Bentengi router Anda dari serangan hacker (Brute Force) dan cara memblokir akses ke situs-situs berbahaya.
Daftar Isi
- TL;DR (Ringkasan Cepat)
- Belajar MikroTik: Mengamankan Layanan Router & Keamanan Jaringan
- Keamanan Jaringan dengan Firewall Filter Rules MikroTik
- 1. Aturan Emas: Membuang Paket Cacat (Drop Invalid)
- 2. Mencegah Brute Force MikroTik dengan Dynamic Address List
- 3. Menyembunyikan Port dengan Port Knocking
- 4. Membuang SYN Flood di Firewall Raw
- 5. Waspada Bypass Fitur Fasttrack
- 6. Jangan Lupakan Firewall IPv6
- Panduan Memblokir Situs Berbahaya di MikroTik
- Tabel Referensi Lengkap Perintah CLI Firewall MikroTik
- Pertanyaan Umum (FAQ) Seputar Keamanan MikroTik
- Tanya: Apakah mengganti port Winbox bisa mencegah hacker 100%?
- Tanya: Bagaimana cara blokir situs judi di MikroTik yang bandel?
- Tanya: Apakah fitur Fasttrack aman digunakan bersamaan dengan Firewall Drop?
- Tanya: Mengapa aturan Drop di Chain Input saya memblokir akses internet klien?
Terakhir diperbarui:
TL;DR (Ringkasan Cepat)
- Tutup Akses: Matikan layanan tak terpakai (Telnet, FTP, SSH) dan ganti port WinBox default.
- Drop Invalid: Selalu buat aturan Firewall untuk menolak koneksi cacat/sampah (invalid packets) yang menguras CPU.
- Blokir Otomatis: Gunakan Dynamic Address List untuk memblokir IP peretas secara otomatis setelah gagal login berkali-kali.
- Filter Konten: Memblokir situs web berbahaya kini paling efektif menggunakan teknik pencocokan TLS Host atau pembelokan IP via DNS Static.
Cheatsheet Perintah CLI Keamanan
| Tujuan | Perintah MikroTik (RouterOS) |
|---|---|
| Drop Invalid (IPv4) | /ip firewall filter add chain=input connection-state=invalid action=drop |
| Drop Invalid (IPv6) | /ipv6 firewall filter add chain=input connection-state=invalid action=drop |
| Blokir TLS Host | /ip firewall filter add chain=forward protocol=tcp dst-port=443 tls-host="*situs*" action=drop |
Router adalah pintu depan rumah Anda. Memahami cara buat firewall filter mikrotik adalah benteng pertahanan paling esensial. Jika tidak dikunci rapat, peretas dari seluruh dunia akan mencoba membobol masuk (terutama Brute Force SSH/WinBox).
Belajar MikroTik: Mengamankan Layanan Router & Keamanan Jaringan
Key Takeaways:
- Tujuan Utama: Meminimalkan celah masuk ke router Anda sendiri.
- Teknik Praktis: Menonaktifkan layanan rentan (
telnet,ftp,ssh) dan memodifikasi port defaultwinbox. - Dampak Keamanan: Mencegah botnet scanner mendeteksi router Anda secara masif.
Langkah termudah untuk meningkatkan keamanan adalah mematikan layanan yang tidak Anda gunakan. Membiarkan port terbuka tanpa digunakan adalah celah empuk bagi scanner malware botnet.
- Langkah 1: Buka aplikasi WinBox dan login.
- Langkah 2: Pada menu navigasi utama, buka
IP > Services. - Langkah 3: Pilih layanan yang tidak dipakai (seperti
telnet,ftp,api, ataussh). - Langkah 4: Klik tombol X (merah) di bilah atas untuk menonaktifkan layanan tersebut.
- Langkah 5 (Opsional): Klik ganda pada layanan
winbox, lalu ubah port bawaannya dari8291menjadi port acak seperti18291untuk mengecoh pemindai otomatis.
/ip service disable telnet,ftp,api,ssh
/ip service set winbox port=18291
Keamanan Jaringan dengan Firewall Filter Rules MikroTik
Key Takeaways:
- Konsep Firewall: Bertindak layaknya satpam yang menyaring data masuk (
input) dan melintas (forward). - Manajemen Invalid: Wajib membuang paket jaringan cacat agar beban memori CPU tetap stabil.
- Otomatisasi Blokir: Mekanisme Address List otomatis dapat melacak dan menghukum peretas secara mandiri (Sistem Anti-Brute Force).
Buka IP > Firewall > Filter Rules. Di sini Anda bisa menolak trafik yang mencurigakan. Sebelum mulai, pahami perbedaan mendasar kedua jalur (Chain) berikut:
| Aspek | Chain Input | Chain Forward |
|---|---|---|
| Tujuan Trafik | Menuju ke router itu sendiri (IP Router). | Melewati router menuju perangkat lain (IP Klien). |
| Contoh Kasus | Akses WinBox, SSH, Ping ke IP Router. | Klien LAN membuka situs web, bermain game. |
Peringatan Fatal: Jangan Blokir Diri Sendiri!
Hati-hati saat membuat aturan Action=Drop secara global pada Chain Input. Jika Anda belum mendaftarkan IP Anda sendiri ke dalam Whitelist (Accept), koneksi WinBox Anda akan terputus permanen detik itu juga, dan router harus di-reset hardware (Netinstall)!
1. Aturan Emas: Membuang Paket Cacat (Drop Invalid)
Aturan pertama yang wajib ada adalah menolak paket sampah (Drop Invalid):
- Chain:
input - Connection State:
invalid - Action:
drop
Dengan menerapkan aturan dasar ini, paket data rusak yang berpotensi melumpuhkan prosesor router akan dibuang seketika tanpa diproses lebih lanjut.
/ip firewall filter add chain=input connection-state=invalid action=drop comment="Drop Invalid Input"
2. Mencegah Brute Force MikroTik dengan Dynamic Address List
Serangan Brute Force terjadi ketika peretas mencoba menebak password router Anda ribuan kali per detik. Untuk menangkalnya, kita bisa menjebak mereka menggunakan fitur Dynamic Address List. Skema kerjanya sangat cerdas: jika ada satu alamat IP gagal login sebanyak 3 kali berturut-turut, router akan langsung memasukkan IP tersebut ke dalam "Daftar Hitam" (Blacklist) dan memblokirnya secara otomatis selama berminggu-minggu.
Contoh Kasus Nyata (Use-Case Jaringan Menengah)
Di sebuah kantor atau kampus dengan 100+ komputer klien, terkadang ada PC yang terinfeksi malware lalu mencoba menyusup ke IP Gateway (Router) secara internal melalui port SSH/WinBox. Tanpa disadari, CPU router akan melonjak dan mengakibatkan lag masal. Dengan mengimplementasikan Dynamic Address List pada Chain Input, router akan otomatis mendeteksi dan memblokir IP internal yang terinfeksi tersebut, sehingga staf IT dapat dengan mudah melacak IP pelaku di menu Address List untuk dibersihkan tanpa mengorbankan stabilitas router.
/ip firewall filter
add chain=input protocol=tcp dst-port=22,8291 src-address-list=IP_BLACKLIST action=drop comment="Drop Blacklisted IP"
add chain=input protocol=tcp dst-port=22,8291 connection-state=new src-address-list=SSH_STAGE_3 action=add-src-to-address-list address-list=IP_BLACKLIST address-list-timeout=10d comment="Stage 3 to Blacklist"
add chain=input protocol=tcp dst-port=22,8291 connection-state=new src-address-list=SSH_STAGE_2 action=add-src-to-address-list address-list=SSH_STAGE_3 address-list-timeout=1m comment="Stage 2 to Stage 3"
add chain=input protocol=tcp dst-port=22,8291 connection-state=new src-address-list=SSH_STAGE_1 action=add-src-to-address-list address-list=SSH_STAGE_2 address-list-timeout=1m comment="Stage 1 to Stage 2"
add chain=input protocol=tcp dst-port=22,8291 connection-state=new action=add-src-to-address-list address-list=SSH_STAGE_1 address-list-timeout=1m comment="New Conn to Stage 1"
Satu klik impor aturan keamanan ke Terminal WinBox
Catatan Khusus RouterOS v7
Pada versi 7 ke atas, fitur seperti DoH (DNS over HTTPS) dan WireGuard VPN memerlukan konfigurasi Chain Input yang sedikit berbeda (contoh: mengizinkan masuknya trafik UDP port 51820). Pastikan Anda telah menyesuaikan port-port krusial Anda secara spesifik sebelum menerapkan aturan Drop secara global agar akses Anda sendiri tidak terblokir.
3. Menyembunyikan Port dengan Port Knocking
Jika Anda merasa Whitelist IP terlalu merepotkan karena IP ponsel/laptop Anda sering berubah dinamis, gunakan teknik Port Knocking. Router secara default akan menutup rapat port WinBox dari semua orang. Namun, jika ada seseorang yang "mengetuk" (mencoba koneksi) ke urutan port rahasia tertentu secara berurutan dalam rentang waktu singkat (misal: *ping* ke port 1111, lalu 2222, lalu 3333), router akan otomatis membuka akses khusus untuk IP orang tersebut selama beberapa waktu.
4. Membuang SYN Flood di Firewall Raw
Filter Rules memang tangguh, namun paket yang dievaluasi di sana akan mengonsumsi memori CPU karena terikat dengan Connection Tracking. Jika router Anda dihantam serangan DDoS masif seperti SYN Flood, CPU bisa menyentuh 100% sebelum Filter Rules sempat membuangnya. Solusinya adalah memblokir IP penyerang di menu IP > Firewall > Raw. Tabel Raw bekerja secara mentah (stateless) sebelum Connection Tracking aktif, sehingga eksekusinya amat sangat ringan dan dapat menyelamatkan router dari kelumpuhan mendadak.
5. Waspada Bypass Fitur Fasttrack
Fitur Fasttrack Connection di MikroTik memang sangat bagus untuk mempercepat laju paket data dan mengurangi beban CPU secara drastis. Namun, perlu diingat bahwa koneksi yang sudah di-fasttrack akan melewati (bypass) aturan Firewall Filter dan Simple Queue! Pastikan aturan Drop keamanan Anda selalu diposisikan (di-drag) ke urutan paling atas di atas rule Fasttrack.
6. Jangan Lupakan Firewall IPv6
Di era modern, ISP mulai memberikan alokasi alamat IPv6. Jika Anda mendapatkan IPv6, setiap perangkat di rumah Anda (termasuk Router) akan mendapatkan IP Publik langsung yang dapat diakses dari mana saja. Aturan di menu IP > Firewall hanya berlaku untuk IPv4. Anda wajib membuat benteng keamanan terpisah di menu IPv6 > Firewall > Filter Rules untuk menolak koneksi asing (contoh: Drop Input & Forward dari interface WAN).
/ipv6 firewall filter add chain=input connection-state=invalid action=drop comment="Drop Invalid Input IPv6"
/ipv6 firewall filter
add chain=input protocol=tcp dst-port=22,8291 src-address-list=IPV6_BLACKLIST action=drop comment="Drop Blacklisted IPv6"
add chain=input protocol=tcp dst-port=22,8291 connection-state=new src-address-list=SSH_STAGE_3_V6 action=add-src-to-address-list address-list=IPV6_BLACKLIST address-list-timeout=10d comment="Stage 3 to Blacklist v6"
add chain=input protocol=tcp dst-port=22,8291 connection-state=new src-address-list=SSH_STAGE_2_V6 action=add-src-to-address-list address-list=SSH_STAGE_3_V6 address-list-timeout=1m comment="Stage 2 to Stage 3 v6"
add chain=input protocol=tcp dst-port=22,8291 connection-state=new src-address-list=SSH_STAGE_1_V6 action=add-src-to-address-list address-list=SSH_STAGE_2_V6 address-list-timeout=1m comment="Stage 1 to Stage 2 v6"
add chain=input protocol=tcp dst-port=22,8291 connection-state=new action=add-src-to-address-list address-list=SSH_STAGE_1_V6 address-list-timeout=1m comment="New Conn to Stage 1 v6"
Panduan Memblokir Situs Berbahaya di MikroTik
Key Takeaways:
- Pengamanan Internal: Membatasi akses karyawan atau keluarga dari ancaman siber eksternal (Judi, Malware, Phishing).
- TLS Host Filtering: Teknik pembacaan handshake (SNI) HTTPS paling efektif dan ringan untuk URL modern.
- Metode Paling Cepat: Pengalihan DNS Statis dapat mengeksekusi blokir hampir tanpa membebani CPU.
Selain menolak peretas masuk, keamanan jaringan juga mencakup pembatasan agar pengguna dari dalam jaringan tidak bisa mengunjungi situs-situs berbahaya (seperti judi atau malware). Ada 3 cara ampuh memblokir situs di MikroTik:
- Via Parameter Content (Mangle / Filter): Router mencari kata kunci spesifik di dalam paket HTTP tak terenkripsi (plaintext). Cara ini sangat berat untuk CPU dan kurang efektif di era HTTPS modern, namun masih bisa dipakai memblokir ekstensi file misal
.exeatau.mp4. - Via TLS Host (Firewall Filter): Membaca proses jabat tangan (handshake) dari HTTPS (SNI - Server Name Indication). Sangat efisien! Cukup buat rule Filter dengan parameter TLS Host berisi domain target (contoh:
*situsjud1.com*) dan atur Action kedrop. - Via Address List & DNS Static: Cara paling ringan. Kita mengelabui DNS (DNS Spoofing) dengan membelokkan query domain berbahaya ke IP palsu (contoh:
127.0.0.1) via menuIP > DNS > Static, atau menggunakan Address List dinamis untuk menampung semua IP resolusi milik domain target, lalu memblokir daftar IP tersebut sekaligus di Filter Rules.
| Metode | Kelebihan | Kekurangan | Beban CPU |
|---|---|---|---|
| Parameter Content | Bisa spesifik memblokir ekstensi file. | Gagal memblokir situs web berlapis HTTPS. | Sangat Berat |
| TLS Host | Akurat untuk memblokir website HTTPS modern. | Harus mengandalkan koneksi dengan SNI (sebagian besar iya). | Sedang |
| DNS Static & Address List | Eksekusi tercepat tanpa memeriksa paket data dalam (DPI). | Klien bisa bypass jika merubah DNS secara manual (kecuali ada blokir DNS luar). | Sangat Ringan |
/ip firewall filter add chain=forward protocol=tcp dst-port=443 tls-host="*situsberbahaya.com*" action=drop comment="Blokir TLS Host"
Tabel Referensi Lengkap Perintah CLI Firewall MikroTik
| Skenario Keamanan | Perintah CLI (RouterOS) |
|---|---|
| Matikan layanan rentan (Telnet, FTP, dll) | /ip service disable telnet,ftp,api,ssh |
| Ubah port WinBox ke 18291 | /ip service set winbox port=18291 |
| Drop Invalid Trafik (IPv4) | /ip firewall filter add chain=input connection-state=invalid action=drop |
| Blokir Situs via TLS Host | /ip firewall filter add chain=forward protocol=tcp dst-port=443 tls-host="*situs*" action=drop |
| Buang SYN Flood (DDoS) | /ip firewall raw add chain=prerouting protocol=tcp tcp-flags=syn action=drop |
Pertanyaan Umum (FAQ) Seputar Keamanan MikroTik
Tanya: Apakah mengganti port Winbox bisa mencegah hacker 100%?
Jawab: Tidak, hal itu hanya mencegah bot kelas teri. Mengganti port hanya mengecoh skrip pemindai (scanner) dasar yang mencari port 8291. Untuk keamanan absolut dari peretas profesional, Anda wajib membuat aturan Firewall Filter yang secara ketat hanya mengizinkan akses dari alamat IP tepercaya milik Anda (IP Whitelist).
Tanya: Bagaimana cara blokir situs judi di MikroTik yang bandel?
Jawab: Karena situs tersebut menyembunyikan SNI atau memakai CDN statis. Pemblokiran via nama domain (TLS Host) sering gagal jika situs memakai DNS over HTTPS (DoH) atau perlindungan Cloudflare. Cara paling ampuh untuk memblokir situs bandel tersebut adalah dengan melacak deretan alamat IP Publik servernya, lalu memblokir semua IP tersebut secara permanen menggunakan fitur Address List MikroTik.
Tanya: Apakah fitur Fasttrack aman digunakan bersamaan dengan Firewall Drop?
Jawab: Aman, asalkan posisinya tepat. Aturan blokir keamanan Anda (khususnya Drop invalid atau peretas) harus selalu ditempatkan di atas rule Fasttrack Connection. Jika Fasttrack ditaruh paling atas, trafik jahat bisa "menumpang" jalur cepat tersebut sebelum sempat dibuang oleh Firewall.
Tanya: Mengapa aturan Drop di Chain Input saya memblokir akses internet klien?
Jawab: Karena salah memahami konsep Chain. Jika internet klien mati, kemungkinan Anda membuat rule Drop menggunakan Chain Input padahal seharusnya Chain Forward, atau Anda tanpa sengaja memblokir port DNS (UDP 53) menuju router. Selalu batasi aturan Input hanya untuk koneksi asing dari arah WAN/Internet.
Network Engineer | Tersertifikasi MTCNA, MTCRE, MTCWE
