NETWORK ADDRESS TRANSLATION (NAT)
Menguasai terjemahan alamat di RouterOS v7: Srcnat, Masquerade, Dstnat, Port Forwarding, Hairpin NAT, Static NAT, dan Praktik Aman NAT - via WinBox v4 & CLI.
Hampir seluruh koneksi internet di Indonesia - dari warnet, kantin sekolah, sampai CCTV rumahan - melewati tabel NAT di sebuah router. NAT adalah jantung dari berbagi satu IP publik ke ratusan perangkat, dan sekaligus garis pertahanan pertama jaringan Anda.
- Pengenalan NAT & Sejarahnya
- Private vs Public IP & Terminologi
- Srcnat & Masquerade
- Dstnat & Port Forwarding
- Hairpin NAT (NAT Loopback)
- Static NAT / 1:1 NAT
- NAT & Keamanan + Mitigasi
IDENTITAS LEMBAGA
| Data | Keterangan |
|---|---|
| Nama Perusahaan | PT. ZERO COMPUTER INDONESIA |
| Nama Lembaga | LKP. ZERO COMPUTER - ZE COME TRAINING CENTER |
| Status Sekolah | Swasta |
| Bentuk Pendidikan | Kursus |
| NPSN | K5669411 |
| Alamat | Jl. Sapuhanda No. 14 Ambarawa |
| Desa / Kelurahan | Ambarawa |
| Kecamatan | Ambarawa |
| Kabupaten | Pringsewu |
| Provinsi | Lampung |
| Kode Pos | 35376 |
| Telepon | +62 821 8022 8393 |
| zecomeindonesia@gmail.com | |
| Website | www.zerocomputer.net |
| Akreditasi | BAN-PNF & LA-LPK |
| Tahun Berdiri | 2018 |
TAHUN BERDIRI
IDENTITAS PROGRAM KURSUS
| Komponen | Deskripsi |
|---|---|
| Nama Instruktur | ABDUR ROZAK, S.Kom. |
| Nama Lembaga | PT. ZERO COMPUTER INDONESIA - LKP. ZERO COMPUTER - ZE COME TRAINING CENTER |
| Kode Program | ZCTC-NE-SPP-001 |
| Program Kursus | Network Engineer Fundamental |
| Topik | Network Address Translation (NAT) pada RouterOS MikroTik v7 |
| Tahun Ajaran | 2026/2045 |
| Moda Pembelajaran | Tatap Muka / Blended / Hybrid |
| Model Pembelajaran | Problem Based Learning (PBL) |
| Pendekatan Utama | Deep Learning |
| Pendekatan Terintegrasi | STEAM (Science, Technology, Engineering, Arts, Mathematics) |
| Taksonomi | SOLO Taxonomy (Idea - Multi-structural - Relational - Extended Abstract) |
| Strategi Pembelajaran | Diferensiasi (konten, proses, produk) |
IDENTITAS INSTRUKTUR
ABDUR ROZAK, S.Kom.
Network Engineer Practitioner - Guru SMK Konsentrasi Keahlian TKJ - Senior Full-Stack Web Developer - abdurrozak.my.id
CAPAIAN PEMBELAJARAN
Setelah menyelesaikan modul ini, peserta kursus Network Engineer Fundamental diharapkan mampu:
| No | Capaian | Level SOLO |
|---|---|---|
| 01 | Menjelaskan konsep NAT, alasan kebutuhannya, dan blok alamat privat RFC 1918 dengan bahasa sendiri. | Multi-structural |
| 02 | Membedakan fungsi chain srcnat dan dstnat serta action masquerade vs src-nat vs dst-nat pada RouterOS v7. | Relational |
| 03 | Mengonfigurasi NAT keluar internet (masquerade) melalui WinBox v4 dan CLI RouterOS v7 secara benar. | Relational |
| 04 | Membangun port forwarding dan hairpin NAT untuk layanan internal (CCTV NVR, web server) dengan aman. | Relational |
| 05 | Menganalisis kasus jaringan nyata dan merancang solusi NAT lengkap dengan mitigasi risikonya. | Extended Abstract |
TUJUAN PEMBELAJARAN
Dengan metode Problem Based Learning dan pendekatan Deep Learning, melalui demonstrasi, praktik terbimbing, dan kuis interaktif, peserta dapat:
| No | Tujuan Pembelajaran (ABCD) | Indikator |
|---|---|---|
| 1 | Mengidentifikasi masalah kelangkaan alamat IPv4 dan peran NAT (Condition: studi kasus 1 IP publik - Audience: peserta - Behavior: identifikasi - Degree: minimal 4 dari 5 poin benar). | Kuis >= 70 |
| 2 | Menuliskan sintaks CLI RouterOS v7 rule masquerade tanpa melihat contoh, dengan parameter yang benar semua. | Praktik CLI |
| 3 | Mengonfigurasi port forwarding CCTV NVR via WinBox v4 dan memverifikasinya dari jaringan luar (simulasi hotspot ponsel). | Demo berhasil |
| 4 | Menjelaskan penyebab kegagalan akses server dari dalam LAN via IP publik dan memperbaikinya dengan hairpin NAT. | Studi kasus |
| 5 | Menerapkan minimal 3 mitigasi keamanan NAT (UPnP off, pembatasan port, blokir Winbox dari WAN) pada router lab. | Checklist |
| 6 | Menuliskan rangkuman materi ke buku catatan dengan struktur: definisi - perintah - analogi - mitigasi. | Lembar catatan |
8 DIMENSI PROFIL LULUSAN & PROFIL PELAJAR PANCASILA
AMATI TERMINAL ROUTEROS INI...
Terminal di atas mengetik 4 perintah: /system identity set (menamai router), /ip address print (melihat daftar IP), /ip firewall nat add (membuat 1 rule NAT), dan /ip firewall nat print (melihat tabel NAT). Perhatikan: hanya dengan SATU baris perintah, seluruh jaringan di balik router bisa mengakses internet.
PENGENALAN NAT
NAT (Network Address Translation) adalah teknik yang membuat banyak perangkat di jaringan lokal - yang memakai alamat privat - tetap bisa mengakses internet dengan "berpura-pura" memakai satu alamat publik milik router. Router mencatat setiap koneksi di tabel translasi, sehingga ketika balasan datang dari internet, router tahu persis harus meneruskannya ke perangkat mana.
NAT memodifikasi field source/destination IP (dan port TCP/UDP pada varian NAPT/PAT) di header paket yang melewati router, lalu menyimpan pemetaan transaksi di tabel connection tracking. Pada RouterOS, translasi tujuan (dstnat) terjadi sebelum routing decision, sedangkan translasi sumber (srcnat) terjadi pada paket yang meninggalkan router - sesuai packet flow RouterOS v7.
Lab TKJ dengan 30 PC client (192.168.10.0/24) hanya memiliki 1 IP publik dari ISP. Tanpa NAT, ISP harus menyewakan 30 IP publik (mahal dan IPv4 langka). Dengan NAT, semua PC berbagi satu IP publik - persis seperti yang terjadi di warnet, kantin sekolah, dan WiFi rumah Anda.
/ip firewall nat print
# output contoh:
# Flags: X - disabled, I - invalid, D - dynamic
# 0 chain=srcnat action=masquerade out-interface=ether1Tujuan Perintah: menampilkan seluruh rule NAT yang tersimpan di router beserta statusnya - langkah pertama sebelum membuat atau men-debug konfigurasi NAT.
/ip firewall nat- masuk ke menu tabel NAT RouterOS v7; semua rule translasi alamat hidup di sini.print- menampilkan daftar rule. Flag X = disabled (rule ada tapi tidak aktif), flag I = invalid (rule bermasalah, misal interface hilang), flag D = dynamic (dibuat otomatis sistem, misal oleh UPnP atau VPN).
Analogi: perintah ini seperti membuka "buku tamu resepsionis" - Anda melihat siapa saja yang sedang diterjemahkan alamatnya dan ada catatan mana yang kusut (invalid).
PRIVATE vs PUBLIC IP & TERMINOLOGI
Dunia IP terbagi dua: private (untuk jaringan internal, bebas dipakai siapa saja, tidak di-route di internet) dan public (unik secara global, disewakan/dialokasikan ISP). NAT adalah "jembatan tol" yang menghubungkan kedua dunia ini.
RFC 1918 (Rekhter dkk., BCP 5) mencadangkan 3 blok alamat untuk internet privat: 10.0.0.0/8, 172.16.0.0/12, dan 192.168.0.0/16. Router ISP wajib membuang paket yang menuju alamat-alamat ini dari internet publik. Terminologi Cisco/MikroTik: inside local (IP privat client), inside global (IP publik router), outside local/global (IP server tujuan). RouterOS membagi logika NAT menjadi chain srcnat (ubah sumber, arah keluar) dan chain dstnat (ubah tujuan, arah masuk).
ISP (misalnya IndiHome Biznet First Media) memberi IP publik dinamis di ether1 router Anda - bisa berubah setiap reconnect PPPoE. Sementara LAN sekolah memakai 192.168.10.0/24. Setiap kali IP publik berubah, masquerade otomatis mengikuti (slide berikutnya).
| Blok RFC 1918 | Rentang | Jumlah Alamat | Umum Dipakai Untuk |
|---|---|---|---|
| 10.0.0.0/8 | 10.0.0.0 - 10.255.255.255 | 16.777.216 | Jaringan enterprise / ISP / hotel besar |
| 172.16.0.0/12 | 172.16.0.0 - 172.31.255.255 | 1.048.576 | Jaringan menengah, cloud VPC (AWS/GCP) |
| 192.168.0.0/16 | 192.168.0.0 - 192.168.255.255 | 65.536 | RT, sekolah, warnet, WiFi rumah |
/ip cloud print
# output: ddns-enabled: yes / public-address: 103.28.14.10 / dns-name: xxxx.sn.mynetname.netTujuan Perintah: memastikan router "bertanya ke internet" dan menampilkan IP publik sebenarnya yang dipakai saat keluar - berguna saat Anda ragu IP di ether1 adalah IP publik atau IP privat dari modem ISP.
/ip cloud- layanan DDNS bawaan MikroTik (IP Cloud) yang sekaligus melaporkan public address router.print- menampilkan status.public-address= IP publik terdeteksi;dns-name= hostname gratis *.sn.mynetname.net untuk mengganti domain dinamis;ddns-enabled= aktif/nonaktifnya DDNS.
Analogi: seperti bertanya ke kantor pos, "sebenarnya nomor PO BOX saya yang dipakai orang luar itu berapa?" - bukan nomor ruangan internal Anda.
SRCNAT & MASQUERADE
Srcnat adalah translasi alamat sumber untuk paket yang keluar dari jaringan Anda menuju internet: 192.168.10.15 "bergaya" menjadi 103.28.14.10. Masquerade adalah varian srcnat yang otomatis mengambil IP milik interface keluar - cocok untuk IP publik dinamis (PPPoE IndiHome) karena tidak perlu diubah saat IP berganti.
src-nat karena lebih hemat CPU (tanpa pencarian IP interface per koneksi).- Buka WinBox v4, login ke router (tab Neighbors - pilih MAC/IP).
- Menu IP - Firewall - tab NAT - tombol + (Add New).
- Tab General: Chain=srcnat, Out. Interface=ether1 (interface WAN).
- Tab Action: Action=masquerade.
- Tab Comment: isi "NAT LAN to Internet" (wajib, untuk dokumentasi) - lalu OK.
- Uji dari PC LAN:
ping 8.8.8.8dan buka sebuah situs.
Router RB941 lab sekolah: ether1 ke modem ISP (IP dinamis), ether2-bridge ke switch lab 192.168.10.0/24. Satu rule masquerade menghidupkan internet untuk 30 PC sekaligus.
/ip firewall nat
add chain=srcnat out-interface=ether1 action=masquerade comment="NAT LAN to Internet"Tujuan Perintah: membuat rule NAT paling fundamental - mengizinkan seluruh LAN mengakses internet dengan berbagi satu IP publik dinamis.
chain=srcnat- menentukan rule bekerja pada paket yang keluar router (translasi alamat sumber). Pasangannya adalah chain=dstnat untuk arah masuk.out-interface=ether1- hanya paket yang keluar lewat interface WAN yang ditranslasi. Wajib diisi agar LAN tidak ikut "termaskerade".action=masquerade- ganti IP sumber dengan IP ether1 otomatis + catat koneksi di tabel connection tracking agar balasan bisa kembali ke client yang benar.comment="..."- dokumentasi rule; praktik wajib MTCNA agar konfigurasi mudah diaudit.
Analogi: out-interface=ether1 berarti resepsionis hanya menulis alamat gedung pada surat yang keluar lewat pintu depan - surat antar kamar tetap memakai nomor kamar asli.
out-interface secara spesifik, jangan "all". (3) Jika IP publik statis, ganti ke action=src-nat dengan to-addresses untuk menghemat CPU. (4) Tanpa NAT ini, jangan pernah menaruh IP RFC1918 langsung di interface WAN.DSTNAT & PORT FORWARDING
Dstnat adalah kebalikan srcnat: translasi alamat tujuan untuk paket yang datang dari internet. Router menerima koneksi ke IP publik port 8000, lalu "mengalihkan" paketnya ke 192.168.10.50 port 8000 di dalam LAN. Inilah mekanisme port forwarding yang membuat CCTV, web server, dan game server internal bisa diakses dari luar.
- WinBox v4 - IP - Firewall - NAT - +.
- Tab General: Chain=dstnat, Dst. Address=IP publik (atau kosongkan + In. Interface=ether1), Protocol=tcp, Dst. Port=8000.
- Tab Action: Action=dst-nat, To Addresses=192.168.10.50, To Ports=8000.
- Tab Comment: "CCTV NVR forward" - lalu OK.
- Uji dari jaringan luar (hotspot ponsel): buka
http://IP-PUBLIK:8000.
NVR Hikvision sekolah (192.168.10.50) port 8000 dibuka dari internet agar kepala sekolah bisa memantau saat dinas luar. Pabrik NVR memakai port 8000 sebagai port server SDK-nya.
/ip firewall nat
add chain=dstnat in-interface=ether1 protocol=tcp dst-port=8000 \
action=dst-nat to-addresses=192.168.10.50 to-ports=8000 comment="CCTV NVR forward"Tujuan Perintah: membuka satu "pintu" terukur dari internet menuju NVR internal, tanpa membuka seluruh jaringan.
chain=dstnat- memproses paket masuk sebelum routing decision; hanya di chain ini translasi tujuan terjadi.in-interface=ether1- hanya trafik yang datang dari WAN yang diproses, agar client LAN tidak ikut ter-redirect (mencegah masalah hairpin, lihat sub topik 5).protocol=tcp+dst-port=8000- pemantauan NVR memakai TCP 8000; tentukan protokol/sem possibly port seminimal mungkin (prinsip least privilege).action=dst-nat- ganti alamat tujuan;to-addresses/to-portsmenentukan target internal.
Analogi: rule ini adalah "kartu penunjuk arah" di lobi: pengunjung cukup tahu alamat kantor (IP publik:port), petugas yang mengantar ke ruang sebenarnya.
src-address=IP-kantor jika hanya dipakai dari lokasi tertentu. (3) Aktifkan log=yes pada rule untuk audit. (4) Pasang firewall filter di depan server; dst-nat berarti server Anda kini "terlihat" dari internet.HAIRPIN NAT (NAT LOOPBACK)
Hairpin NAT (NAT loopback / NAT reflection manual) adalah teknik agar client di dalam LAN tetap bisa mengakses server internal melalui IP publik atau domain DDNS yang sama seperti dipakai dari luar. Tanpa hairpin, pengguna yang membuka domain CCTV dari ruang guru justru gagal - padahal dari rumah normal.
Kenapa gagal? Client LAN mengirim paket ke IP publik; router menerjemahkan tujuannya ke server (dst-nat bekerja). Tapi karena client dan server satu subnet, server membalas langsung ke client (tanpa lewat router). Client menerima balasan dari 192.168.10.50, padahal ia menunggu balasan dari IP publik - koneksi dianggap tidak valid, terjadi asymmetric routing.
dst-address-type=local dan rule srcnat loopback (masquerade) untuk trafik LAN-ke-server. Ini solusi yang direkomendasikan forum resmi MikroTik dibanding fitur "NAT reflection" otomatis (default nat reflection=no).- Rule 1 (dstnat hairpin): Chain=dstnat, Dst. Address=103.28.14.10, Protocol=tcp, Dst. Port=8080, In. Interface=bridge-lan, Action=dst-nat, To Addresses=192.168.10.60, To Ports=8080.
- Rule 2 (srcnat hairpin): Chain=srcnat, Src. Address=192.168.10.0/24, Dst. Address=192.168.10.60, Out. Interface=bridge-lan, Action=masquerade.
- Uji dari PC LAN: buka
http://103.28.14.10:8080atau domain DDNS.
Web kantin digital sekolah (192.168.10.60:8080) dipublikasikan lewat DDNS zcome-lab.sn.mynetname.net. Siswa di lab dan guru di rumah sama-sama membuka domain itu - hairpin NAT membuat dua-duanya berhasil.
/ip firewall nat
add chain=dstnat dst-address=103.28.14.10 in-interface=bridge-lan protocol=tcp dst-port=8080 \
action=dst-nat to-addresses=192.168.10.60 to-ports=8080 comment="Hairpin dstnat - web kantin"
add chain=srcnat src-address=192.168.10.0/24 dst-address=192.168.10.60 out-interface=bridge-lan \
action=masquerade comment="Hairpin srcnat loopback"Tujuan Perintah: dua rule yang bekerja berpasangan agar akses "keluar-masuk pintu yang sama" (seperti rambut kembali ke dalam - hairpin) dari LAN ke server internal via IP publik menjadi valid.
dst-address=103.28.14.10+in-interface=bridge-lan(rule 1) - menangkap paket client LAN yang menuju IP publik sendiri, lalu membelokkannya ke server internal.src-address=192.168.10.0/24+dst-address=192.168.10.60+out-interface=bridge-lan(rule 2) - trafik LAN ke server yang diteruskan ini di-masquerade, sehingga server melihat sumber = IP router-LAN, dan membalas melalui router (simetris).action=masqueradepada loopback - catatan koneksi pun menjadi konsisten di connection tracking; ini "kunci" yang sering dilupakan orang.
Analogi: rule 1 = petugas meneruskan surat ke ruang CCTV; rule 2 = petugas juga menuliskan alamat kantor sebagai pengirim agar balasan kembali terarah lewat lobi.
comment yang jelas; gunakan dst-address-type=local sebagai alternatif jika IP publik dinamis agar rule tak perlu diedit saat IP berubah.STATIC NAT / 1:1 NAT
Static NAT (1:1) memetakan satu IP publik penuh ke satu IP privat secara dua arah - semua port, semua protokol. Server internal "seolah-olah" memiliki IP publik sendiri. Dibutuhkan dua rule: dstnat tanpa dst-port (semua trafik masuk) dan srcnat kebalikannya (semua trafik keluar host itu memakai IP publik tersebut).
- Pastikan ISP telah menyewakan/mengalokasikan IP publik tambahan (contoh: subnet /29 milik kantor).
- Rule 1: Chain=dstnat, In. Interface=ether1, Dst. Address=103.28.14.10 (IP publik tambahan), Action=dst-nat, To Addresses=192.168.10.10.
- Rule 2: Chain=srcnat, Src. Address=192.168.10.10, Out. Interface=ether1, Action=src-nat, To Addresses=103.28.14.10.
- Pastikan routing balik ISP mengarah ke router Anda (biasanya otomatis untuk IP statis).
Sekolah menyewa subnet /29 (5 IP publik usable). Satu IP dikhususkan untuk server RADIUS ujian ANBK agar aplikasi pihak ketiga melihat IP yang konsisten dan semua port layanan bisa diakses tanpa per-port forwarding.
/ip firewall nat
add chain=dstnat in-interface=ether1 dst-address=103.28.14.10 \
action=dst-nat to-addresses=192.168.10.10 comment="1:1 NAT - server RADIUS"
add chain=srcnat src-address=192.168.10.10 out-interface=ether1 \
action=src-nat to-addresses=103.28.14.10 comment="1:1 NAT - reverse mapping"Tujuan Perintah: memetakan IP publik 103.28.14.10 secara utuh dua arah ke server internal 192.168.10.10.
chain=dstnattanpadst-port- tanpa filter port, semua trafik menuju IP publik itu dialihkan ke server internal (semua protokol).action=src-nat+to-addresses=103.28.14.10- trafik keluar server memakai IP publik tetap. Berbeda dengan masquerade: alamatnya ditulis eksplisit sehingga router tidak perlu mencari IP interface per koneksi - lebih hemat CPU.- Perhatikan bahwa rule ini tidak memakai out-interface selebar "all" - tetap dipatok ether1 agar tidak bocor ke interface lain.
Analogi: src-nat itu seperti resepsionis yang hafal nomor PO BOX tetap yang disewa ruang tersebut - tidak perlu memeriksa daftar setiap ada surat keluar.
/ip firewall connection tracking print dan pertimbangkan netmap untuk pemetaan rentang IP besar.NAT & KEAMANAN
NAT bukan firewall. NAT menyembunyikan topologi internal dan memblokir koneksi masuk yang tidak punya pemetaan (efek "kebetulan aman"), tetapi ia tidak menyaring konten, tidak memutus koneksi yang dibuka dari dalam (phishing, C2 malware), dan justru directional hole dibuat sendiri oleh rule dstnat Anda.
- Connection tracking adalah mesin di balik NAT: setiap koneksi dicatat (state: new, established, related, invalid) - firewall filter memanfaatkan state ini.
- UPnP (
/ip upnp) bisa membuat rule dstnat dynamic otomatis oleh aplikasi/game di client - lubang keamanan yang sering tak disadari. - Layanan manajemen router (Winbox 8291, SSH 22, API 8728) tidak boleh terjangkau dari interface WAN.
- Nonaktifkan UPnP kecuali benar-benar dibutuhkan.
- Drop state invalid pada chain input dan forward.
- Blokir Winbox/SSH/API dari interface WAN (batasi address layanan ke subnet manajemen).
- Terapkan "default drop" untuk forward dari WAN yang bukan dstnat (chain forward, connection-state=new, in-interface=WAN, dst-nat no).
- Tambahkan
log=yespada rule dstnat penting; audit berkala via/log print. - Perbarui RouterOS v7 secara berkala (security fix resmi MikroTik).
Router warnet dibeli klien, UPnP menyala default, dua PC game membuka dstnat dynamic untuk server lama yang diketahui rentan - pemindaian otomatis dari internet menemukannya dalam hitungan jam. Solusi: matikan UPnP, cek /ip firewall nat print flag D, hapus, dan pasang filter.
/ip upnp set enabled=no
/ip firewall filter
add chain=input connection-state=invalid action=drop comment="Drop invalid - input"
add chain=input in-interface=ether1 protocol=tcp dst-port=8291 action=drop comment="Block Winbox from WAN"Tujuan Perintah: menutup lubang keamanan yang paling sering ditemukan pada router dengan NAT aktif - UPnP terbuka dan layanan manajemen yang terjangkau dari internet.
/ip upnp set enabled=no- mematikan layanan Universal Plug and Play agar tidak ada rule dstnat dynamic yang dibuat otomatis oleh aplikasi client.chain=input- paket yang ditujukan ke router itu sendiri (bukan melewati router); di sinilah layanan router (Winbox, SSH) dilindungi.connection-state=invalid+action=drop- buang paket yang tidak cocok dengan koneksi manapun di connection tracking (biasanya hasil scan/spoof).in-interface=ether1+dst-port=8291- memblokir Winbox dari arah WAN secara spesifik; terapkan pola yang sama untuk SSH (22) dan API (8728).
Analogi: mematikan UPnP = mencabut "kaleng cat" dari tangan penghuni yang suka membobol sendiri dinding; memblokir 8291 dari WAN = hanya menara kontrol (subnet manajemen) yang boleh memasuki ruang satpam.
KANTIN DIGITAL + CCTV SEKOLAH - 1 IP PUBLIK
Skenario: SMK di Pringsewu punya router RB760iGS (RouterOS v7.15). ether1 ke modem ISP (IP publik dinamis via PPPoE), bridge-lan 192.168.10.0/24 untuk lab + kantin. Kebutuhan manajemen:
| No | Kebutuhan | Solusi NAT | Target Perangkat |
|---|---|---|---|
| 1 | Semua HP/PC online (±40 perangkat) | Masquerade (srcnat) | Seluruh LAN |
| 2 | NVR CCTV dimonitor dari rumah | Dstnat port 8000 | 192.168.10.50:8000 |
| 3 | Web kantin diakses via domain dari lab DAN rumah | Dstnat + Hairpin NAT | 192.168.10.60:8080 |
| 4 | Domain tetap meski IP ISP berubah | MikroTik IP Cloud (DDNS) | zcome-lab.sn.mynetname.net |
/ip cloud set ddns-enabled=yes ddns-update-interval=1m
/ip firewall nat
add chain=srcnat out-interface=ether1 action=masquerade comment="SC1: internet LAN"
add chain=dstnat in-interface=ether1 protocol=tcp dst-port=8000 \
action=dst-nat to-addresses=192.168.10.50 to-ports=8000 comment="SC2: NVR remote"
add chain=dstnat dst-address-type=local protocol=tcp dst-port=8080 in-interface=bridge-lan \
action=dst-nat to-addresses=192.168.10.60 to-ports=8080 comment="SC3: hairpin dstnat"
add chain=srcnat src-address=192.168.10.0/24 dst-address=192.168.10.60 out-interface=bridge-lan \
action=masquerade comment="SC3: hairpin srcnat"Tujuan Perintah: satu blok konfigurasi utuh yang menjawab 4 kebutuhan manajemen sekaligus - ini pola paling umum di lapangan jasa networking Indonesia.
ddns-enabled=yes+ddns-update-interval=1m- IP Cloud mendaftarkan hostname *.sn.mynetname.net dan menyinkronnya setiap menit, mengatasi IP publik dinamis PPPoE.dst-address-type=localpada hairpin membuat rule tetap valid meski IP publik berganti (rule tidak menulis IP statis).chain=srcnat ... masquerade- solusi kebutuhan 1: seluruh LAN keluar lewat IP dinamis ether1.chain=dstnat tcp/8000- solusi kebutuhan 2: satu pintu terukur untuk NVR dari internet.- Pasangan hairpin (dstnat + srcnat loopback) - solusi kebutuhan 3: siswa di lab membuka domain yang sama seperti orang rumah.
Analogi: seperti satu resepsionis dengan empat tugas: menulis alamat gedung di surat keluar, meneruskan "lantai 8000" ke ruang CCTV, mengizinkan penghuni lewat PO BOX ke kantin, dan memperbarui alamat PO BOX ke kantor pos setiap kali berpindah gedung.
ping 8.8.8.8; (2) dari hotspot ponsel: buka http://zcome-lab.sn.mynetname.net:8080; (3) /ip firewall connection tracking print brief untuk melihat pemetaan aktif; (4) /log print where message~"dstnat" saat logging diaktifkan.KUIS INTERAKTIF NAT
PG = pilih satu jawaban. PGK = pilih beberapa lalu tekan PERIKSA. T/F = pilih BENAR atau SALAH.
RANGKUMAN & TAKEAWAY MESSAGE
- NAT menerjemahkan alamat IP/port pada header paket dan mencatat koneksi di connection tracking - fondasi berbagi 1 IP publik untuk banyak perangkat.
- 3 blok RFC 1918 (10/8, 172.16/12, 192.168/16) tidak di-route di internet; itulah alasan NAT wajib ada.
- Masquerade untuk IP publik dinamis (otomatis ikut interface keluar); src-nat untuk IP statis (lebih hemat CPU).
- Dstnat/port forwarding membuka pintu terukur ke server internal - pasang filter di depannya.
- Hairpin NAT = pasangan dstnat + srcnat loopback agar akses "domain publik" dari dalam LAN berhasil.
- Static 1:1 NAT memetakan satu IP publik penuh ke satu host internal, dua arah.
GLOSARIUM ISTILAH
| Istilah | Definisi |
|---|---|
| NAT | Network Address Translation - translasi alamat IP (dan port) pada header paket yang melewati router, dicatat di connection tracking (RFC 3022, RFC 2663). |
| Srcnat (SNAT) | Chain RouterOS untuk mengubah alamat sumber paket yang keluar router menuju internet. |
| Dstnat (DNAT) | Chain RouterOS untuk mengubah alamat tujuan paket yang masuk, sebelum routing decision - dasar port forwarding. |
| Masquerade | Action srcnat yang otomatis memakai IP interface keluar; ideal untuk IP publik dinamis (PPPoE/DHCP ISP). |
| Port Forwarding | Teknik meneruskan trafik pada port tertentu dari IP publik ke host internal (contoh: WAN:8000 - NVR:8000). |
| Hairpin NAT | NAT loopback: memungkinkan client LAN mengakses server internal via IP publik/domain, dengan pasangan rule dstnat + srcnat loopback. |
| Static NAT / 1:1 | Pemetaan satu IP publik penuh ke satu IP privat secara dua arah (dst-nat tanpa port + src-nat kebalikannya). |
| NAPT / PAT | Network Address Port Translation - NAT yang juga mentranslasi port sehingga banyak host berbagi 1 IP publik (istilah Cisco: PAT/Overload). |
| RFC 1918 | Standar IETF yang mencadangkan 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 sebagai alamat privat. |
| Connection Tracking | Tabel state koneksi di RouterOS (new/established/related/invalid) - mesin yang membuat NAT & firewall stateful bekerja. |
| UPnP | Layanan yang memperbolehkan aplikasi client membuat rule dstnat dynamic otomatis - risiko keamanan, disarankan dimatikan. |
| DDNS (IP Cloud) | DNS dinamis: hostname tetap (*.sn.mynetname.net) yang mengikuti perubahan IP publik - fitur /ip cloud MikroTik. |
| APIPA / Link-Local | Alamat 169.254.0.0/16 yang dipakai host ketika gagal DHCP - BUKAN alamat RFC 1918. |
| WinBox v4 | Aplikasi manajemen resmi MikroTik (port 8291) versi terbaru berbasis GUI modern untuk mengonfigurasi RouterOS. |
DAFTAR PUSTAKA
| No | Referensi | Jenis |
|---|---|---|
| 1 | Egevang, K. & Francis, P. (1994). RFC 3022 - Traditional IP Network Address Translator (Traditional NAT). IETF. | Standar IETF |
| 2 | Srisuresh, P. & Holdrege, M. (1999). RFC 2663 - IP Network Address Translator (NAT) Terminology and Considerations. IETF. | Standar IETF |
| 3 | Rekhter, Y. dkk. (1996). RFC 1918 - Address Allocation for Private Internets (BCP 5). IETF. | Standar IETF |
| 4 | MikroTik. help.mikrotik.com/docs - Firewall NAT, Packet Flow, IP Cloud, Connection Tracking (RouterOS v7 documentation). | Dokumentasi Vendor |
| 5 | MikroTik. wiki.mikrotik.com - Manual:IP/Firewall/NAT dan contoh konfigurasi hairpin NAT. | Wiki Vendor |
| 6 | Doyle, J. & Carroll, J. (2005). Routing TCP/IP, Volume 1 (2nd Ed.) - Bab NAT. Cisco Press. | Buku |
| 7 | Lammle, T. (2020). CCNA 200-301 Official Cert Guide Set - Bab NAT/PAT. Sybex/Wiley. | Buku |
| 8 | MikroTik Forum (forum.mikrotik.com) - thread NAT reflection & hairpin NAT best practices. | Praktisi/Komunitas |
| 9 | Observasi & pengujian lab internal ZE COME TRAINING CENTER (RouterOS v7.15, RB760iGS, Wireshark) - verifikasi packet flow srcnat/dstnat. | Hasil Pengujian |
/export konfigurasi Anda dan dokumentasi resmi sebagai sumber kebenaran utama.PERTANYAAN REFLEKSI
Jawab secara tertulis di buku catatan, lalu diskusikan berpasangan (think-pair-share):
DEMONSTRASI LAB ROUTEROS v7
| No | Aksi Demonstrasi | Verifikasi yang Diharapkan |
|---|---|---|
| 1 | Cek kondisi awal: /ip address print dan /ip firewall nat print - tunjukkan flag X/I/D. | LAN 192.168.10.0/24 terpasang; belum ada rule srcnat. |
| 2 | Bukti kegagalan: dari PC LAN ping 8.8.8.8 sebelum NAT - paket keluar tanpa sumber publik. | Timeout / tidak ada translasi. |
| 3 | Ketik rule masquerade via terminal; ulangi via WinBox v4 (IP - Firewall - NAT). | ping 8.8.8.8 berhasil; tabel NAT menampilkan rule 0. |
| 4 | Buat dst-nat NVR port 8000; uji dari hotspot ponsel. | Halaman NVR terbuka via IP publik:8000. |
| 5 | Dari PC LAN, buka domain DDNS:8080 - gagal; lalu pasang pasangan hairpin - berhasil. | Simetris setelah srcnat loopback ditambahkan. |
| 6 | Audit keamanan: /ip upnp set enabled=no, block Winbox dari WAN, tunjukkan flag D hilang. | Rule dynamic UPnP tidak muncul lagi; port 8291 dari WAN timeout. |
/ip firewall connection tracking print brief
# amati kolom SRC-ADDRESS vs DST-ADDRESS: terlihat translasi 192.168.10.x -> IP publik
/tool sniffer quick interface=ether1 port=8000
# tangkap paket NVR: sumber tampak sebagai IP publik (masquerade) menuju 192.168.10.50Tujuan Perintah: dua alat bukti untuk melihat NAT "sedang bekerja" secara nyata - bukan sekadar percaya konfigurasi.
print briefpada connection tracking - tabel ringkas semua koneksi aktif; bandingkan alamat asli client dengan alamat publik yang terlihat internet./tool sniffer quick interface=ether1 port=8000- packet sniffer bawaan RouterOS; flaginterfacemenentukan titik pengintip,portmenyaring hanya trafik NVR. Modequickmenampilkan hasil langsung di terminal.
Analogi: connection tracking = buku catatan resepsionis; sniffer = kamera CCTV di pintu depan gedung - keduanya menunjukkan siapa masuk-keluar dan dengan identitas apa.
RANGKUMAN MATERI
- NAT = translasi alamat IP/port pada header paket + pencatatan koneksi. Analogi: resepsionis apartemen.
- RFC 1918 = alamat privat: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16; tidak di-route di internet.
- Srcnat = ubah sumber, arah keluar. Contoh:
chain=srcnat out-interface=ether1 action=masquerade. Analogi: alamat gedung di amplop keluar. - Masquerade = srcnat otomatis ikut IP interface keluar (IP dinamis); src-nat = IP tetap eksplisit (IP statis, hemat CPU).
- Dstnat = ubah tujuan, arah masuk:
chain=dstnat dst-port=8000 action=dst-nat to-addresses=x to-ports=y. Analogi: petugas meneruskan "lantai 8000". - Hairpin NAT = dstnat (LAN - IP publik) + srcnat loopback (LAN - server, out-interface LAN) agar akses domain dari dalam LAN berhasil.
- Static 1:1 = dst-nat tanpa port + src-nat to-addresses publik; satu IP publik penuh untuk satu host.
- Connection tracking = tabel state koneksi; NAT bekerja di atasnya. Cek:
/ip firewall connection tracking print. - NAT bukan firewall. Mitigasi: UPnP off, drop invalid, blokir Winbox 8291 dari WAN, batasi port, logging.
- IP Cloud = DDNS gratis MikroTik:
/ip cloud set ddns-enabled=yes- domain tetap meski IP publik berubah.
QUOTE MOTIVASI
"The Network Is The Computer."
JOHN GAGE - SUN MICROSYSTEMS
- ABDUR ROZAK, S.Kom. - LKP ZERO COMPUTER - ZE COME TRAINING CENTER
SLIDE SELESAI - TERIMA KASIH SUDAH BERFOKUS