thảo luận Cộng đồng người dùng MikroTik Router

Cho em hỏi là anh dùng dnschecker.org để lấy địa chỉ IP SV gần nhất ạ?
Hạn chế connection eror và requested time out ạ?

Không bác ạ. Em chỉ đưa 2 cái link dnschecker kia để cho bác thất là dù ở bất kỳ đâu trên thế giới thì cloudflare-dns.org cũng đều dùng đúng 4 địa chỉ IP đó. Tại vì bọn nó là địa chỉ anycast. Cloudflare có rất nhiều máy chủ khắp thế giới cùng 1 lúc phục vụ các địa chỉ đó. Khi từ nhà bác kết nối vào những địa chỉ IP anycast thì nhà mạng của bác và AS (Autonomous systems) trên đường đi sẽ lái bác đến server gần nhất (nếu mọi thứ hoạt động đúng). Với em ở Hà Nội thì sẽ dùng DNS server của Cloudflare đặt bên Hồng Kông. Các bác trong TPHCM chắc sẽ dùng bên Singapore. Kiểm tra bằng 1.1.1.1/help

1704780313573.png


Với các dịch vụ không có khả năng phân tải bằng cách sử dụng anycast thì họ phải làm các như bác nói. là để DNS trả về các địa chỉ IP khác nhau cho cùng một domain, tùy thuộc vào vị trí địa lý của client. Khi này thì vị trí của cái DNS server bác sử dụng sẽ quan trọng, và bác cần dùng DNS server trong vùng gần bác. Nếu bác dùng DNS server của google hay Cloudflare thì cũng đủ gần rồi, vì bác sẽ dùng DNS server đặt ở HK hay Sing. Nên nếu domain mà geo load balancing bằng cách trả về địa chỉ IP tùy theo vùng thì bác cũng sẽ nhận được địa chỉ ở vùng HK hay Sing thôi, vì phần lớn các CDN đều có server đặt ở hai chỗ này để phục vụ châu Á và Đông Nam Á.
 
Nếu bác đã có thiết bị này rồi thì tiếp tục dùng nó sẽ vẫn OK, tuy nhiên nếu bác dùng 2 đường WAN thì fasttrack sẽ không chạy và theo thông số cái router này chắc bác sẽ được tổng cổng tầm 800Mbps tốc độ NAT sau khi đã cộng cả 2 đường. Đấy là dựa theo bảng thông số ở đây MikroTik (https://mikrotik.com/product/RB3011UiAS-RM#fndtn-testresults) và trên forum MikroTik cũng đã có kiểm chứng với 2 đường WAN con này không quá được tầm đó khi chạy speedtest:


Chưa kể con này từ mỗi cụm 5 cổng chỉ có 1 đường 1Gbps vào từng CPU core thôi (có 2 core) View attachment 2277812

và cắm SPF (SPF chứ không phải SPF+) thì 5 cổng 6-10 chỉ còn chia nhau 1 đường 1Gbps.

Thế nên nếu bác vẫn chưa sắm nó và có budget khoảng 5 triệu thì bác chuyển sang con RB5009 bác nhé. Tốc độ routing sẽ gấp 3 lần. Mới hơn, có cổng SPF+ để đấu vào switch và các cổng đều cắm vào 1 switch chip với đường 10Gbps full-duplex nối với CPU.

View attachment 2277816

Con này sẽ tải đủ 2 đường 1Gbps bác ạ.
theo bác băng thông gói cước tầm 250-300Mbps, thiết bị trong nhà gồm 5 Cam wifi, 2 đt, 1 ipad, 1 macbook, 2 loa Google, 5 IoT (gồm công tắc và cảm biến), thì 750Gr3 vẫn bem tốt nhỉ, thích vọc vạch mà đang dính với OpenWRT trên R2S rồi :v
Còn con 760igs thì sao bác?
 
Không bác ạ. Em chỉ đưa 2 cái link dnschecker kia để cho bác thất là dù ở bất kỳ đâu trên thế giới thì cloudflare-dns.org cũng đều dùng đúng 4 địa chỉ IP đó. Tại vì bọn nó là địa chỉ anycast. Cloudflare có rất nhiều máy chủ khắp thế giới cùng 1 lúc phục vụ các địa chỉ đó. Khi từ nhà bác kết nối vào những địa chỉ IP anycast thì nhà mạng của bác và AS (Autonomous systems) trên đường đi sẽ lái bác đến server gần nhất (nếu mọi thứ hoạt động đúng). Với em ở Hà Nội thì sẽ dùng DNS server của Cloudflare đặt bên Hồng Kông. Các bác trong TPHCM chắc sẽ dùng bên Singapore. Kiểm tra bằng 1.1.1.1/help

View attachment 2279566

Với các dịch vụ không có khả năng phân tải bằng cách sử dụng anycast thì họ phải làm các như bác nói. là để DNS trả về các địa chỉ IP khác nhau cho cùng một domain, tùy thuộc vào vị trí địa lý của client. Khi này thì vị trí của cái DNS server bác sử dụng sẽ quan trọng, và bác cần dùng DNS server trong vùng gần bác. Nếu bác dùng DNS server của google hay Cloudflare thì cũng đủ gần rồi, vì bác sẽ dùng DNS server đặt ở HK hay Sing. Nên nếu domain mà geo load balancing bằng cách trả về địa chỉ IP tùy theo vùng thì bác cũng sẽ nhận được địa chỉ ở vùng HK hay Sing thôi, vì phần lớn các CDN đều có server đặt ở hai chỗ này để phục vụ châu Á và Đông Nam Á.
Vậy theo anh địa chỉ DoH server quan trọng hay DNS static quan trọng hơn ạ?
Bởi vì em test theo DNS static của Singapore thì cứ bị requested times out và của em thường hay bị trỏ đi HongKong ạ!
 
theo bác băng thông gói cước tầm 250-300Mbps, thiết bị trong nhà gồm 5 Cam wifi, 2 đt, 1 ipad, 1 macbook, 2 loa Google, 5 IoT (gồm công tắc và cảm biến), thì 750Gr3 vẫn bem tốt nhỉ, thích vọc vạch mà đang dính với OpenWRT trên R2S rồi :v
Còn con 760igs thì sao bác?
Băng thông và thiết bị như thế 750Gr3 vẫn chạy tốt. Nó còn chạy được đường 1Gbps (tức là speedtest ra 940Mbps) nếu bác dùng cái cấu hình mặc định (tức là cấu hình sau khi reset và có default configuration). Nó chỉ không tải nổi 1Gbps lúc bác dùng IPv6 hay vì lý do nào đó khi phải tắt Fasttrack thôi. Khi đó speedtest nó còn tầm 250Mbps với RouterOS7, với bản 6 thì tầm 300Mbps vẫn được. Các số này là thực tế em đã trải nghiệm ạ. Giờ bật IPv6 thì rất nhiều dịch vụ dùng IPv6 mặc định luôn (các hệ điều hành mới đều ưu tiên dùng IPv6 trước IPv4 nếu có cả 2) nên nếu dùng con hEX thì bác tắt IPv6 nếu cần dùng hết đường 1Gbps. Còn bác đường 300Mbps thì bật cũng không sao.

Còn con hEX S 760iGS ngoài cổng SPF ra thì phần cứng giống hệt con hEX 750Gr3 bác ạ. Cùng chip, RAM, Flash, cùng thông số test tốc độ do MikroTik cung cấp.


 
Last edited:
Vậy theo anh địa chỉ DoH server quan trọng hay DNS static quan trọng hơn ạ?
Bởi vì em test theo DNS static của Singapore thì cứ bị requested times out và của em thường hay bị trỏ đi HongKong ạ!
Cái địa chỉ Static của mấy cái DoH domain cần phải add vào vì là lúc bật router lên, nối vào mạng và chỉ có mỗi "Use DoH Server" trong cấu hình như kiểu này

1704781903901.png


Thì RouterOS không biết cách nào mà nối vào cái mozilla.cloudflare-dns.com như trong hình, hoặc cloudflare-dns.com hay dns.google hay bất kỳ tên miền nào khác. Vì bình thường muốn tìm địa chỉ IP để kết nối nó cần hỏi DNS server. Thế nên em mới phải add những domain đó vào bảng static, để RouterOS biết phải nối vào đâu. Sau khi đã có kết nối với server DoH rồi thì nó sẽ dùng được server đó khi cần resolve các domain khác, nên không cần thêm gì vào bảng static nữa làm gì bác ạ.

Bác không muốn phải điền mấy cái entry cho mấy cái domain DoH thì bác có thể dùng

Code:
https://1.1.1.1/dns-query

ở chỗ Use DoH Server. Vì lúc này khi mới bật lên RouterOS có đủ thông tin cần để nối vào server DoH rồi vì có cái địa chỉ IP 1.1.1.1 lù lù ở đó :).

Nếu DoH của Cloudflare không hoạt động tốt với mạng nhà bác thì bác chuyển thử sang của Google hay NextDNS, đều tương thích với RouterOS.
 
Last edited:
Em mới nhập môn con này các bác cho em hỏi :
Em có 1 con 2 cổng SFP+ to RJ45 <=== 2 cổng này em làm 1 WAN, 1 LAN. Cổng 2-11 em nhóm Bridge
Mô hình ONT nhà mạng ---> WAN, LAN--->switch.
Em cấu hình như trong hình vậy đúng hay sai các bác, đã dùng được bình thường.
View attachment 2279480
Thêm 1 phần nữa thông số MTU trên interface của WAN có tùy chỉnh hay không ? hay để mặc định là 1500. Trước xài con khác call zalo bình thường giờ mạng có, tốc độ có, nhưng zalo nó gọi chập chờn.
Cảm ơn các bác.

Thiết bị của bác là gì ạ? Có 2 cổng SFP+ và 10 cổng Ethernet ạ? Và bác chỉ sử dụng 2 cổng SFP+ còn không dùng gì các cổng Ethernet của cái Bridge1? Bác có thể chụp hình cái cửa sổ Interfaces không ạ. Hoặc paste output của lệnh /interface print trong Terminal.

Nếu Bridge1 và LAN là 2 interface riêng biệt thì cấu hình địa chỉ như thế kia không hợp lý cho lắm, vì 172.16.0.1 nó thuộc dải 172.16.0.0/22. Bác có thể chụp hình bảng IP - Route được không ạ? (hoặc lệnh /ip route print).

Nếu bác dùng leased line thì MTU 1500 chắc là ok. Để kiểm chứng bác mở cửa sổ dòng lệnh, chạy
Code:
ping -f -l 1472 cnn.com
với Windows hoặc
Code:
ping -4 -s 1472 -c 4 cnn.com
với Linux mà không có báo lỗi gì và 100% received thì MTU đó OK. Bác kiểm tra thêm ở trang SpeedGuide - Broadband, Wireless, Network Security (https://speedguide.net/analyzer.php), nó hiện MTU 1500 và MSS 1460 là OK.
 
Thiết bị của bác là gì ạ? Có 2 cổng SFP+ và 10 cổng Ethernet ạ? Và bác chỉ sử dụng 2 cổng SFP+ còn không dùng gì các cổng Ethernet của cái Bridge1? Bác có thể chụp hình cái cửa sổ Interfaces không ạ. Hoặc paste output của lệnh /interface print trong Terminal.

Nếu Bridge1 và LAN là 2 interface riêng biệt thì cấu hình địa chỉ như thế kia không hợp lý cho lắm, vì 172.16.0.1 nó thuộc dải 172.16.0.0/22. Bác có thể chụp hình bảng IP - Route được không ạ? (hoặc lệnh /ip route print).

Nếu bác dùng leased line thì MTU 1500 chắc là ok. Để kiểm chứng bác mở cửa sổ dòng lệnh, chạy
Code:
ping -f -l 1472 cnn.com
với Windows hoặc
Code:
ping -4 -s 1472 -c 4 cnn.com
với Linux mà không có báo lỗi gì và 100% received thì MTU đó OK. Bác kiểm tra thêm ở trang SpeedGuide - Broadband, Wireless, Network Security (https://speedguide.net/analyzer.php), nó hiện MTU 1500 và MSS 1460 là OK.
Cám ơn bác

Mình đang cùng CRR2116-12G-4S. Cơ bản là muốn 1 cổng SFP(LAN) có ip 172.16.0.1/22, nhóm
bridge thì vẫn chưa đụng gì tới, tương lai tính để nó làm switch LAN luôn.
Hình route đây thím
2024-01-09_14-28-46.jpg

Còn đây là hình MTU
2024-01-09_14-24-39.jpg

2024-01-09_14-25-37.jpg


Cám ơn bác lần nữa.
 
Cám ơn bác

Mình đang cùng CRR2116-12G-4S. Cơ bản là muốn 1 cổng SFP(LAN) có ip 172.16.0.1/22, nhóm
bridge thì vẫn chưa đụng gì tới, tương lai tính để nó làm switch LAN luôn.
Hình route đây thím View attachment 2279742
Còn đây là hình MTU
View attachment 2279744
View attachment 2279745

Cám ơn bác lần nữa.
MTU 1500 của bác như thế là hoạt động không có vấn đề gì ạ. Các vấn đề nếu có là không phải do MTU đâu ạ.

Con CCR2116-12G-4S+ của bác là dòng đỉnh cao hiện thời của router MikroTik và hỗ trợ gần như tất cả các tính năng phần cứng đặc biệt mà RouterOS hỗ trợ đó ạ. Trên tài liệu của CRS3xx, CRS5xx, CCR2116, CCR2216 switch chip features - RouterOS - MikroTik Documentation (https://help.mikrotik.com/docs/display/ROS/CRS3xx%2C+CRS5xx%2C+CCR2116%2C+CCR2216+switch+chip+features) bác sẽ thấy những ghi chú cấu hình đặt biệt cần áp dụng để dùng được toàn bộ khả năng tăng tốc phần cứng, bao gồm cả Layer 3 Hardware Offloading.

Tất cả các cổng của con router này (trừ cổng Management) đều cắm vào 1 cái switch chip 98DX3255.

1704788237125.png


Do đó, như cái link ở trên nói, cũng như bài đề cập về các lỗi hay mắc phải khi cấu hình Layer 2 này

Layer2 misconfiguration - RouterOS - MikroTik Documentation (https://help.mikrotik.com/docs/display/ROS/Layer2+misconfiguration#Layer2misconfiguration-Bridgesonasingleswitchchip),

Hay phần ghi điều kiện để tăng tốc phần cứng cho Layer 3 hoạt động được ở đây L3 Hardware Offloading - RouterOS - MikroTik Documentation (https://help.mikrotik.com/docs/display/ROS/L3+Hardware+Offloading#L3HardwareOffloading-Layer2Dependency)

1704789800932.png

Là bác chỉ được tạo 1 cái bridge duy nhất thôi. Cái bridge này sẽ tận dụng được tất cả các tính năng tăng tốc phần cứng, mà con router của bác hỗ trợ nhiều nhất trong các sản phẩm của MikroTik:


Tức là bác tách ra các cổng làm cổng WAN nếu bác muốn (hiện thời là 1 cái cổng SPF+). Các cổng còn lại bác tống hết vào 1 cái bridge chung duy nhất và xóa các bridge còn lại đi. Sau này bác muốn tách mạng LAN hay tách các cổng LAN ra thì bác sẽ cấu hình VLAN, và để hardware acceleration hoạt động với con CCR2116 của bác thì bác phải cấu hình VLAN theo cách Bridge VLAN Filtering (các VLAN thiết lập trên cái bridge chính này và là con của bridge chính):


Nhưng phần này để sau, hiện bác chưa dùng gì ngoài 1 mạng thì chưa cần thiết lập VLAN. Bác cứ bỏ 3 cổng SPF+ không phải cổng WAN và 12 cổng GbE vào 1 cái bridge duy nhất đi đã. Sau đó bác vào IP - Address gán dải địa chỉ 172.16.0.1/22 lên cái bridge. Vào chạy DHCP setup cấu hình DHCP cho cái bridge này (dù hiên giờ bác mới cắm có 1 cổng). Sau đó cấu hình tường lửa và NAT. Bác nên tạo 1 interface list WAN cho cái cổng SPF+ WAN vào, và 1 interface list tên là LAN, nhét cái bridge chính này vào đó. Sau đó bác có thể copy cái cấu hình tường lửa default của MikroTik vào sử dụng nếu không muốn tự cấu hình từ đầu. Hoặc copy các phần từ đây


Bác có thể bỏ qua các rule ở phần RAW filtering bên dưới trang đó. Chỉ cần áp dụng các rule cho đến chỗ Masquerade Local Network trên đó là đủ.
 
Nhưng phần này để sau, hiện bác chưa dùng gì ngoài 1 mạng thì chưa cần thiết lập VLAN. Bác cứ bỏ 3 cổng SPF+ không phải cổng WAN và 12 cổng GbE vào 1 cái bridge duy nhất đi đã. Sau đó bác vào IP - Address gán dải địa chỉ 172.16.0.1/22 lên cái bridge. Vào chạy DHCP setup cấu hình DHCP cho cái bridge này (dù hiên giờ bác mới cắm có 1 cổng). Sau đó cấu hình tường lửa và NAT. Bác nên tạo 1 interface list WAN cho cái cổng SPF+ WAN vào, và 1 interface list tên là LAN, nhét cái bridge chính này vào đó. Sau đó bác có thể copy cái cấu hình tường lửa default của MikroTik vào sử dụng nếu không muốn tự cấu hình từ đầu. Hoặc copy các phần từ đây
Cám ơn thím, chỗ bôi đen này là như trong hình đúng không thím, sau đó xóa cái interface LAN kia ra ( Interface LAN đang là SFP số 2), add cái SFP số 2 vào Bridge. Xong mình cứ cắm bình thường từ cổng LAN SFP đến switch hệ thống . DHCP thì mình không cần vì có DHCP DNS server riêng rồi.
P/S 2 cổng SFP của mình đang là SFP to RJ45 10Gbps.
2024-01-09_15-53-59.jpg
 
Cám ơn thím, chỗ bôi đen này là như trong hình đúng không thím, sau đó xóa cái interface LAN kia ra ( Interface LAN đang là SFP số 2), add cái SFP số 2 vào Bridge. Xong mình cứ cắm bình thường từ cổng LAN SFP đến switch hệ thống . DHCP thì mình không cần vì có DHCP DNS server riêng rồi.
P/S 2 cổng SFP của mình đang là SFP to RJ45 10Gbps.
View attachment 2279906

Vâng bác, nhưng bác đừng để 0.0/22. Chỗ đó bác chọn luôn địa chỉ sẽ làm địa chỉ IP của con router trên cái bridge. Thí dụ 172.16.0.10/22. Hoặc .1 nếu chưa con nào khác trong LAN của bác dùng nó. Cổng SPF+ bác nối vào RJ45 10Gbps thì trên cái bridge vẫn đối xử với bọn không khác biệt gì so với các cổng RJ45 GbE bình thường khác của con router. Và con router của bác thừa khả năng routing với switching tốc độ đó ạ.
 
Cái địa chỉ Static của mấy cái DoH domain cần phải add vào vì là lúc bật router lên, nối vào mạng và chỉ có mỗi "Use DoH Server" trong cấu hình như kiểu này

View attachment 2279622

Thì RouterOS không biết cách nào mà nối vào cái mozilla.cloudflare-dns.com như trong hình, hoặc cloudflare-dns.com hay dns.google hay bất kỳ tên miền nào khác. Vì bình thường muốn tìm địa chỉ IP để kết nối nó cần hỏi DNS server. Thế nên em mới phải add những domain đó vào bảng static, để RouterOS biết phải nối vào đâu. Sau khi đã có kết nối với server DoH rồi thì nó sẽ dùng được server đó khi cần resolve các domain khác, nên không cần thêm gì vào bảng static nữa làm gì bác ạ.

Bác không muốn phải điền mấy cái entry cho mấy cái domain DoH thì bác có thể dùng

Code:
https://1.1.1.1/dns-query

ở chỗ Use DoH Server. Vì lúc này khi mới bật lên RouterOS có đủ thông tin cần để nối vào server DoH rồi vì có cái địa chỉ IP 1.1.1.1 lù lù ở đó :).

Nếu DoH của Cloudflare không hoạt động tốt với mạng nhà bác thì bác chuyển thử sang của Google hay NextDNS, đều tương thích với RouterOS.
DoH server connection error: Network unreachable
lỗi này hoài anh chưa tìm ra cách fix ạ!
 
Mọi người cho em hỏi với, em reset con Mikrotik RB3011 xong thì màn hình nhỏ hiển thị
user - pass - ip

Nhưng em connect bằng 192.168.88.1, winbox, netinstall thì đều không thể kết nối được, các bác biết nguyên nhân tại sao không, chỉ giúp em với, cảm ơn các bác nhiều

@CGGX_ANNX bác chỉ giúp em với a
3tr5 là có bác trên này bán N100 4 cổng 2,5Gb có vẻ ngon hơn RB3011 nhưng bạn phải tự cấu hình, không được hỗ trợ từ hãng.
 
Em test thấy time out anh!
Như thế là không có route từ router đến server đó rồi. Bác thử dùng lệnh ping đó nhưng thay địa chỉ IP thành 151.101.67.5 hoặc 111.65.250.2 (địa chỉ của cnn.com với vnexpress.net) xem cũng bị như thế hay không. Bác có dùng nhiều đường WAN một lúc không? Bác vào IP - Routes, xem trong bảng "main" có route nào tới 0.0.0.0/0 mà gateway là kết nối Internet của bác không?
 
Hi các bác lại là em trồi lên hỏi han vài thứ. Không rõ có thể gọi là nguy cơ về bảo mật hay không?
2-3 hôm nay thì em có vào trong Firewall/Connections thì thấy nó phát sinh lên tới 500-600 items và chủ yếu nó đi từ con NAS và con router PC của em ra ngoài. Cũng như từ ngoài trỏ về IP WAN của em.
Máy đó em dùng Debian 12 chạy một vài dịch vụ
  • Cloudflare Tunnel
  • Docker : 6 Container
- Portainer
- Watchtower
- Litespeed/mySQL
- 2 WikiJS
  • Qbittorrent
  • Octoprint
  • SMB server
  • Plex server
Gần đây thì em chỉ có kéo 2 cái file torrent cài đặt của Fedora 36 qua web.archive.org do không lấy được link trên trang chủ.
Hôm qua cũng mới thay con main công nghiệp D2550 qua PC Router N4100 mua của bác @baohen1510
Và em cũng thấy kết nối từ con đó đi ra một vài trang nhà mạng của TQ.
Em có kiểm tra ngẫu nhiên một vài IP thì thấy các cái em kiểm tra đều thuộc các công ty cung cấp cloud,vps,nhà mạng hoặc tương tự thế. Đến chủ yếu là từ Châu Âu, Ấn,TQ.
Em chưa có kinh nghiệm nhiều trong cái khoản này nên không rõ như thế thì có gì đáng lo ngại không ạ? Và có cần làm gì để an toàn hơn không ạ.
 
Như thế là không có route từ router đến server đó rồi. Bác thử dùng lệnh ping đó nhưng thay địa chỉ IP thành 151.101.67.5 hoặc 111.65.250.2 (địa chỉ của cnn.com với vnexpress.net) xem cũng bị như thế hay không. Bác có dùng nhiều đường WAN một lúc không? Bác vào IP - Routes, xem trong bảng "main" có route nào tới 0.0.0.0/0 mà gateway là kết nối Internet của bác không?
Em dùng một đường dây internet thôi anh!
Không biết lỗi do đâu nữa ạ!
 
Back
Top