Panduan lengkap konfigurasi RouterBoard RB941-2nD (hAP lite) via WinBox - dari nol sampai router siap produksi. Setiap bab dilengkapi definisi, langkah GUI, perintah CLI, analogi, topologi, analisa kelebihan-kekurangan, dan animasi proses.
Unduh: https://mikrotik.com/download → bagian WinBox. Gunakan versi terbaru agar kompatibel dengan RouterOS v6/v7.
admin, password sesuai setelan (kosong = default pabrik sebelum diganti).| Mode login | Layer | Syarat | Kegunaan |
|---|---|---|---|
| Via MAC | Layer 2 | Satu broadcast domain; kabel di LAN | Recovery, setelah reset, belum ada IP |
| Via IP | Layer 3 | Router sudah punya IP; PC se-subnet atau routing | Akses harian setelah jaringan jalan |
Menu kiri = kategori konfigurasi. Area kanan = tabel / form. Pola kerja di hampir semua bab ebook:
| Menu kiri (sering dipakai) | Isi konfigurasi di ebook |
|---|---|
| Interfaces | Rename ether1-WAN, status link |
| Bridge | bridge1-LAN + ports ether2–4, wlan1 |
| Wireless | Security profile, wlan1, virtual AP wlan2 |
| IP → Addresses | IP LAN & hotspot |
| IP → DHCP Client / Server | WAN dari ISP; pool LAN |
| IP → DNS | Upstream DNS + allow remote requests |
| IP → Routes | Default route 0.0.0.0/0 |
| IP → Firewall → NAT | Masquerade ke ether1-WAN |
| IP → Hotspot | Setup wizard, user, profile, walled garden |
| Queues | Simple Queue bandwidth |
| System → Identity / Users / Clock | Nama, akun, waktu |
| System → Scripts / Scheduler | Otomasi |
| IP → Services | Disable telnet, ftp, www, api |
| Jalur | Bentuk | Contoh (rename ether1) |
|---|---|---|
| WinBox GUI | Klik menu + form | Interfaces → double-click ether1 → Name = ether1-WAN → OK |
| CLI / Script | Teks perintah | /interface ethernet set [find default-name=ether1] name=ether1-WAN |
Keduanya mengubah konfigurasi yang sama di RouterOS. GUI cocok untuk belajar visual; CLI cocok untuk ulang konfigurasi cepat dan dokumentasi.
print menampilkan status (address, route, lease, dll.)./ip address print
/ip route print
/interface print
/system resource print| Tahap | Bab | Menu WinBox utama |
|---|---|---|
| Persiapan | 03–05 | Neighbors, System → Reset / Identity / Users, Interfaces |
| WiFi + Bridge | 06–07 | Wireless, Bridge → Ports |
| Internet | 08–14 | DHCP Client, Routes, Addresses, DNS, Firewall → NAT |
| LAN & Tamu | 15–16 | DHCP Server, Hotspot Setup / Users |
| Kontrol | 17–19 | Layer7, Web Proxy, Simple Queue |
| Otomasi & aman | 20–22 | Scripts, Scheduler, Services, SSH |
| Monitor & blokir | 23–24 | Log, Torch, ARP, DNS Static |
/export file=backup-lab di Terminal, lalu unduh file dari Files./system identity print.https://help.mikrotik.com/docs/display/ROS/WinBox · Download: https://mikrotik.com/download
Setiap kartu adalah satu bab. Klik untuk lompat langsung. Semua bab sudah dilengkapi animasi proses.
Penjelasan mendalam: RouterOS bukan sekadar firmware biasa. Ia menyediakan fitur yang biasanya hanya tersedia di perangkat mahal: routing dinamis (OSPF, BGP, RIP), firewall stateful dengan connection tracking, bandwidth management (Simple Queue & Queue Tree), hotspot captive portal, VPN (IPsec, L2TP, PPTP, OpenVPN, WireGuard di versi baru), web proxy, Layer7 protocol filtering, scripting engine, dan monitoring tools. Semua dapat dikonfigurasi lewat tiga cara: WinBox (GUI native), WebFig (GUI berbasis web), dan CLI (terminal/SSH).
RB941-2nD (nama dagang hAP lite) adalah RouterBoard entry-level 2.4 GHz yang sangat populer di Indonesia untuk lab sekolah (UKK/LKS TKJ), warnet kecil, dan jaringan rumah. Meski spesifikasi rendah, lisensi Level 4 sudah mencakup hampir seluruh fitur inti RouterOS yang dibutuhkan untuk pembelajaran dan jaringan skala kecil.
| Komponen | Spesifikasi | Keterangan Praktis |
|---|---|---|
| CPU | Qualcomm Atheros QCA9531 650 MHz (1 core) | Arsitektur MIPS BE; throughput terbatas saat banyak rule |
| RAM | 32 MB | Batas concurrent connection & jumlah rule firewall |
| Storage | 16 MB NAND | Termasuk RouterOS + file konfigurasi + hotspot files |
| Ethernet | 4 × 10/100 Mbps | ether1 biasanya WAN; ether2–4 LAN (bukan Gigabit) |
| Wireless | 2.4 GHz 802.11b/g/n, 1×1 (1 antena internal ~1.5–2 dBi) | Hanya 1 radio fisik — virtual AP berbagi channel |
| Lisensi | RouterOS Level 4 | Hotspot user terbatas; cukup untuk lab & UKM kecil |
| Daya | PoE pasif 8–30 V pada ether1 atau jack DC 5 V | Konsumsi tipikal 3–4 W |
| Ukuran | 113 × 89 × 28 mm | Sangat kompak, cocok dipasang di rak kecil |
https://mikrotik.com/product/RB941-2nD dan datasheet. Dokumentasi RouterOS: https://help.mikrotik.com. Selalu cocokkan versi RouterOS yang terpasang (v6.x vs v7.x) karena nama menu dan perintah CLI bisa berbeda.Setiap paket yang masuk melewati rantai (chain) firewall, keputusan routing, dan NAT sebelum keluar interface.
Penjelasan mendalam: Pada RB941-2nD kita memisahkan jaringan terpercaya (lab/karyawan) dari jaringan tamu (hotspot). Secara fisik semua port berada di satu perangkat keras. Secara logical kita membuat dua domain: bridge1-LAN (172.16.96.0/24) yang menggabungkan ether2, ether3, ether4, dan wlan1; serta wlan2-hotspot (10.0.0.0/24) yang berdiri sendiri untuk captive portal. Pemisahan ini mengurangi risiko lateral movement dan memudahkan penerapan policy berbeda (firewall, queue, hotspot).
Kabel dari modem ISP masuk ke ether1-WAN. Port ether2–4 dan wlan1 digabung di bridge. wlan2 berdiri sendiri untuk hotspot terbuka.
Titik kuning bergerak menggambarkan alur paket dari internet → modem → ether1-WAN → router → perangkat LAN.
Perencanaan alamat IP harus selaras dengan topologi logical. Lab ini memakai dua segmen privat (RFC 1918) yang terpisah agar policy firewall, DHCP, dan hotspot tidak bercampur.
| Segmen | Network | Prefix | Subnet Mask | Gateway | Range Host / Pool | Interface |
|---|---|---|---|---|---|---|
| LAN Lab | 172.16.96.0 | /24 | 255.255.255.0 | 172.16.96.254 | 172.16.96.1 – 172.16.96.253 | bridge1-LAN (ether2–4 + wlan1) |
| Hotspot Tamu | 10.0.0.0 | /24 | 255.255.255.0 | 10.0.0.1 | 10.0.0.2 – 10.0.0.254 (pool wizard) | wlan2-hotspot |
| WAN | Dinamis dari ISP (DHCP Client di ether1-WAN) | IP publik/modem | ether1-WAN | |||
| Komponen | Nilai | Keterangan |
|---|---|---|
| Network address | 172.16.96.0 | Tidak di-assign ke host |
| Broadcast address | 172.16.96.255 | Tidak di-assign ke host |
| Host usable | 172.16.96.1 – 172.16.96.254 | 254 alamat |
| Gateway (router) | 172.16.96.254 | IP di bridge1-LAN |
| DHCP pool (contoh) | 172.16.96.1 – 172.16.96.253 | Sisakan .254 untuk gateway |
| Jumlah host max | 254 | 28 − 2 = 254 |
CIDR /24 = 8 bit host → mask 255.255.255.0. Jika butuh segmen lebih kecil (mis. /28 = 14 host), sesuaikan network, gateway, dan pool DHCP agar tidak saling tumpang tindih.
alamat/prefix. Angka setelah garis miring = jumlah bit network. Semakin besar prefix (/30, /32), semakin kecil jumlah host. Tabel di bawah mencakup /0 hingga /32 untuk referensi cepat perencanaan subnet, VLSM, dan route summarization.
| Prefix | Subnet Mask | Bit host | Jumlah alamat | Host usable* | Kegunaan tipikal |
|---|---|---|---|---|---|
| /0 | 0.0.0.0 | 32 | 4.294.967.296 | — | Default route (seluruh IPv4) |
| /1 | 128.0.0.0 | 31 | 2.147.483.648 | — | Agregasi sangat besar |
| /2 | 192.0.0.0 | 30 | 1.073.741.824 | — | Agregasi besar |
| /3 | 224.0.0.0 | 29 | 536.870.912 | — | Agregasi |
| /4 | 240.0.0.0 | 28 | 268.435.456 | — | Agregasi |
| /5 | 248.0.0.0 | 27 | 134.217.728 | — | Agregasi |
| /6 | 252.0.0.0 | 26 | 67.108.864 | — | Agregasi |
| /7 | 254.0.0.0 | 25 | 33.554.432 | — | Agregasi |
| /8 | 255.0.0.0 | 24 | 16.777.216 | 16.777.214 | ex-Class A |
| /9 | 255.128.0.0 | 23 | 8.388.608 | 8.388.606 | Blok besar |
| /10 | 255.192.0.0 | 22 | 4.194.304 | 4.194.302 | Blok besar |
| /11 | 255.224.0.0 | 21 | 2.097.152 | 2.097.150 | Blok besar |
| /12 | 255.240.0.0 | 20 | 1.048.576 | 1.048.574 | Blok besar (mirip 172.16/12 privat) |
| /13 | 255.248.0.0 | 19 | 524.288 | 524.286 | ISP / kampus |
| /14 | 255.252.0.0 | 18 | 262.144 | 262.142 | ISP / kampus |
| /15 | 255.254.0.0 | 17 | 131.072 | 131.070 | ISP / kampus |
| /16 | 255.255.0.0 | 16 | 65.536 | 65.534 | ex-Class B |
| /17 | 255.255.128.0 | 15 | 32.768 | 32.766 | LAN besar |
| /18 | 255.255.192.0 | 14 | 16.384 | 16.382 | LAN besar |
| /19 | 255.255.224.0 | 13 | 8.192 | 8.190 | LAN / cabang |
| /20 | 255.255.240.0 | 12 | 4.096 | 4.094 | LAN / cabang |
| /21 | 255.255.248.0 | 11 | 2.048 | 2.046 | LAN / cabang |
| /22 | 255.255.252.0 | 10 | 1.024 | 1.022 | Summary 4×/24 (Bab 9) |
| /23 | 255.255.254.0 | 9 | 512 | 510 | Summary 2×/24 |
| /24 | 255.255.255.0 | 8 | 256 | 254 | LAN lab ebook (paling umum) |
| /25 | 255.255.255.128 | 7 | 128 | 126 | VLSM LAN sedang |
| /26 | 255.255.255.192 | 6 | 64 | 62 | VLSM hotspot / dept |
| /27 | 255.255.255.224 | 5 | 32 | 30 | VLSM lab kecil |
| /28 | 255.255.255.240 | 4 | 16 | 14 | Ruangan / VLAN kecil |
| /29 | 255.255.255.248 | 3 | 8 | 6 | Segmen sangat kecil |
| /30 | 255.255.255.252 | 2 | 4 | 2 | Point-to-point router |
| /31 | 255.255.255.254 | 1 | 2 | 2** | P2P khusus (RFC 3021) |
| /32 | 255.255.255.255 | 0 | 1 | 1 | Host route / loopback |
* Host usable = jumlah alamat − 2 (network & broadcast), kecuali kasus khusus.
** /31: untuk link point-to-point, kedua alamat bisa dipakai sebagai host (RFC 3021); tidak semua perangkat/OS memperlakukan sama.
Rumus: jumlah alamat = 2(32−prefix). Prefix lab ebook: LAN & Hotspot memakai /24.
address=x.x.x.x/prefix).
| Pendekatan | Ciri | Efisiensi |
|---|---|---|
| FLSM | Semua subnet mask sama | Sering boros alamat |
| VLSM | Mask disesuaikan per kebutuhan host | Lebih hemat, perencanaan lebih rapi |
| Prefix | Subnet Mask | Host usable | Kegunaan tipikal |
|---|---|---|---|
| /24 | 255.255.255.0 | 254 | LAN sedang |
| /25 | 255.255.255.128 | 126 | LAN kecil–sedang |
| /26 | 255.255.255.192 | 62 | Departemen / hotspot |
| /27 | 255.255.255.224 | 30 | Lab kecil |
| /28 | 255.255.255.240 | 14 | Ruangan / VLAN kecil |
| /29 | 255.255.255.248 | 6 | Segmen sangat kecil |
| /30 | 255.255.255.252 | 2 | Link router–router (point-to-point) |
Rumus: host usable ≈ 2^(bit host) − 2. Prefix semakin besar angkanya (/28, /30) → subnet semakin kecil.
Urutkan kebutuhan dari terbesar ke terkecil, lalu alokasikan blok yang aligned (tidak overlap):
| Segmen | Butuh host | Prefix | Network | Range usable | Gateway (contoh) |
|---|---|---|---|---|---|
| LAN utama | ~100 | /25 | 172.16.96.0/25 | .1 – .126 | 172.16.96.126 |
| Hotspot | ~50 | /26 | 172.16.96.128/26 | .129 – .190 | 172.16.96.129 |
| Lab khusus | ~20 | /27 | 172.16.96.192/27 | .193 – .222 | 172.16.96.193 |
| Link P2P | 2 | /30 | 172.16.96.224/30 | .225 – .226 | salah satu sisi |
| Cadangan | — | — | 172.16.96.228 … | sisa | — |
2^n − 2 ≥ kebutuhan)./ip address
add address=172.16.96.126/25 interface=bridge1-LAN comment="LAN utama /25"
add address=172.16.96.129/26 interface=wlan2-hotspot comment="Hotspot /26"
# Prefix berbeda = VLSM. DHCP network/pool harus selaras dengan prefix masing-masing.
/ip pool
add name=pool-lan ranges=172.16.96.1-172.16.96.120
/ip dhcp-server network
add address=172.16.96.0/25 gateway=172.16.96.126 dns-server=8.8.8.8
# address=.../25 harus cocok dengan subnet LAN; gateway = IP router di segmen itu.172.16.96.0/24 + 10.0.0.0/24) agar mudah dipahami pemula. VLSM bersifat opsional untuk latihan lanjutan atau saat alamat IP terbatas. Hindari overlap, gateway di luar subnet, dan pool yang mencakup network/broadcast address.
https://help.mikrotik.com/docs/display/ROS/Bridging+and+Switching · Interface: https://help.mikrotik.com/docs/display/ROS/Interface · IP Addressing: https://help.mikrotik.com/docs/display/ROS/IP+AddressingPenjelasan mendalam: Setelah unboxing, router biasanya masih berisi konfigurasi default pabrik (bridge, DHCP, NAT sederhana). Untuk pembelajaran dan konfigurasi murni sesuai topologi yang dirancang, lebih baik mulai dari router kosong dengan opsi No Default Configuration. Reset ini menghapus seluruh konfigurasi dan me-reboot perangkat.
admin. Password dikosongkan (default pabrik tanpa password).Jika perangkat tidak muncul di Neighbors: pastikan kabel LAN terhubung ke salah satu port ether2–4 (bukan ether1 jika belum dikonfigurasi), nonaktifkan firewall Windows sementara, dan pastikan WinBox versi terbaru dari mikrotik.com/download.
/system reset-configuration no-defaults=yes skip-backup=yeshttps://help.mikrotik.com/docs/display/ROS/WinBox · Configuration Management: https://help.mikrotik.com/docs/display/ROS/Configuration+Managementadmin (password kosong). Jika gagal, coba password di sticker perangkat.Penjelasan mendalam: Akun admin adalah akun master. Jika banyak orang memakai akun yang sama, sulit melacak siapa yang mengubah konfigurasi. Dengan akun teknisi terpisah, akses bisa dicabut tanpa mengubah password master. Password kuat (minimal 8 karakter, kombinasi huruf/angka/simbol) wajib diganti dari default kosong.
RTRGW-NAMA (ganti NAMA sesuai lokasi/identitas perangkat).teknisi, Group = full, isi password, pastikan status Enabled.teknisi untuk verifikasi./system identity set name=RTRGW-NAMA
/system note set show-at-login=yes note="Halo Selamat Datang"
/user set [find name=admin] password=GANTI_PASSWORD_ADMIN_KUAT
/user add name=teknisi group=write password=GANTI_PASSWORD_TEKNISI_KUAT
/system reboothttps://help.mikrotik.com/docs/display/ROS/User · System Identity & Note di dokumentasi System.full memberi hak penuh; untuk operator terbatas gunakan group write atau read.write atau read, bukan full, kecuali tugas memang memerlukan hak penuh.
RTRGW-NAMA (atau sesuai yang Anda set).teknisi + password baru → harus berhasil./system identity print dan /user print — pastikan user teknisi status enabled.ether1, ether2, …). Memberi nama deskriptif (misalnya ether1-WAN) memudahkan pembacaan rule firewall, NAT, routing, dan monitoring di kemudian hari. Sumber: help.mikrotik.com/docs/display/ROS/Ethernet.Penjelasan mendalam: Saat menulis rule NAT out-interface=ether1-WAN atau firewall in-interface=bridge1-LAN, nama yang bermakna membuat konfigurasi self-documenting. Ini sangat membantu saat troubleshooting atau saat orang lain membaca konfigurasi Anda.
ether1.ether1-WAN./interface ethernet set [find default-name=ether1] name=ether1-WANGunakan [find default-name=ether1] agar perintah tetap benar meskipun nama sudah pernah diubah sebelumnya.
https://help.mikrotik.com/docs/display/ROS/Ethernetdefault-name sebelum rename.
/interface print dan cocokkan nama, running flag, link LED, serta seluruh referensi konfigurasi.
ether1-WAN./interface print — kolom NAME menampilkan ether1-WAN.| Parameter | Arti | Rekomendasi |
|---|---|---|
| name | Nama profile | Unik, mudah diingat |
| mode | none = tanpa enkripsi; dynamic-keys = WPA/WPA2 PSK | dynamic-keys untuk WiFi terproteksi; none untuk hotspot terbuka |
| authentication-types | wpa-psk, wpa2-psk, (opsional EAP) | Minimal wpa2-psk; boleh + wpa-psk untuk device lama |
| unicast-ciphers | Enkripsi data per client | Hanya aes-ccm — jangan TKIP |
| group-ciphers | Enkripsi broadcast/multicast | Hanya aes-ccm |
| wpa / wpa2-pre-shared-key | Password WiFi | Minimal 8 karakter; lebih panjang lebih aman |
Mengapa tanpa TKIP? TKIP sudah dianggap lemah. AES-CCMP (aes-ccm di RouterOS) adalah standar aman dan kompatibel luas. Untuk SSID hotspot, profile mode=none — proteksi diganti captive portal (Bab 16).
| Parameter | Arti | Keterangan praktis |
|---|---|---|
| mode=ap-bridge | Access Point yang bisa di-bridge | Mode yang benar untuk AP + bridge LAN di lab ini |
| band | 2ghz-b/g/n, 2ghz-only-n, dll. | RB941 hanya 2.4 GHz; 2ghz-b/g/n paling kompatibel |
| channel-width | 20mhz / 20/40mhz | 20 MHz lebih stabil di lingkungan ramai |
| frequency | MHz atau auto | auto memilih channel; lab tetap: 2412/2437/2462 (ch 1/6/11) |
| ssid | Nama jaringan | Unik per lokasi |
| security-profile | Profile enkripsi | Harus sudah dibuat |
| disabled=no | Interface aktif | Setelah reset sering masih disabled |
Mode lain (ringkas): station = client ke AP lain; station-bridge = client yang meneruskan ke LAN; ap-bridge = pilihan utama untuk topologi ebook.
| Parameter | Arti |
|---|---|
| master-interface=wlan1 | Virtual AP memakai radio fisik wlan1 |
| ssid | Nama SSID berbeda (mis. terbuka untuk hotspot) |
| security-profile | Bisa beda dari master (terproteksi vs terbuka) |
profile1-ZTC, Mode = dynamic keys, centang WPA PSK + WPA2 PSK, Unicast & Group Ciphers = aes ccm saja, isi Pre-Shared Key.profile2-ZTC-OPEN, Mode = none (hotspot terbuka).wlan1: Mode = ap bridge, Band = 2GHz-B/G/N, SSID = ZTC-NAMA, Security Profile = profile1-ZTC, aktifkan (tombol power).wlan2-hotspot, Master Interface = wlan1, SSID = ZTC-OPEN-NAMA, Security Profile = profile2-ZTC-OPEN, enabled./interface wireless security-profiles
add name=profile1-ZTC mode=dynamic-keys authentication-types=wpa-psk,wpa2-psk \
unicast-ciphers=aes-ccm group-ciphers=aes-ccm \
wpa-pre-shared-key="GANTI_PASSWORD_WIFI_KUAT" wpa2-pre-shared-key="GANTI_PASSWORD_WIFI_KUAT"
# mode=dynamic-keys → WPA/WPA2 dengan kunci dinamis (PSK).
# authentication-types → izinkan WPA-PSK dan WPA2-PSK.
# unicast/group-ciphers=aes-ccm → HANYA AES (jangan TKIP).
# wpa/wpa2-pre-shared-key → password WiFi (minimal 8 karakter).
add name=profile2-ZTC-OPEN mode=none
# mode=none → tanpa enkripsi radio (untuk hotspot; keamanan di halaman login).
/interface wireless
set [find default-name=wlan1] mode=ap-bridge band=2ghz-b/g/n ssid=ZTC-NAMA \
security-profile=profile1-ZTC disabled=no
# mode=ap-bridge → access point yang bisa diikutkan ke bridge.
# band=2ghz-b/g/n → hanya 2.4 GHz (RB941 tidak punya 5 GHz).
# [find default-name=wlan1] → aman meski nama interface sudah pernah diubah.
# disabled=no → aktifkan interface.
add name=wlan2-hotspot master-interface=wlan1 ssid=ZTC-OPEN-NAMA \
security-profile=profile2-ZTC-OPEN disabled=no
# master-interface=wlan1 → virtual AP berbagi radio fisik wlan1.
# SSID berbeda → client bisa pilih jaringan terbuka untuk hotspot.
# security-profile terbuka → tanpa password WiFi; proteksi = captive portal.| Parameter | Kegunaan singkat |
|---|---|
| country | Batas daya & channel legal per negara |
| installation | indoor / outdoor (mempengaruhi regulasi) |
| antenna-gain | Koreksi gain antena untuk hitung EIRP |
| tx-power-mode / tx-power | Batasi daya pancar (kurangi interferensi) |
| wireless-protocol | 802.11 (AP biasa) vs nv2 / nstreme |
| default-forwarding | Izinkan client-ke-client di WiFi yang sama |
| hide-ssid | SSID tidak di-broadcast (bukan keamanan kuat) |
| wps-mode | WPS; di produksi sering dimatikan |
Untuk lab dasar, default + ap-bridge + WPA2-AES + virtual AP sudah cukup.
| Gejala | Cek |
|---|---|
| SSID tidak muncul | disabled=no? radio up? frequency/country valid? |
| Connect tapi tidak dapat IP | DHCP di bridge/hotspot? wlan1 sudah anggota bridge? |
| Lemot / putus-putus | Channel ramai → coba ch 1/6/11; width 20 MHz |
| Hotspot tidak muncul benar | Setup di wlan2; profile none jika SSID memang terbuka |
/interface wireless print
/interface wireless monitor wlan1
/interface wireless registration-table print
# print → status interface. monitor → live signal/CCQ.
# registration-table → daftar client yang terkoneksi.https://help.mikrotik.com/docs/display/ROS/WirelessZTC-NAMA (berpassword) dan ZTC-OPEN-NAMA (terbuka)./interface wireless print — wlan1 & wlan2 status running/enabled.Penjelasan mendalam: Tanpa bridge, setiap port (ether2, ether3, ether4, wlan1) akan menjadi segmen terpisah dan butuh IP + DHCP masing-masing. Dengan bridge, semuanya menjadi satu LAN 172.16.96.0/24. wlan2-hotspot sengaja tidak dimasukkan agar tetap terisolasi untuk captive portal.
bridge1-LAN → OK.ether2, Bridge = bridge1-LAN. Ulangi untuk ether3, ether4, dan wlan1./interface bridge add name=bridge1-LAN
# Membuat interface virtual Layer 2 bernama bridge1-LAN.
/interface bridge port
add bridge=bridge1-LAN interface=ether2
add bridge=bridge1-LAN interface=ether3
add bridge=bridge1-LAN interface=ether4
add bridge=bridge1-LAN interface=wlan1
# Setiap baris menambahkan 1 port fisik/wireless sebagai anggota bridge.
# ether1-WAN dan wlan2-hotspot SENGAJA tidak ditambahkan (tetap terpisah).https://help.mikrotik.com/docs/display/ROS/Bridging+and+Switchingbridge1-LAN./interface bridge port printPenjelasan mendalam: Proses DORA (Discover–Offer–Request–Acknowledge) berjalan di sisi client. Setelah status menjadi bound, router memiliki IP WAN, default route (jika add-default-route=yes), dan bisa memakai DNS/NTP dari peer. Ini cocok untuk koneksi dinamis di mana IP modem bisa berubah.
ether1-WAN./ip dhcp-client add interface=ether1-WAN use-peer-dns=yes use-peer-ntp=yes \
add-default-route=yes disabled=nohttps://help.mikrotik.com/docs/display/ROS/DHCP+Clientbound berarti lease, gateway, dan opsi DHCP diterima. add-default-route=yes dapat membuat default route dinamis, sehingga route manual yang sama tidak perlu ditambahkan.
/ip dhcp-client print — kolom Status = bound, Address terisi./ip address print — IP dinamis di ether1-WAN.0.0.0.0/0) dipakai untuk semua tujuan yang tidak punya rute lebih spesifik — biasanya ke gateway ISP. Route summarization menggabungkan beberapa prefix berdekatan menjadi satu prefix lebih besar agar tabel rute lebih ringkas. Sumber: help.mikrotik.com/docs/display/ROS/IP+Routing.Jika DHCP Client memakai add-default-route=yes, RouterOS membuat rute dynamic-active (DA) ke 0.0.0.0/0. Menambah rute static manual ke tujuan yang sama menyebabkan duplicate route. RouterOS memilih berdasarkan distance terkecil (dan longest match untuk prefix spesifik), tetapi duplikat membingungkan saat troubleshooting.
/ip route add dst-address=0.0.0.0/0 gateway=192.168.1.1
# Hanya jika default route TIDAK dibuat otomatis oleh DHCP Client.
# gateway = IP modem/ISP di segmen WAN. Cek: /ip route print| Konsep | Arah | Contoh |
|---|---|---|
| CIDR | Notasi classless /prefix | 172.16.96.0/22 |
| VLSM (Bab 2) | Memecah blok → subnet kecil | /24 → /25 + /26 + /30 |
| Summarization | Menggabung subnet → prefix lebih besar | Empat /24 → satu /22 |
# Tanpa summary (4 rute):
# 172.16.96.0/24
# 172.16.97.0/24
# 172.16.98.0/24
# 172.16.99.0/24
# Dengan summary (1 rute):
/ip route add dst-address=172.16.96.0/22 gateway=192.168.1.2 \
comment="Summary LAN cabang 96-99"
# /22 mencakup .96 – .99. Gateway = router di depan blok tersebut.Contoh: 96–99 di biner oktet ke-3 = 011000xx → 6 bit sama di oktet itu + 16 bit oktet 1–2 = /22, network 172.16.96.0/22.
| Jenis | Keterangan |
|---|---|
| Manual / static | Admin membuat satu rute statis ke blok besar (paling relevan di lab RB941) |
| Auto-summary | Protokol classful lama; di desain modern sering dimatikan |
| Protocol-driven | OSPF area summary, BGP aggregate, EIGRP/RIP summary-address |
RouterOS memilih rute paling spesifik. Jika ada 172.16.97.0/24 dan 172.16.96.0/22, tujuan di 172.16.97.x memakai /24. Summary tidak “menimpa” rute lebih spesifik.
/ip route print — idealnya satu default route active.https://help.mikrotik.com/docs/display/ROS/IP+Routing/ip route print detail dan /ip route check 8.8.8.8; pastikan tidak ada default route duplikat yang tidak disengaja.
0.0.0.0/0 via gateway modem (DAC/DHCP atau static)./ip route print — pastikan flag A (active) pada default route.Penjelasan mendalam: Ping ke alamat IP publik (8.8.8.8) menguji jalur jaringan murni tanpa bergantung DNS. Ping ke nama domain (google.com) menguji resolusi DNS sekaligus. Jika IP berhasil tapi domain gagal, masalahnya ada di DNS. Jika keduanya gagal, cek WAN IP, default route, dan NAT.
ping 8.8.8.8 count=4 — uji Layer 3 murni.ping google.com count=4 — uji DNS + konektivitas./tool traceroute 8.8.8.8 untuk melihat hop.ping 8.8.8.8 count=4
ping google.com count=4
/tool traceroute 8.8.8.8https://help.mikrotik.com bagian Tools./ping 8.8.8.8 count=4 → received ≈ sent./ping google.com count=4 → sukses (DNS + internet OK).Mengapa penting? Log firewall yang menampilkan jam salah akan mempersulit investigasi insiden. Scheduler yang mematikan WiFi jam 22:00 akan salah jadwal jika clock melenceng. Hotspot session-timeout juga dihitung berdasarkan jam sistem.
id.pool.ntp.org (atau 0.id.pool.ntp.org). Keterangan: pool.ntp.org memilih server terdekat secara otomatis; prefix id. memprioritaskan server di Indonesia.time.google.com. Keterangan: fallback jika primary tidak terjangkau./system clock set time-zone-name=Asia/Jakarta
# Baris di atas: mengatur zona waktu ke WIB (UTC+7). Nama zona mengikuti database IANA.
/system ntp client set enabled=yes primary-ntp=id.pool.ntp.org
# enabled=yes: mengaktifkan NTP client.
# primary-ntp: alamat server waktu utama. Gunakan FQDN agar IP bisa berubah tanpa ubah config.
# Di RouterOS v6 nama menunya /system sntp client; di v7 /system ntp client.https://help.mikrotik.com/docs/display/ROS/NTP · Clock: dokumentasi System./system ntp client print — status harus synchronized./system clock print dan /system ntp client print (v7) atau sntp.bridge1-LAN; untuk hotspot di wlan2-hotspot. Sumber: help.mikrotik.com/docs/display/ROS/IP+Addressing.Pemilihan IP di lab ini:
172.16.96.254/24 di bridge1-LAN → gateway untuk segmen lab/karyawan.10.0.0.1/24 di wlan2-hotspot → gateway untuk segmen tamu hotspot.Alamat .254 sering dipakai sebagai gateway di lab agar client mendapat lease dari .1 ke atas. Range privat 172.16.0.0/12 dan 10.0.0.0/8 adalah RFC 1918 (tidak di-route di internet publik).
172.16.96.254/24. Keterangan: /24 = 255.255.255.0. RouterOS otomatis menghitung network = 172.16.96.0.bridge1-LAN. Keterangan: IP dipasang di bridge, bukan di ether2/3/4 individual, karena bridge sudah menggabungkan port-port tersebut.10.0.0.1/24, Interface = wlan2-hotspot./ip address
add address=172.16.96.254/24 interface=bridge1-LAN comment="Gateway LAN Lab"
# address=172.16.96.254/24 → IP gateway + prefix length.
# interface=bridge1-LAN → IP menempel di bridge (bukan di port anggota).
# comment → keterangan opsional agar mudah dibaca di list.
add address=10.0.0.1/24 interface=wlan2-hotspot comment="Gateway Hotspot"
# Segmen terpisah 10.0.0.0/24 khusus client hotspot.https://help.mikrotik.com/docs/display/ROS/IP+Addressing/ip address print — pastikan kedua IP muncul dan interface benar./ip address print detail, ping gateway dari masing-masing segmen, dan pastikan tidak ada alamat overlap.
172.16.96.254/24 di bridge1-LAN dan 10.0.0.1/24 di wlan2-hotspot./ip address printRisiko keamanan: Jika allow-remote-requests=yes dan tidak ada firewall yang memblokir port 53 dari WAN, router bisa menjadi open resolver yang disalahgunakan untuk serangan amplifikasi DNS. Selalu pastikan hanya LAN yang boleh query DNS ke router.
8.8.8.8,1.1.1.1. Keterangan: Google DNS dan Cloudflare DNS sebagai upstream. Bisa diganti ke DNS ISP atau DNS filtering (mis. AdGuard)./ip dns set servers=8.8.8.8,1.1.1.1 allow-remote-requests=yes
# servers= → daftar DNS upstream (dipisah koma). Query akan dikirim ke sini.
# allow-remote-requests=yes → router menjawab query dari client (bukan hanya untuk dirinya sendiri).
# Setelah ini, di DHCP Server network, dns-server bisa diisi IP gateway (172.16.96.254)
# agar client memakai router sebagai DNS, bukan langsung ke 8.8.8.8.https://help.mikrotik.com/docs/display/ROS/DNS/ip dns cache print.allow-remote-requests=yes harus disertai pembatasan query dari WAN; bila tidak, router dapat disalahgunakan untuk DNS amplification.
nslookup google.com → mendapat IP./ip dns cache print — entri cache bertambah setelah query.to-addresses (dan opsional to-ports). Cocok jika IP publik statis.Alur paket (outbound): Client 172.16.96.10:54321 → 8.8.8.8:53. Saat paket keluar ether1-WAN, rule srcnat masquerade mengubah source menjadi IP_PUBLIK:port_acak. Connection tracking menyimpan mapping. Saat balasan datang ke IP_PUBLIK:port_acak, router mengembalikan ke 172.16.96.10:54321.
/ip firewall nat
add chain=srcnat out-interface=ether1-WAN action=masquerade comment="NAT LAN+Hotspot ke Internet"
# chain=srcnat → rule dipasang di chain source NAT.
# out-interface=ether1-WAN → hanya paket yang keluar lewat WAN.
# action=masquerade → source IP diganti otomatis dengan IP ether1-WAN saat itu.
# comment → dokumentasi di dalam konfigurasi.
#
# Alternatif jika IP publik statis:
# add chain=srcnat out-interface=ether1-WAN action=src-nat to-addresses=103.x.x.xhttps://help.mikrotik.com/docs/display/ROS/NAT · Firewall: https://help.mikrotik.com/docs/display/ROS/Firewall/ip firewall connection tracking print./ip firewall connection print./ip firewall nat print dan /ip firewall connection print — koneksi tercatat.pool1-LAN, Addresses = 172.16.96.1-172.16.96.253. Keterangan: sisakan .254 untuk gateway; .0 dan .255 tidak dipakai (network & broadcast).dhcp1-LAN, Interface = bridge1-LAN, Address Pool = pool1-LAN, Lease Time = 00:02:00 (lab) atau lebih lama untuk produksi.172.16.96.0/24, Gateway = 172.16.96.254, DNS Server = 8.8.8.8,1.1.1.1 (atau IP gateway jika pakai DNS cache router)./ip pool
add name=pool1-LAN ranges=172.16.96.1-172.16.96.253
# name → identitas pool. ranges → rentang IP yang boleh di-lease.
/ip dhcp-server
add name=dhcp1-LAN interface=bridge1-LAN address-pool=pool1-LAN \
lease-time=00:02:00 disabled=no
# interface=bridge1-LAN → server hanya melayani client di bridge ini.
# address-pool → ambil IP dari pool1-LAN.
# lease-time=00:02:00 → 2 menit (cocok lab; produksi biasanya 1h+).
# disabled=no → server aktif.
/ip dhcp-server network
add address=172.16.96.0/24 gateway=172.16.96.254 \
dns-server=8.8.8.8,1.1.1.1
# address → subnet yang dilayani (harus cocok dengan IP di bridge).
# gateway → default gateway yang diinformasikan ke client.
# dns-server → DNS yang diinformasikan ke client.https://help.mikrotik.com/docs/display/ROS/DHCP+Server/ip dhcp-server lease print./ip dhcp-server lease print| Menu / Path | Fungsi |
|---|---|
/ip hotspot | Server hotspot (terikat interface) |
/ip hotspot profile | Profil server: dns-name, HTML dir, login-by, RADIUS |
/ip hotspot user profile | Kebijakan per grup (rate-limit, timeout, shared-users) |
/ip hotspot user | Akun username/password + profile |
/ip hotspot walled-garden | Bypass HTTP by host/path |
/ip hotspot walled-garden ip | Bypass L3/L4 (penting untuk HTTPS, DNS) |
/ip hotspot active | Sesi login aktif (read-only) |
/ip hotspot host / cookie / ip-binding | Host, cookie, bypass/blokir per IP-MAC |
Hotspot Setup wizard biasanya membuat server, profile, pool, DHCP, dan rule firewall/NAT. Jangan buat DHCP Server manual di interface yang sama kecuali Anda paham interaksinya.
login-by)| Metode | Keterangan |
|---|---|
| http-chap | Form login; password tidak plain (CHAP) — umum dipakai |
| http-pap | Form login; password plain (kurang aman) |
| https | Login lewat HTTPS (perlu sertifikat) |
| cookie | Setelah login sukses, browser simpan cookie → login otomatis berikutnya |
| mac-cookie | Mirip cookie berbasis MAC (cocok HP/gadget) |
| mac | Autentikasi dari MAC tanpa form; MAC dicatat sebagai user |
| trial | Akses gratis terbatas waktu tanpa login (mis. 10–30 menit) |
Trial: trial-uptime = lama trial; nilai kedua = jeda sebelum trial boleh dipakai lagi oleh MAC yang sama. Default profil: login-by=http-chap,cookie.
| Parameter | Fungsi |
|---|---|
| rate-limit | Batas bandwidth (upload/download, mis. 1M/2M) |
| shared-users | Berapa device boleh pakai 1 akun bersamaan |
| session-timeout | Maksimal lama sesi |
| idle-timeout | Putus jika idle terlalu lama |
| limit-bytes-* | Kuota data (total / in / out) |
| add-mac-cookie + timeout | Ingat device setelah logout |
| address-list | Masukkan IP user ke list (untuk queue/firewall) |
| on-login / on-logout | Script saat login/logout |
| advertise | Popup iklan berkala (bisa diblokir browser) |
| Jenis | Path | Layer | Kegunaan |
|---|---|---|---|
| HTTP | /ip hotspot walled-garden | Host/path HTTP | Halaman login, aset HTTP |
| IP | /ip hotspot walled-garden ip | IP, port, protocol | HTTPS, DNS, payment, deteksi captive OS |
HTTPS hampir selalu perlu walled-garden ip, karena isi HTTPS tidak diinspeksi seperti HTTP. Tanpa rule IP, client sering gagal load resource HTTPS sebelum login.
Mengikat IP/MAC agar bypassed (internet tanpa login), blocked (ditolak), atau regular (alur hotspot normal). Berguna untuk printer, device staf, atau management AP.
use-radius=yes di hotspot profile + /radius add service=hotspot. User & accounting bisa di FreeRADIUS. Tools seperti Mikhmon sering memakai API router (port 8728/8729) — aktifkan API hanya dari IP admin tepercaya.
| File | Fungsi |
|---|---|
login.html | Form login |
status.html | Status sesi + statistik |
logout.html / alogin.html | Logout / setelah login sukses |
redirect.html / error.html | Redirect & error |
api.json | Info captive portal RFC 7710 (penting v7.3+) |
File ada di Files → hotspot (setelah Setup / Reset HTML). Bisa ganti logo, CSS, teks. Tiap server bisa beda folder lewat html-directory.
RouterOS dapat mengirim opsi DHCP agar device modern tahu ada captive portal. Syarat praktis: DNS name terisi + sertifikat SSL valid. Tanpa itu, deteksi mengandalkan probe browser/OS ke URL kenalan (bisa gagal jika di-block).
wlan2-hotspot.napang.net, buat user admin awal.# Setelah Hotspot Setup wizard, lengkapi profil & user:
/ip hotspot user profile
add name=guru shared-users=2 rate-limit=2M/2M session-timeout=8h
add name=murid shared-users=1 rate-limit=1M/1M session-timeout=4h idle-timeout=15m
add name=tamu shared-users=1 rate-limit=512k/512k session-timeout=1h
# shared-users → batas device per akun. rate-limit → upload/download.
# session-timeout / idle-timeout → batas waktu sesi / idle.
/ip hotspot user
add name=guru1 password=GANTI_PASSWORD_GURU profile=guru
add name=murid1 password=GANTI_PASSWORD_MURID profile=murid
# name/password → kredensial di halaman login. profile → kebijakan grup.
/ip hotspot walled-garden
add dst-host=napang.net comment="DNS name halaman login"
# Izinkan host login page tanpa autentikasi.
/ip hotspot walled-garden ip
add action=accept protocol=udp dst-port=53 comment="DNS UDP"
add action=accept protocol=tcp dst-port=53 comment="DNS TCP"
# Bypass DNS agar resolusi nama berjalan sebelum login.
# Untuk HTTPS tertentu, tambah rule accept ke dst-address/port 443.https://help.mikrotik.com/docs/spaces/ROS/pages/56459266/HotSpot+-+Captive+portal · Customisation HTML & RADIUS di dokumentasi resmi yang sama.murid1 / password → status.html / akses internet./ip firewall layer7-protocol, rule firewall filter dapat memakai matcher layer7-protocol=nama untuk accept, drop, reject, atau mark.GET /watch?v=xxxx HTTP/1.1 Host: www.youtube.comPola seperti
^.+(youtube.com|googlevideo.com).*$ bisa match.Apa yang masih “jelas” di HTTPS? Di awal koneksi TLS ada ClientHello. Pada TLS 1.2, SNI (Server Name Indication) sering masih plain text (nama host yang diminta client). Namun Layer7 RouterOS adalah matcher regexp payload umum, bukan parser SNI khusus. Di TLS 1.3 + ECH (Encrypted Client Hello) dan pada QUIC/HTTP3 (UDP 443), SNI semakin sulit atau tidak terbaca. Jadi mengandalkan Layer7 untuk blokir HTTPS secara andal tidak tepat.
| Aspek | HTTP (port 80) | HTTPS / QUIC |
|---|---|---|
| Payload terbaca? | Ya (teks plain) | Tidak (terenkripsi setelah handshake) |
| Regexp domain/path | Bisa match | Umumnya gagal |
| SNI di ClientHello | — | Sering plain di TLS 1.2; bisa terenkripsi di TLS 1.3+ECH |
| Beban CPU Layer7 | Tinggi | Tinggi + hasil match rendah |
Alternatif yang lebih masuk akal:
forward, Layer7 Protocol = nama yang dibuat, Action = drop (atau accept/mark sesuai kebutuhan).Contoh di bawah untuk latihan lab. Efektivitas terhadap situs HTTPS modern terbatas; kombinasi dengan DNS static (Bab 24) biasanya lebih ringan dan stabil di RB941.
# ===== 1) Streaming / video (pola klasik, terbatas di HTTPS) =====
/ip firewall layer7-protocol
add name=youtube regexp="^.+(youtube.com|youtu.be|googlevideo.com).*$"
# name=youtube → identitas protokol.
# regexp → cocok jika payload mengandung salah satu domain tersebut.
# ^.+ → awal string bebas; .*$ → akhir bebas. Pola sengaja longgar untuk lab.
add name=facebook regexp="^.+(facebook.com|fbcdn.net|fb.com).*$"
# Pola serupa untuk Facebook / CDN-nya.
add name=tiktok regexp="^.+(tiktok.com|musical.ly|tiktokv.com).*$"
# Domain TikTok yang sering muncul di request lama.
add name=instagram regexp="^.+(instagram.com|cdninstagram.com).*$"
# ===== 2) Messaging / chat (contoh) =====
add name=whatsapp regexp="^.+(whatsapp.com|whatsapp.net).*$"
# Hanya efektif jika ada string domain di payload (jarang pada trafik terenkripsi penuh).
# ===== 3) Game / lain-lain (contoh generik) =====
add name=game-online regexp="^.+(garena|steamcontent|roblox).*$"
# Ganti domain sesuai game yang ingin dideteksi di lab.
# ===== 4) Rule firewall yang memakai Layer7 =====
/ip firewall filter
# Disarankan: biarkan established/related di atas
add chain=forward connection-state=established,related action=accept \
comment="Allow established/related"
# Blokir berdasarkan Layer7 (contoh: youtube)
add chain=forward layer7-protocol=youtube action=drop \
comment="Drop trafik yang match Layer7 youtube"
# chain=forward → trafik yang melewati router (LAN/hotspot ke internet).
# layer7-protocol=youtube → matcher ke definisi di atas.
# action=drop → buang paket tanpa kirim ICMP unreachable.
# Contoh: blokir facebook + tiktok
add chain=forward layer7-protocol=facebook action=drop comment="Drop Facebook L7"
add chain=forward layer7-protocol=tiktok action=drop comment="Drop TikTok L7"
# Contoh: mark connection untuk queue (opsional, lebih advanced)
# add chain=forward layer7-protocol=youtube action=mark-connection \
# new-connection-mark=yt-conn comment="Mark YouTube untuk queue"
# Kemudian Simple Queue / Queue Tree bisa membatasi connection-mark=yt-conn./ip firewall layer7-protocol
add name=http-get regexp="^GET .+ HTTP/1\\.[01]\\r\\n"
# Deteksi HTTP GET klasik (port 80). Berguna untuk latihan, bukan untuk blokir modern.
add name=http-host-video regexp="^.(Host: video\\.|Host: www\\.youtube\\.).*"
# Mencoba menangkap header Host pada HTTP plain (bukan HTTPS).
add name=bittorrent regexp="^(\\x13BitTorrent protocol|d1:.*:.*:.*:.*:.*:.*)"
# Pola legendaris BitTorrent handshake (contoh komunitas). Hasil bervariasi./ip firewall filter print stats — kolom Bytes/Packets rule Layer7 harus naik jika match./system resource print — CPU tidak boleh terus-menerus 100%./ip firewall filter disable [find comment~"L7"].https://help.mikrotik.com/docs/display/ROS/L7 · Firewall Filter: https://help.mikrotik.com/docs/display/ROS/Filter. * + ? () dll.) dengan benar./ip firewall filter print stats — packets/bytes rule Layer7 naik jika match./ip proxy). Proxy ini terutama untuk HTTP. Dukungan terhadap HTTPS terbatas karena isi koneksi terenkripsi. Sumber: help.mikrotik.com/docs/display/ROS/Proxy.Alur kerja umum:
| Aspek | Explicit Proxy | Transparent Proxy |
|---|---|---|
| Setting di client | Wajib (isi IP:port proxy di browser/OS) | Tidak perlu |
| Pengalaman user | Harus konfigurasi manual / policy | “Transparan” — user tidak sadar ada proxy |
| Cara kerja | Client sengaja kirim request ke proxy | Router memaksa trafik HTTP masuk ke proxy lewat dstnat redirect |
| Cocok untuk | Lab, perangkat yang bisa di-set | Lab/kantor agar semua device ikut tanpa setting |
dstnat + action=redirect).Alur Transparent Proxy:
Client membuka http://contoh.com → paket port 80 ditangkap router → dialihkan ke port proxy → access list diproses → jika allow, konten diambil dari internet (atau cache).
8080 (atau port lain yang tidak bentrok).dstnat, Protocol = tcp, Dst. Port = 80, In. Interface = bridge1-LAN, Action = redirect, To Ports = 8080.# ===== 1) Aktifkan Web Proxy =====
/ip proxy set enabled=yes port=8080
# enabled=yes → layanan proxy aktif.
# port=8080 → port listen proxy (client explicit atau hasil redirect).
# Opsional batasi beban di RB941:
# /ip proxy set max-client-connections=50 max-server-connections=50
# ===== 2) Access list (urutan: deny dulu, allow di bawah) =====
/ip proxy access
add action=deny dst-host=*.situs-terlarang.com comment="Blokir host contoh"
# action=deny → tolak request ke host yang cocok.
# dst-host mendukung wildcard (*).
add action=allow dst-host=* comment="Izinkan host lain"
# allow semua yang tidak tertangkap rule deny di atas.
# ===== 3) Transparent Proxy — redirect HTTP LAN ke proxy =====
/ip firewall nat
add chain=dstnat protocol=tcp dst-port=80 in-interface=bridge1-LAN \
action=redirect to-ports=8080 comment="Transparent proxy HTTP"
# chain=dstnat → ubah tujuan paket sebelum routing keluar.
# protocol=tcp dst-port=80 → hanya HTTP plain.
# in-interface=bridge1-LAN → HANYA dari LAN (jangan WAN).
# action=redirect → alihkan ke port di router sendiri.
# to-ports=8080 → port Web Proxy.
# Untuk hotspot (opsional, interface terpisah):
# add chain=dstnat protocol=tcp dst-port=80 in-interface=wlan2-hotspot \
# action=redirect to-ports=8080 comment="Transparent proxy Hotspot"| Aspek | HTTP | HTTPS |
|---|---|---|
| URL / path terbaca proxy? | Ya | Umumnya tidak |
| Filtering by path | Efektif | Sangat terbatas |
| Filtering by hostname | Ya | Terbatas (perlu metode khusus / SNI) |
| Cache konten | Bisa | Hampir tidak praktis tanpa decrypt |
Transparent proxy klasik mengalihkan port 80. Redirect port 443 ke proxy HTTP biasa tidak membuat HTTPS bisa difilter seperti HTTP. Untuk blokir domain HTTPS, prioritaskan DNS static (Bab 24) + client memakai DNS router.
https://help.mikrotik.com/docs/display/ROS/Proxy · NAT redirect: dokumentasi Firewall NAT di help.mikrotik.com.in-interface redirect harus LAN/bridge/hotspot, bukan ether1-WAN./ip proxy set enabled=no) jika tidak dipakai agar port dan proses tidak jalan sia-sia.upload/download dari sudut pandang router (tx/rx). Contoh 2M/2M = 2 Mbps naik dan 2 Mbps turun. Untuk kontrol lebih halus (per connection, hierarchical) digunakan Queue Tree + packet mark — lebih berat di CPU. Sumber: help.mikrotik.com/docs/display/ROS/Queues.queue1-LAN, Target = 172.16.96.193-172.16.96.253 (atau interface).2M/2M (upload/download).wlan2-hotspot atau subnet 10.0.0.0/24, Max Limit lebih kecil jika diinginkan./queue simple
add name=queue1-LAN target=172.16.96.193-172.16.96.253 max-limit=2M/2M
# target → IP/range/interface yang dibatasi.
# max-limit=2M/2M → batas maksimum upload/download (tx/rx router).
add name=queue2-WLAN2 target=wlan2-hotspot max-limit=512k/512k
# membatasi seluruh interface hotspot ke 512 kbps.https://help.mikrotik.com/docs/display/ROS/Queues/queue simple print stats — rate dan bytes naik, tetap di bawah limit.matikan-wifi, Policy centang sesuai kebutuhan (read, write, test, dll.), Source = perintah CLI (mis. /interface wireless disable wlan1).jadwal-malam, Start Time = 22:00:00, Interval = 1d, On Event = matikan-wifi./system script
add name=matikan-wifi source={
/interface wireless disable wlan1
/log info "WiFi wlan1 dimatikan oleh scheduler"
}
# source={...} → isi script. disable wlan1 mematikan radio AP.
# /log info → menulis ke log sistem agar bisa diaudit.
/system scheduler
add name=jadwal-malam start-time=22:00:00 interval=1d on-event=matikan-wifi
# start-time → jam pertama kali jalan. interval=1d → berulang tiap hari.
# on-event → nama script yang dijalankan.https://help.mikrotik.com/docs/display/ROS/Scripting · Scheduler di dokumentasi System./system script run matikan-wifi./system script run matikan-wifi → wlan1 disabled./interface wireless enable wlan1./ip service
disable [find name=telnet]
disable [find name=ftp]
disable [find name=www]
disable [find name=www-ssl]
disable [find name=api]
disable [find name=api-ssl]
# disable → menghentikan listen di port terkait.
# [find name=...] → mencari service by name agar aman jika order berubah.
# Opsional batasi WinBox hanya dari LAN:
# /ip service set winbox address=172.16.96.0/24https://help.mikrotik.com/docs/display/ROS/Services/ip service print, scan hanya dari jaringan lab sendiri, dan pastikan jalur administrasi yang dipertahankan masih berfungsi.
telnet IP_router 23 → connection refused / gagal./ip service printssh [email protected] (ganti IP sesuai gateway LAN).http://172.16.96.254 (jika www enabled)./ip service
set ssh disabled=no port=22
set telnet disabled=yes
set www disabled=yes
# Aktifkan hanya SSH; matikan telnet dan www jika tidak perlu WebFig.https://help.mikrotik.com/docs/display/ROS/Servicesssh [email protected] → login CLI berhasil./system identity print di session SSH.http://172.16.96.254 → WebFig./log print
# menampilkan log terbaru.
/tool torch interface=bridge1-LAN
# memonitor trafik di bridge (Ctrl+C untuk stop).
/ip arp print
/system resource print
# ARP table dan status resource (CPU, free memory).https://help.mikrotik.com/ip dns static
add name=situs-terlarang.com address=127.0.0.1
add name=www.situs-terlarang.com address=127.0.0.1
# name → domain yang ingin diblokir.
# address=127.0.0.1 → client mendapat IP localhost, koneksi gagal.
# Syarat: client harus memakai DNS router (allow-remote-requests + dhcp dns-server = gateway).https://help.mikrotik.com/docs/display/ROS/DNS · Firewall filter docs.situs-terlarang.com → 127.0.0.1 (dan www-nya)./ip dns static print dan dari client nslookup situs-terlarang.com → jawab 127.0.0.1.Contoh yang terlihat di client:
Jika client ganti DNS ke 8.8.8.8 atau pakai DoH browser, blokir DNS static bisa dilangkahi — itu keterbatasan metode ini.
Uji pemahaman kamu. Skor terbaik tersimpan otomatis di perangkat ini (localStorage).
Gunakan FAQ untuk memahami keputusan konfigurasi dan tabel troubleshooting untuk menemukan akar masalah secara berurutan. Catat perubahan sebelum memperbaiki router.
/export file=sebelum-perbaikan, ubah satu hal, uji, lalu catat hasilnya.
Tidak. Reset dipakai agar siswa memahami konfigurasi dari nol. Backup dahulu karena reset menghapus IP, bridge, DHCP, firewall, user, dan service.
WinBox dapat memakai komunikasi Layer 2. Ini berguna setelah reset ketika router belum memiliki address dan route.
Tidak. Discovery MAC/MNDP bekerja pada broadcast domain Layer 2 yang sama. Untuk jaringan berbeda gunakan IP, routing, SSH, atau VPN.
Itu konvensi lab ebook, bukan aturan perangkat. Yang penting ether1-WAN terhubung ke modem/ISP dan tidak masuk bridge LAN.
Disarankan. Nama seperti ether1-WAN dan bridge1-LAN mengurangi salah referensi pada NAT, firewall, queue, dan script.
Bridge bekerja terutama pada Layer 2 seperti switch virtual. Routing bekerja pada Layer 3 dan memisahkan subnet.
Karena ether2-4 dan wlan1 sudah menjadi port dalam satu bridge. Gateway Layer 3 cukup dipasang pada interface bridge.
Tidak pada desain ebook. wlan2 adalah segmen hotspot tamu dengan subnet dan policy berbeda.
Tidak. wlan2 berbagi satu radio, channel, airtime, dan kapasitas dengan wlan1 pada RB941-2nD.
Gunakan WPA2-PSK dengan AES/CCMP bila semua client mendukung. Mode campuran hanya untuk kompatibilitas lama.
DHCP Client meminta lease dari modem/ISP. Memasangnya di LAN dapat membuat router meminta IP dari sumber yang salah.
Tidak bila memakai add-default-route=yes. Pilih satu sumber default route agar troubleshooting tidak membingungkan.
Ping IP menguji konektivitas tanpa DNS. Ping domain menguji DNS sekaligus jalur jaringan.
Periksa NAT masquerade, gateway DHCP, DNS client, firewall forward, dan route client. Router sendiri tidak membutuhkan NAT untuk trafiknya.
Tidak. NAT mengubah alamat/port. Firewall menentukan trafik yang boleh masuk, keluar, atau diteruskan.
Masquerade cocok untuk WAN dinamis seperti DHCP. Untuk IP publik statis, src-nat eksplisit lebih mudah diprediksi.
Tanpa filter input dari WAN, router dapat menjadi open resolver dan disalahgunakan untuk DNS amplification.
Dua DHCP server pada satu broadcast domain dapat memberi gateway, DNS, dan address yang berbeda secara acak.
Hotspot Setup sering membuat pool, DHCP, server, profile, dan rule pendukung. Hindari membuat komponen yang sama dua kali.
Captive portal paling mudah diuji lewat HTTP. HTTPS membutuhkan DNS name, sertifikat, walled garden IP, dan dukungan versi RouterOS.
Terbatas. HTTPS, QUIC, CDN, TLS 1.3, dan ECH membuat payload/domain tidak selalu terbaca. Gunakan DNS atau tls-host sesuai kebutuhan.
Web Proxy klasik membaca HTTP. Isi HTTPS terenkripsi dan tidak dapat difilter berdasarkan path tanpa SSL inspection yang berat.
Format RouterOS umumnya upload/download dari perspektif router. Uji upload dan download terpisah untuk memastikan hasilnya.
Tidak. Queue mengatur bandwidth, sedangkan firewall mengatur izin trafik.
Periksa timezone, NTP, start-time, interval, policy script, nama script, dan log eksekusi.
Hindari password nyata di ebook, export publik, atau script yang dibagikan. Gunakan placeholder dan password manager.
Matikan Telnet, FTP, HTTP WebFig, API, dan service lain yang tidak dipakai. Batasi WinBox/SSH dari subnet admin.
Tidak cukup. Kombinasikan VPN, firewall input, address restriction, user terpisah, key/password kuat, dan logging.
Gunakan sementara untuk melihat flow, IP, port, dan rate. Hentikan setelah diagnosis karena Torch menambah beban CPU.
Client dapat memakai DNS publik, DoH, DoT, cache lama, atau IPv6. Kebijakan ketat memerlukan kontrol DNS, firewall, dan endpoint.
| Gejala | Pemeriksaan berurutan | Tindakan |
|---|---|---|
| Router tidak muncul di Neighbors | Kabel, port ether2-4, link LED, NIC PC, firewall PC, WinBox Refresh. | Gunakan kabel langsung dan satu broadcast domain. Coba MAC discovery dari WinBox terbaru. |
| Login MAC gagal setelah reset | Pastikan reset selesai, router reboot, kabel tetap di LAN, username/password sesuai firmware. | Coba MAC address benar, password sticker, atau console/recovery. |
| Router terkunci setelah hardening | Service WinBox/SSH, address restriction, filter input, dan jalur admin. | Recovery via MAC WinBox atau console; jangan mematikan jalur terakhir. |
| SSID tidak terlihat | Wireless enabled, mode ap-bridge, country/frequency legal, security profile valid, radio running. | Uji channel 1/6/11 dan lebar 20 MHz; lihat monitor serta log. |
| WiFi tersambung tetapi tidak mendapat IP | Anggota bridge, DHCP interface, pool, DHCP network, dan lease. | Pastikan wlan1 masuk bridge LAN; wlan2 memakai DHCP/Hotspot sendiri. |
| Client mendapat 169.254.x.x | DHCP disabled, interface salah, pool kosong, kabel/SSID salah, atau DHCP bentrok. | Renew lease setelah memperbaiki server, pool, dan broadcast domain. |
| DHCP mendapat gateway salah | DHCP Network, gateway, subnet mask, dan DHCP server yang menjawab. | Hapus DHCP duplikat dan cocokkan gateway dengan IP bridge. |
| DHCP WAN searching terus | Kabel modem, ether1-WAN, VLAN, DHCP modem, lease lama, dan status link. | Uji koneksi PC ke modem; pastikan interface DHCP Client benar. |
| Tidak ada default route | DHCP bound, add-default-route, gateway lease, dan tabel route. | Perbaiki DHCP atau tambah route manual hanya untuk WAN statis. |
| Route tidak active | Gateway reachable, interface running, distance, scope, dan konflik route. | Ping gateway dari router dan periksa detail route. |
| Router ping 8.8.8.8 gagal | WAN address, gateway, default route, link modem, dan firewall output. | Perbaiki konektivitas WAN sebelum menguji NAT client. |
| Ping IP berhasil, domain gagal | DNS upstream, allow-remote-requests, DNS client, cache, dan port 53. | Uji nslookup; pastikan client memakai DNS yang tersedia. |
| Client ping gateway, internet gagal | NAT counter, out-interface, route client, DNS, dan firewall forward. | Pastikan masquerade menunjuk ether1-WAN dan forward tidak memblokir. |
| NAT counter tetap nol | Client menghasilkan trafik, interface WAN benar, rule enabled, urutan rule. | Uji browsing/ping dari client lalu lihat stats NAT. |
| Hotspot tidak redirect | Server wlan2, address/pool/DHCP, DNS, rule wizard, dan IP client. | Uji HTTP dari client baru; jangan gunakan LAN DHCP biasa. |
| Hotspot login gagal | User enabled, password, profile, login-by, cookie, waktu router, dan log. | Buat user lab baru dengan placeholder password lalu uji http-chap. |
| Hotspot bisa internet tanpa login | Server disabled, IP binding bypassed, walled garden terlalu luas, interface salah. | Periksa active/host/ip-binding dan pastikan client di wlan2. |
| Layer7 tidak match | Payload terenkripsi, QUIC, regexp, posisi rule, atau koneksi established. | Uji HTTP plain; gunakan DNS/tls-host untuk web modern. |
| CPU router 100% | Layer7, proxy, Torch, queue, conntrack, client, dan log. | Nonaktifkan fitur berat satu per satu lalu ukur CPU/RAM. |
| Proxy membuat browsing gagal | Proxy enabled, access list allow, redirect NAT, port 8080, loop redirect. | Disable proxy sementara; aktifkan lagi setelah rule benar. |
| HTTPS lolos proxy | Pahami batas proxy HTTP dan pastikan trafik memang HTTPS. | Jangan redirect 443 ke proxy HTTP; gunakan DNS/tls-host. |
| Queue tidak membatasi | Target IP/interface, enabled, urutan queue, fasttrack, arah limit. | Uji trafik besar dan baca print stats. |
| Scheduler tidak eksekusi | Clock/NTP, start-time, interval, on-event, policy, dan log. | Jalankan script manual, perbaiki error, lalu enable scheduler. |
| Script membuat duplikat | Script memakai add tiap interval tanpa find/guard. | Buat script idempotent dengan pengecekan find. |
| SSH ditolak | Service, port, address restriction, firewall input, routing, dan user. | Uji dari subnet admin; jangan membuka SSH ke WAN umum. |
| DNS menjadi open resolver | Allow remote requests dan port 53 dari WAN. | Batasi input DNS ke LAN/hotspot yang perlu dan drop WAN. |
| RAM cepat habis | Conntrack, hotspot files, proxy cache, Layer7, log, dan queue. | Kurangi fitur berat, hapus file tidak perlu, pantau Resources. |
| Konfigurasi berubah setelah reboot | Scheduler startup, script, reset, restore backup, dan log. | Bandingkan export sebelum/sesudah dan cek log sistem. |
| LAN dapat mengakses hotspot | Bridge membership, firewall forward, IP binding, subnet overlap. | Pastikan wlan2 di luar bridge LAN dan tambah policy antar-segmen. |
| Performa WiFi turun | Channel, lebar 20/40 MHz, sinyal, retransmission, dua SSID, CPU, queue. | Pilih channel non-overlap, gunakan 20 MHz, dan cek registration table. |
| Backup tidak bisa dipulihkan | Backup hanya di router, export tidak dibuat, atau versi berbeda. | Simpan export dan backup binary di luar router serta catat versi. |
help.mikrotik.com / manual.mikrotik.commanual.mikrotik.com/docs/cli-referencemikrotik.com/downloadforum.mikrotik.commikrotik.com/product/RB941-2nDKontak & Sosial Media
Umbul Baru, RT/RW 008/003, Mada Jaya, Way Khilau, Pesawaran, Lampung