Bayangkan jaringan Anda sebagai sebuah gedung perkantoran. Tanpa satpam di pintu masuk, siapa saja bisa keluar masuk tanpa pengecekan — termasuk orang yang berniat jahat. Access Control List (ACL) adalah “satpam” itu di dunia jaringan komputer: ia berdiri di gerbang perangkat jaringan, memeriksa setiap paket data yang lewat, lalu memutuskan apakah paket tersebut boleh diteruskan atau harus ditolak.
Bagi seorang network engineer, admin sistem, maupun mahasiswa yang sedang belajar CCNA atau MTCNA, memahami ACL bukan sekadar teori — ini adalah keterampilan fundamental yang akan terus terpakai sepanjang karier. ACL dipakai untuk mengamankan router dari akses ilegal, membatasi trafik antar-VLAN, memfilter serangan dari internet, hingga mengatur kebijakan Quality of Service (QoS).
Artikel ini akan membedah konsep ACL secara menyeluruh, mulai dari cara kerja pencocokan rule, perbedaan Standard ACL dan Extended ACL, hingga penerapannya di dua platform paling populer: Cisco IOS dan MikroTik RouterOS. Baik Anda baru pertama kali mendengar istilah ACL maupun sudah terbiasa mengetik access-list di terminal, artikel ini disusun agar mudah diikuti langkah demi langkah.
Apa Itu Access Control List (ACL)?
ACL adalah sekumpulan aturan (rule atau entry) yang dikonfigurasi pada perangkat jaringan — seperti router atau firewall — untuk mengizinkan (permit/accept) atau menolak (deny/drop) lalu lintas data berdasarkan kriteria tertentu. Kriteria ini bisa berupa:
- Alamat IP sumber (source IP address)
- Alamat IP tujuan (destination IP address)
- Protokol (TCP, UDP, ICMP, dan lainnya)
- Port sumber dan tujuan (misalnya port 80 untuk HTTP, 22 untuk SSH)
Secara sederhana, ACL menjawab pertanyaan: “Paket ini datang dari mana, mau ke mana, memakai protokol apa, dan lewat port berapa? Boleh lewat atau tidak?”
Analogi Sederhana: Daftar Tamu di Pos Satpam
Bayangkan pos satpam kompleks perumahan memiliki daftar nama tamu yang boleh masuk. Setiap tamu yang datang akan dicocokkan namanya dengan daftar tersebut secara berurutan dari atas ke bawah. Begitu satu baris cocok, satpam langsung mengambil keputusan (izinkan atau tolak) tanpa perlu memeriksa baris-baris berikutnya. Jika sampai baris terakhir tidak ada yang cocok, secara default tamu tersebut ditolak.
Inilah persis cara kerja ACL: pencocokan rule dilakukan secara berurutan (top-down), dan berhenti pada rule pertama yang cocok.
Cara Kerja Pencocokan Rule ACL Secara Berurutan
Ini adalah konsep paling penting yang wajib dipahami sebelum mengonfigurasi ACL apa pun, baik di Cisco maupun MikroTik:
- Paket data tiba di antarmuka (interface) yang memiliki ACL diterapkan.
- Perangkat memeriksa rule pertama dalam daftar.
- Jika kriteria paket cocok dengan rule tersebut, aksi (permit/deny) langsung dijalankan dan proses pencocokan berhenti — rule di bawahnya tidak akan diperiksa lagi.
- Jika tidak cocok, perangkat lanjut memeriksa rule berikutnya, dan seterusnya.
- Jika paket tidak cocok dengan satu pun rule dalam ACL, maka berlaku implicit deny — yaitu aturan tersembunyi di akhir ACL yang menolak semua paket yang tidak memenuhi kriteria manapun.
Konsep implicit deny ini berbeda sedikit antara Cisco dan MikroTik:
- Di Cisco, setiap ACL numbered maupun named memiliki implicit deny any di baris paling akhir, meskipun tidak terlihat saat menampilkan konfigurasi.
- Di MikroTik, chain bawaan (
input,forward,output) justru memiliki implicit accept jika tidak ada rule yang cocok — sehingga admin harus secara eksplisit menambahkan ruledropdi baris terakhir jika ingin menerapkan kebijakan “tolak semua kecuali yang diizinkan”.
Perbedaan inilah yang sering membuat pemula MikroTik kaget: mereka mengira firewall otomatis memblokir semua trafik, padahal secara default RouterOS akan meneruskan paket yang tidak cocok dengan rule manapun.
Mengapa Urutan Rule Sangat Krusial?
Karena sifat first-match-wins di atas, urutan penulisan rule bisa mengubah total perilaku jaringan Anda. Contoh kasus:
Kasus salah urutan (di MikroTik):
0 drop forward protocol=!tcp out-interface=ether2
1 accept forward dst-address=8.8.8.8
Rule ke-1 seharusnya mengizinkan ping ke 8.8.8.8, tetapi karena rule ke-0 sudah lebih dulu menolak semua protokol selain TCP (termasuk ICMP/ping), paket ping akan didrop di rule 0 dan rule 1 tidak pernah tercapai.
Solusi: letakkan rule yang lebih spesifik (pengecualian) di atas rule yang lebih umum (blokir luas).
Prinsip praktis yang berlaku universal, baik di Cisco maupun MikroTik:
Tulis rule spesifik (permit/accept) di bagian atas, lalu rule umum (deny/drop) di bagian bawah.
Standard ACL vs Extended ACL (Fokus Cisco)
Di lingkungan Cisco IOS, ACL terbagi menjadi dua jenis utama berdasarkan kemampuan filternya:
Standard ACL
- Rentang nomor: 1–99 dan 1300–1999 (expanded range)
- Kriteria filter: hanya berdasarkan alamat IP sumber
- Karakteristik: sederhana, cocok untuk kebutuhan keamanan dasar
- Penempatan terbaik: diletakkan sedekat mungkin dengan tujuan (destination), karena jika dipasang dekat sumber, seluruh trafik dari IP tersebut akan diblokir tanpa mempertimbangkan tujuan sebenarnya
Contoh konfigurasi Standard ACL yang memblokir subnet 192.168.10.0/24 agar tidak bisa mengakses jaringan lain:
access-list 10 deny 192.168.10.0 0.0.0.255
access-list 10 permit any
!
interface GigabitEthernet0/1
ip access-group 10 out
Perhatikan penggunaan wildcard mask (0.0.0.255), bukan subnet mask biasa. Wildcard mask adalah kebalikan logika dari subnet mask: bit 0 berarti “harus cocok persis”, bit 1 berarti “boleh berapa saja”.
Extended ACL
- Rentang nomor: 100–199 dan 2000–2699 (expanded range)
- Kriteria filter: IP sumber dan IP tujuan, jenis protokol (TCP/UDP/ICMP), serta port sumber/tujuan
- Karakteristik: jauh lebih fleksibel dan presisi
- Penempatan terbaik: diletakkan sedekat mungkin dengan sumber (source), agar trafik yang tidak diinginkan langsung ditolak sebelum membebani jalur jaringan lainnya
Contoh konfigurasi Extended ACL yang mengizinkan trafik web (port 80) menuju server tertentu, tetapi memblokir ICMP dari subnet lain:
access-list 110 permit tcp any host 10.0.0.50 eq 80
access-list 110 deny icmp 192.168.5.0 0.0.0.255 any
access-list 110 permit ip any any
!
interface GigabitEthernet0/0
ip access-group 110 in
Tabel Perbandingan Ringkas
| Aspek | Standard ACL | Extended ACL |
|---|---|---|
| Rentang nomor | 1–99, 1300–1999 | 100–199, 2000–2699 |
| Filter berdasarkan | IP sumber saja | IP sumber, IP tujuan, protokol, port |
| Presisi | Rendah | Tinggi |
| Penempatan ideal | Dekat tujuan | Dekat sumber |
| Kompleksitas | Sederhana | Lebih kompleks |
Selain numbered ACL, Cisco modern juga mendukung named ACL (ip access-list standard NAMA atau ip access-list extended NAMA) yang lebih mudah dibaca dan dikelola, terutama pada jaringan besar dengan puluhan ACL berbeda.
Konsep Firewall Filter di MikroTik RouterOS
MikroTik tidak menggunakan istilah “ACL” secara literal seperti Cisco, tetapi konsepnya diwujudkan melalui Firewall Filter pada menu /ip firewall filter. Ada tiga chain bawaan yang wajib dipahami:
- Chain
input— memproses paket yang ditujukan ke router itu sendiri (misalnya akses Winbox, SSH, ping ke IP router). - Chain
forward— memproses paket yang melewati router menuju perangkat lain (misalnya trafik client LAN menuju internet). - Chain
output— memproses paket yang berasal dari router itu sendiri menuju keluar.
Sama seperti Cisco, rule di setiap chain diproses top-to-bottom dan berhenti begitu ada rule yang cocok (kecuali action passthrough atau beberapa aksi mangle tertentu yang tidak bersifat terminating).
Contoh dasar mengamankan akses ke router (chain input):
/ip firewall filter
add chain=input connection-state=established,related action=accept comment="Accept established/related"
add chain=input connection-state=invalid action=drop comment="Drop invalid"
add chain=input src-address=192.168.88.0/24 action=accept comment="Allow management LAN"
add chain=input protocol=tcp dst-port=22 connection-state=new action=drop comment="Block SSH dari luar"
add chain=input action=drop comment="Drop semua input lainnya"
Contoh mengatur trafik yang lewat router (chain forward), misalnya mengizinkan LAN ke internet tetapi memblokir subnet tertentu:
/ip firewall filter
add chain=forward connection-state=established,related action=accept comment="Accept established/related"
add chain=forward connection-state=invalid action=drop comment="Drop invalid"
add chain=forward src-address=10.10.5.0/24 action=drop comment="Blokir subnet tamu"
add chain=forward src-address=192.168.88.0/24 action=accept comment="Izinkan LAN ke internet"
MikroTik juga mengenal fitur jump-target, mirip konsep sub-rutin: sebuah rule bisa “melompat” ke chain kustom buatan admin agar konfigurasi lebih terstruktur dan tidak berulang-ulang, misalnya membuat chain khusus untuk ICMP atau untuk grup port tertentu.
Materi Praktis
Studi Kasus Sederhana: Mengamankan Router Kantor Kecil
Misalkan sebuah kantor kecil memiliki:
- Subnet LAN:
192.168.1.0/24 - Server internal (web + SSH):
192.168.1.10 - Kebutuhan: hanya tim IT (
192.168.1.5) yang boleh SSH ke server, semua orang di LAN boleh akses web server, dan trafik dari internet ke server harus diblokir kecuali web.
Implementasi di Cisco (Extended ACL):
access-list 120 permit tcp host 192.168.1.5 host 192.168.1.10 eq 22
access-list 120 deny tcp any host 192.168.1.10 eq 22
access-list 120 permit tcp any host 192.168.1.10 eq 80
access-list 120 deny ip any host 192.168.1.10
access-list 120 permit ip any any
!
interface GigabitEthernet0/0
ip access-group 120 in
Implementasi di MikroTik:
/ip firewall filter
add chain=forward src-address=192.168.1.5 dst-address=192.168.1.10 protocol=tcp dst-port=22 action=accept comment="IT boleh SSH"
add chain=forward dst-address=192.168.1.10 protocol=tcp dst-port=22 action=drop comment="Blokir SSH selain IT"
add chain=forward dst-address=192.168.1.10 protocol=tcp dst-port=80 action=accept comment="Semua boleh akses web"
Perhatikan pola yang sama di kedua platform: rule paling spesifik ditulis lebih dulu, baru diikuti rule yang lebih umum.
Best Practice Profesional
- Selalu dokumentasikan setiap rule dengan komentar (
comment=di MikroTik, atauremarkdi Cisco named ACL) agar mudah dipahami oleh tim lain. - Uji di jam sepi atau lewat jalur backup (console/MAC-Winbox di MikroTik, atau sesi console langsung di Cisco), karena kesalahan urutan rule bisa mengunci akses admin sendiri.
- Terapkan prinsip least privilege: izinkan hanya yang benar-benar dibutuhkan, tolak sisanya.
- Gunakan named ACL/comment yang deskriptif, bukan sekadar nomor, agar audit lebih mudah di kemudian hari.
- Manfaatkan
connection-state=established,related(MikroTik) atau ACL reflexive (Cisco) agar trafik balik dari koneksi yang sudah diizinkan tidak perlu dibuka rule tambahan. - Review ACL secara berkala — rule lama yang sudah tidak relevan bisa membuka celah keamanan atau memperlambat proses forwarding karena daftar terlalu panjang.
Tutorial Step-by-Step: Membuat ACL Dasar
Berikut langkah umum yang bisa diterapkan di kedua platform:
- Identifikasi kebutuhan — trafik apa yang perlu diizinkan, dan siapa saja penggunanya.
- Tentukan jenis ACL — Standard jika cukup filter IP sumber saja, Extended/Firewall Filter jika butuh presisi protokol dan port.
- Tulis rule dari yang paling spesifik ke paling umum.
- Terapkan ACL ke interface yang tepat — tentukan arah
inatauout(Cisco) atau chain yang sesuai (MikroTik). - Simpan sesi backup/console sebelum menerapkan rule yang bersifat restriktif.
- Uji konektivitas dari sisi yang diizinkan maupun yang seharusnya diblokir.
- Pantau log dan counter hit pada setiap rule untuk memastikan rule benar-benar terpakai sesuai rencana.
Kesalahan yang Sering Terjadi
1. Lupa implicit deny/permit di akhir chain
- Penyebab: Tidak memahami bahwa Cisco memiliki implicit deny sedangkan MikroTik memiliki implicit accept.
- Dampak: Di Cisco, trafik yang seharusnya diizinkan malah tertolak karena tidak ada rule
permit anydi akhir. Di MikroTik, trafik yang seharusnya diblokir malah lolos karena tidak ada ruledropdi akhir chain. - Cara mengatasi: Selalu tambahkan rule eksplisit di akhir sesuai kebijakan yang diinginkan.
2. Rule terlalu umum diletakkan di atas
- Penyebab: Tidak memperhitungkan sifat first-match-wins.
- Dampak: Rule pengecualian di bawahnya tidak pernah tercapai.
- Cara mengatasi: Susun ulang urutan — spesifik dulu, umum belakangan.
3. Salah menempatkan ACL pada interface (Cisco)
- Penyebab: Standard ACL dipasang terlalu dekat sumber, sehingga memblokir trafik yang sebenarnya boleh diteruskan ke tujuan lain.
- Dampak: Pengguna kehilangan akses ke layanan yang sebenarnya tidak seharusnya diblokir.
- Cara mengatasi: Ikuti kaidah penempatan — Standard dekat tujuan, Extended dekat sumber.
4. Terkunci dari akses remote (lockout)
- Penyebab: Menambahkan rule
deny/dropluas pada chaininputtanpa lebih dulu mengizinkan IP admin. - Dampak: Admin kehilangan akses Winbox/SSH/Telnet ke perangkat.
- Cara mengatasi: Selalu uji lewat sesi backup (console port atau MAC-Winbox), dan tambahkan rule izin admin sebelum rule blokir umum.
5. Tidak memakai wildcard mask dengan benar (Cisco)
- Penyebab: Tertukar antara subnet mask dan wildcard mask.
- Dampak: ACL mencocokkan rentang IP yang salah.
- Cara mengatasi: Ingat bahwa wildcard mask adalah kebalikan biner dari subnet mask (misalnya
/24menjadi0.0.0.255).
Tips dan Rekomendasi
- Gunakan named ACL di Cisco untuk lingkungan produksi agar lebih mudah diaudit dibanding numbered ACL.
- Di MikroTik, manfaatkan address list (
/ip firewall address-list) untuk mengelompokkan banyak IP dalam satu label, sehingga rule lebih ringkas dan mudah diperbarui. - Terapkan logging selektif hanya pada rule yang penting untuk investigasi, karena logging berlebihan bisa membebani perangkat.
- Selalu backup konfigurasi sebelum melakukan perubahan besar pada ACL/firewall.
- Pahami bahwa ACL bersifat stateless (kecuali difasilitasi connection tracking), sehingga trafik balik dari koneksi yang diizinkan tetap perlu dipertimbangkan secara eksplisit.
Kesimpulan
Access Control List adalah fondasi keamanan jaringan yang bekerja dengan prinsip sederhana namun sangat berpengaruh: memeriksa setiap paket berdasarkan kriteria tertentu, secara berurutan, dan berhenti pada rule pertama yang cocok. Di Cisco, konsep ini terbagi menjadi Standard ACL (filter berdasarkan IP sumber saja, nomor 1–99/1300–1999) dan Extended ACL (filter lebih presisi hingga protokol dan port, nomor 100–199/2000–2699). Di MikroTik, konsep yang sama diwujudkan melalui Firewall Filter dengan tiga chain utama: input, forward, dan output.
Poin penting yang perlu selalu diingat:
- Urutan rule menentukan hasil akhir — spesifik dulu, umum belakangan.
- Cisco memiliki implicit deny, MikroTik memiliki implicit accept — keduanya perlu ditangani secara eksplisit sesuai kebijakan keamanan yang diinginkan.
- Selalu uji melalui jalur backup sebelum menerapkan rule yang membatasi akses secara luas.
Menguasai ACL bukan hanya soal menghafal sintaks, melainkan memahami logika pencocokan rule yang mendasarinya — begitu logika ini dikuasai, penerapannya di platform apa pun (Cisco, MikroTik, bahkan firewall vendor lain) akan terasa jauh lebih mudah.
Bagaimana pengalaman Anda mengonfigurasi ACL di jaringan sendiri? Pernah terkunci dari router karena salah urutan rule?
Yuk, ceritakan pengalaman Anda di kolom komentar! Jangan lupa bagikan artikel ini ke rekan sesama network engineer, dan jelajahi juga artikel terkait lainnya seputar Cisco, MikroTik, dan keamanan jaringan di blog ini.
Frequently Asked Questions (FAQ)
Pertanyaan: Apa perbedaan utama antara Standard ACL dan Extended ACL di Cisco? Jawaban: Standard ACL hanya memfilter berdasarkan alamat IP sumber, sedangkan Extended ACL bisa memfilter berdasarkan IP sumber, IP tujuan, jenis protokol, dan port, sehingga jauh lebih presisi.
Pertanyaan: Apakah MikroTik memiliki fitur yang setara dengan ACL Cisco? Jawaban: Ya, fiturnya disebut Firewall Filter yang terletak di menu /ip firewall filter, dengan tiga chain utama yaitu input, forward, dan output.
Pertanyaan: Mengapa urutan rule pada ACL sangat penting? Jawaban: Karena ACL diproses secara berurutan dari atas ke bawah dan berhenti pada rule pertama yang cocok (first-match-wins), sehingga rule yang salah urutan bisa membuat kebijakan tidak berjalan sesuai rencana.
Pertanyaan: Apa yang terjadi jika paket tidak cocok dengan rule manapun dalam ACL? Jawaban: Di Cisco berlaku implicit deny, artinya paket otomatis ditolak. Di MikroTik justru berlaku implicit accept pada chain bawaan, sehingga paket akan diteruskan kecuali admin menambahkan rule drop eksplisit.
Pertanyaan: Di mana sebaiknya Standard ACL dan Extended ACL diterapkan pada topologi Cisco? Jawaban: Standard ACL sebaiknya diletakkan sedekat mungkin dengan tujuan (destination), sedangkan Extended ACL sebaiknya diletakkan sedekat mungkin dengan sumber (source) agar trafik yang tidak diinginkan segera ditolak.
Sudah paham cara kerja ACL di Cisco dan MikroTik? Jangan simpan sendiri —
tinggalkan komentar tentang pengalaman konfigurasi ACL Anda, ajak diskusi rekan tim IT lainnya, bagikan artikel ini ke grup komunitas networking Anda, dan terus ikuti artikel-artikel terbaru seputar Linux, Server, Cisco, MikroTik, Cloud Computing, dan Cybersecurity di blog ini!
