Hướng dẫn thực hành · MikroTik

Cài và vận hành cảnh báo mạng

Điều kiện: mạng nền đã đạt, đã tạo bot và gửi thử. Chọn Telegram hoặc Zalo. Cùng một router không chạy đồng thời hai bộ installer hiện tại.

1. Kiểm tra RouterOS, thời gian và quyền

/system resource print
/system clock print
/system scheduler print

Với RouterOS 7 có device-mode:

/system device-mode print

Nếu fetch hoặc scheduler là no, chỉ bật hai tính năng cần dùng:

/system device-mode update fetch=yes scheduler=yes

Làm đúng thông báo trên router: xác nhận vật lý bằng nút hoặc cold reboot trong thời hạn hiển thị. Router có thể reboot sau xác nhận. Không gõ lệnh update thứ hai khi lần đầu chưa xác nhận, không giữ nút Reset lâu như thao tác reset trắng. Đăng nhập lại và print để xác nhận giá trị mới. Nếu flagged=yes, xử lý nguyên nhân theo tài liệu MikroTik trước, không coi mở thêm quyền là cách sửa.

Giờ hệ thống phải đúng; kiểm tra NTP đang đồng bộ. Fetch dùng check-certificate=yes ở cả hai kênh. Nếu router thiếu CA, lấy chứng chỉ gốc/intermediate từ nhà phát hành chính thức, tải vào Files, import trong System > Certificates và đánh dấu tin cậy theo loại chứng chỉ. RouterOS mới có kho CA tích hợp tùy phiên bản; v6 có thể cần import riêng. Kiểm tra HTTPS trước, không hạ TLS để bỏ lỗi.

Nguồn: Device-mode, Certificates, Fetch.

2. Cài PPPoE Monitor đúng kênh

Trong tab Telegram hoặc Zalo, làm theo đúng ba bước: nhập Token/Chat ID, khai báo tên WAN nếu cần, tải và import. Mặc định pppoe-out1 bắt buộc, pppoe-out2 tùy chọn. Kiểm tra tên thật trước:

/interface pppoe-client print

Telegram

:global pppMonInstallBotToken "BOT_TOKEN"; :global pppMonInstallChatId "CHAT_ID"

Nếu tên WAN khác mặc định, chạy riêng:

:global pppMonInstallPppoe1 "WAN1"; :global pppMonInstallPppoe2 "WAN2"

Tải, import, rồi xóa file khi import thành công. Một lỗi sẽ dừng khối và không chạy phần còn lại:

{ /tool fetch url="https://mikrotik.thachanhitt.vn/pppoe-monitor-install.rsc" dst-path="pppoe-monitor-install.rsc" check-certificate=yes; /import file-name="pppoe-monitor-install.rsc"; /file remove [find where name="pppoe-monitor-install.rsc"] }

Zalo

:global zaloMonInstallBotToken "BOT_TOKEN"; :global zaloMonInstallChatId "CHAT_ID"

Nếu tên WAN khác mặc định, chạy riêng:

:global zaloMonInstallPppoe1 "WAN1"; :global zaloMonInstallPppoe2 "WAN2"

{ /tool fetch url="https://mikrotik.thachanhitt.vn/zalo-pppoe-monitor-install.rsc" dst-path="zalo-pppoe-monitor-install.rsc" check-certificate=yes; /import file-name="zalo-pppoe-monitor-install.rsc"; /file remove [find where name="zalo-pppoe-monitor-install.rsc"] }

Đây là khối lệnh tuần tự, không tự hoàn tác các thay đổi đã chạy nếu import lỗi. Không reset state trong quá trình nâng cấp bình thường. Hai route monitor 8.8.8.8/32 và 9.9.9.9/32 gắn với WAN1/WAN2; không dùng lại hai IP này làm recursive probe cho WAN khác.

3. Kiểm tra monitor

/system script run pppoe-monitor
/system scheduler print where name="pppoe-monitor-every-3m"
/log print where message~"PPPoE-MON"
/ip route print where comment~"PPPoE-monitor"

Scheduler chạy mỗi 3 phút; một mẫu gồm các ping. DOWN cần ba lần chạy lỗi liên tiếp, thường 6–9 phút sau sự cố tùy thời điểm scheduler. Tăng run-count và log không lỗi mới chứng minh scheduler chạy; khi mạng đang tốt, monitor có thể không gửi tin nào.

State ở RAM mất khi reboot. Khi tất cả WAN mất Internet hoặc mất điện router, không thể gửi tin ngay; chỉ có khả năng báo bù khi kết nối trở lại và state còn tồn tại. Muốn nhận tin mất điện phải có giám sát bên ngoài/UPS, không thể dựa riêng script trong router.

4. Cài nhóm mở rộng

Chỉ chọn lệnh cùng kênh monitor. Telegram:

{ /tool fetch url="https://mikrotik.thachanhitt.vn/network-alerts-install.rsc" dst-path="network-alerts-install.rsc" check-certificate=yes; /import file-name="network-alerts-install.rsc"; /file remove [find where name="network-alerts-install.rsc"] }

Zalo:

{ /tool fetch url="https://mikrotik.thachanhitt.vn/zalo-network-alerts-install.rsc" dst-path="zalo-network-alerts-install.rsc" check-certificate=yes; /import file-name="zalo-network-alerts-install.rsc"; /file remove [find where name="zalo-network-alerts-install.rsc"] }

Installer tạo ba scheduler ở Disabled: router, WAN và LAN Security. DHCP Alerts cũng bắt đầu Disabled. Cài lại monitor sẽ tắt nhóm mở rộng; cần kiểm tra rồi bật lại, kể cả khi chỉ đổi token.

5. Chạy thử từng nhóm rồi bật lịch

/system script run network-alert-router

/system script run network-alert-wan

/system script run network-alert-lan-security

Xem log:

/log print where message~"NET-ALERT"

Không có sự cố thì không nhất thiết có tin. Dùng bài test sender trong kiểm thử trước khi kiểm thử từng điều kiện. Khi đạt, bật từng scheduler:

/system scheduler enable [find where name="network-alert-router-every-1m"]

/system scheduler enable [find where name="network-alert-wan-every-1m"]

/system scheduler enable [find where name="network-alert-lan-security-every-1m"]

Script/scheduler phải giữ read,write,policy,test theo installer. Thiếu quyền có thể khác giữa chạy bằng admin Terminal và chạy lịch. Không bật dont-require-permissions để che lỗi.

6. Loop Protect và DHCP Server lạ

Loop detector chỉ đọc trạng thái loop-protect-status=disable của Ethernet. RSTP chặn một đường loop chưa chắc tạo trạng thái này, vì vậy “không có tin LOOP” không chứng minh không có vòng lặp.

Chọn cổng LAN vật lý đã xác định, không phải WAN hoặc đường quản trị duy nhất. Ví dụ ether3 chỉ hợp lệ nếu nó thực sự là LAN của bạn:

/interface ethernet set ether3 loop-protect=on loop-protect-disable-time=5m

DHCP Alert là bộ phát hiện, không chặn DHCP giả. Trong IP > DHCP Server > Alerts, kiểm tra từng Interface, danh sách Valid Servers gồm MAC router và tất cả DHCP server hợp lệ. Bật riêng entry mình đã kiểm tra. Không dùng trên interface có DHCP Client; không bật hàng loạt cả WAN/VLAN chưa xác định.

/ip dhcp-server alert print detail

Sau khi xác nhận detector của BridgeLAN đúng, bật riêng:

/ip dhcp-server alert enable [find where interface=BridgeLAN and on-alert~"network-alert-lan-dhcp"]

7. Nhịp chạy, giới hạn và đổi kênh

Đổi Telegram/Zalo: cài monitor kênh mới, cài gói mở rộng cùng kênh, test sender rồi bật lại scheduler/DHCP detector đã chọn. Marker kênh được nạp từ config nên vẫn kiểm tra đúng sau reboot. Token tồn tại trong Source để scheduler dùng; quản trị quyền truy cập router tương ứng.

Tài liệu sâu/source thủ công: PPPoE Monitor, Zalo, nhóm mở rộng, luồng hoạt động.