Ở Việt Nam, cách phổ biến để router doanh nghiệp nhận internet là để modem nhà mạng (VNPT, FPT, Viettel) ở chế độ bridge và cho router tự quay PPPoE bằng tài khoản nhà mạng cấp. Router Cisco giữ IP WAN thật, không bị NAT hai lần, mở cổng hay dựng VPN đều dễ. Cấu hình dưới đây dùng cho các router ISR G2: 1921, 1941, 2901, 2911, 2951.

Chuẩn bị

Tài khoản PPPoE (tên đăng nhập, mật khẩu): ghi trên hợp đồng hoặc gọi tổng đài nhà mạng.
Chuyển modem sang bridge: tự làm trong giao diện modem nếu có quyền, hoặc nhờ kỹ thuật nhà mạng. Một số nhà mạng dùng VLAN riêng cho internet trên đường quang; khi đó việc chuyển bridge nên để nhà mạng làm.
Cổng gi0/0 nối modem, gi0/1 nối switch LAN.

Cấu hình đầy đủ

! =====================================================================
! CAU HINH MAU: Router Cisco ISR G2 (1921 / 1941 / 2901 / 2911 / 2951) ra internet
! Quay PPPoE qua modem nha mang de che do bridge (VNPT, FPT, Viettel...) + NAT + DHCP + SSH
! Nguon: https://thietbimangcu.com/cau-hinh-mau/
! - gi0/0 = cong WAN noi modem (bridge), gi0/1 = cong LAN.
! - Doi TEN_DANG_NHAP_PPPOE / MAT_KHAU_PPPOE (nha mang cap) va MAT_KHAU_... khac.
! =====================================================================
enable
configure terminal
!
hostname RT-INTERNET
no ip domain-lookup
service password-encryption
enable secret MAT_KHAU_ENABLE
username admin privilege 15 secret MAT_KHAU_ADMIN
ip domain-name congty.local
crypto key generate rsa modulus 2048
ip ssh version 2
line vty 0 15
 login local
 transport input ssh
!
! --- Cong WAN: chi bat PPPoE, khong dat IP ---
interface gi0/0
 description WAN-MODEM-BRIDGE
 no ip address
 pppoe enable group global
 pppoe-client dial-pool-number 1
 no shutdown
!
! --- Giao dien quay so PPPoE ---
interface Dialer1
 description PPPOE-NHA-MANG
 ip address negotiated
 ip mtu 1492
 ip tcp adjust-mss 1452
 ip nat outside
 encapsulation ppp
 dialer pool 1
 ppp authentication chap pap callin
 ppp chap hostname TEN_DANG_NHAP_PPPOE
 ppp chap password MAT_KHAU_PPPOE
 ppp pap sent-username TEN_DANG_NHAP_PPPOE password MAT_KHAU_PPPOE
 no shutdown
!
! --- Cong LAN ---
interface gi0/1
 description LAN
 ip address 192.168.10.1 255.255.255.0
 ip nat inside
 ip tcp adjust-mss 1452
 no shutdown
!
! --- Duong mac dinh ra internet ---
ip route 0.0.0.0 0.0.0.0 Dialer1
!
! --- NAT: ca LAN dung chung IP WAN ---
access-list 1 permit 192.168.10.0 0.0.0.255
ip nat inside source list 1 interface Dialer1 overload
!
! --- DHCP cho LAN ---
ip dhcp excluded-address 192.168.10.1 192.168.10.20
ip dhcp pool LAN
 network 192.168.10.0 255.255.255.0
 default-router 192.168.10.1
 dns-server 8.8.8.8 1.1.1.1
!
end
write memory
!
! --- Neu WAN la IP tinh thay vi PPPoE: bo phan Dialer1, dat thang tren gi0/0 ---
! interface gi0/0
!  ip address IP_WAN SUBNET_MASK
!  ip nat outside
! ip route 0.0.0.0 0.0.0.0 GATEWAY_NHA_MANG
! ip nat inside source list 1 interface gi0/0 overload
!
! --- Kiem tra ---
! show pppoe session
! show ip interface brief
! show ip nat translations
! show ip dhcp binding
! ping 8.8.8.8 source gi0/1

Giải thích

Dialer và cổng vật lý

Cổng gi0/0 không đặt IP, chỉ bật PPPoE và gắn vào dial-pool 1. Mọi thứ thuộc về IP (địa chỉ, NAT) nằm trên Dialer1, giao diện ảo mà nhà mạng cấp IP sau khi xác thực.

Xác thực CHAP và PAP

Nhà mạng có thể dùng CHAP hoặc PAP; khai cả hai để router tự thương lượng. Nếu sau khi dán mà show pppoe session không lên, gần như chắc chắn là sai tài khoản hoặc modem chưa ở chế độ bridge.

MTU 1492 và adjust-mss 1452

PPPoE tốn 8 byte tiêu đề nên MTU còn 1492. Thiếu dòng ip tcp adjust-mss là lỗi kinh điển: ping vẫn được, vài trang web và ứng dụng ngân hàng lại không tải được hoặc treo giữa chừng.

NAT overload

Cả dải LAN dùng chung IP WAN, phân biệt bằng số cổng. Nếu phía sau có switch Layer 3 với nhiều VLAN, đổi ACL thành access-list 1 permit 192.168.0.0 0.0.255.255 và thêm đường quay về các VLAN (xem bài switch Layer 3).

Router nào chạy được đường truyền bao nhiêu?

Router phần mềm như ISR G2 xử lý NAT bằng CPU nên thông lượng thực tế phụ thuộc model và số tính năng bật thêm (VPN, ACL dài). Với đường cáp quang vài trăm Mbps, nên chọn đời cao hơn (2911, 2951) hoặc router chuyên cân bằng tải như DrayTek Vigor. Hỏi chúng tôi kèm tốc độ gói cước để được tư vấn model phù hợp.

Kiểm tra

show pppoe session: trạng thái UP.
show ip interface brief: Dialer1 có IP do nhà mạng cấp.
ping 8.8.8.8 source gi0/1 rồi show ip nat translations thấy bản dịch địa chỉ.

Bài liên quan

Router đang có sẵn: Cisco 1941-K9, Cisco 2901, Cisco 2911-K9. Xem thêm router cũ.

Nhận bảng giá và tin hàng mới về

Kiến thức mạng

Cấu hình mẫu router Cisco 1941 / 2901 / 2911 ra internet qua PPPoE (VNPT, FPT, Viettel)