Sơ đồ mạng toà nhà văn phòng 3 tầng với MikroTik: tủ tầng, trục quang, 2 đường Internet

3 tầng. Một tủ mạng ở tầng 1. Kéo dây lên tầng 3 kiểu gì?

Bài này vẽ lại sơ đồ mạng cho một toà nhà văn phòng 3 tầng: mỗi tầng một tủ mạng nhỏ, giữa các tầng là trục cáp quang, phòng máy ở tầng 1 với router MikroTik RB3011 chạy hai đường Internet. Thiết bị vừa đủ, không cần mạng 10G.

Kéo cáp đồng thẳng từ tầng 1 lên từng bàn: chạy được, nhưng khó sống

Nhiều toà nhà nhỏ đi dây theo kiểu trên: một tủ mạng ở tầng 1, mỗi bàn một sợi cáp đồng chạy thẳng lên.

Về độ dài, cáp đồng không yếu như nhiều người nghĩ. Theo chuẩn TIA-568, một kênh cáp đồng dài tối đa 100 m, gồm 90 m dây cố định đi trong tường, máng, trần và tối đa 10 m dây nhảy ở hai đầu. Trong giới hạn đó, cáp Cat5e chạy được 1G và cả 2.5G; Cat6 chạy 1G thoải mái.

Điều kiện đi kèm: phải là cáp đồng nguyên chất. Dây CCA (lõi nhôm mạ đồng) không đạt chuẩn, điện trở cao hơn, thường yếu sớm hơn nhiều so với 100 m và nóng dây khi cấp nguồn PoE cho camera, AP.

Vấn đề thật của kiểu đi dây này nằm ở chỗ khác:

• Thêm một bàn là kéo thêm một sợi từ tầng 1 lên. Dời phòng, đổi chỗ ngồi đều phải kéo lại.
• Trục đứng của toà nhà bị nhồi hàng chục sợi. Ống kỹ thuật đầy rất nhanh, không còn chỗ cho dây điện thoại, camera.
• Khó dò lỗi. Một sợi chập chờn ở tầng 3 phải lần ngược về tầng 1, giữa một bó dây không nhãn.

Sơ đồ đề xuất: tủ tầng, trục quang, phòng máy

Ba phần:

1. Mỗi tầng một tủ mạng nhỏ. Trong tủ có switch PoE của tầng đó. Dây đồng chỉ chạy trong phạm vi một tầng, từ tủ tới từng bàn, từng AP, từng camera.
2. Trục cáp quang giữa các tầng. Mỗi tủ tầng nối về phòng máy bằng một đôi sợi quang. Cáp quang không bị nhiễu điện từ, không lo chênh lệch điện áp giữa các tầng, và độ dài giữa các tầng không còn là vấn đề.
3. Phòng máy ở tầng 1. Core switch gom uplink của cả 3 tầng, router MikroTik RB3011 nối ra hai đường Internet, cùng switch cho server, NAS, đầu ghi camera.

Thêm một bàn ở tầng 3 thì cắm ngay vào switch tầng 3. Không đụng tới tầng 1.

Thiết bị

Chia mạng (VLAN), giống nhau ở cả 3 tầng

Trục quang mang toàn bộ VLAN (trunk). Ở tầng nào, cổng nào cũng cấu hình theo cùng một bảng. Nhân viên chuyển từ tầng 2 lên tầng 3 vẫn ở VLAN 10, vẫn thấy máy in, NAS như cũ.

Hai đường Internet: đứt một, đường kia gánh

Toà nhà nhiều người làm việc thì mất mạng nửa ngày là mất tiền thật. RB3011 có đủ cổng để chạy hai đường Internet của hai nhà mạng khác nhau. Có hai cách dùng:

• Dự phòng (failover): bình thường đi đường 1. Đường 1 đứt, router tự chuyển sang đường 2. Đường 1 có lại thì tự quay về. Đơn giản, dễ vận hành, nên làm trước.
• Chia tải (PCC): các kết nối được chia đều cho hai đường. Lưu ý: chia tải không cộng tốc độ cho một máy. Một lượt tải file vẫn chỉ đi trên một đường; cái lợi là cả toà nhà dùng chung được băng thông của hai đường.

Chọn hai nhà mạng khác nhau. Hai đường cùng một nhà mạng thường đi chung hạ tầng, sự cố lớn sẽ mất cả hai.

WiFi đi theo người giữa các tầng

Khi AP cả toà dùng chung một hệ quản lý và chung tên WiFi, mang laptop từ tầng 1 lên tầng 3 họp thì máy tự chuyển sang AP gần nhất, không phải chọn lại mạng hay nhập lại mật khẩu.

Mức độ liền mạch khi chuyển (cuộc gọi video có bị khựng một nhịp hay không) còn tuỳ AP có hỗ trợ các chuẩn chuyển vùng nhanh 802.11k/v/r và tuỳ thiết bị của người dùng. Khi khảo sát, nên đo vùng phủ thực tế ở cầu thang và hành lang, vì đây là chỗ máy hay chuyển AP.

Dành cho kỹ thuật viên: cấu hình 2 đường Internet tự chuyển trên RB3011

Cấu hình tham khảo cho RouterOS v7, theo kiểu recursive route: router không chỉ kiểm tra modem nhà mạng còn sống hay không, mà ping hẳn ra một địa chỉ trên Internet qua từng đường. Modem vẫn sáng đèn nhưng nhà mạng mất kết nối thì router vẫn phát hiện được.

Giả định: hai đường là PPPoE (pppoe-out1, pppoe-out2), modem để chế độ bridge. Phần VLAN, DHCP, tường lửa làm như ở tập 1, chỉ đổi dải IP theo bảng trên.

# --- Hai đường PPPoE, không tự thêm route mặc định ---
/interface pppoe-client
add name=pppoe-out1 interface=ether1 user=<tai-khoan-1> password=<mat-khau-1> add-default-route=no disabled=no
add name=pppoe-out2 interface=ether2 user=<tai-khoan-2> password=<mat-khau-2> add-default-route=no disabled=no

/interface list member
add list=WAN interface=pppoe-out1
add list=WAN interface=pppoe-out2
/ip firewall nat
add chain=srcnat out-interface-list=WAN action=masquerade

# --- Địa chỉ kiểm tra: mỗi đường ping một địa chỉ riêng ---
# Không dùng hai địa chỉ này làm DNS: lưu lượng tới chúng luôn bị ép đi một đường.
/ip route
add dst-address=1.0.0.1/32 gateway=pppoe-out1 scope=10 comment="Kiem tra WAN1"
add dst-address=8.8.4.4/32 gateway=pppoe-out2 scope=10 comment="Kiem tra WAN2"

# --- Route mặc định đệ quy: WAN1 ưu tiên, WAN2 dự phòng ---
add dst-address=0.0.0.0/0 gateway=1.0.0.1 target-scope=11 check-gateway=ping distance=1 comment="WAN1 chinh"
add dst-address=0.0.0.0/0 gateway=8.8.4.4 target-scope=11 check-gateway=ping distance=2 comment="WAN2 du phong"

Kiểm tra sau khi cấu hình:

1. /ip route print phải thấy route distance=1 đang hoạt động.
2. Rút dây đường 1 hoặc tắt pppoe-out1. Sau khoảng 10–30 giây (check-gateway ping mỗi 10 giây, hụt liên tiếp mới chuyển), route distance=1 chuyển sang không hoạt động, Internet đi đường 2.
3. Bật lại đường 1, route chính tự hoạt động trở lại.

Nếu hai đường là IP tĩnh thay vì PPPoE, thay gateway=pppoe-out1 bằng IP gateway của từng nhà mạng.

Câu hỏi thường gặp

Giữa các tầng dùng cáp đồng có được không?
Được, nếu đoạn từ tủ tầng xuống phòng máy dưới 90 m và dùng cáp đồng nguyên chất. Nhưng cáp quang không bị nhiễu, không lo sét lan theo dây giữa các tầng, và nâng tốc độ sau này chỉ cần thay module quang. Với trục đứng, quang thường là lựa chọn bền hơn.

Toà nhà cũ đang đi Cat5e có phải thay hết dây không?
Thường là không. Cat5e đạt chuẩn chạy được cả 1G và 2.5G trong giới hạn 100 m. Nên kiểm tra xem dây có phải CCA không và đo lại các tuyến dài nhất trước khi quyết định.

Mỗi tầng có cần một router riêng không?
Không. Cả toà chỉ cần một router ở phòng máy. Mỗi tầng chỉ có switch. Tách router theo tầng làm việc quản lý, chia VLAN và dự phòng Internet phức tạp hơn mà không được thêm gì.

Tầng thuê cho công ty khác thì sao?
Mỗi công ty thuê một VLAN riêng, tường lửa trên router chặn qua lại giữa các VLAN. Cần tách hẳn về hạ tầng thì cho họ đường Internet và switch riêng trên cùng trục quang.