Cài đặt tên miền cho đầu ghi Dahua mới nhất: Hướng dẫn A-Z mở port qua 2 lớp mạng

Bạn đang tìm cách cài đặt tên miền cho đầu ghi Dahua mới nhất và xem camera từ xa ổn định, mượt mà, ngay cả khi hệ thống đi qua 2 lớp mạng (router phụ TP-Link nối vào modem FPT/Viettel/VNPT)? Bài viết này là “bản đồ” chi tiết giúp bạn đi từ A đến Z: cài DDNS Dahua, đặt IP, mở port trên TP-Link và modem nhà mạng, kiểm tra, tối ưu bảo mật, xử lý lỗi. Đây là quy trình thực chiến mà Service24h đã triển khai cho hàng trăm dự án đầu ghi Dahua XVR (như XVR5104HS-X1), camera IP/Analog, phù hợp mọi nhà mạng tại Việt Nam.

Tổng quan: Khi nào cần cài tên miền và mở port?

• Bạn muốn truy cập đầu ghi Dahua qua tên miền (ví dụ: tenban.dssddns.net) từ trình duyệt, phần mềm SmartPSS/DMSS, thay vì chỉ dùng P2P.
• Hệ thống có 2 lớp mạng: đầu ghi → router phụ TP-Link (840/841/… ) → modem nhà mạng. Nếu chỉ mở port trên modem, bạn sẽ không xem được.
• Bạn cần ổn định, độ trễ thấp, hỗ trợ nhiều nền tảng và có thể tích hợp với hệ thống khác (NAS, NVR thứ hai, phần mềm quản trị).

Theo kỹ sư Nguyễn Minh Quân (Service24h): “Mạng hai lớp không khó. Bí quyết là đặt IP tĩnh đúng chỗ, mở port đúng thứ tự và test bằng IP WAN thật, không test bằng IP nội bộ để tránh nhầm lẫn NAT loopback.”

Chuẩn bị

• Thiết bị: đầu ghi Dahua (ví dụ XVR5104HS-X1), router phụ TP-Link 840/841 hoặc tương đương, modem FPT/Viettel/VNPT.
• Thông số cần có:
  • Dải IP modem (thường 192.168.1.1/24).
  • Dải IP TP-Link (thường 192.168.0.1/24).
  • IP đầu ghi Dahua (nên đặt tĩnh, ví dụ 192.168.0.109).
  • Tài khoản quản trị của TP-Link và modem.
• Danh sách cổng Dahua thường dùng:
  • 37777 TCP/UDP (Main service – dùng cho SmartPSS/DMSS)
  • 80 TCP (HTTP – có thể đổi thành 8080 để tránh xung đột)
  • 443 TCP (HTTPS nếu bật)
  • 554 TCP/UDP (RTSP – nếu xem bằng VLC/ONVIF)
• Điều kiện mạng:
  • IPv4 Public trên modem (tránh CGNAT). Nếu nhà mạng dùng CGNAT, yêu cầu cấp IP public hoặc gói tĩnh.
  • DNS/NTP trên đầu ghi phải hoạt động để DDNS cập nhật được.

Sơ đồ đi dây 2 lớp mạng và 3 hướng xử lý

• Sơ đồ: Đầu ghi Dahua → LAN TP-Link (192.168.0.x) → WAN TP-Link (192.168.1.93) → Modem nhà mạng (192.168.1.1).
• Bạn có 3 lựa chọn:
  1. Giữ 2 lớp NAT: mở port trên TP-Link trước, rồi mở tiếp trên modem (chi tiết bên dưới).
  2. Chuyển TP-Link sang chế độ Access Point (tắt DHCP, cắm dây vào cổng LAN): lúc này chỉ cần mở port trên modem. Cách này đơn giản và an toàn hơn nếu không cần tính năng router của TP-Link.
  3. Bridge modem nhà mạng và quay PPPoE trên TP-Link: mở port chỉ ở TP-Link. Dành cho người rành mạng hoặc hệ thống chuyên nghiệp.

Bài viết này tập trung vào phương án 1 vì phổ biến nhất tại hộ gia đình và doanh nghiệp nhỏ.

Bước 1: Cài đặt tên miền Dahua (DSSDDNS) trên đầu ghi

• Trên đầu ghi Dahua: vào Network > DDNS.
• Enable DDNS, chọn loại DSSDDNS.
• Nhập tên miền mong muốn (duy nhất trên hệ thống). Ví dụ: congtyabc.dssddns.net.
• Kiểm tra DNS và NTP trong Network > TCP/IP/NTP (nên để DNS 8.8.8.8/1.1.1.1).
• Khi “Internet Status: Connected” xuất hiện, tên miền đã gắn thành công. Lúc này vẫn chưa xem được từ xa vì chưa mở port.

Màn hình cấu hình DDNS DSSDDNS trên đầu ghi Dahua XVR5104HS-X1 để cài đặt tên miền

Mẹo nhỏ:

• Nếu tên miền đã có người dùng, hãy thêm ký tự số/chữ.
• Sau khi hoàn tất, ghi lại domain, cổng dịch vụ 37777, HTTP/HTTPS để dùng cho ứng dụng DMSS/SmartPSS và trình duyệt.

Bước 2: Đặt IP tĩnh cho TP-Link ở lớp WAN

Mục tiêu: để modem luôn “nhớ” TP-Link ở một IP cố định (ví dụ 192.168.1.93), giúp bạn mở port ổn định về sau.

• Đăng nhập TP-Link (mặc định 192.168.0.1, admin/admin nếu chưa đổi).
• Vào Network > WAN:
  • Connection Type: Static IP.
  • IP Address: 192.168.1.93 (tùy vào dải modem).
  • Subnet Mask: 255.255.255.0.
  • Gateway: 192.168.1.1 (IP modem).
  • DNS: 8.8.8.8 (hoặc 192.168.1.1/1.1.1.1).
• Lưu cấu hình và kiểm tra TP-Link vẫn có internet.

Giao diện cấu hình IP tĩnh WAN cho bộ phát WiFi TP-Link 841 khi dùng hai lớp mạng

Gợi ý chuyên gia:

• Thay vì đặt static IP trên TP-Link, bạn cũng có thể dùng DHCP Reservation trên modem để “ghim” 192.168.1.93 cho MAC của TP-Link. Đây là cách tránh xung đột IP hiệu quả.

Bước 3: Mở port trên TP-Link cho IP đầu ghi Dahua

Trước tiên, đảm bảo đầu ghi Dahua có IP tĩnh trong mạng nội bộ của TP-Link, ví dụ 192.168.0.109. Sau đó:

• Vào NAT/Forwarding > Virtual Servers (hoặc Forwarding > Add New).
• Tạo lần lượt các rule:
  • 37777 TCP/UDP → 192.168.0.109 → 37777
  • 554 TCP/UDP → 192.168.0.109 → 554 (nếu cần RTSP)
  • 8080 TCP → 192.168.0.109 → 80 (nếu bạn đổi cổng HTTP trên đầu ghi thành 8080 để tránh xung đột)
  • 443 TCP → 192.168.0.109 → 443 (nếu dùng HTTPS)
• Enable/Save tất cả rule.

Thiết lập chuyển tiếp cổng 37777 tới IP đầu ghi Dahua trên TP-Link 841 (Virtual Server)

Lưu ý quan trọng về cổng 80:

• Nếu TP-Link báo xung đột cổng 80 (do quản trị web), hãy:
  • Cách 1: Đổi cổng HTTP trên đầu ghi từ 80 sang 8080, sau đó forward 8080 ngoài → 80 trong.
  • Cách 2: Tắt Remote Management hoặc đổi cổng quản trị của TP-Link.
  • Chỉ dùng DMZ khi bất khả kháng (vì kém an toàn).

Trường hợp cần dùng DMZ trên TP-Link:

• Vào Forwarding > DMZ, bật DMZ và nhập IP đầu ghi 192.168.0.109. Cách này mở toàn bộ cổng đến đầu ghi, nhanh nhưng rủi ro bảo mật cao. Dùng tạm thời cho mục đích test.

Bật DMZ trên TP-Link 841 trỏ đến IP đầu ghi Dahua để mở tất cả cổng khi xung đột port 80

Bước 4: Mở port trên modem nhà mạng về TP-Link

Giờ tới lớp ngoài cùng. Bạn sẽ chuyển tiếp các cổng từ modem về IP WAN tĩnh của TP-Link (ví dụ 192.168.1.93):

• Đăng nhập modem:
  • FPT: Application > Port Forwarding.
  • Viettel (ZTE/Huawei): NAT > Port Forwarding/Virtual Server.
  • VNPT (iGate/Huawei): Advanced > NAT > Port Mapping.
• Tạo rule tương ứng:
  • 37777 TCP/UDP → LAN IP 192.168.1.93 → 37777
  • 554 TCP/UDP → 192.168.1.93 → 554
  • 8080 TCP → 192.168.1.93 → 8080 (nếu đã đổi HTTP sang 8080)
  • 443 TCP → 192.168.1.93 → 443
• Enable/Apply, sau đó khởi động lại modem nếu cần.

Cấu hình Port Forwarding trên modem FPT chuyển tiếp về router phụ TP-Link trong mô hình 2 lớp mạng

Cảnh báo CGNAT:

• Một số gói cước (đặc biệt 4G/5G, hoặc FTTH dân dụng) dùng CGNAT nên dù mở port đúng vẫn không truy cập được từ internet. Hãy liên hệ nhà mạng yêu cầu cấp IP Public hoặc gói IP tĩnh để dùng tên miền.

Bước 5: Kiểm tra và truy cập từ xa

• Kiểm tra cổng bằng công cụ:
  • https://www.canyouseeme.org/
  • https://portchecker.co/
  • Yêu cầu: thiết bị đang mở và cổng đã forward xong.
• Thử truy cập:
  • Trình duyệt: http://tenban.dssddns.net:8080 (hoặc https://tenban.dssddns.net:443 nếu bật HTTPS).
  • Ứng dụng DMSS/SmartPSS: thêm thiết bị bằng domain tenban.dssddns.net, cổng 37777, tài khoản đầu ghi.
• Lưu ý NAT Loopback:
  • Nhiều modem không cho truy cập domain public từ mạng nội bộ. Hãy chuyển sang mạng 4G trên điện thoại để test chính xác đường ngoài.

Bảo mật nâng cao cho hệ thống Dahua

• Đổi mật khẩu mạnh, bật xác thực mạnh (nếu có).
• Đổi cổng mặc định (80/37777) sang cổng khác để giảm nguy cơ scan.
• Ưu tiên HTTPS, tắt HTTP nếu không cần.
• Tắt UPnP trên router và đầu ghi để tránh tự động mở cổng ngoài ý muốn.
• Cập nhật firmware cho đầu ghi và router khi nhà sản xuất phát hành bản vá bảo mật.
• Chỉ bật DMZ khi thử nghiệm, sau đó quay lại Virtual Server theo cổng cần thiết.

Lỗi thường gặp và cách khắc phục

• DDNS báo Not Connected:
  • Kiểm tra DNS/NTP trên đầu ghi, cáp mạng, gateway đúng dải, thử DNS 8.8.8.8.
• Mở port 80 bị xung đột:
  • Đổi cổng HTTP đầu ghi sang 8080, hoặc đổi cổng quản trị web TP-Link.
• Mở port xong vẫn không xem được:
  • Kiểm tra CGNAT, public IP.
  • Nhầm chiều forward (modem phải forward về WAN của TP-Link; TP-Link forward về IP đầu ghi).
• Không truy cập được từ nội mạng bằng tên miền:
  • Do NAT loopback, hãy test bằng mạng ngoài (4G) hoặc bật Hairpin NAT nếu router hỗ trợ.
• Đầu ghi đổi IP sau khi mất điện:
  • Đặt IP tĩnh cố định trên đầu ghi và/hoặc dùng DHCP Reservation.

Câu hỏi thường gặp

• Có thể dùng No-IP/DynDNS thay vì DSSDDNS không?
  • Có. Dahua hỗ trợ nhiều nhà cung cấp DDNS. Tuy nhiên DSSDDNS miễn phí và tích hợp sẵn nên tiện dụng.
• Không muốn mở port vì sợ bảo mật, có cách khác không?
  • Dùng P2P qua DMSS, hoặc thiết lập VPN site-to-site/Client VPN. Mở port chỉ những cổng cần thiết và kết hợp chính sách mật khẩu mạnh.
• Dùng 1 lớp mạng có nhanh hơn không?
  • Đúng. Chuyển TP-Link sang chế độ Access Point giúp đơn giản cấu hình và giảm lỗi.

Nguồn tham khảo

• Dahua Wiki – DDNS Configuration: https://dahuawiki.com/Remote_Access/DDNS
• TP-Link – Virtual Server/Port Forwarding: https://www.tp-link.com/vn/support/faq/154/
• Kiểm tra cổng mở: https://www.canyouseeme.org/
• Tổng quan CGNAT: https://www.cloudflare.com/learning/network-layer/what-is-cgnat/

Theo kỹ sư Lê Hoàng Phúc (Service24h): “Nếu bạn làm đúng thứ tự DDNS → IP tĩnh → Port TP-Link → Port Modem → Kiểm tra 4G, thì tỉ lệ thành công gần như tuyệt đối, kể cả với mạng hai lớp.”

Kết luận

Cài đặt tên miền cho đầu ghi Dahua mới nhất và mở port qua 2 lớp mạng không khó nếu bạn đi đúng quy trình. Hãy ưu tiên đổi cổng HTTP sang 8080, forward chuẩn 37777/554/443, kiểm tra bằng 4G để loại trừ NAT loopback và chú ý vấn đề CGNAT từ nhà mạng. Khi hoàn thành, bạn có thể xem camera Dahua từ xa ổn định bằng domain trên trình duyệt, DMSS hoặc SmartPSS.

Nếu bạn muốn đội ngũ Service24h tối ưu trọn gói từ lắp đặt, cấu hình, bảo mật đến bảo trì hệ thống camera/Dahua/NVR, hãy liên hệ chúng tôi để được hỗ trợ nhanh chóng và tận tâm. Chia sẻ trải nghiệm của bạn ở phần bình luận, hoặc khám phá thêm các bài hướng dẫn khác trên website để nâng cấp hệ thống an ninh của mình ngay hôm nay.