Firewall • DDNS • Port Forwarding • WireGuard VPN • Remote Access
|
Tujuan: Mengakses jaringan lokal dan halaman administrasi
Access Point (AP) dari luar lokasi dengan aman melalui VPN WireGuard.
Tutorial ini mengutamakan VPN; jangan mengekspos halaman login AP langsung ke
internet. |
Daftar Isi
1.
1. Persiapan dan contoh
topologi
2.
2. Mengenali IP Publik,
Private, dan CGNAT
3.
3. Membuat Interface List WAN
dan LAN
4.
4. Konfigurasi Firewall Filter
5.
5. Port Forwarding (opsional
dan terbatas)
6.
6. Mengaktifkan DDNS MikroTik
7.
7. Konfigurasi WireGuard VPN
8.
8. Mengakses Access Point dari
luar jaringan
9.
9. Pengujian dari HP dan laptop
10.
10. Troubleshooting dan
pengamanan
11.
Lampiran: checklist sebelum
implementasi
1. Persiapan dan Contoh Topologi
Panduan menggunakan RouterOS v7 dan
WinBox/WebFig. Nama interface, IP, serta metode koneksi internet dapat berbeda
pada setiap instalasi. Sesuaikan sebelum menyalin perintah.
Contoh parameter
|
Komponen |
Contoh |
Keterangan |
|
WAN |
ether1 |
Terhubung
ke modem/ONT atau ISP |
|
LAN
bridge |
bridge |
Jaringan
lokal |
|
LAN
subnet |
192.168.88.0/24 |
Gateway
MikroTik 192.168.88.1 |
|
Access
Point |
192.168.88.2 |
IP manajemen
tetap/reservasi DHCP |
|
WireGuard |
wg-remote |
Interface
VPN |
|
VPN
subnet |
10.10.10.0/24 |
MikroTik
10.10.10.1; klien 10.10.10.2 |
|
Port
VPN |
UDP
13231 |
Pastikan
tidak bentrok |
|
Penting: Pastikan Anda memiliki izin mengelola router dan
AP. Simpan backup konfigurasi sebelum perubahan: WinBox → Files → Backup,
atau gunakan /system backup save name=sebelum-part2. |
2. Mengenali IP Publik, IP Private, dan CGNAT
Akses VPN dari internet umumnya memerlukan
alamat IP publik yang dapat dijangkau. Periksa alamat pada interface WAN
MikroTik, lalu bandingkan dengan alamat yang terlihat dari layanan pemeriksa IP
di internet.
|
Jenis |
Rentang
/ ciri |
Dampak |
|
Private
RFC1918 |
10.0.0.0/8;
172.16.0.0/12; 192.168.0.0/16 |
Tidak
dirutekan langsung di internet |
|
CGNAT |
100.64.0.0/10 |
Biasanya
tidak bisa menerima koneksi masuk IPv4 dari internet |
|
Public
IPv4 |
Alamat
publik di WAN |
Dapat
menerima koneksi masuk jika firewall/ISP mengizinkan |
|
Public
IPv6 |
Alamat IPv6
global |
Bisa menjadi
alternatif jika ISP dan klien mendukung; tetap wajib firewall |
Indikasi CGNAT: IP WAN MikroTik berada di
100.64.0.0/10 atau alamat WAN berbeda dari IP publik yang terlihat di internet.
IP WAN private juga bisa berarti ada router/modem lain di depan MikroTik
(double NAT), bukan selalu CGNAT.
|
Jika terkena CGNAT: Hubungi ISP untuk meminta public
IPv4 (bisa berbayar), gunakan IPv6 jika tersedia dan dipahami, atau gunakan
solusi VPN overlay/tunnel yang membuat koneksi keluar dari lokasi. DDNS tidak
dapat menembus CGNAT dengan sendirinya. |
3. Membuat Interface List WAN dan LAN
Interface List memudahkan penerapan
firewall. Pada contoh ini ether1 adalah WAN dan bridge adalah LAN. Pastikan
nama interface sesuai perangkat Anda.
|
/interface/list add name=WAN comment="Interface ke
internet" add name=LAN comment="Jaringan
lokal" /interface/list/member add list=WAN interface=ether1 add list=LAN interface=bridge /interface/list/print /interface/list/member/print |
Di WinBox: Interfaces → Interface List →
tab Lists, buat WAN dan LAN. Buka tab Members, tambahkan ether1 ke WAN dan
bridge ke LAN. Jangan memasukkan interface yang salah ke daftar WAN/LAN.
Ilustrasi pengaturan Interface List
|
WinBox Interfaces
└── Interface List
├── Lists
│ ├── WAN
│ └── LAN
└── Members ├── WAN → ether1 └── LAN → bridge |
4. Konfigurasi Firewall Filter
Firewall filter melindungi router
(chain=input) dan mengatur lalu lintas yang melewati router (chain=forward).
Contoh berikut mengasumsikan koneksi LAN sudah berfungsi dan interface list
telah dibuat. Terapkan melalui Safe Mode di WinBox agar perubahan yang memutus
akses dapat dibatalkan.
|
Perhatian sebelum menerapkan: Jika router sudah
memiliki firewall, jangan menambahkan aturan secara membabi buta. Periksa
urutan dan aturan yang ada. Simpan backup dan siapkan akses lokal. |
4.1 Aturan dasar untuk melindungi router
|
/ip/firewall/filter add chain=input action=accept
connection-state=established,related,untracked comment="Terima koneksi
yang sudah terbentuk" add chain=input action=drop
connection-state=invalid comment="Buang koneksi invalid" add chain=input action=accept
protocol=icmp comment="Izinkan ping untuk diagnosis" add chain=input action=accept
in-interface-list=LAN comment="Kelola router dari LAN" add chain=input action=accept
in-interface=wg-remote comment="Kelola router melalui VPN" add chain=input action=drop
in-interface-list=WAN comment="Blok akses langsung dari WAN ke
router" |
Urutan aturan sangat penting: aturan accept
yang dibutuhkan harus berada sebelum aturan drop. Bila layanan administrasi
router perlu diakses dari subnet tertentu saja, batasi berdasarkan sumber IP
dan jangan membuka WinBox, SSH, atau WebFig ke seluruh internet.
4.2 Firewall untuk lalu lintas yang melewati router
|
/ip/firewall/filter add chain=forward action=accept
connection-state=established,related,untracked comment="Terima koneksi
established" add chain=forward action=drop
connection-state=invalid comment="Buang koneksi invalid" add chain=forward action=accept
in-interface=wg-remote out-interface-list=LAN comment="VPN ke LAN" add chain=forward action=accept
in-interface-list=LAN out-interface-list=WAN comment="LAN ke
internet" add chain=forward action=drop
comment="Tolak trafik forward lain yang tidak diizinkan" |
Aturan forward terakhir bersifat ketat.
Tambahkan pengecualian yang memang diperlukan (misalnya VLAN, printer, atau
jaringan antar-LAN) sebelum aturan drop. Jika sudah ada aturan FastTrack,
evaluasi kompatibilitasnya dengan kebijakan VPN dan pemantauan koneksi.
4.3 NAT dasar untuk internet LAN
|
/ip/firewall/nat add chain=srcnat action=masquerade
out-interface-list=WAN comment="NAT LAN ke internet" |
Jika NAT masquerade sudah tersedia, jangan
membuat duplikat. Untuk VPN menuju LAN yang memakai subnet berbeda, umumnya
tidak perlu NAT VPN ke LAN selama routing dan firewall benar.
5. Port Forwarding (opsional dan terbatas)
Port forwarding meneruskan koneksi dari
alamat/port WAN ke perangkat di LAN. Gunakan hanya untuk layanan yang
benar-benar perlu dipublikasikan. Untuk administrasi AP, gunakan WireGuard dan
jangan forward port HTTP/HTTPS/SSH admin AP.
Contoh ilustratif: meneruskan port TCP 8443
dari internet ke server internal 192.168.88.10 port 443. Ganti alamat dan port
sesuai layanan; pastikan server aman, diperbarui, dan memiliki autentikasi
kuat.
|
/ip/firewall/nat add chain=dstnat in-interface-list=WAN
protocol=tcp dst-port=8443 \
action=dst-nat to-addresses=192.168.88.10 to-ports=443 \
comment="Contoh port forward ke server HTTPS" /ip/firewall/filter add chain=forward action=accept
in-interface-list=WAN \
protocol=tcp dst-address=192.168.88.10 dst-port=443 \
connection-nat-state=dstnat comment="Izinkan hanya layanan yang
di-forward" |
|
Jangan lakukan ini untuk AP: Hindari dst-nat ke
192.168.88.2 port 80/443/22/8291 atau port manajemen lainnya. Membuka halaman
login AP ke internet meningkatkan risiko pemindaian, brute force, dan
eksploitasi. |
6. Mengaktifkan DDNS MikroTik
MikroTik Cloud DDNS memberikan nama DNS
yang mengikuti alamat IP publik router. DDNS hanya memperbarui nama domain;
DDNS tidak menyediakan IP publik dan tidak mengatasi CGNAT.
|
/ip/cloud set ddns-enabled=yes update-time=yes print |
Catat dns-name yang ditampilkan, misalnya
xxxxx.sn.mynetname.net. Nilai tersebut adalah contoh format, bukan nama domain
Anda. Jika alamat WAN berubah, MikroTik akan memperbarui record DDNS.
WinBox: IP → Cloud → centang DDNS Enabled,
lalu Apply/OK. Periksa status dan DNS Name. Jika status tidak berhasil, cek
DNS, waktu/NTP, akses internet router, dan apakah router dapat menjangkau
layanan MikroTik Cloud.
|
Catatan CGNAT: Nama DDNS dapat tetap terbit
walau router berada di belakang CGNAT. Namun koneksi masuk dari internet
tetap tidak akan sampai ke router tanpa jalur publik yang sesuai. |
7. Konfigurasi WireGuard VPN
WireGuard tersedia pada RouterOS v7. Buat
interface VPN, alamat IP tunnel, peer untuk setiap perangkat, lalu izinkan UDP
port VPN dari WAN. Setiap HP/laptop sebaiknya memiliki key pair dan peer
sendiri.
7.1 Buat interface WireGuard di MikroTik
|
/interface/wireguard add name=wg-remote listen-port=13231
mtu=1420 comment="VPN remote access" /ip/address add address=10.10.10.1/24
interface=wg-remote comment="Gateway VPN" /interface/wireguard/print detail |
Dari hasil print, salin public-key
interface wg-remote. Private key router jangan dibagikan. RouterOS membuat key
pair untuk interface.
7.2 Izinkan port WireGuard di firewall input
|
/ip/firewall/filter add chain=input action=accept
in-interface-list=WAN protocol=udp dst-port=13231 \
comment="Izinkan WireGuard dari internet" |
Letakkan aturan ini sebelum aturan drop WAN
pada chain=input. Jika ISP atau modem berada di depan MikroTik, pastikan UDP
13231 juga diteruskan dari modem ke alamat WAN MikroTik. Jika CGNAT, port
forwarding modem tidak menyelesaikan masalah.
7.3 Tambahkan peer untuk HP atau laptop
Buat key pair di aplikasi WireGuard pada
perangkat klien. Ambil public key klien dari aplikasi tersebut, lalu tambahkan
ke MikroTik. Contoh berikut memakai placeholder; ganti dengan public key klien
yang sebenarnya.
|
/interface/wireguard/peers add interface=wg-remote
public-key="PUBLIC_KEY_KLIEN" \
allowed-address=10.10.10.2/32 comment="HP utama" |
Untuk perangkat kedua, gunakan key pair dan
alamat tunnel berbeda, misalnya 10.10.10.3/32. Jangan menggunakan private key
yang sama pada banyak perangkat.
7.4 Contoh konfigurasi klien WireGuard
|
[Interface] PrivateKey = PRIVATE_KEY_KLIEN Address = 10.10.10.2/32 DNS = 192.168.88.1 [Peer] PublicKey = PUBLIC_KEY_WIREGUARD_MIKROTIK Endpoint = NAMA-DDNS-ANDA:13231 AllowedIPs = 10.10.10.0/24,
192.168.88.0/24 PersistentKeepalive = 25 |
Ganti PRIVATE_KEY_KLIEN,
PUBLIC_KEY_WIREGUARD_MIKROTIK, dan NAMA-DDNS-ANDA dengan nilai aktual. Jangan
pernah mengirim file konfigurasi yang berisi private key melalui grup atau
kanal publik. AllowedIPs di atas adalah split tunnel: hanya subnet VPN dan LAN
yang melewati VPN.
7.5 Contoh membuat peer dari sisi WinBox
12.
WireGuard → tambah interface
wg-remote, port listen 13231.
13.
IP → Addresses → tambahkan
10.10.10.1/24 pada wg-remote.
14.
WireGuard → Peers → tambah
peer, isi public key HP/laptop dan Allowed Address 10.10.10.2/32.
15.
IP → Firewall → Filter Rules →
izinkan UDP 13231 dari WAN sebelum aturan drop WAN.
16.
IP → Firewall → Filter Rules →
izinkan trafik dari wg-remote menuju LAN sebelum aturan drop forward.
8. Mengakses Access Point dari luar jaringan melalui VPN
Pastikan AP memiliki alamat IP manajemen
tetap, misalnya 192.168.88.2, berada pada LAN yang dapat dijangkau MikroTik,
dan layanan manajemen hanya aktif pada jaringan yang diperlukan.
17.
Di HP/laptop, impor konfigurasi
WireGuard dan aktifkan tunnel.
18.
Pastikan status menunjukkan
handshake terbaru/transfer data bertambah.
19.
Buka browser dan akses alamat
manajemen AP, misalnya https://192.168.88.2 (atau URL/port HTTPS yang memang
digunakan AP).
20.
Jika AP menggunakan sertifikat
lokal/self-signed, browser mungkin menampilkan peringatan sertifikat.
Verifikasi sertifikat dan identitas perangkat sebelum melanjutkan.
21.
Login dengan akun admin AP.
Gunakan kata sandi unik dan nonaktifkan akun default bila memungkinkan.
|
Jika tidak bisa membuka AP: Uji ping ke
10.10.10.1, lalu 192.168.88.1, lalu 192.168.88.2. Jika gateway VPN bisa
dijangkau tetapi AP tidak, periksa firewall forward, subnet/rute, VLAN,
gateway AP, dan apakah AP mengizinkan manajemen dari subnet VPN. |
9. Pengujian koneksi menggunakan HP dan laptop
9.1 Pengujian dari HP
22.
Pasang aplikasi WireGuard resmi
dari toko aplikasi perangkat.
23.
Impor konfigurasi melalui QR
code/file yang dibuat dari konfigurasi klien.
24.
Matikan Wi-Fi dan gunakan data
seluler untuk memastikan pengujian benar-benar dari luar lokasi.
25.
Aktifkan tunnel. Periksa status
handshake dan data received/sent.
26.
Buka browser ke
https://192.168.88.2 atau alamat manajemen AP Anda.
27.
Setelah selesai, nonaktifkan
VPN bila tidak diperlukan.
9.2 Pengujian dari laptop
28.
Instal aplikasi WireGuard resmi
untuk sistem operasi laptop.
29.
Impor konfigurasi klien khusus
laptop (gunakan peer/key berbeda dari HP).
30.
Hubungkan laptop ke hotspot HP
atau jaringan internet di luar lokasi.
31.
Aktifkan tunnel dan periksa
handshake.
32.
Uji ping 10.10.10.1 dan
192.168.88.2; lalu buka alamat AP di browser.
9.3 Perintah pemeriksaan di MikroTik
|
/interface/wireguard/print detail /interface/wireguard/peers/print detail /ip/address/print /ip/route/print /ip/firewall/filter/print /ip/firewall/nat/print /log/print where
topics~"wireguard|firewall" |
Pada peer, amati last-handshake dan rx/tx.
Jika tidak ada handshake, fokus pada endpoint/DDNS, port UDP, public IP, NAT
modem, firewall WAN, dan CGNAT. Jika handshake ada tetapi AP tidak terbuka,
fokus pada routing dan firewall forward.
10. Troubleshooting dan Pengamanan
|
Gejala |
Kemungkinan
penyebab |
Tindakan |
|
Tidak
ada handshake |
CGNAT/double
NAT, endpoint salah, UDP diblokir, port tidak diteruskan |
Periksa
IP WAN, DDNS, UDP 13231, modem/ISP, dan firewall input |
|
Handshake
ada, LAN tidak bisa diakses |
AllowedIPs
salah, rule forward tidak tepat, subnet overlap |
Pastikan
AllowedIPs mencakup 192.168.88.0/24; cek rule forward dan rute |
|
Router
bisa, AP tidak bisa |
AP
beda VLAN/subnet, IP AP salah, gateway AP salah, admin dibatasi |
Tes
dari LAN, cek IP/gateway AP dan ACL manajemen |
|
DDNS
tidak ter-update |
Internet/DNS/NTP
bermasalah atau Cloud DDNS tidak aktif |
Cek /ip cloud
print, DNS, waktu router, konektivitas |
|
Bisa
dari Wi-Fi rumah saja |
Tes
belum benar-benar dari jaringan luar atau hairpin NAT |
Uji
memakai data seluler/hotspot di luar lokasi |
|
Koneksi
lambat/putus |
MTU, sinyal
internet, firewall, atau jalur ISP |
Coba MTU
1420, periksa log dan kualitas uplink |
Praktik keamanan yang disarankan
·
Perbarui RouterOS dan firmware
perangkat dari kanal stabil setelah membaca catatan rilis dan menyiapkan
backup.
·
Gunakan kata sandi admin yang
kuat dan unik; nonaktifkan akun/layanan yang tidak dipakai.
·
Batasi WinBox, SSH, WebFig,
API, dan layanan manajemen router ke LAN/VPN saja.
·
Jangan membuka port
administrasi AP ke internet. Akses melalui WireGuard.
·
Gunakan peer WireGuard terpisah
untuk tiap perangkat; cabut peer perangkat yang hilang atau tidak lagi
digunakan.
·
Jangan membagikan private key,
backup konfigurasi, atau QR konfigurasi VPN.
·
Gunakan Safe Mode saat mengubah
firewall dari jarak jauh; pastikan ada jalur pemulihan lokal.
·
Periksa log, daftar peer, dan
aturan firewall secara berkala.
Lampiran: Checklist sebelum implementasi
·
☐ Backup konfigurasi MikroTik
sudah dibuat dan dapat diakses.
·
☐ Nama interface WAN/LAN sudah
diverifikasi.
·
☐ LAN subnet dan IP manajemen
AP sudah dicatat.
·
☐ Firewall lama sudah ditinjau
agar tidak terjadi aturan duplikat atau konflik urutan.
·
☐ IP WAN sudah dipastikan
publik atau sudah ada solusi untuk CGNAT.
·
☐ DDNS aktif dan nama DNS sudah
dicatat.
·
☐ WireGuard interface dan peer
dibuat dengan key unik.
·
☐ UDP port WireGuard diizinkan
dan diteruskan bila ada modem/router di depan MikroTik.
·
☐ Firewall mengizinkan VPN
menuju LAN sesuai kebutuhan.
·
☐ Pengujian dilakukan dari data
seluler atau jaringan luar.
·
☐ Port admin AP tidak dibuka
langsung ke internet.
Catatan akhir
Konfigurasi dalam dokumen ini adalah
template edukasi untuk RouterOS v7 dengan contoh subnet dan nama interface.
Setiap jaringan memiliki susunan berbeda. Sesuaikan parameter, periksa
konfigurasi yang sudah ada, dan lakukan perubahan bertahap. Jika router berada
di belakang CGNAT, minta opsi IP publik dari ISP atau gunakan solusi tunnel
yang sesuai; mengaktifkan DDNS saja tidak cukup.
Sumber dokumentasi resmi untuk verifikasi
versi dan sintaks:
·
https://help.mikrotik.com/docs/
·
https://help.mikrotik.com/docs/display/ROS/WireGuard
·
https://help.mikrotik.com/docs/display/ROS/Cloud
·
https://help.mikrotik.com/docs/display/ROS/Building+Advanced+Firewall
No comments:
Post a Comment