Pendahuluan Jaringan komputer modern tidak lagi hanya terdiri atas satu sambungan internet dan satu kelompok komputer. Sebuah sekolah, kantor, perusahaan, atau lembaga dapat memiliki: dua atau lebih sambungan internet; internet dengan...
Ditulis oleh Guru SKJ pada 29 Jul 2026
Jaringan komputer modern tidak lagi hanya terdiri atas satu sambungan internet dan satu kelompok komputer. Sebuah sekolah, kantor, perusahaan, atau lembaga dapat memiliki:
dua atau lebih sambungan internet;
internet dengan IP publik statis;
internet dengan IP dinamis melalui DHCP;
koneksi PPPoE;
koneksi seluler;
jaringan cabang;
tunnel VPN;
beberapa VLAN;
laboratorium dengan segmen berbeda;
jaringan guru dan siswa;
server lokal;
serta layanan yang harus dapat diakses dari internet.
MikroTik RouterOS dapat digunakan untuk mengelola seluruh kebutuhan tersebut melalui kombinasi:
IP addressing;
DHCP client dan DHCP server;
static routing;
policy routing;
load balancing;
failover;
firewall;
source NAT;
destination NAT;
VLAN;
VPN atau tunnel;
queue;
dan monitoring jaringan.
Load balancing pada jaringan adalah proses mendistribusikan koneksi melalui dua atau lebih jalur. Pada jaringan yang hanya mengendalikan satu sisi koneksi, seperti router sekolah dengan beberapa ISP, metode per-connection lebih tepat daripada membagi setiap paket karena seluruh paket dalam satu koneksi harus tetap melewati jalur yang konsisten. RouterOS menyediakan beberapa pendekatan, termasuk PCC, ECMP, Nth, bonding, dan dynamic routing. (MikroTik Help)
Artikel ini membahas tidak hanya cara memasukkan beberapa internet ke MikroTik, tetapi juga cara:
Menerima internet dari berbagai jenis layanan.
Menggabungkan internet menggunakan load balancing.
Menyediakan failover ketika salah satu ISP mati.
Mengeluarkan koneksi internet melalui LAN, VLAN, hotspot, dan router lain.
Menghubungkan beberapa jaringan berbeda segmen menggunakan routing.
Menghubungkan kantor pusat dan cabang melalui tunnel.
Menjadikan server CBT dapat diakses semua jaringan lokal.
Mempublikasikan server CBT ke internet secara aman.
Mengatasi akses server publik dari jaringan lokal menggunakan hairpin NAT atau split DNS.
Mengelola bandwidth dan keamanan seluruh jaringan.
Load balancing adalah pembagian koneksi ke beberapa jalur internet agar kapasitas yang tersedia dapat digunakan secara bersama-sama.
Sebagai contoh, sekolah mempunyai:
ISP 1: 100 Mbps;
ISP 2: 50 Mbps.
Secara teori, jaringan memiliki kapasitas total 150 Mbps. Namun, hal tersebut tidak berarti satu unduhan otomatis memperoleh kecepatan 150 Mbps.
Pada load balancing per-connection:
satu koneksi dapat melewati ISP 1;
koneksi lain dapat melewati ISP 2;
koneksi berikutnya dibagi sesuai metode yang diterapkan.
Contoh:
Komputer A membuka situs 1 → ISP 1
Komputer A membuka situs 2 → ISP 2
Komputer B membuka situs 3 → ISP 1
Komputer C membuka situs 4 → ISP 2Satu sesi unduhan besar biasanya tetap menggunakan satu ISP. Akan tetapi, banyak pengguna dan banyak koneksi dapat memanfaatkan kedua ISP secara bersamaan.
Load balancing dan failover mempunyai tujuan berbeda.
Semua atau beberapa jalur digunakan secara bersamaan.
ISP 1 aktif ─┐
├── Digunakan bersama
ISP 2 aktif ─┘Satu ISP menjadi jalur utama, sedangkan ISP lain menunggu sebagai cadangan.
ISP 1 aktif → Jalur utama
ISP 2 aktif → Cadangan
Jika ISP 1 mati:
ISP 2 → Menjadi jalur aktifRouterOS dapat menggunakan nilai distance yang berbeda untuk membuat jalur utama dan cadangan. Route dengan distance lebih kecil lebih diprioritaskan. Pemeriksaan gateway dapat digunakan untuk menonaktifkan route utama saat gateway tidak dapat dijangkau. (MikroTik Help)
Konfigurasi yang lebih baik menggabungkan keduanya:
selama semua ISP aktif, koneksi dibagi;
ketika satu ISP mati, seluruh koneksi baru dialihkan ke ISP yang masih aktif;
ketika ISP kembali normal, pembagian koneksi berjalan kembali.
MikroTik dapat menerima internet melalui beberapa metode.
ISP atau modem memberikan konfigurasi tetap, tetapi IP pada router MikroTik masih berupa IP privat.
Contoh:
IP MikroTik : 192.168.1.2/24
Gateway : 192.168.1.1
DNS : 1.1.1.1Topologi:
Internet
|
Modem ISP
192.168.1.1
|
MikroTik ether1
192.168.1.2Pada metode ini terjadi dua kali NAT apabila modem juga bekerja sebagai router:
Client → NAT MikroTik → NAT modem → InternetKondisi ini disebut double NAT.
ISP memberikan alamat IP publik tetap langsung kepada MikroTik.
Contoh:
IP publik : 203.0.113.10/29
Gateway : 203.0.113.9
DNS : 1.1.1.1Kelebihannya:
mudah digunakan untuk server;
alamat tidak berubah;
port forwarding lebih mudah;
VPN site-to-site lebih mudah;
DNS publik dapat diarahkan ke alamat tetap.
Alamat 203.0.113.0/24 pada artikel ini hanya digunakan sebagai alamat dokumentasi, bukan IP nyata.
MikroTik memperoleh IP, gateway, dan DNS secara otomatis dari modem atau ISP.
Modem/ISP → DHCP → MikroTikKonfigurasi ini umum digunakan pada:
modem fiber;
router operator;
jaringan hotel;
modem seluler;
dan perangkat radio ISP.
MikroTik melakukan autentikasi menggunakan username dan password.
MikroTik → PPPoE login → ISPPPPoE banyak digunakan oleh penyedia internet fiber dan jaringan RT/RW Net.
Internet dapat diperoleh melalui:
modem USB;
LTE interface;
perangkat modem Ethernet;
tethering;
atau router 4G/5G.
Jika modem beroperasi sebagai router, MikroTik biasanya menerima IP melalui DHCP.
MikroTik dapat memperoleh jalur keluar internet melalui router lain menggunakan tunnel.
Contoh:
Kantor Cabang
|
Tunnel VPN
|
Kantor Pusat
|
InternetCabang dapat mengarahkan seluruh atau sebagian koneksi internet melalui pusat.
Metode ini dapat menggunakan:
WireGuard;
IPsec;
GRE;
IPIP;
L2TP/IPsec;
SSTP;
OpenVPN;
atau tunnel lain yang sesuai.
GRE dan IPIP membuat jalur point-to-point virtual, sedangkan WireGuard menyediakan tunnel VPN berbasis peer yang dapat digunakan untuk routing jaringan antarlokasi. (MikroTik Help)
Sebuah sekolah mempunyai konfigurasi berikut.
| Jalur | Jenis | Interface | Kapasitas |
|---|---|---|---|
| ISP 1 | IP publik statis | ether1 | 100 Mbps |
| ISP 2 | DHCP dari modem | ether2 | 50 Mbps |
| Kantor pusat | WireGuard tunnel | wg-pusat | Cadangan |
| Jaringan | Subnet | Gateway |
|---|---|---|
| Guru | 192.168.10.0/24 | 192.168.10.1 |
| Siswa | 192.168.20.0/24 | 192.168.20.1 |
| Tata Usaha | 192.168.30.0/24 | 192.168.30.1 |
| Server | 192.168.40.0/24 | 192.168.40.1 |
| Tamu | 192.168.50.0/24 | 192.168.50.1 |
| Antar-router | 10.10.10.0/30 | Sesuai router |
| Tunnel | 10.255.255.0/30 | Sesuai peer |
IP server CBT : 192.168.40.10
HTTP : TCP 80
HTTPS : TCP 443ISP 1 dan ISP 2 digunakan bersama.
ISP 1 mendapat porsi dua kali lebih besar karena kapasitasnya dua kali ISP 2.
Jika salah satu ISP mati, koneksi menggunakan ISP yang masih aktif.
Semua jaringan lokal dapat mengakses CBT.
Jaringan tamu tidak boleh mengakses CBT.
CBT dapat diakses dari internet melalui IP publik ISP 1.
Cabang dapat mengakses CBT melalui tunnel.
Server CBT harus tetap menggunakan ISP 1 agar jalur balasannya konsisten.
Jaringan guru diprioritaskan.
Jaringan siswa dan tamu dibatasi bandwidth-nya.
Sebelum melakukan konfigurasi:
Gunakan RouterOS 7 versi stabil.
Buat backup.
Simpan konfigurasi export.
Catat interface fisik.
Pastikan akses melalui MAC Winbox tersedia.
Kerjakan secara bertahap.
Jangan mengaktifkan seluruh rule sekaligus pada jaringan produksi.
Backup:
/system backup save name=sebelum-multiwanExport:
/export file=sebelum-multiwanPeriksa interface:
/interface printUbah nama interface agar mudah dikenali:
/interface ethernet
set [find default-name=ether1] name=WAN-ISP1
set [find default-name=ether2] name=WAN-ISP2
set [find default-name=ether3] name=TRUNK-LAN
set [find default-name=ether4] name=LINK-ROUTER2Misalnya:
MikroTik : 192.168.1.2/24
Gateway : 192.168.1.1Konfigurasi:
/ip address
add address=192.168.1.2/24 interface=WAN-ISP1 \
comment="IP statis menuju modem ISP1"Default route:
/ip route
add dst-address=0.0.0.0/0 gateway=192.168.1.1 \
distance=1 check-gateway=ping \
comment="Default route ISP1"DNS:
/ip dns
set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yesNAT:
/ip firewall nat
add chain=srcnat out-interface=WAN-ISP1 \
action=masquerade comment="NAT ISP1"Misalnya:
IP : 203.0.113.10/29
Gateway : 203.0.113.9Konfigurasi:
/ip address
add address=203.0.113.10/29 interface=WAN-ISP1 \
comment="IP publik ISP1"Route:
/ip route
add dst-address=0.0.0.0/0 gateway=203.0.113.9 \
distance=1 check-gateway=ping \
comment="Gateway publik ISP1"NAT dapat menggunakan src-nat agar alamat keluar dipastikan menggunakan IP publik tertentu:
/ip firewall nat
add chain=srcnat out-interface=WAN-ISP1 \
action=src-nat to-addresses=203.0.113.10 \
comment="Source NAT ke IP publik ISP1"Pada interface dengan IP yang dapat berubah, gunakan masquerade. Pada IP publik tetap, src-nat memberi kontrol lebih jelas terhadap alamat sumber.
Aktifkan DHCP client pada WAN ISP 2:
/ip dhcp-client
add interface=WAN-ISP2 \
add-default-route=no \
use-peer-dns=no \
use-peer-ntp=no \
disabled=no \
comment="DHCP client ISP2"Mengapa add-default-route=no?
Karena pada sistem load balancing, route akan dibuat dan dikelola sendiri agar tidak terjadi default route otomatis yang mengganggu routing table.
Periksa hasil:
/ip dhcp-client print detailMisalnya MikroTik memperoleh:
Address : 192.168.2.10/24
Gateway : 192.168.2.1Tambahkan NAT:
/ip firewall nat
add chain=srcnat out-interface=WAN-ISP2 \
action=masquerade comment="NAT ISP2 DHCP"Buat PPPoE client:
/interface pppoe-client
add name=PPPOE-ISP3 \
interface=ether5 \
user="username-isp" \
password="password-isp" \
add-default-route=no \
use-peer-dns=no \
disabled=noPeriksa status:
/interface pppoe-client monitor PPPOE-ISP3NAT:
/ip firewall nat
add chain=srcnat out-interface=PPPOE-ISP3 \
action=masquerade comment="NAT PPPoE ISP3"Pada PPPoE, gateway route dapat merujuk langsung ke nama interface:
/ip route
add dst-address=0.0.0.0/0 gateway=PPPOE-ISP3 \
distance=3 comment="Cadangan PPPoE"Router cabang tidak mempunyai IP publik. Kantor pusat mempunyai internet dan menyediakan jalur keluar melalui WireGuard.
Cabang Pusat
192.168.20.0/24 192.168.100.0/24
| |
MikroTik Cabang ===== WG ===== MikroTik Pusat
10.255.255.2 10.255.255.1
|
Internet/interface wireguard
add name=wg-cabang listen-port=13231Alamat tunnel:
/ip address
add address=10.255.255.1/30 interface=wg-cabangTambahkan peer cabang:
/interface wireguard peers
add interface=wg-cabang \
public-key="PUBLIC_KEY_CABANG" \
allowed-address=10.255.255.2/32,192.168.20.0/24Buka UDP WireGuard pada firewall:
/ip firewall filter
add chain=input protocol=udp dst-port=13231 \
action=accept comment="Izinkan WireGuard"/interface wireguard
add name=wg-pusatAlamat:
/ip address
add address=10.255.255.2/30 interface=wg-pusatPeer pusat:
/interface wireguard peers
add interface=wg-pusat \
public-key="PUBLIC_KEY_PUSAT" \
endpoint-address=vpn.sekolah.sch.id \
endpoint-port=13231 \
allowed-address=0.0.0.0/0 \
persistent-keepalive=25Untuk sekadar menghubungkan jaringan lokal, allowed-address sebaiknya hanya berisi jaringan yang memang diperlukan. Penggunaan 0.0.0.0/0 sesuai ketika tunnel juga akan dipakai sebagai jalur internet.
Internet yang telah diterima router dapat didistribusikan melalui beberapa cara.
MikroTik ether3 → Switch → ClientBuat bridge:
/interface bridge
add name=bridge-LANMasukkan port:
/interface bridge port
add bridge=bridge-LAN interface=ether3
add bridge=bridge-LAN interface=ether4Alamat gateway:
/ip address
add address=192.168.10.1/24 interface=bridge-LAN/ip pool
add name=pool-LAN ranges=192.168.10.10-192.168.10.200/ip dhcp-server
add name=dhcp-LAN interface=bridge-LAN \
address-pool=pool-LAN disabled=no/ip dhcp-server network
add address=192.168.10.0/24 \
gateway=192.168.10.1 \
dns-server=192.168.10.1VLAN memisahkan jaringan secara logis meskipun menggunakan kabel dan switch yang sama.
Contoh:
VLAN 10 Guru
VLAN 20 Siswa
VLAN 30 Tata Usaha
VLAN 40 Server
VLAN 50 TamuBuat VLAN interface:
/interface vlan
add name=vlan10-GURU interface=TRUNK-LAN vlan-id=10
add name=vlan20-SISWA interface=TRUNK-LAN vlan-id=20
add name=vlan30-TU interface=TRUNK-LAN vlan-id=30
add name=vlan40-SERVER interface=TRUNK-LAN vlan-id=40
add name=vlan50-TAMU interface=TRUNK-LAN vlan-id=50Beri IP:
/ip address
add address=192.168.10.1/24 interface=vlan10-GURU
add address=192.168.20.1/24 interface=vlan20-SISWA
add address=192.168.30.1/24 interface=vlan30-TU
add address=192.168.40.1/24 interface=vlan40-SERVER
add address=192.168.50.1/24 interface=vlan50-TAMUKetika beberapa subnet langsung terpasang pada satu router, RouterOS otomatis mempunyai connected route untuk setiap subnet. Router kemudian dapat meneruskan paket antarsubnet selama firewall mengizinkannya. Routing adalah proses pemilihan jalur untuk memindahkan paket dari satu jaringan ke jaringan lain. (MikroTik Help)
Hotspot digunakan ketika pengguna harus login sebelum memperoleh akses.
Internet → MikroTik Hotspot → Wi-Fi siswa/tamuHotspot sesuai untuk:
tamu;
siswa;
voucher;
pembatasan waktu;
dan autentikasi pengguna.
Namun, konfigurasi PCC dengan banyak routing table perlu dirancang secara hati-hati pada jaringan Hotspot karena alur layanan Hotspot dan policy routing dapat berinteraksi. Dokumentasi MikroTik mencatat keterbatasan PCC dalam skenario Hotspot tertentu. (MikroTik Help)
Topologi:
Router Utama Router Laboratorium
10.10.10.1/30 ---------- 10.10.10.2/30
|
192.168.60.0/24Router laboratorium dapat memperoleh internet dari router utama melalui static route.
Bridge bukan solusi untuk semua kebutuhan.
Bridge menggabungkan interface dalam satu domain Layer 2.
ether2 + ether3 + ether4
↓
Satu broadcast domainPerangkat pada bridge biasanya berada dalam subnet yang sama.
Routing menghubungkan beberapa subnet berbeda.
192.168.10.0/24
|
Router
|
192.168.20.0/24Kelebihan routing:
broadcast tidak bercampur;
kebijakan keamanan dapat dibedakan;
DHCP setiap jaringan dapat dipisah;
bandwidth dapat dikelola per jaringan;
gangguan satu segmen tidak langsung menyebar;
jaringan lebih mudah dikembangkan.
INTERNET
|
[ROUTER UTAMA]
192.168.10.1/24
|
10.10.10.1/30
|
10.10.10.2/30
[ROUTER LAB]
|
192.168.60.1/24
|
CLIENT LAB
192.168.60.0/24IP link:
/ip address
add address=10.10.10.1/30 interface=LINK-ROUTER2Tambahkan route menuju jaringan laboratorium:
/ip route
add dst-address=192.168.60.0/24 \
gateway=10.10.10.2 \
comment="Route menuju LAN laboratorium"IP uplink:
/ip address
add address=10.10.10.2/30 interface=ether1IP LAN:
/ip address
add address=192.168.60.1/24 interface=bridge-LABDefault route menuju router utama:
/ip route
add dst-address=0.0.0.0/0 gateway=10.10.10.1Untuk desain routing yang bersih, NAT cukup dilakukan pada router utama saat trafik benar-benar keluar ke internet.
Router laboratorium tidak perlu melakukan masquerade menuju router utama.
Dengan demikian, router utama masih dapat melihat alamat client asli:
192.168.60.10bukan hanya:
10.10.10.2Keuntungannya:
logging lebih akurat;
queue per client dapat dilakukan;
firewall dapat mengenali subnet asal;
server lokal dapat membalas langsung melalui route.
Tambahkan NAT internet pada router utama:
/ip firewall nat
add chain=srcnat \
src-address=192.168.60.0/24 \
out-interface-list=WAN \
action=masquerade \
comment="NAT jaringan laboratorium"Interface list mempermudah rule.
/interface list
add name=WAN
add name=LANMasukkan WAN:
/interface list member
add list=WAN interface=WAN-ISP1
add list=WAN interface=WAN-ISP2
add list=WAN interface=PPPOE-ISP3Masukkan LAN:
/interface list member
add list=LAN interface=vlan10-GURU
add list=LAN interface=vlan20-SISWA
add list=LAN interface=vlan30-TU
add list=LAN interface=vlan40-SERVER
add list=LAN interface=vlan50-TAMUNAT umum:
/ip firewall nat
add chain=srcnat out-interface-list=WAN \
action=masquerade comment="NAT seluruh WAN dinamis"Jika ISP 1 menggunakan IP publik tetap dan perlu src-nat, letakkan rule khusus ISP 1 di atas rule masquerade umum.
PCC atau Per Connection Classifier mengelompokkan koneksi berdasarkan hash dari parameter header, seperti:
source address;
destination address;
source port;
destination port;
atau kombinasi parameter.
PCC sendiri hanya mengklasifikasikan koneksi. Pembagian jalur tetap memerlukan connection mark, routing mark, routing table, dan route yang sesuai. (MikroTik Help)
ISP 1 gateway : 203.0.113.9
ISP 2 gateway : 192.168.2.1/routing table
add fib name=to-ISP1
add fib name=to-ISP2RouterOS 7 mendukung beberapa routing table. Policy routing dapat dibuat menggunakan routing rules atau firewall mangle. MikroTik menyarankan agar routing table didefinisikan terlebih dahulu sebelum digunakan. (MikroTik Help)
/ip route
add dst-address=0.0.0.0/0 \
gateway=203.0.113.9 \
routing-table=to-ISP1 \
check-gateway=ping \
comment="Default ISP1 dalam table to-ISP1"
add dst-address=0.0.0.0/0 \
gateway=192.168.2.1 \
routing-table=to-ISP2 \
check-gateway=ping \
comment="Default ISP2 dalam table to-ISP2"Buat fallback pada masing-masing table:
/ip route
add dst-address=0.0.0.0/0 \
gateway=192.168.2.1 \
routing-table=to-ISP1 \
distance=2 \
comment="Fallback ISP2 untuk table ISP1"
add dst-address=0.0.0.0/0 \
gateway=203.0.113.9 \
routing-table=to-ISP2 \
distance=2 \
comment="Fallback ISP1 untuk table ISP2"Route main:
/ip route
add dst-address=0.0.0.0/0 gateway=203.0.113.9 \
distance=1 check-gateway=ping comment="Main ISP1"
add dst-address=0.0.0.0/0 gateway=192.168.2.1 \
distance=2 check-gateway=ping comment="Main fallback ISP2"Sebelum membagi koneksi internet, trafik menuju jaringan internal harus dilewatkan tanpa routing mark.
Buat address list jaringan lokal:
/ip firewall address-list
add list=LOCAL-NETWORKS address=192.168.10.0/24
add list=LOCAL-NETWORKS address=192.168.20.0/24
add list=LOCAL-NETWORKS address=192.168.30.0/24
add list=LOCAL-NETWORKS address=192.168.40.0/24
add list=LOCAL-NETWORKS address=192.168.50.0/24
add list=LOCAL-NETWORKS address=192.168.60.0/24
add list=LOCAL-NETWORKS address=10.10.10.0/30
add list=LOCAL-NETWORKS address=10.255.255.0/30Bypass trafik lokal:
/ip firewall mangle
add chain=prerouting \
dst-address-list=LOCAL-NETWORKS \
action=accept \
comment="Jangan PCC trafik jaringan lokal"Tanpa pengecualian ini, trafik menuju server CBT atau jaringan lain dapat salah diarahkan ke internet.
Koneksi yang masuk dari ISP tertentu harus dibalas melalui ISP yang sama.
/ip firewall mangle
add chain=prerouting \
in-interface=WAN-ISP1 \
connection-state=new \
connection-mark=no-mark \
action=mark-connection \
new-connection-mark=conn-ISP1 \
passthrough=yes \
comment="Tandai koneksi masuk ISP1"
add chain=prerouting \
in-interface=WAN-ISP2 \
connection-state=new \
connection-mark=no-mark \
action=mark-connection \
new-connection-mark=conn-ISP2 \
passthrough=yes \
comment="Tandai koneksi masuk ISP2"Rule ini penting untuk:
port forwarding;
VPN server;
akses Winbox dari IP tertentu;
server CBT publik;
dan layanan lain yang menerima koneksi dari internet.
Karena ISP 1 berkapasitas 100 Mbps dan ISP 2 berkapasitas 50 Mbps, pembagian dibuat 2:1.
Gunakan denominator 3:
bucket 0 → ISP 1;
bucket 1 → ISP 1;
bucket 2 → ISP 2.
/ip firewall mangle
add chain=prerouting \
in-interface-list=LAN \
dst-address-type=!local \
connection-state=new \
connection-mark=no-mark \
per-connection-classifier=both-addresses-and-ports:3/0 \
action=mark-connection \
new-connection-mark=conn-ISP1 \
passthrough=yes \
comment="PCC 1 dari 3 ke ISP1"
add chain=prerouting \
in-interface-list=LAN \
dst-address-type=!local \
connection-state=new \
connection-mark=no-mark \
per-connection-classifier=both-addresses-and-ports:3/1 \
action=mark-connection \
new-connection-mark=conn-ISP1 \
passthrough=yes \
comment="PCC 2 dari 3 ke ISP1"
add chain=prerouting \
in-interface-list=LAN \
dst-address-type=!local \
connection-state=new \
connection-mark=no-mark \
per-connection-classifier=both-addresses-and-ports:3/2 \
action=mark-connection \
new-connection-mark=conn-ISP2 \
passthrough=yes \
comment="PCC 1 dari 3 ke ISP2"both-addresses-and-ports memberi distribusi lebih merata, tetapi satu pengguna dapat mempunyai koneksi berbeda melalui ISP berbeda.
Untuk aplikasi yang sensitif terhadap perubahan IP publik, pertimbangkan:
both-addressesDengan both-addresses, pasangan client dan server tujuan cenderung menggunakan jalur yang sama.
/ip firewall mangle
add chain=prerouting \
in-interface-list=LAN \
connection-mark=conn-ISP1 \
action=mark-routing \
new-routing-mark=to-ISP1 \
passthrough=no \
comment="Route koneksi ISP1"
add chain=prerouting \
in-interface-list=LAN \
connection-mark=conn-ISP2 \
action=mark-routing \
new-routing-mark=to-ISP2 \
passthrough=no \
comment="Route koneksi ISP2"Untuk trafik yang berasal dari router sendiri:
/ip firewall mangle
add chain=output \
connection-mark=conn-ISP1 \
action=mark-routing \
new-routing-mark=to-ISP1 \
passthrough=no
add chain=output \
connection-mark=conn-ISP2 \
action=mark-routing \
new-routing-mark=to-ISP2 \
passthrough=noPolicy routing digunakan untuk mengarahkan trafik yang memenuhi kriteria tertentu ke gateway atau routing table tertentu. RouterOS dapat melakukannya menggunakan routing table, routing rules, dan firewall mangle. (MikroTik Help)
ISP 1 IP publik statis:
/ip firewall nat
add chain=srcnat out-interface=WAN-ISP1 \
action=src-nat to-addresses=203.0.113.10 \
comment="NAT keluar ISP1"ISP 2 DHCP:
/ip firewall nat
add chain=srcnat out-interface=WAN-ISP2 \
action=masquerade \
comment="NAT keluar ISP2"Setelah mengubah rule mangle dan NAT, connection tracking lama dapat tetap membawa tanda sebelumnya. Untuk pengujian, koneksi lama dapat dibersihkan pada waktu yang aman:
/ip firewall connection remove [find]Perintah tersebut akan memutus seluruh koneksi aktif. Jangan digunakan sembarangan pada jam operasional.
Server publik sebaiknya menggunakan satu ISP yang konsisten.
IP CBT:
192.168.40.10Tandai koneksi dari server:
/ip firewall mangle
add chain=prerouting \
src-address=192.168.40.10 \
dst-address-list=!LOCAL-NETWORKS \
connection-state=new \
connection-mark=no-mark \
action=mark-connection \
new-connection-mark=conn-ISP1 \
passthrough=yes \
comment="Server CBT selalu ISP1"Rule server harus ditempatkan di atas rule PCC umum.
Dengan demikian:
pembaruan server keluar melalui ISP 1;
balasan port forwarding keluar melalui ISP 1;
koneksi lebih stabil;
IP publik server konsisten.
Selain mangle, RouterOS 7 dapat menggunakan /routing rule.
Misalnya seluruh jaringan Tata Usaha harus menggunakan ISP 1:
/routing rule
add src-address=192.168.30.0/24 \
action=lookup-only-in-table \
table=to-ISP1 \
comment="TU wajib ISP1"Perbedaan action:
lookup-only-in-tableHanya mencari route pada table tersebut. Jika jalur tidak tersedia, koneksi gagal.
lookupMencari route pada table tersebut, tetapi dapat melanjutkan ke table lain sesuai proses routing.
Dokumentasi MikroTik menjelaskan bahwa lookup-only-in-table tidak melakukan fallback ke main table, sedangkan lookup dapat digunakan ketika fallback masih diperbolehkan. (MikroTik Help)
Jangan mencampur routing rule dan mangle tanpa memahami urutan keputusan routing. Firewall mangle mempunyai kemampuan klasifikasi lebih rinci, sedangkan routing rule lebih sederhana untuk kebijakan berdasarkan sumber, tujuan, atau interface.
check-gateway=ping hanya memeriksa keterjangkauan gateway tertentu.
Masalahnya:
MikroTik → modem ISP masih hidup
Modem ISP → internet matiGateway tetap menjawab ping, sehingga route dianggap aktif meskipun internet tidak berjalan.
Solusi yang lebih baik adalah recursive routing dengan target internet, misalnya:
1.1.1.1 untuk ISP 1;
8.8.8.8 untuk ISP 2.
Contoh konsep:
/ip route
add dst-address=1.1.1.1/32 gateway=203.0.113.9 \
scope=10 comment="Probe ISP1"
add dst-address=8.8.8.8/32 gateway=192.168.2.1 \
scope=10 comment="Probe ISP2"Kemudian default route menggunakan alamat probe sebagai recursive gateway.
Implementasi recursive route harus disesuaikan dengan RouterOS, gateway, scope, dan target-scope yang digunakan. Uji setiap jalur secara terpisah sebelum digunakan untuk produksi.
Guru 192.168.10.0/24 ─┐
Siswa 192.168.20.0/24 ─┤
TU 192.168.30.0/24 ─┼─ MikroTik ─ Server CBT
Cabang 192.168.60.0/24 ─┤ 192.168.40.10
Tunnel 192.168.70.0/24 ─┘Karena semua jaringan mempunyai route menuju MikroTik, server dapat diakses selama:
Route menuju server tersedia.
Server menggunakan gateway yang benar.
Firewall MikroTik mengizinkan.
Firewall server mengizinkan.
Tidak ada NAT yang merusak jalur lokal.
Gateway server CBT:
IP : 192.168.40.10
Mask : 255.255.255.0
Gateway : 192.168.40.1
DNS : sesuai jaringanBuat address list jaringan yang diizinkan:
/ip firewall address-list
add list=CBT-ALLOWED address=192.168.10.0/24 comment="Guru"
add list=CBT-ALLOWED address=192.168.20.0/24 comment="Siswa"
add list=CBT-ALLOWED address=192.168.30.0/24 comment="TU"
add list=CBT-ALLOWED address=192.168.60.0/24 comment="Lab"
add list=CBT-ALLOWED address=192.168.70.0/24 comment="Cabang VPN"Izinkan akses:
/ip firewall filter
add chain=forward \
src-address-list=CBT-ALLOWED \
dst-address=192.168.40.10 \
protocol=tcp \
dst-port=80,443 \
action=accept \
comment="Izinkan jaringan resmi ke CBT"Tolak tamu:
/ip firewall filter
add chain=forward \
src-address=192.168.50.0/24 \
dst-address=192.168.40.10 \
action=drop \
comment="Tamu dilarang akses CBT"Tolak akses lain menuju CBT:
/ip firewall filter
add chain=forward \
dst-address=192.168.40.10 \
action=drop \
comment="Tolak akses lain ke CBT"Urutan rule:
established dan related;
allow jaringan resmi;
deny tamu;
deny umum.
Misalnya IP publik ISP 1:
203.0.113.10Server:
192.168.40.10/ip firewall nat
add chain=dstnat \
in-interface=WAN-ISP1 \
dst-address=203.0.113.10 \
protocol=tcp \
dst-port=80 \
action=dst-nat \
to-addresses=192.168.40.10 \
to-ports=80 \
comment="Publikasi HTTP CBT"/ip firewall nat
add chain=dstnat \
in-interface=WAN-ISP1 \
dst-address=203.0.113.10 \
protocol=tcp \
dst-port=443 \
action=dst-nat \
to-addresses=192.168.40.10 \
to-ports=443 \
comment="Publikasi HTTPS CBT"Destination NAT digunakan untuk mengubah alamat tujuan koneksi yang datang agar diteruskan ke server internal. RouterOS memproses destination NAT pada chain dstnat. (MikroTik Help)
Firewall forward:
/ip firewall filter
add chain=forward \
in-interface=WAN-ISP1 \
connection-nat-state=dstnat \
dst-address=192.168.40.10 \
protocol=tcp \
dst-port=80,443 \
action=accept \
comment="Izinkan port forwarding CBT"Membuka server CBT ke internet harus dilakukan dengan hati-hati.
Gunakan HTTPS.
Jangan membuka database ke internet.
Jangan membuka SSH untuk seluruh internet.
Batasi IP administrator.
Perbarui sistem dan aplikasi CBT.
Gunakan password kuat.
Aktifkan firewall server.
Simpan backup.
Pantau log.
Gunakan reverse proxy bila diperlukan.
Pisahkan server dalam VLAN tersendiri.
Hindari menggunakan akun administrator untuk peserta.
Gunakan rate limit terhadap koneksi berlebihan.
Lakukan pengujian dari internet eksternal.
Contoh membatasi SSH hanya dari IP administrator:
/ip firewall address-list
add list=ADMIN-PUBLIC address=198.51.100.20/ip firewall nat
add chain=dstnat \
in-interface=WAN-ISP1 \
src-address-list=ADMIN-PUBLIC \
protocol=tcp dst-port=2222 \
action=dst-nat \
to-addresses=192.168.40.10 \
to-ports=22Lebih aman lagi, administrator masuk melalui VPN daripada mempublikasikan SSH.
Port forwarding dari internet hanya dapat bekerja apabila:
MikroTik memiliki IP publik;
atau modem di depan MikroTik meneruskan port;
atau ISP menyediakan port forwarding;
atau digunakan tunnel menuju server yang mempunyai IP publik.
Jika WAN MikroTik mendapatkan IP seperti:
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
100.64.0.0/10MikroTik kemungkinan berada di belakang NAT atau CGNAT.
Pada kondisi tersebut, dst-nat di MikroTik saja tidak cukup untuk membuat server dapat diakses dari internet.
Solusi:
meminta IP publik kepada ISP;
menggunakan IP publik statis;
membuat port forwarding pada modem;
menggunakan bridge mode pada modem;
menggunakan VPS dan tunnel;
menggunakan VPN mesh;
atau mempublikasikan aplikasi melalui reverse tunnel yang dikelola dengan aman.
Pengguna Internet
|
IP Publik VPS
|
WireGuard Tunnel
|
MikroTik Sekolah
|
Server CBT
192.168.40.10Skenario ini berguna apabila internet sekolah menggunakan CGNAT.
VPS memiliki IP publik.
MikroTik membuat WireGuard menuju VPS.
VPS meneruskan TCP 443 melalui tunnel.
MikroTik meneruskan koneksi ke server CBT.
Route balasan diarahkan kembali melalui tunnel.
Contoh jaringan tunnel:
VPS : 10.200.200.1
MikroTik : 10.200.200.2Pada MikroTik, route dan firewall harus memastikan balasan koneksi yang masuk melalui tunnel kembali ke tunnel yang sama.
Untuk implementasi produksi, dapat digunakan:
DNAT pada VPS;
reverse proxy Nginx pada VPS;
HAProxy;
Caddy;
atau reverse tunnel terautentikasi.
Penggunaan reverse proxy pada VPS lebih fleksibel untuk:
sertifikat TLS;
domain;
rate limiting;
dan pencatatan akses.
Misalnya:
Domain : cbt.sekolah.sch.id
IP publik : 203.0.113.10
IP server : 192.168.40.10Pengguna internet dapat mengakses domain tersebut. Namun, pengguna lokal mungkin juga ingin menggunakan domain yang sama.
Client LAN → cbt.sekolah.sch.id → IP publik → MikroTik → Server lokalBuat dst-nat yang tidak hanya bergantung pada interface WAN:
/ip firewall nat
add chain=dstnat \
dst-address=203.0.113.10 \
protocol=tcp \
dst-port=80,443 \
action=dst-nat \
to-addresses=192.168.40.10 \
comment="DST-NAT CBT termasuk akses lokal"Hairpin source NAT:
/ip firewall nat
add chain=srcnat \
src-address-list=LOCAL-NETWORKS \
dst-address=192.168.40.10 \
protocol=tcp \
dst-port=80,443 \
action=masquerade \
comment="Hairpin NAT CBT"Mengapa source NAT diperlukan?
Tanpa hairpin NAT, server dapat membalas langsung ke client karena keduanya berada pada jaringan yang diketahui. Balasan tidak melewati jalur NAT yang sama, sehingga client menerima paket dari alamat yang tidak sesuai dengan tujuan awal.
Konsekuensi hairpin NAT:
server dapat melihat IP router sebagai sumber;
bukan IP client sebenarnya.
Alih-alih hairpin NAT, DNS internal dapat memberikan IP lokal.
cbt.sekolah.sch.id → 203.0.113.10cbt.sekolah.sch.id → 192.168.40.10Tambahkan static DNS di MikroTik:
/ip dns static
add name=cbt.sekolah.sch.id \
address=192.168.40.10 \
comment="Split DNS CBT lokal"Pastikan client menggunakan MikroTik sebagai DNS:
DNS client: 192.168.x.1Keunggulan split DNS:
trafik lokal tidak keluar ke IP publik;
tidak membutuhkan hairpin NAT;
server dapat melihat IP client asli;
jalur lebih sederhana;
akses lebih cepat.
Sekolah Pusat Sekolah Cabang
192.168.40.0/24 192.168.70.0/24
| |
MikroTik A ===== GRE ===== MikroTik B
Public A Public B/interface gre
add name=gre-cabang \
local-address=203.0.113.10 \
remote-address=198.51.100.10 \
keepalive=10s,3Alamat tunnel:
/ip address
add address=10.77.77.1/30 interface=gre-cabangRoute:
/ip route
add dst-address=192.168.70.0/24 \
gateway=10.77.77.2/interface gre
add name=gre-pusat \
local-address=198.51.100.10 \
remote-address=203.0.113.10 \
keepalive=10s,3/ip address
add address=10.77.77.2/30 interface=gre-pusat/ip route
add dst-address=192.168.40.0/24 \
gateway=10.77.77.1GRE membuat link virtual point-to-point dan dapat membawa paket IPv4 maupun IPv6. GRE sendiri tidak memberikan enkripsi, sehingga untuk data sensitif sebaiknya diamankan dengan IPsec atau menggunakan tunnel terenkripsi seperti WireGuard. (MikroTik Help)
Tambahkan jaringan cabang ke daftar yang diizinkan:
/ip firewall address-list
add list=CBT-ALLOWED address=192.168.70.0/24Izinkan:
/ip firewall filter
add chain=forward \
src-address=192.168.70.0/24 \
dst-address=192.168.40.10 \
protocol=tcp dst-port=80,443 \
action=accept \
comment="Cabang ke CBT"Tidak perlu NAT antara cabang dan server selama:
route dua arah tersedia;
subnet tidak tumpang tindih;
firewall mengizinkan;
gateway server benar.
Masalah:
Pusat : 192.168.1.0/24
Cabang : 192.168.1.0/24Router tidak dapat membedakan jaringan yang sama pada dua lokasi.
Solusi terbaik:
Ubah salah satu subnet.
Contoh:
Pusat : 192.168.10.0/24
Cabang : 192.168.20.0/24Ini merupakan solusi paling bersih.
Jika alamat tidak dapat diubah, jaringan cabang dapat diterjemahkan menjadi subnet virtual.
Contoh:
Subnet asli cabang : 192.168.1.0/24
Subnet virtual pusat : 172.20.1.0/24Metode ini lebih kompleks karena membutuhkan netmap atau source/destination NAT yang simetris.
NAT antarsitus sebaiknya menjadi solusi terakhir karena:
troubleshooting lebih sulit;
log alamat menjadi tidak langsung;
beberapa protokol dapat bermasalah;
dokumentasi harus sangat jelas.
Static route sesuai untuk jaringan kecil.
Contoh:
/ip route
add dst-address=192.168.70.0/24 gateway=10.77.77.2Jika jaringan mempunyai banyak router, static route menjadi sulit dikelola.
Alternatif:
OSPF untuk internal;
BGP untuk jaringan besar atau antar-AS;
RIP untuk kebutuhan sederhana tertentu.
OSPF memungkinkan router bertukar informasi route secara dinamis. RouterOS 7 menyediakan konfigurasi instance, area, interface template, filtering, dan redistribusi route. (MikroTik Help)
Contoh desain:
Router Utama
|
+-- Router Lab
+-- Router Gedung A
+-- Router Gedung B
+-- Router CabangDengan OSPF, ketika subnet baru ditambahkan pada satu router, route dapat dipelajari router lain sesuai kebijakan distribusi.
Load balancing tidak menggantikan manajemen bandwidth.
Tanpa queue:
satu pengguna dapat memenuhi ISP;
pembaruan sistem dapat mengganggu ujian;
streaming dapat menghabiskan kapasitas;
guru dan server tidak memperoleh prioritas.
Contoh membatasi siswa:
/queue simple
add name="Bandwidth Siswa" \
target=192.168.20.0/24 \
max-limit=40M/40MTamu:
/queue simple
add name="Bandwidth Tamu" \
target=192.168.50.0/24 \
max-limit=10M/10MServer CBT dapat diberi prioritas:
/queue simple
add name="Prioritas CBT" \
target=192.168.40.10/32 \
max-limit=100M/100M \
priority=1/1Namun, urutan queue, parent, FastTrack, dan arah trafik harus diperhatikan. FastTrack dapat melewati sebagian pemrosesan firewall dan queue tertentu.
Contoh kebijakan:
ISP utama : ISP 1
Fallback : ISP 2
Bandwidth : prioritas tinggiLoad balance : ISP 1 dan ISP 2
Bandwidth : dibatasi
Filtering : diterapkanISP tetap : ISP 1
Alasan : aplikasi perbankan dan administrasiISP : ISP 2
Akses LAN : ditolak
Bandwidth : rendahISP : ISP 1
IP publik : tetap
Port : hanya layanan yang dibutuhkanRouting policy memberi kemampuan untuk mengarahkan trafik berdasarkan sumber, tujuan, interface, atau tanda firewall menuju table yang dipilih. (MikroTik Help)
Gunakan routing rule:
/routing rule
add src-address=192.168.50.0/24 \
action=lookup \
table=to-ISP2 \
comment="Tamu melalui ISP2"Atau gunakan mangle:
/ip firewall mangle
add chain=prerouting \
src-address=192.168.50.0/24 \
dst-address-list=!LOCAL-NETWORKS \
connection-state=new \
connection-mark=no-mark \
action=mark-connection \
new-connection-mark=conn-ISP2 \
passthrough=yesRule khusus harus berada di atas PCC umum.
Cabang mempunyai tunnel menuju pusat dan ingin menggunakan internet pusat sebagai cadangan.
Pada cabang, buat routing table:
/routing table
add fib name=via-PUSATDefault route:
/ip route
add dst-address=0.0.0.0/0 \
gateway=10.255.255.1 \
routing-table=via-PUSATKebijakan jaringan tertentu:
/routing rule
add src-address=192.168.70.0/24 \
action=lookup \
table=via-PUSATPada pusat, NAT trafik cabang:
/ip firewall nat
add chain=srcnat \
src-address=192.168.70.0/24 \
out-interface-list=WAN \
action=masquerade \
comment="Internet cabang melalui pusat"Firewall:
/ip firewall filter
add chain=forward \
src-address=192.168.70.0/24 \
out-interface-list=WAN \
action=accept \
comment="Izinkan cabang ke internet"Melindungi router itu sendiri.
/ip firewall filter
add chain=input \
connection-state=established,related,untracked \
action=accept \
comment="Input established related"
add chain=input \
connection-state=invalid \
action=drop \
comment="Drop invalid input"
add chain=input protocol=icmp \
action=accept \
comment="Izinkan ICMP"
add chain=input \
in-interface-list=LAN \
src-address-list=ADMIN-LAN \
action=accept \
comment="Manajemen dari admin"
add chain=input \
in-interface-list=WAN \
action=drop \
comment="Tolak akses router dari WAN"Melindungi jaringan yang melewati router.
/ip firewall filter
add chain=forward \
connection-state=established,related,untracked \
action=accept \
comment="Forward established related"
add chain=forward \
connection-state=invalid \
action=drop \
comment="Drop invalid forward"
add chain=forward \
in-interface-list=WAN \
connection-state=new \
connection-nat-state=!dstnat \
action=drop \
comment="Tolak koneksi baru WAN tanpa dstnat"Firewall RouterOS digunakan bersama NAT untuk melindungi router, jaringan internal, dan mengendalikan trafik keluar. (MikroTik Help)
Izinkan tamu ke internet:
/ip firewall filter
add chain=forward \
src-address=192.168.50.0/24 \
out-interface-list=WAN \
action=accept \
comment="Tamu ke internet"Tolak tamu ke jaringan lokal:
/ip firewall filter
add chain=forward \
src-address=192.168.50.0/24 \
dst-address-list=LOCAL-NETWORKS \
action=drop \
comment="Isolasi jaringan tamu"Rule akses DNS dan DHCP ke router harus tetap diizinkan pada input chain.
/ip route print detail/routing table print/routing rule print/ip firewall mangle print stats/ip firewall nat print stats/ip firewall connection print \
where connection-mark!="no-mark"/interface monitor-traffic WAN-ISP1/interface monitor-traffic WAN-ISP2/tool torch interface=WAN-ISP1/ping 8.8.8.8 routing-table=to-ISP1/ping 8.8.8.8 routing-table=to-ISP2Nonaktifkan ISP 2 dan uji ISP 1.
/ip route disable [find comment~"ISP2"]Kemudian lakukan sebaliknya.
Buka beberapa koneksi dari beberapa client.
Periksa apakah koneksi terbagi ke IP publik berbeda.
Cabut kabel ISP 1.
Periksa route.
Buat koneksi baru.
Pastikan internet melalui ISP 2.
Sambungkan ISP 1 kembali.
Periksa pembagian koneksi.
Koneksi lama dapat terputus ketika ISP gagal karena alamat publik dan jalurnya berubah. Failover umumnya menjamin koneksi baru dapat menggunakan jalur cadangan, bukan menjamin seluruh sesi aktif berpindah tanpa putus.
Dari:
guru;
siswa;
Tata Usaha;
laboratorium;
cabang;
dan internet eksternal.
Pastikan:
internet bekerja;
CBT ditolak;
akses ke subnet lokal ditolak.
PCC membagi koneksi, bukan menggabungkan dua ISP menjadi satu link fisik.
Trafik menuju server, printer, atau subnet lain justru ditandai menuju WAN.
Balasan port forwarding keluar melalui ISP berbeda.
Route otomatis dapat bertabrakan dengan policy routing.
Custom routing table membutuhkan route yang valid menuju gateway.
FastTrack dapat membuat sebagian koneksi melewati mangle atau queue yang dibutuhkan.
Untuk pengujian, nonaktifkan FastTrack terlebih dahulu:
/ip firewall filter disable [find action=fasttrack-connection]Alamat client asli hilang dan routing internal menjadi kurang transparan.
Router tujuan mengetahui jalan pergi, tetapi tidak mengetahui jalan pulang.
Dua lokasi memakai subnet yang sama.
Server menjadi mudah dipindai atau diserang.
Akses dari internet berhasil, tetapi dari jaringan lokal gagal.
Port forwarding tidak berfungsi karena double NAT atau CGNAT.
Setiap komunikasi membutuhkan jalur dua arah.
Contoh:
Client 192.168.60.10
↓
Router Lab
↓
Router Utama
↓
Server 192.168.40.10Server membalas melalui gateway:
Server 192.168.40.10
↓
Router Utama
↓
Route 192.168.60.0/24 via 10.10.10.2
↓
Router Lab
↓
ClientJika route balik tidak tersedia, koneksi gagal walaupun ping atau paket awal terlihat mencapai tujuan.
Prinsip penting:
Setiap jaringan harus mengetahui jalur menuju jaringan tujuan dan jalur balik menuju jaringan sumber.
/ip route
add dst-address=192.168.60.0/24 gateway=10.10.10.2
add dst-address=192.168.70.0/24 gateway=10.77.77.2/ip route
add dst-address=0.0.0.0/0 gateway=10.10.10.1/ip route
add dst-address=192.168.40.0/24 gateway=10.77.77.1Default gateway: 192.168.40.1 INTERNET
┌──────────┴──────────┐
│ │
ISP 1 ISP 2
Public Static DHCP
│ │
└──────────┬──────────┘
│
MIKROTIK UTAMA
Load Balance + FW
│
Managed Switch
┌────────────┬───────┼────────┬─────────┐
│ │ │ │ │
VLAN 10 VLAN 20 VLAN 30 VLAN 40 VLAN 50
Guru Siswa TU Server Tamu
│
CBT Server
192.168.40.10
│
WireGuard/GRE/IPsec
│
Router Cabang
│
192.168.70.0/24Jangan langsung membuat load balancing pada jaringan aktif. Gunakan tahapan berikut.
Catat:
IP ISP;
gateway;
interface;
kapasitas;
subnet lokal;
server;
route;
layanan publik.
Pastikan setiap ISP dapat digunakan secara terpisah.
Pastikan semua VLAN dan subnet dapat mencapai server sesuai kebijakan.
Batasi akses antarjaringan.
Pastikan ISP cadangan bekerja.
Aktifkan load balancing.
Buat dst-nat dan routing simetris.
Hubungkan cabang.
Terapkan manajemen bandwidth.
Pantau route, trafik, CPU, log, dan koneksi.
Setiap administrator jaringan sebaiknya memiliki dokumentasi:
router;
switch;
access point;
server;
kabel;
dan interface.
VLAN;
subnet;
routing;
tunnel;
gateway;
dan layanan.
| Perangkat | Interface | IP | Gateway | Fungsi |
|---|
| Nomor | Chain | Sumber | Tujuan | Port | Action |
|---|
| Fungsi | IP publik | IP lokal | Port publik | Port lokal |
|---|
| Tujuan | Gateway | Table | Distance |
|---|
Jangan menyimpan password dalam dokumen biasa. Gunakan password manager dan pengaturan kewenangan.
MikroTik dapat digunakan untuk mengelola jaringan yang mempunyai berbagai jenis koneksi internet, antara lain:
IP statis privat;
IP publik statis;
DHCP;
PPPoE;
modem seluler;
dan tunnel.
Koneksi tersebut dapat digunakan melalui:
failover;
load balancing PCC;
policy routing;
ECMP;
atau jalur khusus berdasarkan jaringan dan layanan.
Internet dapat didistribusikan melalui:
LAN;
bridge;
VLAN;
DHCP;
hotspot;
router lain;
dan tunnel antarlokasi.
Bridge dan routing mempunyai fungsi berbeda. Bridge menggabungkan interface dalam satu domain Layer 2, sedangkan routing menghubungkan subnet yang berbeda.
Untuk menghubungkan jaringan berbeda segmen, administrator harus memastikan:
Setiap interface memiliki alamat yang benar.
Route pergi tersedia.
Route balik tersedia.
Gateway perangkat benar.
Firewall mengizinkan.
NAT hanya digunakan ketika memang diperlukan.
Subnet tidak tumpang tindih.
Server CBT dapat dibuat agar:
diakses seluruh jaringan lokal;
diakses cabang melalui tunnel;
dibatasi dari jaringan tamu;
dipublikasikan melalui IP publik;
atau dipublikasikan melalui VPS ketika sekolah berada di belakang CGNAT.
Untuk server yang dipublikasikan pada jaringan multi-WAN, koneksi masuk dan keluar harus menggunakan ISP yang sama. Hal tersebut dapat dicapai melalui connection marking dan policy routing.
Arsitektur yang baik memisahkan fungsi:
Routing : Menghubungkan jaringan.
Firewall : Mengontrol akses.
NAT : Menerjemahkan alamat saat dibutuhkan.
PCC : Mengklasifikasikan koneksi.
Policy route: Memilih jalur.
Queue : Mengelola bandwidth.
Tunnel : Menghubungkan lokasi.
DNS : Memudahkan akses layanan.
Monitoring : Mengetahui kondisi jaringan.Load balancing bukan hanya memasang dua kabel internet ke router. Load balancing merupakan sistem yang membutuhkan perencanaan routing, NAT, firewall, failover, jalur balasan, dan monitoring yang benar.
Apa yang dimaksud dengan load balancing?
Apa perbedaan load balancing dan failover?
Mengapa satu unduhan tidak otomatis memperoleh gabungan kecepatan dua ISP?
Apa fungsi PCC?
Apa perbedaan connection mark dan routing mark?
Mengapa trafik jaringan lokal harus dikecualikan dari PCC?
Apa fungsi routing table?
Apa perbedaan lookup dan lookup-only-in-table?
Mengapa DHCP client pada WAN load balancing sebaiknya tidak otomatis membuat default route?
Apa perbedaan masquerade dan src-nat?
Mengapa koneksi masuk dari ISP harus ditandai?
Apa fungsi route balik?
Apa perbedaan bridge dan routing?
Mengapa NAT tidak selalu diperlukan antarsubnet lokal?
Apa fungsi destination NAT?
Apa yang dimaksud dengan hairpin NAT?
Apa keuntungan split DNS?
Mengapa port forwarding tidak bekerja pada CGNAT?
Apa fungsi tunnel WireGuard atau GRE?
Mengapa jaringan server perlu dipisahkan dari jaringan client?
Buat jaringan dengan ketentuan:
WAN 1 menggunakan IP statis.
WAN 2 menggunakan DHCP client.
LAN menggunakan 192.168.10.0/24.
Buat failover WAN 1 ke WAN 2.
Uji pemutusan WAN 1.
Dokumentasikan perubahan route.
Buat load balancing PCC dua ISP dengan ketentuan:
ISP 1 dan ISP 2 mempunyai kapasitas sama.
Gunakan rasio 1:1.
Kecualikan seluruh jaringan lokal.
Buat connection mark.
Buat routing mark.
Buat routing table.
Uji melalui beberapa client.
Buat topologi:
Router 1 LAN : 192.168.10.0/24
Link : 10.10.10.0/30
Router 2 LAN : 192.168.20.0/24Ketentuan:
Jangan menggunakan NAT antarkedua router.
Buat static route dua arah.
Uji ping antarclient.
Uji akses server dari kedua jaringan.
Buat firewall pembatasan akses.
Gunakan:
Server CBT : 192.168.40.10Ketentuan:
Guru boleh mengakses.
Siswa boleh mengakses.
Tamu ditolak.
Cabang boleh mengakses melalui tunnel.
Server dipublikasikan melalui HTTPS.
Gunakan split DNS untuk akses lokal.
Dokumentasikan hasil pengujian.
Kembangkan sistem dengan:
tiga ISP;
rasio PCC berbeda;
recursive failover;
VLAN;
OSPF;
WireGuard;
reverse proxy;
monitoring;
syslog;
queue tree;
notifikasi ketika ISP mati;
dan backup konfigurasi otomatis.
Catatan penting: konfigurasi harus disesuaikan dengan nama interface, alamat IP, gateway, topologi, dan versi RouterOS yang digunakan. Uji di laboratorium atau melalui Safe Mode sebelum diterapkan pada router produksi.