm tra tự động chỉ là static/generation check; chưa import lên router vật lý trong lần rà soát này.

Kết quả kiểm chứng bản nền 08/09/2026

• 32 test Node và 2 test Python đạt; verifier xác nhận installer/source thủ công/public đồng bộ. Build kiểm tra HTML, Markdown tải xuống, template WARP và ZIP khớp nguồn.
• 312 link nội bộ HTML tồn tại. Trang WARP kiểm tra không tràn ngang ở 320, 414, 768, 1280px; trang hướng dẫn kiểm thử đọc được ở 375px. Không thấy lỗi JavaScript trong lần kiểm tra trình duyệt production.
• Bốn installer trên domain chính trả HTTP 200, không Location, SHA-256 khớp scripts. Trang chính, WARP, tạo bot, kiểm thử và ZIP trả HTTP 200.
• Đăng ký WARP thường qua /api/warp trên domain chính đã trả HTTP 200 sau deploy; response chỉ có address/publicKey/endpoint, không trả token tài khoản. Đã sửa trường hợp API trả IPv4 port 0: lấy port endpoint hostname được chính response liệt kê hỗ trợ. Worker dùng redirect manual và từ chối response chuyển hướng.
• ZIP public chỉ có README, command WARP thường, command chuyển profile, renderer Python và script gỡ. Không có helper/profile/khóa Zero Trust.
• Chưa kiểm chứng: import RouterOS thật, gửi bot với token người dùng, reboot/state, handshake WARP, throughput/QoS, WAN failover và detector trên thiết bị. Kết quả API không thay cho những bài test này.

Ma trận sử dụng

“Có” nghĩa có nhánh mã tương ứng, không nghĩa đã test mọi model và bản firmware. hEX RB750Gr3, RB3011, RB4011 có lựa chọn v6/v7 trong bộ tạo; RB5009 chỉ v7. RouterOS 6 tùy gói cài đặt có thể thiếu menu IPv6/NTP; kiểm tra trên thiết bị trước khi import cả file. Không dùng v6 chỉ vì phần cứng có thể chạy nếu bản đó không còn phù hợp an toàn/vận hành của bạn.

Các lỗi xác nhận từ mã nguồn và đã sửa

1. Trùng probe: generator trước dùng 8.8.8.8 cho WAN2 và 9.9.9.9 cho WAN3, trong khi monitor cố định chúng cho WAN1/WAN2. Các host route có thể cạnh tranh. Generator mới dùng 1.1.1.1, 208.67.222.222, 8.8.4.4, 149.112.112.112; monitor giữ hai probe cũ để không đổi cấu hình đang chạy.
2. Đổi kênh không đối xứng: chuyển về Telegram trước đây chưa tắt nhóm Zalo/ghi marker. Hai chiều nay nạp config, giữ marker, tạm dừng nhóm mở rộng; phải test và bật lại. Installer Zalo mở rộng nạp marker từ config, không dựa RAM còn sót trước reboot.
3. TLS Telegram: sender Telegram và lệnh tải mới kiểm tra certificate giống Zalo. Router cũ cần chuẩn bị CA thay vì bỏ xác thực.
4. WARP sau PCC: rule append phía sau PCC có passthrough=no có thể không bao giờ được chạy. Bộ sinh WARP chung đặt rule lên trước PCC, dùng mark/no-mark và phạm vi LAN.
5. WARP mở firewall quá rộng: bộ mới không đưa tunnel vào WAN list dùng cho WinBox; chỉ cho LAN forward ra tunnel theo trạng thái kết nối phù hợp.
6. Gỡ WARP làm hỏng PCC: bỏ thao tác unset FastTrack connection-mark; điều kiện no-mark vẫn được giữ.
7. Canary WARP: đổi khỏi 1.0.0.1 đang là DNS của generator, dùng 1.1.1.2 riêng và blackhole dự phòng để tránh kết quả “up” từ WAN khi tunnel không còn route.
8. File khóa riêng: profile và RSC đã sinh không được commit/deploy; bộ tải WARP chỉ gồm công cụ và tài liệu theo danh sách cố định.
9. Tài liệu sai: sửa lời khẳng định atomic/0.1 giây/khôi phục 100%, sửa LOOP dựa log và khả năng giám sát “nhiều WAN” thành giới hạn thực tế.

Cấu hình đã chạy bản cũ thì làm gì?

Không dán lại generator lên router đang dùng. Với recursive route cũ, đối chiếu host route và các gateway trong bảng main/to-wan trước; đổi probe host và tất cả default route tham chiếu theo từng WAN trong thời gian bảo trì. Chỉ đổi host route mà quên gateway sẽ làm route mất hiệu lực. Nếu không chắc quan hệ route, xuất bản đã che bí mật và kiểm tra trước khi sửa.

Cài lại monitor mới bằng token đúng, tiếp theo cảnh báo mở rộng cùng kênh, test và bật lại lịch. Cài lại có thể trả ngưỡng trong config về mặc định: ghi lại ngưỡng, tên WAN và detector đã chỉnh trước.

Với WARP cũ, tạo RSC mới từ profile của mình, đọc phạm vi cleanup, nhập tại chỗ rồi test. Không dùng lại file RSC chứa rule cũ chỉ vì profile còn hiệu lực. Profile Zero Trust có sẵn trong workspace chưa được xác nhận hoạt động và không được đưa vào gói public.

Nếu bật tất cả cùng lúc

Được phép kết hợp cấu hình nền + một bộ bot + WARP có điều kiện. Tuy nhiên nên cài/test theo từng lớp để biết lớp gây lỗi.

• Generator và monitor hỗ trợ tới 4 PPPoE. Cài lại monitor mới trước cảnh báo mở rộng; WAN2–4 không tồn tại sẽ bị bỏ qua. Không sao chép scheduler cùng tên.
• Recursive failover phụ thuộc probe trả ICMP. Probe bị chặn có thể làm đường còn Internet bị xem là down. Mỗi WAN cần bài test đi ra đúng ISP; không dùng route của WAN khác để kết luận.
• Mất mọi Internet hoặc mất điện không thể gửi cảnh báo từ router; state reboot không bền vững. WAN phục hồi có IP khác làm TCP cũ rớt là bình thường, kiểm tra bằng kết nối mới.
• QoS WARP dùng queue download riêng sau giải mã, không cộng ngân sách với WAN thường; bật FQ-CoDel + PCQ + nhiều script tăng CPU. Kiểm tra tải thực tế trên hEX, không suy từ test Node/Python.
• WinBox từ WAN có rate limit vẫn là dịch vụ public. Giới hạn Available From/VPN phù hợp, tài khoản mạnh và cập nhật firmware.
• Default gateway/CA/DNS đúng là điều kiện chung của Fetch, NTP, bot và WARP. Sai giờ hoặc DNS có thể làm cả hệ thống cảnh báo hỏng cùng lúc.
• Không bật DHCP Alert trên DHCP Client; Loop Protect trên cổng quản trị có thể tự cắt quyền truy cập khi phát hiện loop.
• API nền tảng bot và WARP có quota/điều kiện tài khoản có thể thay đổi. ok:true và tin thực tế mới là bằng chứng gửi; handshake/counter mới là bằng chứng tunnel.

Nguồn kỹ thuật và cách xác nhận

• MikroTik Policy Routing: main phải resolve được gateway của bảng tùy chỉnh; mangle có ưu tiên cao hơn routing rules.
• Packet Flow và FastTrack: FastTrack chỉ làm việc với bảng main, có thể bypass queue/firewall processing.
• Netwatch: timer, quyền và script up/down cần test trên phiên bản đang dùng.
• Zalo API và Telegram API: kiểm tra giao thức gửi và kết quả trả về.

Xem checklist nghiệm thu. Lưu tên model, RouterOS, ngày test, WAN đã thử, kết quả và người kiểm tra; không lưu bí mật cùng biên bản.

Bổ sung checklist, chẩn đoán, 4 WAN và QoS WARP

Checklist lưu 7 boolean trên trình duyệt, không lưu cấu hình/token; có nút xóa khi chuyển sang router khác. Chẩn đoán chỉ đọc các trường cho phép, không dump source/global/private key.

Monitor cùng các nhóm WAN Telegram/Zalo đã mở lên 4 WAN, thêm marker phiên bản để bộ mở rộng yêu cầu nâng cấp monitor trước. Nguồn Telegram thủ công được verifier đồng bộ từ installer. Cổng vật lý dùng chung chỉ kiểm tra một lần mỗi lượt, tránh baseline bị cập nhật hai lần và báo phục hồi giả. Khi mọi PPPoE dùng cổng đang tạm nghỉ, lượt kiểm tra cổng bị bỏ qua; lượt kế tiếp có thể tính phần lỗi tích lũy trong thời gian nghỉ.

QoS WARP tùy chọn 1–10000 Mbps, 0 tắt, nhận download sau giải mã ra LAN. Queue riêng không biết tunnel đang ở ISP nào, không tự cân ngân sách với WAN thường. Chỉ số CPU/throughput và import RouterOS vẫn cần nghiệm thu tại chỗ; xem checklist đo thực tế.

Kiểm tra bổ sung: 35 test Node và 3 test Python đạt; verifier kiểm tra cả nguồn Telegram thủ công. Browser local xác nhận tiến độ giữ sau reload, nút xóa về 0/7, copy lệnh báo thành công, trường QoS chấp nhận 80 và chặn 10001 Mbps. Trang chính/WARP không tràn ngang ở 375px. Review độc lập đã kiểm tra các sửa lỗi 4 WAN/shared-port và QoS; không thay cho kiểm thử RouterOS thật.