Pendahuluan Firewall merupakan salah satu komponen penting dalam keamanan jaringan. Firewall digunakan untuk mengatur lalu lintas yang masuk, keluar, atau melewati sebuah perangkat jaringan berdasarkan aturan yang telah ditentukan. Dala...
Ditulis oleh Guru SKJ pada 29 Jul 2026
Firewall merupakan salah satu komponen penting dalam keamanan jaringan. Firewall digunakan untuk mengatur lalu lintas yang masuk, keluar, atau melewati sebuah perangkat jaringan berdasarkan aturan yang telah ditentukan.
Dalam implementasi jaringan sekolah, kantor, laboratorium, server, maupun jaringan VPN, firewall dapat digunakan untuk:
melindungi router;
membatasi akses antarjaringan;
melindungi server;
memblokir koneksi yang tidak sah;
mencatat aktivitas mencurigakan;
membatasi akses layanan tertentu;
mengizinkan hanya trafik yang diperlukan.
MikroTik RouterOS menyediakan firewall yang mendukung pemfilteran paket secara stateful melalui connection tracking maupun secara stateless pada bagian tertentu. Firewall MikroTik juga terintegrasi dengan NAT, address list, logging, mangle, dan RAW. (MikroTik Help)
Firewall adalah sistem yang mengontrol lalu lintas jaringan berdasarkan aturan keamanan.
Firewall dapat dianalogikan sebagai petugas keamanan di gerbang sebuah gedung.
Petugas tersebut memeriksa:
siapa yang datang;
dari mana asalnya;
ke mana tujuannya;
layanan apa yang ingin digunakan;
apakah koneksi tersebut diizinkan;
apakah aktivitasnya mencurigakan.
Dalam jaringan komputer, pemeriksaan tersebut dapat menggunakan:
source IP;
destination IP;
source port;
destination port;
protocol;
interface;
connection state;
address list;
waktu;
jumlah koneksi;
jenis trafik.
Firewall digunakan untuk mencapai beberapa tujuan utama.
Router merupakan pintu utama jaringan. Jika router dikuasai pihak lain, seluruh jaringan dapat terganggu.
Firewall dapat membatasi akses menuju:
Winbox;
SSH;
WebFig;
DNS;
VPN;
API;
layanan administrasi lain.
Firewall dapat mencegah koneksi dari internet masuk ke jaringan lokal tanpa izin.
Contoh:
Jaringan siswa tidak boleh mengakses jaringan administrasi.
Jaringan tamu tidak boleh mengakses server.
Jaringan VPN hanya boleh mengakses CBT Server.Firewall dapat mengizinkan hanya port tertentu menuju server.
Contoh:
Web Server:
Izinkan port 80 dan 443.
SSH:
Hanya dari komputer administrator.
Database:
Hanya dapat diakses oleh application server.Firewall dapat mencatat koneksi yang diblokir untuk membantu:
troubleshooting;
audit;
pemantauan serangan;
pemeriksaan brute force;
analisis aktivitas jaringan.
Artikel ini menggunakan topologi berikut:
INTERNET
|
ether1-WAN
IP: 203.0.113.2/30
|
MIKROTIK
┌──────────────┴──────────────┐
| |
ether2-LAN ether3-SERVER
192.168.10.1/24 192.168.20.1/24
| |
Komputer Klien CBT Server
192.168.10.0/24 192.168.20.200Keterangan:
WAN : ether1-WAN
LAN pengguna : 192.168.10.0/24
Jaringan server : 192.168.20.0/24
CBT Server : 192.168.20.200
Komputer admin : 192.168.10.10Tujuan firewall:
Melindungi router dari internet.
Mengizinkan LAN mengakses internet.
Mengizinkan LAN mengakses CBT Server.
Mengizinkan administrasi router hanya dari komputer admin.
Memblokir akses internet langsung menuju jaringan lokal.
Mencatat koneksi mencurigakan.
Membatasi layanan publik menuju server.
RouterOS memproses rule firewall secara berurutan dari atas ke bawah.
Ketika sebuah paket cocok dengan suatu rule, action pada rule tersebut dijalankan. Untuk action seperti accept atau drop, pemeriksaan dalam chain tersebut berhenti. Karena itu, urutan rule sangat menentukan hasil akhir konfigurasi. (MikroTik Help)
Contoh:
Rule 1: Izinkan komputer admin.
Rule 2: Blokir semua akses lain.Konfigurasi tersebut berbeda hasilnya dengan:
Rule 1: Blokir semua akses.
Rule 2: Izinkan komputer admin.Pada susunan kedua, komputer admin sudah diblokir sebelum mencapai rule izin.
Chain menunjukkan jalur paket yang sedang diproses.
Chain input digunakan untuk trafik yang ditujukan kepada router itu sendiri.
Contoh:
Winbox menuju MikroTik
SSH menuju MikroTik
Ping menuju MikroTik
VPN menuju MikroTik
DNS menuju MikroTikChain forward digunakan untuk trafik yang melewati router.
Contoh:
LAN menuju internet
LAN menuju CBT Server
VPN menuju LAN
Internet menuju server melalui port forwardingChain output digunakan untuk trafik yang dibuat oleh router.
Contoh:
MikroTik melakukan ping
MikroTik mengakses DNS
MikroTik menghubungi NTP
MikroTik mengirim logRouterOS juga mempunyai chain lain pada tabel NAT, RAW, dan mangle, tetapi untuk materi firewall dasar, fokus utama berada pada input, forward, dan output. (MikroTik Help)
Connection tracking membuat MikroTik dapat mengenali hubungan antar-paket dalam sebuah koneksi.
Router dapat mengetahui apakah sebuah paket merupakan:
koneksi baru;
bagian dari koneksi yang sudah berjalan;
koneksi yang berkaitan;
koneksi yang tidak valid.
NAT juga menggunakan connection tracking agar seluruh paket dalam koneksi yang sama diterjemahkan secara konsisten. (MikroTik Help)
Status koneksi dapat dilihat dengan:
/ip firewall connection printnew berarti paket memulai koneksi baru.
Contoh:
Klien pertama kali membuka website.
Administrator memulai koneksi Winbox.
Pengguna memulai sesi SSH.established berarti paket merupakan bagian dari koneksi yang sudah dikenali.
related berarti koneksi baru berhubungan dengan koneksi yang sudah ada.
invalid berarti paket tidak dapat dikenali sebagai bagian koneksi yang benar.
MikroTik merekomendasikan agar koneksi invalid umumnya dibuang pada chain input dan forward. (MikroTik Help)
untracked berarti paket tidak diproses connection tracking, biasanya karena rule RAW dengan action notrack.
Beberapa action yang sering digunakan adalah:
Mengizinkan paket.
action=acceptMembuang paket tanpa memberikan respons.
action=dropMenolak paket dan dapat mengirimkan pesan penolakan.
Mencatat paket ke log, lalu paket tetap dilanjutkan ke rule berikutnya.
action=logMenambahkan alamat sumber atau tujuan ke address list.
action=add-src-to-address-listMempercepat pemrosesan koneksi tertentu dengan melewati beberapa fasilitas RouterOS.
FastTrack perlu digunakan dengan hati-hati karena dapat melewati simple queue, beberapa queue tree, IPsec, accounting, dan fitur lain. (MikroTik Help)
Pendekatan firewall yang baik adalah:
Izinkan hanya trafik yang diperlukan.
Blokir trafik lainnya.Prinsip ini disebut default deny.
Contoh:
Izinkan established dan related.
Izinkan ICMP yang diperlukan.
Izinkan pengelolaan dari jaringan admin.
Izinkan trafik layanan tertentu.
Blokir sisanya.Pendekatan sebaliknya adalah membuka seluruh trafik lalu mencoba memblokir satu per satu. Cara tersebut lebih berisiko karena layanan baru mungkin terbuka tanpa disadari.
Interface list mempermudah pengelompokan interface.
/interface list
add name=WAN
add name=LAN
add name=SERVERTambahkan interface:
/interface list member
add interface=ether1-WAN list=WAN
add interface=ether2-LAN list=LAN
add interface=ether3-SERVER list=SERVERDengan interface list, rule firewall tidak perlu selalu menyebut interface satu per satu.
Contoh:
in-interface-list=WANPendekatan interface list juga digunakan dalam contoh advanced firewall resmi MikroTik. (MikroTik Help)
/ip address
add address=203.0.113.2/30 interface=ether1-WAN comment="WAN"
add address=192.168.10.1/24 interface=ether2-LAN comment="LAN"
add address=192.168.20.1/24 interface=ether3-SERVER comment="SERVER"Default route:
/ip route
add dst-address=0.0.0.0/0 gateway=203.0.113.1DNS:
/ip dns
set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yesAlamat 203.0.113.0/24 digunakan sebagai alamat dokumentasi dalam contoh, bukan sebagai IP internet nyata.
NAT dan firewall merupakan fungsi berbeda.
Firewall menentukan apakah trafik diizinkan atau diblokir.
NAT menerjemahkan alamat.
Agar jaringan LAN dapat mengakses internet:
/ip firewall nat
add chain=srcnat \
src-address=192.168.10.0/24 \
out-interface-list=WAN \
action=masquerade \
comment="NAT LAN ke internet"Untuk jaringan server:
/ip firewall nat
add chain=srcnat \
src-address=192.168.20.0/24 \
out-interface-list=WAN \
action=masquerade \
comment="NAT SERVER ke internet"NAT hanya memproses paket awal sebuah koneksi. Connection tracking kemudian mengingat tindakan NAT tersebut untuk paket berikutnya. (MikroTik Help)
/ip firewall filter
add chain=input \
connection-state=established,related,untracked \
action=accept \
comment="INPUT: accept established related untracked"/ip firewall filter
add chain=input \
connection-state=invalid \
action=drop \
comment="INPUT: drop invalid"/ip firewall filter
add chain=input \
protocol=icmp \
action=accept \
comment="INPUT: allow ICMP"ICMP diperlukan untuk beberapa proses jaringan, termasuk ping, troubleshooting, dan pesan kesalahan jaringan. Jangan memblokir ICMP tanpa memahami dampaknya.
Komputer administrator:
192.168.10.10Rule:
/ip firewall filter
add chain=input \
src-address=192.168.10.10 \
protocol=tcp \
dst-port=8291,22 \
action=accept \
comment="INPUT: admin Winbox dan SSH"/ip firewall filter
add chain=input \
in-interface-list=LAN \
protocol=udp \
dst-port=53 \
action=accept \
comment="INPUT: DNS UDP dari LAN"
add chain=input \
in-interface-list=LAN \
protocol=tcp \
dst-port=53 \
action=accept \
comment="INPUT: DNS TCP dari LAN"Contoh WireGuard:
/ip firewall filter
add chain=input \
in-interface-list=WAN \
protocol=udp \
dst-port=13231 \
action=accept \
comment="INPUT: WireGuard VPN"Port harus disesuaikan dengan konfigurasi VPN.
/ip firewall filter
add chain=input \
in-interface-list=WAN \
action=log \
log-prefix="DROP_INPUT_WAN: " \
comment="INPUT: log akses WAN"/ip firewall filter
add chain=input \
action=drop \
comment="INPUT: drop semua selain rule di atas"Rule drop terakhir menerapkan prinsip default deny.
/ip firewall filter
add chain=forward \
connection-state=established,related \
action=fasttrack-connection \
comment="FORWARD: FastTrack established related"Rule FastTrack sebaiknya tidak digunakan jika trafik tersebut harus diproses secara penuh oleh:
simple queue;
queue tree tertentu;
IPsec;
accounting;
kebijakan routing tertentu;
monitoring yang membutuhkan seluruh paket.
Walaupun menggunakan FastTrack, rule accept berikut tetap diperlukan. (MikroTik Help)
/ip firewall filter
add chain=forward \
connection-state=established,related,untracked \
action=accept \
comment="FORWARD: accept established related untracked"/ip firewall filter
add chain=forward \
connection-state=invalid \
action=drop \
comment="FORWARD: drop invalid"/ip firewall filter
add chain=forward \
in-interface-list=LAN \
out-interface-list=WAN \
action=accept \
comment="FORWARD: LAN ke internet"Server mungkin membutuhkan internet untuk:
update;
sinkronisasi waktu;
DNS;
backup;
instalasi package.
/ip firewall filter
add chain=forward \
in-interface-list=SERVER \
out-interface-list=WAN \
action=accept \
comment="FORWARD: server ke internet"Pada jaringan produksi, rule ini dapat dipersempit berdasarkan protokol dan port.
CBT Server:
192.168.20.200Jika layanan menggunakan HTTP dan HTTPS:
/ip firewall filter
add chain=forward \
src-address=192.168.10.0/24 \
dst-address=192.168.20.200 \
protocol=tcp \
dst-port=80,443 \
action=accept \
comment="FORWARD: LAN ke CBT"Jika aplikasi CBT menggunakan port 8080:
/ip firewall filter
add chain=forward \
src-address=192.168.10.0/24 \
dst-address=192.168.20.200 \
protocol=tcp \
dst-port=8080 \
action=accept \
comment="FORWARD: LAN ke CBT port 8080"Misalnya SSH server hanya boleh diakses komputer admin:
/ip firewall filter
add chain=forward \
src-address=192.168.10.10 \
dst-address=192.168.20.200 \
protocol=tcp \
dst-port=22 \
action=accept \
comment="FORWARD: admin SSH ke server"Klien lain tidak diberikan rule SSH sehingga akan diblokir oleh rule drop terakhir.
Server tidak selalu perlu memulai koneksi menuju komputer pengguna.
/ip firewall filter
add chain=forward \
in-interface-list=SERVER \
out-interface-list=LAN \
connection-state=new \
action=drop \
comment="FORWARD: blok koneksi baru server ke LAN"Koneksi jawaban yang merupakan established atau related tetap diizinkan oleh rule sebelumnya.
/ip firewall filter
add chain=forward \
in-interface-list=WAN \
out-interface-list=LAN \
action=drop \
comment="FORWARD: blok internet menuju LAN"Untuk trafik internet yang tidak melalui port forwarding:
/ip firewall filter
add chain=forward \
in-interface-list=WAN \
connection-state=new \
connection-nat-state=!dstnat \
action=drop \
comment="FORWARD: drop WAN baru yang bukan dstnat"Pendekatan menjatuhkan koneksi baru dari WAN yang tidak melalui destination NAT digunakan pada contoh firewall MikroTik. (MikroTik Help)
Misalnya CBT Server harus menyediakan HTTPS dari internet.
Destination NAT:
/ip firewall nat
add chain=dstnat \
in-interface-list=WAN \
protocol=tcp \
dst-port=443 \
action=dst-nat \
to-addresses=192.168.20.200 \
to-ports=443 \
comment="DSTNAT HTTPS ke CBT"Firewall forward:
/ip firewall filter
add chain=forward \
in-interface-list=WAN \
dst-address=192.168.20.200 \
protocol=tcp \
dst-port=443 \
connection-nat-state=dstnat \
action=accept \
comment="FORWARD: izinkan HTTPS hasil dstnat"Membuat destination NAT saja belum cukup. Akses tetap perlu dikendalikan melalui firewall.
Untuk akses administrasi, penggunaan VPN lebih aman daripada membuka SSH, Winbox, atau panel administrasi langsung ke internet.
Address list digunakan untuk mengelompokkan beberapa alamat IP dalam satu nama.
Address list dapat digunakan oleh firewall filter, mangle, dan NAT. Daftarnya juga dapat diisi secara dinamis menggunakan action tertentu. (MikroTik Help)
/ip firewall address-list
add list=ADMIN-TRUSTED address=192.168.10.10 comment="Komputer admin"
add list=ADMIN-TRUSTED address=10.10.10.10 comment="Admin VPN"Rule:
/ip firewall filter
add chain=input \
src-address-list=ADMIN-TRUSTED \
protocol=tcp \
dst-port=8291,22 \
action=accept \
comment="INPUT: admin trusted"/ip firewall address-list
add list=SERVER-CBT address=192.168.20.200Rule:
/ip firewall filter
add chain=forward \
src-address=192.168.10.0/24 \
dst-address-list=SERVER-CBT \
protocol=tcp \
dst-port=80,443 \
action=accept \
comment="FORWARD: LAN ke server CBT"Address list membuat konfigurasi lebih mudah dikelola dibanding menulis banyak rule yang hampir sama.
Contoh berikut digunakan untuk pembelajaran. Implementasi produksi harus diuji agar tidak memblokir pengguna sah.
/ip firewall filter
add chain=input \
protocol=tcp \
dst-port=22 \
connection-state=new \
src-address-list=ssh-blacklist \
action=drop \
comment="INPUT: drop SSH blacklist"/ip firewall filter
add chain=input \
protocol=tcp \
dst-port=22 \
connection-state=new \
src-address-list=ssh-stage3 \
action=add-src-to-address-list \
address-list=ssh-blacklist \
address-list-timeout=1d \
comment="INPUT: SSH stage3 ke blacklist"/ip firewall filter
add chain=input \
protocol=tcp \
dst-port=22 \
connection-state=new \
src-address-list=ssh-stage2 \
action=add-src-to-address-list \
address-list=ssh-stage3 \
address-list-timeout=1m/ip firewall filter
add chain=input \
protocol=tcp \
dst-port=22 \
connection-state=new \
src-address-list=ssh-stage1 \
action=add-src-to-address-list \
address-list=ssh-stage2 \
address-list-timeout=1m/ip firewall filter
add chain=input \
protocol=tcp \
dst-port=22 \
connection-state=new \
action=add-src-to-address-list \
address-list=ssh-stage1 \
address-list-timeout=1mSolusi yang lebih baik tetap:
jangan membuka SSH ke internet jika tidak diperlukan;
akses melalui VPN;
batasi source IP;
gunakan SSH key;
nonaktifkan password login jika memungkinkan.
Untuk mencatat paket:
/ip firewall filter
add chain=input \
in-interface-list=WAN \
protocol=tcp \
dst-port=8291 \
action=log \
log-prefix="WINBOX_WAN: "Lihat log:
/log printFilter log:
/log print where message~"WINBOX_WAN"Action log mencatat informasi paket, kemudian paket dilanjutkan ke rule berikutnya. (MikroTik Help)
Jangan menambahkan logging pada seluruh trafik berkecepatan tinggi karena dapat:
memenuhi log;
membebani CPU;
menyulitkan analisis;
mempercepat penulisan storage.
Gunakan parameter seperti:
limit;
dst-limit;
prefix khusus;
logging hanya untuk rule penting.
Untuk melihat jumlah paket dan byte yang cocok:
/ip firewall filter print statsRouterOS menyediakan tampilan statistik rule agar administrator dapat melihat apakah sebuah rule pernah digunakan. (MikroTik Help)
Counter berguna untuk mengetahui:
rule yang aktif;
rule yang tidak pernah terpakai;
urutan rule yang salah;
trafik yang terlalu besar;
upaya akses berulang.
/ip firewall connection print/ip firewall filter print stats/tool torch interface=ether1-WAN/interface monitor-traffic ether1-WAN/ping 8.8.8.8/tool traceroute 8.8.8.8/log print followPerlu diperhatikan bahwa penggunaan Torch, sniffer, atau traffic generator dapat memengaruhi FastTrack selama tools tersebut aktif. (MikroTik Help)
Urutan umum chain input:
1. Accept established, related, untracked.
2. Drop invalid.
3. Accept ICMP.
4. Accept layanan VPN.
5. Accept administrasi dari sumber tepercaya.
6. Accept layanan internal yang diperlukan.
7. Log trafik penting.
8. Drop sisanya.Urutan umum chain forward:
1. FastTrack jika sesuai.
2. Accept established, related, untracked.
3. Drop invalid.
4. Accept trafik yang diizinkan.
5. Accept hasil destination NAT yang sah.
6. Drop koneksi baru dari WAN yang bukan dstnat.
7. Log trafik tertentu.
8. Drop sisanya.Setelah seluruh rule izin dibuat, tambahkan rule drop.
/ip firewall filter
add chain=forward \
action=drop \
comment="FORWARD: drop semua trafik lain"Rule ini harus diletakkan setelah seluruh rule izin.
Sebelum mengaktifkannya:
buat backup;
gunakan Safe Mode;
pastikan rule administrasi aktif;
uji dari console jika memungkinkan;
periksa counter.
Saat mengubah firewall melalui terminal atau Winbox, gunakan Safe Mode.
Safe Mode membantu mengembalikan perubahan apabila koneksi administrator terputus sebelum perubahan disimpan dengan aman.
Hal ini sangat penting ketika:
membuat rule drop;
mengubah interface;
mengubah IP;
membatasi Winbox;
mengubah routing.
Backup biner:
/system backup
save name=sebelum-firewallExport konfigurasi:
/export file=sebelum-firewallExport firewall saja:
/ip firewall export file=firewall-sebelumBackup membantu memulihkan konfigurasi jika terjadi kesalahan.
Firewall IPv4 berada pada:
/ip firewallFirewall IPv6 berada pada:
/ipv6 firewallRule IPv4 tidak otomatis melindungi IPv6.
Pada IPv6, perangkat dapat memiliki Global Unicast Address yang dapat dirutekan secara global. Karena tidak selalu menggunakan NAT, firewall forward IPv6 menjadi sangat penting. MikroTik menyarankan agar established dan related diizinkan, invalid dibuang, ICMPv6 yang diperlukan diterima, koneksi keluar dari LAN diizinkan, lalu trafik lain diblokir. (MikroTik Help)
Jangan memblokir seluruh ICMPv6 karena protokol tersebut dibutuhkan untuk berbagai fungsi utama IPv6.
| Firewall | NAT |
|---|---|
| Mengizinkan atau memblokir trafik | Menerjemahkan alamat atau port |
| Menggunakan filter rule | Menggunakan NAT rule |
| Melindungi router dan jaringan | Membantu konektivitas |
| Menggunakan input, forward, output | Menggunakan srcnat dan dstnat |
| Menentukan kebijakan akses | Mengubah source atau destination |
Kesalahan umum adalah menganggap masquerade sebagai firewall.
Masquerade membuat klien dapat mengakses internet, tetapi tidak menggantikan aturan perlindungan router dan jaringan.
Firewall bekerja terutama berdasarkan informasi jaringan seperti:
IP;
port;
protocol;
interface;
connection state.
Proxy bertindak sebagai perantara aplikasi tertentu.
Contoh:
Firewall:
Memblokir koneksi TCP ke port 80.
Proxy:
Menerima permintaan HTTP lalu meneruskannya.Sebagian besar website modern menggunakan HTTPS sehingga filtering berdasarkan isi URL tidak dapat dilakukan dengan mudah hanya menggunakan firewall Layer 3 dan Layer 4.
Akibatnya semua trafik langsung diblokir.
Jawaban dari koneksi yang sah dapat ikut terblokir.
Router menjadi lebih mudah dipindai dan diserang.
Perangkat pengguna biasa tidak seharusnya mempunyai akses administrasi.
NAT bukan pengganti firewall.
Router menjadi penuh log dan sulit dianalisis.
Queue, IPsec, accounting, atau monitoring dapat tidak bekerja sesuai harapan.
Kesalahan kecil dapat menyebabkan router tidak dapat diakses.
Rule menjadi sulit dipahami.
Firewall dapat bekerja dari LAN tetapi gagal dari VPN atau server network.
Gunakan prinsip default deny.
Ubah nama interface agar mudah dikenali.
Gunakan interface list.
Izinkan established dan related lebih awal.
Drop invalid.
Batasi administrasi menggunakan source IP atau address list.
Gunakan VPN untuk akses remote.
Jangan membuka Winbox langsung ke internet.
Gunakan komentar pada setiap rule.
Pisahkan jaringan pengguna, server, tamu, dan admin.
Gunakan logging secara selektif.
Periksa counter rule.
Backup sebelum perubahan.
Gunakan Safe Mode.
Audit rule secara berkala.
Hapus rule yang tidak lagi diperlukan.
Perbarui RouterOS secara terencana.
Uji firewall IPv4 dan IPv6 secara terpisah.
[ ] Router dapat diakses dari komputer admin.
[ ] Router tidak dapat diakses dari jaringan pengguna lain.
[ ] Winbox tidak terbuka dari WAN.
[ ] SSH tidak terbuka dari WAN.
[ ] DNS hanya melayani jaringan yang diizinkan.
[ ] Ping bekerja sesuai kebijakan.[ ] Klien memperoleh IP.
[ ] Klien dapat mengakses internet.
[ ] Klien dapat mengakses CBT Server.
[ ] Klien tidak dapat mengakses layanan admin server.[ ] Server dapat melakukan update.
[ ] Server tidak dapat membuka koneksi baru ke LAN.
[ ] Port publik hanya yang diperlukan.
[ ] SSH hanya dari komputer admin.[ ] Koneksi masuk yang bukan dstnat diblokir.
[ ] Port forwarding hanya membuka layanan yang diperlukan.
[ ] Log menampilkan percobaan yang relevan.Diketahui konfigurasi:
MikroTik LAN : 192.168.10.1/24
Komputer admin : 192.168.10.10
Komputer siswa : 192.168.10.100–200
CBT Server : 192.168.20.200
VPN Pool : 10.10.10.10–50Kebijakan:
Komputer siswa hanya boleh mengakses web CBT.
Komputer admin boleh mengakses SSH server.
Klien VPN boleh mengakses web CBT.
Winbox hanya boleh dari komputer admin dan VPN.
Internet tidak boleh langsung mengakses LAN.Address list:
/ip firewall address-list
add list=ADMIN address=192.168.10.10
add list=ADMIN address=10.10.10.10-10.10.10.50Akses Winbox:
/ip firewall filter
add chain=input \
src-address-list=ADMIN \
protocol=tcp \
dst-port=8291 \
action=accept \
comment="ADMIN ke Winbox"Akses CBT:
/ip firewall filter
add chain=forward \
src-address=192.168.10.0/24 \
dst-address=192.168.20.200 \
protocol=tcp \
dst-port=80,443 \
action=accept \
comment="LAN ke CBT"
add chain=forward \
src-address=10.10.10.0/24 \
dst-address=192.168.20.200 \
protocol=tcp \
dst-port=80,443 \
action=accept \
comment="VPN ke CBT"SSH admin:
/ip firewall filter
add chain=forward \
src-address-list=ADMIN \
dst-address=192.168.20.200 \
protocol=tcp \
dst-port=22 \
action=accept \
comment="ADMIN ke SSH CBT"[Paket Masuk]
|
[Masuk Interface Mana?]
|
[Tujuan Router atau Melewati Router?]
|
┌──┴─────────┐
| |
[Input] [Forward]
| |
[Periksa Connection State]
|
[Invalid?]
/ \
Ya Tidak
| |
[Drop] [Established/Related?]
/ \
Ya Tidak
| |
[Accept] [Cocok Rule Izin?]
/ \
Ya Tidak
| |
[Accept] [Log Opsional]
|
[Drop]Mengamankan akses Winbox hanya dari komputer admin.
Memblokir ping dari jaringan tertentu.
Mengizinkan LAN mengakses internet.
Mengizinkan hanya HTTP dan HTTPS menuju CBT Server.
Memblokir jaringan siswa menuju SSH server.
Membuat address list administrator.
Membuat logging koneksi yang diblokir.
Mengamati connection tracking.
Menguji port forwarding.
Membandingkan rule sebelum dan setelah menggunakan FastTrack.
1. Fungsi utama firewall adalah ....
A. mengontrol lalu lintas jaringan
B. menambah kapasitas disk
C. mengganti sistem operasi
D. membuat dokumen
2. Chain input digunakan untuk trafik ....
A. menuju router
B. melewati router
C. menuju printer saja
D. tanpa alamat IP
3. Chain forward digunakan untuk trafik ....
A. melewati router
B. dibuat oleh router
C. hanya menuju Winbox
D. tersimpan dalam log
4. Connection state established berarti ....
A. bagian dari koneksi yang sudah dikenali
B. koneksi selalu berbahaya
C. koneksi tidak memiliki alamat
D. paket rusak
5. Connection state invalid sebaiknya ....
A. umumnya dibuang
B. selalu diterima
C. diteruskan ke DNS
D. dijadikan gateway
6. Action drop digunakan untuk ....
A. membuang paket
B. menerima paket
C. membuat NAT
D. menambah route
7. Rule firewall dibaca dari ....
A. atas ke bawah
B. bawah ke atas
C. kanan ke kiri
D. secara acak
8. Address list digunakan untuk ....
A. mengelompokkan alamat IP
B. membuat password
C. menambah storage
D. mengubah hostname
9. NAT masquerade digunakan untuk ....
A. menerjemahkan alamat sumber
B. menggantikan seluruh firewall
C. membuat user
D. membuat DNS name
10. Cara aman mengakses MikroTik dari internet adalah ....
A. melalui VPN
B. membuka Winbox ke semua IP
C. menonaktifkan password
D. membuka seluruh port
11. Rule drop terakhir digunakan untuk ....
A. menerapkan default deny
B. mengizinkan semua koneksi
C. menghapus interface
D. membuat snapshot
12. FastTrack dapat memengaruhi ....
A. queue dan IPsec
B. keyboard
C. monitor
D. hard disk eksternal
13. Untuk melihat koneksi aktif digunakan ....
A. /ip firewall connection print
B. /system reboot
C. /file remove
D. /user print
14. Untuk melihat counter rule digunakan ....
A. /ip firewall filter print stats
B. /ip address remove
C. /system clock print
D. /tool bandwidth-server
15. Firewall IPv4 dan IPv6 ....
A. dikonfigurasi pada menu berbeda
B. selalu menggunakan rule yang sama
C. tidak memerlukan pengujian
D. hanya bekerja pada LAN
1. A
2. A
3. A
4. A
5. A
6. A
7. A
8. A
9. A
10. A
11. A
12. A
13. A
14. A
15. AFirewall MikroTik merupakan alat penting untuk melindungi router, jaringan lokal, server, dan layanan VPN.
Konsep utama yang harus dipahami adalah:
Chain
Connection state
Action
Rule order
Interface list
Address list
Logging
NAT
Default denyImplementasi firewall yang baik dimulai dengan:
mengenali topologi;
menentukan kebijakan akses;
mengelompokkan interface;
mengizinkan established dan related;
membuang invalid;
mengizinkan layanan yang diperlukan;
membatasi administrasi;
memblokir trafik lainnya;
melakukan monitoring;
melakukan pengujian.
Firewall bukan konfigurasi yang dibuat sekali lalu dilupakan. Firewall harus ditinjau kembali ketika:
terdapat server baru;
subnet berubah;
VPN ditambahkan;
port forwarding dibuat;
pengguna berubah;
terjadi insiden;
RouterOS diperbarui.
Dengan memahami implementasi firewall menggunakan MikroTik, peserta didik dapat melanjutkan ke materi:
firewall lanjutan;
address list dinamis;
perlindungan brute force;
RAW firewall;
port knocking;
firewall IPv6;
VLAN isolation;
VPN firewall;
logging dan remote syslog;
IDS dan IPS.
Infografik yang dibuat merangkum topologi firewall MikroTik, chain utama, connection state, NAT, port forwarding, logging, monitoring, dan best practice.