ABDURROZAK.MY.ID // CYBERSPACE
BEST PRACTICE WORKFLOW: SETUP MIKROTIK DARI NOL
GURU PENGAMPU: ABDUR ROZAK, S.Kom. - SMKS YASMIDA
66 slide interaktif untuk PEMULA: mulai dari "MikroTik itu apa sih?" sampai router siap produksi. Layout grid bervariasi, kotak Tanya Awam, simulator firewall, animasi DHCP DORA & NAT, simulator LED, dan grafik trafik live - semuanya dual mode CLI & WinBox.
IDENTITAS SEKOLAHSLIDE 02
YAYASAN
Yayasan Islam Miftahul Huda (YASMIDA)
SEKOLAH
SMKS YASMIDA - Swasta, NPSN 10814689
AKREDITASI
Peringkat B (BAN-SM)
ALAMAT
Jl. Utama No. 05 Ambarawa, Pringsewu, Lampung, 35376
KOMITMEN SEKOLAH
SMKS YASMIDA berkomitmen mencetak teknisi jaringan yang tidak hanya mampu menghidupkan perangkat, tetapi juga menguncinya dengan benar. Materi ini dirancang ramah pemula: setiap istilah dijelaskan dari nol, setiap langkah punya dua jalur (CLI dan WinBox), dan setiap konsep diberi analogi kehidupan sehari-hari.
RELEVANSI DUNIA KERJA
Kemampuan menyiapkan RouterOS dari nol adalah modal kerja langsung: provider internet lingkungan (RT/RW Net), ISP lokal, kantor pemerintahan, sekolah, hingga kafe membutuhkan teknisi yang paham MikroTik. Sertifikasi MTCNA yang dibahas di slide 12 bahkan bisa dikejar siswa SMK sebelum lulus.
IDENTITAS GURU & SOSIAL MEDIASLIDE 03
ABDUR ROZAK, S.Kom.
Guru Produktif Cyber Security Fundamental - SMKS YASMIDA. Praktisi jaringan dan keamanan; mengajar berbasis lab, CLI, dan studi kasus nyata.
PORTOFOLIO
abdurrozak.my.id - tutorial, tools, dan media ajar digital untuk SMK TKJ.
IDENTITAS MATA PELAJARANSLIDE 04
| KOMPONEN | KETERANGAN |
|---|---|
| Mata Pelajaran | Cyber Security Fundamental |
| Elemen CP | Cyber Security Fundamental (Keamanan Jaringan) |
| Course | Best Practice Workflow: Setup MikroTik dari Nol - dirancang untuk pemula: 28 slide pendahuluan ekosistem + 5 fase praktik konfigurasi dari kondisi pabrik hingga siap produksi |
| Kurikulum | Kurikulum Merdeka |
| Fase / Kelas | F / XI-XII TKJ |
| Alokasi Waktu | 4 JP x 45 menit per pertemuan |
| Prasyarat | Dasar jaringan komputer (IP, subnet, model OSI), familiar CLI, memahami konsep client-server |
| Model | Problem Based Learning (PBL) + Laboratorium CLI |
| Media | Slide interaktif layout grid, dual mode (WinBox v4 + New Terminal), simulator & animasi proses, studi kasus nyata |
CAPAIAN PEMBELAJARANFASE F
CAPAIAN PEMBELAJARAN FASE F
Pada akhir fase F, peserta didik menganalisis (C4) arsitektur dan risiko keamanan jaringan berbasis RouterOS, menerapkan (C3) prosedur konfigurasi perangkat jaringan sesuai standar best practice industri, dan mengevaluasi (C5) keefektifan langkah hardening serta rencana pemulihan (backup dan export) untuk memastikan layanan jaringan berjalan aman, terdokumentasi, dan dapat dipulihkan ketika terjadi insiden.
ARTINYA BAGI KAMU (BAHASA AWAM)
Setelah modul ini, kamu harus mampu: (1) menceritakan apa itu MikroTik, RouterOS, dan RouterBOARD tanpa membaca catatan; (2) mengubah router baru dari kardus menjadi terhubung internet dan aman - lewat CLI maupun WinBox; (3) menjelaskan KENAPA setiap langkah dilakukan, bukan sekadar menghafal kliknya; (4) memulihkan router yang bermasalah dari file backup buatanmu sendiri.
TUJUAN PEMBELAJARANABCD
TUJUAN PEMBELAJARAN (ABCD)
- (C1-C2) Melalui 28 slide pendahuluan dan terminal apersepsi, siswa MENGENALI ekosistem MikroTik (RouterOS, RouterBOARD, CHR, lisensi, WinBox v4, WebFig) beserta fungsinya dengan benar minimal 8 dari 10 soal kuis.
- (C3) Melalui praktik terbimbing di lab (RB941 atau CHR virtual), siswa MENERAPKAN urutan konfigurasi (reset, login MAC, password, identity, NTP, bridge, IP, DHCP, DNS, NAT) lewat CLI dan WinBox hingga client LAN terhubung internet.
- (C4) Melalui simulator firewall, animasi proses DHCP/NAT, dan studi kasus botnet Meris 2018, siswa MENGANALISIS keterkaitan antara langkah hardening yang dilewatkan dengan vektor kompromi yang terjadi.
- (C5) Melalui diskusi kelompok, siswa MENGEVALUASI checklist keamanan router (firewall, services, backup) dan MENGUSULKAN perbaikan SOP lab dengan justifikasi yang logis.
8 DIMENSI PROFIL PELAJARSLIDE 07
BERIMAN
Bertakwa dalam penggunaan teknologi: keahlian jaringan dijalankan sesuai amanah, menjaga data orang lain sebagaimana milik sendiri.
BERKEBINEKAAN GLOBAL
Menghargai standar internasional jaringan: referensi RFC, dokumentasi resmi MikroTik, dan praktik terbaik global.
GOTONG ROYONG
Setup router di lab dilakukan beregu seperti tim NOC: satu mengonfigurasi, satu memverifikasi, satu mencatat.
MANDIRI
Mampu belajar dari dokumentasi RouterOS dan wiki resmi tanpa menunggu diarahkan terus-menerus.
BERNALAR KRITIS
Mendiagnosis kegagalan koneksi dengan metode eliminasi berlapis: fisik, IP, route, NAT, DNS.
KREATIF
Menyusun skema alamat dan topologi rapi untuk kebutuhan jaringan sekolah yang berbeda-beda.
BERETIKA DIGITAL
Patuh regulasi: tidak menyusup jaringan milik orang lain, memahami batas UU ITE dan UU PDP.
SADAR KEAMANAN
Mindset "kunci lebih dulu": password, services, dan firewall diselesaikan sebelum gengsi kecepatan internet.
APERSEPSISLIDE 08
PIKIRKAN INI SEBELUM LANJUT
Perangkat router baru masih tersegel rapi di kardusnya, namun begitu dicolok ke internet ia bisa menjadi bagian botnet dunia dalam hitungan jam. Ingat prasyaratmu: kamu sudah paham IP, subnet, dan model OSI - maka cermatilah paradoks ini: perangkat yang belum dikonfigurasi sekalipun bisa berbahaya, dan konfigurasi yang asal jalan bisa lebih berbahaya daripada tidak dikonfigurasi sama sekali. Lalu: dari nol, langkah mana yang paling menentukan keamanan sebuah router?
TANYA AWAM
"Apa bedanya router, modem, dan WiFi? Sering tertukar nih..."
Modem = penerjemah sinyal ISP jadi jaringan lokal. Router = pengatur lalu lintas antar jaringan (LAN vs internet). WiFi = sekadar cara koneksi TANPA KABEL dari client ke router. Perangkat rumahan biasanya menggabung ketiganya dalam satu kotak - MikroTik adalah router murni yang fiturnya jauh lebih lengkap dan bisa diatur segalanya.
INTRODUCTION: PETA 28 SLIDE PENDAHULUANSLIDE 09
DEFINISI MODUL
Modul pendahuluan ini adalah rangkaian 28 slide fondasi yang wajib dikuasai sebelum menyentuh lima fase praktik konfigurasi. Isinya terbagi empat kelompok besar: memahami organisasi MikroTik beserta sejarah, sertifikasi, produk, dan lisensinya; memahami sistem dan hardware (RouterOS, RouterBOARD, CHR, MikroTik Cloud, LED); menguasai akses dan antarmuka (CLI, interface, port, WinBox v4, WebFig); serta operasional harian (Quick Set, internet, upgrade, packages, user, services, system, backup, tools). Tanpa fondasi ini, lima fase praktik nanti hanya akan menjadi hafalan klik tanpa pemahaman.
ANALOGI KEHIDUPAN
Buku masak profesional selalu membuka dengan bab dasar: mengenal api, mengasah pisau, dan membaca takaran - sebelum satu resep utama pun dipraktikkan. Siswa yang melompat ke resep tanpa bab dasar bisa berhasil sekali, tetapi gagap ketika dapurnya berbeda. Modul ini adalah bab dasarnya; lima fase praktik nanti adalah resep utamanya.
KASUS NYATA (FENOMENA)
MUM - MikroTik User Meeting (rutin, puluhan negara termasuk Jakarta) - konferensi tahunan resmi MikroTik yang mempertemukan operator jaringan, trainer, dan pengembang; sesi teknisnya selalu dibuka dari topik fundamental sebelum lanjut ke fitur lanjutan seperti routing BGP dan MPLS. Analisis: industri profesional menempatkan fondasi sebagai syarat wajib, bukan formalitas.
# Jalankan dua perintah ini - semua istilahnya dibahas di 28 slide ke depan
/system resource print
# menampilkan versi RouterOS, arsitektur CPU, uptime, dan memori
/system package print
# menampilkan paket RouterOS yang terpasang di perangkatBEDAH KODE
Tujuan: mengenali dua perintah diagnostik paling dasar yang isinya akan dipahami penuh setelah 28 slide pendahuluan selesai.
Analogi: "Sebelum masuk bab dasar masak, kita cicipi dulu sausnya - biar tahu ke mana arah belajar ini."
PENGENALAN MIKROTIKSLIDE 10
DEFINISI TEKNIS
MikroTik adalah perusahaan produsen perangkat jaringan asal Latvia, didirikan pada 1996 di Riga dengan nama legal MikroTikls SIA, oleh John Trully dan Arnis Riekstiņš. Produk utamanya adalah router, switch, dan perangkat wireless yang dijalankan oleh sistem operasi buatannya sendiri bernama RouterOS. Kombinasi harga terjangkau dan fitur setara router kelas ISP menjadikan MikroTik sangat populer di kalangan penyedia internet skala kecil-menengah (WISP) hingga lab pendidikan.
Untuk awam: bayangkan MikroTik seperti pabrik sepeda motor yang juga membuat mesinnya sendiri. Pabrik lain biasanya membeli mesin dari pihak ketiga; MikroTik membuat mesin (RouterOS) dan bodi (hardware) sekaligus - sehingga keduanya menyatu sempurna dan bisa dioptimalkan bebas.
ANALOGI KEHIDUPAN
MikroTik dalam dunia jaringan itu seperti warung serba ada di ujung gang: barangnya lengkap dari sembako sampai alat tulis (router, switch, wireless), harganya ramah kantong, dan pemiliknya (komunitas) tahu persis isi warungnya. Bedanya dengan toko premium: di warung ini kamu boleh membongkar resepnya (konfigurasi) sebanyak-banyaknya - dan justru di situlah nilai belajarnya.
TANYA AWAM
"Apakah MikroTik itu nama aplikasi WiFi?"
Bukan. MikroTik adalah nama perusahaan. Produknya berupa perangkat keras (router dsb.) yang dijalankan RouterOS - sistem operasinya. WiFi hanyalah salah satu fitur opsional pada beberapa model; banyak router MikroTik bahkan tidak punya WiFi sama sekali (mis. hEX).
"Kalau begitu, bedanya dengan router WiFi biasa di rumah?"
Router rumahan: menyalakan WiFi lalu selesai, sulit diatur dalam. MikroTik: setiap detail bisa diatur - dari siapa boleh masuk, seberapa cepat tiap pengguna, sampai jadwal blokir situs - karena sistem operasinya memang dirancang untuk dikelola penuh.
# Identitas pabrikan & model board:
/system routerboard print
# Informasi kinerja: CPU, memori, versi RouterOS, uptime
/system resource print
# Serial number perangkat (penting untuk inventaris):
/system license printVIA WINBOX // LIHAT INFO PERANGKAT
- Login WinBox ke router lab.
- Buka System > Routerboard - model board dan revisinya tampil.
- Buka System > Resources - versi RouterOS, arsitektur CPU, RAM, dan uptime tampil sekaligus.
- Bandangkan isinya dengan hasil perintah CLI di samping - datanya sama persis.
BEDAH KODE
Tujuan: membaca kartu identitas perangkat MikroTik: model board, kapasitas, versi OS, dan serial number.
Analogi: "Sebelum meminjam motor tetangga, baca dulu stok tasinya - biar tahu batas kemampuannya."
TIMELINE MIKROTIK 1996-2026SLIDE 11
GARIS WAKTU RESMI
Memahami garis waktu MikroTik membantu menjelaskan dua hal yang sering membingungkan pemula: mengapa tutorial lama di internet memakai RouterOS v6 sementara perangkat baru menjalankan v7, dan mengapa ada dua aplikasi manajemen (WinBox 3 dan WinBox 4) yang beredar bersamaan. Setiap era di bawah ini melahirkan praktik yang masih dipakai sampai sekarang.
ANALOGI KEHIDUPAN
Perjalanan MikroTik mirip riwayat sekolahmu: masuk tahun ajaran tertentu (1996), ganti seragam beberapa kali (RouterOS v1 ke v6 ke v7), dan seragam lama masih dipakai sebagian kakak kelas (perangkat v6 yang belum di-upgrade). Memahami tahun mana "seragam" berubah membuat kamu tidak bingung ketika tutorial lama tampak berbeda dengan perangkatmu.
KASUS NYATA
Meris (2018) - aspek kronologi (aspek berbeda dari slide WinBox): timeline di atas memperlihatkan bahwa patch CVE-2018-14847 sudah tersedia sejak April 2018, tetapi ratusan ribu perangkat terinfeksi pada pertengahan 2018 karena pemiliknya tertinggal di era lama. Analisis: tertinggal satu era versi RouterOS bukan sekadar ketinggalan fitur - ia adalah risiko keamanan yang terukur.
# Versi RouterOS saat ini (v6 atau v7?):
/system resource print
# v7 punya perintah update bawaan untuk cek rilis terbaru:
/system package update check-for-updatesBEDAH KODE
Tujuan: menempatkan perangkat lab pada posisi yang tepat di garis waktu sebelum mengikuti tutorial mana pun.
Analogi: "Sebelum ikut lomba, cek dulu kamu kelas berapa - aturannya beda antar kelas."
SERTIFIKASI MIKROTIKSLIDE 12
DEFINISI TEKNIS
Sertifikasi MikroTik adalah program pengakuan kompetensi resmi yang diselenggarakan melalui pelatihan oleh trainer bersertifikat atau institusi mitra (termasuk program Mikrotik Academy untuk sekolah dan kampus). Ujian diadakan online dan diterbitkan sertifikat resmi MikroTik. Sertifikasi tingkat dasar adalah MTCNA, lalu naik bertingkat sesuai spesialisasi.
Untuk awam: sertifikasi ini seperti Surat Izin Mengemudi dunia jaringan MikroTik - bukti tertulis bahwa kamu memahami aturan dan mampu mengemudikan router dengan aman, yang berlaku di mata perusahaan mana pun di dunia.
PETA SERTIFIKASI
| SERTIFIKAT | NAMA LENGKAP | FOKUS MATERI |
|---|---|---|
| MTCNA | Certified Network Associate | Dasar RouterOS, DHCP, firewall dasar, NAT - pintu masuk semua jalur |
| MTCRE | Certified Routing Engineer | Routing statis, OSPF, tunnel EoIP/GRE/VPN |
| MTCWE | Certified Wireless Engineer | Wireless point-to-point, bridging radio, antenna alignment |
| MTCEWE | Certified Enterprise Wireless Engineer | Wireless enterprise (CAPsMAN, WPA enterprise) |
| MTCSWE | Certified Switch Engineer | Switching managed, VLAN, STP/RSTP |
| MTCSE | Certified Security Engineer | Hardening, firewall advanced, keamanan akses |
| MTCINE | Certified Inter-Networking Engineer | BGP, MPLS - level tertinggi untuk jaringan ISP |
ANALOGI KEHIDUPAN
Sertifikasi MikroTik itu seperti jenjang sabuk pencak silat: sabuk putih (MTCNA) membuktikan kamu bisa gerak dasar dengan benar, lalu sabuk berikutnya menguji spesialisasi - satu orang fokus ke BGP sebagaimana atlet fokus ke kelas tarung. Yang pasti: tanpa sabuk dasar, tidak ada juri yang mau menguji teknik lanjutanmu.
KASUS NYATA (FENOMENA)
Program Mikrotik Academy (berjalan di sekolah dan kampus, termasuk di Indonesia) - institusi pendidikan yang tergabung menjadi Academy resmi dapat menyelenggarakan pelatihan kurikulum MikroTik dengan ujian berdiskon, sehingga siswa SMK TKJ dapat memegang MTCNA bahkan sebelum lulus. Analisis: jalur sekolah-institusi ini membuktikan sertifikasi MikroTik dirancang ramah pemula - sejajar dengan modul yang sedang kamu pelajari ini.
# Contoh topik ujian MTCNA yang sudah/takan kamu pegang:
/ip dhcp-server print
# topik: DHCP server
/ip firewall filter print
# topik: firewall dasar dan NAT
/system ntp client print
# topik: manajemen waktu sistemBEDAH KODE
Tujuan: memperlihatkan bahwa seluruh isi lima fase praktik modul ini sejalan dengan silabus ujian MTCNA.
Analogi: "Latihan soal ujian di kelas memang diambil dari buku yang sama yang akan keluar di ujian."
PRODUK MIKROTIKSLIDE 13
DEFINISI TEKNIS
MikroTik memproduksi perangkat dalam beberapa lini besar yang semuanya dijalankan oleh RouterOS: router (dari SOHO hingga core ISP), switch managed, perangkat wireless point-to-point dan point-to-multipoint, access point indoor, serta produk virtual (CHR). Setiap model diberi kode board (misal RB941) dan nama dagang (misal hAP lite) - memahami keduanya memudahkan membaca datasheet dan belanja perangkat.
Untuk awam: setiap perangkat punya dua nama - kode pabrik (RBxxx, tampil di sistem) dan nama dagang (tampil di kotak/iklan). Seperti motor: punya kode rangka dan nama komersial. Keduanya menunjuk perangkat yang sama.
KLASIFIKASI LINI PRODUK
| KATEGORI | CONTOH MODEL | PENGGUNAAN UMUM |
|---|---|---|
| Router SOHO/Home | hAP lite (RB941), hAP ax2 | Lab sekolah, rumah, kantor kecil |
| Router Ethernet | hEX (RB750Gr3), RB4011 | Gateway kantor, RT/RW Net |
| Router Performa | CCR2004, CCR1036 | Core routing ISP, hotspot massal |
| Switch Managed | CSS610, CRS328 | Agregasi LAN, VLAN, fiber |
| Wireless PTP/PTMP | SXT, LHG, mANT | Backhaul ISP nirkabel, jangkauan jauh |
| Access Point Indoor | cAP ax, wAP | WiFi kantor/sekolah terkelola |
| Virtual | CHR | Lab virtual, cloud VPS |
ANALOGI KEHIDUPAN
Katalog MikroTik seperti garasi dealer motor: ada bebek harian (hAP untuk rumah), ada motor touring bertenaga besar (CCR untuk ISP), ada sepeda motor listrik hemat (CHR yang tanpa bodi fisik sama sekali). Semua memakai mesin yang sama (RouterOS) - yang membedakan hanya bodi dan kapasitasnya. Kamu tidak membeli motor touring untuk antar jemput ke pasar sebelah.
KASUS NYATA (FENOMENA)
Jaringan RT/RW Net di Indonesia (praktik meluas sejak 2000-an) - penyedia internet lingkungan di berbagai daerah lazim membangun jaringannya dengan kombinasi hEX/hAP sebagai router gateway dan SXT/LHG sebagai radio point-to-point antar rumah. Analisis: kombinasi perangkat ini terbukti ekonomis untuk skala lingkungan; pemilihan produk yang tepat jauh lebih menentukan daripada produk termahal.
# Model board + nama dagang produk:
/system routerboard print
# Daftar port ethernet yang tersedia di produk tsb:
/interface ethernet print
# rb941 = hAP lite (5 port Fast Ethernet)BEDAH KODE
Tujuan: menerjemahkan kode board menjadi nama produk dan kapasitas port sebelum menyusun topologi.
Analogi: "Baca spesifikasi motor dulu - kapasitas tangki berapa, gigi berapa - baru rencanakan perjalanan."
LISENSI MIKROTIKSLIDE 14
DEFINISI TEKNIS
RouterOS memakai model lisensi terikat perangkat: setiap RouterBOARD fisik sudah memuat lisensi bawaan (level L3 s.d. L6 tergantung model) yang tidak perlu dibeli ulang. Untuk perangkat virtual (CHR), lisensi dibeli terpisah dan menentukan batas kecepatan antarmuka. Perintah /system license print memperlihatkan status lisensi; lisensi CHR dapat diperbarui gratis setelah satu tahun pada instalasi yang sama.
Untuk awam: perangkat MikroTik fisik itu "beli sekali, semua fitur terbuka" - tidak ada langganan bulanan seperti software lain. Yang berbayar terpisah hanyalah versi virtualnya (CHR), karena di sana "perangkatnya" bisa digandakan kapan saja sehingga perlu dikendalikan lewat lisensi.
LEVEL LISENSI CHR
| LEVEL | BIAYA | BATAS KECEPATAN | KEPERLUAN |
|---|---|---|---|
| Free | Gratis | 1 Mbps per antarmuka | Belajar di VirtualBox/GNS3 |
| P1 | USD 45 (sekali) | 1 Gbps | VPS kecil, router cabang |
| P10 | USD 95 (sekali) | 10 Gbps | Router cloud bertrafik tinggi |
| P-Unlimited | USD 95 (sekali) | Tanpa batas | Core cloud tanpa kompromi |
Catatan: harga dapat berubah - rujuk halaman resmi MikroTik CHR saat pembelian.
ANALOGI KEHIDUPAN
Perangkat fisik itu seperti membeli motor: STNK dan BPKB sudah dipegang sejak di dealer, tidak ada biaya tahunan wajib. CHR itu seperti menyewa garasi: gratisan hanya boleh menyimpan satu kotak (1 Mbps), tapi bayar sekali untuk tier lebih besar dan garasi itu jadi milik penuh - selama kamu tidak pindah-pindah garasi.
KASUS NYATA (IMPLEMENTASI)
CHR di marketplace cloud publik (DigitalOcean, AWS, dan sejenisnya) - MikroTik mendistribusikan image CHR resmi melalui marketplace penyedia cloud sehingga siapa pun bisa menyewa router RouterOS berbayar per jam tanpa membeli hardware. Analisis: model lisensi CHR membuat RouterOS hadir di mana-mana tanpa perangkat fisik - pemahaman lisensi menjadi penting agar deployment cloud tidak bermasalah legal maupun kecepatan.
# Status lisensi perangkat fisik atau CHR:
/system license print
# Untuk CHR: lakukan renewal gratis dari sini setelah 1 tahun
/system license renew
# Demo CHR tanpa lisensi = otomatis mode Free 1 MbpsBEDAH KODE
Tujuan: membaca level lisensi yang dimiliki perangkat sebelum menyalahkan hardware saat kecepatan terbatas.
Analogi: "Motor melambat? Cek dulu motornya matik 110cc atau sport 250cc - jangan langsung bongkar mesin."
ROUTEROSSLIDE 15
DEFINISI TEKNIS
RouterOS adalah sistem operasi jaringan berbasis kernel Linux buatan MikroTik yang mengubah hardware menjadi router penuh fitur: routing (statis, OSPF, BGP), firewall stateful, NAT, bandwidth management (Queue), hotspot, VPN, DNS, DHCP, dan wireless - semuanya dalam satu paket tanpa biaya tambahan. RouterOS berjalan pada beragam arsitektur (MIPS, ARM, Tile, x86) dan saat ini berada pada generasi v7 (stabil sejak Desember 2021).
Untuk awam: kalau laptop punya Windows dan HP punya Android, maka perangkat MikroTik punya RouterOS. Sistem operasi inilah yang "menghidupkan" kotak hitam itu - dan semuanya yang akan kita pelajari di modul ini adalah cara berbicara dengan RouterOS.
ANALOGI KEHIDUPAN
RouterOS seperti dapur warung lengkap: satu dapur yang sama bisa menghasilkan nasi goreng (router gateway), sate bakar (hotspot RT/RW), atau es campur (VPN tunnel) - tergantung resep yang ditulis. Resepnya adalah konfigurasi; koki yang membaca resep adalah RouterBOARD-nya. Karena mesinnya satu, yang menentukan hasilnya adalah siapa yang menulis resep dan seberapa benar urutannya.
KESEMPELAN FITUR UTAMA (PETA DOMEN CLI)
| DOMEN CLI | FUNGSI | CONTOH PAKAI |
|---|---|---|
| /ip | Alamat, route, DHCP, DNS, firewall | Gateway LAN, NAT internet |
| /interface | Port fisik, bridge, VLAN, wireless | Menyatukan port LAN |
| /routing | OSPF, BGP, route table | Peering antar jaringan |
| /queue | Bandwidth management | Membatasi download lab |
| /tool | Diagnostik: ping, torch, netwatch | Troubleshooting harian |
| /system | Identity, NTP, backup, scheduler | Kelola perangkat itu sendiri |
KASUS NYATA
Adopsi RPKI di RouterOS v7.4 (2022) - MikroTik menambahkan validasi RPKI (pembuktian sahnya rute BGP) pada RouterOS v7.4 sebagai respons industri terhadap serangkaian route leak dan hijacking global yang menimpa jaringan besar pada 2018-2019 (termasuk route leak Indosat November 2018 yang diperiksa Oracle Internet Intelligence). Analisis: perkembangan fitur RouterOS mengikuti luka nyata di lapangan - memahami "kenapa fitur itu ada" jauh lebih cepat daripada menghafal menu.
# Struktur CLI RouterOS = hierarki menu (path):
/ip address print
# path /ip lalu submenu address lalu verb print
/interface print
# turun satu level lagi: /interface ethernet print
/quit
# keluar dari terminal - TAB melengkapi, ? menampilkan bantuanBEDAH KODE
Tujuan: membiasakan pola baca perintah RouterOS: PATH - SUBMENU - VERB, kunci memahami seluruh CLI.
Analogi: "Alamat surat selalu berurutan: gang, nomor rumah, nama orang - begitu juga path CLI."
ROUTERBOARDSLIDE 16
DEFINISI TEKNIS
RouterBOARD adalah lini hardware (board) produksi MikroTik tempat RouterOS berjalan - istilah RouterBOARD menunjuk fisiknya, sedangkan RouterOS menunjuk jiwa perangkat lunaknya. Setiap board memakai arsitektur CPU tertentu (SMIPS, MIPSBE, ARM, Tile, x86) dengan kapasitas RAM dan storage berbeda; perangkat sekelas RB941 (hAP lite) memakai SoC SMIPS dengan storage sekitar 16 MB dan RAM 32 MB sesuai datasheet resmi. Kode board (RBxxx) adalah identitas resmi yang tampil di /system routerboard print.
Untuk awam: kalau RouterOS itu aplikasi/game-nya, maka RouterBOARD itu HP-nya. Game yang sama bisa lancar di HP flagship dan patah-patah di HP jadul - karena itu memahami spesifikasi board itu penting sebelum menuntut fitur berat.
ANALOGI KEHIDUPAN
RouterOS adalah jiwa, RouterBOARD adalah tubuhnya - seperti siswa dan tasnya: tas kecil (RB941, 16 MB) hanya sanggup memuat buku wajib, tas besar (RB5009) bisa memuat laptop, botol, dan sepatu futsal sekaligus. Menaruh "buku" (paket fitur) yang sama ke tas yang berbeda-bedanya menentukan apakah resletingnya jebol atau tidak.
CONTOH BOARD & ARSITEKTUR
| BOARD | NAMA DAGANG | ARSITEKTUR | SEGMEN |
|---|---|---|---|
| RB941 | hAP lite | SMIPS | Lab & rumah (bahan modul ini) |
| RB750Gr3 | hEX | MMIPS | Kantor kecil, RT/RW Net |
| RB5009 | RB5009UG+S+IN | ARM64 | Kantor menengah, backbone kecil |
| CCR2216 | Cloud Core Router | ARM | Core ISP |
KASUS NYATA (DATASHEET RESMI)
Batas kapasitas hAP lite / RB941 (16 MB storage, 32 MB RAM menurut datasheet resmi MikroTik) - kapasitas kecil ini membuat board SMIPS kelas entri tidak dapat memuat seluruh paket fitur RouterOS sekaligus dan harus hemat paket. Analisis: angka datasheet bukan hiasan - ia menentukan paket apa yang boleh terpasang, seberapa besar log yang boleh tersimpan, dan sampai versi RouterOS mana board masih didukung.
# Model board, revisi, dan status firmware:
/system routerboard print
# Kapasitas CPU, RAM, storage, dan arsitektur:
/system resource print
# Sisa ruang disk - krusial sebelum upload .npk upgrade
/system resource print detailBEDAH KODE
Tujuan: membaca kapasitas fisik board sebelum memasang paket atau upgrade agar tidak mentok storage.
Analogi: "Timbang isi tas dulu sebelum menambah satu buku lagi - biar resleting tidak jebol."
CHR - CLOUD HOSTED ROUTERSLIDE 17
DEFINISI TEKNIS
CHR (Cloud Hosted Router) adalah RouterOS versi virtual machine: image yang siap dijalankan di hypervisor seperti VirtualBox (VDI), VMware (VMDK), Hyper-V (VHD) atau format raw untuk KVM/QEMU. CHR memakai lisensi tersendiri (Free s.d. P-Unlimited) yang mengatur batas kecepatan antarmuka. Manfaat terbesarnya untuk siswa: lab RouterOS penuh fitur tanpa satu pun perangkat fisik - cukup laptop dan GNS3/EVE-NG.
Untuk awam: CHR itu seperti "MikroTik dalam aplikasi". Kamu tidak memegang kotak fisik - RouterOS berjalan sebagai program di dalam komputermu, lengkap dengan semua fiturnya. Salah konfigurasi sampai router "mati"? Tinggal restart VM, tidak ada yang rusak.
ANALOGI KEHIDUPAN
RouterBOARD fisik itu seperti motor bensin: harus ada bodi, mesin, dan bensin. CHR itu seperti game balap: mesinnya sama persis, traffic-rulenya sama, tapi tanpa satu gram besi - crash? Tinggal reset, tidak ada yang lecet. Untuk belajar, mulai dari game balap justru lebih murah dan lebih berani mencoba.
KASUS NYATA (IMPLEMENTASI)
CHR di marketplace cloud (DigitalOcean, AWS, dan penyedia lain) - image CHR resmi tersedia di marketplace penyedia cloud sehingga penyedia jasa dapat menyewa VPS lalu menjalankannya sebagai router RouterOS penuh dalam hitungan menit. Analisis: CHR mengubah biaya masuk teknologi RouterOS dari harga hardware menjadi harga sewa per jam - itulah alasan lab virtual menjadi standar pembelajaran jaringan modern.
# CHR tanpa lisensi = level "free" (1 Mbps):
/system license print
# Cek NIC virtual yang terdeteksi hypervisor:
/interface print
# CHR juga bisa login via WinBox v4 seperti perangkat fisikBEDAH KODE
Tujuan: memastikan CHR virtual berjalan, terbaca lisensinya, dan kartu jaringannya terdeteksi hypervisor.
Analogi: "Setelah menyalakan game balap, cek dulu roda kemudi terpasang - baru injak gas."
MIKROTIK CLOUD ROUTERSLIDE 18
DEFINISI TEKNIS
MikroTik Cloud (cloud.mikrotik.com) adalah layanan resmi MikroTik yang menyediakan hosting CHR - menjalankan RouterOS virtual di infrastruktur MikroTik dengan tagihan fleksibel - serta kemampuan manajemen/monitoring perangkat terdaftar. Berbeda dengan CHR di VPS pihak ketiga, di sini penyedia infrastruktur dan pembuat RouterOS adalah pihak yang sama; akses ke instance tetap penuh melalui WinBox/WebFig/SSH seperti router biasa.
Untuk awam: jika CHR di VirtualBox itu "router di mejamu", maka MikroTik Cloud adalah "router yang disewakan di gedung resmi MikroTik sendiri" - bisa diakses dari mana saja tanpa menyalakan komputer di rumah.
ANALOGI KEHIDUPAN
Menjalankan CHR di VPS pihak ketiga itu seperti membuka cabang warung di ruko milik orang lain - lancar, tapi ada perantara. MikroTik Cloud itu seperti membuka cabang di ruko milik perusahaan warung itu sendiri: jika masakan (RouterOS) bermasalah, tukang dandang tinggal satu gedung dengan pemiliknya - koordinasi perbaikan jauh lebih langsung.
KASUS NYATA (FENOMENA)
Peluncuran layanan hosting MikroTik Cloud (2023) - MikroTik mengumumkan layanan hosting resmi cloud.mikrotik.com sebagai tempat menjalankan CHR dengan pembayaran terukur, melengkapi jalur CHR di marketplace pihak ketiga yang telah lama tersedia. Analisis: kehadiran platform resmi menegaskan arah industri - router tidak lagi selalu kotak fisik di rak, tetapi juga layanan yang bisa dihidupkan dari browser.
# Router cloud diakses persis router fisik (contoh via SSH):
ssh [email protected]
# Setelah masuk, seluruh CLI RouterOS tersedia:
/system resource print
# Sertakan IP cloud router dalam dokumen akses tim, JANGAN publikBEDAH KODE
Tujuan: menegaskan bahwa manajemen router cloud memakai jalur akses yang sama dengan router fisik - hanya lokasinya yang berbeda.
Analogi: "Cabang di ruko milik sendiri tetap dijaga kasir yang sama - yang beda hanya alamat gedungnya."
ARTI INDIKATOR LED MIKROTIKSLIDE 19
DEFINISI TEKNIS
Lampu LED pada bodi MikroTik adalah bahasa isyarat fisik keadaan perangkat: indikator umum antara lain PWR (daya masuk normal saat menyala tetap), ACT (aktivitas CPU; berkedip cepat saat booting dan pola khusus saat tombol reset ditahan), ETH (aktivitas trafik port ethernet pada hAP lite), USR (lampu yang perilakunya bisa diatur admin lewat /system led), serta LED khusus seperti WPS dan CAPS (status CAPsMAN) pada perangkat wireless.
ANALOGI KEHIDUPAN
LED perangkat itu seperti lampu indikator dashboard motor: lampu bensin menyala tetap artinya tinggal segelintir liter (PWR), jarum RPM naik-turun artinya mesin bekerja (ACT), dan sein berkedip berarti kamu memang sedang belok (ETH). Mekanik andal membaca dashboard sebelum membuka kap mesin - begitu pula teknisi jaringan membaca LED sebelum menyambung laptop.
DAFTAR LED & ARTINYA
| LED | PERILAKU | MAKNA |
|---|---|---|
| PWR | Menyala tetap | Daya masuk dan board hidup |
| ACT | Berkedip cepat saat boot | Sistem sedang memuat RouterOS |
| ACT | Berkedip saat tombol RESET ditahan | Perangkat siap reset/netinstall |
| ETH | Berkedip mengikuti trafik | Port ethernet lalu-lalang data |
| USR | Teratur konfigurasi admin | Indikator khusus (misal trafik WAN) |
| CAPS | Menyala saat managed | Access point dikelola CAPsMAN |
SIMULASI INTERAKTIF: PILIH MODE LED
Pilih mode di atas - lampu meniru perilaku nyata LED perangkat MikroTik.
KASUS NYATA (PROSEDUR RESMI)
Pola LED ACT saat prosedur reset/netinstall (dokumentasi resmi MikroTik) - menahan tombol reset saat daya disambung membuat LED ACT berkedip cepat sebagai konfirmasi perangkat siap reset; prosedur ini menjadi tulang punggung pemulihan perangkat di lapangan tanpa monitor. Analisis: LED bukan hiasan - ia adalah mekanisme recovery resmi; teknisi yang paham isyaratnya dapat memulihkan router di tempat pelanggan tanpa membawa laptop sama sekali.
# Daftar aturan LED yang aktif:
/system led print
# Contoh: LED usr menyala saat WAN ada trafik (sesuai dukungan board)
/system led add leds=usr type=interface-traffic interface=WAN
# Padamkan seluruh LED saat jam istirahat (mode senyap):
/system led setting set all-leds=offBEDAH KODE
Tujuan: melatih mata membaca pola kedip LED sebelum bertemu perangkat fisik - mode reset ditahan adalah pola yang akan kamu pakai di Fase 1.
Analogi: "Latihan membaca dashboard motor sebelum kelas praktik berkendara - matamu sudah terlatih mengenali isyarat."
COMMAND LINE INTERFACE (CLI) MIKROTIKSLIDE 20
DEFINISI TEKNIS
CLI RouterOS (dibuka lewat menu New Terminal WinBox, SSH, atau console fisik) adalah antarmuka berbasis teks berbentuk hierarki path: perintah selalu berpola PATH-SUBMENU-VERB (contoh: /ip address print). Fitur produktivitasnya melimpah: TAB melengkapi perintah, tanda ? menampilkan bantuan kontekstual, perintah boleh disingkat selama tidak ambigu, ../ naik satu level, serta safe mode (Ctrl+X) yang otomatis membatalkan seluruh perubahan jika admin terputus di tengah sesi.
ANALOGI KEHIDUPAN
WinBox itu seperti memesan makanan lewat katalog bergambar - mudah untuk pemula. CLI itu seperti langsung bicara ke juru masak: "nasi goreng, telur, tanpa bawang" - lebih cepat, lebih presisi, dan bisa minta kombinasi yang tidak ada di katalog. Kelak, saat mengelola puluhan router, kamu akan menulis "pesanan" itu dalam bentuk skrip yang dikirim serentak - katalog bergambar tidak bisa melakukan itu.
TANYA AWAM
"Kalau sudah ada WinBox yang klik-klik, buat apa repot belajar CLI?"
Tiga alasan kuat: (1) Kecepatan - satu baris CLI menggantikan sepuluh klik. (2) Otomasi - ratusan perangkat tidak bisa dikonfigurasi satu per satu dengan mouse; skrip CLI bisa. (3) Diagnosis - saat sistem bermasalah parah, yang tersisa hampir selalu CLI/konsol, bukan GUI. Teknisi hebat menguasai keduanya; yang hanya pegang klik akan mentok di dunia kerja nyata.
# Sambungan terputus saat mengedit? Selamatkan sesi dengan Safe Mode:
# tekan Ctrl+X -> judul berubah [SAFE] -> semua perubahan dicatat aman
# Kalau koneksi putus, RouterOS otomatis membatalkan perubahan
# Keluar normal dari safe mode: Ctrl+X lagi lalu konfirmasi
/quit
# Jangan lupa: /undo membatalkan perintah terakhirVIA WINBOX // MEMBUKA CLI
- Klik menu New Terminal pada kolom menu kiri WinBox.
- Terminal RouterOS terbuka di jendela baru - prompt menampilkan identity router.
- Coba ketik /system resource print lalu Enter - inilah CLI kamu hari ini.
BEDAH KODE
Tujuan: mengamankan sesi editing dengan safe mode sehingga salah konfigurasi tidak membuat admin terkunci.
Analogi: "Pakai tali pengaman sebelum ganti baut di bawah mobil - kalau jalur putus, kamu tidak jatuh."
INTERFACE MIKROTIKSLIDE 21
DEFINISI TEKNIS
Interface adalah setiap "pintu" lalu lintas jaringan yang dikenal RouterOS - bukan hanya port fisik: ada ethernet (port LAN/WAN), bridge (gabungan switch virtual), vlan, wlan (wireless), pppoe-client, loopback, sampai veth (untuk Container di v7). Daftar lengkapnya dilihat lewat /interface print; tiap baris memuat flag status: R = running, X = disabled, D = dynamic, S = slave (anggota bridge).
Untuk awam: bayangkan router sebagai gedung - interface adalah daftar semua pintu dan lorongnya, baik yang bisa dilihat (port fisik) maupun yang tak kasatmata (jaringan virtual). Semua konfigurasi nanti selalu "keluar-masuk lewat pintu tertentu", maka mengenali pintu-pintu ini adalah bekal wajib.
ANALOGI KEHIDUPAN
Interface itu seperti daftar pintu dan lorong sebuah sekolah: pintu gerbang depan (ether/WAN), pintu kantin (bridge LAN), lorong khusus kelas unggulan (VLAN), dan lorong rahasia guru (loopback). Ada pintu yang terkunci (disabled), ada yang buka hanya saat jam tertentu (dynamic) - dan warga sekolah yang paham peta pintu tidak pernah salah masuk lorong.
KASUS NYATA (FENOMENA)
Praktik pemisahan VLAN manajemen vs pelanggan pada WISP (implementasi luas industri) - operator jaringan secara umum mengisolasi perangkat manajemen pada VLAN terpisah dari trafik pelanggan lewat interface vlan di RouterOS, sebagaimana dianjurkan praktik hardening standar. Analisis: interface bukan sekadar daftar port - ia adalah alat arsitektur; satu perangkat fisik bisa memainkan banyak peran logis, dan pemisahan itu pula yang memangkas gerak lateral penyerang.
# Daftar semua interface + flag status (R/X/D/S):
/interface print
# Statistik trafik TX/RX tiap interface:
/interface print stats
# Pantau trafik satu interface secara live:
/interface monitor-traffic WAN once
# Nonaktifkan interface (perhatian: bisa memutus akses!)
/interface disable WANBEDAH KODE
Tujuan: membaca flag status interface dan memantau trafiknya sebelum menyalahkan kabel atau konfigurasi.
Analogi: "Sebelum curiga lorong macet, cek dulu pintunya terkunci atau lalu-lalang saja padat."
MENGENAL PORT ETHERNET MIKROTIKSLIDE 22
DEFINISI TEKNIS
Port ethernet adalah antarmuka fisik tembaga RJ45 pada RouterBOARD, dinomori generik (ether1, ether2, dst.). Setiap port punya kapasitas kecepatan sendiri: 10/100 Mbps (Fast Ethernet) pada board entri seperti hAP lite, atau 10/100/1000 Mbps (Gigabit) pada kelas hEX dan di atasnya. RouterOS bernegosiasi otomatis dengan perangkat lawan (auto-negotiation) dan mendukung auto MDI/X sehingga kabel crossover lama tidak diperlukan; kecepatan dapat dikunci manual bila dibutuhkan.
Untuk awam: port ethernet itu lubang tempat kabel LAN dicolok. Angka 100 atau 1000 di datasheet adalah "lebar jalan" maksimal per port - dan kabel internet secepat apa pun tidak bisa melewatinya lebih dari lebar itu.
ANALOGI KEHIDUPAN
Port ethernet itu seperti lebar pintu gerbang kompleks: ada gerbang lebar dua mobil (Gigabit), ada gerbang kecil satu sepeda motor (Fast Ethernet 100 Mbps). Biar mobil balap kamu seberapa kencang, kalau keluarnya lewat gerbang motor - antrian di belakang pintu itulah yang jadi hambatan. Kecepatan internet tidak bisa melampaui lebar pintu terkecil di jalurnya.
KASUS NYATA (DATASHEET RESMI)
hAP lite / RB941: 5 port 10/100 Mbps (Fast Ethernet) menurut datasheet resmi - perangkat lab utama modul ini memang dibatasi 100 Mbps per port, meski kadang dipakai di koneksi internet yang lebih besar. Analisis: keluhan "internet lambat di lab" yang sebenarnya berasal dari hambatan perangkat Fast Ethernet adalah salah satu temuan troubleshooting paling klasik - verifikasi spesifikasi port adalah langkah diagnosis awal, bukan langkah pamungkas.
# Daftar port + kecepatan negosiasi (speed & link-partner):
/interface ethernet print
# Detail negosiasi satu port secara real:
/interface ethernet monitor ether1 once
# Matikan auto-negosiasi & kunci 100Mbps full-duplex (hanya bila perlu)
/interface ethernet set ether2 auto-negotiation=no speed=100Mbps \
full-duplex=yesBEDAH KODE
Tujuan: membaca hasil negosiasi kecepatan port sebagai bukti fisik sebelum mendiagnosis keluhan lambat.
Analogi: "Ukur lebar gerbang dulu sebelum menyalahkan jalanan - mobil balap tetap antre di gerbang motor."
BERBAGAI CARA MENGAKSES MIKROTIKSLIDE 23
DEFINISI TEKNIS
RouterOS menyediakan tujuh jalur akses manajemen yang masing-masing punya kekuatan dan risiko berbeda: WinBox (TCP 8291 atau Layer-2 MAC), WebFig (HTTP 80 / HTTPS 443), SSH (TCP 22, CLI terenkripsi), Telnet (TCP 23, plaintext - hindari), MAC-Telnet (Layer 2, tanpa IP), API/API-SSL (TCP 8728/8729 untuk otomasi), dan serial console (kabel fisik, hidup bahkan saat jaringan mati). Prinsipnya satu: jalur akses adalah pintu - buka secukupnya.
Untuk awam: "mengakses" artinya duduk di depan router secara maya untuk mengaturnya - seperti remote TV, tapi untuk router. Ada banyak "remote" berbeda untuk router yang sama; kita akan memilih yang aman dan mematikan yang berbahaya.
PETA JALUR AKSES
| METODE | JALUR | KEKUATAN | RISIKO / CATATAN |
|---|---|---|---|
| WinBox | TCP 8291 / MAC | GUI penuh, bisa via MAC | Wajib dibatasi ke LAN |
| WebFig | 80 / 443 | Tanpa install aplikasi | Pakai www-ssl bila jarak jauh |
| SSH | TCP 22 | CLI aman terenkripsi | Nonaktifkan password lemah |
| Telnet | TCP 23 | Ringan | Plaintext - wajib dimatikan |
| Serial | Kabel console | Hidup tanpa jaringan | Butuh akses fisik |
| API | 8728/8729 | Otomasi/monitoring | Matikan bila tak dipakai |
ANALOGI KEHIDUPAN
Setiap metode akses itu seperti jenis kunci masuk rumah: kunci utama di dompet (WinBox), kunci cadangan di bawah pot (WebFig), kunci master di lemari abah (serial console). Yang bahaya bukan banyaknya kunci, tetapi kunci yang diketuk di pintu depan untuk semua orang (Telnet terbuka ke WAN) - mudah ditiru, dan pemilik rumah paling akhir yang tahu.
KASUS NYATA
Mirai (2016) - aspek jalur akses telnet (aspek berbeda dari slide Disable Services): botnet menyebar dengan memindai jutaan perangkat yang pintu telnet-nya terbuka memakai tabel kredensial default, mengumpulkan sekitar 600 ribu node lalu melumpuhkan penyedia DNS Dyn pada 21 Oktober 2016. Analisis: kebijakan jalur akses menentukan nasib perangkat - satu pintu plaintext yang lupa ditutup cukup untuk merekrutmu ke botnet.
# Dari laptop Linux/Windows, masuk lewat SSH:
ssh [email protected]
# Verifikasi sesi yang sedang login ke router:
/user active print
# Praktik: tutup jalur telnet agar worm tidak berburu di sana
/ip service disable telnetBEDAH KODE
Tujuan: memakai jalur akses terenkripsi (SSH) sambil memantau siapa yang login dan menutup pintu plaintext.
Analogi: "Masuk lewat pintu yang terkunci rapi - dan sekaligus gembok pintu yang ketukannya nempel di pagar."
MENGENAL WINBOX V4SLIDE 24
DEFINISI TEKNIS
WinBox 4 adalah generasi baru aplikasi manajemen grafis RouterOS yang ditulis ulang dari nol dengan bahasa Rust oleh MikroTik, sebagai penerus WinBox 3. Perubahan terbesar: tersedia build native untuk Windows, macOS, dan Linux (tidak lagi Windows-only), antarmuka direstorasi dengan tema modern termasuk mode gelap, dan saved session yang membuat daftar router tersimpan rapi. Meski demikian, WinBox 3 masih didukung dan seluruh konsep menu-nya identik - yang berubah adalah kulitnya, bukan kerangkanya.
Untuk awam: WinBox itu "aplikasi remote resmi" dari MikroTik - satu jendela di laptopmu yang menampilkan seluruh isi router. Kalau RouterOS adalah sistem operasinya, WinBox adalah cara paling nyaman untuk melihat dan mengaturnya tanpa mengetik.
ANALOGI KEHIDUPAN
WinBox 3 ke WinBox 4 itu seperti warung yang direnovasi: rasa nasi gorengnya tidak berubah (fitur dan menu sama), tapi sekarang piringnya seragam, lampunya terang (mode gelap opsional), dan bukan cuma buka di kios depan - cabang baru buka di Windows, Mac, dan Linux sekaligus. Pelanggan lama tidak perlu belajar ulang memesan; cukup mengenali meja baru.
KASUS NYATA (FENOMENA)
Praktik admin lintas sistem operasi sebelum WinBox 4 - sepanjang era WinBox 3 (Windows-only), pengguna Linux dan macOS harus menjalankan WinBox lewat lapisan kompatibilitas seperti Wine, sebagaimana banyak dibahas komunitas; WinBox 4 menuntaskan masalah itu dengan build native resmi. Analisis: alat manajemen yang tersedia di semua laptop (termasuk laptop murid Mac/Linux) adalah alasan tepat kurikulum modern beralih ke WinBox 4.
# WinBox v4 memakai protokol yang sama dengan WinBox 3:
# TCP 8291 (via IP) atau MAC-Winbox (via Layer 2)
# Verifikasi layanan winbox aktif:
/ip service print
# WinBox 3 dan 4 boleh terpasang berdampingan di satu laptopBEDAH KODE
Tujuan: memastikan layanan winbox pada router aktif sehingga aplikasi baru maupun lama sama-sama bisa masuk.
Analogi: "Warung direnovasi tapi resep dan pintu masuknya tetap - pelanggan lama dan baru sama-sama dilayani."
AKSES MIKROTIK DENGAN WINBOX V4SLIDE 25
DEFINISI PROSEDUR
Login pertama lewat WinBox 4 mengikuti logika yang sama dengan versi lama: temukan perangkat di tab Neighbors, pilih jalur koneksi (MAC saat IP belum ada, atau IP setelah IP terpasang), isi kredensial, lalu terhubung. Proses ini adalah gerbang wajib sebelum semua fase praktik modul ini - sehingga langkahnya wajib lancar dilakukan buta. Untuk awam: tab Neighbors itu seperti daftar hadir otomatis - aplikasi memindai jaringan dan menampilkan semua router MikroTik yang terlihat, lengkap dengan "wajah" (MAC) dan "nama" (identity)-nya.
# Jika IP sudah ada, SSH adalah jalur cadangan:
ssh [email protected]
# Verifikasi layanan manajemen aktif agar WinBox bisa masuk:
/ip service print
# Pastikan MAC-Winbox diperbolehkan pada LAN (untuk login pertama):
/tool mac-server mac-winbox printVIA WINBOX V4 // LANGKAH LOGIN
- Unduh WinBox 4 dari mikrotik.com/download dan jalankan sesuai OS laptopmu.
- Buka tab Neighbors - perangkat RB941 tampil dengan MAC dan identity-nya.
- Klik baris perangkat (atau ketik MAC/IP pada kolom Connect To).
- Isi Login dan Password, aktifkan opsi ingat sesi bila perlu, klik Connect.
- Verifikasi: header WinBox menampilkan identity router dan jalur koneksi (MAC/IP) yang dipakai.
- Selamatkan sesi: WinBox 4 menyimpan router ke daftar - login berikutnya cukup satu klik.
BEDAH KODE
Tujuan: menuntaskan login pertama lewat jalur MAC dan menyiapkan jalur cadangan bila GUI macet.
Analogi: "Hafalkan pintu depan dan pintu samping rumahmu - kapan pun salah satunya macet, kamu tetap masuk."
AKSES MIKROTIK DENGAN WEBFIGSLIDE 26
DEFINISI TEKNIS
WebFig adalah antarmuka grafis RouterOS yang berjalan di browser - cukup arahkan ke http://[IP-router] memakai layanan www (TCP 80) atau lebih aman lewat www-ssl (TCP 443) dengan sertifikat. Struktur menunya identik dengan WinBox sehingga bisa menjadi alat cadangan tanpa instalasi aplikasi. Karena berbasis web, aksesnya rawan diekspos kelupaan - prinsip pembatasan LAN tetap berlaku.
Untuk awam: WebFig itu "WinBox versi browser" - cukup punya browser di HP atau komputer apa pun, ketik alamat IP router, dan muncul panel kontrol yang mirip. Sangat praktis untuk cek cepat dari HP, asal diamankan dengan HTTPS dan dibatasi ke jaringan lokal.
ANALOGI KEHIDUPAN
WinBox itu aplikasi khusus aplikator kondangan; WebFig itu salon biasa di pinggir jalan - hasilnya sama-sama merapikan, tapi aksesnya lebih terbuka. Karena terbuka, pintunya wajib ada penjaganya (HTTPS + batas LAN); jangan sampai salon pinggir jalan ini malah dibukakan pintu ke alun-alun kota (WAN).
KASUS NYATA
Insiden Verkada (Maret 2021) - aspek layanan manajemen terekspos: peretas mengambil alih sekitar 150 ribu kamera keamanan setelah menemukan kredensial akun superadmin pada server yang dapat diakses dari internet (dilaporkan Bloomberg). Analisis: layanan web manajemen yang memakai akun berkuasa dan terbuka dari internet adalah resep insiden lintas vendor - pelajarannya identik untuk WebFig: batasi aksesnya ke LAN dan tidak pernah memakai akun superadmin untuk hal remeh.
# Buat sertifikat lokal & pasang ke layanan www-ssl:
/certificate add name=local-ca common-name=router-lab
/certificate sign local-ca
/ip service set www-ssl certificate=local-ca disabled=no
# Matikan www plaintext agar akses web hanya lewat HTTPS:
/ip service disable www
# Verifikasi: buka https://192.168.10.1 dari browser LANVIA WINBOX // AKTIFKAN WEBFIG AMAN
- Buka IP > Services, double-click www-ssl.
- Pada Certificate pilih sertifikat yang tersedia (atau buat via Certificate menu), klik OK.
- Pastikan kolom Available From berisi subnet LAN (192.168.10.0/24), klik OK.
- Nonaktifkan layanan www (tombol X) agar tidak ada pintu HTTP plaintext.
- Dari browser client: buka https://192.168.10.1, terima peringatan sertifikat lokal, login - WebFig siap.
BEDAH KODE
Tujuan: menyediakan akses browser yang terenkripsi HTTPS tanpa membuka pintu plaintext ke mana pun.
Analogi: "Salon pinggir jalan boleh buka, tapi pintunya kaca buram dan kasirnya tidak menunggui di trotoar."
QUICK SET MIKROTIKSLIDE 27
DEFINISI TEKNIS
Quick Set adalah wizard satu halaman di WinBox/WebFig untuk menyusun konfigurasi dasar dalam menit: memilih mode perangkat (CPE, AP Bridge, Home AP, dan variasinya), mengatur WAN (DHCP/Static/PPPoE), menamai WiFi beserta password WPA2, dan menetapkan IP LAN - semuanya lewat satu tombol Apply. Ia menulis konfigurasi di belakang layar dengan aturan template-nya sendiri; karena itu praktik terbaik: Quick Set untuk bootstrapping cepat, konfigurasi manual untuk kontrol penuh.
Untuk awam: Quick Set itu "mode gampang" - seperti menu pengaturan awal HP baru: isi beberapa kolom, tekan satu tombol, router langsung jalan. Nyaman untuk mulai, tetapi profesional tetap harus paham apa yang ditulisnya di belakang layar.
ANALOGI KEHIDUPAN
Quick Set itu seperti pesan paket hemat di warung makan: sekali pilih, nasi-ayam-sambal-teh langsung datang rapi. Enak untuk kenyang cepat - tetapi kalau kamu juru masak, kamu tetap harus tahu memasak sendiri: mana garam, mana cabe, dan berapa menit ayam diangkat. Paket hemat untuk hari sibuk; dapur sendiri untuk jadi profesional.
KASUS NYATA (FENOMENA)
Deploy cepat jaringan lingkungan RT/RW Net (praktik meluas di Indonesia) - teknisi lapangan lazim menyiapkan router perumahan baru lewat wizard (Quick Set/mode CPE) agar pelanggan terhubung dalam menit, lalu menyempurnakan keamanan secara manual setelahnya. Analisis: pola "wizard dulu, hardening kemudian" sah untuk kecepatan layanan - asalkan tahap kedua benar-benar dijalankan, bukan berhenti di wizard.
# Setelah Apply di Quick Set, buktikan jejaknya di CLI:
/export
# lihat: /ip dhcp-client, /ip firewall nat masquerade, wireless ssid
# Bila hasil wizard tak sesuai keinginan, perbaiki manual per bagianVIA WINBOX // MENGUNAKAN QUICK SET
- Login WinBox/WebFig - klik tab QuickSet di kolom kiri atas.
- Pilih mode sesuai peran perangkat (mis. Home AP untuk lab WiFi).
- Isi bagian WiFi: Network Name (SSID) dan Password WPA2 minimal 12 karakter.
- Isi bagian Internet (WAN) sesuai jenis koneksi lab: DHCP / Static / PPPoE.
- Periksa bagian Local Network: IP router dan range DHCP LAN.
- Klik Apply Changes; verifikasi hasil dengan membuka New Terminal lalu jalankan /export.
BEDAH KODE
Tujuan: memperlihatkan jejak nyata yang ditulis wizard ke konfigurasi agar siswa tidak menganggap Quick Set sebagai kotak ajaib.
Analogi: "Paket hemat itu tetap masakan orang - bongkar resepnya sekali, kamu bisa masak sendiri selamanya."
KONEKSIKAN MIKROTIK KE INTERNETSLIDE 28
DEFINISI TEKNIS
Menghubungkan RouterOS ke internet berarti menyiapkan jalur WAN sesuai tipe layanan penyedia: DHCP Client (modem mode router, IP otomatis), IP statis (parameter tetap dari ISP), atau PPPoE (login username/password - paling umum pada layanan fiber rumahan di Indonesia). Setelah WAN hidup, pasangan wajibnya adalah DNS dan NAT masquerade agar seluruh LAN bisa keluar - rangkaian lengkapnya dipraktikkan di Fase 3 modul ini.
Untuk awam: WAN adalah "pintu keluar router ke dunia luar". Cara membuka pintunya tergantung "kunci" yang diberikan ISP: ada yang otomatis (DHCP), ada yang alamatnya tetap (statis), ada yang harus login dulu (PPPoE).
ANALOGI KEHIDUPAN
Tiga tipe WAN itu seperti tiga cara menyewa kontrakan: tipe DHCP itu "tinggal tanda tangan, kamar dan kuncinya diatur pengurus"; tipe statis itu "alamat tetap tertulis di kontrak"; dan tipe PPPoE itu "kamu punya kartu anggota dengan username-password sendiri" - pintu terbuka hanya selama kartu login. Kenali jenis kartu yang diberikan ISP-mu, maka setengah pekerjaan selesai.
TIPE WAN & KARAKTERISTIK
| TIPE WAN | PARAMETER DIBUTUHKAN | UMUM DIPAKAI |
|---|---|---|
| DHCP Client | tanpa parameter - otomatis | Modem kabel, tethering, lab |
| IP Statis | IP, gateway, DNS dari ISP | Kantor, layanan bisnis |
| PPPoE | username + password dari ISP | Fiber rumahan Indonesia |
Jalur WAN menentukan CARA router mendapat IP publik; NAT & route menentukan apakah trafik LAN bisa KELUAR. Titik kuning = paket keluar, titik biru = balasan masuk.
# Jalur 1: WAN otomatis via DHCP (modem/router mode)
/ip dhcp-client add interface=WAN disabled=no add-default-route=yes
# Jalur 2: WAN PPPoE (fiber Indonesia)
/interface pppoe-client add name=pppoe-out1 interface=WAN \
user="user@isp" password="sandi-isp" add-default-route=yes disabled=no
# Verifikasi status PPPoE harus "connected":
/interface pppoe-client monitor pppoe-out1 onceVIA WINBOX // SIAPKAN WAN
- Untuk DHCP WAN: IP > DHCP Client - tanda +, pilih interface WAN, centang Add Default Route, OK.
- Untuk PPPoE: buka PPP - tab Interfaces - tombol + pilih PPPoE Client.
- General: Interfaces = WAN (port ke modem), centang Add Default Route.
- Dial Out: isi User dan Password dari ISP, klik OK.
- Verifikasi: huruf R muncul di daftar PPPoE (running), dan IP publik terisi.
- Lanjutkan dengan DNS dan NAT masquerade - dijelaskan penuh di Fase 3 (slide 45-50).
BEDAH KODE
Tujuan: menyalakan jalur WAN dengan skema yang benar sesuai layanan ISP sebelum rule NAT ditulis.
Analogi: "Cek dulu kartu anggotamu DHCP, statis, atau PPPoE - salah jenis kartu, pintu tidak akan terbuka."
CARA UPGRADE ROUTEROSSLIDE 29
DEFINISI PROSEDUR
Upgrade RouterOS mengganti versi OS ke rilis lebih baru, lewat dua jalur: otomatis (/system package update - mengunduh langsung dari server MikroTik) atau manual (mengunggah file .npk sesuai arsitektur board ke menu Files lalu reboot). Hukum emasnya: backup dulu, semua paket harus dinaikkan ke versi yang sama, dan jangan pernah mencampur versi antar paket. Patch rutin adalah pertahanan pertama terhadap CVE yang sudah dipublikasikan.
Untuk awam: upgrade itu seperti update aplikasi di HP - versi baru menambal celah keamanan dan memperbaiki bug. Bedanya, di router kita backup dulu, karena router yang bermasalah tidak bisa diuninstall-ulang seperti aplikasi.
MENGAPA UPGRADE ITU WAJIB?
Ketika sebuah celah (CVE) dipublikasikan, seluruh dunia - termasuk penjahat siber - langsung tahu kelemahannya. Router yang belum di-patch adalah rumah dengan kunci yang polanya sudah disebar gratis. Kasus Meris 2018 (slide 57) membuktikan: patch tersedia sejak April, tapi puluhan ribu router tetap terinfeksi bulan Juli karena pemiliknya menunda.
# 0. SELALU backup dulu sebelum upgrade:
/system backup save name=pre-upgrade
# 1. Cek ketersediaan versi baru:
/system package update check-for-updates
# 2. Unduh lalu pasang (router akan reboot):
/system package update install
# 3. Verifikasi versi baru setelah menyala:
/system resource printVIA WINBOX // UPGRADE OTOMATIS & MANUAL
- Buka System > Packages, klik Check For Updates - versi terbaru tampil.
- Klik Download & Install; router mengunduh, memasang, lalu reboot sendiri.
- Jalur manual: unduh file .npk sesuai arsitektur dari mikrotik.com/download.
- Drag file .npk ke jendela Files, tunggu terpasang, lalu System > Reboot.
- Verifikasi: System > Resources menampilkan versi baru; periksa semua paket versinya seragam.
BEDAH KODE
Tujuan: menaikkan RouterOS ke versi terkini dengan aman - backup dulu, seragamkan paket, verifikasi setelah reboot.
Analogi: "Foto isi lemari sebelum diservice - biar kalau ada yang hilang, kamu punya bukti tuntutan."
CARA DOWNGRADE ROUTEROSSLIDE 30
DEFINISI PROSEDUR
Downgrade RouterOS adalah menurunkan versi ke rilis lebih lama - biasanya demi kompatibilitas aplikasi lama atau manajer jaringan yang belum mendukung v7. Prosedurnya: unggah file .npk versi lama, pilih paketnya di daftar Packages, klik Downgrade, lalu reboot. Risiko yang wajib dipahami: turun lintas generasi besar (v7 ke v6) dapat membuat konfigurasi tidak termuat karena formatnya berubah, dan sebagian board baru hanya tersedia untuk RouterOS 7.
Untuk awam: downgrade itu kembali ke versi lama - jarang dibutuhkan, tapi teknisi harus tahu caranya karena kadang perangkat lain di jaringan belum siap dengan versi baru.
PERINGATAN PENTING
Downgrade bukan tombol undo: konfigurasi yang dibuat di versi lebih baru bisa diabaikan di versi lama, dan perangkat tertentu (mis. keluarga ARM64 terbaru) memang tidak menyediakan paket RouterOS 6. Selalu baca catatan kompatibilitas di halaman unduhan resmi sebelum memutuskan menurunkan versi.
# 1. Backup dulu - downgrade bisa membuang konfigurasi:
/system backup save name=sebelum-downgrade
/export file=sebelum-downgrade
# 2. Upload .npk versi lama ke router (via Files), lalu:
/system package downgrade
# 3. Router meminta konfirmasi lalu reboot ke versi lama
/system resource printVIA WINBOX // DOWNGRADE VIA PACKAGES
- Unduh file .npk versi lama sesuai arsitektur board dari situs resmi MikroTik.
- Drag file .npk ke jendela Files sampai terpasang.
- Buka System > Packages, pilih paket yang baru terunggah.
- Klik tombol Downgrade, konfirmasi - router reboot ke versi lama.
- Verifikasi versi di System > Resources; bila konfigurasi kosong, restore dari backup.
BEDAH KODE
Tujuan: menurunkan versi RouterOS secara terkendali dengan jaring pengaman backup ganda.
Analogi: "Pindah dari apartemen baru ke rumah lama? Bawa fotokopi semua dokumen - peraturan lama tidak selalu mengenali dokumen baru."
MANAGEMENT PACKAGESSLIDE 31
DEFINISI TEKNIS
RouterOS tersusun atas paket moduler (.npk): system, dhcp, routing, security, ppp, wireless, hotspot, mpls, ipv6, advanced-tools, gps, ups, user-manager hingga container (v7). Mengelola paket berarti melihat yang terpasang (/system package print), menonaktifkan yang tidak dipakai (hemat RAM/flash dan mengurangi permukaan serangan), serta menambah paket baru dengan mengunggah .npk yang cocok arsitektur dan versinya.
Untuk awam: RouterOS itu seperti HP yang aplikasinya bisa dipilih-pilih. Tidak butuh fitur hotspot? Matikan paketnya - memori lega, dan pintu masuk penyerang berkurang. Ini prinsip "keamanan itu tentang mengurangi", bukan menambah.
ANALOGI KEHIDUPAN
Paket RouterOS itu seperti isi kotak peralatan: kunci pas (system), obeng (dhcp), dan bor (routing) selalu dipakai; sedangkan mesin las (mpls) dan steker GPS (gps) boleh disimpan di gudang. Kotak yang berisi hanya alat yang benar-benar dibutuhkan lebih ringan dijinjing dan tidak memberi kesempatan benda tajam melukai kaki di gelap.
PAKET UMUM & STATUS DISARANKAN (LAB)
| PAKET | FUNGSI | SARAN LAB |
|---|---|---|
| system | Inti OS - wajib | Selalu aktif |
| dhcp | Server/klien DHCP | Aktif |
| routing | OSPF/BGP (v7: routing filter) | Aktif |
| security | SSH, sertifikat, VPN | Aktif |
| hotspot | Portal captive | Disable bila tak dipakai |
| mpls | MPLS/LDP | Disable bila tak dipakai |
| gps / ups | Periferal khusus | Disable bila tak ada hardware |
KASUS NYATA
UPnProxy (Akamai, Januari 2019) - aspek komponen bawaan (aspek berbeda dari slide NAT): jutaan perangkat rentan karena fitur UPnP - komponen kenyamanan bawaan - dibiarkan menyala tanpa kebutuhan, lalu disalahgunakan untuk menyuntik port mapping. Analisis: komponen yang tak dibutuhkan bukan netral - ia adalah luas permukaan serangan; prinsip yang sama berlaku pada paket RouterOS yang dibiarkan aktif tanpa pemakaian.
# Daftar paket + arsitektur + versi:
/system package print
# Nonaktifkan paket yang tidak dipakai (router reboot perlu):
/system package disable hotspot
/system package disable mpls
# Menambah paket baru: upload .npk yang cocok versi via FilesBEDAH KODE
Tujuan: mengecilkan jejak perangkat ke komponen yang benar-benar dibutuhkan - ringan di memori, ramping di permukaan serangan.
Analogi: "Simpan mesin las di gudang - kotak alat jadi ringan, dan tidak ada benda tajam menunggu kaki di gelap."
MANAGEMENT USERSLIDE 32
DEFINISI TEKNIS
Management user RouterOS mengatur siapa boleh masuk dan sejauh mana: akun dikelola di /user, sedangkan wewenang dikumpulkan dalam grup (/user group) berupa policy - misal read, write, ssh, winbox, api. Praktik terbaik: satu akun per manusia (bukan berbagi admin), prinsip least privilege (hak seminimal yang dibutuhkan), dan menonaktifkan akun admin default setelah akun pengganti teruji. Untuk skala besar, autentikasi bisa dilempar ke server Radius/AAA.
Untuk awam: ini adalah buku tamu + kartu akses router. Siapa saja boleh masuk, dan sampai ruang mana kartu masing-masing berlaku - semuanya dicatat di sini.
ANALOGI KEHIDUPAN
Grup user itu seperti kartu akses gedung sekolah: kartu satpam membuka semua pintu (full), kartu guru hanya lorong mengajar dan kantin (read+write sebagian), kartu tamu cuma ruang tunggu (read). Yang tidak sehat bukan kartunya - tetapi satu kartu master yang dipinjam bergantian seluruh sekolah: saat kartu itu hilang, tidak ada yang tahu siapa terakhir memegangnya.
KASUS NYATA
Colonial Pipeline (Mei 2021) - serangan ransomware DarkSide melumpuhkan jaringan operator pipa bahan bakar terbesar AS sekitar 5-6 hari; titik masuknya adalah kredensial VPN yang bocor dan tidak dilindungi MFA (laporan resmi penyelidikan). Analisis: satu akun berbagi-pakai dengan sandi lemah mampu melumpuhkan infrastruktur nasional - manajemen user bukan urusan administrasi, melainkan benteng pertama.
# Buat grup teknisi: boleh lihat & login, tidak boleh hapus rule
/user group add name=teknisi policy=read,write,winbox,ssh,ping
# Buat akun per orang ke dalam grup tsb:
/user add name=budi group=teknisi password="SandiBudi#2024"
# Buat akun viewer: hanya baca (untuk monitoring):
/user add name=monitor group=read password="SandiMon#2024"
/user printVIA WINBOX // KELOLA AKUN & GRUP
- Buka System > Users - tab Users memuat akun, tab Groups memuat peran.
- Tab Groups: klik +, nama teknisi, centang policy read, write, winbox, ssh, ping; OK.
- Tab Users: klik +, isi Name, Group = teknisi, klik Password... isi sandi kuat; OK.
- Uji login akun baru dari laptop lain sebelum menyentuh akun lama.
- Terakhir: pilih akun admin lalu klik X (disable) - pintu default tertutup rapat.
BEDAH KODE
Tujuan: memecah akses per peran sehingga tidak ada satu akun serbaguna yang bisa menghancurkan segalanya.
Analogi: "Satu kunci master yang dipinjam bergantian = tidak ada yang bertanggung jawab saat hilang."
IP SERVICESSLIDE 33
DEFINISI TEKNIS
IP Services (/ip service) adalah konsentrasi semua layanan manajemen RouterOS dalam satu daftar yang bisa dimatikan, dipindah port, dan dibatasi jaringannya: ftp (21), ssh (22), telnet (23), www (80), www-ssl (443), api (8728), winbox (8291), api-ssl (8729). Tiga kendali utamanya: disable (matikan yang tak dipakai), address= (whitelist sumber yang boleh mengakses), dan port= (geser port non-standar sebagai penggelak pemindai kasar). Layanan yang tersisa wajib punya alasan tertulis.
Untuk awam: setiap layanan adalah satu pintu menuju router dari jaringan. Delapan pintu bawaan itu nyaman untuk belajar, tetapi di router sungguhan, pintu yang tak dipakai wajib digembok - karena penyerang selalu mengetuk satu per satu.
ANALOGI KEHIDUPAN
IP Services itu seperti panel pemutus listrik kantor: setiap saklar menyala satu layanan (lampu, AC, mesin kopi). Panel yang rapi punya aturan tiga: saklar yang tak dipakai dimatikan (disable), saklar yang hidup diberi kunci (address= LAN), dan yang memang wajib menyala dipindah dari tempat yang ditebak semua orang (port non-standar).
TABEL KENDALI LAYANAN
| LAYANAN | PORT BAKU | KENDALI TERSEDIA | SARAN |
|---|---|---|---|
| telnet | 23 | disable / address | Disable total |
| ftp | 21 | disable / address | Disable total |
| www | 80 | disable / address | Disable, pakai www-ssl |
| www-ssl | 443 | certificate / address | Aktif terbatas LAN |
| winbox | 8291 | address / port | Aktif terbatas LAN |
| ssh | 22 | address / port | Aktif terbatas LAN |
| api / api-ssl | 8728/8729 | disable / address | Disable bila tanpa otomasi |
KASUS NYATA
Insiden Verkada (Maret 2021) - aspek akun berkuasa pada layanan terbuka (aspek berbeda dari slide WebFig): akun superadmin yang kredensialnya terpapar di server internet memungkinkan peretas memasuki dasbor 150 ribu kamera. Analisis: layanan manajemen + akun berkuasa + jangkauan internet = resep insiden; panel IP Services RouterOS menyediakan persis kendali untuk memutus resep itu di titik pertama.
# Matikan semua yang tidak dipakai:
/ip service disable ftp,telnet,www,api,api-ssl
# Kunci sumber yang boleh mengakses layanan yang tersisa:
/ip service set winbox address=192.168.10.0/24
/ip service set ssh address=192.168.10.0/24
# Geser SSH dari port ditebak (22) ke non-standar:
/ip service set ssh port=2222
/ip service printBEDAH KODE
Tujuan: merapikan panel layanan hingga tersisa pintu terenkripsi yang hanya dijangkau LAN.
Analogi: "Panel listrik rapi: saklar mati dikunci, saklar hidup diberi kunci, dan tidak ada yang di tempat yang ditebak semua orang."
SYSTEM MANAGEMENTSLIDE 34
DEFINISI TEKNIS
System Management mencakup perawatan perangkat itu sendiri di bawah cabang /system: identity (nama host), clock & ntp (waktu), note (pesana login yang tampil tiap sesi), resource/health (monitoring beban, suhu, tegangan), scheduler (tugas otomatis berkala), watchdog (reboot otomatis saat sistem hang bila dikonfigurasi), serta reboot/shutdown. Rangkaian ini menjadikan router mampu merawat dirinya sebagian - dan admin mampu merawatnya secara terjadwal.
Untuk awam: jika konfigurasi jaringan adalah "pekerjaan router", maka system management adalah "perawatan pribadi router" - nama, jam, catatan, jadwal otomatis, dan alarm kesehatannya.
ANALOGI KEHIDUPAN
System management itu seperti SOP pemilik ojek harian: pasang nama di jaket (identity), cek jam sebelum terima orderan (NTP), tulis catatan di dashboard (note), servis berkala tiap 1000 km (scheduler), dan alarm yang bunyi kalau mesin ngadat (watchdog). Ojek yang dirawat terjadwal jarang mogok di tengah jalan; begitu pula router.
KASUS NYATA (RUJUKAN STANDAR)
NIST SP 800-34 Rev.1 (Contingency Planning Guide, 2010) - standar resmi NIST menganjurkan backup terotomasi dan teruji sebagai bagian rencana kontinuitas, bukan langkah tergantung ingatan manusia. Analisis: fitur scheduler RouterOS adalah penerapan langsung prinsip itu di level perangkat - backup harian otomatis mengubah "harap tidak lupa" menjadi kepastian terjadwal.
# Pesana sambutan setiap sesi login (untuk lab sekolah):
/system note set note="Router LAB KELAS TKJ - akses resmi saja" show-at-login=yes
# Backup otomatis harian via scheduler:
/system scheduler add name=backup-harian interval=1d \
on-event="/system backup save name=auto-daily" start-time=02:00:00
# Pantau kesehatan perangkat (CPU, suhu, tegangan sesuai dukungan board):
/system resource print
/system health printVIA WINBOX // PERAWATAN VIA MENU
- System > Note: isi pesana login, centang Show At Login, OK.
- System > Scheduler: tombol +, Name = backup-harian, Interval = 1d 00:00:00, Start Time = 02:00:00.
- Kolom On Event: ketik perintah backup (/system backup save name=auto-daily), klik OK.
- System > Resources dan System > Health: pantau CPU, RAM, suhu, tegangan.
- Verifikasi: besoknya cek Files - file auto-daily.backup muncul otomatis.
BEDAH KODE
Tujuan: mengubah perawatan router dari tugas ingatan menjadi kebiasaan otomatis terjadwal perangkat sendiri.
Analogi: "Servis berkala dijadwalkan di buku servis - mesin tidak menunggu pemiliknya ingat."
BACKUP & RESTORESLIDE 35
DEFINISI TEKNIS
RouterOS menyediakan dua bentuk penyelamatan konfigurasi: backup biner (/system backup save - snapshot penuh termasuk sandi terenkripsi, untuk restore di perangkat yang sama) dan export teks (/export file= - skrip .rsc yang terbaca manusia dan bisa dipindah antar perangkat). File hasilnya berada di menu Files dan wajib diunduh keluar router. Restore dilakukan dengan memuat kembali file (backup load atau import .rsc) sesuai konteks kebutuhan.
Untuk awam: backup adalah fotokopi seluruh pengaturan router. Kalau suatu hari router rusak, hilang, atau dikacaukan orang - kamu tidak mulai dari nol; tinggal "tempel balik" fotokopiannya. Router tanpa backup itu seperti skripsi tanpa file cadangan: percaya diri sampai laptopnya mati.
ANALOGI KEHIDUPAN
Backup biner itu seperti kunci ruko hasil gandakan: hanya berguna untuk ruko yang sama persis. Export .rsc itu seperti resep masakan yang dituliskan: bisa dipraktikkan dapur mana pun dengan sedikit penyesuaian. Keluarga bijak menyimpan keduanya di tempat berbeda dari rukonya - karena ruko bisa kebakaran tepat saat kuncinya dibutuhkan.
KASUS NYATA
Gelombang "MongoDB ransom" (Januari 2017) - penyerang menghapus data pada puluhan ribu database MongoDB yang terbuka ke internet, meninggalkan pesan tebusan; laporan media teknologi mencatat banyak korban kehilangan data tanpa cadangan sama sekali. Analisis: korban tidak selalu diretas rumit - banyak yang sekadar tidak punya backup; pelajarannya untuk router pun sama: konfigurasi yang tidak dibackup adalah konfigurasi yang menunggu untuk hilang.
# Bentuk 1: snapshot biner (restore di perangkat sama)
/system backup save name=lab-rb941 password="Kunci#2024"
# Bentuk 2: skrip teks (dokumentasi & migrasi antar perangkat)
/export file=lab-rb941
# Restore bila dibutuhkan:
/system backup load name=lab-rb941 password="Kunci#2024"
# Jangan lupa unduh kedua file dari menu Files!VIA WINBOX // BACKUP & RESTORE VIA FILES
- Buka Files, klik tombol Backup.
- Isi Backup Name (dengan tanggal) dan Password, klik OK.
- File .backup muncul di daftar - drag keluar ke komputer (simpan di luar router).
- Untuk export: jalankan /export file= di New Terminal, lalu drag file .rsc keluar juga.
- Restore: drag file .backup kembali ke Files, klik dua kali file, tombol Restore, router reboot dengan konfigurasi lama.
BEDAH KODE
Tujuan: membiasakan pasangan penyelamat - snapshot biner untuk pulih cepat, .rsc untuk dokumentasi dan migrasi.
Analogi: "Kunci ganda dan resep masakan disimpan di rumah ibu - bukan di dalam ruko yang bisa terbakar."
TOOL DASAR MIKROTIKSLIDE 36
DEFINISI TEKNIS
Cabang /tool menyimpan perangkat diagnostik bawaan RouterOS yang dipakai teknisi sehari-hari: ping & traceroute (uji jangkauan & jalur), torch (melihat trafik live per host/port), profile (monitor pemakaian CPU), netwatch (pengawas yang memberi reaksi saat host mati/hidup), graphing (grafik web trafik antarmuka), sniffer (menangkap paket untuk analisis), hingga bandwidth-test (menguji throughput antar dua router MikroTik). Menguasai tools ini memangkas waktu diagnosis drastis.
Untuk awam: ini adalah kotak alat dokter versi jaringan - alat untuk menanyakan "kenapa internet lambat?" dengan data, bukan dengan terkaan.
ANALOGI KEHIDUPAN
Tools diagnostik itu seperti kotak alat klinik: termometer (ping) untuk cek demam, rontgen (traceroute) untuk melihat jalur sumbatan, monitor denyut (torch) untuk melihat siapa yang sibuk, dan alat EKG (profile) untuk memantau jantung CPU. Dokter hebat bukan yang punya alat terbanyak, melainkan yang tahu alat mana dipakai saat gejala apa.
KASUS NYATA
Cloudflare regex outage (2 Juli 2019) - aspek monitoring metrik (aspek berbeda dari slide Troubleshooting): pemulihan berlangsung cepat karena tim mengawasi grafik metrik CPU secara live dan menemukan lonjakan penggunaan segera setelah perubahan konfigurasi. Analisis: tools monitoring (padanannya di RouterOS: profile & graphing) bukan pelengkap - ia adalah mata yang menunjuk penyebab sebelum keluhan pengguna menumpuk.
# Uji jangkauan & jalur:
/ping 8.8.8.8 count=3
/tool traceroute 8.8.8.8
# Siapa yang paling sibuk sekarang? (trafik live per host/port)
/tool torch WAN duration=10
# Denyut CPU real-time:
/tool profile duration=5
# Pengawas otomatis: kabari saat gateway mati/hidup
/tool netwatch add host=192.168.10.1 interval=30sVIA WINBOX // MEMBUKA TOOLS
- Tools > Ping: isi Ping To dan klik Ping - hasil live di jendela.
- Tools > Trace: Trace To = 8.8.8.8, klik Trace untuk hop demi hop.
- Tools > Torch: pilih interface WAN, klik Start - lihat host/port tersibuk.
- Tools > Profile: klik Start untuk memantau pemakaian CPU real-time.
- Tools > Netwatch: tombol +, isi host yang diawasi dan intervalnya, OK.
BEDAH KODE
Tujuan: menghidupkan kotak alat dasar diagnosis yang akan dipakai penuh pada sesi troubleshooting di akhir modul.
Analogi: "Klinik rapi: termometer dulu, rontgen kalau perlu, EKG untuk jantung - alat tepat untuk gejala tepat."
FASE 1: HARDRESET RB941SLIDE 37
DEFINISI TEKNIS
Hard reset adalah pengembalian RouterOS ke kondisi pabrik dengan menghapus seluruh konfigurasi tersimpan, akun tambahan, dan skrip konfigurasi bawaan. Pada RB941 (hAP lite) dilakukan dengan menekan tombol RESET fisik saat perangkat diberi daya dan menahannya hingga lampu ACT berkedip. Tujuan best practice: setiap pemasangan dimulai dari titik nol yang bersih dan terdokumentasi, bukan dari sisa konfigurasi yang tak diketahui asalnya.
Untuk awam: hard reset itu "factory reset" ala HP - semua pengaturan lama terhapus, router kembali seperti baru keluar pabrik. Kita lakukan ini supaya tidak ada "warisan misterius" dari siapa pun yang memakai router sebelumnya.
ANALOGI KEHIDUPAN
Bayangkan papan tulis kelas di akhir semester yang penuh sisa tulisan guru lama: aturan kelas, jadwal, dan coretan tugas yang tidak pernah dihapus. Murid baru datang dan membaca tulisan itu seolah semua berlaku padahal ia tidak pernah menulisnya. Hard reset = menghapus papan tulis sampai benar-benar bersih, lalu guru baru menulis aturannya sendiri dari baris pertama.
PETA FASE 1 - AKSES & KEAMANAN AWAL
KASUS NYATA
Hajime (2017-2018) - worm IoT yang menyebar dengan memindai perangkat siap pakai yang belum di-hardening, termasuk perangkat RouterOS; peneliti Rapidity Networks (Desember 2017) memperkirakan sekitar 300.000 perangkat terinfeksi. Analisis: perangkat yang baru keluar dari kotak lalu langsung di-online-kan tanpa reset dan penguatan dasar adalah target empuk - kondisi awal perangkat menentukan nasibnya.
# METODE SOP: hard reset via tombol fisik RB941
# 1. Lepas daya -> tahan tombol RESET -> sambungkan daya
# 2. Tahan hingga lampu ACT berkedip -> lepas tombol
# Alternatif via RouterOS (jika masih bisa login):
/system reset-configuration skip-backup=yes no-defaults=yes
# no-defaults=yes : jangan muat skrip konfigurasi bawaan
# skip-backup=yes : jangan simpan backup konfigurasi lamaVIA WINBOX // LANGKAH GUI
- Lepas kabel daya RB941, tekan dan tahan tombol RESET (lubang kecil di sisi perangkat) menggunakan klip peniti.
- Sambil tombol tetap ditahan, sambungkan kembali daya; tahan sekitar 5 detik hingga lampu ACT berkedip, lalu lepaskan tombol.
- Buka aplikasi WinBox di laptop, pastikan laptop tersambung kabel ke port LAN router.
- Di tab Neighbors, perangkat hasil reset akan muncul dengan MAC Address dan identity "MikroTik" - router siap dikonfigurasi dari nol.
BEDAH KODE
Tujuan: memastikan router kembali benar-benar ke kondisi pabrik sebelum satu baris konfigurasi manual pun ditulis.
Analogi: "Sebelum menulis di buku baru, halaman sampul milik pemilik lama harus dilepas dulu agar tidak tertukar milik."
FASE 1: LOGIN WINBOX VIA MACSLIDE 38
DEFINISI TEKNIS
WinBox adalah utility manajemen grafis RouterOS. Selain lewat TCP port 8291 (via IP), WinBox dapat login langsung ke MAC address interface di lapisan Layer 2 (MAC-Winbox). Ketika router belum memiliki satu pun IP - kondisi normal setelah hard reset - login via MAC adalah jalur pertama. Batasannya: hanya bekerja dari segmen jaringan yang sama (satu broadcast domain).
Untuk awam: setiap perangkat jaringan punya "nomor serinya yang permanen" bernama MAC address - tertempel sejak pabrik dan tidak berubah. IP bisa dianggap "alamat rumah" yang bisa pindah-pindah, sedangkan MAC adalah "sidik jari" perangkatnya. Setelah reset, rumah belum punya alamat (IP) - tapi sidik jarinya tetap bisa dikenali.
ANALOGI KEHIDUPAN
Kamu menyewa rumah kontrakan baru yang nomor alamatnya belum terpasang di depan pagar. Tetangga tidak bisa menyebut "rumah nomor 12" (IP belum ada), tapi tetap bisa menemukanmu karena mengenali wajah pemiliknya yang duduk di teras (MAC = identitas fisik perangkat). Setelah nomor rumah dipasang, orang bisa datang lewat alamat - tetapi wajah tetap jadi identitas utama saat alamat belum ada.
KASUS NYATA
Meris (2018) - botnet yang menular melalui bug protokol WinBox (CVE-2018-14847); laporan Forcepoint Security Labs menyebut sekitar 200.000 router RouterOS terinfeksi dalam waktu kurang dari 72 jam. Analisis: layanan manajemen (WinBox) adalah pintu utama sebuah router - siapa pun yang mengendalikan layanan ini, mengendalikan seluruh perangkat. Karena itu akses manajemen harus dibatasi sejak menit pertama.
# Login pertama dilakukan lewat aplikasi WinBox (bukan CLI)
# CLI dipakai untuk membatasi MAC-Winbox setelah masuk:
/tool mac-server mac-winbox set allowed-interface-list=all
# Best practice: batasi MAC-Winbox hanya pada interface LAN
# nanti diubah ke list=LAN setelah interface didefinisikan
/tool mac-server set allowed-interface-list=allVIA WINBOX // LANGKAH GUI
- Buka aplikasi WinBox (tanpa mengisi kolom Connect To terlebih dahulu).
- Klik tab Neighbors - daftar perangkat MikroTik di segmen yang sama muncul otomatis.
- Klik baris perangkat RB941 (identity "MikroTik"); MAC Address-nya otomatis terisi di kolom Connect To.
- Isi Login: admin dan Password: kosong (atau sesuai stiker di rangka), lalu klik Connect.
- Verifikasi: title bar WinBox menampilkan admin@[MAC] - artinya login via MAC berhasil, bukan via IP.
BEDAH KODE
Tujuan: masuk ke router yang belum ber-IP menggunakan identitas Layer 2, lalu langsung menyiapkan pembatasan akses manajemen.
Analogi: "Masuk rumah lewat pintu samping yang hanya dikenal keluarga, lalu digembok begitu pintu depan resmi dipasang."
FASE 1: REMOVE DEFAULT CONFIGSLIDE 39
DEFINISI TEKNIS
Default configuration adalah skrip bawaan RouterOS yang memuat SSID default, DHCP client di ether1, alamat 192.168.88.1/24 pada bridge, dan firewall dasar. Setelah hard reset via tombol, skrip ini dimuat ulang otomatis. Menekan Remove Configuration di jendela login WinBox (atau perintah reset dengan no-defaults) menghapus skrip tersebut sehingga router benar-benar kosong dan seluruh rule ditulis manual oleh admin - bukan diwarisi pabrik.
Untuk awam: keluar dari pabrik, router membawa "aturan bawaan" supaya plug-and-play. Bagi pemula itu membingungkan - kita mau belajar menulis aturan sendiri, tapi ada aturan orang lain yang ikut jalan diam-diam. Remove Config = bersihkan kanvas sebelum melukis.
ANALOGI KEHIDUPAN
Memasuki apartemen kontrakan: masih ada lemari, lampu, dan rak milik penyewa lama. Kamu bisa saja menumpuk barang di atas barang lama - sampai suatu hari lampu mati dan kamu bingung: instalasi siapa yang rusak? Remove configuration = menginventaris lalu mengosongkan unit dulu, sehingga setiap kabel dan setiap rule yang ada benar-benar milik dan tanggung jawabmu.
KASUS NYATA
Penyadapan router MikroTik di Brasil (2018) - laporan Trend Micro/Kafeine (Agustus 2018) mendokumentasikan puluhan ribu router di Brasil yang dimodifikasi penyerang menjadi penyadap trafik perbankan HTTP ("Monkey-Jack"). Analisis: banyak korban menjalankan konfigurasi yang hampir identik dengan bawaan pabrik; begitu pola serangan ditemukan pada satu perangkat, ribuan perangkat serupa ikut jadi korban karena struktur konfigurasinya mudah ditebak.
# Reset total tanpa memuat skrip default:
/system reset-configuration no-defaults=yes skip-backup=yes
# Router reboot; login ulang sebagai admin tanpa password
/export
# hasil export harus nyaris kosong = router benar2 bersihVIA WINBOX // LANGKAH GUI
- Setelah login pertama via MAC, WinBox menampilkan jendela "RouterDEFAULT Configuration".
- Klik tombol Remove Configuration di jendela tersebut (JANGAN pilih OK, karena OK justru menerapkan skrip default).
- Router melakukan reboot; tunggu beberapa detik lalu login ulang via MAC seperti biasa.
- Verifikasi: buka New Terminal (ikon di kiri atas WinBox) dan jalankan /export - hasil harus nyaris kosong.
BEDAH KODE
Tujuan: menghapus skrip default agar titik awal konfigurasi adalah router kosong yang sepenuhnya ditulis manual.
Analogi: "Sebelum pindahan, barang pemilik lama dikosongkan dulu - jangan menumpuk barang di atas barang yang bukan milikmu."
FASE 1: GANTI PASSWORD ADMINSLIDE 40
DEFINISI TEKNIS
Akun admin bawaan RouterOS dengan password kosong adalah vektor kompromi paling dasar. Perintah /password (interaktif) atau /user set admin password= mengganti kredensial. Best practice lanjutan: membuat akun admin baru dengan grup full, menguji loginnya, lalu menonaktifkan akun admin default - sehingga penyerang tidak lagi tahu nama akun yang harus diserang.
Untuk awam: semua router MikroTik di seluruh dunia lahir dengan kunci yang sama: username "admin", password kosong. Ini dibuat untuk memudahkan setup pertama - tapi artinya siapa pun yang pernah pegang router MikroTik tahu persis kuncinya. Mengganti password bukan saran; itu langkah nomor satu yang tidak bisa ditawar.
ANALOGI KEHIDUPAN
Mengganti gembok pintu rumah kontrakan adalah hal pertama yang dilakukan penyewa yang waras - karena kunci lama sudah lewat tangan pabrik, toko, kurir, dan penyewa sebelumnya. Mengandalkan kunci lama sama saja dengan mempersilakan orang-orang lama masuk kapan pun mereka mau, dan tidak ada yang tahu siapa saja yang masih menyimpan duplikatnya.
KASUS NYATA
Muhstik (2018) - worm Linux/IoT yang dilaporkan Qihoo 360 Netlab menyebar dengan mencoba kredensial lemah serta mengeksploitasi layanan terbuka, termasuk menambahkan modul penyerangan RouterOS; ribuan perangkat direkrut untuk penambangan kripto. Analisis: kredensial default dan sandi lemah adalah bahan bakar utama worm otomatis - mereka tidak membobol, mereka cuma mencoba pintu yang tidak pernah diganti kuncinya.
# Ganti password akun saat ini (interaktif):
/password
# old-password: (kosong) | new-password: minimal 12 karakter kuat
# Atau satu baris langsung:
/user set admin password="SandiKuat#2024"
# Hardening lanjutan: buat akun baru, uji login, matikan default
/user add name=netadmin group=full password="SandiLain#2024"
/user disable adminVIA WINBOX // LANGKAH GUI
- Buka menu System > Users pada WinBox.
- Double-click user admin pada daftar.
- Klik tombol Password... di kiri atas jendela user.
- Isi New Password dan Confirm Password (minimal 12 karakter kuat), lalu klik OK dua kali.
- Hardening lanjutan: di menu yang sama klik + untuk membuat user baru (mis. netadmin, Group: full), logout, uji login user baru, lalu klik X (disable) pada user admin.
BEDAH KODE
Tujuan: mengunci pintu depan router pada menit pertama sebelum langkah konfigurasi apa pun dilakukan.
Analogi: "Rumah baru pasti diganti gemboknya dulu - bukan setelah televisi mahal dipasang di ruang tamu."
FASE 1: GANTI IDENTITYSLIDE 41
DEFINISI TEKNIS
System identity adalah nama host RouterOS yang tampil di WinBox neighbor list, prompt terminal, dan title bar. Semua perangkat bawaan bernama identik: MikroTik. Ketika lima router sejenis hidup di satu jaringan lab, admin tidak bisa membedakan perangkat mana yang diajak bicara. Perintah /system identity set name= memberi nama unik yang menjadi dasar inventaris dan dokumentasi.
Untuk awam: identity itu "nama panggilan router". Bayangkan lima kembar identik semua bernama "MikroTik" - memanggil siapa pun, semua menoleh. Beri nama unik (mis. RB941-KEL1) maka setiap router dikenali jelas di daftar.
ANALOGI KEHIDUPAN
Satu kantor dengan sepuluh meja tanpa satu pun papan nama karyawan. Panggilan rapat, distribusi surat, dan absensi langsung kacau - semua orang "anonim" meski orangnya dikenal. Papan nama di meja tidak membuat siapa pun bekerja lebih cepat, tetapi menyelesaikan kebingungan kolektif; identity router bekerja persis seperti itu di daftar Neighbor WinBox.
KASUS NYATA
Meris (2018) - aspek inventarisasi (aspek berbeda dari slide WinBox): laporan penanganan insiden menyebut mayoritas perangkat korban memakai identity default "MikroTik", sehingga pemilik dan peneliti sulit memetakan perangkat mana milik siapa; banyak korban bahkan tidak sadar router mereka terinfeksi. Analisis: penamaan seragam pabrik membuat inventarisasi dan penelusuran dampak menjadi jauh lebih lambat.
# Konvensi: MODEL-LOKASI-FUNGSI
/system identity set name=RB941-KANTOR
# Verifikasi nama baru:
/system identity print
# Nama ini muncul di WinBox Neighbors dan prompt terminalVIA WINBOX // LANGKAH GUI
- Buka menu System > Identity.
- Kolom Name terisi "MikroTik" - ganti menjadi RB941-KANTOR sesuai konvensi MODEL-LOKASI-FUNGSI.
- Klik OK; nama baru langsung tampak di title bar WinBox dan prompt terminal.
- Verifikasi di tab Neighbors dari laptop lain: identity perangkat kini unik, tidak lagi seragam "MikroTik".
BEDAH KODE
Tujuan: memberi identitas unik pada router agar inventaris, login, dan dokumentasi selalu merujuk perangkat yang tepat.
Analogi: "Setiap meja kantor diberi papan nama - supaya panggilan rapat tidak salah sasaran."
FASE 2: NTP & TIMEZONESLIDE 42
DEFINISI TEKNIS
NTP (Network Time Protocol) menyinkronkan jam perangkat ke server waktu referensi, misal id.pool.ntp.org. RouterOS menyediakan /system clock (timezone dan jam manual) serta /system ntp client (sinkronisasi otomatis). Tanpa jam yang benar: log sistem salah urutan, sertifikat digital dianggap invalid karena tanggal, dan scheduler tidak berjalan pada waktunya - masalah kecil yang berdampak besar pada validitas bukti.
Untuk awam: NTP itu "jam resmi internet" - router menanyakannya secara otomatis supaya jamnya selalu benar. Kenapa penting? Semua catatan kejadian (log) di router dicantumkan jam. Kalau jamnya salah, catatan pencurian data jam 2 pagi bisa tercatat jam 9 pagi - dan investigasi berantakan.
ANALOGI KEHIDUPAN
Jam dinding kantor disetel mengikuti jam resmi stasiun kereta: absensi, catatan pengiriman, dan rekaman CCTV memakai satu acuan waktu yang sama. Tanpa acuan bersama, dua bukti berbeda lima menit saling menyalahkan - dan saat kejadian penting terjadi, tidak ada satu pun catatan yang bisa dipercaya urut waktunya.
KASUS NYATA
NTP amplification / monlist (CVE-2013-5211, serangan besar Feb 2014) - layanan NTP lama dengan perintah monlist dibajak untuk memperbesar trafik hingga ratusan kali; laporan Cloudflare mendokumentasikan serangan memuncak sekitar 400 Gbps (10 Februari 2014), dan US-CERT menerbitkan advisori TA14-013A. Analisis: layanan "hanya jam" kerap diremehkan, padahal menyangkut keamanan - server waktu yang kelolaannya longgar menjadi amunisi serangan skala internet.
# 1. Timezone dulu, baru NTP - agar log tidak melompat waktu
/system clock set time-zone-name=Asia/Jakarta
# 2. NTP client (RouterOS v7):
/system ntp client set enabled=yes servers=id.pool.ntp.org
# RouterOS v6: /system ntp client set enabled=yes
# primary-ntp=id.pool.ntp.org server-dns-names="id.pool.ntp.org"
# 3. Verifikasi hasil sinkronisasi:
/system ntp client print
/system clock printVIA WINBOX // LANGKAH GUI
- Buka System > Clock - pada Time Zone Name pilih Asia/Jakarta, klik OK.
- Buka System > NTP Client (RouterOS v7) - centang Enabled.
- Pada kolom Servers isi id.pool.ntp.org, klik OK. (RouterOS v6: menu bernama System > SNTP Client.)
- Verifikasi: buka kembali NTP Client - kolom STATUS berubah synchronized, dan jam pada System > Clock sudah benar.
BEDAH KODE
Tujuan: membuat jam router mengikuti satu sumber waktu resmi agar log, sertifikat, dan scheduler valid.
Analogi: "Semua jam di kantor disetel ke jam stasiun - biar absensi dan CCTV tidak saling menyalahkan."
FASE 2: RENAME INTERFACESLIDE 43
DEFINISI TEKNIS
RouterOS menamai port fisik secara generik: ether1 sampai ether5. Mengubahnya menjadi WAN dan LAN2-LAN5 mengubah abstraksi: aturan firewall, NAT, dan DHCP selanjutnya menunjuk peran (misal out-interface=WAN), bukan nomor port fisik. Manfaat nyata: troubleshooting visual lebih cepat, konsistensi terjaga saat kabel dipindah port, dan risiko salah sasaran konfigurasi turun drastis.
Untuk awam: bayangkan gudang dengan rak berlabel "Rak 1 sampai Rak 5" - membingungkan. Begitu diganti "Alat Elektronik", "Buku", "Dokumen", semua orang langsung paham isinya. WAN dan LAN adalah label peran: WAN selalu menuju internet, LAN selalu menuju jaringan lokal - salah baca jadi hampir mustahil.
ANALOGI KEHIDUPAN
Rak obat apotek yang berlabel A-1, A-2, A-3 memaksa petugas membaca kemasan setiap kali mencari obat - peluang salah ambil besar. Begitu rak diberi label "analgesik", "antibiotik", "antiseptik", petugas langsung mengambil dengan benar. Di jaringan, salah ambil obat = salah mencolok kabel atau salah menulis interface di rule NAT.
KASUS NYATA
DEMUX / jaringan proksi "5rows" (2021) - riset Avast mendokumentasikan lebih dari 10.000 router MikroTik yang disusupi malware DEMUX lalu disewakan sebagai proksi berbayar (sekitar 20 dolar per bulan per perangkat menurut laporan). Analisis aspek: tim riset menghabiskan waktu panjang memetakan ribuan perangkat karena penamaan dan konfigurasinya tidak seragam - penamaan standar mempercepat respons insiden, penamaan kacau memperlambatnya.
# ether1 -> WAN (ke modem/ISP)
/interface set ether1 name=WAN
# ether2-ether5 -> LAN (ke jaringan lokal)
/interface set ether2 name=LAN2
/interface set ether3 name=LAN3
/interface set ether4 name=LAN4
/interface set ether5 name=LAN5
# Tambahkan komentar agar export terbaca manusia:
/interface set WAN comment="ke modem ISP"
/interface printVIA WINBOX // LANGKAH GUI
- Buka menu Interfaces - daftar ether1-ether5 tampil.
- Double-click ether1, pada kolom Name ganti menjadi WAN, klik OK.
- Ulangi untuk ether2 s.d. ether5 - masing-masing diganti LAN2, LAN3, LAN4, LAN5.
- Tambahkan komentar: double-click WAN, kolom Comment isi "ke modem ISP", klik OK.
- Verifikasi: daftar Interfaces kini menampilkan nama per peran, bukan ether generik.
BEDAH KODE
Tujuan: memberi nama berbasis peran pada tiap port agar seluruh konfigurasi selanjutnya konsisten dan mudah dibaca.
Analogi: "Rak obat apotek diberi label nama fungsinya - biar petugas tidak salah ambil di tengah malam."
FASE 2: BRIDGE LANSLIDE 44
DEFINISI TEKNIS
Bridge menggabungkan beberapa interface menjadi satu jaringan Layer 2 - satu broadcast domain. Port LAN2-LAN5 dalam satu bridge berperilaku seperti switch: frame diteruskan antar port tanpa proses routing, dan seluruh host berbagi satu subnet. Pada RB941, bridge juga memanfaatkan switch chip hardware sehingga satu IP gateway pada bridge melayani empat port sekaligus dengan efisien.
Untuk awam: tanpa bridge, 4 port LAN itu seperti 4 gang rumah terpisah - orang di gang A tidak bisa menyapa orang di gang B secara langsung. Dengan bridge, keempatnya jadi satu kompleks: saling menyapa langsung, dan cukup satu alamat kantor (IP gateway) untuk semua.
ANALOGI KEHIDUPAN
Empat gang rumah yang terpisah digabung menjadi satu kompleks dengan satu pos jaga: penghuni antar gang saling mengantar barang langsung lewat gang dalam (Layer 2), tanpa perlu keluar ke jalan raya dan bayar gerbang (routing). Satu alamat kompleks = satu subnet; satu pos jaga = satu IP gateway untuk semua penghuni.
Satu frame broadcast dari satu port diteruskan ke SEMUA port lain dalam bridge - inilah makna "satu broadcast domain". Titik kuning = frame yang berjalan.
KASUS NYATA
VPNFilter (2018) - malware multi-stage pada lebih dari 500.000 router consumer di 54 negara (Cisco Talos, Mei 2018); FBI mensinkhole domain kontrolnya. Analisis aspek segmentasi: rekomendasi resmi Talos menyebut pemisahan/segmentasi jaringan sebagai salah satu mitigasi kunci - desain LAN yang sadar segmen membatasi gerak lateral penyerang yang sudah masuk ke satu titik.
# Buat bridge LAN dengan RSTP (anti loop broadcast)
/interface bridge add name=bridge-lan protocol-mode=rstp
# Masukkan port LAN2-LAN5 ke bridge
/interface bridge port add bridge=bridge-lan interface=LAN2
/interface bridge port add bridge=bridge-lan interface=LAN3
/interface bridge port add bridge=bridge-lan interface=LAN4
/interface bridge port add bridge=bridge-lan interface=LAN5
# Verifikasi keanggotaan port:
/interface bridge port printVIA WINBOX // LANGKAH GUI
- Buka menu Bridge, klik tombol + (add).
- Kolom Name: bridge-lan; Protocol Mode: RSTP; klik OK.
- Masih di jendela Bridge, buka tab Ports, klik +.
- Pilih Interface: LAN2 dan Bridge: bridge-lan, klik OK; ulangi untuk LAN3, LAN4, dan LAN5.
- Verifikasi: tab Ports menampilkan 4 anggota; flag R (running) aktif pada bridge-lan.
BEDAH KODE
Tujuan: menyatukan port LAN menjadi satu broadcast domain dengan proteksi loop agar satu gateway melayani semua port.
Analogi: "Empat gang rumah digabung jadi satu kompleks dengan satu pos jaga - penghuni berkenalan tanpa keluar jalan raya."
FASE 3: IP GATEWAY LANSLIDE 45
DEFINISI TEKNIS
IP LAN adalah alamat gateway jaringan lokal, diberikan pada interface bridge (atau ether2 bila tanpa bridge). Format 192.168.10.1/24 berarti host .1 pada subnet 192.168.10.0/24 dengan kapasitas 254 host. Best practice: hindari subnet default pabrik (192.168.88.0/24) untuk mencegah konflik saat router dipasang di bawah perangkat lain yang kebetulan memakai rentang sama, dan rancang skema alamat yang terdokumentasi.
Untuk awam: IP LAN adalah alamat kantor router di jaringan dalam - alamat yang diketahui semua perangkat rumah/sekolah untuk bertanya: "Pak Router, tolong antar paket saya ke internet." Angka /24 artinya blok alamatnya memuat 254 tempat duduk (host).
ANALOGI KEHIDUPAN
Menetapkan alamat kantor baru: satu gedung cukup satu alamat jalan; resepsionis (gateway) memegang alamat itu, dan seluruh karyawan (host) mendaftar alamat gedung - bukan alamat rumah masing-masing - ke dunia luar. Nomor alamat dipilih rapi mengikuti sistem penomoran kompleks, bukan asal tempel supaya tidak bertabrakan dengan gedung tetangga.
KASUS NYATA
Penyadapan Brasil (2018) - aspek topologi LAN (aspek berbeda dari slide Remove Config): router korban yang dikendalikan penyerang menjadi titik tangkap bagi seluruh trafik rumah yang berkumpul di satu subnet default. Analisis: gateway selalu melihat semua - karena itu perencanaan alamat, pemahaman topologi, dan kebiasaan audit lalu lintas LAN menjadikan gateway perangkat yang paling harus terjaga.
# Beri IP gateway pada interface bridge LAN
/ip address add address=192.168.10.1/24 interface=bridge-lan \
comment="Gateway LAN"
# Verifikasi entri alamat:
/ip address print
# Uji dari laptop: set IP statis 192.168.10.10/24 -> ping 192.168.10.1VIA WINBOX // LANGKAH GUI
- Buka menu IP > Addresses, klik tombol +.
- Kolom Address: isi 192.168.10.1/24 (ikutkan prefix /24).
- Dropdown Interface: pilih bridge-lan; kolom Comment isi "Gateway LAN"; klik OK.
- Uji dari laptop: set IP statis 192.168.10.10/24 lalu ping 192.168.10.1 - harus reply.
BEDAH KODE
Tujuan: menetapkan alamat gateway terencana pada jaringan LAN sebagai dasar DHCP, DNS, dan NAT.
Analogi: "Satu gedung satu alamat jalan yang rapi - resepsionis memegang alamat itu untuk seluruh karyawan."
FASE 3: DHCP SERVER LANSLIDE 46
DEFINISI TEKNIS
DHCP server RouterOS membagikan alamat otomatis ke client LAN dan tersusun dari tiga bagian: ip pool (rentang alamat yang dibagikan), dhcp-server (layanan yang terikat pada interface), dan dhcp network (informasi gateway + DNS yang diteruskan ke client). Sewa alamat tercatat sebagai lease di /ip dhcp-server lease. Proses negosiasinya dikenal sebagai DORA: Discover, Offer, Request, Acknowledge.
Untuk awam: tanpa DHCP, setiap orang yang datang harus menulis alamat sendiri di perangkatnya - ribet dan rawan bertabrakan. Dengan DHCP, router bertindak resepsionis: tamu cukup datang, alamat diberikan otomatis, dicatat, dan dikembalikan saat pulang.
ANALOGI KEHIDUPAN
Resepsionis bazar yang membagikan nomor locker: tamu tidak boleh memilih nomor sendiri karena dua orang bisa merebut locker yang sama. Resepsionis mencatat durasi sewa (lease time), mengingatkan saat jatuh tempo, dan mencatat siapa memakai nomor berapa - buku catatan itulah yang dibaca satpam saat ada locker rusak.
# 1. Pool alamat untuk client (sisakan .1-.9 untuk perangkat statis)
/ip pool add name=pool-lan ranges=192.168.10.10-192.168.10.254
# 2. Layanan DHCP terikat pada bridge LAN
/ip dhcp-server add address-pool=pool-lan interface=bridge-lan \
name=dhcp-lan disabled=no
# 3. Network: gateway + DNS yang diterima client
/ip dhcp-server network add address=192.168.10.0/24 \
gateway=192.168.10.1 dns-server=192.168.10.1
# Amati proses DORA secara live saat client bergabung:
/ip dhcp-server lease printVIA WINBOX // LANGKAH GUI
- Buka IP > DHCP Server, klik tombol DHCP Setup (wizard otomatis membuat pool, server, dan network sekaligus).
- DHCP Server Interface: bridge-lan - Next.
- DHCP Address Space: 192.168.10.0/24 - Next; Gateway: 192.168.10.1 - Next.
- Pool: 192.168.10.10-192.168.10.254 - Next; DNS Servers: 192.168.10.1 - Next; Lease Time: 1h - Next lalu OK.
- Verifikasi: tab Leases terisi entri client; dari laptop lakukan release/renew dan cek alamat yang diterima.
BEDAH KODE
Tujuan: membagikan alamat secara terkontrol ke client LAN lengkap dengan gateway dan DNS yang benar.
Analogi: "Resepsionis bazar membagi nomor locker dan mencatat sewanya - dua orang tidak akan berebut satu loker."
FASE 3: DHCP CLIENT WANSLIDE 47
DEFINISI TEKNIS
DHCP client pada interface WAN meminta alamat dari modem/ISP secara otomatis: router menerima IP, parameter DNS, dan biasanya default route dalam satu proses. Parameter penting: add-default-route=yes agar rute keluar dibuat otomatis dan use-peer-dns untuk memilih apakah DNS ISP dipakai atau ditolak. Status negosiasi terlihat di /ip dhcp-client print dengan status bound. Proses negosiasinya sama persis dengan animasi DORA di slide DHCP Server - kali ini router berperan sebagai CLIENT, bukan server.
Untuk awam: di slide sebelumnya router adalah resepsionis (memberi alamat). Sekarang perannya dibalik: menghadap ISP, router adalah tamu yang minta alamat. Satu protokol, dua peran - dan inilah yang membuat konsep DHCP penting dipahami dua arah.
ANALOGI KEHIDUPAN
Warga menitipkan surat permohonan alamat ke pengurus kompleks perumahan. Ia tidak memilih alamat sendiri; pengurus memberi alamat sewa (lease) beserta peta jalan keluar kompleks (default route). Surat siapa pun yang keluar lewat gerbang utama - kecuali ditulis lain di papan pengumuman (static route).
KASUS NYATA
Sensus Shodan gelombang Winbox (2018) - data pemindaian publik yang banyak dikutip media keamanan menunjukkan sekitar 415.000 perangkat RouterOS rentan CVE-2018-14847 terekspos langsung ke internet. Analisis aspek eksposur: begitu WAN aktif, router resmi menjadi warga internet publik - layanan manajemen yang terbuka langsung terlihat pemindai otomatis dalam hitungan jam. Maka hardening layanan HARUS selesai sebelum kabel WAN dicolok.
# Aktifkan DHCP client pada interface WAN
/ip dhcp-client add interface=WAN disabled=no \
add-default-route=yes use-peer-dns=no comment="WAN ISP"
# use-peer-dns=no : DNS diatur manual di router, bukan dari ISP
# Verifikasi status: harus "bound" + terlihat IP dari ISP
/ip dhcp-client print
/ip address printVIA WINBOX // LANGKAH GUI
- Buka IP > DHCP Client, klik tombol +.
- Dropdown Interface: pilih WAN.
- Pastikan Add Default Route tercentang; hilangkan centang Use Peer DNS; klik OK.
- Verifikasi: kolom STATUS berubah menjadi bound dan kolom ADDRESS menampilkan IP dari modem/ISP.
- Silang-cek di IP > Addresses: muncul entri dinamis pada interface WAN.
BEDAH KODE
Tujuan: memperoleh alamat WAN otomatis dari ISP lengkap dengan default route, tanpa membawa DNS ISP yang tak dikendalikan.
Analogi: "Warga memohon alamat ke pengurus kompleks - alamat dan peta jalan keluar diberikan, bukan dipilih sendiri."
FASE 3: DNS ROUTERSLIDE 48
DEFINISI TEKNIS
DNS menerjemahkan nama domain menjadi IP. RouterOS dapat menjadi DNS resolver + cache untuk LAN: atur server upstream (misal 8.8.8.8 dan 1.1.1.1) lalu centang allow-remote-requests=yes agar client menanyakannya ke router. Risiko: bila firewall longgar, opsi ini mengubah router menjadi open resolver - server DNS publik tak berizin yang dapat dipakai pihak luar untuk serangan amplifikasi.
Untuk awam: manusia hafal nama (google.com), komputer hanya mengerti angka (IP). DNS adalah penerjemahnya. Router yang jadi DNS LAN = semua perangkat rumah bertanya ke satu penerjemah yang juga menyimpan catatan jawaban (cache) supaya jawaban berikutnya lebih cepat.
ANALOGI KEHIDUPAN
Buku telepon warung: pembeli cukup menyebut "Warung Bu Sari", bukan koordinat GPS. Membuka allow-remote-requests tanpa aturan = membiarkan orang luar meminjam buku teleponmu lewat jendela; jika ribuan orang mengajukannya bersamaan, warungmu yang kewalahan - dan yang disalahkan pemilik warungnya.
KASUS NYATA
DDoS Spamhaus (Maret 2013) - serangan balasan terhadap layanan anti-spam Spamhaus memuncak sekitar 300 Gbps menurut laporan Cloudflare, memanfaatkan DNS open resolver sebagai amplifikator (DNS reflection). Analisis: resolusi DNS yang tidak dibatasi berubah menjadi amunisi; karena itu allow-remote-requests pada router WAJIB diimbangi firewall yang menolak kueri dari arah WAN.
# Router menjadi DNS cache untuk LAN
/ip dns set servers=8.8.8.8,1.1.1.1 allow-remote-requests=yes
# Bersihkan cache lama agar kueri baru memakai server baru
/ip dns cache flush
# Verifikasi konfigurasi dan uji resolusi:
/ip dns print
/ping google.com count=3VIA WINBOX // LANGKAH GUI
- Buka IP > DNS.
- Kolom Servers: klik + dua kali, isi 8.8.8.8 dan 1.1.1.1.
- Centang Allow Remote Requests (agar client LAN bisa bertanya ke router), klik OK.
- Klik tombol Cache Flush untuk membersihkan cache lama.
- Verifikasi: dari client ping google.com berhasil - artinya resolusi DNS lewat router berjalan.
BEDAH KODE
Tujuan: menjadikan router penyedia DNS LAN yang cepat dengan upstream tepercaya, tanpa menjadi open resolver.
Analogi: "Buku telepon warung dipakai tamu di dalam warung saja - bukan dipinjam orang jalan lewat jendela."
FASE 3: DEFAULT ROUTESLIDE 49
DEFINISI TEKNIS
Default route (0.0.0.0/0) adalah aturan "tujuan tidak dikenal -> lewat sini". Saat DHCP client WAN aktif dengan add-default-route=yes, rute ini umumnya dibuat otomatis dengan gateway dari ISP. Tanpa default route, router dapat membalas ping LAN tetapi tidak pernah bisa keluar ke internet - gejala klasik "ping IP jalan, ping domain mati". Periksa dengan /ip route print; buat manual bila dinamisnya gagal.
Untuk awam: router itu seperti pos paket - punya buku alamat untuk tujuan yang dikenal. Default route adalah aturan pamungkasnya: "alamat yang tidak ada di buku? Semua kirim ke gerbang ISP saja." Tanpa aturan ini, paket tujuan tak dikenal menumpuk di pos dan tidak pernah sampai ke mana-mana.
ANALOGI KEHIDUPAN
Pengumuman di pos satpam kompleks: "Surat ke alamat luar kompleks, serahkan ke pos utama untuk dikirim lewat pintu tol A." Tanpa satu kalimat pengumuman itu, kurir dan penghuni bingung - semua surat keluar menumpuk di pos. Default route adalah pengumuman itu: satu aturan yang menampung semua tujuan yang tidak tercantum di peta.
KASUS NYATA
Route leak Indosat (November 2018) - laporan Oracle Internet Intelligence mendokumentasikan kebocoran rute BGP yang membuat ribuan prefix jaringan global sempat dialihkan melewati jaringan Indosat selama beberapa menit. Analisis: rute adalah penentu arah trafik dunia; satu kesalahan rute mengubah perjalanan data jutaan pengguna. Maka verifikasi tabel rute bukan formalitas - ia adalah disiplin wajib seorang teknisi jaringan.
# Cek apakah default route sudah ada (dari DHCP client WAN):
/ip route print
# Bila belum ada, buat manual (gateway = IP modem/ISP):
/ip route add dst-address=0.0.0.0/0 gateway=192.168.1.1 \
comment="Default route ke ISP"
# Verifikasi hasil:
/ping 8.8.8.8 count=3VIA WINBOX // LANGKAH GUI
- Buka IP > Routes - cek dulu apakah entri 0.0.0.0/0 sudah ada otomatis dari DHCP client (flag berwarna = aktif).
- Bila belum ada, klik tombol +.
- Dst. Address: 0.0.0.0/0; Gateway: isi IP modem/ISP (mis. 192.168.1.1); Comment: "Default route ke ISP"; klik OK.
- Verifikasi: baris 0.0.0.0/0 bertanda aktif, lalu ping 8.8.8.8 dari New Terminal berhasil.
BEDAH KODE
Tujuan: memastikan satu jalur keluar resmi bagi seluruh tujuan tak dikenal sehingga trafik LAN benar-benar mencapai internet.
Analogi: "Pos satpam memasang papan: semua surat luar kompleks lewat pintu tol A - tanpa papan itu, surat menumpuk."
FASE 3: NAT MASQUERADESLIDE 50
DEFINISI TEKNIS
NAT (Network Address Translation) dengan chain srcnat dan action masquerade mengganti alamat sumber setiap paket yang keluar lewat WAN: puluhan IP privat LAN ditutupi di balik satu IP publik WAN. Router menyimpan peta koneksi (connection tracking) agar balasan dari internet kembali ke host yang tepat. Tanpa NAT, paket LAN mungkin keluar tetapi balasannya tak pernah tahu jalan pulang.
Untuk awam: IP privat (192.168.x.x) itu hanya dikenali di dalam rumah - dunia luar tidak tahu alamat itu dan tidak tahu harus membalas ke mana. Masquerade adalah jas seragam kantor: semua surat keluar dari LAN dipaksa memakai satu alamat kantor (IP WAN), dan resepsionis router (conntrack) mencatat siapa mengirim apa supaya balasan sampai ke meja yang tepat.
ANALOGI KEHIDUPAN
Ruang rapat perusahaan hanya punya satu nomor telepon kantor. Seluruh karyawan menelepon klien memakai nomor kantor yang sama (masquerade); resepsionis mencatat siapa sedang menelepon ke mana, sehingga balasan dari klien diteruskan ke meja yang tepat. Klien hanya perlu satu nomor - seluruh mesin birokrasi di belakangnya tak perlu diketahui.
Perhatikan label di kabel: sebelum router, paket memakai IP privat; setelah router, alamat sumbernya sudah ditukar menjadi IP WAN - itulah masquerade. Balasan (biru) kembali ke IP WAN, lalu conntrack meneruskannya ke client yang tepat.
# Rule NAT: trafik keluar WAN dari LAN disamarkan
/ip firewall nat add chain=srcnat out-interface=WAN \
action=masquerade comment="NAT LAN ke Internet"
# chain=srcnat : memodifikasi alamat SUMBER paket keluar
# out-interface=WAN : hanya paket yang keluar lewat WAN
# Nonaktifkan UPnP agar port mapping tak bisa disuntik:
/ip upnp set enabled=no
# Lihat peta conntrack yang menghubungkan dua dunia:
/ip firewall connection printVIA WINBOX // LANGKAH GUI
- Buka IP > Firewall, pindah ke tab NAT, klik tombol +.
- Tab General: Chain = srcnat; Out. Interface = WAN; Comment: "NAT LAN ke Internet".
- Pindah ke tab Action: Action = masquerade; klik OK.
- Tambahan hardening: buka IP > UPnP, hilangkan centang Enabled.
- Verifikasi: dari client buka situs eksternal, lalu tab Connections di jendela Firewall menampilkan entri trafik yang keluar.
BEDAH KODE
Tujuan: memungkinkan seluruh LAN mengakses internet dengan satu IP WAN sambil menutup celah balik UPnP.
Analogi: "Semua karyawan menelepon pakai nomor kantor; resepsionis mencatat siapa menunggu balasan ke meja mana."
FASE 4: FIREWALL DASARSLIDE 51
DEFINISI TEKNIS
Firewall filter RouterOS bekerja pada tiga chain utama: input (trafik menuju router), forward (trafik melintasi router), dan output (trafik dari router). Best practice urutan rule: accept connection-state established,related dan trafik dari LAN lebih dulu, lalu drop invalid, dan terakhir drop input dari WAN. Ingat: rule PERTAMA yang cocok menang - urutan salah berarti admin mengunci dirinya sendiri.
Untuk awam: firewall itu satpam digital router. Tiga chain = tiga titik jaga berbeda: input menjaga pintu router sendiri, forward menjaga lorong yang dilalui paket, output menjaga paket yang keluar dari router. Dan ada aturan emas satpam: dia membaca daftar cek dari atas ke bawah, berhenti di aturan pertama yang cocok.
ANALOGI KEHIDUPAN
Satpam gedung dengan daftar cek berurutan: tamu yang memang sudah berada di dalam dan baru kembali dari toilet (established) diloloskan; orang dengan identitas rusak (invalid) ditolak; dan tidak ada tamu dari jalan (WAN) yang boleh naik langsung ke ruang manajemen. Ubah urutan daftar ceknya - gedung langsung kacau: tamu resmi justru terjebak di luar.
PETA FASE 4 - KEAMANAN & FIREWALL
SIMULATOR INTERAKTIF: URUTAN RULE FIREWALL
Nyalakan/matikan rule, pilih jenis paket, lalu KIRIM - RouterOS mengeksekusi rule PERTAMA yang cocok; rule di bawahnya tidak pernah dibaca.
KASUS NYATA
Meris (2018) - aspek perimeter (aspek berbeda dari slide WinBox): seluruh ratusan ribu korban terinfeksi karena layanan WinBox (port 8291) melayani sambungan langsung dari WAN. Analisis: satu rule sederhana - drop input dari WAN pada interface publik - akan memutus vektor infeksi Meris sepenuhnya. Perlindungan perimeter yang benar sering lebih menentukan daripada perangkat mahal.
# URUTAN PENTING: izinkan LAN lebih dulu (hindari terkunci!)
/ip firewall filter add chain=input in-interface=bridge-lan \
action=accept comment="1. Izinkan akses dari LAN"
/ip firewall filter add chain=input \
connection-state=established,related action=accept \
comment="2. Izinkan koneksi established/related"
/ip firewall filter add chain=input connection-state=invalid \
action=drop comment="3. Drop paket invalid"
/ip firewall filter add chain=input in-interface=WAN \
action=drop comment="4. Drop akses manajemen dari WAN"
/ip firewall filter add chain=forward connection-state=invalid \
action=drop comment="5. Drop forward invalid"
/ip firewall filter printVIA WINBOX // LANGKAH GUI
- Buka IP > Firewall, tab Filter Rules, klik + untuk rule pertama.
- Rule 1: tab General - Chain: input, In. Interface: bridge-lan; tab Action - accept; OK. (Buat ini DULU agar tidak terkunci.)
- Rule 2: Chain input, tab General - Connection State: centang established dan related; Action: accept; OK.
- Rule 3: Chain input, Connection State: invalid; Action: drop; OK.
- Rule 4: Chain input, In. Interface: WAN; Action: drop; OK.
- Verifikasi urutan: rule bernomor 0 paling atas dieksekusi pertama - drag baris untuk menata bila perlu, lalu uji akses dari client LAN (harus tetap bisa) dan dari WAN (harus ditolak).
BEDAH KODE
Tujuan: membangun perimeter minimal yang mengizinkan admin lokal, membiarkan koneksi sah, dan menolak semua inisiasi dari WAN.
Analogi: "Satpam memeriksa sesuai daftar berurutan: tamu dalam, identitas rusak ditolak, dan tak ada tamu jalan yang naik ke atas."
FASE 4: DISABLE UNUSED SERVICESSLIDE 52
DEFINISI TEKNIS
RouterOS membuka beberapa layanan manajemen secara default: ftp, ssh, telnet, www, winbox, api, api-ssl, www-ssl. Setiap layanan aktif adalah satu pintu yang harus dijaga. Best practice security: matikan yang tidak dipakai, batasi yang dipakai dengan parameter address= (whitelist subnet LAN), dan hindari protokol plaintext seperti telnet dan ftp yang mengirim kredensial tanpa enkripsi.
Untuk awam: plaintext artinya data dikirim dalam bentuk yang bisa dibaca siapa pun yang menyadap - seperti mengirim PIN ATM lewat kartu pos. Telnet dan ftp adalah dua layanan lama yang bekerja begitu; karena itu keduanya wajib dimatikan, digantikan SSH dan SFTP yang terenkripsi.
ANALOGI KEHIDUPAN
Gedung sekolah punya delapan pintu, tapi yang benar-benar dipakai hanya pintu utama dan pintu guru - sisanya dikunci setiap hari. Pencuri profesional tidak memaksa pintu baja; mereka mencoba pintu yang lupa dikunci. Setiap layanan RouterOS yang dibiarkan menyala tanpa alasan adalah pintu itu.
STATUS & REKOMENDASI LAYANAN
| LAYANAN | PORT | PROTOKOL | REKOMENDASI |
|---|---|---|---|
| telnet | 23 | plaintext | Disable total - kredensial terbaca |
| ftp | 21 | plaintext | Disable total - kredensial terbaca |
| www | 80 | HTTP | Disable bila tak pakai WebFig |
| winbox | 8291 | biner | Aktif, address= subnet LAN saja |
| ssh | 22 | terenkripsi | Aktif, address= subnet LAN saja |
| api / api-ssl | 8728/8729 | otomasi | Disable bila tak ada sistem eksternal |
KASUS NYATA
Mirai (2016) - botnet IoT yang menular dengan memindai perangkat ber-akses telnet memakai tabel kredensial default; puncaknya sekitar 600.000 perangkat terinfeksi, dan pada 21 Oktober 2016 botnet ini melumpuhkan penyedia DNS Dyn sehingga layanan besar (Twitter, Netflix, Reddit) terganggu di sebagian dunia. Analisis: layanan lama yang dibiarkan aktif dengan kredensial lemah adalah pintu yang tidak pernah dikunci.
# Matikan layanan plaintext/tak terpakai sekaligus
/ip service disable ftp,telnet,www,api,api-ssl,www-ssl
# Batasi layanan yang tersisa hanya untuk subnet LAN
/ip service set winbox address=192.168.10.0/24
/ip service set ssh address=192.168.10.0/24
# Verifikasi: kolom AVAILABLE-FROM harus LAN saja
/ip service printVIA WINBOX // LANGKAH GUI
- Buka IP > Services - daftar 8 layanan tampil dengan status aktif.
- Klik baris ftp lalu tombol X (disable) di toolbar; ulangi untuk telnet, www, api, api-ssl, dan www-ssl.
- Double-click winbox, kolom Available From isi 192.168.10.0/24, klik OK; lakukan hal sama untuk ssh.
- Verifikasi: kolom layanan yang dimatikan berwarna redup (disabled), dan Available From hanya menunjuk subnet LAN.
BEDAH KODE
Tujuan: mengurangi permukaan serangan router menjadi dua pintu terenkripsi yang hanya bisa diakses dari LAN.
Analogi: "Delapan pintu gedung dikunci kecuali dua pintu resmi - pencuri selalu mencari pintu yang lupa dikunci."
FASE 5: TESTING KONEKSISLIDE 53
DEFINISI TEKNIS
Testing berlapis memverifikasi tiap lapisan konfigurasi dengan hipotesis yang jelas: ping gateway (LAN dan IP benar), ping 8.8.8.8 (routing + NAT benar), ping google.com (DNS benar), dan traceroute (jalur terlihat). Setiap tes menutup satu kemungkinan penyebab, sehingga kegagalan langsung menunjuk lapisan yang bermasalah - bukan menebak "internetnya yang rusak".
Untuk awam: konfigurasi yang selesai diketik belum tentu benar - ia baru benar setelah teruji. Empat tes ini seperti empat lampu lalu lintas berjenjang: jika lampu 1 hijau tapi lampu 2 merah, masalahnya pasti di lapisan routing/NAT - bukan di kabel, bukan di DNS.
ANALOGI KEHIDUPAN
Uji jalan setelah motor diservis: nyalakan mesin di garasi (LAN), keluar kompleks pelan (route + NAT), tanyakan nama jalan pada papan petunjuk (DNS), baru mudik jauh dengan percaya diri (produksi). Melewatkan satu tahap berarti baru tahu mesin mati di jalan raya - padahal gejalanya bisa dibaca sejak garasi.
KASUS NYATA
Facebook outage (4 Oktober 2021) - perubahan konfigurasi internal menarik rute BGP sehingga layanan global down sekitar 6 jam; jalur manajemen jarak jauh ikut terputus sehingga teknisi harus masuk fisik ke data center; estimasi kerugian pendapatan mencapai puluhan juta dolar (analisis media teknologi). Analisis: konfigurasi yang diubah tanpa uji bertahap dan tanpa jalur verifikasi cadangan mengubah satu kesalahan menjadi insiden global - prinsipnya identik dengan router lab, hanya skalanya berbeda.
GRAFIK LIVE: SIMULASI MONITOR TRAFIK (TX/RX)
Grafik ini simulasi pola lalu-lalang data (berjalan hanya saat slide ini aktif). Membaca bentuk kurva naik-turun adalah dasar memakai Torch dan Graphing asli di RouterOS: puncak mendadak = host aktif atau serangan, garis datar = jaringan sepi.
# Lapisan 1: LAN - gateway terjangkau
/ping 192.168.10.1 count=3
# Lapisan 2: routing + NAT - IP publik terjangkau
/ping 8.8.8.8 count=3
# Lapisan 3: DNS - nama domain terjemahannya benar
/ping google.com count=3
# Lapisan 4: jalur - lihat hop demi hop
/tool traceroute 8.8.8.8VIA WINBOX // LANGKAH GUI
- Buka menu Tools > Ping - kolom Ping To: 192.168.10.1, klik Ping (lapisan LAN).
- Ganti ke 8.8.8.8, klik Ping (lapisan routing + NAT).
- Ganti ke google.com, klik Ping (lapisan DNS).
- Buka Tools > Trace, Trace To: 8.8.8.8, klik Trace - amati hop demi hop jalur keluar.
- Cross-check dari laptop client: buka beberapa situs eksternal - harus terbuka.
BEDAH KODE
Tujuan: memverifikasi konfigurasi lapis demi lapis agar kegagalan langsung menunjuk lapisan penyebabnya.
Analogi: "Uji jalan motor bertahap: garasi dulu, kompleks, baru mudik - jangan ketahuan mati di jalan raya."
FASE 5: BACKUP (.BACKUP)SLIDE 54
DEFINISI TEKNIS
Perintah /system backup save menghasilkan file .backup - snapshot biner seluruh konfigurasi, termasuk password terenkripsi. Restore hanya andal pada perangkat yang sama / model sama dengan versi RouterOS serupa, karena formatnya bergantung hardware. File backup wajib diunduh keluar router melalui menu Files WinBox - backup yang tersimpan di dalam router yang bermasalah bukanlah backup.
Untuk awam: bayangkan sudah berjuang 30 menit mengatur router dengan rapi - lalu listrik padam dan konfigurasi kacau. Dengan backup, pemulihan butuh 30 detik. Tanpa backup, kamu mengulang 30 menit dari nol. Itulah selisihnya.
ANALOGI KEHIDUPAN
Mefotokopi ijazah lalu menyimpan salinannya di rumah orang tua: jika rumahmu kebakaran, identitas akademikmu tetap bisa dibuktikan. Menyimpan file backup di dalam router itu sendiri sama saja menyimpan fotokopi ijazah di dompet yang sama dengan ijazah aslinya - hilangnya bersamaan.
KASUS NYATA
VPNFilter (2018) - aspek pemulihan (aspek berbeda dari slide Bridge/DHCP): rekomendasi resmi Cisco Talos kepada korban adalah factory reset karena firmware dianggap terkompromi. Analisis: perangkat yang pemiliknya punya konfigurasi terdokumentasi pulih dalam hitungan menit setelah reset; yang tidak, harus membangun ulang dari ingatan - backup menentukan waktu pemulihan, bukan sekadar rasa aman "punya cadangan".
# Simpan snapshot konfigurasi dengan penamaan bertanggal
/system backup save name=RB941-KANTOR-20240610 \
password="KunciBackup#1"
# password= : file backup terenkripsi, aman di luar perangkat
# Verifikasi file muncul:
/file print
# WAJIB: unduh via WinBox -> menu Files -> drag ke komputerVIA WINBOX // LANGKAH GUI
- Buka menu Files di WinBox, klik tombol Backup.
- Isi Backup Name: RB941-KANTOR-20240610 dan Password: kunci rahasia, klik OK.
- File .backup muncul di daftar Files.
- Drag file dari jendela Files ke desktop komputer (atau klik kanan - Download) - backup kini tersimpan DI LUAR router.
- Restore saat dibutuhkan: drag file kembali ke Files, klik file - tombol Restore.
BEDAH KODE
Tujuan: menghasilkan snapshot pemulihan cepat untuk perangkat yang sama dan menyimpannya di luar router.
Analogi: "Fotokopi ijazah disimpan di rumah orang tua - bukan di dompet yang sama dengan aslinya."
FASE 5: EXPORT (.RSC)SLIDE 55
DEFINISI TEKNIS
Perintah /export file= menghasilkan teks skrip perintah .rsc yang bisa dibaca manusia dan diimpor ke RouterOS perangkat lain (dengan penyesuaian). Berbeda dari .backup yang bersifat biner dan terikat perangkat sama, .rsc berfungsi ganda: dokumentasi yang bisa diaudit dan alat migrasi antar perangkat - karena itu best practice menjalankan keduanya.
Untuk awam: kalau .backup itu fotokopi (cepat tapi terikat aslinya), maka .rsc adalah teks resep yang bisa dibaca siapa pun, dianalisis, dan dipraktikkan di "dapur" perangkat lain. Dokumen .rsc inilah yang biasanya diminta atasan saat audit: "konfigurasinya mana?"
ANALOGI KEHIDUPAN
Resep masakan ibu yang ditulis rapi di buku bisa dipraktikkan di dapur siapa pun dengan penyesuaian kompor; sedangkan kunci ruko yang disimpan hanya bermakna untuk ruko itu sendiri. Backup biner = kunci ruko; export .rsc = resep tertulis - karena itu teknisi andal selalu menulis resepnya.
KASUS NYATA
Meris (2018) - aspek rekonstruksi (aspek berbeda dari slide WinBox/Identity/Firewall): mayoritas korban yang perangkatnya harus direset tidak memiliki ekspor konfigurasi, sehingga pemulihan berarti membangun ulang router dari nol, langkah demi langkah. Analisis: satu file .rsc yang tersimpan rapi memangkas waktu pulih sekaligus menjadi bukti audit konfigurasi sebelum insiden.
# Ekspor seluruh konfigurasi ke file teks .rsc
/export file=RB941-KANTOR-KONFIG
# Hasil .rsc muncul di /file - unduh dan baca isinya
# Impor di perangkat lain (dengan penyesuaian):
/import file-name=RB941-KANTOR-KONFIG.rsc
# comment= pada rule membuat file .rsc eksplanatifVIA WINBOX // LANGKAH GUI
- Buka New Terminal dari WinBox, jalankan /export file=RB941-KANTOR-KONFIG (export sendiri adalah proses CLI).
- Buka menu Files - file RB941-KANTOR-KONFIG.rsc muncul di daftar.
- Drag file .rsc ke desktop komputer; buka dengan Notepad - isinya skrip teks yang bisa dibaca manusia.
- Untuk migrasi: upload file .rsc ke router tujuan (drag ke Files), lalu di terminal tujuan jalankan /import file-name=... dengan penyesuaian MAC/IP WAN.
BEDAH KODE
Tujuan: menghasilkan dokumentasi konfigurasi berbentuk skrip yang bisa diaudit dan dipakai migrasi antar perangkat.
Analogi: "Resep masakan ibu ditulis rapi di buku - bisa dipraktikkan di dapur siapa pun, bukan cuma satu ruko."
FASE 5: TROUBLESHOOTING FUNDAMENTALSLIDE 56
DEFINISI TEKNIS
Troubleshooting jaringan mengikuti pola eliminasi terurut: fisik (kabel, lampu) -> IP/interface -> route -> NAT -> DNS -> aplikasi. Diagnosis bergerak dari lapisan bawah ke atas; satu hipotesis diuji dengan satu perubahan; setiap hasil dicatat. Ini bukan langkah konfigurasi, melainkan sesi verifikasi kompetensi atas seluruh materi - keterampilan yang membedakan teknisi dari penekan tombol.
Untuk awam: troubleshooting adalah kemampuan menjawab "kenapa internet mati?" secara sistematis. Perbedaan teknisi dan pemula bukan pada seberapa banyak tombol yang ia tahu, melainkan pada urutan pertanyaan yang ia ajukan saat semuanya diam.
ANALOGI KEHIDUPAN
Dokter puskesmas memeriksa nadi dan suhu lebih dulu sebelum memesan CT scan - tiap pemeriksaan menutup satu kemungkinan dan menunjuk pemeriksaan berikutnya. Mendiagnosis dengan "asal coba-coba" justru menambah penyakit baru: satu perubahan acak menutupi gejala asli dan membuat kasus makin sulit dibaca.
KASUS NYATA
Cloudflare regex outage (2 Juli 2019) - satu perubahan ekspresi reguler memicu konsumsi CPU berlebih sehingga sekitar 27% trafik HTTP dunia melalui Cloudflare gagal selama kurang lebih 27 menit. Analisis: pemulihan cepat terjadi karena tim menelusuri log dan grafik secara sistematis, mengubah satu variabel, dan memverifikasi - metode diagnosis yang disiplin memangkas waktu mati lebih dari alat canggih mana pun.
# SOP cek bawah -> atas: fisik -> IP -> route -> NAT -> DNS
/interface print stats
# cek TX/RX bergerak = kabel dan port hidup
/ip address print
# gateway ada di interface yang benar?
/ip route print
# default route muncul dengan status aktif?
/ip firewall nat print
# rule srcnat masquerade ada dan out-interface=WAN?
/ping 8.8.8.8 count=3
# gagal di sini = route/NAT; sukses tapi domain gagal = DNS
/ping google.com count=3VIA WINBOX // LANGKAH GUI
- FISIK: buka Interfaces - kolom R (running) harus aktif dan stat Tx/Rx bertambah saat ada trafik.
- IP: buka IP > Addresses - gateway terpasang di interface yang benar.
- ROUTE: buka IP > Routes - entri 0.0.0.0/0 harus aktif (tidak redup/inactive).
- NAT: buka IP > Firewall > NAT - rule masquerade ada, out-interface WAN, tanpa tanda disabled.
- DNS: buka Tools > Ping - bandingkan ping 8.8.8.8 vs ping google.com; IP jalan tapi domain gagal berarti masalah ada di DNS.
BEDAH KODE
Tujuan: memverifikasi seluruh rantai konfigurasi dengan urutan eliminasi yang sama persis seperti saat membangunnya.
Analogi: "Dokter puskesmas cek nadi dan suhu dulu - bukan langsung CT scan, dan tidak menambah penyakit dengan coba-coba."
STUDI KASUS NYATA: BOTNET MERIS 2018SLIDE 57
NARASI INSIDEN
Pada pertengahan 2018, peneliti keamanan (Kafeine/Malwarebytes dan Forcepoint Security Labs) melaporkan munculnya botnet bernama Meris yang menyusup perangkat RouterOS lewat bug WinBox CVE-2018-14847 - kerentanan yang sudah dipublikasikan dan sudah tersedia patchnya. Meski begitu, ratusan ribu router tetap terinfeksi karena tidak pernah diperbarui maupun diproteksi. Botnet ini kemudian dimanfaatkan sebagai tenaga serangan DDoS skala besar (laporan Qrator menyebut Meris sebagai aktor DDoS dominan pada 2020-2021).
| KOMPONEN | TEMUAN ANALISIS |
|---|---|
| PEOPLE | Admin tidak memperbarui RouterOS dan tidak mengganti praktik akses default; banyak pemilik tidak sadar router mereka terinfeksi. |
| PROCESS | Tidak ada SOP patching, hardening awal (password, services, firewall), maupun monitoring layanan manajemen yang terbuka ke WAN. |
| TECHNOLOGY | RouterOS versi lama, WinBox port 8291 melayani internet publik, tanpa firewall input yang menolak inisiasi dari WAN. |
PELAJARAN UNTUK KITA
- Terapkan urutan hardening SEBELUM router online: password, services terbatas, firewall input WAN.
- Schedule patching RouterOS seperti halnya jadwal piket - versi lama adalah undangan terbuka.
- Dokumentasikan seluruh konfigurasi (.rsc) agar pemulihan insiden berhitung menit, bukan hari.
- Review dampak hukum: di Indonesia, perangkat yang dibiarkan dipakai menyerang pihak lain dapat menyentuh ranah UU ITE - tanggung jawab admin itu nyata.
TANYA AWAM
"Router kecil di rumah kok bisa jadi senjata serangan global?"
Karena router yang disusupi berubah menjadi prajurit tanpa sadar pemiliknya: ribuan router membanjiri satu target bersamaan (DDoS) atau menyadap trafik yang lewat. Angka 200 ribu perangkat terdengar besar, tapi dipakai serentak melawan satu target - kalahnya selalu target. Itulah mengapa router rumahan yang "kecil dan sepele" adalah sasaran buronan botnet sepanjang waktu.
KUIS INTERAKTIF10 SOAL
RANGKUMAN & TAKEAWAYSLIDE 59
RANGKUMAN PENDAHULUAN (SLIDE 09-36)
- MikroTik (Latvia, 1996) = perusahaan; RouterOS = sistem operasinya; RouterBOARD = hardware-nya; CHR = versi virtualnya.
- Sertifikasi bertingkat dari MTCNA (dasar) hingga MTCINE (BGP/MPLS); jalur sekolah via Mikrotik Academy.
- Lisensi fisik sekali beli; lisensi CHR menentukan batas kecepatan antarmuka.
- CLI berpola PATH-SUBMENU-VERB; TAB dan ? adalah sahabat, safe mode adalah pengaman.
- Interface = seluruh pintu logis; port ethernet punya batas fisik 100/1000 Mbps.
- Akses manajemen: WinBox (8291/MAC), WebFig (80/443), SSH, Telnet (matikan!), API, serial console.
- Upgrade rutin + backup otomatis via scheduler adalah dua kebiasaan perawatan wajib.
RANGKUMAN PRAKTIK 5 FASE (SLIDE 37-56)
- Fase 1: Reset -> Login MAC -> Remove Config -> Password -> Identity.
- Fase 2: NTP+timezone -> Rename WAN/LAN -> Bridge RSTP.
- Fase 3: IP gateway -> DHCP server (DORA) -> DHCP client WAN -> DNS -> Default route -> NAT masquerade.
- Fase 4: Firewall input (accept LAN -> established -> drop invalid -> drop WAN) -> Disable services.
- Fase 5: Testing berlapis -> Backup .backup -> Export .rsc -> Troubleshooting eliminasi.
- NAT menukar IP sumber LAN jadi IP WAN (lihat animasi slide 50); firewall first-match (simulator slide 51).
- SINTESIS: keamanan router lahir dari urutan yang disiplin - CLI dan WinBox hanyalah dua pintu ke konfigurasi yang sama.
TAKEAWAY MESSAGE
Setup MikroTik dari nol pada dasarnya adalah latihan karakter seorang teknisi: teliti pada fase akses, disiplin pada fase sistem dan jaringan, waspada pada fase keamanan, dan bertanggung jawab pada fase finalisasi. Kuasai KEDUA jalur - CLI untuk kecepatan dan otomasi, WinBox untuk visualisasi dan verifikasi - karena teknisi hebat tidak memilih salah satu, ia menguasai keduanya. Insiden Meris 2018 membuktikan bahwa urutan yang dilewatkan sekecil apa pun menjadi pintu bagi botnet ratusan ribu perangkat.
GLOSARIUMSLIDE 60
| ISTILAH | DEFINISI SINGKAT |
|---|---|
| RouterOS | Sistem operasi jaringan berbasis Linux dari MikroTik; menjalankan seluruh perangkat MikroTik (generasi terkini: v7). |
| RouterBOARD | Lini hardware (board) produksi MikroTik tempat RouterOS berjalan; kode resminya berformat RBxxx. |
| CHR | Cloud Hosted Router - RouterOS versi virtual machine untuk hypervisor dan cloud. |
| MTCNA | MikroTik Certified Network Associate - sertifikasi dasar RouterOS, gerbang semua jalur sertifikasi. |
| WinBox v4 | Generasi baru aplikasi manajemen grafis RouterOS, ditulis dengan Rust, tersedia native Windows/macOS/Linux. |
| WebFig | Antarmuka grafis RouterOS berbasis browser (www/www-ssl) dengan struktur menu sama seperti WinBox. |
| Quick Set | Wizard satu halaman untuk konfigurasi dasar cepat (WAN, WiFi, LAN) di WinBox/WebFig. |
| NPK | Format paket instalasi RouterOS; wajib cocok arsitektur board dan versi OS saat dipasang. |
| MAC Address | Identitas fisik 48-bit network interface card; berlaku pada lapisan data-link. |
| Default Configuration | Skrip bawaan RouterOS (IP 192.168.88.1/24, DHCP, firewall dasar) yang dimuat setelah reset tombol. |
| Bridge | Mekanisme Layer 2 yang menggabungkan beberapa interface menjadi satu jaringan switch virtual. |
| Broadcast Domain | Wilayah jaringan tempat frame broadcast menjangkau semua host; dipisahkan oleh router/VLAN. |
| DHCP / DORA | Protokol pemberian IP otomatis; negosiasinya berurutan Discover-Offer-Request-Acknowledge. |
| Lease | Catatan sewa alamat DHCP berisi durasi dan pemakai alamat tersebut. |
| NAT Masquerade | Action srcnat yang mengganti IP sumber LAN menjadi IP WAN agar trafik privat bisa keluar ke internet. |
| Conntrack | Tabel connection tracking yang mengingat tiap koneksi agar balasan internet kembali ke host yang tepat. |
| First Match | Prinsip eksekusi firewall: rule pertama yang cocok menang; rule di bawahnya tidak pernah dibaca. |
| Open Resolver | Server DNS yang melayani kueri dari siapa saja; kerap disalahgunakan untuk amplifikasi DDoS. |
| File .backup | Snapshot biner seluruh konfigurasi RouterOS untuk restore pada perangkat yang sama. |
| File .rsc | Skrip teks hasil /export; berfungsi sebagai dokumentasi dan alat migrasi antar perangkat. |
DAFTAR PUSTAKASLIDE 61
REFERENSI VALID
- MikroTik. (2024). RouterOS Documentation: First Time Configuration, Firewall, DHCP, CHR Licensing. MikroTik Official Docs - mikrotik.com/docs.
- MikroTik. (2024). WinBox 4 Announcement & Download Page. mikrotik.com/download.
- Dischi, S. (2016). RouterOS by Example. Independently Published.
- Cisco Talos Intelligence. (2018). VPNFilter: An In-Depth Analysis. talosintelligence.com.
- Forcepoint Security Labs. (2018). Vigorous Meris Activity Widely Impacts MikroTik RouterOS Users. forcepoint.com/blog.
- US-CERT. (2014). TA14-013A: NTP Amplification Attacks Using CVE-2013-5211. cisa.gov/uscert.
- Akamai Technologies. (2019). UPnProxy: 3.5M Machines Potentially Vulnerable to Exploitation via NAT Injections. akamai.com/blog.
- NIST. (2012). SP 800-115: Technical Guide to Information Security Testing and Assessment. National Institute of Standards and Technology.
PERTANYAAN REFLEKSIDEEP LEARNING
RENUNGKAN DAN DISKUSIKAN
- Router tetangga yang passwordnya masih kosong terlihat seperti "peluang belajar gratis" - di mana garis batas antara rasa ingin tahu dan penyusupan menurut UU ITE?
- Quick Set dan wizard membuat konfigurasi mudah, tetapi Meris lahir dari admin yang berhenti di kemudahan - kapan kenyamanan harus dikalahkan oleh keamanan?
- Di lapangan, sebagian teknisi hanya menguasai WinBox dan asing dengan CLI - apa risiko jangka panjang bagi karier seorang teknisi yang hanya pegang satu jalur konfigurasi?
- Jika router sekolah yang kamu setup disusupi dan data siswa bocor, siapa yang bertanggung jawab: sekolah sebagai pemilik, kamu sebagai konfigurator, atau vendor?
DEMONSTRASI LABSLIDE 63
SIMULASI
Bangun topologi virtual memakai CHR di GNS3/EVE-NG: praktikkan kelima fase setup dalam dual mode - satu kelompok pakai CLI, satu kelompok pakai WinBox - lalu bandingkan hasil /export keduanya (harus identik secara logika).
DIAGNOSIS
Guru menyisipkan 3-5 kesalahan tersembunyi (NTP mati, NAT hilang, firewall salah urutan, pool DHCP salah subnet); kelompok berlomba mendiagnosis dengan metode eliminasi berlapis - bebas memilih CLI atau WinBox - sambil mencatat setiap hipotesis.
PENCEGAHAN
Susun checklist hardening 10 langkah untuk router produksi sekolah: mulai dari password, pembatasan services, firewall input WAN, hingga jadwal backup dan export bulanan dengan penanggung jawab.
RANGKUMAN UNTUK DITULISCATATAN SISWA
SALIN POIN INI KE BUKU TULIS ANDA
- MikroTik = perusahaan (Latvia, 1996); RouterOS = sistem operasinya; RouterBOARD = hardware-nya; CHR = versi virtualnya.
- CLI RouterOS berpola PATH-SUBMENU-VERB; pakai TAB, ?, dan safe mode (Ctrl+X).
- Urutan wajib Fase 1: Reset -> Login MAC -> Remove Config -> Password -> Identity.
- Setiap langkah punya dua jalur: CLI (New Terminal) dan WinBox (GUI) - hafalkan keduanya.
- WAN = ether1; LAN2-LAN5 digabung dalam satu bridge + IP gateway 192.168.x.1/24.
- DHCP = DORA (Discover-Offer-Request-Ack); NAT menukar IP sumber LAN jadi IP WAN (animasi slide 46 & 50).
- DNS allow-remote-requests WAJIB diimbangi firewall drop input dari WAN; firewall first-match (simulator slide 51).
- Tutup semua dengan: firewall berurutan, matikan services, testing berlapis, backup .backup + export .rsc.
"THE NETWORK IS THE COMPUTER."
JOHN GAGE - SUN MICROSYSTEMS, 1984
"JUST RELAX A LITTLE, STAY SAFE, STAY CURIOUS, STAY ETHICAL, STAY LEGAL, AND STAY COFFEE"
Dari sejarah MikroTik di Riga 1996, sampai tombol reset di sisi kotak RB941 dan file .rsc yang tersimpan rapi - alur setup MikroTik dari nol pada dasarnya adalah latihan karakter seorang teknisi: teliti, terurut, dan tidak pernah meninggalkan satu pintu pun terbuka. Kuasai CLI dan WinBox berdua-duanya, mainkan lagi simulatornya sampai paham, lalu selamat berpraktik di lab; sampai jumpa di sesi diagnosis berikutnya.