# topologi yang digunakan
Tampilan topologi di gns3
.png)
Dari sumber MikroTik Documentation (2024), Network Address Translation (NAT) adalah teknik jaringan yang memungkinkan perangkat pada jaringan lokal (LAN) untuk mengakses internet menggunakan satu alamat IP publik. NAT mengganti alamat IP sumber dari paket data yang dikirim oleh LAN ke alamat IP publik router. Bersama dengan filtering paket, NAT berfungsi sebagai alat untuk mencegah akses tidak sah ke jaringan dan router itu sendiri, serta sebagai filter untuk lalu lintas keluar.
Dari sumber MKController (2024), NAT pada MikroTik diimplementasikan dalam menu IP > Firewall. Untuk mengonfigurasi NAT, Anda perlu membuat aturan NAT yang terdiri dari tiga bidang utama: Chain (menunjukkan arah lalu lintas yang akan diterapkan aturan), Action (tindakan yang akan dilakukan pada paket yang cocok dengan aturan), dan parameter tambahan seperti alamat IP sumber/tujuan dan antarmuka jaringan.
Dari sumber Wiki MikroTik (2024), terdapat dua jenis utama NAT:
Dari sumber MikroTik Documentation (2024), Source NAT (srcnat) adalah jenis NAT yang dilakukan pada paket yang berasal dari jaringan yang di-NAT. Router NAT mengganti alamat sumber pribadi dari paket IP dengan alamat IP publik baru saat melewati router. Operasi sebaliknya diterapkan pada paket balasan yang berjalan ke arah lain. Source NAT umumnya digunakan untuk "menyembunyikan" jaringan lokal di balik alamat IP publik.
Dari sumber MikroTik Documentation (2024), Destination NAT (dstnat) adalah jenis NAT yang dilakukan pada paket yang ditujukan ke jaringan yang di-NAT. Ini paling umum digunakan untuk membuat host di jaringan pribadi dapat diakses dari Internet. Router NAT yang melakukan dstnat mengganti alamat IP tujuan dari paket IP saat berjalan melalui router menuju jaringan pribadi.
NAT bukan hanya memungkinkan banyak perangkat di jaringan lokal berbagi satu alamat IP publik, tetapi juga memberikan lapisan keamanan tambahan dengan menyembunyikan alamat IP internal dari jaringan eksternal. Namun, perlu diingat bahwa host di balik router dengan NAT tidak memiliki konektivitas end-to-end yang sebenarnya, sehingga beberapa protokol Internet mungkin tidak berfungsi dalam skenario dengan NAT.
-ink.jpeg)
Dari sumber UKHost4U (2025), sebelum mengkonfigurasi NAT, penting untuk mengidentifikasi dan menamai antarmuka jaringan dengan benar. Antarmuka yang terhubung ke internet biasanya disebut WAN, sedangkan antarmuka untuk jaringan lokal disebut LAN. Langkah ini mempermudah pengelolaan dan pemecahan masalah di masa mendatang.
Dari sumber MikroTik Documentation (2024), sebelum menerapkan aturan NAT, pastikan alamat IP dikonfigurasi dengan benar pada kedua antarmuka. Antarmuka WAN harus memiliki alamat IP publik (atau IP yang diberikan oleh ISP), sementara antarmuka LAN memiliki alamat IP privat yang akan digunakan oleh jaringan lokal.
Dari sumber MikroTik Documentation (2024), Masquerade adalah subversi unik dari action=srcnat, yang dirancang khusus untuk digunakan dalam situasi ketika IP publik dapat berubah secara acak, misalnya ketika server DHCP mengubahnya, atau tunnel PPPoE setelah terputus mendapatkan IP yang berbeda. Setiap kali antarmuka terputus dan/atau alamat IP-nya berubah, router akan menghapus semua entri pelacakan koneksi yang dimasquerade yang mengirimkan paket keluar dari antarmuka tersebut, sehingga meningkatkan waktu pemulihan sistem setelah perubahan alamat IP publik.
Dari sumber BuildingAdvancedFirewall (2024), dalam sebagian besar kasus, disarankan untuk menggunakan src-nat daripada masquerade. Namun, dalam kasus alamat WAN yang dinamis, masquerade adalah satu-satunya pilihan. Penting juga untuk memperhatikan bahwa jika Anda menggunakan tunnel IPsec, lalu lintas IPsec harus dikecualikan dari NAT dengan menambahkan aturan yang menerima semua paket yang cocok dengan kebijakan IPsec.
Dari sumber Wiki MikroTik (2024), jika Anda memiliki beberapa alamat IP publik, source NAT dapat diubah ke IP tertentu. Misalnya, satu subnet lokal dapat disembunyikan di balik IP pertama dan subnet lokal kedua dimasquerade di balik IP kedua.
Ketika mengubah atau menambahkan aturan NAT, tabel pelacakan koneksi harus dihapus, jika tidak aturan NAT mungkin tampak tidak berfungsi dengan benar sampai entri koneksi kedaluwarsa. Gunakan perintah /ip firewall connection flush untuk membersihkan tabel koneksi setelah melakukan perubahan besar pada konfigurasi NAT.
Dari sumber MikroTik Documentation (2024), Destination NAT (DNAT) adalah metode yang memungkinkan akses dari internet ke server di jaringan lokal. Dalam implementasinya, router melakukan penerjemahan alamat tujuan, mengubah alamat tujuan dari paket yang masuk ke alamat internal server di jaringan lokal. Teknik ini biasanya digunakan untuk membuat layanan seperti web server, server FTP, atau sistem kamera IP dapat diakses dari internet.
Dari sumber Forum MikroTik (2024), semua aturan destination NAT, di mana kita tahu (dan dapat membatasi alamat sumber WAN) siapa yang memerlukan akses, harus dibatasi oleh SOURCE ADDRESS LIST. Ini meningkatkan keamanan dengan membatasi akses hanya dari alamat IP tertentu, bukan membuka akses ke seluruh internet.
Dari sumber First Time Configuration (2024), untuk mengkonfigurasi port forwarding ke web server internal, kita perlu membuat aturan DNAT yang mengarahkan lalu lintas dari port tertentu di antarmuka WAN ke server web di jaringan lokal.
Dari sumber MikroTik Documentation (2024), ketika pengguna dari luar jaringan membuat koneksi ke server web, router melakukan DST NAT sesuai konfigurasi: klien mengirim paket dengan alamat IP sumber eksternal ke alamat IP tujuan publik router pada port yang dikonfigurasi; router melakukan NAT tujuan ke alamat server internal dan mengganti alamat IP tujuan dalam paket sesuai dengan itu. Alamat IP sumber tetap sama; server membalas permintaan klien dan paket balasan memiliki alamat IP sumber server internal dan alamat IP tujuan eksternal. Router menentukan bahwa paket tersebut adalah bagian dari koneksi sebelumnya dan membatalkan NAT tujuan, serta menempatkan alamat IP tujuan asli ke dalam bidang alamat IP sumber.
Dari sumber Forum MikroTik (2024), untuk akses remote ke perangkat di jaringan lokal, seperti SSH atau Remote Desktop, kita dapat membuat aturan DNAT yang khusus berdasarkan alamat sumber. Ini meningkatkan keamanan dengan hanya mengizinkan akses dari alamat IP tertentu.
Perlu diingat bahwa aturan DNAT hanya melakukan penulisan ulang alamat – Anda juga memerlukan aturan filter yang memungkinkan paket untuk diteruskan. Tambahkan aturan filter yang sesuai di /ip firewall filter untuk mengizinkan lalu lintas yang di-NAT.
.png)
.png)
Dari sumber MikroTik Documentation (2024), firewall di RouterOS mengimplementasikan filtering paket stateful (dengan memanfaatkan pelacakan koneksi) dan stateless, menyediakan fungsi keamanan yang digunakan untuk mengelola aliran data ke, dari, dan melalui router. Bersama dengan Network Address Translation (NAT), firewall berfungsi sebagai alat untuk mencegah akses tidak sah ke jaringan yang terhubung langsung dan router itu sendiri, serta sebagai filter untuk lalu lintas keluar.
Dari sumber CLIMB (2025), firewall MikroTik melacak keadaan setiap koneksi, yang memungkinkan Anda membuat keputusan lebih cerdas tentang lalu lintas mana yang harus diizinkan dan mana yang harus diblokir. Prinsip keamanan "Default Deny" sangat penting, yang berarti memblokir semua lalu lintas kecuali yang secara khusus diizinkan. MikroTik sangat cocok untuk menerapkan prinsip ini, memberikan alat untuk membangun fondasi yang aman bagi jaringan Anda.
Dari sumber Tech@Layer-x (2025), urutan aturan firewall sangat memengaruhi efektivitasnya, karena MikroTik memproses aturan secara berurutan dari atas ke bawah. Sebaiknya mulai dengan aturan yang mengizinkan koneksi established dan related untuk memastikan lalu lintas kembali diizinkan untuk sesi yang sedang berlangsung.
Dari sumber Building Advanced Firewall (2024), penting untuk menambahkan aturan yang mencegah akses langsung dari WAN ke jaringan lokal kecuali untuk koneksi yang di-NAT tujuan. Tanpa aturan ini, jika penyerang mengetahui atau menebak subnet lokal Anda, mereka dapat membuat koneksi langsung ke host lokal.
Dari sumber First Time Configuration (2024), keamanan router itu sendiri sangat penting. Router yang dapat diakses dari internet rentan terhadap serangan. Beberapa layanan router seperti Winbox, SSH, dan FTP harus dibatasi hanya untuk alamat IP yang tepercaya.
Dari sumber abcXperts (2024), selalu pertahankan router MikroTik Anda diperbarui dengan versi RouterOS dan firmware terbaru untuk melindungi dari kerentanan yang diketahui. Untuk lalu lintas spesifik aplikasi, Anda dapat mengonfigurasi aturan Layer 7 untuk memblokir atau mengizinkan lalu lintas berdasarkan pola dalam paket data. Ini membatasi akses ke layanan router tertentu hanya untuk rentang alamat IP tertentu, sehingga mengurangi risiko akses tidak sah.
Urutan aturan firewall sangat penting! MikroTik memproses aturan berurutan dari atas ke bawah dan berhenti saat menemukan kecocokan. Pastikan aturan yang lebih spesifik berada di atas aturan yang lebih umum. Selalu uji konfigurasi firewall Anda secara menyeluruh setelah melakukan perubahan untuk memastikan akses yang diinginkan tetap berfungsi dan akses yang tidak diinginkan diblokir.
Dari sumber Tech@Layer-x (2025), FastTrack adalah fitur MikroTik yang memungkinkan koneksi tertentu melewati proses pemeriksaan firewall, secara signifikan mengurangi penggunaan CPU. Ini sangat berguna untuk jaringan dengan volume lalu lintas tinggi. Namun, FastTrack harus digunakan dengan hati-hati dan tidak boleh diterapkan pada semua jenis lalu lintas.
Dari sumber MikroTik Documentation (2024), penggunaan tabel RAW firewall dapat menghemat sumber daya jika pelacakan koneksi tidak diperlukan. Ini dapat sangat meningkatkan kinerja pada router dengan lalu lintas tinggi. Namun, perlu diingat bahwa fitur seperti NAT dan pemfilteran stateful tidak akan berfungsi untuk paket yang diproses di tabel RAW.
Dari sumber CLIMB (2025), logging dan pemantauan aturan firewall Anda adalah salah satu hal terpenting yang dapat Anda lakukan untuk mengamankan jaringan Anda. Jika Anda tidak melakukan logging dan memantau aturan firewall Anda, maka Anda tidak memiliki cara untuk mengetahui apakah aturan tersebut berfungsi sebagaimana mestinya. Tanpa visibilitas ini, tidak mungkin memecahkan masalah atau membuat perubahan untuk meningkatkan kinerja.
Dari sumber NeuronVM (2025), sebelum mengubah aturan firewall, sangat penting untuk membuat cadangan pengaturan Anda saat ini sehingga jika terjadi kesalahan, Anda dapat dengan cepat mengembalikan semuanya seperti semula. Hindari kesalahan umum seperti membiarkan port terbuka seperti 8291 (Winbox) ke publik, urutan aturan yang salah, dan tidak melakukan logging lalu lintas yang diblokir.
Ketika melakukan troubleshooting masalah konektivitas, selalu periksa urutan aturan firewall Anda. Aturan yang terlalu ketat atau salah urutan dapat memblokir lalu lintas yang sah. Gunakan alat seperti /tool torch untuk memantau lalu lintas secara real-time dan /ip firewall connection print untuk melihat koneksi aktif.