Di bagian keempat dari seri keamanan Mikrotik ini, kita akan membahas pilar pertahanan terkuat pada router: Firewall Filter Rules. Secara spesifik, kita akan fokus pada Chain Input, yang bertugas mengamankan router itu sendiri dari serangan atau akses yang tidak sah.
Implementasi firewall ini sangat vital untuk mengurangi load pada router dan memastikan hanya traffic yang benar-benar diperlukan yang diterima.
Konsep Dasar: Mengenal Chains pada Mikrotik
Sebelum membuat rule, penting untuk memahami tiga jenis chain utama di Mikrotik:
- Chain Input: Digunakan untuk paket data yang ditujukan ke router itu sendiri (misalnya, traffic Winbox, Ping, SSH).
- Chain Forward: Digunakan untuk paket data yang melewati router (misalnya, traffic dari LAN ke Internet).
- Chain Output: Digunakan untuk paket data yang berasal dari router itu sendiri [02:20].
Karena tujuan kita adalah mengamankan perangkat router, kita akan menggunakan Chain Input.
4 Langkah Membuat Firewall Input yang Kuat
Kita akan menyusun empat rule utama dalam Chain Input. Rule ini harus disusun secara berurutan (top-down) karena router membaca rule dari atas ke bawah, dan akan berhenti setelah menemukan rule yang cocok.
Langkah 1: Terima Koneksi yang Sudah Terjalin (Accept Established & Related)
Rule pertama berfungsi untuk mengurangi beban kerja router dengan segera menerima (accept) paket-paket yang merupakan bagian dari koneksi yang sudah ada (established) atau terkait (related) [01:51]. Ini mencegah router memproses ulang rule untuk setiap paket dari sesi yang sedang berjalan.
- Chain:
input - Connection State: Centang
establisheddanrelated. - Action:
accept
Langkah 2: Izinkan Akses dari Alamat IP Administratif (Accept Allowed Admin IPs)
Rule kedua adalah inti pengamanan, di mana kita hanya mengizinkan alamat IP yang kita daftarkan sebagai administrator untuk mengakses router.
A. Buat Address List (Daftar IP yang Diizinkan)
- Buka menu IP > Firewall > Address Lists.
- Buat daftar baru, beri nama misalnya “Allowed-IP-Admin” [03:34].
- Masukkan alamat IP PC atau network yang Anda gunakan untuk me-remote router (misalnya
192.168.88.88/32). Tambahkan semua IP admin ke daftar ini [05:46].
B. Buat Filter Rule
- Chain:
input - Src. Address List: Pilih daftar “Allowed-IP-Admin”.
- Action:
accept
Langkah 3: Izinkan Akses Ping (ICMP) dari Alamat Administratif
Untuk memudahkan troubleshooting, kita mengizinkan traffic Ping (protokol ICMP) ke router, tetapi hanya dari IP yang sudah terdaftar di Allowed-IP-Admin.
- Chain:
input - Protocol:
icmp - Src. Address List: Pilih daftar “Allowed-IP-Admin” [03:57].
- Action:
accept
Langkah 4: Blokir Semua Akses Lain (Drop All Other Traffic)
Rule terakhir ini harus berada di urutan paling bawah. Fungsinya adalah untuk membuang (drop) semua traffic lain yang masuk ke router dan tidak cocok dengan rule di atasnya. Ini adalah rule “penutup” yang mengamankan router secara total [06:02].
- Chain:
input - Action:
drop
Uji Coba: Setelah rule ini diterapkan, jika Anda mencoba ping ke router dari IP yang tidak terdaftar di Allowed-IP-Admin, ping akan gagal (timeout) [07:36]. Demikian pula, Anda tidak akan bisa masuk (Connect) ke Winbox [07:47].
Konfigurasi Tambahan: Mempercepat Forward (Fast Track)
Sebagai bonus, video juga menunjukkan rule yang populer digunakan untuk meningkatkan throughput jaringan, yaitu Fast Track Connection [08:46]. Rule ini diterapkan pada Chain Forward untuk mempercepat paket yang sudah dikenal:
- Chain:
forward - Connection State: Centang
establisheddanrelated. - Action:
fasttrack-connection
Tambahkan juga rule untuk menghentikan paket yang tidak valid:
- Chain:
forward - Connection State: Centang
invalid. - Action:
drop[09:40].
Kesimpulan: Router Aman, Load Ringan
Dengan mengimplementasikan firewall Chain Input ini, Anda telah berhasil:
- Mengamankan Akses: Hanya IP admin yang bisa remote ke router.
- Mengurangi Load: Memproses traffic yang sudah dikenal lebih cepat.
- Memblokir Ancaman: Menolak semua paket yang tidak relevan.
Pastikan rule DROP selalu berada di urutan paling akhir untuk memastikan semua rule ACCEPT di atasnya dieksekusi dengan benar!
