Cài đặt và truy cập switch GTWave lần đầu: Console, SSH, Web và bảo mật

08/07/2026

Mục lục

Switch GTWave ra khỏi hộp với nhiều cổng quản trị đang mở và mật khẩu mặc định để trống. Đây là trạng thái cần thiết để tiếp cận lần đầu, nhưng cũng là trạng thái không được phép tồn tại khi switch đưa vào vận hành thực tế. Bài này đi thẳng vào quy trình: vào được switch, khóa lại những gì cần khóa, đặt đúng những gì cần đặt, rồi backup trước khi rời site.

Nội dung trình bày song song CLI và Web UI để phù hợp với cả kỹ thuật viên triển khai lẫn quản trị viên IT phía khách hàng.

Năm phương thức truy cập và trạng thái mặc định

Trước khi làm bất cứ điều gì, cần biết switch đang mở những cửa nào và cửa nào an toàn để dùng.

Phương thức	Cổng	Mặc định	Bảo mật	Khi nào dùng
Console	RS-232 9600	Luôn sẵn sàng	Vật lý	Lần đầu, recovery
Telnet	23	Đã bật	Plaintext	LAN tin cậy
SSH	22	Chưa bật	Mã hóa	Remote admin chuẩn
HTTP	80	Đã bật	Plaintext	Quản trị viên IT
HTTPS	443	Chưa bật	TLS	Web production
SNMP	161	Bật, community public	v1/v2c plaintext	Giám sát NMS

Console là điểm vào duy nhất không phụ thuộc vào cấu hình IP hay mật khẩu đã đặt trước đó. Khi switch chưa có IP, khi IP bị đổi nhầm, hoặc khi quên mật khẩu — Console luôn là con đường vào được. Đây là lý do tất cả thao tác lần đầu nên bắt đầu từ đây.

Kết nối Console RS-232

GTWave dùng chuẩn Console 9600 8N1, không flow control. Thiết bị cần chuẩn bị: cáp console USB-to-Serial phù hợp panel switch (RJ45 kiểu Cisco hoặc DB9 RS-232) và phần mềm terminal. PuTTY hoặc MobaXterm trên Windows, screen hoặc minicom trên Linux/Mac đều dùng được.

Cắm cáp console giữa cổng COM của laptop và cổng console của switch.

Mở PuTTY, chọn Serial, chọn đúng cổng COM trong Device Manager, đặt tốc độ 9600 rồi Open. Nhấn Enter vài lần để prompt hiện ra:

User Access Verification

Username: admin

Password: <Enter — mặc định để trống>

Switch>

Switch> enable

Switch#

Ba nguyên nhân phổ biến nhất khi không vào được Console: sai cổng COM, baud rate không phải 9600, và cáp console bị hỏng. Kiểm tra theo thứ tự này trước khi nghi ngờ switch có vấn đề.

Cấu trúc CLI và cách chuyển mode

Switch GTWave dùng CLI phân cấp tương tự IOS. Bốn mode và cách chuyển giữa chúng:

Switch> ← User EXEC (chỉ show cơ bản, ping)

Switch> enable

Switch# ← Privileged EXEC (debug, reload, copy, write)

Switch# configure terminal

Switch(config)# ← Global Config (cài đặt toàn switch)

Switch(config)# interface ge1/1

Switch(config-ge1/1)# ← Interface Config

Switch(config-ge1/1)# exit ← lùi một cấp

Switch(config)# end ← về thẳng Privileged

Switch# write ← lưu running-config vào startup-config

Lệnh write là bước hay bị bỏ quên nhất. Mọi thay đổi chỉ tồn tại trong RAM (running-config) cho đến khi write ghi vào flash (startup-config). Reboot mà không write là mất toàn bộ cấu hình vừa làm.

Đổi mật khẩu admin trước khi làm bất cứ điều gì khác

Mật khẩu mặc định để trống nghĩa là bất kỳ ai cắm cáp console đều có quyền admin đầy đủ. Đây là việc đầu tiên cần làm, không phải việc cuối:

Switch# configure terminal

Switch(config)# username admin password TruongSon@2026!

Switch(config)# enable password Enable@2026!

Switch(config)# end

Switch# write

enable password và login password là hai thứ khác nhau: một cái bảo vệ bước vào Privileged mode, một cái bảo vệ bước đăng nhập. Cả hai cần được đặt. Lưu mật khẩu vào trình quản lý mật khẩu ngay sau khi đặt, không dựa vào trí nhớ hay ghi vào file text.

Qua Web, vào System Configuration → User Management, nhập mật khẩu mới và Apply. Dòng L3 tìm user admin, chọn Modify, đổi mật khẩu và Apply.

Luôn Save Current Configuration sau khi xong.

Đặt hostname và thông tin nhận dạng

Hostname xuất hiện trong prompt CLI, trong log, trong SNMP trap và trong mọi công cụ giám sát. Đặt tên rõ ràng từ đầu tiết kiệm rất nhiều thời gian khi troubleshoot sau này.

Switch(config)# hostname HCM-OFFICE-CORE-01

HCM-OFFICE-CORE-01(config)# snmp-server contact “Trường Sơn Solutions, 028 xxxx xxxx”

HCM-OFFICE-CORE-01(config)# snmp-server location “TP.HCM, 106 Nguyen Van Troi, Tang 2”

Quy ước đặt tên theo cấu trúc <TINH>-<TOA-NHA>-<ROLE>-<NN>. Ví dụ: HCM-OFFICE-CORE-01 cho core switch văn phòng, HCM-OFFICE-ACC-01 cho access switch tầng một, HCM-FACTORY-RING-A cho switch công nghiệp trong ring.

Đặt tên nhất quán ngay từ đầu dự án giúp dễ dàng đọc log và quản lý khi hệ thống mở rộng.

Cấu hình IP quản lý trên VLAN riêng

VLAN 1 là VLAN mặc định trên tất cả cổng — dùng VLAN 1 để quản trị nghĩa là cổng quản lý nằm chung với traffic người dùng. Tách management ra VLAN riêng là thực hành bảo mật cơ bản, không phải tùy chọn.

Ví dụ plan dự án: management VLAN 100, switch IP 10.10.100.11/24, gateway 10.10.100.1:

HCM-OFFICE-CORE-01# configure terminal

HCM-OFFICE-CORE-01(config)# vlan database

HCM-OFFICE-CORE-01(config-vlan)# vlan 100 name MGMT

HCM-OFFICE-CORE-01(config-vlan)# exit

HCM-OFFICE-CORE-01(config)# interface vlan 100

HCM-OFFICE-CORE-01(config-vlan100)# ip address 10.10.100.11 255.255.255.0

HCM-OFFICE-CORE-01(config-vlan100)# no shutdown

HCM-OFFICE-CORE-01(config-vlan100)# exit

HCM-OFFICE-CORE-01(config)# ip route 0.0.0.0 0.0.0.0 10.10.100.1

HCM-OFFICE-CORE-01(config)# interface vlan 1

HCM-OFFICE-CORE-01(config-vlan1)# no ip address

HCM-OFFICE-CORE-01(config-vlan1)# shutdown

HCM-OFFICE-CORE-01(config)# end

HCM-OFFICE-CORE-01# write

⚠ Nếu đang kết nối qua Telnet hoặc SSH trên VLAN 1, các lệnh trên sẽ ngắt kết nối ngay lập tức. Thực hiện bước đổi IP qua Console, hoặc chuẩn bị sẵn kết nối mới qua IP mới trước khi chạy.

Kiểm tra sau khi cấu hình:

HCM-OFFICE-CORE-01# show ip interface brief

Interface IP Address Status Protocol

vlan1 unassigned down down

vlan100 10.10.100.11 up up

Đặt IP laptop cùng subnet 10.10.100.x và ping 10.10.100.11 để xác nhận thông. Trên Web L3, đường dẫn là System Configuration → IP Address Configuration.

Đồng bộ thời gian NTP/SNTP

Log không có timestamp chính xác gần như vô dụng khi cần điều tra sự cố. NTP là bước nhỏ nhưng tác động lớn đến khả năng vận hành và troubleshoot về sau.

HCM-OFFICE-CORE-01(config)# sntp server 0.vn.pool.ntp.org

HCM-OFFICE-CORE-01(config)# sntp server time.google.com

HCM-OFFICE-CORE-01(config)# clock timezone ICT 7

clock timezone ICT 7 đặt múi giờ Việt Nam UTC+7. Nếu site không có đường ra Internet, đặt tay bằng clock set HH:MM:SS DD MMM YYYY và ghi chú vào biên bản nghiệm thu để bổ sung NTP sau. Kiểm tra bằng show clock và show sntp.

Bật SSH, tắt Telnet — bật HTTPS, tắt HTTP

Telnet và HTTP truyền dữ liệu dạng plaintext. Trong môi trường mạng có nhiều người truy cập, điều này có nghĩa là mật khẩu admin có thể bị đọc bằng bất kỳ công cụ bắt gói tin nào. Thay thế bằng SSH và HTTPS trước khi switch đưa vào vận hành:

HCM-OFFICE-CORE-01(config)# crypto key generate rsa

HCM-OFFICE-CORE-01(config)# crypto key generate dsa

HCM-OFFICE-CORE-01(config)# ip ssh server

HCM-OFFICE-CORE-01(config)# ip ssh version 2

HCM-OFFICE-CORE-01(config)# no telnet-server enable

HCM-OFFICE-CORE-01(config)# ip http secure-server

HCM-OFFICE-CORE-01(config)# no ip http server

HCM-OFFICE-CORE-01# write

SSH yêu cầu host key đã được tạo và mật khẩu user không để trống. Kiểm tra bằng ssh admin@10.10.100.11 từ laptop.

Với Web, truy cập https://10.10.100.11/ và chấp nhận self-signed cert.

Đổi SNMP community và giới hạn nguồn truy cập

Community string “public” là giá trị mặc định được biết đến rộng rãi. Bất kỳ thiết bị nào trong mạng đều có thể dùng nó để đọc toàn bộ thông tin SNMP của switch mà không cần xác thực thêm. Đổi và giới hạn bằng ACL:

HCM-OFFICE-CORE-01(config)# no snmp-server community public

HCM-OFFICE-CORE-01(config)# access-list 10 permit 10.10.100.20 0.0.0.0

HCM-OFFICE-CORE-01(config)# access-list 10 deny any

HCM-OFFICE-CORE-01(config)# snmp-server community TSS_R0_2026 RO acl 10

HCM-OFFICE-CORE-01(config)# ip http access-class 10

HCM-OFFICE-CORE-01(config)# snmp-server host 10.10.100.20 trap version 2c TSS_TRAP_2026

HCM-OFFICE-CORE-01(config)# snmp-server enable traps

ACL 10 ở đây làm hai việc: giới hạn SNMP chỉ từ IP NMS, và giới hạn Web UI chỉ từ subnet quản trị. Cấu hình giám sát chi tiết hơn nằm ở bài SNMP, RMON, LLDP, Syslog.

Bật Syslog tập trung

HCM-OFFICE-CORE-01(config)# logging on

HCM-OFFICE-CORE-01(config)# logging host 10.10.100.21

HCM-OFFICE-CORE-01(config)# logging trap warnings

HCM-OFFICE-CORE-01(config)# logging source-interface vlan 100

logging source-interface vlan 100 đảm bảo log gửi đi từ IP quản lý, không phải từ IP ngẫu nhiên của switch, giúp Syslog server nhận dạng đúng nguồn.

Sao lưu cấu hình trước khi rời site

Backup không phải bước tùy chọn. Một switch mà chưa có backup config là một switch có thể mất trắng toàn bộ cấu hình nếu hỏng flash hoặc thao tác nhầm reset.

Qua CLI dùng TFTP:

HCM-OFFICE-CORE-01# copy startup-config tftp 10.10.100.21 HCM-OFFICE-CORE-01-initial.cfg

Qua Web: System Tools → Backup Configuration → Download. Lưu file theo quy ước <project>/<hostname>-<YYYYMMDD-HHMMSS>-initial.cfg. Quy trình backup và restore chi tiết nằm ở bài Vận hành và bảo trì.

Khôi phục khi quên mật khẩu

Mất mật khẩu không đồng nghĩa với mất switch, nhưng cần có Console vật lý để xử lý:

Bước 1: Tắt nguồn switch.
Bước 2: Bật nguồn và giữ Ctrl-Break (hoặc Ctrl-C tùy dòng) trong ba giây đầu để vào Bootrom.
Bước 3: Chọn “Skip configuration” để boot không nạp startup-config.
Bước 4: Vào CLI với mật khẩu mặc định, chạy copy flash:/startup-config running-config để nạp lại config cũ.
Bước 5: Đặt mật khẩu mới bằng username admin password <new> và write.

⚠ Trong Bootrom, không chọn các tùy chọn reset firmware nếu chưa có backup — thao tác nhầm có thể xóa cấu hình hoặc làm hỏng image.

Checklist nghiệm thu cài đặt

Bộ kiểm tra tối thiểu trước khi bàn giao switch cho vận hành:

☐ Mount và cấp nguồn, LED PWR sáng, SYS nhấp nháy 1 giây

☐ Console connect, đổi password admin và enable

☐ Đặt hostname, snmp-server contact và location

☐ Tạo VLAN quản lý, gán IP và gateway

☐ Tắt IP VLAN 1, shutdown interface vlan 1

☐ Đồng bộ NTP, timezone ICT 7

☐ Bật SSH, tắt Telnet

☐ Bật HTTPS, tắt HTTP

☐ Đổi SNMP community, gắn ACL giới hạn nguồn

☐ Bật Syslog về server tập trung

☐ write (lưu startup-config)

☐ Backup config qua TFTP hoặc Web

☐ Chụp hình thiết bị sau lắp đặt và điền biên bản nghiệm thu

Lưu ý khi cấu hình switch GTWave kết hợp với camera Ikegawa

Switch GTWave tương thích với mọi thiết bị PoE chuẩn 802.3af/at/bt. Phần dưới là lưu ý riêng khi kết hợp với camera Ikegawa — nếu bạn đang dùng hãng camera khác, các bước cấu hình PoE/VLAN phía trên vẫn áp dụng hoàn toàn.

Trong các dự án triển khai hệ thống camera Ikegawa trên hạ tầng switch GTWave — bộ đôi mà Trường Sơn Solutions thường triển khai cho các gói thầu an ninh đầu tư công — có một số điểm cần lưu ý để hệ thống hoạt động ổn định ngay từ lần đầu.

PoE budget và model switch phù hợp theo từng dòng camera.

Xác nhận thông số tiêu thụ điện trong datasheet của từng model camera Ikegawa trước khi chọn switch. Camera Fixed thông thường dùng PoE hoặc PoE+, camera PTZ và camera nhiệt có thể cần PoE++ tùy cấu hình — không nên giả định mà không kiểm tra datasheet. Chọn sai chuẩn PoE là nguyên nhân phổ biến khiến camera không lên nguồn sau lắp đặt dù switch và cáp đều tốt.

Bật Intelligent PoE Self-Recovery cho kênh camera.

GTWave có tính năng tự động phát hiện camera mất kết nối và khởi động lại PoE port mà không cần kỹ thuật viên đến hiện trường. Với hệ thống camera Ikegawa, nên bật tính năng này cho tất cả port camera và đặt PD Query Interval 5 giây, PD Timeout Number 3, PD Boot Time 120 giây. Chi tiết cấu hình nằm ở bài Cấu hình PoE và Intelligent PoE Self-Recovery.

VLAN phân tách luồng camera và luồng quản lý.

Đặt toàn bộ camera Ikegawa vào một VLAN riêng (ví dụ VLAN 200 cho camera, VLAN 100 cho management). Điều này giúp cô lập traffic giám sát, dễ QoS và dễ troubleshoot khi một kênh có vấn đề mà không ảnh hưởng kết nối quản trị switch. Cấu hình VLAN chi tiết nằm ở bài B-GTW02.

ONVIF và multicast IGMP Snooping.

Camera Ikegawa hỗ trợ ONVIF Profile S/T/G/M và dùng multicast cho một số tính năng phát hiện thiết bị. Bật IGMP Snooping trên switch GTWave để kiểm soát multicast traffic, tránh flood toàn bộ VLAN camera khi hệ thống có nhiều NVR và camera cùng hoạt động.

Câu hỏi thường gặp

Tại sao phải vào Console thay vì dùng Web ngay từ đầu?

Console không phụ thuộc IP nên luôn vào được kể cả khi switch chưa có địa chỉ quản lý. Đây cũng là con đường recovery duy nhất khi quên mật khẩu hoặc đổi sai IP.

Reboot xong mất hết cấu hình là do đâu?

Do chưa chạy lệnh write trước khi reboot. Mọi thay đổi nằm trong RAM cho đến khi write ghi vào flash. Luôn write trước khi reboot hoặc tắt nguồn.

SSH không kết nối được sau khi bật thì kiểm tra gì?

Kiểm tra đã tạo host key bằng crypto key generate rsa chưa, mật khẩu user có để trống không (SSH không hoạt động với mật khẩu trống), và ip ssh server đã được bật chưa.

Community SNMP “public” mặc định có nguy hiểm không?

Có. Community public là thông tin công khai, bất kỳ thiết bị nào trong mạng đều dùng được để đọc toàn bộ thông tin SNMP mà không cần xác thực. Cần đổi ngay và giới hạn bằng ACL chỉ cho phép IP NMS truy cập.

Nếu site không có Internet thì NTP xử lý thế nào?

Đặt tay bằng clock set HH:MM:SS DD MMM YYYY. Thời gian sẽ chạy theo đồng hồ phần cứng của switch, không tự đồng bộ. Ghi chú vào biên bản nghiệm thu để bổ sung NTP server nội bộ hoặc đường ra Internet sau.

Quên mật khẩu có phải reset toàn bộ switch không?

Không nhất thiết. Quy trình Bootrom cho phép boot không nạp startup-config, đặt lại mật khẩu rồi nạp lại config cũ — giữ nguyên toàn bộ cấu hình mà không cần reset.

Bài viết kỹ thuật liên quan: