Sơ đồ mạng văn phòng 10 người với MikroTik: tách mạng khách, nhân viên, camera

Văn phòng 10 người. Một cục WiFi nhà mạng. Đủ không?

Đủ để lên mạng. Nhưng không đủ an toàn. Bài này vẽ lại một sơ đồ mạng gọn cho văn phòng cỡ 10 người: một router MikroTik, một switch PoE, một hoặc hai AP WiFi. Đủ dùng, dễ quản lý, và không mua thừa thiết bị.

Vấn đề của “một cục WiFi nhà mạng”

Phần lớn văn phòng nhỏ bắt đầu như hình trên. Modem WiFi của nhà mạng làm hết mọi việc. Máy tính, máy in, NAS, camera, điện thoại của khách đều nằm chung một mạng.

Chạy thì vẫn chạy. Vấn đề nằm ở chỗ khác:

• Khách xin WiFi là đứng chung mạng với máy kế toán. Điện thoại hay laptop của khách nhìn thấy được NAS, máy in, đầu ghi camera. Chỉ cần một máy nhiễm mã độc là cả văn phòng chịu chung.
• Camera và NAS lộ ra cùng chỗ với mọi thiết bị lạ. Đây là hai thứ chứa dữ liệu nhạy cảm nhất của công ty.
• Không biết ai đang dùng bao nhiêu. Một máy tải nặng là cả văn phòng chậm, và không có chỗ nào để giới hạn.
• Modem WiFi đặt một góc, sóng không phủ đều. Thêm cục phát lặp sóng thì càng rối.

Sơ đồ đề xuất

Ba lớp, từ trên xuống:

1. Router MikroTik hEX S. Nhận Internet từ nhà mạng, chia ra các mạng riêng (VLAN), cấp IP, làm tường lửa giữa các mạng.
2. Switch PoE có quản lý VLAN. Một sợi dây từ router xuống mang cả 4 mạng. Switch chia ra từng cổng: cổng nào cho PC, cổng nào cho AP, cổng nào cho camera.
3. Thiết bị đầu cuối. PC, máy in, NAS cắm dây. AP WiFi và camera cắm vào cổng PoE, một sợi dây vừa có mạng vừa có điện.

Thiết bị

Không cần router đắt tiền hay mạng 10G. Văn phòng 10 người làm việc văn phòng thông thường dùng không hết. Tiền đó nên dành cho switch PoE tốt và AP đặt đúng chỗ.

Chia mạng (VLAN)

Một AP, hai tên WiFi

Đây là phần khách hàng hay hỏi nhất. Không cần hai bộ phát riêng cho khách và nhân viên.

Một AP phát hai tên WiFi, ví dụ CongTy và CongTy-Khach. Mỗi tên gắn với một VLAN:

• Điện thoại nhân viên vào CongTy → VLAN 10, dùng được máy in, NAS.
• Khách vào CongTy-Khach → VLAN 20. Router chỉ cho ra Internet. Thử truy cập NAS hay máy in là bị chặn ngay ở router.

Nên bật thêm chặn các máy khách thấy nhau (client isolation) trên AP cho tên WiFi khách. Khi đó hai khách ngồi cạnh nhau cũng không truy cập được máy của nhau.

Switch PoE: bớt một đống ổ cắm

AP thường gắn trên trần, camera gắn ở góc tường. Hai chỗ đó hiếm khi có sẵn ổ điện.

Với switch PoE, một sợi cáp mạng vừa truyền dữ liệu vừa cấp điện cho AP và camera. Không phải đi thêm dây điện, không phải treo adapter lủng lẳng trên trần. Khi cần khởi động lại AP từ xa, chỉ cần tắt bật cổng PoE trên switch.

Lưu ý khi chọn switch: cộng công suất PoE của tất cả AP và camera, chọn switch có tổng công suất PoE dư ra một khoảng an toàn.

Khi nào cần nâng cấp

Sơ đồ này đủ cho văn phòng khoảng 10 người và còn chỗ thêm máy. Nên tính lại khi:

• Cần Internet không gián đoạn: thêm đường truyền thứ hai, router tự chuyển khi một đường đứt. hEX S vẫn làm được.
• Văn phòng lên nhiều tầng: mỗi tầng cần tủ mạng và switch riêng. Xem tập 2: toà nhà văn phòng 3 tầng.
• Có team dựng video làm việc thẳng trên NAS: lúc đó mới cần mạng 10G, và chỉ ở đoạn NAS với máy dựng.

Dành cho kỹ thuật viên: cấu hình mẫu MikroTik

Cấu hình tham khảo cho RouterOS v7 trên hEX S đã reset không giữ cấu hình mặc định. Quy ước cổng:

• ether1: Internet (modem nhà mạng)
• ether2: trunk xuống switch
• ether3: cổng cứu hộ, cắm laptop vào cấu hình, không nằm trong bridge

Chạy thử trên thiết bị lab trước. Bật vlan-filtering sai thứ tự là mất kết nối tới router; cổng ether3 tồn tại để tránh tình huống đó.

# --- Cổng cứu hộ ---
/ip address add address=192.168.88.1/24 interface=ether3

# --- Bridge và VLAN ---
/interface bridge add name=bridge1 vlan-filtering=no
/interface bridge port add bridge=bridge1 interface=ether2
/interface vlan
add interface=bridge1 name=vlan10-staff vlan-id=10
add interface=bridge1 name=vlan20-guest vlan-id=20
add interface=bridge1 name=vlan30-cam   vlan-id=30
add interface=bridge1 name=vlan99-mgmt  vlan-id=99
/interface bridge vlan
add bridge=bridge1 tagged=bridge1,ether2 vlan-ids=10,20,30,99

# --- Địa chỉ, DHCP ---
/ip address
add address=192.168.10.1/24 interface=vlan10-staff
add address=192.168.20.1/24 interface=vlan20-guest
add address=192.168.30.1/24 interface=vlan30-cam
add address=192.168.99.1/24 interface=vlan99-mgmt
/ip pool
add name=pool10 ranges=192.168.10.100-192.168.10.230
add name=pool20 ranges=192.168.20.10-192.168.20.250
add name=pool30 ranges=192.168.30.100-192.168.30.230
add name=pool99 ranges=192.168.99.100-192.168.99.200
/ip dhcp-server
add name=dhcp10 interface=vlan10-staff address-pool=pool10
add name=dhcp20 interface=vlan20-guest address-pool=pool20 lease-time=1h
add name=dhcp30 interface=vlan30-cam   address-pool=pool30
add name=dhcp99 interface=vlan99-mgmt  address-pool=pool99
/ip dhcp-server network
add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1
add address=192.168.20.0/24 gateway=192.168.20.1 dns-server=192.168.20.1
add address=192.168.30.0/24 gateway=192.168.30.1 dns-server=192.168.30.1
add address=192.168.99.0/24 gateway=192.168.99.1 dns-server=192.168.99.1
/ip dns set allow-remote-requests=yes

# --- Internet (đổi sang PPPoE nếu modem để chế độ bridge) ---
/ip dhcp-client add interface=ether1
/interface list
add name=WAN
add name=LAN
/interface list member
add list=WAN interface=ether1
add list=LAN interface=vlan10-staff
add list=LAN interface=vlan20-guest
add list=LAN interface=vlan30-cam
add list=LAN interface=vlan99-mgmt
/ip firewall nat
add chain=srcnat out-interface-list=WAN action=masquerade

# --- Tường lửa: bảo vệ router ---
/ip firewall filter
add chain=input action=accept connection-state=established,related,untracked
add chain=input action=drop connection-state=invalid
add chain=input action=accept protocol=icmp
add chain=input action=accept in-interface=vlan10-staff comment="Nhan vien quan tri duoc"
add chain=input action=accept in-interface=vlan99-mgmt
add chain=input action=accept in-interface=ether3 comment="Cong cuu ho"
add chain=input action=accept in-interface-list=LAN protocol=udp dst-port=53,67
add chain=input action=accept in-interface-list=LAN protocol=tcp dst-port=53
add chain=input action=drop comment="Chan con lai, gom tu Internet"

# --- Tường lửa: giữa các mạng ---
add chain=forward action=accept connection-state=established,related,untracked
add chain=forward action=drop connection-state=invalid
add chain=forward action=accept in-interface=vlan10-staff comment="Nhan vien di moi noi"
add chain=forward action=accept in-interface-list=LAN out-interface-list=WAN comment="Cac mang ra Internet"
add chain=forward action=drop comment="Chan con lai: khach va camera khong vao noi bo"

# --- Bật lọc VLAN sau cùng ---
/interface bridge set bridge1 vlan-filtering=yes

Phía switch:

• Cổng nối router: trunk, tag VLAN 10, 20, 30, 99.
• Cổng PC, máy in, NAS: access VLAN 10.
• Cổng AP: trunk, tag 10 và 20, VLAN quản trị 99 tuỳ AP hỗ trợ untagged hay tagged.
• Cổng camera, đầu ghi: access VLAN 30.

Nếu camera cần xem từ xa qua ứng dụng của hãng, camera hoặc đầu ghi phải ra được Internet (cấu hình trên đã cho phép). Văn phòng không cần xem từ xa thì nên chặn luôn chiều ra Internet của VLAN 30.

Câu hỏi thường gặp

hEX S có đủ cho 10 người không?
Đủ, và còn dư cho thêm người. Với văn phòng làm việc thông thường, giới hạn thường nằm ở đường truyền nhà mạng chứ không nằm ở router.

Có cần bỏ modem nhà mạng không?
Không bắt buộc. Có thể để modem ở chế độ bridge và để router MikroTik quay PPPoE, hoặc giữ modem làm router rồi cắm MikroTik phía sau. Cách đầu gọn hơn vì chỉ có một lớp NAT.

Văn phòng đang chạy mạng phẳng, chuyển sang có phải ngưng làm việc cả ngày không?
Không. Cấu hình router và switch chuẩn bị trước, thời gian chuyển thực tế thường gói gọn ngoài giờ làm việc. Phần mất thời gian nhất thường là dò lại dây nào đi đâu nếu trước đó không dán nhãn.