Để cấu hình NAT port (hay còn gọi là mở port, port forwarding) trên modem/router MikroTik, bạn có thể làm theo các bước sau. Hướng dẫn này sử dụng phần mềm Winbox để cấu hình, phù hợp cho cả IP WAN tĩnh và động. NAT port cho phép các thiết bị bên ngoài truy cập vào dịch vụ trong mạng nội bộ (LAN) như camera, máy chấm công vân tay, máy chấm công khuôn mặt, website, hoặc server.

Xem video hướng dẫn cách nát port MikroTik  : Xem Ngay

Chuẩn bị trước khi NAT port

1. Xác định thông tin cần thiết:
   
   • IP của thiết bị nội bộ (LAN): Ví dụ, 192.168.1.201 (IP của máy chấm công hoặc camera, server, hoặc máy tính) .
     
     • Port dịch vụ: Mỗi dịch vụ sử dụng một port cụ thể trên các thiết bị, ví dụ:
       
       • Por máy chấm công: 4370 hoặc 5005 hoặc 8000
       • Remote Desktop: 3389
       • Camera Hikvision: 8080
       • Web server: 80 hoặc 443
     • IP WAN: Là địa chỉ IP công cộng của router, có thể là tĩnh (static) hoặc động (dynamic). Nếu là IP động, bạn cần cấu hình DDNS (xem thêm ở bước cuối).
     • Interface WAN: Tên giao diện WAN, ví dụ: ether1, pppoe-out1 (nếu dùng PPPoE).
2. Kiểm tra dịch vụ nội bộ:
   
   • Đảm bảo dịch vụ trong mạng LAN đã hoạt động. Ví dụ, nếu mở port cho camera, kiểm tra xem bạn có thể truy cập máy chấm công, camera qua IP nội bộ (như 192.168.1.201:4370) từ máy tính trong LAN.
   • Sử dụng Telnet để kiểm tra port:
     
     • Mở CMD trên Windows, gõ: telnet 192.168.1.201 4370. hoặc 8000
     • Nếu kết nối thành công (màn hình đen), port đang hoạt động. Nếu không, kiểm tra lại dịch vụ hoặc cấu hình thiết bị.

Hướng dẫn cấu hình NAT Port trên MikroTik

Dưới đây là các bước chi tiết để mở port (NAT port) trên router MikroTik

Bước 1: Truy cập vào mục NAT

1. Mở Winbox, đăng nhập vào router MikroTik.
2. Vào menu IP → Firewall → Chọn tab NAT.

Bước 2: Thêm rule NAT mới

1. Nhấn dấu + để tạo một rule NAT mới.
2. Cấu hình các thông số trong tab General:
   
   • Chain: Chọn dstnat (destination NAT).
   • Protocol: Chọn tcp (hoặc udp tùy dịch vụ, ví dụ camera thường dùng TCP).
   • Dst. Port: Nhập port bạn muốn mở, ví dụ 8000 cho máy chấm công hoặc 3389 cho Remote Desktop.
   • In. Interface: Chọn giao diện WAN của router, ví dụ:
     
     • Nếu WAN là cổng Ethernet: Chọn ether1.
     • Nếu WAN dùng PPPoE: Chọn pppoe-out1 (kiểm tra tên chính xác trong menu Interfaces).
   • Dst. Address (tùy chọn): Nếu router có IP WAN tĩnh, nhập IP WAN công cộng. Nếu IP động, bỏ qua trường này.
3. Chuyển sang tab Action:
   
   • Action: Chọn dst-nat.
   • To Addresses: Nhập IP nội bộ của thiết bị, ví dụ 192.168.1.52.
   • To Ports: Nhập port nội bộ của dịch vụ, ví dụ 8080 (thường giống với Dst. Port ở trên).
4. Nhấn OK để lưu rule.

Bước 3: Kiểm tra rule NAT

• Sau khi thêm rule, bạn sẽ thấy rule mới xuất hiện trong danh sách NAT.
• Kiểm tra xem port đã mở chưa bằng các công cụ trực tuyến:
  
  • Truy cập canyouseeme.org hoặc ping.eu.
  • Nhập IP WAN công cộng của router và port vừa mở (ví dụ: 8080). Nếu hiển thị “Success” hoặc “Open”, port đã được mở thành công.

Bước 4: Cấu hình Hairpin NAT (nếu cần)

• Hairpin NAT cho phép các thiết bị trong mạng LAN truy cập dịch vụ nội bộ thông qua IP WAN hoặc tên miền, hữu ích khi bạn muốn truy cập camera/server từ cả trong và ngoài mạng.
• Thêm một rule NAT mới trong IP → Firewall → NAT:
  
  • Tab General:
    
    • Chain: srcnat.
    • Src. Address: Dải IP LAN, ví dụ 192.168.1.0/24.
    • Dst. Address: IP nội bộ của thiết bị, ví dụ 192.168.1.52.
    • Protocol: tcp.
    • Dst. Port: Port dịch vụ, ví dụ 8000.
  • Tab Action:
    
    • Action: masquerade.
• Nhấn OK để lưu.

Bước 5: Cấu hình DDNS (nếu dùng IP WAN động)

• Nếu router sử dụng IP WAN động (thay đổi thường xuyên), bạn cần cấu hình DDNS để truy cập dịch vụ bằng tên miền thay vì IP:
  
  1. Vào menu IP → Cloud.
  2. Tích chọn Enabled để bật DDNS.
  3. MikroTik sẽ cung cấp một tên miền, ví dụ: xxxxxx.sn.mynetname.net.
  4. Sử dụng tên miền này thay cho IP WAN khi truy cập từ xa.
• Ngoài ra, bạn có thể dùng dịch vụ DDNS bên thứ ba như No-IP:
  
  1. Đăng ký tài khoản tại no-ip.com.
  2. Tạo hostname, ví dụ: mycamera.ddns.net.
  3. Cấu hình DDNS trong MikroTik theo hướng dẫn từ No-IP (xem thêm tại dongadtf.vn).

Lưu ý quan trọng

• Tắt tường lửa nếu cần: Đảm bảo không có rule trong IP → Firewall → Filter Rules chặn lưu lượng truy cập đến port vừa mở.
• Kiểm tra dịch vụ: Đảm bảo dịch vụ (camera, server, v.v.) đã được bật và hoạt động đúng trong mạng nội bộ trước khi NAT.
• Bảo mật: Chỉ mở các port cần thiết để tránh rủi ro bảo mật. Có thể thêm rule lọc trong Firewall để giới hạn IP nguồn được phép truy cập.
• Cấu hình PPPoE: Nếu router dùng PPPoE, đảm bảo chọn đúng interface WAN (thường là pppoe-out1) trong rule NAT.

Ví dụ minh họa

Giả sử bạn muốn mở port 8000 cho máy chấm công có IP nội bộ 192.168.1.52:

1. General:
   
   • Chain: dstnat
   • Protocol: tcp
   • Dst. Port: 8000
   • In. Interface: pppoe-out1 (hoặc ether1 nếu dùng WAN Ethernet)
2. Action:
   
   • Action: dst-nat
   • To Addresses: 192.168.1.52
   • To Ports: 8000
3. Kiểm tra bằng cách truy cập IP_WAN:8000 hoặc hostname.ddns.net:8000 từ mạng bên ngoài.