Tutorial Konfigurasi Dasar Firewall, NAT, dan Simple Queue di MikroTik

Konfigurasi Dasar Firewall, NAT, dan Simple Queue di MikroTik

Konfigurasi MikroTik yang paling sering dipakai di jaringan kecil sampai kantor cabang biasanya berputar di tiga hal: internet harus bisa dipakai klien, router tidak terbuka sembarangan dari luar, dan bandwidth tiap pengguna tetap terkendali. Tiga kebutuhan itu ditangani oleh NAT, firewall, dan simple queue.

Contoh di bawah memakai asumsi WAN ada di ether1, LAN ada di bridge-lan, dan subnet LAN adalah 192.168.10.0/24. Sesuaikan nama interface serta alamat IP dengan kondisi router Anda.

Alur pemeriksaan membantu menentukan apakah masalah berasal dari koneksi, konfigurasi sharing, service, firewall, driver, atau kredensial.

Prasyarat

MikroTik sudah bisa diakses lewat Winbox, WebFig, atau terminal.
Interface WAN sudah mendapat koneksi internet, baik DHCP, PPPoE, maupun IP statis.
LAN sudah memiliki IP gateway, misalnya 192.168.10.1/24.
Klien memakai gateway MikroTik dan DNS yang benar.
Lebih aman kalau konfigurasi dilakukan dari jaringan LAN, bukan dari akses publik.

Langkah Konfigurasi

Pastikan penamaan interface mudah dibaca. Ini bukan kewajiban teknis, tetapi sangat membantu saat router mulai punya banyak aturan. Contohnya, gunakan ether1-WAN untuk jalur internet dan bridge-LAN untuk jaringan lokal. Salah memilih interface pada rule NAT adalah masalah klasik di lapangan.
Buat interface list untuk WAN dan LAN. Dengan interface list, rule firewall tidak perlu diubah setiap kali kabel WAN pindah port atau ada tambahan port LAN.

Gunakan checklist pengaturan agar setiap langkah penting diperiksa secara berurutan dan tidak ada konfigurasi yang terlewat.
```
/interface list add name=WAN
/interface list add name=LAN
/interface list member add list=WAN interface=ether1
/interface list member add list=LAN interface=bridge-lan
```
Kalau nama interface Anda berbeda, ganti bagian ether1 dan bridge-lan.
Aktifkan NAT masquerade agar klien LAN bisa keluar internet. NAT menerjemahkan alamat IP lokal seperti 192.168.10.x menjadi alamat IP dari koneksi WAN. Tanpa rule ini, router mungkin bisa internet, tetapi komputer di belakangnya belum tentu bisa.
```
/ip firewall nat add chain=srcnat out-interface-list=WAN action=masquerade comment="NAT internet LAN"
```
Untuk koneksi WAN dinamis seperti DHCP atau PPPoE, masquerade adalah pilihan praktis. Jika WAN memakai IP publik statis dan trafiknya cukup besar, src-nat ke IP tertentu bisa lebih efisien, tetapi untuk konfigurasi dasar belum perlu dibuat rumit.
Tambahkan firewall dasar untuk melindungi router. Fokus awalnya adalah melindungi trafik yang masuk ke router sendiri, yaitu chain input. Jangan langsung memblokir chain forward tanpa memahami alur trafik, karena klien bisa ikut putus internet.
```
/ip firewall filter add chain=input action=accept connection-state=established,related comment="Izinkan koneksi aktif"
/ip firewall filter add chain=input action=drop connection-state=invalid comment="Buang koneksi tidak valid"
/ip firewall filter add chain=input action=accept in-interface-list=LAN comment="Izinkan akses dari LAN"
/ip firewall filter add chain=input action=drop in-interface-list=WAN comment="Blok akses router dari internet"
```
Urutan rule penting. Paket dari koneksi yang sudah berjalan harus diterima lebih dulu. Baru setelah itu trafik baru dari WAN ditolak. Dengan pola ini, Winbox dari LAN tetap aman dipakai, sementara percobaan akses ke router dari internet akan ditahan.
Tambahkan perlindungan dasar untuk trafik yang diteruskan ke LAN. Rule ini berguna terutama jika ada port forwarding atau koneksi dari luar yang tidak sengaja terbuka.
```
/ip firewall filter add chain=forward action=accept connection-state=established,related comment="Izinkan trafik forward aktif"
/ip firewall filter add chain=forward action=drop connection-state=invalid comment="Buang forward tidak valid"
/ip firewall filter add chain=drop in-interface-list=WAN connection-state=new connection-nat-state=!dstnat comment="Blok koneksi baru WAN ke LAN"
```
Rule terakhir tetap mengizinkan trafik yang memang diarahkan lewat dstnat, misalnya jika suatu saat Anda sengaja membuat port forwarding ke server lokal. Kalau belum butuh server dari internet, ini pola yang aman dan cukup umum.
Buat simple queue untuk membatasi bandwidth per perangkat atau per subnet. Misalnya satu komputer staf dengan IP 192.168.10.10 dibatasi download 10 Mbps dan upload 3 Mbps:
```
/queue simple add name="PC-Staf" target=192.168.10.10/32 max-limit=3M/10M comment="Batas upload/download PC staf"
```
Format max-limit adalah upload/download. Ini sering tertukar. Jadi 3M/10M artinya upload maksimal 3 Mbps, download maksimal 10 Mbps.
Jika ingin membatasi seluruh LAN, gunakan target subnet. Contohnya:
```
/queue simple add name="Total-LAN" target=192.168.10.0/24 max-limit=20M/50M comment="Batas total bandwidth LAN"
```
Jangan aktifkan queue total dan queue per-user secara asal jika belum memahami prioritas dan parent queue. Untuk awal, pilih salah satu: pembatasan total jaringan atau pembatasan per perangkat. Di jaringan kantor kecil, pembatasan per perangkat biasanya lebih mudah ditelusuri saat ada komplain internet lambat.

Cara Cek Hasil Konfigurasi

Dari klien LAN, coba ping gateway 192.168.10.1, lalu ping 8.8.8.8. Jika ping IP publik berhasil tetapi nama domain gagal dibuka, biasanya masalah ada di DNS.
Buka situs web dari klien untuk memastikan rule NAT bekerja. Anda juga bisa cek counter NAT di menu IP > Firewall > NAT. Nilai byte dan packet pada rule masquerade seharusnya bertambah.
Coba akses IP publik router dari jaringan luar. Akses Winbox atau WebFig seharusnya ditolak jika rule firewall input sudah benar.
Jalankan speed test dari IP yang diberi simple queue. Kecepatan mungkin tidak persis angka queue karena ada overhead dan kondisi ISP, tetapi seharusnya tidak melewati batas secara konsisten.
Lihat menu Queues dan perhatikan kolom traffic. Kalau ada trafik tetapi limit tidak terasa, pastikan target queue benar dan IP klien tidak berubah.

Kalau Masih Gagal

Klien tidak bisa internet: cek IP address, default route, DNS, lalu pastikan rule masquerade memakai interface WAN yang benar. Cek juga apakah rule NAT counter bertambah saat klien mencoba membuka internet.
Router tidak bisa diakses dari LAN: periksa urutan firewall input. Rule accept dari LAN harus berada sebelum rule drop dari WAN atau drop umum lainnya.
Simple queue tidak membatasi: cek apakah IP target sesuai dengan IP perangkat saat ini. Jika klien mendapat IP DHCP yang berubah-ubah, buat static lease agar target queue tidak meleset.
Internet putus setelah menambah firewall: jangan panik, masuk kembali lewat Safe Mode bila sedang konfigurasi dari Winbox. Lalu cek rule yang baru dibuat, terutama interface list dan urutannya.

Tips Operasional

Tambahkan comment pada setiap rule. Saat ada teknisi lain membuka router enam bulan kemudian, comment kecil itu jauh lebih berguna daripada mengingat-ingat sendiri.
Backup sebelum mengubah firewall: /export file=sebelum-ubah-firewall. Export teks lebih enak dibaca dibanding backup biner saat perlu audit konfigurasi.
Jangan membuka Winbox, SSH, atau WebFig dari WAN kecuali benar-benar diperlukan. Jika perlu akses jarak jauh, lebih baik pakai VPN.
Urutan firewall dibaca dari atas ke bawah. Rule yang benar tetapi berada di posisi salah tetap bisa menghasilkan perilaku yang membingungkan.
Untuk jaringan yang mulai ramai, simple queue masih cukup untuk kebutuhan dasar. Kalau jumlah user banyak dan perlu pembagian bandwidth yang lebih adil, pertimbangkan PCQ atau queue tree setelah kebutuhan trafiknya jelas.

Penutup

Dengan NAT, firewall input yang rapi, dan simple queue, jaringan MikroTik sudah punya fondasi yang cukup sehat: klien dapat internet, router tidak terbuka dari WAN, dan satu pengguna tidak mudah menghabiskan seluruh bandwidth. Setelah ini, biasanya langkah berikutnya adalah merapikan DHCP static lease, DNS, VPN, serta monitoring trafik.