Panduan lengkap setting firewall MikroTik: chain, rule, dan best practice untuk melindungi jaringan dari serangan siber secara efektif.

Router MikroTik dikenal luas di kalangan admin jaringan, ISP kecil-menengah, hingga perusahaan karena fleksibilitas RouterOS-nya yang luar biasa. Tapi fleksibilitas itu ibarat pisau bermata dua — kalau firewall-nya tidak dikonfigurasi dengan benar, router yang seharusnya jadi benteng pertahanan justru bisa berubah jadi pintu masuk empuk bagi penyerang.

Banyak kasus router MikroTik disusupi, dijadikan bagian dari botnet, atau digunakan untuk serangan DDoS bukan karena RouterOS-nya lemah, melainkan karena konfigurasi default-nya dibiarkan apa adanya. Padahal, secara bawaan RouterOS hanya menerapkan sedikit rule dasar (defconf) yang tujuannya cuma supaya koneksi internet cepat jalan — bukan untuk keamanan maksimal.

Kalau kamu mengelola jaringan kantor, warnet, RT/RW Net, atau bahkan jaringan rumahan yang serius soal keamanan, artikel ini akan memandu kamu dari nol: memahami cara kerja firewall MikroTik, menyusun rule yang benar, sampai menghindari kesalahan-kesalahan yang paling sering terjadi.

Pembahasan Utama

Memahami Arsitektur Firewall MikroTik

Sebelum masuk ke konfigurasi, penting untuk paham bagaimana paket data “melewati” router MikroTik. RouterOS memproses trafik lewat beberapa tahap (chain), dan tiap tahap punya fungsi berbeda:

Raw (Prerouting) — tahap paling awal, sebelum connection tracking aktif. Cocok untuk membuang paket mencurigakan sedini mungkin agar beban CPU router lebih ringan.
Filter — Input — mengatur trafik yang ditujukan ke router itu sendiri (misalnya akses Winbox, SSH, atau ping ke router).
Filter — Forward — mengatur trafik yang melewati router, misalnya dari LAN ke internet atau sebaliknya.
Filter — Output — mengatur trafik yang berasal dari router menuju luar.
NAT — menangani translasi alamat, seperti masquerade untuk berbagi koneksi internet.

Analoginya begini: bayangkan router sebagai gedung kantor. Chain Input itu seperti resepsionis yang menyaring siapa saja yang boleh masuk ke ruang server (router). Chain Forward itu seperti satpam di pintu gerbang yang mengatur siapa boleh lewat menuju gedung-gedung lain (perangkat di jaringan LAN). Kalau resepsionis dan satpamnya longgar, siapa pun bisa masuk seenaknya.

Prinsip Dasar: Default Deny, Bukan Default Allow

Prinsip paling penting dalam firewall — bukan cuma di MikroTik — adalah default deny: blokir semua trafik terlebih dahulu, lalu izinkan secara spesifik hanya yang memang dibutuhkan. Ini kebalikan dari kebiasaan banyak pemula yang cenderung “allow all, block yang bermasalah saja”, padahal pendekatan itu jauh lebih rawan.

Berdasarkan praktik yang direkomendasikan MikroTik sendiri lewat dokumentasi Building Advanced Firewall, setidaknya ada lima elemen dasar yang wajib ada dalam firewall production:

Proteksi terhadap router itu sendiri lewat chain Input (misalnya membatasi rate ICMP, membuang paket dengan flag TCP tidak wajar, dan membatasi akses SSH/Winbox hanya dari subnet tepercaya).
Pemblokiran rentang IP privat yang datang dari interface WAN di chain Raw, sebagai langkah anti-spoofing dasar.
Filtering berdasarkan connection state di chain Filter.
Pengelompokan rule berbasis address list dan interface list agar mudah dikelola.
Monitoring dan review rule secara berkala.

Contoh Implementasi: Mengamankan Chain Input

Langkah pertama yang paling krusial adalah melindungi router itu sendiri. Berikut contoh rule dasar yang bisa diterapkan lewat terminal MikroTik:

/ip firewall filter
add chain=input action=accept connection-state=established,related comment="Accept established/related"
add chain=input action=drop connection-state=invalid comment="Drop invalid connections"
add chain=input action=accept protocol=icmp limit=5,10:packet comment="Accept ICMP dengan rate limit"
add chain=input action=accept src-address=192.168.88.0/24 protocol=tcp dst-port=8291 comment="Izinkan Winbox dari LAN"
add chain=input action=accept src-address=192.168.88.0/24 protocol=tcp dst-port=22 comment="Izinkan SSH dari LAN"
add chain=input action=drop in-interface=ether1-WAN comment="Drop semua akses dari WAN ke router"

Perhatikan urutannya: rule established/related dan drop invalid selalu diletakkan paling atas. Ini penting karena RouterOS memproses rule secara berurutan dari atas ke bawah, dan begitu satu paket cocok dengan sebuah rule, pemrosesan langsung berhenti (kecuali actionnya passthrough). Menaruh rule yang paling sering “kena” di posisi atas juga membantu meringankan beban CPU router.

Contoh Implementasi: Mengamankan Chain Forward

Chain Forward mengatur trafik yang melintas dari LAN ke WAN maupun sebaliknya. Berikut contoh dasarnya:

/ip firewall filter
add chain=forward action=accept connection-state=established,related comment="Accept established/related"
add chain=forward action=drop connection-state=invalid comment="Drop invalid"
add chain=forward action=drop connection-state=new in-interface=ether1-WAN comment="Blokir koneksi baru dari WAN yang bukan tujuan DstNAT"
add chain=forward action=accept src-address=192.168.88.0/24 comment="Izinkan trafik dari LAN"

Rule ketiga di atas penting supaya perangkat di internet tidak bisa memulai koneksi baru langsung ke perangkat LAN kamu, kecuali memang sudah diarahkan lewat NAT (misalnya untuk server yang sengaja di-expose).

Menggunakan Address List dan Interface List

Salah satu fitur yang sering dilewatkan pemula adalah address list dan interface list. Alih-alih membuat banyak rule terpisah untuk tiap IP atau interface, kamu bisa mengelompokkannya jadi satu daftar dan menerapkan satu rule saja.

Contoh: daripada membuat tujuh rule berbeda untuk memblokir tujuh IP mencurigakan, cukup masukkan ketujuh IP itu ke satu address list, lalu buat satu rule yang merujuk ke list tersebut. Selain menyederhanakan manajemen, cara ini juga meringankan beban pemrosesan firewall karena jumlah rule yang harus dicek per paket jadi lebih sedikit.

/ip firewall address-list
add address=185.220.101.0/24 list=blocked_ips comment="Contoh rentang IP mencurigakan"
add address=45.155.205.0/24 list=blocked_ips

/ip firewall filter
add chain=forward action=drop src-address-list=blocked_ips comment="Blokir seluruh IP dalam address list"

Studi Kasus Sederhana: Mengatasi Percobaan Brute-Force SSH

Bayangkan sebuah kantor kecil dengan server yang bisa diakses SSH dari luar. Dalam beberapa hari, log menunjukkan ratusan percobaan login gagal dari berbagai IP asing — tanda-tanda serangan brute-force. Solusinya bisa memanfaatkan address list otomatis:

/ip firewall filter
add chain=input protocol=tcp dst-port=22 connection-state=new action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=1m
add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=ssh_stage1 action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m
add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=ssh_stage2 action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=1d
add chain=input protocol=tcp dst-port=22 src-address-list=ssh_blacklist action=drop

Rule ini secara bertahap mendeteksi IP yang melakukan banyak percobaan koneksi SSH dalam waktu singkat, lalu otomatis memasukkannya ke blacklist selama 24 jam. Pendekatan berjenjang seperti ini jauh lebih efisien daripada memblokir manual satu per satu.

Tutorial Step-by-Step: Setting Firewall MikroTik dari Nol

Update RouterOS ke versi terbaru. Versi baru biasanya membawa perbaikan keamanan dan optimasi performa. Cek lewat /system package update check-for-updates.
Ganti password default dan nonaktifkan service yang tidak perlu. Matikan Telnet, FTP, dan HTTP di menu IP > Services jika tidak digunakan, lalu ganti user default dengan password yang kuat.
Aktifkan Safe Mode saat konfigurasi. Fitur ini penting agar kalau rule yang kamu buat sampai memutus akses ke router, RouterOS otomatis mengembalikan konfigurasi sebelumnya.
Buat rule dasar di chain Input seperti contoh di atas — accept established/related, drop invalid, batasi ICMP, dan batasi akses manajemen (Winbox/SSH) hanya dari IP tepercaya.
Buat rule dasar di chain Forward untuk mengatur trafik antar-jaringan, termasuk memblokir koneksi baru dari WAN yang tidak diarahkan lewat NAT.
Kelompokkan IP dan interface menggunakan address list serta interface list agar rule lebih ringkas dan mudah dirawat.
Uji konfigurasi. Coba akses dari berbagai sumber (LAN, WAN, IP asing) untuk memastikan rule bekerja sesuai rencana sebelum benar-benar mengandalkannya.
Aktifkan logging pada rule penting agar mudah melakukan audit dan investigasi bila terjadi insiden.
Backup konfigurasi secara berkala lewat /system backup save supaya bisa dipulihkan cepat jika terjadi masalah.

Kesalahan yang Sering Terjadi

1. Membiarkan konfigurasi default tanpa perubahan Penyebab: Admin menganggap setting bawaan sudah cukup aman. Dampak: Port manajemen seperti Winbox bisa diakses dari internet, membuka celah brute-force. Solusi: Batasi akses manajemen hanya dari subnet tepercaya dan matikan service yang tidak dipakai.

2. Urutan rule yang salah Penyebab: Rule ditambahkan tanpa memperhatikan urutan pemrosesan. Dampak: Rule yang seharusnya memblokir trafik berbahaya malah tidak pernah tereksekusi karena sudah “ketangkap” rule lain di atasnya. Solusi: Selalu letakkan rule accept established/related dan drop invalid di posisi paling atas, lalu susun rule lain secara logis dari yang paling spesifik ke paling umum.

3. Tidak memisahkan chain Input dan Forward Penyebab: Kurang paham perbedaan trafik yang menuju router vs trafik yang melewati router. Dampak: Rule yang harusnya melindungi router malah tidak berlaku untuk trafik LAN, atau sebaliknya. Solusi: Pahami dan terapkan chain sesuai fungsinya masing-masing.

4. Terlalu banyak rule individual tanpa address list Penyebab: Menambahkan rule satu per satu untuk tiap IP. Dampak: Firewall jadi berat diproses dan sulit dirawat saat rule sudah ratusan. Solusi: Gunakan address list dan interface list untuk mengelompokkan entri yang serupa.

5. Tidak pernah melakukan review dan audit rule Penyebab: Firewall dianggap “set and forget”. Dampak: Rule lama yang sudah tidak relevan menumpuk, celah keamanan baru tidak terdeteksi. Solusi: Jadwalkan review rule secara berkala, minimal setiap beberapa bulan sekali, dan pantau log secara rutin.

Tips dan Rekomendasi

Gunakan FastTrack untuk koneksi yang sudah established/related agar performa router tetap ringan, tapi pastikan tidak mengaktifkannya sebelum rule keamanan utama sudah berjalan baik.
Pertimbangkan memblokir port UDP 53 dari WAN kecuali kamu memang menjalankan DNS server publik, untuk mencegah router disalahgunakan dalam serangan DNS amplification.
Pilih rilis Long-term untuk RouterOS di lingkungan produksi yang mengutamakan stabilitas, dan rilis Stable hanya jika butuh fitur terbaru dan siap menghadapi kemungkinan bug.
Kombinasikan firewall dengan VLAN untuk segmentasi jaringan, sehingga satu perangkat yang disusupi tidak otomatis membuka akses ke seluruh jaringan.
Aktifkan notifikasi atau logging untuk rule-rule kritikal supaya insiden bisa terdeteksi lebih cepat.

Kesimpulan

Firewall MikroTik yang kuat bukan soal menambahkan rule sebanyak-banyaknya, tapi soal memahami arsitektur chain, menerapkan prinsip default deny, dan menyusun rule secara terstruktur serta mudah dirawat. Mulai dari melindungi router itu sendiri lewat chain Input, mengatur trafik antar-jaringan lewat chain Forward, sampai memanfaatkan address list untuk efisiensi — semua elemen ini saling melengkapi membentuk pertahanan berlapis.

Ingat, keamanan jaringan bukan proyek sekali jadi. Ancaman terus berkembang, jadi review rule, pembaruan RouterOS, dan monitoring log perlu dilakukan secara berkelanjutan.

Sudah coba terapkan salah satu rule di atas di router MikroTik kamu? Tulis pengalaman, kendala, atau pertanyaanmu di kolom komentar —

mari berdiskusi bersama! Jangan lupa bagikan artikel ini ke rekan sesama admin jaringan yang mungkin membutuhkannya, dan jelajahi artikel-artikel terkait lainnya seputar MikroTik, networking, dan cybersecurity di blog ini.

Frequently Asked Questions (FAQ)

Pertanyaan: Apa perbedaan chain Input dan Forward di firewall MikroTik? Jawaban: Chain Input mengatur trafik yang ditujukan langsung ke router, sedangkan chain Forward mengatur trafik yang melewati router menuju perangkat lain di jaringan.

Pertanyaan: Apakah firewall default RouterOS sudah cukup aman? Jawaban: Belum. Konfigurasi default (defconf) hanya dirancang agar koneksi internet cepat berjalan, bukan untuk keamanan maksimal, sehingga tetap perlu dikustomisasi.

Pertanyaan: Bagaimana cara mencegah percobaan brute-force SSH di MikroTik? Jawaban: Gunakan kombinasi address list bertingkat yang secara otomatis memblokir IP setelah beberapa kali percobaan koneksi gagal dalam waktu singkat.

Pertanyaan: Apakah address list mempengaruhi performa router? Jawaban: Justru sebaliknya, address list membantu meringankan beban CPU karena mengurangi jumlah rule individual yang harus diproses per paket.

Pertanyaan: Perlukah mengaktifkan Safe Mode saat mengubah firewall? Jawaban: Sangat disarankan, karena Safe Mode otomatis mengembalikan konfigurasi sebelumnya jika perubahan yang dilakukan sampai memutus akses ke router.

Pertanyaan: Apa itu FastTrack di MikroTik dan kapan sebaiknya digunakan? Jawaban: FastTrack adalah fitur untuk mempercepat pemrosesan koneksi yang sudah established/related, sebaiknya diaktifkan setelah rule keamanan utama sudah stabil berjalan.

Kalau artikel ini membantu, jangan simpan sendiri —

bagikan ke rekan admin jaringan lainnya! Tulis pertanyaan atau pengalamanmu seputar konfigurasi firewall MikroTik di kolom komentar, dan ikuti terus blog ini untuk update artikel seputar networking, cybersecurity, dan infrastruktur IT terbaru.

Terkait