Hướng dẫn chia VLAN trên Switch Core MikroTik kết hợp Access Point TP-Link Omada

Trong các hạ tầng mạng doanh nghiệp hiện đại, việc quản lý tập trung và phân tách luồng dữ liệu là yếu tố sống còn để đảm bảo an ninh thông tin và hiệu suất vận hành. Giải pháp sử dụng Switch Core MikroTik làm trung tâm điều phối kết hợp với hệ thống Access Point TP-Link Omada đang trở thành xu hướng nhờ tính linh hoạt, khả năng mở rộng cao và chi phí tối ưu. Bài viết này sẽ hướng dẫn chi tiết quy trình chia vlan mikrotik và cấu hình đồng bộ trên nền tảng Omada SDN.

1. VLAN là gì? Vì sao doanh nghiệp cần chia VLAN?

Trước khi bắt đầu cấu hình trên MikroTik và TP-Link Omada, cần hiểu rõ VLAN là gì và lý do vì sao công nghệ này được sử dụng rộng rãi trong các hệ thống mạng doanh nghiệp.

1.1. Khái niệm VLAN

VLAN (Virtual Local Area Network) hay mạng cục bộ ảo, là một kỹ thuật trên thiết bị chuyển mạch (Switch) cho phép phân tách một mạng vật lý duy nhất thành nhiều mạng logic độc lập. Theo tiêu chuẩn IEEE 802.1Q, các gói tin trong VLAN sẽ được gắn một “Tag” (VLAN ID) để các thiết bị mạng phân biệt luồng dữ liệu thuộc về phân vùng nào.

1.2. Lợi ích của việc phân chia VLAN

Việc triển khai chia vlan mikrotik mang lại những giá trị kỹ thuật cốt lõi:

• Tăng bảo mật: Các phòng ban như Kế toán, Nhân sự hoặc hệ thống Server được cô lập hoàn toàn với mạng khách (Guest) hoặc các thiết bị IoT kém bảo mật, ngăn chặn sự lây lan của mã độc trong mạng nội bộ.
• Giảm Broadcast: Trong một mạng phẳng (Flat Network), các gói tin Broadcast sẽ được gửi tới tất cả các cổng. VLAN chia nhỏ miền Broadcast (Broadcast Domain), giúp giảm tải băng thông và tài nguyên xử lý cho thiết bị đầu cuối.
• Quản lý dễ dàng: Người quản trị có thể nhóm các nhân viên theo chức năng nghiệp vụ thay vì vị trí địa lý. Việc di chuyển vị trí ngồi không làm thay đổi cấu trúc mạng của nhân viên đó.
• Tối ưu hiệu suất mạng: Phân bổ băng thông (QoS) theo từng VLAN giúp ưu tiên các luồng dữ liệu quan trọng như Voice IP hoặc Video Conferencing.

1.3. Những mô hình VLAN phổ biến

Một sơ đồ quy hoạch VLAN chuẩn cho doanh nghiệp thường bao gồm:

• VLAN Nhân viên (Staff): Truy cập tài nguyên nội bộ và internet.
• VLAN Khách (Guest): Chỉ truy cập internet, bị chặn truy cập vào mạng nội bộ.
• VLAN Camera: Dành riêng cho hệ thống giám sát, yêu cầu băng thông ổn định.
• VLAN Server: Chứa dữ liệu quan trọng, kiểm soát truy cập nghiêm ngặt.
• VLAN IoT: Dành cho các thiết bị như máy chấm công, cảm biến, máy in.

2. Tổng quan mô hình Switch Core MikroTik kết hợp TP-Link Omada

Sự kết hợp giữa MikroTik và TP-Link Omada tạo nên một hệ thống mạng lai mạnh mẽ: MikroTik đảm nhiệm phần xử lý Layer 3 phức tạp, trong khi Omada cung cấp trải nghiệm WiFi Layer 2 mượt mà.

2.1. Vai trò của Switch Core MikroTik

MikroTik đóng vai trò là “bộ não” của hệ thống. Các dòng Switch CRS (Cloud Router Switch) của MikroTik hỗ trợ tính năng Hardware Offloading, cho phép chuyển mạch ở tốc độ dây (Wire-speed) trong khi vẫn duy trì các tính năng định tuyến giữa các VLAN (Inter-VLAN Routing). MikroTik sẽ quản lý toàn bộ VLAN Table, DHCP Server và Firewall.

2.2. Vai trò của Access Point TP-Link Omada

Các dòng EAP của TP-Link Omada nhận tín hiệu từ Switch Core qua đường truyền Trunk (Tagged). Các AP này có khả năng phát nhiều SSID đồng thời, mỗi SSID được gán với một VLAN ID tương ứng. Điều này cho phép người dùng WiFi được tự động phân loại vào đúng mạng nội bộ hoặc mạng khách dựa trên SSID họ kết nối.

2.3. Mô hình triển khai thực tế

Core: MikroTik CRS326-24G-2S+RM.

Edge: TP-Link EAP650 (WiFi 6).

Kết nối: Port 1 trên MikroTik kết nối với Router tổng. Port 24 trên MikroTik cấu hình Trunk Port kết nối với Access Point.

Phân vùng:

• VLAN 10 – Staff (192.168.10.0/24)
• VLAN 20 – Guest (192.168.20.0/24)
• VLAN 30 – Camera (192.168.30.0/24)
• VLAN 40 – Server (192.168.40.0/24)

3. Điều kiện cần chuẩn bị trước khi cấu hình

Trước khi triển khai chia VLAN giữa MikroTik và TP-Link Omada, doanh nghiệp cần đảm bảo hệ thống đáp ứng đầy đủ các yêu cầu về phần cứng và phần mềm. Việc lựa chọn đúng thiết bị hỗ trợ VLAN, sử dụng phiên bản RouterOS phù hợp và chuẩn bị sẵn nền tảng quản lý Omada Controller sẽ giúp quá trình cấu hình diễn ra thuận lợi, đồng thời đảm bảo hiệu năng và tính ổn định khi đưa vào vận hành thực tế.

3.1. Thiết bị MikroTik hỗ trợ VLAN

Để đạt hiệu suất tốt nhất khi chia vlan mikrotik, nên sử dụng các thiết bị chạy chip chuyển mạch Marvell hoặc Realtek hỗ trợ Bridge VLAN Filtering:

• CRS326/CRS328: Phù hợp cho Core Switch doanh nghiệp vừa.
• CRS354: Dành cho mật độ cổng cao.
• CSS610: Switch Layer 2 cơ bản nếu không cần định tuyến mạnh.

3.2. Thiết bị TP-Link Omada hỗ trợ VLAN

Mọi Access Point thuộc dòng EAP đều hỗ trợ gắn tag VLAN. Các model tiêu biểu:

• EAP610/EAP650: Chuẩn WiFi 6, hiệu năng cao cho văn phòng.
• EAP670/EAP683: Dành cho khu vực mật độ người dùng cực lớn.

3.3. RouterOS phiên bản khuyến nghị

Nên sử dụng RouterOS v7.x khi triển khai VLAN trên MikroTik để đảm bảo khả năng tương thích tốt với mô hình Bridge VLAN Filtering. Phiên bản này mang lại hiệu năng ổn định hơn, hỗ trợ nhiều tính năng VLAN hiện đại và hỗ trợ L3 Hardware Offloading trên các dòng CRS3xx, giúp tăng hiệu suất định tuyến giữa các VLAN. Trước khi cấu hình, nên cập nhật RouterOS lên phiên bản ổn định mới nhất để đảm bảo tính bảo mật và khả năng vận hành.

3.4. Omada Controller

Để quản lý tập trung hệ thống TP-Link Omada, bạn cần sử dụng Omada Software Controller (cài trên PC hoặc Server) hoặc Omada Hardware Controller như OC200, OC300. Omada Controller cho phép tạo SSID, gán VLAN ID cho từng mạng WiFi, quản lý Access Point tập trung và triển khai cấu hình đồng bộ trên toàn hệ thống. Đây là thành phần quan trọng giúp kết nối và vận hành hiệu quả mô hình VLAN giữa MikroTik và TP-Link Omada.

4. Thiết kế VLAN cho doanh nghiệp

Trước khi tiến hành cấu hình trên Switch Core MikroTik và hệ thống Access Point TP-Link Omada, doanh nghiệp cần xây dựng sơ đồ VLAN rõ ràng. Việc quy hoạch ngay từ đầu giúp hệ thống dễ quản lý, nâng cao khả năng bảo mật, hạn chế broadcast không cần thiết và thuận tiện khi mở rộng trong tương lai.

4.1. Bảng quy hoạch VLAN

Đây là bước quan trọng nhất trước khi bắt tay vào cấu hình thực tế. Mỗi phòng ban hoặc nhóm thiết bị sẽ được tách thành một VLAN riêng biệt nhằm kiểm soát lưu lượng và phân quyền truy cập hiệu quả hơn.

4.2. Quy hoạch IP

Sau khi xác định các VLAN, bước tiếp theo là xây dựng sơ đồ địa chỉ IP cho từng phân vùng mạng. Nên sử dụng các dải địa chỉ Private theo chuẩn RFC1918, phổ biến nhất là dải Class C (/24) vì dễ quản lý, dễ ghi nhớ và phù hợp với phần lớn doanh nghiệp vừa và nhỏ.

Ví dụ:

Một số nguyên tắc cần lưu ý:

• Mỗi VLAN phải sử dụng một subnet riêng biệt.
• Không để các dải IP bị chồng lấn giữa các VLAN.
• Đặt Gateway là địa chỉ đầu tiên của subnet để dễ quản trị.
• Nên dành một khoảng IP cố định cho các thiết bị quan trọng như Server, NVR, Camera hoặc máy in mạng.
• DHCP nên được triển khai trên MikroTik để quản lý tập trung việc cấp phát IP.

4.3. Chính sách truy cập giữa các VLAN

Sau khi hoàn tất việc phân chia Vlan Mikrotik, doanh nghiệp cần xây dựng chính sách Inter-VLAN Routing phù hợp để đảm bảo vừa đáp ứng nhu cầu sử dụng vừa duy trì mức độ bảo mật cần thiết.

• Staff được phép truy cập Server và Camera.
• Guest chỉ được truy cập WAN, bị Drop toàn bộ kết nối tới các VLAN khác.
• Camera chỉ được phép truyền dữ liệu về đầu ghi (NVR) trong VLAN Camera hoặc Server.

5. Hướng dẫn cấu hình VLAN trên Switch Core MikroTik

Kể từ phiên bản RouterOS v6.41 trở lên, MikroTik khuyến nghị sử dụng mô hình Bridge VLAN Filtering thay vì cấu hình VLAN trực tiếp trên từng switch chip như trước đây. Phương pháp này giúp tận dụng tối đa khả năng chuyển mạch phần cứng (Hardware Offload), đồng thời đơn giản hóa việc quản lý VLAN trên toàn bộ hệ thống.

5.1. Tạo Bridge VLAN Filtering

Đầu tiên, tạo một Bridge chung cho tất cả các Port.

Lưu ý: Luôn để vlan-filtering=no trong khi đang cấu hình để tránh mất kết nối đột ngột.

5.2. Tạo VLAN Interface

Tạo các Interface ảo cho mục đích định tuyến (L3).

5.3. Cấu hình Trunk Port

Trunk Port là cổng truyền dẫn nhiều VLAN (thường là cổng nối giữa Switch-Switch hoặc Switch-AP). Giả sử cổng ether24 nối tới EAP Omada.

5.4. Cấu hình Access Port

Access Port là cổng chỉ thuộc về một VLAN duy nhất (nối tới máy tính, camera). Giả sử ether2 thuộc VLAN 10.

5.5. Gán PVID

PVID (Port VLAN ID) là tham số dùng để xác định VLAN mặc định cho một cổng Access trên Switch MikroTik. Khi một thiết bị đầu cuối gửi dữ liệu vào switch mà không mang VLAN Tag (Untagged), switch sẽ tự động gắn VLAN ID tương ứng với giá trị PVID đã được cấu hình cho cổng đó.

Nói cách khác, PVID giúp MikroTik biết thiết bị đang kết nối vào cổng nào thuộc VLAN nào, ngay cả khi thiết bị đó không hỗ trợ hoặc không được cấu hình VLAN.

5.6. Kiểm tra VLAN hoạt động

Sau khi cấu hình xong, kích hoạt VLAN filtering:

Sử dụng lệnh /interface bridge vlan print để kiểm tra bảng trạng thái. Các port phải hiển thị đúng trạng thái Tagged và Untagged.

6. Hướng dẫn cấu hình VLAN trên TP-Link Omada

Sau khi MikroTik đã sẵn sàng truyền tải các VLAN Tagged trên cổng Trunk, chúng ta tiến hành cấu hình trên giao diện Omada Controller.

6.1. Tạo Wireless Network

Truy cập Settings > Wireless Networks > Create New Wireless Network.

6.2. Gán VLAN ID cho SSID

Tại mục cấu hình SSID:

• SSID Name: Nhập “Company-Wifi”.
• Password: Nhập mật khẩu bảo mật.
• Advanced Settings: Tích chọn VLAN.
• VLAN ID: Nhập 10 (Tương ứng với VLAN Staff trên MikroTik).

Lặp lại thao tác cho SSID “Guest-Wifi” với VLAN ID là 20.

6.3. Cấu hình Uplink Trunk

Mặc định, các Access Point EAP của Omada chấp nhận tất cả các VLAN Tagged trên cổng LAN của nó. Tuy nhiên, nếu bạn sử dụng Switch Omada (như dòng SG2210P), bạn phải đảm bảo cổng nối giữa Switch MikroTik và Switch Omada cũng được cấu hình là Trunk (Tagged all).

6.4. Kiểm tra thiết bị nhận IP đúng VLAN

Kết nối điện thoại hoặc laptop vào SSID “Guest-Wifi”. Nếu thiết bị nhận IP dải 192.168.20.x, việc chia vlan mikrotik và cấu hình Omada đã thành công.

7. Thiết lập DHCP và Routing giữa các VLAN

Để các thiết bị trong VLAN có thể ra internet và liên lạc với nhau (nếu được phép), MikroTik cần đóng vai trò Gateway.

7.1. DHCP Server cho từng VLAN

Thực hiện gán địa chỉ IP cho các VLAN Interface:

Tạo DHCP Setup cho từng Interface tương ứng để cấp phát IP tự động.

7.2. Inter-VLAN Routing

Mặc định, MikroTik sẽ tự động định tuyến giữa các VLAN Interface có địa chỉ IP. Nếu bạn có thể Ping từ VLAN 10 sang VLAN 20, nghĩa là định tuyến đang hoạt động.

7.3. Chặn truy cập giữa các VLAN bằng Firewall

Để đảm bảo an ninh, cần chặn mạng Khách (VLAN 20) truy cập vào mạng Nội bộ (VLAN 10):

8. Những lỗi thường gặp khi cấu hình VLAN MikroTik và Omada

Trong quá trình triển khai chia Vlan Mikrotik kết hợp với hệ thống TP-Link Omada, không ít quản trị viên gặp phải các sự cố khiến thiết bị không nhận IP, không truy cập được mạng hoặc VLAN hoạt động không đúng như thiết kế. Phần lớn các lỗi đều xuất phát từ việc cấu hình chưa đồng nhất giữa MikroTik, Switch và Access Point. Dưới đây là những lỗi phổ biến nhất cùng cách kiểm tra và khắc phục.

• Thiết bị không nhận IP: Thường do thiếu Tagged VLAN trên Bridge hoặc cổng Trunk. Cách xử lý là kiểm tra lại mục /interface bridge vlan, đảm bảo bridge1 luôn là thành viên Tagged của tất cả các VLAN ID.
• VLAN Tag sai: Nguyên nhân có thể do nhầm lẫn giữa Tagged (Trunk) và Untagged (Access). Cách xử lý làPort nối AP phải là Tagged, Port nối PC phải là Untagged với PVID tương ứng.
• Trunk Port cấu hình chưa đúng: Nhiều kỹ thuật viên quên khai báo VLAN ID trên cổng Trunk trong Bridge VLAN Table, dẫn đến gói tin bị Drop ngay tại lớp 2.
• DHCP không cấp phát: Kiểm tra xem DHCP Server đã được gán đúng vào Interface VLAN chưa, hay đang gán nhầm vào Interface vật lý (ether).
• Omada không truyền VLAN: Đảm bảo bạn đã lưu cấu hình (Provisioning) trên Controller. Đôi khi việc khởi động lại Access Point là cần thiết để áp dụng các thay đổi về VLAN SSID.

9. Kết luận

Quy trình chia vlan mikrotik kết hợp với giải pháp WiFi TP-Link Omada là một phương án kỹ thuật tối ưu cho hạ tầng mạng doanh nghiệp. Sự kết hợp này không chỉ tận dụng được sức mạnh xử lý gói tin vượt trội của RouterOS mà còn đem lại sự tiện lợi trong quản lý sóng WiFi tập trung. Việc tuân thủ nghiêm ngặt các bước cấu hình Bridge VLAN Filtering và quy hoạch IP bài bản sẽ giúp hệ thống mạng vận hành ổn định, bảo mật và dễ dàng bảo trì trong tương lai. Hy vọng bài hướng dẫn chuyên sâu này đã cung cấp đầy đủ kiến thức cần thiết để bạn triển khai thành công hệ thống VLAN cho doanh nghiệp của mình.