Posted on

Apa Fungsi dan Kegunaan Mikrotik?

fungsi dan kegunaan mikrotik

Fungsi dan Kegunaan Mikrotik

Apakah anda tahu fungsi dan kegunaan mikrotik? tapi Anda pernah ke warnet? Tentunya pernah dong, baik hanya sekedar main game, mengerjakan tugas, atau lain sebagainya.

Nah, Biasanya pemilik warnet mengatur pemakaian jaringan untuk setiap komputer yang ada di sana.

Hal tersebut tentunya tidak jauh beda dengan cara kerja komputer-komputer yang ada di perusahaan.

Mereka biasanya menggunakan sebuah teknologi untuk membagikan sumber daya dan mengatur pemakaian jaringan dari tiap komputer pengguna. Teknologi tersebut dinamakan Mikrotik.

Mikrotik adalah sistem operasi berbasis lunak yang digunakan untuk mengubah komputer admin menjadi router di suatu jaringan.

Teknologi jaringan ini banyak digunakan oleh perusahaan dan penyedia layanan internet karena komputer yang menjadi router dapat membagikan sumber daya dan mengatur pemakaian jaringan dari setiap komputer pengguna. 

Perlu anda ketahui mikrotik dan router ini merupakan dua hal yang berbeda. Jika mikrotik merupakan perangkat lunak atau software, maka router adalah perangkat keras atau hardware.

Meskipun di jaman sekarang orang-orang sudah jarang pergi ke warnet, namun ternyata teknologi ini masih banyak digunakan seperti di perusahaan, di sekolah, di rumah sakit dan lainnya.

Dalam artikel ini kita akan bahas lebih dalam lagi terkait fungsi dan kegunaan dari mikrotik.

Fungsi mikrotik

Ilustrasi Mikrotik

Gambar ilustrasi fungsi dan kegunaan mikrotik

Setelah mengetahui apa itu mikrotik, alangkah baiknya kita juga harus tahu fungsi dari mikrotik itu sendiri, agar kita bisa paham secara mendalam tentang mikrotik.

Konfigurasi LAN

Fungsi pertama mikrotik adalah untuk mengatur dan mengkonfigurasi LAN (Local Area Network) dengan menggunakan PC Mikrotik RouterOS dan hardware requirements yang lebih rendah.

Dalam fungsi ini mikrotik digunakan untuk memanajemen jaringan yang ada di dalam sebuah gedung perkantoran karena dapat menghubungkan dan mengelola arus lalu lintas komputer-komputer yang ada dalam LAN.

Memisahkan Bandwidth

Seperti yang sudah dijelaskan sebelumnya bahwa mikrotik dapat digunakan untuk membagikan sumber daya kepada komputer-komputer yang ada dalam jaringan, termasuk memisahkan bandwidth.

Untuk itu, komputer admin dapat memberikan batasan bandwidth secara adil pada tiap komputer.

Bandwidth terbagi dua, yaitu bandwidth lokal dan internasional. Teknologi ini bisa Anda gunakan untuk mengatur keduanya.

Sistem Autentikasi

Mikrotik sebagai sistem autentikasi bagi komputer-komputer yang ada dalam jaringan tersebut.

Karena mikrotik bisa membuat firewall dan NAT yang dapat membatasi IP Address yang bisa mengakses jaringan.

Untuk itu, yang dapat mengakses internet hanyalah komputer yang diberi izin oleh admin saja.

Tidak hanya itu, yang menjadi router juga dapat membuat sistem autentikasi user dengan cara login page.

Biling Hotspot

Mikrotik banyak digunakan oleh penyedia layanan internet, warnet, perusahaan atau yang lainnya guna memberikan layanan internet pada pengguna komputer.

Komputer admin dapat menyediakan internet yang bisa diakses oleh seluruh komputer yang ada dalam jaringan.

Selain itu, admin juga bisa membagi bandwidth dengan mudah di setiap perangkat.

Tidak hanya itu, teknologi ini juga dapat memisahkan bandwith traffic data lokal dan internasional.

Pengelolaan Sistem Jaringan Internet

Fungsi selanjutnya yaitu mikrotik untuk jaringan internet yang lebih terpusat.

Hal ini agar administrator dapat melakukan pengelolaan dan manajemen data lebih maksimal lagi.

Memblokir Situs

Pada teknologi ini, komputer admin dapat memblokir website-website terlarang bagi komputer yang ada dalam jaringan.

Mikrotik memungkinkan Anda untuk memanajemen proxy, hal ini dilakukan agar dapat sejalan dengan program pemerintah yaitu internet positif.

Pembuatan PPPoE server

Fungsi mikrotik yang terakhir yaitu dapat digunakan untuk perangkat dalam pembuatan PPPoE server.

Manfaat mikrotik

Setelah Anda mengetahui arti dan fungsi dari mikrotik, Anda juga harus tahu apa manfaat dari mikrotik, agar bisa efisien dan efektif dalam membangun sistem administrasi jaringan.

  • Sebagai Internet Gateway pada LAN (Local Area Network)
    Mikrotik bermanfaat untuk menghubungkan beberapa jaringan lokal dengan internet.

    Router mikrotik juga berperan penting dalam mengatur arus lalu lintas data.

    Selain itu, Mikrotik juga sebagai pengatur konten dari internet yang dapat diakses oleh client. 

  • Penghubung Antar Jaringan (Routing)
    Mikrotik dapat dijadikan sebagai Routing yaitu penghubung beberapa jaringan serta menentukan jalur terbaik menuju komputer atau alamat tujuan. 

  • Sebagai Access Point
    Mikrotik sebagai Access Point artinya pada jaringan wifi seperti di sekolah, cafe, kampus ataupun jaringan publik kebanyakan menggunakan router mikrotik sebagai access point wifi tersebut.

    Karena teknologi ini dilengkapi oleh macam-macam fitur berbasis wireless yang berfungsi sebagai Access Point pada jaringan Wireless Fidelity.

Jenis-jenis Mikrotik

Hal-hal selanjutnya yang perlu anda ketahui bahwa teknologi jaringan ini dibagi menjadi dua jenis, yaitu Mikrotik Router OS dan Mikrotik RouterBoard.

Untuk lebih jelasnya, silahkan pahami penjelasan berikut ini.

Mikrotik Router OS

Mikrotik Router OS merupakan suatu sistem operasi jaringan berbasis UNIX yang memungkinkan komputer untuk mempunyai kemampuan seperti halnya router, firewall, bridge, hotspot, proxy server dan lain sebagainya.

Tidak hanya itu, Anda sudah bisa membangun router sendiri hanya dengan menggunakan OS saja.

Oleh karena itu banyak orang atau perusahaan yang menggunakan sistem operasi ini untuk membangun router pada jaringan mereka, karena kestabilan dan kemudahan yang ditawarkan oleh mikrotik router OS menjadikan mikrotik sebagai dasar dan standar untuk router. 

Berikut ini kelebihan mikrotik Router OS yaitu:

  1. Mampu merubah komputer biasa menjadi router yang handal dan berkualitas.

  2. Ringan digunakan karena berbasis linux.

  3. Diinstall sebagai sistem operasi.

  4. Diinstall pada power PC.

Mikrotik RouterBoard

Jika Router OS memenfaatkan perangkat lunak pada sistem operasi jaringan.

Maka RouterBoard merupakan mikrotik dalam bentuk perangkat keras yang dikemas dalam board router dimana sudah terinstal Mikrotik RouterOS yang fungsinya sebagai bandwidth management, DHCP, DNS server, hotspot server, proxy server, dan router jaringan.

Adapun kelebihan yang dimiliki router board adalah sebagai berikut:

  1. Menggunakan daya sekitar 2.5 watt sehingga bisa hemat biaya.

  2. Instalasi mudah yaitu hanya dengan mengatur router dan jaringan yang digunakan.

  3. Spesifikasi komputer tidak terlalu tinggi.

Cara Setting Mikrotik yang Tepat

Setelah mengetahui pengertian, fungsi, manfaat dan jenis mikrotik, lalu bagaimana proses untuk menghubungkan mikrotik dengan jaringan internet? Yuk simak langkah-langkah berkut ini.

  1. Langkah awal, anda harus mengkonfigurasi IP Address, default route, NAT Masquerade, DNS server, DHCP server, dan bridging.

    Kemudian lakukan proses tersebut secara berurutan mulai dari mengatur IP address pada interface yang terhubung dengan ISP. 

  2. Selanjutnya, masukkan alamat IP dari ISP untuk melakukan test PING pada gateway dengan cara buka sebuah menu terminal dan masuk pada mode Command Line Interface. 

  3. Lalu tes ulang PING dan masukkan IP addres-nya. 

  4. Setelah itu, konfigurasi default route dengan gateway alamat IP. 

  5. Uji koneksi internet dan atur DNS server dari Google. 

  6. Terakhir, ketikkan alamat IP dan centang checkbox yang bertuliskan “allow”, kemudian uji kembali dengan melakukan test PING pada semua URL yang ada.

Demikianlah beberapa langkah cara setingan Mikrotik yang tepat. Jangan lupa membaca Konfigurasi Dasar untuk Mengamankan Router Mikrotik Anda.

Kesimpulan

Setelah membaca artikel di atas, tentunya Anda sudah paham bukan apa itu mikrotik?

Jadi mikrotik merupakan sistem operasi jaringan berbasis LINUX yang digunakan untuk mengubah komputer admin menjadi router dalam jaringan.

Anda bisa menggunakan teknologi jaringan ini dengan perangkat RouterBoard atau RouterOS, karena teknologi mempunyai fungsi dan manfaat serta kelebihan untuk memanajemen jaringan, baik secara lokal maupun internasional.

Jika Anda adalah pelanggan Herza.ID, atau pengguna VPS Mikrotik dari Herza.ID, silahkan baca artikel kami Panduan Dasar Mikrotik CLI (Command Line Interface) karena sangat berguna untuk melakukan maintenance melalui VNC jika Anda tidak dapat mengakses Winbox melalui Internet.

 

 

 

 

 

 

 

 

 

 

Posted on

Konfigurasi Dasar Mengamankan Router Mikrotik Anda

Mikrotik Cloud Core Router

Bagi para pengguna Mikrotik RouterOS baik itu Seri RouterBoard, CCR, x86 ataupun VPS Mikrotik CHR, sangat penting bagi Anda untuk mengetahui cara pengamanan dasar bagi Router Mikrotik Anda.

Pada kesempatan ini, kami ingin membagi kepada para Pelanggan setia Herza.ID, cara atau langkah dasar yang harus kita lakukan untuk Mengamankan Router Mikrotik Anda.

Silahkan baca juga Artikel kami tentang Cara Melindungi Router Mikrotik Anda dari Ransomware

Pengamanan Dasar Mikrotik RouterOS

1. Merubah User Default Mikrotik

Hal dasar yang harus kita lakukan dalam mengamankan Router Mikrotik adalah dengan mengubah User default Mikrotik yaitu admin. Kita tidak pernah menyarankan kepada siapapun untuk tetap menggunakan user admin tersebut, karena ini adalah hal paling mudah untuk meretas Router Mikrotik Anda.

Mengamankan Router Mikrotik Anda

Langkah awal adalah, pada menu di sebelah kiri Mikrotik RouterOS Anda, silahkan klik SYSTEM > USERS.

Setelah Window User List terbuka, klik Icon + untuk membuat user baru pada Router Anda.

Tahapan dalam mengamankan Router Mikrotik Anda

Masukkan Username yang ingin Anda gunakan pada kolom Name, dan pilih FULL pada Group User jika Anda ingin membuat user Administrator. Kemudian masukkan password yang susah ditebak pada kolom Password dibawah. Kemudian klik OK.

Catatan: Jangan lupa untuk DISABLE User default admin agar tidak bisa digunakan.

2. Disable Service / Layanan Yang Tidak di gunakan

Sekarang kita lanjutkan dengan mendisable Layanan atau Service yang kita tidak gunakan pada Mikrotik kita. Pade menu sebelah kiri klik IP > SERVICES.

Disable Service Mikrotik Yang tidak digunakan

Pilih Layanan-Layanan yang tidak Anda gunakan, kemudian klik icon X untuk mendisable layanan tersebut. Ketika layanan dalam disable status, maka warna nya akan berubah menjadi abu-abu.

Dalam hal ini, kami akan mendisable seluruh layanan kecuali Winbox. Karena kami hanya menggunakan Winbox untuk mengakses Mikrotik tersebut.

Rubah Port Winbox Mikrotik Anda

Setekah itu, silahkan ganti Port Winbox dari 8291 menjadi port custom yang Anda ingin gunakan. Dalam hal ini, kami menggantinya dengan Port 9876. Ingat jangan gunakan port 0 sd 1024 karena port tersebut sudah digunakan oleh layanan yang sudah di definisikan secara baku, pakailah port di atas 1024 misalnya menjadi 18291 jangan gunakan port diatas 65535 https://en.wikipedia.org/wiki/Port_(computer_networking)

3. Buat Firewall Rules untuk Mengamankan Router dan Jaringan Anda

Sekarang saatnya membuat beberapa Firewall Rules & RAW untuk mengamankan Router dan Jaringan Anda dari beberapa aksi yang berbahaya dari Internet seperti Port Scanning, Brute Force serta melakukan Blokir Port yang biasa digunakan sebagai Trojan atau Malware.

/ip firewall filter
add action=add-src-to-address-list address-list="Port_Scanner" \
    address-list-timeout=2w chain=input comment="PORT SCANNER" protocol=tcp \
    psd=21,3s,3,1
add action=add-src-to-address-list address-list="Port_Scanner" \
    address-list-timeout=2w chain=input comment="NMAP FIN Stealth scan" \
    protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list="Port_Scanner" \
    address-list-timeout=2w chain=input comment="SYN/FIN scan" protocol=tcp \
    tcp-flags=fin,syn
add action=add-src-to-address-list address-list="Port_Scanner" \
    address-list-timeout=2w chain=input comment="SYN/RST scan" protocol=tcp \
    tcp-flags=syn,rst
add action=add-src-to-address-list address-list="Port_Scanner" \
    address-list-timeout=2w chain=input comment="FIN/PSH/URG scan" \
    protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list="Port_Scanner" \
    address-list-timeout=2w chain=input comment="ALL/ALL scan" protocol=tcp \
    tcp-flags=fin,syn,rst,psh,ack,urg
add action=accept chain=output comment="FTP BLAACKLIST" content=\
    "530 Login incorrect" dst-limit=1/1m,9,dst-address/1m protocol=tcp
add action=add-dst-to-address-list address-list=ftp_blacklist \
    address-list-timeout=3h chain=output content="530 Login incorrect" \
    protocol=tcp
add action=add-src-to-address-list address-list=ssh_blacklist \
    address-list-timeout=1w3d chain=input comment="SSH BLACKLIST" \
    connection-state=new dst-port=22 protocol=tcp src-address-list=\
    ssh_stage3
add action=add-src-to-address-list address-list=ssh_stage3 \
    address-list-timeout=1m chain=input connection-state=new dst-port=22 \
    protocol=tcp src-address-list=ssh_stage2
add action=add-src-to-address-list address-list=ssh_stage2 \
    address-list-timeout=1m chain=input connection-state=new dst-port=22 \
    protocol=tcp src-address-list=ssh_stage1
add action=add-src-to-address-list address-list=ssh_stage1 \
    address-list-timeout=1m chain=input connection-state=new dst-port=22 \
    protocol=tcp
add action=add-src-to-address-list address-list=proxy-socks-exploit \
    address-list-timeout=5m chain=forward comment="PROXY SOCKS EXPLOIT" \
    dst-port=8000,3128,1080,4145 in-interface=ether1 log-prefix=\
    "PROXY SOCKS EXPLOIT : " protocol=tcp
/ip firewall raw
add action=drop chain=prerouting comment="DROP ACTIVE DIRECTORY" dst-port=\
    445 log-prefix="drop 445 : " protocol=tcp
add action=drop chain=prerouting comment="DROP TCPMUX" dst-port=1 \
    log-prefix="drop 445 : " protocol=tcp
add action=drop chain=prerouting comment="SSH BLACKLIST" in-interface=\
    ether1 src-address-list=ssh_blacklist
add action=drop chain=prerouting comment="DROP WINBOX" dst-port=8291 \
    in-interface=ether1 log-prefix="DROP WINBOX EXPLOIT : " \
    protocol=tcp src-address-list=winbox-exploit
add action=drop chain=prerouting comment="DROP PORT SCANNER" \
    in-interface=ether1 log-prefix="DROP PORT SCANER : " \
    src-address-list="port scanners"
add action=drop chain=prerouting comment="DROP PROXY SOCKS" \
    in-interface=ether1 log-prefix="DROP PROXY SOCKS : " \
    src-address-list=proxy-socks-exploit
add action=drop chain=prerouting comment="DROP NETBIOS" dst-port=137-139 \
    log-prefix="drop 445 : " protocol=tcp
add action=drop chain=prerouting comment="DROP NETBIOS" dst-port=137-139 \
    log-prefix="drop 445 : " protocol=udp

Pada Firewall Rules dan RAW yang telah konfigurasikan diatas, perlu Anda ketahui fungsi masing masing Rules dan Raw tersebut.

  • Firewall Rules nomor 0 – 5 adalah mengcapture IP yang melakukan Port Scanning ke Mikrotik Anda kemudian dimasukkan ke dalam Address-List yang bernama Port_Scanning yang mana Filter Raw kami gunakan untuk memblokir Akses dari IP pada Address-List tersebut dilevel Pre-Routing.
  • Firewall Rules nomor 6 & 7 adalah mengcaptured IP yang mencoba melakukan brute force ke FTP Server Anda secara berulang-ulang dengan username atau password yang salah, mengirimkan IP ke Address-List bernama ftp_blacklist. Kemudian Filter Raw akan memblokir Akses dari IP yang terdaftar pada Address-List tersebut pada level Pre-Routing.
  • Sedangkan pada Firewall Rules nomor 8-11, berfungsi untuk memblokir Brute Force pada sisi Port SSH dengan tahapan-tahapan yang kita telah buat. Ketika masuk pada stage3, dan visitor tersebut tetap melakukan Brute Force, maka IP visitor tersebut akan diforward ke Address-List bernama ssh_blacklist. Dan Filter Raw akan melakukan blokir atas source IP tersebut pada Level Pre-Routing.
  • Pada Firewall Raw sendiri, ada beberapa Rules yang kita peruntukkan untuk memblokir akses ke beberapa Port yang sering digunakan para hacker untuk melakukan penetrasi ke jaringan kita. Diantara lain adalah:
    • Rules 0: Port TCP 445 untuk akses Active Directory
    • Rules 1: Port TCP 1 untuk akses TCPMux
    • Rules 6: Port TCP 137-139 untuk akses Netbios
    • Rules 7: Port UDP 137-139 untuk akses Netbios
    • Rules 8: Port TCP 27374 untuk akses Trojan Sub7
    • Rules 9: Port UDP 27374 untuk akses Trojan Sub7
    • Rules 10: Port UDP 4444 untuk akses dari beberapa Trojan berbahaya. Selengkapnya silahkan baca https://www.speedguide.net/port.php?port=4444.

Baca Artikel kami tentang Cara Penggunaan CLI Dasar pada Mikrotik RouterOS.

Penutup

Seluruh Firewall Rules dan Raw diatas adalah bukan bentuk baku yang harus Anda ikuti. Anda harus mengikuti sesuai dengan kebutuhan dan Topologi jaringan Anda. Kemungkinan ada beberapa Rules yang butuh adjustment ataupun revisi untuk disesuaikan dengan kebutuhan jaringan Anda.

Posted on

Melindungi Router Mikrotik dari Ransomware

Melindungi Mikrotik dari Ransomware

Akhir akhir ini marak kejadian Router Mikrotik di Hack oleh orang-orang yang tidak bertanggung jawab dengan mengunci Boot Loader di Mikrotik Router tersebut sehingga tidak dapat dilakukan reset ataupun netinstall dan melakukan permintaan imbalan untuk membuka kunci Boot Loader Mikrotik tersebut. Hal ini kita sebutkan sebagai Ransomware.

Apa itu Ransomware? Ransomware adalah jenis perangkat lunak berbahaya yang dirancang untuk memblokir akses ke sistem komputer, router atau perangkat dalam sebuah jaringan dan bahkan sebuah file di komputer Anda hingga sejumlah uang dibayarkan. Dalam hal Router Mikrotik, pelaku mengunci Boot Loader Router yang terpengaruh, membuatnya tidak dapat diakses, dan meminta pembayaran tebusan untuk memulihkan akses perangkat tersebut.

Apakah Anda membutuhkan IP Publik untuk Mikrotik atau Server lokal Anda? Atau mungkin Anda mencari solusi Tunneling untuk mengganti nama ISP di Speedtest Anda. VPS Mikrotik CHR Murah dari Herza.ID adalah solusinya.

Nah, maka dari itu, mari kita menyimak beberapa tahapan yang dapat membantu Anda dalam melindungi Router Mikrotik Anda dari Ransomware.

Cara Melindungi Router Mikrotik dari Ransomware

Lakukan Daily Backup

Lakukan backup secara berkala atas konfigurasi router mikrotik Anda untuk menghindari lamanya downtime ketika Router Anda bermasalah. Dengan melakukan backup secara berkala, ketika Router Anda bermasalah, Anda dengan mudah dapat mengganti Router Anda dengan Router cadangan dengan mengimport file konfigurasi yang telah terbackup sebelumnya. Hal ini dapat kita lakukan menggunakan scheduler script untuk membackup ke email.

/system script
add dont-require-permissions=yes name=EmailBackup source=":\
    log info \"Starting Backup Script...\"\r\
    \n:global backupfile ([/system identity get name] . \".backup\")\r\
    \n:if ([/file find name=\$backupfile] != \"\") do={/file rem \$backu\
    pfile}\r\
    \n:delay 2s\r\
    \n/system backup save name=\$backupfile\r\
    \n:log info \"Waiting 7s for backup to complete...\"\r\
    \n:delay 7s\r\
    \n:log info \"Backup being emailed...\"\r\
    \n/tool e-mail send to=\"[email protected]\" subject=([/system ide\
    ntity get name] . \" Backup\") [email protected] user=\"[email protected]\" password=\"passwordemailku\" file=\$backupfile server=smtp.emailku.com\r\
    \n:log info \"Finished Backup Script!\""
/system scheduler
add interval=1d name=EmailBackup on-event=ebackup start-date=\
    mar/04/2019 start-time=01:00:00

Jangan lupa untuk mengganti domain @emailku.com dengan domain ISP atau perusahaan anda, ganti passwordemailku dengan password email anda yang digunakan untuk mengirim email, ganti smtp.emailku.com dengan smtp ISP atau perusahaan anda.

Silahkan baca Panduan Dasar Mikrotik CLI (Command Line Interface), mungkin bermanfaat buat Anda.

Pengamanan Dasar Mikrotik

Selanjutnya, untuk mengamankan Router Mikrotik Anda, sangat disarankan bagi seluruh User Mikrotik untuk melakukan beberapa langkah dasar berikut untuk pengamanan di Router Anda.

Jangan Pernah Menggunakan Port Default Winbox

Selalu untuk merubah port standar winbox dari 8291 menjadi port lainnya, ingat jangan gunakan port 0 sd 1024 karena port tersebut sudah digunakan oleh layanan yang sudah di definisikan secara baku, pakailah port di atas 1024 misalnya menjadi 18291 jangan gunakan port diatas 65535 https://en.wikipedia.org/wiki/Port_(computer_networking)

Caranya, di RouterOS Anda klik IP > SERVICE kemudian akan muncul window IP SERVICE LIST seperti dibawah ini. Double Klik Winbox, kemudian ganti Port sesuai dengan yang Anda inginkan.

Kemudian, layanan-layanan yang Anda tidak butuhkan seperti API, FTP, SSH, Telnet, WWW jika tidak butuhkan sebaiknya di Non Aktifkan dengan cara memilih layanan tersebut kemudian mngklik tombok X pada window IP SERVICE LIST tersebut.

Grouping Interface ke Interface-List

Membuat grouping interface ke dalam interface-list untuk memudahkan dalam pembuatan rule firewall yang akan kita buat.

Pada script berikut saya membuat interface list dengan nama “Upstream” dengan memasukkan interface VLAN dengan nama OpenIXP, CDIX dan ether4 kedalam list Upstream tersebut. Kita bisa memasukan beberapa interface fisik ataupun VLAN ke sebuah list interface.

/interface list
add comment="Interface Upstream" name=Upstream
/interface list member
add interface=ether4 list=Upstream
add interface=OpenIXP list=Upstream
add interface=CDIX list=Upstream
Grouping IP Address sebagai ournetwork

Sekarang kita akan membuat grouping IP Address dan/atau Network Address “ournetwork” yang akan berisi seluruh prefix IP yang Anda gunakan serta IP PTP Upstream Anda.

/ip firewall address-list
add address=103.152.XXX.XXX/23 list=ournetwork
add address=192.168.XXX.XXX/24 list=ournetwork
add address=202.78.XXX.XXX/27 comment=DTP-IIX list=PTP-Upstream
add address=218.100.XXX.XXX/24 comment=OpenIXP list=PTP-Upstream
add address=103.30.XXX.XXX/23 comment=CDIX list=PTP-Upstream
add address=103.225.XXX.XXX/25 comment=CXC list=PTP-Upstream
Buat Firewall Rules & Raw untuk Mengamankan Router Anda

Setelah Interface List dan IP Address telah kita grouping, sekarang kita bisa dengan mudah menggunakan list tersebut kedalam Firewall Rules & Raw yang akan kita gunakan.

/ip firewall filter
add action=add-src-to-address-list address-list="Port_Scanner" \
    address-list-timeout=2w chain=input comment="PORT SCANNER" protocol=tcp \
    psd=21,3s,3,1
add action=add-src-to-address-list address-list="Port_Scanner" \
    address-list-timeout=2w chain=input comment="NMAP FIN Stealth scan" \
    protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list="Port_Scanner" \
    address-list-timeout=2w chain=input comment="SYN/FIN scan" protocol=tcp \
    tcp-flags=fin,syn
add action=add-src-to-address-list address-list="Port_Scanner" \
    address-list-timeout=2w chain=input comment="SYN/RST scan" protocol=tcp \
    tcp-flags=syn,rst
add action=add-src-to-address-list address-list="Port_Scanner" \
    address-list-timeout=2w chain=input comment="FIN/PSH/URG scan" \
    protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list="Port_Scanner" \
    address-list-timeout=2w chain=input comment="ALL/ALL scan" protocol=tcp \
    tcp-flags=fin,syn,rst,psh,ack,urg
add action=accept chain=output comment="FTP BLAACKLIST" content=\
    "530 Login incorrect" dst-limit=1/1m,9,dst-address/1m protocol=tcp
add action=add-dst-to-address-list address-list=ftp_blacklist \
    address-list-timeout=3h chain=output content="530 Login incorrect" \
    protocol=tcp
add action=add-src-to-address-list address-list=ssh_blacklist \
    address-list-timeout=1w3d chain=input comment="SSH BLACKLIST" \
    connection-state=new dst-port=22 protocol=tcp src-address-list=\
    ssh_stage3
add action=add-src-to-address-list address-list=ssh_stage3 \
    address-list-timeout=1m chain=input connection-state=new dst-port=22 \
    protocol=tcp src-address-list=ssh_stage2
add action=add-src-to-address-list address-list=ssh_stage2 \
    address-list-timeout=1m chain=input connection-state=new dst-port=22 \
    protocol=tcp src-address-list=ssh_stage1
add action=add-src-to-address-list address-list=ssh_stage1 \
    address-list-timeout=1m chain=input connection-state=new dst-port=22 \
    protocol=tcp
add action=accept chain=input comment="ACCEPT BGP DARI Upstream" \
    in-interface-list=Upstream log-prefix="bgp  : " protocol=tcp \
    src-address-list=PTP-Upstream
add action=accept chain=input comment="ACCEPT BGP DARI Upstream" \
    dst-address-list=PTP-Upstream in-interface-list=Upstream log-prefix=\
    "bgp  : " protocol=tcp
add action=accept chain=input comment="ACCEPT ICMP" log-prefix="icmp  : " \
    protocol=icmp src-address-list=ournetwork
add action=accept chain=input comment="ACCEPT ICMP" log-prefix="icmp  : " \
    protocol=icmp src-address-list=PTP-Upstream
add action=accept chain=input comment="ACCEPT ALL DARI ROUTER DISTRIBUSI" \
    in-interface-list=!Upstream log-prefix="not Upstream : " \
    src-address-list=ournetwork
add action=accept chain=input comment="ACCEPT ALL DARI ROUTER DISTRIBUSI" \
    dst-address-list=ournetwork in-interface-list=!Upstream log-prefix=\
    "not Upstream : "
add action=add-src-to-address-list address-list=winbox-exploit \
    address-list-timeout=5m chain=forward comment="WINBOX EXPLOIT" \
    dst-port=8291 in-interface-list=Upstream log-prefix="WINBOX EXPLOIT : " \
    protocol=tcp
add action=add-src-to-address-list address-list=proxy-socks-exploit \
    address-list-timeout=5m chain=forward comment="PROXY SOCKS EXPLOIT" \
    dst-port=8000,3128,1080,4145 in-interface-list=Upstream log-prefix=\
    "PROXY SOCKS EXPLOIT : " protocol=tcp

Dari script firewall rules diatas bisa kami jelaskan adalah mengenai akss yang dibolehkan ke Mikrotik RouterOS hanya dari address-list=ournetwork dan PTP-Upstream sedangkan akses dari interface distribusi atau “!Upstream” = bukan Upstream di ALLOW. Serta koneksi BGP via TCP di ALLOW dari dan ke interface “Upstream”

Sedangkan pada IP > FIREWALL > RAW, saya manDROP seluruh aktivitas yang telah ditangkap oleh Firewall Rules yang kami buat diatas seperti SSH BLACKLIST (Percobaan bruteforce ke SSH Router Mikrotik), DROP WINBOX (Seluruh Akses ke Port Winbox Default 8291 akan ditolak demi keamanan) dan juga DROP PORT SCANNER (Seluruh aktivitas Scanning akan diblok oleh Filter Raw ini. Disamping itu, saya juga menangkap dan DROP semua traffic ke yang mengarah ke Port 8000,3128,1080,4145 yang masuk via interface Upstream menuju ke jaringan distribusi yang dikawatirkan digunakan hacker untuk menyerang Mikrotik RouterOS distribusi dan pelanggan di melalui IP->Firewall->Raw

/ip firewall raw
add action=drop chain=prerouting comment="DROP ACTIVE DIRECTORY" dst-port=\
    445 log-prefix="drop 445 : " protocol=tcp
add action=drop chain=prerouting comment="DROP TCPMUX" dst-port=1 \
    log-prefix="drop 445 : " protocol=tcp
add action=drop chain=prerouting comment="SSH BLACKLIST" in-interface-list=\
    Upstream src-address-list=ssh_blacklist
add action=drop chain=prerouting comment="DROP WINBOX" dst-port=8291 \
    in-interface-list=Upstream log-prefix="DROP WINBOX EXPLOIT : " \
    protocol=tcp src-address-list=winbox-exploit
add action=drop chain=prerouting comment="DROP PORT SCANNER" \
    in-interface-list=Upstream log-prefix="DROP PORT SCANER : " \
    src-address-list="port scanners"
add action=drop chain=prerouting comment="DROP PROXY SOCKS" \
    in-interface-list=Upstream log-prefix="DROP PROXY SOCKS : " \
    src-address-list=proxy-socks-exploit
add action=drop chain=prerouting comment="DROP NETBIOS" dst-port=137-139 \
    log-prefix="drop 445 : " protocol=tcp
add action=drop chain=prerouting comment="DROP NETBIOS" dst-port=137-139 \
    log-prefix="drop 445 : " protocol=udp

Penutup

Seluruh Firewall Rules dan Raw diatas adalah bukan bentuk baku yang harus Anda ikuti. Anda harus mengikuti sesuai dengan kebutuhan dan Topologi jaringan Anda. Kemungkinan ada beberapa Rules yang butuh adjustment ataupun revisi untuk disesuaikan dengan kebutuhan jaringan Anda.

Posted on

Panduan Dasar Mikrotik CLI (Command Line Interface)

Login ke Terminal CLI Mikrotik

Jika Anda adalah pengguna VPS Mikrotik dari Herza.ID, maka Panduan Dasar Mikrotik CLI ini akan sangat berguna untuk melakukan maintenance melalui VNC jika Anda tidak dapat mengakses Winbox melalui Internet.

Kita dapat menggunakan beberapa cara untuk mengakses Mikrotik CHR, yaitu melalui Web Console, Winbox GUI, SSH dan beberapa layanan lainnya yang harus diakses dengan koneksi Internet. Tetapi, bagaimana jika terjadi kesalahan dalam konfigurasi Mikrotrik CHR Anda, dan mengakibatkan, VPS Mikrotik Anda tidak dapat diakses melalui Internet. Maka satu satunya cara adalah dengan mengakses VPS Mikrotik Anda melalui VNC pada Panel VPS Anda.

Baca juga Artikel kami tentang Cara Menginstall Mikrotik CHR di VPS.

Mengkonfigurasi Mikrotik CHR menggunakan perintah CLI tentunya lebih menantang daripada akses melalui GUI seperti Winbox dan Browser. Karena minimum kita harus menguasai logika susunan perintah Mikrotik itu sendiri. Dan mengkonfigurasi Mikrotik menggunakan CLI mempunyai beberapa kelebihan, diantaranya untuk mengakses Mikrotik bisa dengan menggunakan telnet, ssh, kabel serial, menu terminal pada winbox atau pada tutorial kali ini, kita akan mengakses Mikrotik menggunakan VNC melalui Panel VPS.

Akses Mikrotik CHR melalui VNC

1. Login ke Clientarea dan klik pada menu Layanan > Layanan Saya. Pada Halaman tersebut, silahkan Klik Layanan VPS Mikrotik Anda. Maka akan muncul menu seperti dibawah ini.

Akses Menu VNC pada Panel VPS Anda

2. Klik menu VNC pada Panel VPS Anda, kemudian dilanjutkan dengan mengklik Launch HTML 5 VNC Client seperti pada gambawah dibawah ini.

Akses VNC pada VPS Mikrotik Anda

3. Setelah itu, maka Virtual Console akan terbuka melalui Port VNC (Virtual Network Computing).

Tampilan Default pada VNC

4. Silahkan Login dengan memasukkan Username dan Password Anda. Maka Anda akan login ke Terminal CLI Mikrotik CHR Anda.

Login ke Terminal CLI Mikrotik

5. Hal yang pertama kita lakukan, jika terjadi kesalahan konfigurasi pada Mikrotik CHR Anda, kita akan melakukan Reset ke Default setting dengan memasukkan perintah berikut.

/system reset-configuration
Reset Mikrotik CHR

Konfirmasi akan diminta untuk melakukan Reset, dan tekan y kemudian Enter. Maka sekarang Mikrotik akan mereset ke konfigurasi default.

6. Masukkan username default Mikrotik yaitu admin dan password dikosongkan saja kemudian tekan Enter.

7. Setelah login ke Terminal CLI Mikrotik CHR, yang pertama kita lakukan adalah mengeset nama Mikrotik CHR Anda dan Timezone.

/system identify set name=Herza
/system clock
set time-zone-autodetect=no
set time-zoe-name=Asia/Jakarta
/system clock print
Konfigurasi Awal Mikrotik CLI

8. Setelah itu, kita akan menginput IP VPS Mikrotik Anda agar dapat terhubung ke Internet. IP ini bisa Anda dapatkan dengan menghubungi Technical Support. 

/ip address
add address=192.168.1.10/24 interface=ether1
/ip route add gateway=192.168.1.1
/ip route print
Setelah IP terinput, maka kita bisa melihat konfigurasi IP seperti diatas

9. Jika Anda pengguna VPS Tunneling dan melakukan Instalasi Mikrotik CHR sendiri, maka kemungkinan besar Anda tidak dapat mengakses Winbox Anda secara langsung. Dikarenakan Port Winbox default 8291 telah kami Blokir Akses nya dari luar untuk menghindari Brute Force bagi User yang lupa mengganti Port Default Winbox mereka.

Untuk awal, masukkan perintah berikut untuk memeriksa Port Service yang terbuka di Mikrotik CHR Anda.

/ip service print

Pada tampilan diatas, kita bisa melihat bahwa Port Winbox masih menggunakan Port standar yaitu 8291. Nah, mari kita lanjutkan perintah berikut untuk mengganti Port Winbox Anda.

/ip service edit winbox port

Maka, Anda akan melihat tampilan seperti diatas. Silahkan rubah port tersebut sesuai dengan port yang ingin Anda gunakan. Ingat jangan gunakan port 0 sd 1024 karena port tersebut sudah digunakan oleh layanan yang sudah di definisikan secara baku, pakailah port di atas 1024 misalnya menjadi 18291 jangan gunakan port diatas 65535 https://en.wikipedia.org/wiki/Port_(computer_networking)

Setelah itu, tekan tombol CTRL O pada keyboard Anda untuk menyimpan dan keluar dari file editor. Maka, sekarang Port Winbox Anda telah berubah.

10. Sekarang VPS Mikrotik Anda dapat diakses melalui Winbox

Demikianlah beberapa setingan dasar Mikrotik yang menggunakan Perintah Dasar CLI – command line interface Mikrotik yang telah kita buat, semoga ada manfaatnya. Jangan lupa membaca Konfigurasi Dasar untuk Mengamankan Router Mikrotik Anda.