Pendahuluan Setelah jaringan dasar MikroTik berhasil dibuat, peserta didik dapat melanjutkan ke materi Virtual Private Network atau VPN. Pada konfigurasi dasar sebelumnya, MikroTik telah memiliki: interface WAN; interface LAN; IP Add...
Ditulis oleh Guru SKJ pada 29 Jul 2026
Setelah jaringan dasar MikroTik berhasil dibuat, peserta didik dapat melanjutkan ke materi Virtual Private Network atau VPN.
Pada konfigurasi dasar sebelumnya, MikroTik telah memiliki:
interface WAN;
interface LAN;
IP Address;
DHCP Server;
DNS;
NAT;
firewall dasar;
koneksi internet;
pemantauan log.
Konfigurasi tersebut menjadi fondasi untuk membuat VPN. Tanpa jaringan dasar, routing, firewall, dan IP Address yang benar, VPN mungkin dapat tersambung tetapi tidak dapat digunakan untuk mengakses sumber daya jaringan.
VPN membuat jalur komunikasi virtual melalui jaringan publik seperti internet. Jalur tersebut disebut tunnel.
Melalui tunnel VPN, pengguna dari luar dapat memperoleh akses ke jaringan internal secara terkendali.
Contohnya:
Laptop administrator di rumah
|
Internet
|
Tunnel VPN
|
Router MikroTik sekolah
|
CBT Server, file server, printer, dan perangkat internalVPN tidak berarti internet berubah menjadi jaringan pribadi secara fisik. VPN membentuk jalur logis yang memberikan autentikasi, enkripsi, integritas, dan routing menuju jaringan tujuan.
VPN adalah teknologi yang membuat koneksi privat melalui jaringan lain yang tidak sepenuhnya dipercaya.
Jaringan yang dilewati biasanya adalah internet.
Secara sederhana:
Data asli
|
Enkripsi
|
Tunnel VPN
|
Internet
|
Dekripsi
|
Data diterimaVPN dapat digunakan untuk menghubungkan:
pengguna dengan kantor;
administrator dengan server;
kantor pusat dengan kantor cabang;
sekolah dengan lokasi ujian;
perangkat seluler dengan jaringan rumah;
jaringan lokal dengan cloud;
dua router MikroTik;
klien Windows dengan MikroTik.
VPN modern umumnya menggabungkan autentikasi, kriptografi, dan pengaturan routing agar paket dapat dikirimkan melalui tunnel dengan aman.
Data dienkripsi sebelum dikirimkan melalui internet.
Pihak yang menangkap paket tidak dapat langsung membaca isinya tanpa kunci yang benar.
VPN dapat meminta:
username dan password;
pre-shared key;
public key;
private key;
sertifikat digital;
autentikasi melalui RADIUS.
VPN membantu memastikan data tidak berubah tanpa diketahui selama perjalanan.
Pengguna dari luar dapat mengakses sumber daya yang tidak dibuka langsung ke internet.
Contoh:
CBT Server : 192.168.20.200
File Server : 192.168.20.210
Printer : 192.168.20.220
MikroTik LAN : 192.168.10.1VPN dapat menghubungkan dua jaringan lokal yang berbeda.
Kantor Pusat : 192.168.10.0/24
Kantor Cabang: 192.168.30.0/24Administrator tidak perlu membuka Winbox, SSH, database, atau panel administrasi langsung ke internet.
MikroTik merekomendasikan penggunaan VPN seperti WireGuard ketika akses jarak jauh ke router diperlukan. (MikroTik Help)
Sebuah implementasi VPN biasanya terdiri atas beberapa komponen.
VPN Server menerima koneksi dari klien.
Pada studi kasus ini, VPN Server dijalankan pada MikroTik.
VPN Client adalah perangkat yang menghubungkan diri ke server.
Contoh:
Windows;
Linux;
Android;
iPhone;
router MikroTik lain;
laptop teknisi.
Tunnel interface adalah interface virtual yang terbentuk atau digunakan untuk membawa trafik VPN.
Pool IP memberikan alamat kepada klien VPN.
Contoh:
10.10.10.10–10.10.10.50Autentikasi menentukan siapa yang boleh terhubung.
Enkripsi melindungi isi komunikasi.
Routing menentukan jaringan mana yang harus dilewati melalui tunnel.
Firewall menentukan:
siapa boleh masuk;
jaringan apa yang boleh diakses;
port apa yang boleh digunakan;
trafik apa yang harus diblokir.
Topologi dasar:
INTERNET
|
ether1-WAN
MIKROTIK CHR
VPN Server/Gateway
┌──────────────┴──────────────┐
| |
ether2-LAN ether3-SERVER
192.168.10.1/24 192.168.20.1/24
| |
Komputer Lokal CBT Server
192.168.10.0/24 192.168.20.200Tambahkan klien remote:
Remote Client
192.168.30.10
|
Internet/NAT
|
MikroTik VPN Server
|
VPN Pool 10.10.10.0/24
|
LAN dan jaringan serverRancangan alamat:
| Komponen | Alamat |
|---|---|
| MikroTik LAN | 192.168.10.1/24 |
| MikroTik Server Network | 192.168.20.1/24 |
| CBT Server | 192.168.20.200 |
| VPN Gateway | 10.10.10.1 |
| Pool klien VPN | 10.10.10.10–10.10.10.50 |
| Remote Client sebelum VPN | 192.168.30.10 |
Remote access menghubungkan satu pengguna dengan jaringan internal.
Contoh:
Laptop teknisi
|
VPN
|
MikroTik
|
CBT ServerPengguna memperoleh IP VPN:
10.10.10.10Setelah terhubung, pengguna dapat membuka:
http://192.168.20.200Remote access cocok untuk:
administrator;
guru;
teknisi;
pegawai yang bekerja dari rumah;
pengelola server.
Site-to-site menghubungkan dua jaringan.
Kantor Pusat
192.168.10.0/24
|
MikroTik A
|
Tunnel VPN
|
MikroTik B
|
Kantor Cabang
192.168.30.0/24Komputer kantor pusat dapat berkomunikasi dengan perangkat kantor cabang melalui routing.
Site-to-site cocok untuk:
kantor pusat dan cabang;
gedung sekolah dan laboratorium;
sekolah utama dan lokasi CBT;
toko dan gudang;
pusat data dan kantor.
VPN menghubungkan dua perangkat tertentu.
Contohnya:
server dengan server backup;
laptop administrator dengan server;
node monitoring dengan router.
Winbox dan SSH tidak perlu dibuka langsung ke WAN.
Alurnya:
Administrator
|
VPN
|
Alamat lokal MikroTik
192.168.10.1CBT Server tetap menggunakan IP private:
192.168.20.200Pengguna yang diizinkan terhubung melalui VPN kemudian mengakses IP tersebut.
Keuntungannya:
server tidak terekspos langsung;
port web tidak perlu dibuka ke semua internet;
akses dapat dibatasi per akun;
aktivitas koneksi dapat dicatat;
routing dan firewall dapat dikendalikan.
Server monitoring dapat mengumpulkan informasi dari perangkat di lokasi lain.
Contohnya:
SNMP;
syslog;
ICMP;
API;
monitoring server;
dashboard jaringan.
Server utama dapat mengirim backup menuju lokasi lain melalui tunnel.
Server utama
|
VPN
|
Server backupVPN mengamankan jalur komunikasi, tetapi file backup tetap perlu:
dienkripsi;
diberi hak akses;
diverifikasi;
disimpan dengan retensi;
diuji proses restore-nya.
RouterOS mendukung beberapa protokol VPN. Pemilihan protokol harus mempertimbangkan keamanan, kompatibilitas, performa, kemudahan pengelolaan, dan kondisi jaringan.
PPTP merupakan protokol lama yang mudah dikonfigurasi dan didukung banyak sistem lama.
Namun, MikroTik menyatakan bahwa PPTP memiliki banyak masalah keamanan yang sudah diketahui dan tidak merekomendasikan penggunaannya. PPTP sebaiknya hanya dipakai untuk demonstrasi protokol lama pada jaringan laboratorium yang tidak membawa data sensitif. (MikroTik Help)
PPTP menggunakan:
TCP 1723
GRE protocol 47mudah dipelajari;
konfigurasi sederhana;
kompatibel dengan perangkat lama.
keamanan rendah;
tidak direkomendasikan untuk produksi;
tidak mendukung IPv6 pada implementasi tersebut. (MikroTik Help)
Gunakan hanya untuk sejarah dan demonstrasi laboratorium.
Jangan gunakan untuk akun, server, atau data penting.L2TP membuat tunnel PPP, tetapi L2TP sendiri tidak memberikan enkripsi. Untuk keamanan, L2TP sebaiknya digunakan bersama IPsec. Dokumentasi MikroTik menyebutkan bahwa L2TP tidak menyediakan mekanisme enkripsi sendiri dan IPsec digunakan sebagai lapisan keamanan tambahan. (MikroTik Help)
Port yang umum digunakan:
UDP 500 : IKE
UDP 4500 : IPsec NAT Traversal
UDP 1701 : L2TPdidukung Windows;
didukung Android dan beberapa sistem lain;
dapat melewati NAT melalui NAT-T;
cocok untuk remote access.
konfigurasi lebih banyak;
menggunakan beberapa protokol dan port;
troubleshooting lebih kompleks;
pengelolaan pre-shared key harus aman.
akses pengguna dari Windows;
koneksi administrator;
remote access dengan client bawaan OS;
pembelajaran PPP dan IPsec.
SSTP membawa tunnel PPP melalui kanal TLS. SSTP menggunakan TCP port 443 sehingga relatif mudah melewati banyak firewall dan proxy. (MikroTik Help)
TCP 443menggunakan TLS;
cocok pada jaringan yang ketat;
menggunakan port yang umum untuk HTTPS;
didukung Windows.
berjalan di atas TCP;
performa dapat menurun pada kondisi tertentu;
penggunaan sertifikat perlu dipahami;
kompatibilitas non-Windows perlu diperiksa.
remote access Windows;
jaringan yang hanya mengizinkan koneksi HTTPS;
pembelajaran sertifikat digital.
Untuk koneksi yang aman, gunakan sertifikat yang valid dan metode autentikasi yang kuat. Dokumentasi MikroTik menyarankan penggunaan sertifikat server dan client dari rantai kepercayaan yang sama untuk tunnel aman yang kompatibel dengan standar Microsoft. (MikroTik Help)
OpenVPN merupakan protokol VPN fleksibel yang menggunakan TLS dan sertifikat.
OpenVPN dapat digunakan untuk:
remote access;
site-to-site;
autentikasi sertifikat;
penggunaan lintas platform.
lintas platform;
mendukung sertifikat;
konfigurasi keamanan fleksibel;
komunitas pengguna luas.
membutuhkan pengelolaan sertifikat;
konfigurasi lebih panjang;
performa bergantung pada mode dan algoritma;
troubleshooting sertifikat bisa membingungkan pemula.
organisasi yang membutuhkan autentikasi berbasis sertifikat;
akses Windows, Linux, Android, dan macOS;
koneksi dengan kebijakan keamanan lebih terstruktur.
WireGuard adalah VPN modern yang dirancang sederhana, cepat, dan menggunakan kriptografi modern. RouterOS menggunakan interface WireGuard dan daftar peer yang masing-masing dikenali melalui public key. (MikroTik Help)
WireGuard menggunakan UDP.
Port default RouterOS:
UDP 13231Port tersebut dapat diganti.
konfigurasi relatif ringkas;
performa baik;
tersedia di Windows, Linux, macOS, iOS, Android, dan sistem lain;
menggunakan pertukaran public key;
cocok untuk remote access dan site-to-site.
setiap peer harus dikelola dengan benar;
private key harus dijaga;
pembatasan allowed-address harus tepat;
distribusi konfigurasi harus aman.
remote access modern;
site-to-site;
koneksi laptop dan smartphone;
akses administrator;
tunnel antarrouter;
jaringan dengan pengguna berpindah-pindah.
IPsec adalah kumpulan protokol untuk mengamankan pertukaran paket melalui jaringan IP atau IPv6 yang tidak terlindungi. IPsec mencakup mekanisme pertukaran kunci IKE dan perlindungan data menggunakan ESP atau AH. (MikroTik Help)
IPsec umum digunakan untuk:
site-to-site;
koneksi ke cloud;
koneksi antargateway;
L2TP/IPsec;
IKEv2 remote access.
standar luas;
keamanan kuat;
cocok antarvendor;
dapat melindungi trafik IPv4 dan IPv6;
umum digunakan pada jaringan perusahaan.
konfigurasi lebih kompleks;
parameter kedua sisi harus sesuai;
troubleshooting membutuhkan pemahaman IKE, SA, proposal, policy, dan NAT-T.
Back to Home adalah fitur yang mempermudah akses VPN ke jaringan rumah atau jaringan lokal menggunakan aplikasi MikroTik. Fitur ini dapat bekerja meskipun router tidak memiliki IP public atau berada di belakang NAT, dengan kemungkinan menggunakan relay MikroTik. Koneksi tetap menggunakan enkripsi end-to-end, sedangkan relay membantu perangkat mencapai router. (MikroTik Help)
Persyaratan pada dokumentasi MikroTik mencakup RouterOS versi tertentu dan arsitektur perangkat yang didukung. (MikroTik Help)
mudah dikonfigurasi;
cocok untuk smartphone;
dapat bekerja di belakang NAT;
tidak memerlukan pengaturan manual yang panjang.
tidak tersedia untuk semua perangkat;
kontrol keamanan lebih terbatas dibanding konfigurasi manual;
koneksi melalui relay dapat memiliki keterbatasan kecepatan;
bukan layanan anonimitas. (MikroTik Help)
| Jenis | Keamanan | Kemudahan | Penggunaan Utama |
|---|---|---|---|
| PPTP | Rendah | Sangat mudah | Demonstrasi protokol lama |
| L2TP/IPsec | Baik jika benar | Sedang | Remote access bawaan OS |
| SSTP | Baik dengan sertifikat | Sedang | Windows dan jaringan ketat |
| OpenVPN | Baik | Sedang–tinggi | Lintas platform dan sertifikat |
| WireGuard | Baik dan modern | Relatif mudah | Remote access dan site-to-site |
| IPsec/IKEv2 | Sangat baik | Lebih kompleks | Site-to-site dan enterprise |
| Back to Home | Baik dan praktis | Sangat mudah | Pengguna rumahan dan mobile |
Untuk praktik awal RouterOS modern, WireGuard dapat dijadikan materi utama. L2TP/IPsec tetap berguna untuk mempelajari PPP, client bawaan Windows, dan hubungan antara tunneling dengan IPsec.
Studi kasus:
MikroTik LAN : 192.168.10.1/24
CBT Server : 192.168.20.200
WireGuard : 10.10.10.1/24
Client : 10.10.10.10/32
Port : UDP 13231/interface wireguard
add name=wg-remote \
listen-port=13231 \
comment="WireGuard Remote Access"Private key dibuat secara otomatis jika tidak ditentukan. Setiap interface WireGuard mempunyai private key dan daftar peer. (MikroTik Help)
/ip address
add address=10.10.10.1/24 \
interface=wg-remote \
comment="Gateway VPN"Masukkan public key client:
/interface wireguard peers
add interface=wg-remote \
public-key="PUBLIC_KEY_CLIENT" \
allowed-address=10.10.10.10/32 \
comment="Laptop Administrator"allowed-address pada sisi MikroTik menunjukkan alamat yang diizinkan berasal dari peer tersebut dan membantu menentukan pemilihan peer.
Jangan memberikan subnet yang terlalu luas kepada satu peer tanpa kebutuhan.
/ip firewall filter
add chain=input \
in-interface-list=WAN \
protocol=udp \
dst-port=13231 \
action=accept \
comment="Izinkan WireGuard dari Internet"Rule tersebut harus diletakkan sebelum rule drop input dari WAN.
/ip firewall filter
add chain=forward \
src-address=10.10.10.0/24 \
dst-address=192.168.20.200 \
protocol=tcp \
dst-port=80,443 \
action=accept \
comment="WireGuard ke CBT"Hanya jika diperlukan:
/ip firewall filter
add chain=input \
src-address=10.10.10.10 \
protocol=tcp \
dst-port=8291,22 \
action=accept \
comment="Admin VPN ke Winbox dan SSH"Batasi berdasarkan IP peer administrator, bukan seluruh pool jika tidak diperlukan.
[Interface]
PrivateKey = PRIVATE_KEY_CLIENT
Address = 10.10.10.10/32
DNS = 192.168.10.1
[Peer]
PublicKey = PUBLIC_KEY_MIKROTIK
Endpoint = vpn-sekolah.example:13231
AllowedIPs = 192.168.10.0/24, 192.168.20.0/24, 10.10.10.0/24
PersistentKeepalive = 25Keterangan:
PrivateKey:
Rahasia milik client.
PublicKey:
Public key MikroTik.
Endpoint:
IP public atau DNS MikroTik.
AllowedIPs:
Jaringan yang dilewatkan melalui VPN.
PersistentKeepalive:
Membantu mempertahankan koneksi ketika client berada di belakang NAT.Private key tidak boleh dibagikan.
Hanya jaringan internal yang dilewatkan melalui VPN.
AllowedIPs:
192.168.10.0/24
192.168.20.0/24
10.10.10.0/24Trafik internet biasa tetap menggunakan internet lokal client.
Kelebihan:
lebih hemat bandwidth;
koneksi internet client tetap langsung;
beban router lebih kecil.
Semua trafik client dikirim melalui VPN.
AllowedIPs:
0.0.0.0/0Kelebihan:
trafik internet keluar melalui router kantor;
kebijakan internet dapat diterapkan terpusat;
berguna saat menggunakan Wi-Fi publik.
Kekurangan:
menggunakan bandwidth kantor;
menambah beban router;
memerlukan NAT untuk pool VPN;
jika VPN putus, akses internet dapat terganggu.
NAT full tunnel:
/ip firewall nat
add chain=srcnat \
src-address=10.10.10.0/24 \
out-interface-list=WAN \
action=masquerade \
comment="Internet untuk client VPN"Contoh berikut digunakan untuk laboratorium RouterOS.
/ip pool
add name=vpn-pool \
ranges=10.10.10.10-10.10.10.50/ppp profile
add name=vpn-profile \
local-address=10.10.10.1 \
remote-address=vpn-pool \
dns-server=192.168.10.1 \
use-encryption=required/ppp secret
add name=admin-vpn \
password="GANTI-DENGAN-PASSWORD-KUAT" \
service=l2tp \
profile=vpn-profile/interface l2tp-server server
set enabled=yes \
default-profile=vpn-profile \
use-ipsec=required \
ipsec-secret="GANTI-DENGAN-PSK-KUAT" \
authentication=mschap2Gunakan hanya metode autentikasi yang diperlukan. Hindari PAP dan CHAP apabila tidak diperlukan.
/ip firewall filter
add chain=input \
in-interface-list=WAN \
protocol=udp \
dst-port=500,1701,4500 \
action=accept \
comment="Izinkan L2TP dan IPsec"
add chain=input \
in-interface-list=WAN \
protocol=ipsec-esp \
action=accept \
comment="Izinkan IPsec ESP"/ip firewall filter
add chain=forward \
src-address=10.10.10.0/24 \
dst-address=192.168.20.200 \
protocol=tcp \
dst-port=80,443 \
action=accept \
comment="L2TP VPN ke CBT"Contoh:
Kantor Pusat : 192.168.10.0/24
Kantor Cabang: 192.168.30.0/24
Tunnel : 10.20.20.0/30Router pusat:
/ip route
add dst-address=192.168.30.0/24 \
gateway=10.20.20.2 \
comment="Route ke kantor cabang"Router cabang:
/ip route
add dst-address=192.168.10.0/24 \
gateway=10.20.20.1 \
comment="Route ke kantor pusat"Kedua sisi harus memiliki route balik.
Jika hanya satu sisi mengetahui route, komunikasi dapat gagal karena paket jawaban tidak mengetahui jalur pulang.
Kesalahan umum:
Jaringan sekolah : 192.168.1.0/24
Jaringan rumah : 192.168.1.0/24Ketika pengguna mencoba mengakses:
192.168.1.200komputer dapat menganggap alamat tersebut berada di jaringan rumah, bukan melalui VPN.
Gunakan subnet yang lebih khusus:
Sekolah : 192.168.50.0/24
Rumah : 192.168.1.0/24
VPN : 10.10.10.0/24Perencanaan IP harus dilakukan sebelum implementasi VPN.
VPN dapat gagal karena rule NAT terlalu luas.
Contoh masquerade yang terlalu umum:
/ip firewall nat
add chain=srcnat action=masqueradeRule tersebut dapat menerjemahkan trafik yang seharusnya dipertahankan alamat aslinya.
Gunakan pembatas:
/ip firewall nat
add chain=srcnat \
out-interface-list=WAN \
action=masqueradeUntuk site-to-site IPsec berbasis policy, mungkin diperlukan NAT bypass.
Contoh konsep:
/ip firewall nat
add chain=srcnat \
src-address=192.168.10.0/24 \
dst-address=192.168.30.0/24 \
action=accept \
comment="Jangan NAT trafik VPN"Rule pengecualian harus berada sebelum masquerade.
Jika MikroTik berada di belakang modem atau router lain, port VPN perlu diteruskan ke MikroTik.
Contoh L2TP/IPsec:
UDP 500
UDP 4500
UDP 1701Contoh WireGuard:
UDP 13231Jika koneksi ISP menggunakan CGNAT, port forwarding pada modem lokal tidak cukup karena router ISP juga melakukan NAT.
Solusi yang dapat dipertimbangkan:
meminta IP public;
menggunakan IPv6;
menggunakan MikroTik Back to Home pada perangkat yang didukung;
menggunakan VPS sebagai penghubung;
menggunakan overlay VPN;
membuat tunnel keluar menuju server yang memiliki IP public.
Back to Home dapat menggunakan relay ketika router tidak dapat dijangkau langsung dari internet. (MikroTik Help)
Aktifkan DDNS:
/ip cloud
set ddns-enabled=yes update-time=yesPeriksa:
/ip cloud printMikroTik dapat menghasilkan nama seperti:
abc123.sn.mynetname.netNama tersebut dapat digunakan sebagai endpoint:
abc123.sn.mynetname.net:13231IP Cloud hanya memberikan nama DNS. IP Cloud tidak otomatis:
membuka firewall;
membuat port forwarding;
mengatasi semua CGNAT;
membuat VPN;
memperbaiki routing.
Utamakan:
WireGuard;
IPsec/IKEv2;
L2TP/IPsec;
SSTP dengan sertifikat;
OpenVPN dengan konfigurasi kuat.
Hindari PPTP untuk data penting karena protokol tersebut memiliki masalah keamanan yang diketahui. (MikroTik Help)
MikroTik menyarankan password minimal 12 karakter yang mengandung angka, simbol, huruf besar, dan huruf kecil serta tidak berupa kata kamus. (MikroTik Help)
Jangan menggunakan satu akun VPN untuk semua orang.
Contoh:
admin-andi
teknisi-budi
guru-siti
monitoring-serverTidak semua pengguna VPN boleh mengakses seluruh jaringan.
Contoh:
Guru:
Hanya CBT Server.
Teknisi:
Server dan router.
Monitoring:
Hanya SNMP dan syslog.
Kantor Cabang:
Hanya jaringan kantor pusat tertentu.Untuk SSTP, OpenVPN, dan IKEv2, sertifikat membantu memverifikasi identitas perangkat.
Private key WireGuard atau sertifikat client tidak boleh:
dikirim melalui grup umum;
diletakkan di penyimpanan publik;
digunakan banyak pengguna;
ditampilkan pada screenshot;
dicantumkan dalam artikel.
Firewall hanya membuka protokol yang dipakai.
Jangan membuka semua port.
Versi lama dapat memiliki kelemahan yang sudah diperbaiki pada rilis baru. MikroTik merekomendasikan pembaruan RouterOS dan pemantauan pengumuman keamanan. (MikroTik Help)
/ip service printNonaktifkan layanan seperti:
Telnet;
FTP;
API;
WebFig tanpa TLS;
layanan lain yang tidak dipakai.
Izinkan hanya kebutuhan yang jelas, lalu blokir trafik lain.
Buat kelompok akses.
Contoh:
VPN-ADMIN : 10.10.10.10–19
VPN-GURU : 10.10.10.20–39
VPN-MONITORING : 10.10.10.40–49Gunakan address list:
/ip firewall address-list
add list=VPN-ADMIN address=10.10.10.10
add list=VPN-GURU address=10.10.10.20-10.10.10.39
add list=VPN-MONITORING address=10.10.10.40-10.10.10.49Admin ke Winbox:
/ip firewall filter
add chain=input \
src-address-list=VPN-ADMIN \
protocol=tcp \
dst-port=8291 \
action=accept \
comment="Admin VPN ke Winbox"Guru ke CBT:
/ip firewall filter
add chain=forward \
src-address-list=VPN-GURU \
dst-address=192.168.20.200 \
protocol=tcp \
dst-port=80,443 \
action=accept \
comment="Guru VPN ke CBT"Monitoring:
/ip firewall filter
add chain=forward \
src-address-list=VPN-MONITORING \
dst-address=192.168.20.0/24 \
protocol=udp \
dst-port=161,514 \
action=accept \
comment="VPN monitoring"RouterOS dapat menyimpan log pada RAM, disk, file, email, atau mengirimkannya ke remote syslog server. (MikroTik Help)
Tampilkan log:
/log printMode real-time:
/log print followCari log:
/log print where message~"wireguard"
/log print where message~"l2tp"
/log print where message~"ipsec"
/log print where message~"ovpn"
/log print where message~"sstp"Aktifkan topik PPP:
/system logging
add topics=ppp,info action=memoryAktifkan IPsec:
/system logging
add topics=ipsec,info action=memoryDebug sebaiknya hanya digunakan saat troubleshooting karena dapat menghasilkan log dalam jumlah besar.
Untuk L2TP, SSTP, PPTP, dan beberapa layanan PPP:
/ppp active print/interface wireguard peers print detailPerhatikan:
last-handshake;
current-endpoint-address;
rx;
tx;
allowed-address.
/ip ipsec active-peers print/ip ipsec installed-sa print/ip route print/ip firewall connection print/interface monitor-traffic wg-remoteLakukan pengujian secara bertahap.
Apakah client dapat mengakses internet?
Apakah MikroTik memiliki IP WAN?
Apakah DNS endpoint dapat diterjemahkan?Pastikan firewall dan NAT mengizinkan port yang tepat.
/ppp active print
/interface wireguard peers print detail
/ip ipsec active-peers printping 10.10.10.1ping 192.168.10.1ping 192.168.20.200http://192.168.20.200
ssh 192.168.20.200
Winbox 192.168.10.1Pengujian layanan disesuaikan dengan hak pengguna.
Periksa:
IP public atau DNS;
port firewall;
port forwarding;
CGNAT;
username;
password;
pre-shared key;
public key;
sertifikat;
waktu router;
log.
Kemungkinan penyebab:
firewall forward;
route tidak tersedia;
subnet overlap;
allowed-address salah;
gateway server salah;
NAT mengganggu;
server firewall memblokir.
Jika client dapat ping IP VPN tetapi tidak dapat mengakses LAN, periksa chain forward.
Chain input hanya mengatur trafik menuju router.
Trafik VPN menuju server diproses pada chain forward.
Kemungkinan tidak ada route balik.
Periksa:
kualitas internet;
NAT timeout;
keepalive;
MTU;
CPU router;
log;
perubahan IP client;
konfigurasi DPD pada IPsec.
Periksa:
port layanan;
firewall server;
DNS;
proxy;
MTU;
web server.
VPN menambahkan header tambahan sehingga ukuran paket efektif berkurang.
Jika MTU terlalu besar, dapat terjadi:
paket terfragmentasi;
website berhenti memuat;
ping kecil berhasil tetapi transfer gagal;
akses file lambat;
aplikasi tertentu tidak berjalan.
WireGuard RouterOS menggunakan MTU default tertentu pada interface, tetapi kebutuhan nyata dapat berbeda bergantung pada jalur jaringan. (MikroTik Help)
Pengujian Windows:
ping 192.168.20.200 -f -l 1372Pengujian Linux:
ping -M do -s 1372 192.168.20.200Sesuaikan nilai secara bertahap.
Jangan mengubah MTU tanpa pengujian.
Client VPN dapat menggunakan DNS internal:
192.168.10.1Dengan DNS internal, pengguna dapat membuka:
cbt.sekolah.localdaripada:
192.168.20.200Pastikan:
DNS dapat diakses dari pool VPN;
firewall input mengizinkan DNS;
record DNS tersedia;
domain internal tidak konflik.
Untuk jumlah pengguna yang besar, autentikasi dapat dipusatkan menggunakan RADIUS.
RouterOS dapat menggunakan RADIUS untuk autentikasi beberapa layanan, termasuk L2TP, OpenVPN, SSTP, IPsec, dan layanan PPP lainnya. (MikroTik Help)
Manfaat:
akun terpusat;
kebijakan pengguna;
pencatatan sesi;
pengaturan waktu;
pengelolaan banyak router.
Untuk laboratorium awal, gunakan user lokal. RADIUS dapat menjadi materi lanjutan.
[Pengguna Membuka VPN]
|
[DNS/IP Server Ditemukan?]
/ \
Tidak Ya
| |
[Periksa DNS] [Hubungi Port VPN]
|
[Firewall Mengizinkan?]
/ \
Tidak Ya
| |
[Perbaiki Rule] [Autentikasi]
|
[Autentikasi Berhasil?]
/ \
Tidak Ya
| |
[Periksa Akun] [Tunnel Dibuat]
|
[Client Mendapat IP]
|
[Routing Diperiksa]
|
[Firewall Forward]
|
[Akses Sumber Daya][ ] WAN aktif.
[ ] MikroTik dapat mengakses internet.
[ ] LAN aktif.
[ ] Routing lokal berjalan.
[ ] Waktu router benar.[ ] Protokol VPN dipilih.
[ ] Interface atau server VPN aktif.
[ ] Pool IP dibuat.
[ ] Akun atau peer dibuat.
[ ] Key atau sertifikat disimpan aman.
[ ] Port firewall dibuka.[ ] Route menuju LAN tersedia.
[ ] Route balik tersedia.
[ ] Firewall forward mengizinkan.
[ ] Server menggunakan gateway benar.
[ ] Subnet tidak overlap.[ ] PPTP tidak digunakan untuk data penting.
[ ] Password kuat.
[ ] Akun tidak dipakai bersama.
[ ] Hak akses dibatasi.
[ ] Winbox tidak dibuka langsung ke WAN.
[ ] RouterOS diperbarui.
[ ] Backup dibuat.
[ ] Log diperiksa.Sekolah memiliki:
LAN Admin : 192.168.10.0/24
LAN Server : 192.168.20.0/24
CBT Server : 192.168.20.200
VPN Pool : 10.10.10.0/24Kebijakan:
Administrator:
Boleh mengakses Winbox, SSH, dan CBT.
Guru:
Hanya boleh mengakses CBT.
Monitoring server:
Hanya boleh mengakses SNMP dan syslog.
Internet umum:
Tidak boleh mengakses jaringan internal.Solusi:
Gunakan WireGuard.
Berikan IP peer berbeda.
Kelompokkan peer dengan address list.
Buat firewall berdasarkan kebutuhan.
Jangan menggunakan satu key bersama.
Aktifkan logging.
Cabut peer jika perangkat hilang.
Lakukan backup konfigurasi.
Membuat WireGuard server pada MikroTik.
Menghubungkan Windows sebagai client.
Menguji split tunnel.
Mengakses CBT Server melalui VPN.
Membatasi client hanya ke port 80 dan 443.
Mengizinkan administrator mengakses Winbox.
Membuat dua peer dengan hak berbeda.
Mengamati handshake dan trafik.
Memutus peer lalu mencabut aksesnya.
Membuat site-to-site antara dua MikroTik CHR.
1. VPN digunakan untuk ....
A. membuat jalur privat melalui jaringan publik
B. menambah kapasitas RAM
C. mengganti sistem operasi
D. membuat printer
2. Tunnel VPN adalah ....
A. jalur komunikasi virtual
B. kabel fisik baru
C. penyimpanan data
D. monitor jaringan
3. Remote access VPN menghubungkan ....
A. pengguna dengan jaringan internal
B. dua monitor
C. dua keyboard
D. satu switch tanpa router
4. Site-to-site VPN menghubungkan ....
A. dua jaringan
B. dua file
C. dua akun
D. dua browser
5. PPTP sebaiknya ....
A. tidak digunakan untuk data penting
B. digunakan untuk semua produksi
C. digunakan tanpa password
D. dibuka ke seluruh internet
6. L2TP sebaiknya digunakan bersama ....
A. IPsec
B. HTTP
C. FTP
D. ARP
7. WireGuard mengenali peer melalui ....
A. public key
B. nama komputer saja
C. alamat MAC saja
D. password BIOS
8. Split tunnel berarti ....
A. hanya jaringan tertentu melalui VPN
B. seluruh trafik melalui VPN
C. VPN tidak mempunyai route
D. VPN tidak menggunakan enkripsi
9. Full tunnel berarti ....
A. seluruh trafik client melalui VPN
B. hanya CBT melalui VPN
C. hanya DNS melalui VPN
D. tidak ada trafik melalui VPN
10. Chain firewall untuk trafik VPN menuju server adalah ....
A. forward
B. input saja
C. output saja
D. srcnat saja
11. IP Cloud digunakan untuk ....
A. memberikan nama DNS dinamis
B. otomatis membuka seluruh firewall
C. mengganti VPN
D. menghapus CGNAT sepenuhnya
12. Jika VPN tersambung tetapi server tidak dapat diakses, periksa ....
A. routing dan firewall
B. wallpaper
C. keyboard
D. monitor
13. Private key harus ....
A. dirahasiakan
B. dibagikan ke grup
C. ditulis di website
D. dipakai semua pengguna
14. Cara aman mengelola MikroTik dari internet adalah ....
A. melalui VPN
B. membuka Winbox ke semua IP
C. menonaktifkan password
D. membuka semua port
15. Back to Home dapat membantu router ....
A. yang berada di belakang NAT
B. tanpa RouterOS
C. tanpa jaringan
D. tanpa perangkat yang didukung
1. A
2. A
3. A
4. A
5. A
6. A
7. A
8. A
9. A
10. A
11. A
12. A
13. A
14. A
15. AVPN merupakan teknologi yang memungkinkan pengguna, perangkat, dan jaringan berkomunikasi melalui tunnel yang aman.
VPN MikroTik dapat dimanfaatkan untuk:
remote access;
site-to-site;
akses CBT;
administrasi router;
monitoring;
backup;
koneksi antarkantor;
akses jaringan internal.
Protokol yang dapat dipelajari antara lain:
PPTP
L2TP/IPsec
SSTP
OpenVPN
WireGuard
IPsec
Back to HomePPTP hanya layak sebagai materi protokol lama karena masalah keamanannya. Untuk implementasi modern, WireGuard, IPsec/IKEv2, L2TP/IPsec, SSTP dengan sertifikat, atau OpenVPN lebih sesuai.
Keberhasilan VPN bergantung pada:
IP Address
+ Routing
+ Firewall
+ Autentikasi
+ Enkripsi
+ DNS
+ NAT
+ MonitoringVPN yang berstatus connected belum tentu sudah benar. Administrator tetap harus menguji IP tunnel, routing, firewall, layanan tujuan, log, dan jalur kembali.
VPN juga bukan satu-satunya perlindungan. VPN harus diterapkan bersama:
password kuat;
sertifikat atau key;
firewall default deny;
segmentasi;
pembaruan RouterOS;
backup;
logging;
pencabutan akses;
pengelolaan pengguna.
Dengan memahami materi ini, peserta didik dapat melanjutkan ke praktik WireGuard remote access, L2TP/IPsec, site-to-site VPN, VPN firewall, remote logging, dan integrasi VPN dengan CBT Server.
Gambar infografik pendamping telah dibuat dan mencakup topologi remote access, perbandingan protokol, alur koneksi, konfigurasi dasar, routing, keamanan, monitoring, serta flowchart VPN.