Hướng dẫn mở port TP-Link: Port Forwarding chi tiết cho Archer, TL-WR, AX, TL-R480T+

Tổng quan: Port Forwarding là gì và khi nào cần dùng

Mở port (Port Forwarding, NAT Port, Virtual Server) là thao tác chuyển tiếp một cổng từ địa chỉ IP công cộng trên router về đúng thiết bị trong mạng nội bộ (máy chủ game, camera, NAS, web server…). Đây là bước bắt buộc để dịch vụ trong LAN có thể truy cập từ Internet. Bạn cần mở port khi:

• Xem camera từ xa (HTTP/Server port, RTSP).
• Chạy game server (ví dụ: 25565 cho Minecraft, 5739 UDP cho PES).
• Truy cập NAS Synology/TrueNAS, web nội bộ, RDP, FTP.
• Host ứng dụng tự xây dựng trên máy tính/VM/Container.

Điều kiện tiên quyết trước khi mở cổng:

• Kết nối Internet có IP public “thật” trên WAN (không bị CGNAT).
• Thiết bị đích (camera, PC, NAS…) có IP nội bộ cố định.
• Dịch vụ thực sự chạy và lắng nghe đúng cổng trên thiết bị đích.
• Firewall thiết bị đích/Windows đã cho phép cổng tương ứng.

Bước 1: Cấp IP tĩnh nội bộ cho thiết bị đích

Để Port Forwarding hoạt động ổn định, thiết bị đích phải giữ nguyên IP LAN:

• Cách 1: Đặt IP tĩnh trực tiếp trên thiết bị (cùng dải với router TP-Link, ví dụ 192.168.0.x hoặc 192.168.1.x).
• Cách 2: Dùng DHCP Reservation trên TP-Link để “ghim” IP dựa trên MAC của thiết bị.
• Tránh trùng IP và tránh đặt IP ngoài dải DHCP nếu không nắm chắc cấu hình.
• Nếu mạng có hai router, đảm bảo dải mạng khác nhau để tránh xung đột (ví dụ modem 192.168.1.1, TP-Link 192.168.0.1).

Bước 2: Mở port trên router TP-Link

2.1. Giao diện mới (Archer C54/C6/C80/C20, Archer AX series – nền xanh)

• Truy cập 192.168.x.1 (thường là 192.168.0.1/192.168.1.1) > Advanced.
• Vào NAT Forwarding > Virtual Servers (Port Forwarding).
• Add: Service Name (đặt tên), External Port (cổng ngoài), Internal IP (IP thiết bị đích), Internal Port (thường trùng External), Protocol (TCP/UDP/Both), Status: Enable.
• Lưu cấu hình. Kiểm tra bổ sung:
  • Tắt UPnP nếu không dùng để tránh xung đột cổng tự mở.
  • Nếu nhà mạng chặn 80/25, dùng cổng thay thế như 8080 cho web, 587 cho SMTP.
  • Một cổng chỉ được chuyển tiếp về một IP; không thể dùng cùng cổng cho 2 thiết bị.

Giao diện cấu hình Virtual Servers trên TP-Link Archer mới để chuyển tiếp cổng Port Forwarding

Ví dụ nhanh trên Archer C54:

• Camera NVR: External/Internal Port 8000 TCP, RTSP 554 TCP/UDP, HTTP 8080 TCP về IP 192.168.0.150.
• Game server: 25565 TCP về IP 192.168.0.120, hoặc PES 5739 UDP.
• NAS Synology: 5000/5001 TCP về 192.168.0.200. Gợi ý bảo mật: dùng Reverse Proxy/HTTPS và tài khoản mạnh.

Minh họa NAT Port trên TP-Link Archer C54 với các rule Port Forwarding phổ biến

2.2. Giao diện cổ (xanh lá/cam – TL-WR841N, dòng cũ)

• Truy cập 192.168.x.1 > Forwarding > Virtual Servers.
• Add New: Service Port (cổng ngoài), IP Address (IP đích), Internal Port (nếu có), Protocol, Status: Enabled.
• Save/Apply. Kiểm tra mục Security/Firewall không chặn dịch vụ mong muốn.

Màn hình Virtual Servers trên TP-Link TL-WR841N để mở cổng dịch vụ nội bộ

2.3. Archer AX/AX6000: lưu ý giao diện và thuật ngữ

• Đường dẫn tương tự: Advanced > NAT Forwarding > Virtual Servers.
• Có thể hiển thị thêm Port Triggering, ALG, DMZ. Chỉ dùng DMZ khi cần thử nhanh, không nên để lâu vì rủi ro bảo mật.
• Sau khi thêm rule, reboot router nếu không thấy hiệu lực.

Màn hình Port Forwarding trên TP-Link Archer AX6000 hiển thị danh sách rule đã tạo

Bước 3: Mở tường lửa trên thiết bị đích

• Windows: Windows Defender Firewall > Advanced settings > Inbound Rules > New Rule > Port > TCP/UDP > nhập port > Allow > chọn profile > đặt tên.
• NAS/Camera: mở trong mục Security/Network Services.
• Dịch vụ phải ở trạng thái Listening trên port (netstat -ano, ss -lntup). Nếu service chưa chạy, cổng sẽ báo “đóng” dù đã NAT.

Bước 4: DDNS để truy cập từ xa ổn định

Do IP WAN thường thay đổi, hãy bật DDNS:

• TP-Link ID/DDNS: Advanced > Network > Dynamic DNS > TP-Link/No-IP/DynDNS. Đăng ký tên miền dạng xxxxxx.tplinkdns.com.
• Gán port ngoài phù hợp (ví dụ domain:8080) khi truy cập dịch vụ web hoặc dùng reverse proxy để gom cổng.

Mô hình đặc biệt và cách xử lý

1) Hai lớp mạng (Double NAT) – Modem của ISP + Router TP-Link

Triệu chứng: Đã mở port trên TP-Link nhưng không thấy mở từ Internet. Cách xử lý:

• Tốt nhất: Chuyển modem nhà mạng sang Bridge, để TP-Link quay PPPoE (TP-Link nhận IP public).
• Nếu không bridge được: Mở port 1 lần trên modem về IP WAN của TP-Link, rồi mở port lần 2 trên TP-Link về IP thiết bị đích.
• Hoặc đặt DMZ trên modem trỏ về IP WAN của TP-Link, sau đó quản lý port trên TP-Link. Nhớ bảo mật kỹ TP-Link.

Sơ đồ mở port qua 2 lớp mạng giữa modem nhà mạng và router Wi-Fi TP-Link

2) CGNAT của nhà mạng (Carrier-Grade NAT)

• Dấu hiệu: WAN nhận IP dạng 10.x/100.64.x/172.16-31.x/192.168.x hoặc kiểm tra “My IP” khác hẳn IP WAN trên router.
• Khi bị CGNAT, mở port từ Internet vào là không khả thi. Giải pháp:
  • Yêu cầu nhà mạng cấp IP public tĩnh/động.
  • Dùng IPv6 (nếu bên ngoài và dịch vụ hỗ trợ), cấu hình tường lửa IPv6 phù hợp.
  • Dùng P2P/Cloud của camera, VPN site-to-site, WireGuard, Zerotier, hoặc reverse tunnel (Cloudflare Tunnel, frp, ngrok).

3) NAT loopback (Hairpin NAT) để truy cập domain từ LAN

• Một số router TP-Link hỗ trợ loopback mặc định; nếu không, khi gọi domain từ LAN có thể không vào được.
• Cách khắc phục: dùng Split DNS trên DNS nội bộ/AdGuard Home/Pi-hole, hoặc truy cập IP LAN khi ở trong mạng nội bộ.

Kiểm tra và xác thực mở cổng

• Từ ngoài Internet: yougetsignal.com/tools/open-ports, canyouseeme.org, hoặc dùng nmap từ VPS/4G.
• Từ máy ngoài mạng: telnet domain port hoặc nc -vz domain port.
• Nếu vẫn báo đóng:
  • Dịch vụ chưa lắng nghe port.
  • Sai IP đích/Internal port.
  • Trùng rule/port đã dùng.
  • Modem/CGNAT chặn.
  • Firewall trên thiết bị đích hoặc router phụ.
  • Nhà mạng chặn port phổ biến (25/80/445…).

Ví dụ giao diện Virtual Server trên tài liệu TP-Link minh họa cách điền thông số Port Forwarding

Áp dụng thực tế theo nhu cầu

1) Camera IP/DVR/NVR

• Thường dùng: HTTP/WEB 80/8080, Server/SDK 8000/37777, RTSP 554.
• Nên đổi cổng HTTP sang 8080/8888 để tránh bị chặn.
• Ưu tiên dùng P2P/Cloud khi có CGNAT hoặc để tăng bảo mật nếu không cần public.

Cấu hình mở cổng trên TP-Link để truy cập đầu ghi camera và luồng RTSP từ xa

2) Game server phổ biến

• Minecraft Java: 25565 TCP.
• PES/Winning: 5739 UDP.
• Steam/Valheim/CS: tham khảo cổng từng game, nhiều game cần TCP+UDP.
• Tắt UPnP nếu manual forwarding để tránh xung đột cổng.

3) NAS/Web/Remote

• Synology: 5000/5001 TCP; Plex 32400 TCP; SMB 445 (khuyến cáo không public trực tiếp).
• Web: 80/443 TCP; nên dùng reverse proxy và chứng chỉ TLS.
• RDP: 3389 TCP; nên đổi cổng, whitelist IP, hoặc dùng VPN thay vì public.

4) Archer C20, Archer C54, C6, C80: khác biệt nhỏ ở giao diện

• Vị trí menu tương đương nhưng tên mục có thể khác nhẹ (Virtual Servers/Port Forwarding).
• Với model cũ hơn (Archer C20), bố cục “Advanced > NAT Forwarding” vẫn là nơi cấu hình chính.

Giao diện quản trị TP-Link Archer C20 hiển thị mục NAT Port và các cấu hình liên quan

Bảo mật khi mở cổng

• Chỉ mở cổng cần thiết, xóa rule không dùng.
• Dùng cổng ngoài ngẫu nhiên/khác mặc định để giảm bị quét.
• Bật HTTPS/SSL, reverse proxy, xác thực mạnh và 2FA.
• Hạn chế nguồn truy cập (nếu router hỗ trợ ACL/Firewall theo IP).
• Tắt UPnP nếu không cần, đổi mật khẩu quản trị router và cập nhật firmware.
• Ưu tiên VPN thay vì mở cổng dịch vụ nhạy cảm (RDP, SMB, SQL).

Lỗi thường gặp và cách khắc phục nhanh

• Không có IP public do CGNAT: Liên hệ ISP cấp IP public/IPv6, hoặc dùng P2P/VPN/Tunnel.
• Mở port nhưng vẫn đóng: Sai Internal IP/Port, dịch vụ không chạy, firewall chặn, trùng cổng, double NAT chưa xử lý.
• Mở 80/443 không hoạt động: ISP chặn hoặc trùng với quản trị router; đổi port/cấu hình Remote Management khác cổng.
• Hairpin NAT không vào được bằng domain trong LAN: Dùng Split DNS hoặc IP LAN.
• Trùng rule/port: Một port chỉ ánh xạ đến một IP nội bộ duy nhất.
• Thiếu reboot: Một số model cần reboot sau khi thêm rule để có hiệu lực.

Câu hỏi thường gặp

• Có nên dùng DMZ thay Port Forwarding? DMZ chỉ nên dùng tạm để test. Về lâu dài hãy mở đúng cổng dịch vụ cần thiết.
• UPnP có nên bật? Chỉ bật khi bạn hiểu rủi ro; ứng dụng có thể tự mở cổng mà bạn không hay biết.
• Mở nhiều cổng cho nhiều thiết bị được không? Được, nhưng mỗi cổng chỉ trỏ về một IP. Muốn nhiều thiết bị cùng dịch vụ, hãy dùng cổng ngoài khác nhau hoặc reverse proxy.
• Có nên mở 3389/445 ra Internet? Không khuyến khích. Dùng VPN/ZeroTier/WireGuard, hoặc reverse proxy với xác thực mạnh.
• Làm sao biết nhà mạng chặn cổng? Thử đổi port khác, test bằng 4G/VPS, hỏi nhà mạng. Nhiều ISP chặn 25/80/445 mặc định.

Bằng cách áp dụng đúng các bước trên, bạn sẽ mở port TP-Link thành công trên đa số model Archer/TL-WR/AX, xử lý được hai lớp mạng, vượt qua các rào cản phổ biến và vẫn đảm bảo an toàn cho hệ thống của mình.