Bayangkan kantor pusat Anda ada di Jakarta, sementara kantor cabang berada di Surabaya. Karyawan di cabang butuh akses ke server file, aplikasi absensi, atau database yang letaknya di pusat — tapi keduanya terpisah ratusan kilometer dan hanya terhubung lewat internet publik yang terbuka dan rawan disadap.

Di sinilah VPN site-to-site berperan. Dengan VPN site-to-site, dua jaringan yang secara fisik terpisah bisa “disatukan” secara virtual, seolah-olah semua perangkat — baik di pusat maupun di cabang — berada dalam satu jaringan lokal (LAN) yang sama. File bisa diakses langsung lewat IP lokal, printer bisa dishare lintas kota, dan aplikasi berbasis LAN tetap berjalan normal tanpa perlu dikonfigurasi ulang.

Bagi seorang admin jaringan, network engineer, atau pemilik usaha dengan banyak cabang, memahami cara membangun VPN site-to-site di MikroTik adalah skill yang sangat bernilai. Selain hemat biaya dibanding sewa jalur privat (leased line), MikroTik juga menawarkan fleksibilitas tinggi lewat kombinasi protokol IPsec (untuk enkripsi) dan EoIP (Ethernet over IP, untuk membuat jaringan Layer 2 yang menyatu).

Artikel ini membahas tuntas — dari konsep dasar, langkah konfigurasi step-by-step, kesalahan umum, sampai tips optimasi — supaya Anda bisa langsung praktik di jaringan sendiri.

Pembahasan Utama

Apa itu VPN Site-to-Site?

VPN site-to-site adalah koneksi VPN permanen antara dua router (bukan antara satu perangkat/user dengan server seperti VPN client-to-site). Koneksi berjalan otomatis di level router, tanpa login manual dari sisi user. Begitu tunnel terbentuk, semua perangkat di kedua lokasi bisa saling berkomunikasi seperti dalam satu jaringan.

Dua kebutuhan utamanya:

• Kerahasiaan data (enkripsi) — supaya data yang lewat internet publik tidak bisa dibaca pihak lain. Ini peran IPsec.
• Penyatuan jaringan (bridging Layer 2) — supaya broadcast, ARP, dan protokol Layer 2 lain bisa lewat, sehingga dua jaringan benar-benar terasa “satu LAN”. Ini peran EoIP.

Mengapa Kombinasi EoIP + IPsec?

Analogi sederhana: EoIP itu seperti membangun terowongan kereta yang menghubungkan dua stasiun jauh — kereta bisa lewat dan barang dikirim langsung tanpa bongkar-muat di tengah jalan (sifat Layer 2). Tapi terowongan itu terbuka, siapa saja bisa mengintip isi gerbong. IPsec berperan sebagai lapisan baja dan kunci pengaman, memastikan isi gerbong (data) terenkripsi meski melewati internet publik.

EoIP sendiri membungkus frame Ethernet ke dalam paket GRE dan mengirimkannya lewat IP — tapi tidak terenkripsi. Untuk koneksi antar kantor yang melewati internet, EoIP wajib dipasangkan dengan IPsec.

Dua Pendekatan Konfigurasi di RouterOS 7

1. Cara modern (disarankan) — RouterOS 7 menyediakan parameter ipsec-secret langsung pada interface EoIP. MikroTik otomatis membuatkan IPsec peer, proposal, dan policy di belakang layar. Ringkas, cocok untuk kebutuhan cepat.
2. Cara klasik/manual — Konfigurasi IPsec (peer, profile, proposal, policy) dan EoIP dibuat terpisah. Memberi kontrol penuh, cocok untuk enterprise dengan kebijakan keamanan spesifik (misal sertifikat digital, bukan pre-shared key).

Studi Kasus Sederhana

• Kantor Pusat (R1): IP publik 100.64.111.1, LAN 192.168.10.0/24
• Kantor Cabang (R2): IP publik 100.64.222.1, LAN 192.168.20.0/24

Tujuan: perangkat di kedua LAN bisa saling akses langsung, seolah satu jaringan.

Catatan: Ganti IP publik contoh dengan IP publik statis Anda, atau gunakan DDNS MikroTik jika IP dinamis.

Materi Praktis — Tutorial Step-by-Step

Metode 1: EoIP dengan IPsec Terintegrasi (RouterOS 7, direkomendasikan)

Langkah 1 — Pastikan koneksi internet dasar aktif di kedua router.

Langkah 2 — Di Router Pusat (R1):

/interface eoip
add name="EoIP-ke-Cabang" \
    local-address=100.64.111.1 \
    remote-address=100.64.222.1 \
    tunnel-id=1 \
    mac-address=02:00:00:00:00:01 \
    ipsec-secret="PSK-Sangat-Rahasia123" \
    allow-fast-path=no

Langkah 3 — Di Router Cabang (R2), alamat ditukar:

/interface eoip
add name="EoIP-ke-Pusat" \
    local-address=100.64.222.1 \
    remote-address=100.64.111.1 \
    tunnel-id=1 \
    mac-address=02:00:00:00:00:02 \
    ipsec-secret="PSK-Sangat-Rahasia123" \
    allow-fast-path=no

tunnel-id dan ipsec-secret harus sama persis di kedua sisi. mac-address sebaiknya unik.

Langkah 4 — Masukkan interface EoIP ke bridge LAN:

/interface bridge port
add bridge=bridge-LAN interface="EoIP-ke-Cabang"

(lakukan serupa di R2 dengan EoIP-ke-Pusat)

Langkah 5 — Verifikasi:

/ip ipsec installed-sa print
/interface eoip print
/interface bridge port print

Langkah 6 — Tes ping dari LAN pusat ke IP lokal cabang (misal 192.168.20.5).

Metode 2: IPsec Manual + EoIP

Di Router Pusat (R1):

/ip ipsec profile
add name=profile-cabang dh-group=modp2048 enc-algorithm=aes-256

/ip ipsec peer
add name=peer-cabang address=100.64.222.1 exchange-mode=ike2 profile=profile-cabang

/ip ipsec identity
add peer=peer-cabang auth-method=pre-shared-key secret="PSK-Sangat-Rahasia123"

/ip ipsec proposal
add name=proposal-cabang enc-algorithms=aes-256-gcm pfs-group=modp2048

/ip ipsec policy
add peer=peer-cabang tunnel=yes src-address=100.64.111.1/32 dst-address=100.64.222.1/32 \
    proposal=proposal-cabang protocol=gre

Lalu buat EoIP tanpa ipsec-secret (karena IPsec ditangani policy di atas):

/interface eoip
add name="EoIP-ke-Cabang" local-address=100.64.111.1 remote-address=100.64.222.1 tunnel-id=1

Ulangi konfigurasi setara (address ditukar) di R2.

Firewall yang Wajib Diperiksa

/ip firewall filter
add chain=input protocol=udp dst-port=500,4500 action=accept comment="IPsec IKE/NAT-T"
add chain=input protocol=ipsec-esp action=accept comment="IPsec ESP"
add chain=input protocol=gre action=accept comment="EoIP/GRE"

Letakkan sebelum rule drop umum.

Best Practice

• Gunakan pre-shared key panjang dan acak (minimal 20 karakter).
• Aktifkan Dead Peer Detection (DPD) agar tunnel otomatis pulih.
• Gunakan DDNS jika IP publik dinamis.
• Pisahkan subnet LAN pusat dan cabang — jangan sama.
• Backup konfigurasi setelah tunnel berhasil.
• Pertimbangkan WireGuard sebagai alternatif Layer 3 yang lebih sederhana, meski EoIP+IPsec tetap unggul untuk kebutuhan Layer 2 murni.

Kesalahan yang Sering Terjadi

1. Tunnel “running” tapi tidak bisa ping ke seberang — Penyebab: EoIP belum masuk bridge, atau subnet bentrok. Solusi: cek /interface bridge port print, pastikan subnet berbeda.

2. IPsec SA tidak pernah “installed” — Penyebab: secret tidak sama, atau firewall blokir UDP 500/4500. Solusi: samakan secret, buka port, cek /log print where topics~"ipsec".

3. Koneksi sering putus-nyambung — Penyebab: IP dinamis tanpa DDNS, atau MTU terlalu besar. Solusi: pasang DDNS, turunkan MTU EoIP (misal 1400).

4. Trafik broadcast membebani tunnel — Penyebab: menjembatani jaringan besar tanpa filter. Solusi: terapkan bridge filter atau VLAN.

Tips dan Rekomendasi

• Monitor bandwidth tunnel lewat Torch/Graphing secara berkala.
• Beri komentar pada setiap konfigurasi untuk memudahkan troubleshooting.
• Untuk lebih dari 2-3 cabang, gunakan topologi hub-and-spoke daripada full-mesh.
• Uji failover dengan mematikan salah satu jalur internet.

Kesimpulan

• EoIP menyediakan jembatan Layer 2, IPsec menyediakan enkripsi — keduanya saling melengkapi.
• RouterOS 7 memudahkan konfigurasi lewat ipsec-secret di interface EoIP; metode manual tetap tersedia untuk kontrol lebih detail.
• Firewall, DDNS, dan pemilihan subnet yang tepat adalah kunci tunnel stabil jangka panjang.

Sudah coba setting VPN site-to-site di MikroTik Anda? Ceritakan pengalaman atau kendala di kolom komentar,

bagikan ke rekan IT lain, dan jelajahi artikel terkait lainnya seputar networking MikroTik.

FAQ

Pertanyaan: Apa bedanya EoIP dengan IPsec biasa? Jawaban: EoIP menyatukan LAN di Layer 2 (broadcast domain sama); IPsec murni hanya mengenkripsi routing Layer 3. Kombinasi keduanya memberi keduanya sekaligus.

Pertanyaan: Bisa dipakai jika IP publik dinamis? Jawaban: Bisa, aktifkan DDNS (misal Cloud DDNS MikroTik) di kedua router.

Pertanyaan: Apakah EoIP tanpa IPsec aman lewat internet? Jawaban: Tidak, EoIP murni tidak terenkripsi dan bisa disadap. Wajib dipasangkan IPsec untuk trafik lewat internet publik.

Pertanyaan: Berapa banyak cabang bisa dihubungkan? Jawaban: Tidak dibatasi teknis, tapi untuk banyak cabang gunakan hub-and-spoke agar manajemen lebih sederhana dibanding full-mesh.

Pertanyaan: Apakah WireGuard bisa menggantikan EoIP+IPsec? Jawaban: WireGuard lebih sederhana dan cepat, tapi defaultnya Layer 3. Untuk jembatan Layer 2 murni, EoIP+IPsec masih lebih tepat.

Kalau artikel ini membantu, tinggalkan komentar tentang pengalaman Anda setting VPN MikroTik,

ajak diskusi rekan admin jaringan lain, dan bagikan ke tim IT Anda. Ikuti terus konten networking, server, dan infrastruktur IT terbaru di website ini.