SYSTEM MODULE v3.0

KONFIGURASI VLAN MIKROTIK ADVANCED

● SYSTEM ONLINE TARGET: RB941-2nD-TC BUILD 2026.10.14
BAB 00

00 SYSTEM OVERVIEW & TOPOLOGY

Total VLANs
03
Subnet
/24
Architecture
L3 + L2
Gateway Range
192.168.x.1
LIVE TOPOLOGY DIAGRAM

ANIMATED NETWORK MAP

INTERNET ISP Gateway ROUTERCORE [L3] Gateway • DHCP • NAT ether1 = WAN (ISP) ether2 = TRUNK 192.168.10.1 / .20.1 / .30.1 ROUTERDIST [L2] RB941-2nD-TC ether1 = TRUNK IN ether2/3/4 = ACCESS VLAN Filtering ON PC-10 VLAN 10 PC-20 VLAN 20 PC-30 VLAN 30 WAN TRUNK 10,20,30 LEGEND: Trunk (Tagged) Access VLAN 10 Access VLAN 20 Access VLAN 30
DEPLOYMENT PIPELINE

URUTAN KONFIGURASI

01
Reset
Device
02
Setup
Bridge L2
03
VLAN
Mapping
04
Gateway
L3
05
DHCP
Server
06
NAT &
Firewall
07
Testing
& Verify
BAB 01

01 FONDASI TEORI & PACKET FLOW

LIVE DEMO

PERJALANAN PAKET DATA (INGRESS → EGRESS)

PC CLIENT
192.168.10.50
Untagged Frame
RB941
PVID → Tag 10
Tagged VLAN 10
ROUTERCORE
vlan10 / NAT
Public IP (NAT)
INTERNET
8.8.8.8

► Animasi di atas menunjukkan perjalanan frame dari PC → RB941 (PVID menambahkan tag VLAN 10) → RouterCore (proses routing & NAT) → Internet.

DEFINISI

APA ITU VLAN?

Virtual LAN (VLAN) adalah teknik memisahkan satu jaringan fisik menjadi beberapa jaringan logis yang terisolasi. Dalam topologi ini:

  • VLAN 10 → Departemen Manajemen (192.168.10.0/24)
  • VLAN 20 → Departemen Keuangan (192.168.20.0/24)
  • VLAN 30 → Departemen IT / Guest (192.168.30.0/24)

Meskipun semua device terhubung ke kabel yang sama, mereka tidak bisa saling berkomunikasi secara langsung di Layer 2 kecuali diizinkan oleh router (Layer 3).

KAMUS KRITIS

ISTILAH WAJIB PAHAM

TAGGED Frame Ethernet mempertahankan label 802.1Q. Digunakan di Trunk Port antar perangkat jaringan.
UNTAGGED Frame Ethernet dilepas labelnya sebelum keluar port. Digunakan di Access Port ke PC/printer.
PVID Port VLAN ID. "Stempel default" yang ditempelkan switch pada frame tanpa tag yang masuk ke port.
VLAN FILTER Fitur yang memaksa bridge hanya meneruskan frame sesuai aturan. Tanpa ini, VLAN bocor.
ANALOGI SEDERHANA

BAYANGKAN SEBUAH GEDUNG KANTOR

Kabel fisik = lorong gedung. VLAN = ruangan berbeda di dalam gedung yang sama.

  • Access Port (Untagged): Pintu masuk ruangan. Orang (frame) yang masuk langsung dianggap anggota ruangan tersebut (PVID).
  • Trunk Port (Tagged): Lorong bersama yang bisa dilewati orang dari berbagai ruangan, tapi masing-masing memakai badge/lanyard berwarna (VLAN tag) supaya tidak salah masuk ruangan.
  • Router (Layer 3): Resepsionis yang bisa menghubungkan orang antar ruangan kalau diizinkan.
BAB 02

02 PERSIAPAN HARDWARE & RESET

⚠ PERINGATAN KERAS

RESET WAJIB SEBELUM KONFIGURASI

RB941 bawaan pabrik sudah memiliki konfigurasi default (bridge, IP 192.168.88.1, DHCP server, firewall rules) yang akan bertabrakan dengan konfigurasi VLAN Filtering. Kegagalan reset = VLAN BOCOR atau HILANG AKSES.

New Terminal — RB941-2nD-TC
ℹ️ CATATAN: Setelah reset, router akan reboot ~2 menit. Login kembali via MAC Address (bukan IP), karena IP default sudah terhapus.
HARDWARE CHECKLIST

YANG PERLU DISIAPKAN

RouterCore
Min. 5 Port
RB750/RB960/hAP
RouterDist
RB941-2nD-TC
4 Port Ethernet
Kabel UTP
Min. 3 pcs
CAT5e / CAT6
TOPOLOGI FISIK

PETA KABEL & PORT

Perangkat Port Koneksi Ke Peran Status
RouterCore ether1 ISP Modem / ONT WAN Interface WAN
RouterCore ether2 RB941 ether1 Trunk VLAN 10,20,30 TRUNK
RB941 (Dist) ether2 PC / Switch Access Access VLAN 10 VLAN 10
RB941 (Dist) ether3 PC / Switch Access Access VLAN 20 VLAN 20
RB941 (Dist) ether4 PC / Switch Access Access VLAN 30 VLAN 30
BAB 03

03 KONFIGURASI ROUTERDIST (RB941) — LAYER 2

Tujuan: Mengubah RB941 menjadi Managed Layer 2 Switch yang memisahkan traffic berdasarkan VLAN, tanpa melakukan routing.

INTERACTIVE SIMULATOR

LANGKAH KONFIGURASI VIA WINBOX

Klik tombol NEXT untuk melihat setiap langkah konfigurasi di WinBox.

WinBox — RB941-2nD-TC (MAC: 00:00:00:00:00:00)
Interfaces
Bridge
Ports
VLANs
IP Address
System
STEP 1/6

CEK INTERFACES

Pastikan semua port Ethernet terdeteksi dan statusnya RUNNING.

Menu: Interfaces (sidebar kiri)
Verifikasi: ether1, ether2, ether3, ether4 harus ada dan flag R aktif.
STEP 2/6

BUAT BRIDGE + VLAN FILTERING

Membuat "switch virtual" tempat semua port bergabung, dengan keamanan VLAN aktif.

  1. Klik menu Bridge di sidebar kiri.
  2. Klik tombol + (Add New) di pojok kiri atas.
  3. Tab General: Name = bridge-dist
  4. Tab VLAN: WAJIB CENTANG VLAN Filtering = YES
  5. Tab STP: Protocol Mode = none
  6. Klik Apply → OK.
⚠ Kenapa VLAN Filtering WAJIB?
Tanpa ini, bridge akan meneruskan SEMUA traffic ke SEMUA port (seperti hub bodoh). VLAN 10 akan bocor ke VLAN 20 & 30.
STEP 3/6

MASUKKAN PORT KE BRIDGE & SET PVID

Mengubah port fisik menjadi "port switch" dan memberi stempel VLAN default.

  1. Pindah ke tab Ports di jendela Bridge.
  2. Klik + → Interface: ether1, Bridge: bridge-dist → OK.
  3. Ulangi untuk ether2, ether3, ether4.
  4. Atur PVID: Klik 2x ether2 → PVID = 10.
  5. Klik 2x ether3 → PVID = 20.
  6. Klik 2x ether4 → PVID = 30.
  7. Biarkan ether1 PVID = 1 (default).
STEP 4/6

DAFTARKAN ATURAN VLAN (EGRESS RULES)

Memberitahu switch: "VLAN X boleh keluar/masuk melalui port-port ini dengan status tertentu."

VLAN IDTaggedUntaggedPenjelasan
10 ether1 ether2 Trunk ke Core, Access ke PC-10
20 ether1 ether3 Trunk ke Core, Access ke PC-20
30 ether1 ether4 Trunk ke Core, Access ke PC-30
⚠ Verifikasi: Pastikan kolom Port di tabel VLANs TIDAK ada tanda [X]. Jika ada, berarti port lupa dimasukkan ke tab Ports.
STEP 5/6

IP ADDRESS (OPSIONAL - MANAGEMENT)

Jika ingin meremote RB941 dari jaringan VLAN 10 tanpa colok langsung ke ether1:

  1. Menu Interfaces → + → VLAN
  2. Name: vlan10-mgmt, VLAN ID: 10, Interface: bridge-dist
  3. Menu IP → Addresses → +
  4. Address: 192.168.10.2/24, Interface: vlan10-mgmt
  5. Menu IP → Routes → + → Gateway: 192.168.10.1
STEP 6/6

SAVE & BACKUP

RouterDist (RB941) selesai dikonfigurasi. Saatnya backup sebelum lanjut ke RouterCore.

  1. Menu Files → Klik Backup → Beri nama: rb941-vlan-backup
  2. Download file .backup ke PC Anda.
  3. Cabut kabel dari PC, sambungkan ether1 RB941 ke ether2 RouterCore.
  4. Lanjut ke BAB 04 — Konfigurasi RouterCore.
✓ ROUTERDIST SELESAI
Status: Bridge aktif, VLAN filtering ON, PVID terpasang, egress rules terdaftar.
CLI EQUIVALENT

KONFIGURASI YANG SAMA VIA TERMINAL

# 1. Buat bridge dengan VLAN filtering /interface bridge add name=bridge-dist vlan-filtering=yes # 2. Masukkan semua port ke bridge /interface bridge port add bridge=bridge-dist interface=ether1 /interface bridge port add bridge=bridge-dist interface=ether2 /interface bridge port add bridge=bridge-dist interface=ether3 /interface bridge port add bridge=bridge-dist interface=ether4 # 3. Set PVID untuk access port /interface bridge port set [find interface=ether2] pvid=10 /interface bridge port set [find interface=ether3] pvid=20 /interface bridge port set [find interface=ether4] pvid=30 # 4. Daftarkan VLAN (Trunk + Access) /interface bridge vlan add bridge=bridge-dist vlan-ids=10 tagged=ether1 untagged=ether2 /interface bridge vlan add bridge=bridge-dist vlan-ids=20 tagged=ether1 untagged=ether3 /interface bridge vlan add bridge=bridge-dist vlan-ids=30 tagged=ether1 untagged=ether4
BAB 04

04 KONFIGURASI ROUTERCORE — LAYER 3 GATEWAY

Tujuan: Menyediakan IP Gateway, DHCP Server, Routing antar-VLAN, dan akses Internet (NAT).

INTERACTIVE SIMULATOR

LANGKAH KONFIGURASI ROUTERCORE VIA WINBOX

WinBox — RouterCore (Gateway Utama)
Bridge
VLANs
Interfaces
IP Address
DHCP
NAT
Routes
STEP 1/7

BUAT BRIDGE-CORE

  1. Menu Bridge → +
  2. Name: bridge-core
  3. Tab VLAN: Centang VLAN Filtering
  4. Tab Ports → +: Interface ether2, Bridge bridge-core
⚠ JANGAN MASUKKAN ether1!
ether1 adalah port WAN (ISP). Jika dimasukkan ke bridge, router kehilangan koneksi internet.
STEP 2/7 — PALING KRITIS

DAFTARKAN VLAN DI BRIDGE-CORE

Langkah yang paling sering dilupakan. Tanpa ini, DHCP dan ping ke gateway akan gagal total.

  1. Tab VLANs → +
  2. VLAN IDs: 10
  3. Klik ... di Tagged → Centang bridge-core DAN ether2
  4. Untagged: Kosongkan
  5. Ulangi untuk VLAN 20 dan 30
🔑 KENAPA bridge-core HARUS DI-TAGGED?
Interface VLAN (vlan10) adalah "anak" dari bridge-core. Agar bridge mengizinkan trafik VLAN 10 naik ke interface vlan10 untuk diproses (DHCP/IP), bridge itu sendiri harus terdaftar sebagai anggota tagged dari VLAN tersebut. Tanpa ini, trafik akan dibuang (dropped).
STEP 3/7

BUAT INTERFACE VLAN

  1. Menu Interfaces → + → VLAN
  2. Name: vlan10, VLAN ID: 10, Interface: bridge-core
  3. Ulangi: vlan20 (ID 20), vlan30 (ID 30)
STEP 4/7

PASANG IP ADDRESS (GATEWAY)

AddressInterfaceNetwork
192.168.10.1/24vlan10192.168.10.0
192.168.20.1/24vlan20192.168.20.0
192.168.30.1/24vlan30192.168.30.0

Menu: IP → Addresses → +

STEP 5/7

DHCP SERVER (WIZARD)

  1. Menu IP → DHCP Server
  2. Klik DHCP Setup (pojok kanan atas)
  3. Pilih interface vlan10 → Next
  4. Ikuti wizard (Lease Time 3d, Pool otomatis, Gateway 192.168.10.1)
  5. Di halaman DNS, isi: 8.8.8.8, 1.1.1.1
  6. Finish. Ulangi untuk vlan20 dan vlan30
STEP 6/7

NAT MASQUERADE (INTERNET ACCESS)

  1. Menu IP → Firewall → tab NAT
  2. Klik +
  3. Tab General: Chain = srcnat, Out. Interface = ether1
  4. Tab Action: Action = masquerade
  5. Apply → OK
STEP 7/7

VERIFIKASI DEFAULT ROUTE

Pastikan ada default route ke ISP:

  1. Menu IP → Routes
  2. Harus ada: 0.0.0.0/0 via gateway ISP (biasanya otomatis dari DHCP Client)
  3. Jika tidak ada, tambahkan manual: Dst 0.0.0.0/0, Gateway = IP gateway ISP
✓ ROUTERCORE SELESAI
Bridge-core aktif, VLAN terdaftar, IP gateway terpasang, DHCP berjalan, NAT aktif, routing ke ISP tersedia.
BAB 05

05 KONFIGURASI LENGKAP VIA CLI

Untuk power user yang lebih suka terminal. Copy-paste langsung ke New Terminal RouterCore.

ROUTERCORE — FULL SCRIPT

COMPLETE CONFIGURATION SCRIPT

New Terminal — RouterCore
PENJELASAN PER BARIS

breakdown SCRIPT

PerintahFungsiKenapa Penting
/interface bridge add Membuat bridge virtual Wadah untuk menggabungkan port & VLAN
vlan-filtering=yes Mengaktifkan polisi VLAN Mencegah VLAN bocor ke port lain
tagged=bridge-core,ether2 Mendaftarkan bridge & trunk Agar trafik VLAN bisa naik ke interface logis
/interface vlan add Membuat interface logis per VLAN Tempat memasang IP gateway
/ip dhcp-server setup Wizard DHCP otomatis Membuat pool, network, server sekaligus
action=masquerade NAT untuk internet Menerjemahkan IP private ke IP public ISP
BAB 06

06 VERIFIKASI & TESTING PROTOCOL

CHECKLIST RB941 (L2)
  • Bridge → VLANs: Kolom 'Ports' bersih dari tanda [X]
  • Bridge → Ports: PVID = 10 (ether2), 20 (ether3), 30 (ether4)
  • Interfaces: ether1-4 flag R (Running)
CHECKLIST ROUTERCORE (L3)
  • Interfaces: vlan10, vlan20, vlan30 flag R
  • IP → Addresses: 3 IP terpasang pada interface vlanX
  • IP → Routes: Route 0.0.0.0/0 via ether1
  • IP → DHCP → Leases: Status Bound saat PC dicolok
PROSEDUR TES BERJENJANG

LAKUKAN SECARA BERURUTAN — JANGAN LONCAT!

# Layer Perintah / Aksi Hasil Diharapkan Jika Gagal
1 L1 Colok PC ke ether2 RB941 Link Light ON Kabel rusak / port mati
2 L2 ipconfig / ip a IP 192.168.10.x APIPA 169.254.x.x → Cek DHCP
3 L3 ping 192.168.10.1 -t Reply <1ms Timeout → Cek Langkah 4.2
4 L3+ ping 8.8.8.8 -t Reply stabil Unreachable → Cek NAT/Routing
5 APP ping google.com Reply dengan IP Not found → Cek DHCP DNS
PRO TIP

DIAGNOSTIK DENGAN 'TORCH'

Alat paling ampuh untuk melacak di mana trafik macet:

  1. Menu Tools → Torch
  2. Interface: vlan10 (di RouterCore)
  3. Klik Start
  4. Colok PC ke ether2 RB941
  5. Analisis: Jika muncul traffic UDP port 67/68 (DHCP), trafik dari RB941 berhasil sampai. Jika kosong → masalah di RB941 (BAB 03).
BAB 07

07 TROUBLESHOOTING MATRIX

DIAGNOSIS & SOLUSI
Gejala Akar Masalah Tindakan Perbaikan
NO IP
PC tidak dapat DHCP		 1. VLAN Filtering belum aktif
2. PVID salah
3. DHCP belum di-bind ke vlanX		 Cek Bridge → VLAN di RB941. Gunakan Torch di RouterCore interface vlan10. Jika kosong → masalah di RB941.
TIMEOUT
Dapat IP, ping gateway gagal		 Interface VLAN belum dibuat, atau bridge-core tidak di-tagged di VLAN. Edit Bridge → VLANs di RouterCore. Pastikan Tagged = bridge-core, ether2.
NO INTERNET
Ping gateway OK, 8.8.8.8 gagal		 NAT masquerade belum aktif, atau tidak ada default route ke ISP. Cek IP → Firewall → NAT (srcnat, out=ether1, masquerade). Cek IP → Routes (0.0.0.0/0).
DNS FAIL
Ping 8.8.8.8 OK, google.com gagal		 DNS Server tidak diteruskan DHCP ke client. Edit IP → DHCP Server → Networks. Isi DNS Server: 8.8.8.8, 1.1.1.1. Renew IP di PC.
VLAN BOCCOR
VLAN 10 bisa akses VLAN 20 langsung		 VLAN Filtering tidak aktif, atau Untagged port salah setting. Pastikan di RB941, VLAN 10 hanya punya ether2 di Untagged. VLAN 20 hanya ether3.
BONUS

ISOLASI VLAN (INTER-VLAN FIREWALL)

Secara default RouterCore mengizinkan routing antar VLAN. Untuk mengisolasi (hanya bisa internet, tidak bisa saling akses):

# Tambahkan di IP → Firewall → Filter Rules (LETAKKAN DI ATAS) /ip firewall filter add chain=forward src-address=192.168.10.0/24 dst-address=192.168.20.0/24 action=drop comment="Block 10→20" /ip firewall filter add chain=forward src-address=192.168.20.0/24 dst-address=192.168.10.0/24 action=drop comment="Block 20→10" /ip firewall filter add chain=forward src-address=192.168.10.0/24 dst-address=192.168.30.0/24 action=drop comment="Block 10→30" /ip firewall filter add chain=forward src-address=192.168.30.0/24 dst-address=192.168.10.0/24 action=drop comment="Block 30→10"