Hướng dẫn nâng cấp RouterOS 6 lên 7

Tóm tắt

Kế hoạch nâng cấp MikroTik RB3011 từ RouterOS 6.47.10 lên bản 7.16.2 (mục tiêu ban đầu), theo lộ trình hai bước qua 6.49.17 trung gian để giảm rủi ro. Bao gồm checklist backup trước khi nâng cấp, các thay đổi lớn giữa ROS 6 và 7 (bridge hardware offload tự động, WireGuard native, thay đổi firewall/user/DHCP nhỏ), quy trình kiểm tra sau nâng cấp, và kế hoạch rollback/downgrade nếu có sự cố.

Điểm chính

• Lộ trình khuyến nghị: 6.47.10 → 6.49.17 (kiểm tra ổn định) → 7.16.2, thay vì nhảy thẳng một bước.
• Bắt buộc backup trước khi nâng cấp: export cấu hình dạng text (.rsc) và binary (.backup), cộng thêm export riêng firewall/DHCP/interface.
• Thay đổi lớn ROS 6→7 liên quan cấu hình router này: bridge chuyển sang hardware offload tự động; ROS 7 hỗ trợ WireGuard native (có thể cân nhắc chuyển VPN từ Pi về router trong tương lai); cú pháp firewall thay đổi nhỏ nhưng tự động migrate.
• Danh sách kiểm tra đầy đủ sau nâng cấp: PPPoE kết nối lại, DHCP còn giữ reservation cũ (GWN7660, Pi), NAT hoạt động, WireGuard port-forward vẫn thông từ ngoài.
• Kế hoạch rollback có 4 kịch bản: router không boot lại (Netinstall), router boot nhưng cấu hình hỏng (restore backup), một tính năng cụ thể hỏng (PPPoE/DHCP), hoặc muốn hạ ngược về 6.47.10 (downgrade không chính thức nhưng thường hoạt động với cấu hình đơn giản).
• Tài liệu tự đề xuất bước tiếp theo sau khi nâng cấp: áp dụng lại phần cứng hoá bảo mật input chain (nội dung này sau đó tách thành tài liệu riêng — huong-dan-tang-cuong-bao-mat-mikrotik).

Khái niệm

• mikrotik-routeros
• wireguard-vpn

Người liên quan

• nguyen-binh-son

Câu hỏi mở

• Tài liệu này đặt mục tiêu RouterOS 7.16.2, nhưng thực tế đã chạy bản nào? Đã xác minh qua SSH (2026-07-23): router đang chạy RouterOS 7.20.6, RouterBoard firmware cũng 7.20.6 (current-firmware = upgrade-firmware, không còn nâng cấp treo) — bản thực tế cao hơn mục tiêu ban đầu 7.16.2 trong kế hoạch, hợp lý vì đây đều là các bản stable mới hơn tại thời điểm nâng cấp.
• Tài liệu không xác nhận ngày nâng cấp thực tế đã diễn ra (Upgrade Date để trống); theo change log trong topology-mang-homelab, việc nâng cấp đã hoàn tất ngày 2025-12-31.
• Gợi ý “cân nhắc chuyển WireGuard từ Pi về router” đã được thử nhưng bỏ dở: xác minh thấy 1 địa chỉ IP và 2 peer WireGuard ở trạng thái invalid/mồ côi trên router (interface đã bị xoá) — xem topology-mang-homelab.