Hướng Dẫn Cấu Hình GRE Tunnel Trên Router MikroTik

Hướng dẫn cấu hình GRE Tunnel trên thiết bị Router MikroTik là chủ đề được rất nhiều quản trị mạng quan tâm trong bối cảnh nhu cầu kết nối các chi nhánh, văn phòng qua Internet ngày càng tăng cao. GRE (Generic Routing Encapsulation) là giao thức đường hầm cho phép đóng gói nhiều loại giao thức lớp mạng bên trong các đường hầm IP điểm-đến-điểm, mang lại sự linh hoạt vượt trội so với các giải pháp VPN truyền thống. Bài viết này sẽ hướng dẫn bạn từng bước cụ thể để triển khai GRE Tunnel trên RouterOS của MikroTik một cách nhanh chóng và chính xác.

GRE Tunnel Là Gì Và Tại Sao Nên Dùng Trên MikroTik?

GRE Tunnel là một trong những giao thức tạo đường hầm phổ biến nhất trên nền tảng RouterOS. Khác với EoIP — giao thức độc quyền của MikroTik chỉ hoạt động giữa các thiết bị MikroTik với nhau — GRE là giao thức chuẩn mở (RFC 2784), cho phép kết nối linh hoạt giữa MikroTik và các thiết bị của nhà sản xuất khác như Cisco, Juniper hay pfSense.

• Đóng gói đa giao thức: GRE có thể đóng gói IPv4, IPv6, OSPF, và nhiều giao thức định tuyến khác bên trong một đường hầm duy nhất.
• Triển khai đơn giản: So với IPSec hay WireGuard, GRE có cú pháp cấu hình ngắn gọn, dễ kiểm tra và debug.
• Tích hợp định tuyến động: GRE Tunnel trên MikroTik hỗ trợ chạy OSPF hoặc BGP bên trong đường hầm, rất phù hợp cho môi trường doanh nghiệp.
• Không giới hạn nhà sản xuất: Đây là lợi thế lớn so với EoIP, cho phép mở rộng hạ tầng mạng đa dạng thiết bị.

Tuy nhiên, cần lưu ý rằng GRE thuần túy không mã hóa dữ liệu. Trong môi trường yêu cầu bảo mật cao, bạn nên kết hợp GRE với IPSec để tạo thành giải pháp GRE over IPSec hoàn chỉnh.

Hướng Dẫn Cấu Hình GRE Tunnel Trên Thiết Bị Router MikroTik Chi Tiết

Trong ví dụ này, chúng ta sẽ kết nối hai Router MikroTik — gọi là Router A (Site A) và Router B (Site B) — qua Internet bằng GRE Tunnel. Giả sử địa chỉ WAN của Router A là 203.0.113.1 và Router B là 198.51.100.1. Địa chỉ IP cho đường hầm sẽ là 10.10.10.1/30 (Router A) và 10.10.10.2/30 (Router B).

Bước 1: Tạo Interface GRE Tunnel

Trên Router A, mở Winbox hoặc terminal và thực hiện lệnh sau:

• Vào menu Interfaces → nhấn nút + → chọn GRE Tunnel.
• Đặt tên interface: gre-tunnel-siteB
• Tại trường Local Address: nhập 203.0.113.1 (IP WAN của Router A).
• Tại trường Remote Address: nhập 198.51.100.1 (IP WAN của Router B).
• Tick chọn Allow Fast Path nếu muốn tăng hiệu năng xử lý gói tin.
• Nhấn OK để lưu.

Thực hiện tương tự trên Router B nhưng đổi ngược Local Address thành 198.51.100.1 và Remote Address thành 203.0.113.1.

Bước 2: Gán Địa Chỉ IP Cho Tunnel Interface

Sau khi tạo interface GRE thành công, bạn cần gán địa chỉ IP để hai đầu tunnel có thể liên lạc với nhau.

• Trên Router A: Vào IP → Addresses → nhấn + → điền 10.10.10.1/30, chọn Interface là gre-tunnel-siteB → OK.
• Trên Router B: Tương tự, gán địa chỉ 10.10.10.2/30 cho interface GRE tương ứng.

Bước 3: Cấu Hình Route Tĩnh Qua GRE Tunnel

Để traffic từ mạng LAN của Site A có thể đến được mạng LAN của Site B, bạn cần thêm các route tĩnh. Giả sử LAN của Site A là 192.168.1.0/24 và LAN của Site B là 192.168.2.0/24.

• Trên Router A: Vào IP → Routes → nhấn + → Dst. Address: 192.168.2.0/24 → Gateway: 10.10.10.2 → OK.
• Trên Router B: Vào IP → Routes → nhấn + → Dst. Address: 192.168.1.0/24 → Gateway: 10.10.10.1 → OK.

Sau bước này, hãy thực hiện lệnh ping 10.10.10.2 từ Router A để kiểm tra kết nối tunnel. Nếu nhận được phản hồi, đường hầm đã hoạt động thành công.

Kiểm Tra Và Xử Lý Sự Cố GRE Tunnel Trên MikroTik

Sau khi cấu hình xong, việc kiểm tra và giám sát đường hầm là bước không thể bỏ qua để đảm bảo hệ thống hoạt động ổn định.

• Kiểm tra trạng thái interface: Vào Interfaces, interface GRE phải hiển thị trạng thái Running (chữ R màu xanh). Nếu interface ở trạng thái disabled hoặc không có chữ R, kiểm tra lại địa chỉ IP WAN hai đầu.
• Ping kiểm tra: Dùng lệnh /ping 10.10.10.2 src-address=10.10.10.1 từ terminal của Router A để xác minh hai đầu tunnel thông nhau.
• Kiểm tra Firewall: Đảm bảo Firewall không chặn giao thức GRE (protocol 47). Trên MikroTik, vào IP → Firewall → Filter Rules và thêm rule cho phép protocol GRE đi vào từ địa chỉ WAN của đối tác.
• MTU và MSS: GRE thêm 24 byte overhead vào mỗi gói tin. Nếu gặp vấn đề về phân mảnh gói tin, hãy giảm MTU của tunnel interface xuống còn 1476 và cấu hình MSS clamp tương ứng trong Mangle rules.
• Traceroute: Sử dụng lệnh traceroute để theo dõi đường đi của gói tin qua tunnel, giúp xác định vị trí gián đoạn nếu có.

Tích Hợp GRE Tunnel Với Các Tính Năng Nâng Cao Trên RouterOS

Khi đã có nền tảng GRE Tunnel hoạt động ổn định, bạn có thể mở rộng hệ thống với nhiều tính năng mạnh mẽ của RouterOS.

• GRE over IPSec: Kết hợp GRE với IPSec để mã hóa toàn bộ traffic qua đường hầm. Đây là giải pháp được khuyến nghị cho các kết nối doanh nghiệp yêu cầu bảo mật cao, tương tự như cách WireGuard hoạt động nhưng tương thích với nhiều thiết bị hơn.
• Quản lý băng thông: Sau khi tunnel hoạt động, bạn có thể áp dụng Simple Queue hoặc Queue Tree để quản lý băng thông cho từng loại traffic đi qua đường hầm, phân biệt traffic trong nước và quốc tế theo nhu cầu thực tế.
• OSPF qua GRE: Cấu hình OSPF chạy trên GRE Tunnel giúp tự động cập nhật bảng định tuyến khi có thay đổi topology, loại bỏ nhu cầu chỉnh sửa route tĩnh thủ công — đặc biệt hữu ích khi kết nối nhiều hơn 2 site.
• Giám sát uptime: Sử dụng tính năng Netwatch trong RouterOS để theo dõi trạng thái tunnel và gửi cảnh báo tự động qua email hoặc Telegram khi đường hầm gặp sự cố.

Đây là những tính năng giúp hệ thống mạng của bạn không chỉ kết nối được mà còn vận hành chuyên nghiệp, đáp ứng yêu cầu của môi trường doanh nghiệp hiện đại.

Kết Luận

Như vậy, bài viết đã trình bày đầy đủ hướng dẫn cấu hình GRE Tunnel trên thiết bị Router MikroTik từ khái niệm cơ bản, các bước thực hiện chi tiết, đến kiểm tra và tích hợp tính năng nâng cao. GRE Tunnel là lựa chọn linh hoạt, dễ triển khai và tương thích đa nền tảng, phù hợp cho cả môi trường doanh nghiệp vừa và lớn. Khi kết hợp với IPSec, OSPF hoặc các công cụ quản lý băng thông của RouterOS, GRE Tunnel trở thành nền tảng kết nối mạng mạnh mẽ và đáng tin cậy. Hãy thực hành từng bước theo hướng dẫn và đừng quên kiểm tra kỹ các rule Firewall cũng như thông số MTU để đảm bảo đường hầm hoạt động ổn định lâu dài.