Hướng dẫn thực hành · MikroTik
Trong trang này
Tương thích và lưu ý khi chạy toàn bộ
Phạm vi rà soát: generator/web, bốn installer Telegram/Zalo, source thủ công, mẫu RouterOS và công cụ WARP. Đối chiếu mã nguồn và tài liệu nhà cung cấp ngày 08/09/2026. Kiểm tra tự động chỉ là static/generation check; chưa import lên router vật lý trong lần rà soát này.
Kết quả kiểm chứng bản phát hành 08/09/2026
- 32 test Node và 2 test Python đạt; verifier xác nhận installer/source thủ công/public đồng bộ. Build kiểm tra HTML, Markdown tải xuống, template WARP và ZIP khớp nguồn.
- 312 link nội bộ HTML tồn tại. Trang WARP kiểm tra không tràn ngang ở 320, 414, 768, 1280px; trang hướng dẫn kiểm thử đọc được ở 375px. Không thấy lỗi JavaScript trong lần kiểm tra trình duyệt production.
- Bốn installer trên domain chính trả HTTP 200, không Location, SHA-256 khớp scripts. Trang chính, WARP, tạo bot, kiểm thử và ZIP trả HTTP 200.
- Đăng ký WARP thường qua
/api/warptrên domain chính đã trả HTTP 200 sau deploy; response chỉ có address/publicKey/endpoint, không trả token tài khoản. Đã sửa trường hợp API trả IPv4 port 0: lấy port endpoint hostname được chính response liệt kê hỗ trợ. Worker dùng redirect manual và từ chối response chuyển hướng. - ZIP public chỉ có README, command WARP thường, command chuyển profile, renderer Python và script gỡ. Không có helper/profile/khóa Zero Trust.
- Chưa kiểm chứng: import RouterOS thật, gửi bot với token người dùng, reboot/state, handshake WARP, throughput/QoS, WAN failover và detector trên thiết bị. Kết quả API không thay cho những bài test này.
Ma trận sử dụng
| Thành phần | RouterOS 6.49.x | RouterOS 7 Stable phù hợp model | Giới hạn cần biết |
|---|---|---|---|
| LAN, DHCP, PPPoE | Có nhánh generator | Có | Router sạch; model/port phải khớp. |
| Multi-WAN | PCC/Failover | PCC/Failover/ECMP L4 | Tối đa 4 WAN; ECMP L4 cần bản có thuộc tính ipv4-multipath-hash-policy. |
| VLAN từ web | Không bật trong nhánh v6 | Có | L3 trên BridgeLAN; AP/switch phải tag VLAN. |
| QoS | SFQ | FQ-CoDel | Bỏ FastTrack; cần đo CPU và throughput. |
| PCQ mỗi IP | Có | Có | Chỉ target LAN chính. |
| Telegram | Cần TLS/CA và quyền phù hợp | Cần Fetch/Scheduler, TLS/CA | Tối đa 2 PPPoE, state trong RAM. |
| Zalo | Cần TLS/CA và quyền phù hợp | Cần Fetch/Scheduler, TLS/CA | Thay Telegram, không chạy song song. |
| WARP WireGuard | Không | Có điều kiện | Cần tunnel/profile hợp lệ; chưa chứng minh runtime/hiệu năng. |
| Zero Trust tự đăng ký JWT | Không | Chưa xác nhận | Helper thử nghiệm giữ tại máy, không phân phối public. Dùng chuyển profile có sẵn. |
“Có” nghĩa có nhánh mã tương ứng, không nghĩa đã test mọi model và bản firmware. hEX RB750Gr3, RB3011, RB4011 có lựa chọn v6/v7 trong bộ tạo; RB5009 chỉ v7. RouterOS 6 tùy gói cài đặt có thể thiếu menu IPv6/NTP; kiểm tra trên thiết bị trước khi import cả file. Không dùng v6 chỉ vì phần cứng có thể chạy nếu bản đó không còn phù hợp an toàn/vận hành của bạn.
Các lỗi xác nhận từ mã nguồn và đã sửa
- Trùng probe: generator trước dùng
8.8.8.8cho WAN2 và9.9.9.9cho WAN3, trong khi monitor cố định chúng cho WAN1/WAN2. Các host route có thể cạnh tranh. Generator mới dùng1.1.1.1,208.67.222.222,8.8.4.4,149.112.112.112; monitor giữ hai probe cũ để không đổi cấu hình đang chạy. - Đổi kênh không đối xứng: chuyển về Telegram trước đây chưa tắt nhóm Zalo/ghi marker. Hai chiều nay nạp config, giữ marker, tạm dừng nhóm mở rộng; phải test và bật lại. Installer Zalo mở rộng nạp marker từ config, không dựa RAM còn sót trước reboot.
- TLS Telegram: sender Telegram và lệnh tải mới kiểm tra certificate giống Zalo. Router cũ cần chuẩn bị CA thay vì bỏ xác thực.
- WARP sau PCC: rule append phía sau PCC có passthrough=no có thể không bao giờ được chạy. Bộ sinh WARP chung đặt rule lên trước PCC, dùng mark/no-mark và phạm vi LAN.
- WARP mở firewall quá rộng: bộ mới không đưa tunnel vào WAN list dùng cho WinBox; chỉ cho LAN forward ra tunnel theo trạng thái kết nối phù hợp.
- Gỡ WARP làm hỏng PCC: bỏ thao tác unset FastTrack connection-mark; điều kiện no-mark vẫn được giữ.
- Canary WARP: đổi khỏi
1.0.0.1đang là DNS của generator, dùng1.1.1.2riêng và blackhole dự phòng để tránh kết quả “up” từ WAN khi tunnel không còn route. - File khóa riêng: profile và RSC đã sinh không được commit/deploy; bộ tải WARP chỉ gồm công cụ và tài liệu theo danh sách cố định.
- Tài liệu sai: sửa lời khẳng định atomic/0.1 giây/khôi phục 100%, sửa LOOP dựa log và khả năng giám sát “nhiều WAN” thành giới hạn thực tế.
Cấu hình đã chạy bản cũ thì làm gì?
Không dán lại generator lên router đang dùng. Với recursive route cũ, đối chiếu host route và các gateway trong bảng main/to-wan trước; đổi probe host và tất cả default route tham chiếu theo từng WAN trong thời gian bảo trì. Chỉ đổi host route mà quên gateway sẽ làm route mất hiệu lực. Nếu không chắc quan hệ route, xuất bản đã che bí mật và kiểm tra trước khi sửa.
Cài lại monitor mới bằng token đúng, tiếp theo cảnh báo mở rộng cùng kênh, test và bật lại lịch. Cài lại có thể trả ngưỡng trong config về mặc định: ghi lại ngưỡng, tên WAN và detector đã chỉnh trước.
Với WARP cũ, tạo RSC mới từ profile của mình, đọc phạm vi cleanup, nhập tại chỗ rồi test. Không dùng lại file RSC chứa rule cũ chỉ vì profile còn hiệu lực. Profile Zero Trust có sẵn trong workspace chưa được xác nhận hoạt động và không được đưa vào gói public.
Nếu bật tất cả cùng lúc
Được phép kết hợp cấu hình nền + một bộ bot + WARP có điều kiện. Tuy nhiên nên cài/test theo từng lớp để biết lớp gây lỗi.
- Generator tới 4 PPPoE nhưng monitor đầy đủ chỉ 2. Muốn giám sát WAN3/4 cần mở rộng thiết kế state/config, không sao chép scheduler cùng tên.
- Recursive failover phụ thuộc probe trả ICMP. Probe bị chặn có thể làm đường còn Internet bị xem là down. Mỗi WAN cần bài test đi ra đúng ISP; không dùng route của WAN khác để kết luận.
- Mất mọi Internet hoặc mất điện không thể gửi cảnh báo từ router; state reboot không bền vững. WAN phục hồi có IP khác làm TCP cũ rớt là bình thường, kiểm tra bằng kết nối mới.
- QoS download theo WAN chưa bao phủ gói giải mã WARP; bật FQ-CoDel + PCQ + nhiều script tăng CPU. Kiểm tra tải thực tế trên hEX, không suy từ test Node/Python.
- WinBox từ WAN có rate limit vẫn là dịch vụ public. Giới hạn Available From/VPN phù hợp, tài khoản mạnh và cập nhật firmware.
- Default gateway/CA/DNS đúng là điều kiện chung của Fetch, NTP, bot và WARP. Sai giờ hoặc DNS có thể làm cả hệ thống cảnh báo hỏng cùng lúc.
- Không bật DHCP Alert trên DHCP Client; Loop Protect trên cổng quản trị có thể tự cắt quyền truy cập khi phát hiện loop.
- API nền tảng bot và WARP có quota/điều kiện tài khoản có thể thay đổi.
ok:truevà tin thực tế mới là bằng chứng gửi; handshake/counter mới là bằng chứng tunnel.
Nguồn kỹ thuật và cách xác nhận
- MikroTik Policy Routing: main phải resolve được gateway của bảng tùy chỉnh; mangle có ưu tiên cao hơn routing rules.
- Packet Flow và FastTrack: FastTrack chỉ làm việc với bảng main, có thể bypass queue/firewall processing.
- Netwatch: timer, quyền và script up/down cần test trên phiên bản đang dùng.
- Zalo API và Telegram API: kiểm tra giao thức gửi và kết quả trả về.
Xem checklist nghiệm thu. Lưu tên model, RouterOS, ngày test, WAN đã thử, kết quả và người kiểm tra; không lưu bí mật cùng biên bản.