thảo luận Cộng đồng người dùng MikroTik Router

thuê VPS thì nó tính lựu lượng là chết queo lun ! em kì có thuê vps google cloud chơi bên JAPAN ko để ý 1 tháng mấy triệu tiền lưu lượng ! sợ xanh mặt tới giờ ! có biết cái VPS nào chơi free lưu lượng ngon ko anh nhỉ ?
Hùi trước theo trend. Em may mắn hốt được con vps Oracle. Do lúc đó ham ip US nên em reg khúc ruột ngàn dặm San Jose. Cài vpn server lên đó chạy rất ngon.

Sau này em hơi tiếc là không reg Sing. Ping và speed tốt hơn US nhiều.

Hình này là em speedtest tới con vps San Jose:

rpqbIu3.png
 
Last edited:
Vậy là mình chỉ có thể hiểu. Chứ không kiểm tra cụ thể được hả anh?
Kiểm tra thì ntn. Trên window bạn dùng route print, xem cái route 0.0.0.0/0.0.0.0 xem có đi qua VPN chưa, metric thường nó sẽ rất thấp (0-10). Cái này đảm bảo traffic đi qua cái wireguard. Sau đó vào web, kiểm tra what is my ip address, xem đúng là ip Mỹ là đc, lúc đó sẽ check đc proxy đã ăn, còn nếu vẫn thấy ip là của HKG/wireguard thì proxy chưa ăn.
 
Kiểm tra thì ntn. Trên window bạn dùng route print, xem cái route 0.0.0.0/0.0.0.0 xem có đi qua VPN chưa, metric thường nó sẽ rất thấp (0-10). Cái này đảm bảo traffic đi qua cái wireguard. Sau đó vào web, kiểm tra what is my ip address, xem đúng là ip Mỹ là đc, lúc đó sẽ check đc proxy đã ăn.
Cảm ơn anh rất nhiều. Để em làm thử :x

Edit: À, em dùng con Mik làm gw vpn. Nên nếu route print từ Windows thì chỉ thấy 0.0.0.0 ra con Mik (10.0.0.9):

Code:
C:\Users\User>route print
===========================================================================
Interface List
  9...f0 2f 74 ae xx xx ......Realtek PCIe GbE Family Controller
  1...........................Software Loopback Interface 1
===========================================================================

IPv4 Route Table
===========================================================================
Active Routes:
Network Destination        Netmask          Gateway       Interface  Metric
          0.0.0.0          0.0.0.0         10.0.0.9        10.0.0.11     26
 
Last edited:
Vậy là mình chỉ có thể hiểu. Chứ không kiểm tra cụ thể được hả anh?
nó là mô hình OSI, chia làm 7 layer, giải thích nôm na là:
  • Layer 1 là tầng vật lí, ví dụ qua sóng wifi, qua cáp quang, qua vệ tinh gì gì đó.
  • Layer 2 là tầng liên kết, chia nhỏ data frame thành gói tin + check lỗi, dùng khi kết nối các node, ví dụ như cắm 2 máy tính với nhau = cáp LAN
  • Layer 3 là tầng mạng, quyết định đường đi của gói tin tới máy chủ, sử dụng IP của server để xác định đường đi.
  • Layer 4 là tầng vận chuyển, phổ biến là TCP, dùng để chuyển gói tin từ nơi này sang nơi kia, ví dụ HTTP Get, Post khi submit 1 cái form html chẳng hạn.
  • Layer 5 là tầng session để duy trì truy cập giữa web và server, đăng nhập xong lần sau vào web ko bị logout một phần là nhờ nó.
  • Layer 6 là tầng trình bày, để nén, mã hóa dữ liệu, ví dụ AES, truyền video ở VP9, H265 encoding
  • Layer 7 là tầng ứng dụng, sát với người dùng cuối nhất, ví dụ http, https, ssl, websocket, ... trên mikrotik có thể dùng layer 7 để xác định trang web mà người dùng đang truy cập.
 
Cảm ơn anh rất nhiều. Để em làm thử :x

Edit: À, em dùng con Mik làm gw vpn. Nên nếu route print từ Windows thì chỉ thấy 0.0.0.0 ra con Mik:

C:confused:Users\User>route print
===========================================================================
Interface List
9...f0 2f 74 ae 96 ea ......Realtek PCIe GbE Family Controller
5...66 41 b6 b2 65 11 ......ZeroTier Virtual Port
1...........................Software Loopback Interface 1
===========================================================================

IPv4 Route Table
===========================================================================
Active Routes:
Network Destination Netmask Gateway Interface Metric
0.0.0.0 0.0.0.0 10.0.0.9 10.0.0.11 26
Đơn giản hơn thì ntn. Bạn vào trình duyệt, tắt proxy đi. Google what is my ip thì sẽ thấy ip của VPN (ip hongkong), lúc này confirm con mik nó routing chuẩn. Sau đó bật proxy lên, check lại what is my ip sẽ thấy ăn ip của proxy (ip mẽo).
 
Đơn giản hơn thì ntn. Bạn vào trình duyệt, tắt proxy đi. Google what is my ip thì sẽ thấy ip của VPN (ip hongkong), lúc này confirm con mik nó routing chuẩn. Sau đó bật proxy lên, check lại what is my ip sẽ thấy ăn ip của proxy (ip mẽo).
Dạ cái này thì rõ. Em chỉ thắc mắc là khi em chạy qua 2 vpn. Thì gói tin bắt buộc phải qua vpn 1 (Set trên Mik). Hay là nó đủ khôn để bỏ qua vpn 1, đi tắt luôn?
 
Dạ cái này thì rõ. Em chỉ thắc mắc là khi em chạy qua 2 vpn. Thì gói tin bắt buộc phải qua vpn 1 (Set trên Mik). Hay là nó đủ khôn để bỏ qua vpn 1 luôn.
Ko bỏ qua được đâu, xem cái post OSI trước ấy, nó chạy từ thấp đến cao, lớp 3 xong mới đến lớp 7. Khi bạn dùng proxy truy cập vào web A thì destination của gói tin là ip con proxy, và gửi đến con mik. Mik nó có route đi qua VPN nên nó sẽ đẩy gói đó qua VPN. Đến con VPN server nó sẽ đẩy tiếp đến con proxy. Con proxy đọc được gói tin của bạn, nó mới biết đc domain đích là A, nó sẽ tiếp tục routing tiếp.
 
Ko bỏ qua được đâu, xem cái post OSI trước ấy, nó chạy từ thấp đến cao, lớp 3 xong mới đến lớp 7. Khi bạn dùng proxy truy cập vào web A thì destination của gói tin là ip con proxy, và gửi đến con mik. Mik nó có route đi qua VPN nên nó sẽ đẩy gói đó qua VPN. Đến con VPN server nó sẽ đẩy tiếp đến con proxy. Con proxy đọc được gói tin của bạn, nó mới biết đc domain đích là A, nó sẽ tiếp tục routing tiếp.

Thực tế, khi truy cập 1 trang web bất kì thì dữ liệu sẽ đi qua cả 7 tầng này, từ tầng Ứng dụng (chrome, firefox) cho tới tầng vật lí (cáp, wifi...)
  • Tầng 7 tại trình duyệt xử lý địa chỉ web mà bạn nhập vào, khởi tạo yêu cầu http chứa header hoặc post, get, ví dụ: Đây là trinh duyệt chrome phiên bản 123, thiết bị máy tính, hãy đi đăng nhập: example.com?page=login
  • Tầng 6 mã hóa dữ liệu https
  • Tầng 5 duy trì kết nối phiên session
  • Tầng 4 Chuyển dữ liệu thành các gói tin
  • Tầng 3 Định tuyến dữ liệu qua các router tới đích
  • Tầng 2 Chuyển các gói tin thành data frame, thêm địa chỉ MAC... để truyền qua LAN.
  • Tầng 1 Chuyển thành tín hiệu vật lí như ánh sáng, sóng wifi.

Sau đi tới được máy chủ, quá trình xử lí và phản hồi sẽ đi ngược lại từ tầng 1 tới 7 và trả kết quả lại ứng dụng Chrome
 
Last edited:
Ko bỏ qua được đâu, xem cái post OSI trước ấy, nó chạy từ thấp đến cao, lớp 3 xong mới đến lớp 7. Khi bạn dùng proxy truy cập vào web A thì destination của gói tin là ip con proxy, và gửi đến con mik. Mik nó có route đi qua VPN nên nó sẽ đẩy gói đó qua VPN. Đến con VPN server nó sẽ đẩy tiếp đến con proxy. Con proxy đọc được gói tin của bạn, nó mới biết đc domain đích là A, nó sẽ tiếp tục routing tiếp.
Thực tế, khi truy cập 1 trang web bất kì thì dữ liệu sẽ đi qua cả 7 tầng này, từ tầng Ứng dụng (chrome, firefox) cho tới tầng vật lí (cáp, wifi...)
  • Tầng 7 tại trình duyệt xử lý địa chỉ web mà bạn nhập vào, khởi tạo yêu cầu http chứa header hoặc post, get, ví dụ: Đây là trinh duyệt chrome phiên bản 123, thiết bị máy tính, hãy đi đăng nhập: example.com?page=login
  • Tầng 6 mã hóa dữ liệu https
  • Tầng 5 duy trì kết nối phiên session
  • Tầng 4 Chuyển dữ liệu thành các gói tin
  • Tầng 3 Định tuyến dữ liệu qua các router tới đích
  • Tầng 2 Chuyển các gói tin thành data frame, thêm địa chỉ MAC... để truyền qua LAN.
  • Tầng 1 Chuyển thành tín hiệu vật lí như ánh sáng, sóng wifi.
Cảm ơn hai anh rất nhiều. Em bắt đầu hỉu hỉu :oops:
 
Hùi trước theo trend. Em may mắn hốt được con vps Oracle. Do lúc đó ham ip US nên em reg khúc ruột ngàn dặm San Jose. Cài vpn server lên đó chạy rất ngon.

Sau này em hơi tiếc là không reg Sing. Ping và speed tốt hơn US nhiều.

Hình này là em speedtest tới con vps San Jose:

rpqbIu3.png
HIX Thì có Sợ là Lưu lượng chớ ko thôi cài đặt WIREGUARD lên VPS làm VPN chạy 1 mình là Quá ngon !
 
Vậy là mình chỉ có thể hiểu. Chứ không kiểm tra cụ thể được hả anh?
Fen dùng data nhiều mà lựa cloud xịn thì nó tính tiền chát lắm. VPS VN có tầm vài chục ngàn/tháng, hoặc 5$ tầm đó thôi là unlimit rồi. Mắc hơn đừng có xài.
Ko biết giờ có cái nào xài mà vào TAIWAN ngon ngon ko ? Chớ ip VIỆT NAM NÓ CHẶN ÒI ! Cái VPS ORACLE CLOUD FREE Hết 400USD là tính theo lưu lượng phải ko nhỉ ?
 
Hết 1 Tháng nó ko cho tiếp hả ? Tại Lâu òi ko nhớ lun ! là nó cho 1 tháng 10T XÀi QUA tháng thứ 2 cho 10T tiếp hả ? XÀi hết nó tính theo lưu lượng ko nhỉ ?
Em hiểu là trong 30 ngày. Nếu xài dưới 10TB thì không tính phí.

Anh có thể vô web Oracle xem. Nó nói lằng nhằng lắm. Phải coi kỹ mới hiểu được.
 
Thread dài quá , các bác cho hỏi dòng Mikrotik này có con nào xài mạng 4G & setup VPN server được ko. Chỗ e cần lắp ko có ADSL, mà lại cần cài VPN server
 
Cảm ơn các anh rất nhiều ạ. Em traceroute thấy như sau.

All to HK:

Le5uGg8.png


All to HK, browser set vnp US:

8iG4bHC.png

Cái này nó ra giống nhau vì chỗ cái trang này (Traceroute Online - Tracert Tracks Full Path of IP Packet or Domain (https://dnschecker.org/online-traceroute.php)) nó test traceroute từ server của tụi nó (tụi dnschecker.org) đến cái đích zing.vn, chứ không liên quan đến từ nhà bác đến zing.vn. Ở nhà em hay nhà bác nó vẫn ra cái output như vậy mà thôi.

Dạ cái này thì rõ. Em chỉ thắc mắc là khi em chạy qua 2 vpn. Thì gói tin bắt buộc phải qua vpn 1 (Set trên Mik). Hay là nó đủ khôn để bỏ qua vpn 1, đi tắt luôn?

Trên PC của bác, lúc bác đang bật cái proxy trong browser, thì bác chạy lệnh netstat, hoặc cài cái này Sysinternals Suite - Free download and install on Windows | Microsoft Store (https://www.microsoft.com/store/productId/9P7KNL5RWT25?ocid=pdpshare) và chạy cái tool TCPView trong cái Sysinternals Suite đó của Microsoft. Bằng 2 cách đó bác sẽ mò ra được cái Proxy trong browser nó kết nối đến server ở đâu (dải địa chỉ nào, cổng nào, UDP hay TCP). TCPView thì nó cho bác hiện kết nối hiện thời của từng process, tắt option Resolve Addresses thì nó hiện ra địa chỉ IP với cổng thuần túy. Bác cho dãy IP đó vào 1 cái address list.

Trên router hiện theo như bác bảo bác đang có cái rule mangle này để ép mọi kết nối đi dùng cái bảng route to_wg-hk:

Code:
add action=mark-routing chain=prerouting comment=all_to_wg-hk disabled=yes \
    dst-address-list=!local new-routing-mark=to_wg-hk passthrough=no \
    src-address-list=local

Thì giờ bác thêm 1 rule mangle mới, chain=prerouting, action=accept, dst-address-list=cái_list_mò_ra_với_tcpview dst-port=ports_mò_ra_từ_tcpview, protocol tùy theo trên kia mò ra là UDP hay TCP, rồi kéo cái rule mới này lên trên cái rule sẵn có kia. Như thế các kết nối với đích là cái address list đó nó không sử dụng cái bảng route to_wg-hk nữa.
 
Hiện tại mình có chia 2 sub là home với guest, phát wifi bằng vlan riêng. Cho mình hỏi ngoài password và không muốn dùng MAC filter thì còn thêm được một lớp nào để chỉ người mình muốn connect vào không.
Use case là mình có 3 mạng iot, guest và home rồi. Do wifi guest mình sẽ isolate nó với lan, limit bandwidth, set thời gian on/off các thứ. Nên mình không muốn những người ngoài gia đình có thể access được vào wifi home để vượt mấy limit này.

Có cách như ẩn ssid, wpa3 enterprise nhưng mình thấy vẫn có hướng share được nên hỏi cách khác xem sao

Nếu hệ thống access point của bác hỗ trợ WPA2/3 Enterprise (có vẻ là có vì nghe chừng chúng hỗ trợ VLAN, nên chắc là các dòng Aruba, UniFi, Omada, MikroTik hAP v.v... hoặc OpenWrt?) thì đây là giải pháp cho các vấn đề của bác.

Các hệ điều hành (iOS, Android, Win) đều khóa chức năng share tài khoản login WiFi khi dùng WPA Enterprise, không có QR-Code nào để mà quét. Bác điền thông tin đăng nhập 1 lần lên thiết bị của các cụ rồi quên luôn cái thông tin login đi, không cần ghi chép lại ở đâu cả.

Bác có thể tạo cho mỗi thiết bị một tài khoản đăng nhập riêng, và bác có thể giới hạn 1 tài khoản chỉ cùng lúc có 1 session, nên cũng sẽ không dùng nó đăng nhập cho 2 thiết bị cùng một lúc được. Lỡ bị lộ thì cũng dễ dàng xóa tài khoản này đi tạo cái mới mà không cần đi update ở các thiết bị khác. Ngoài ra bác giới hạn được ngày giờ cho phép xử dụng mạng theo tài khoản, không cần quan tâm MAC address hay địa chỉ IP. Tùy hệ thống AP còn tích hợp được quản lý Transfer Rate, Down/Upload Limit.

Với các hệ thống AP trên bác cũng có thể cho mỗi tài khoản đăng nhập vào 1 VLAN riêng biệt, không chỉ bị giới hạn home/guest/iot.

Để làm RADIUS server bác có thể dùng cái User Manager của RouterOS, hay cài FreeRADIUS vào container, hoặc có Windows Server với Active Directory thì dùng luôn cũng được.
 
Back
Top