Haidhi Wiki - Recent changes [en]

Cara install OKD

SanzSkuy — Wed, 28 Oct 2026 04:17:44 GMT

Created page with "'''OKD''' adalah distribusi Kubernetes komunitas (upstream dari Red Hat OpenShift). Halaman ini mencatat langkah lengkap memasang '''OKD Single Node (SNO)''' sebagai satu VM di Proxmox VE, memakai '''Agent-based Installer''', untuk keperluan cluster dev. == Ringkasan == {| class="wikitable" ! Item !! Nilai |- | Versi OKD || <code>5.0.0-okd-scos.3</code> (stable) |- | OS node || CentOS Stream CoreOS (SCOS), ter-bake di ISO |- | Metode install || Agent-based Installer, t..."

New page

'''OKD''' adalah distribusi Kubernetes komunitas (upstream dari Red Hat OpenShift). Halaman ini mencatat langkah lengkap memasang '''OKD Single Node (SNO)''' sebagai satu VM di Proxmox VE, memakai '''Agent-based Installer''', untuk keperluan cluster dev.

== Ringkasan ==
{| class="wikitable"
! Item !! Nilai
|-
| Versi OKD || <code>5.0.0-okd-scos.3</code> (stable)
|-
| OS node || CentOS Stream CoreOS (SCOS), ter-bake di ISO
|-
| Metode install || Agent-based Installer, topologi SNO
|-
| Hypervisor || Proxmox VE, standalone node <code>node-3</code>
|-
| Bridge jaringan || <code>vmbr3</code> (LAB) → subnet <code>192.168.90.0/24</code>
|-
| Gateway || <code>192.168.90.1</code> (MikroTik)
|-
| VM bastion (DNS) || <code>192.168.90.29</code>, AlmaLinux, dnsmasq
|-
| VM OKD (node) || <code>192.168.90.30</code>, hostname <code>okd-sno</code>
|-
| Cluster / base domain || <code>okd</code> / <code>lab.local</code>
|-
| Mesin kerja || Arch Linux (edit config + generate ISO)
|}

== Memilih topologi ==
* '''SNO (1 node)''': paling hemat resource, cocok untuk dev. Tidak ada HA, dan '''tidak bisa''' dikonversi ke cluster HA setelah terpasang.
* '''Compact cluster (3 node)''': ketiga node jadi master sekaligus worker. Lebih mirip production, tetap punya quorum etcd.
* '''2 node''': OKD punya topologi ''two-node with fencing'' (butuh BMC, tidak cocok untuk VM Proxmox) dan ''two control plane + arbiter'' (tetap 3 mesin, salah satunya arbiter kecil). Untuk lab, praktis pilih SNO atau 3 node.

Dipilih '''SNO''' supaya resource host tetap lega untuk VM lain.

== Arsitektur ==
<pre>
Arch Linux (laptop) ──WireGuard──► Proxmox (vmbr0, 192.168.11.x)
│ generate ISO
▼
Proxmox vmbr3 (LAB, 192.168.90.0/24)
├── VM bastion 192.168.90.29 → dnsmasq (DNS cluster)
└── VM OKD SNO 192.168.90.30 → seluruh cluster OKD
▲
gateway MikroTik 192.168.90.1 → internet (quay.io)
</pre>

'''Kenapa butuh bastion di dalam vmbr3?''' Host Proxmox tidak punya IP di <code>vmbr3</code>, dan laptop berada di jaringan lain (lewat WireGuard). Node OKD harus bisa menjangkau DNS-nya, jadi DNS diletakkan di VM yang satu subnet dengan node.

'''Bastion''' hanyalah istilah untuk mesin pembantu yang mengurus cluster (tempat <code>oc</code>, DNS, dsb.). DNS ini harus '''tetap hidup selama cluster hidup''', bukan hanya saat install, karena node memakai nama <code>api-int</code> untuk komunikasi internal.

== Kebutuhan resource ==
{| class="wikitable"
! VM !! vCPU !! RAM !! Disk
|-
| OKD SNO || 16 || 32 GB || 150 GB
|-
| Bastion (AlmaLinux minimal) || 1–2 || 1–2 GB || 10–20 GB
|}

Catatan:
* Spesifikasi minimal SNO di dokumentasi sekitar 8 vCPU / 16 GB, tapi 32 GB lebih nyaman.
* Di Proxmox, pemakaian RAM VM OKD terlihat sekitar 27 GiB saat install. Angka itu termasuk page cache dan tanpa guest agent, jadi lebih besar dari pemakaian riil. Cek angka asli dengan <code>oc adm top node</code>.

== Langkah 1: Siapkan binary di mesin kerja ==
Binary diambil dari GitHub Releases proyek OKD: <code>https://github.com/okd-project/okd/releases</code>

* Pilih rilis '''stable''' (tanpa label ''Pre-release'' dan tanpa <code>ec</code> di namanya).
* Download <code>openshift-install-linux-<tag>.tar.gz</code> dan <code>openshift-client-linux-<tag>.tar.gz</code>.

<syntaxhighlight lang="bash">
TAG=<tag-stable>
BASE=https://github.com/okd-project/okd/releases/download/$TAG
curl -LO $BASE/openshift-install-linux-$TAG.tar.gz
curl -LO $BASE/openshift-client-linux-$TAG.tar.gz

tar xzf openshift-install-linux-$TAG.tar.gz openshift-install
tar xzf openshift-client-linux-$TAG.tar.gz oc kubectl
sudo mv openshift-install oc kubectl /usr/local/bin/

openshift-install version
oc version --client
</syntaxhighlight>

'''Penting:''' <code>oc</code> '''wajib''' ada di <code>$PATH</code>, karena <code>openshift-install</code> memanggilnya saat membuat ISO.

Binary <code>openshift-install</code> terkunci ke satu rilis, jadi versi OKD yang terpasang sama dengan versi binary.

Install juga <code>nmstate</code> (menyediakan <code>nmstatectl</code>, dipakai untuk validasi IP statis):
<syntaxhighlight lang="bash">
yay -S nmstate # Arch (AUR)
nmstatectl --version
</syntaxhighlight>

Buat SSH key kalau belum ada:
<syntaxhighlight lang="bash">
ssh-keygen -t ed25519 -N ""
cat ~/.ssh/id_ed25519.pub
</syntaxhighlight>

== Langkah 2: Buat VM bastion (AlmaLinux) ==
AlmaLinux dipilih karena stabil dan support-nya panjang. Fedora kurang cocok untuk server yang hidup lama (siklus rilis cepat); CentOS Stream lebih sering berubah.

Setelan VM di Proxmox:
* Bridge '''<code>vmbr3</code>''', NIC VirtIO.
* '''CPU type <code>host</code>''' (lihat bagian Troubleshooting: kernel panic).
* RAM minimal 2 GB saat instalasi.
* Options → '''Start at boot''' aktif.

=== Kunci IP statis ===
<syntaxhighlight lang="bash">
nmcli -t -f NAME,DEVICE con show
sudo nmcli con mod ens18 ipv4.method manual \
ipv4.addresses 192.168.90.29/24 ipv4.gateway 192.168.90.1 \
ipv4.dns "192.168.90.29"
sudo nmcli con up ens18
sudo hostnamectl set-hostname marshall-okd-bastion
</syntaxhighlight>

DNS bastion diarahkan ke '''dnsmasq miliknya sendiri''' (<code>192.168.90.29</code>), bukan ke DNS publik. Kalau tidak, bastion tidak bisa resolve <code>api.okd.lab.local</code> dan <code>wait-for</code> tidak bisa memantau install.

Pastikan IP bastion dan IP node berada '''di luar pool DHCP''' MikroTik. Cek tanpa mengubah apa pun:
<pre>
/ip pool print
/ip dhcp-server lease print
</pre>

Cek IP node masih kosong:
<syntaxhighlight lang="bash">
ping -c2 192.168.90.30 # harus gagal
ip neigh | grep 192.168.90.30 # kosong atau FAILED
</syntaxhighlight>

== Langkah 3: DNS dengan dnsmasq ==
OKD membutuhkan tiga record:

{| class="wikitable"
! Record !! Fungsi
|-
| <code>api.okd.lab.local</code> || API cluster (port 6443), dipakai <code>oc</code> dan installer
|-
| <code>api-int.okd.lab.local</code> || API internal, dipakai node dan komponen cluster
|-
| <code>*.apps.okd.lab.local</code> || Ingress: web console, OAuth, dan semua aplikasi
|}

Di SNO, ketiganya mengarah ke IP node.

<syntaxhighlight lang="bash">
sudo dnf install -y dnsmasq bind-utils
sudo tee /etc/dnsmasq.d/okd.conf <<'EOF'
listen-address=192.168.90.29
bind-interfaces
server=1.1.1.1
server=8.8.8.8
address=/api.okd.lab.local/192.168.90.30
address=/api-int.okd.lab.local/192.168.90.30
address=/apps.okd.lab.local/192.168.90.30
EOF
</syntaxhighlight>

Penjelasan:
* <code>server=</code> adalah DNS upstream untuk nama di luar cluster (quay.io, dll.). dnsmasq hanya menjadi klien ke server itu, tidak mengubah konfigurasi router.
* <code>address=/apps.okd.lab.local/...</code> otomatis mencakup semua subdomain (wildcard).
* <code>listen-address</code> + <code>bind-interfaces</code> membuat dnsmasq hanya mendengarkan di IP tersebut, sehingga tidak bentrok dengan resolver lain.

Pastikan folder <code>.d</code> terbaca:
<syntaxhighlight lang="bash">
grep -n conf-dir /etc/dnsmasq.conf
# kalau tidak ada / masih dikomentari:
echo 'conf-dir=/etc/dnsmasq.d/,*.conf' | sudo tee -a /etc/dnsmasq.conf
</syntaxhighlight>

Jalankan dan uji:
<syntaxhighlight lang="bash">
sudo dnsmasq --test
sudo systemctl enable --now dnsmasq
sudo firewall-cmd --add-service=dns --permanent && sudo firewall-cmd --reload
sudo ss -lntup | grep ':53'
dig +short api.okd.lab.local @192.168.90.29 # → 192.168.90.30
dig +short quay.io @192.168.90.29 # harus ada jawaban
getent hosts api.okd.lab.local # dari bastion sendiri
</syntaxhighlight>

== Langkah 4: install-config.yaml ==
<syntaxhighlight lang="yaml">
apiVersion: v1
baseDomain: lab.local
metadata:
name: okd
compute:
- name: worker
replicas: 0
controlPlane:
name: master
replicas: 1
networking:
networkType: OVNKubernetes
machineNetwork:
- cidr: 192.168.90.0/24
clusterNetwork:
- cidr: 10.128.0.0/14
hostPrefix: 23
serviceNetwork:
- 172.30.0.0/16
platform:
none: {}
pullSecret: '{"auths":{"fake":{"auth":"aWQ6cGFzcwo="}}}'
sshKey: 'ssh-ed25519 AAAA... (isi ~/.ssh/id_ed25519.pub)'
</syntaxhighlight>

Catatan:
* <code>platform: none</code> dipakai karena Proxmox tidak punya integrasi native.
* '''Pull secret dummy''' (<code>id:pass</code> dalam base64) cukup untuk OKD, karena image diambil dari <code>quay.io/okd</code> yang publik. Pull secret asli Red Hat hanya perlu untuk OpenShift atau image dari <code>registry.redhat.io</code>.

== Langkah 5: agent-config.yaml ==
<syntaxhighlight lang="yaml">
apiVersion: v1alpha1
kind: AgentConfig
metadata:
name: okd
rendezvousIP: 192.168.90.30
hosts:
- hostname: okd-sno
role: master
interfaces:
- name: eth0
macAddress: BC:24:11:00:00:30
networkConfig:
interfaces:
- name: eth0
type: ethernet
state: up
mac-address: BC:24:11:00:00:30
ipv4:
enabled: true
dhcp: false
address:
- ip: 192.168.90.30
prefix-length: 24
dns-resolver:
config:
server:
- 192.168.90.29
routes:
config:
- destination: 0.0.0.0/0
next-hop-address: 192.168.90.1
next-hop-interface: eth0
table-id: 254
</syntaxhighlight>

Catatan:
* '''MAC address ditentukan sendiri''', lalu dipasang manual di NIC VM. Installer mencocokkan IP statis ke VM berdasarkan MAC.
* Aturan MAC: oktet pertama harus genap di digit keduanya (unicast). Prefix <code>BC:24:11</code> adalah prefix Proxmox.
* Nama interface <code>eth0</code> hanya label; pencocokan dilakukan lewat MAC.

== Langkah 6: Generate ISO ==
ISO '''tidak didownload''', melainkan dibuat oleh <code>openshift-install</code> dari dua YAML di atas. File YAML akan '''dikonsumsi''' (dihapus) saat generate, jadi simpan backup.

<syntaxhighlight lang="bash">
cd ~/okd
mkdir -p ~/okd-backup && cp install-config.yaml agent-config.yaml ~/okd-backup/
rm -rf cluster && mkdir cluster
cp install-config.yaml agent-config.yaml cluster/
openshift-install agent create image --dir cluster --log-level=info
</syntaxhighlight>

Hasil: <code>cluster/agent.x86_64.iso</code>, plus <code>cluster/auth/</code> (kubeconfig dan password kubeadmin).

* Tidak ada progress bar saat <code>Downloading base ISO</code>; tunggu sampai prompt kembali.
* Warning <code>Failed to extract base ISO from release payload</code> tidak fatal; installer jatuh ke jalur download.
* '''Setiap perubahan IP/DNS/MAC wajib generate ulang ISO''', karena konfigurasi ter-bake di dalamnya.

Salin folder <code>cluster/</code> ke bastion supaya <code>wait-for</code> dan <code>oc</code> bisa dijalankan dari sana.

== Langkah 7: Buat VM OKD di Proxmox ==
Upload ISO lewat UI Proxmox (storage → ISO Images → Upload), lalu Create VM:

{| class="wikitable"
! Tab !! Setelan !! Alasan
|-
| General || Start at boot || Cluster ikut hidup saat host reboot
|-
| OS || ISO <code>agent.x86_64.iso</code> ||
|-
| System || Machine <code>q35</code>, BIOS SeaBIOS || q35 chipset modern (opsional, i440fx juga bisa). Kalau OVMF, matikan Secure Boot
|-
| Disks || VirtIO SCSI single, 150 GB, SSD, '''Discard''' + '''SSD emulation''' || Discard (TRIM) mengembalikan ruang thin-provisioned ke host; opsional
|-
| CPU || 1 socket, 16 core, type '''<code>host</code>''' || '''Wajib.''' SCOS butuh instruksi CPU modern; tipe default bisa memicu crash
|-
| Memory || 32768 MB, '''Ballooning off''' || '''Penting.''' Kubernetes mengasumsikan RAM tetap; balloon bisa memicu OOM/eviction
|-
| Network || Bridge <code>vmbr3</code>, VirtIO, MAC '''<code>BC:24:11:00:00:30</code>''' || Harus sama persis dengan agent-config.yaml
|-
| Options → Boot Order || <code>scsi0</code> di atas CD-ROM || Setelah install, node boot dari disk, bukan installer lagi
|}

== Langkah 8: Install dan pantau ==
Start VM. Di Console Proxmox, tanda awal yang benar:
<pre>
ens18: 192.168.90.30
Ignition: user-provided config was applied
This host (192.168.90.30) is the rendezvous host.
</pre>

Urutan yang terlihat:
# <code>Waiting for services</code> → service installer naik satu per satu.
# <code>Installation cannot proceed: Cluster status: insufficient</code> → sementara, validasi host belum selesai.
# <code>Cluster installation in progress</code>.
# <code>Writing image to disk</code> 0–100%, lalu node reboot dari disk.
# Log <code>crio-... libcrun container</code> berulang → container cluster dinyalakan (normal).
# <code>Finished bootkube.service</code> → bootstrap selesai.

Pantau dari bastion:
<syntaxhighlight lang="bash">
cd ~/okd
openshift-install agent wait-for bootstrap-complete --dir cluster --log-level=info
openshift-install agent wait-for install-complete --dir cluster --log-level=info
</syntaxhighlight>

* Pesan <code>cluster bootstrap did not complete</code> tepat setelah ''Writing image to disk: 100%'' bisa muncul karena <code>wait-for</code> kehilangan kontak saat node reboot dari ISO ke disk. Jalankan ulang <code>wait-for</code> (aman, tidak mengganggu installer).
* Install aktual memakan sekitar '''1 jam''' (cluster <code>Available</code> sekitar 09:15 dari mulai 08:11).

Cek status langsung:
<syntaxhighlight lang="bash">
export KUBECONFIG=~/okd/cluster/auth/kubeconfig
curl -k https://api.okd.lab.local:6443/version
oc get clusterversion
oc get co
</syntaxhighlight>

Install sukses bila <code>clusterversion</code> <code>Available=True</code> dan semua cluster operator <code>Available=True, Progressing=False, Degraded=False</code>.

== Langkah 9: Akses web console ==
Password:
<syntaxhighlight lang="bash">
cat ~/okd/cluster/auth/kubeadmin-password
</syntaxhighlight>

Console tidak bisa dibuka lewat <code>IP:port</code>, karena router OKD memilih tujuan berdasarkan '''nama host'''. Di mesin yang menjalankan browser, tambahkan ke <code>/etc/hosts</code>:
<pre>
192.168.90.30 api.okd.lab.local console-openshift-console.apps.okd.lab.local oauth-openshift.apps.okd.lab.local
</pre>

Buka <code>https://console-openshift-console.apps.okd.lab.local</code>, login sebagai <code>kubeadmin</code>. Peringatan sertifikat (self-signed) normal.

Mesin itu juga harus bisa menjangkau <code>192.168.90.0/24</code> (misalnya lewat route WireGuard atau <code>sshuttle</code> via bastion).

Tes router tanpa browser:
<syntaxhighlight lang="bash">
curl -kI --resolve console-openshift-console.apps.okd.lab.local:443:192.168.90.30 \
https://console-openshift-console.apps.okd.lab.local
</syntaxhighlight>

== Langkah 10: Setelah install ==
* '''Snapshot VM OKD''' selagi bersih.
* '''Lepas ISO''' dari VM OKD (CD/DVD → Do not use any media).
* '''Autostart dan urutan boot''': bastion order 1, OKD order 2, beri jeda start.
* '''Simpan <code>cluster/auth/</code>''' di tempat aman.
* '''Storage class''': cluster baru di <code>platform: none</code> belum punya storage dinamis; PVC akan Pending sampai dipasang NFS / local-path / LVMS. Cek dengan <code>oc get sc</code>.
* '''Image registry''' (dev): <syntaxhighlight lang="bash">
oc patch configs.imageregistry.operator.openshift.io cluster --type merge \
--patch '{"spec":{"managementState":"Managed","storage":{"emptyDir":{}}}}'
</syntaxhighlight> (emptyDir: isi hilang saat pod restart, hanya untuk dev.)
* '''Keamanan''': jangan publikasikan console, OAuth, dan API ke internet selama masih memakai <code>kubeadmin</code>. Ganti dengan user admin biasa lewat OAuth.

== Publish aplikasi dengan domain sendiri (rencana) ==
Alur: <code>Internet → MikroTik NAT → nginx → router OKD (192.168.90.30:80) → app</code>

Route dengan domain sendiri:
<syntaxhighlight lang="bash">
oc create route edge myapp --service=myapp \
--hostname=app.domainku.com --insecure-policy=Allow
</syntaxhighlight>

nginx (TLS di nginx, teruskan header Host):
<syntaxhighlight lang="nginx">
location / {
proxy_pass http://192.168.90.30:80;
proxy_set_header Host $host;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
</syntaxhighlight>

Tes sisi OKD: <code>curl -sI -H "Host: app.domainku.com" http://192.168.90.30</code>

== Troubleshooting (yang benar-benar terjadi) ==
{| class="wikitable"
! Gejala !! Penyebab !! Solusi
|-
| dnsmasq <code>start-limit-hit</code>, log: <code>failed to create listening socket for port 53: Address already in use</code> || Config di <code>/etc/dnsmasq.d/</code> tidak terbaca (Arch tidak mengaktifkan <code>conf-dir</code>), dnsmasq bind ke semua alamat dan bentrok dengan dnsmasq libvirt di <code>virbr0</code> || Tambahkan <code>conf-dir=/etc/dnsmasq.d/,*.conf</code>; gunakan <code>listen-address</code> + <code>bind-interfaces</code>
|-
| <code>exec: "nmstatectl": executable file not found in $PATH</code> || Paket nmstate belum terpasang || <code>yay -S nmstate</code>, atau jalankan installer di container Fedora
|-
| <code>exec: "oc": executable file not found in $PATH</code> || <code>oc</code> belum diekstrak/di-PATH || Ekstrak <code>openshift-client</code>, pindahkan ke <code>/usr/local/bin</code>
|-
| Node tidak bisa menjangkau DNS di laptop || Laptop (192.168.83.x, WiFi) tidak bisa dijangkau dari jaringan Proxmox (laptop masuk via WireGuard) || Pindahkan DNS ke VM bastion di <code>vmbr3</code>
|-
| Kernel panic AlmaLinux: <code>Attempted to kill init! exitcode=0x00007f00</code> || CPU type default Proxmox menyembunyikan instruksi x86-64-v2/v3 yang dibutuhkan Alma 9/10 || Ubah Processor → Type <code>host</code>
|-
| <code>wait-for</code> stuck lama di <code>Waiting for cluster install to initialize. Sleeping for 30 seconds</code> || Bastion tidak bisa resolve <code>api.okd.lab.local</code> (DNS bastion ke 1.1.1.1). Cluster sebenarnya sudah jadi || Arahkan DNS bastion ke dnsmasq-nya (<code>192.168.90.29</code>) atau tambah <code>/etc/hosts</code>. Cek dengan <code>getent hosts api.okd.lab.local</code>
|-
| Console tidak terbuka di laptop || Nama <code>*.apps</code> tidak dikenal, atau subnet 192.168.90.x tidak terjangkau || Tambah <code>/etc/hosts</code>, pastikan route ke 192.168.90.0/24
|}

Perintah debug yang berguna:
<syntaxhighlight lang="bash">
ssh core@192.168.90.30
sudo journalctl -b -f
sudo crictl ps
tail -n 60 ~/okd/cluster/.openshift_install.log
openshift-install agent wait-for bootstrap-complete --dir cluster --log-level=debug
</syntaxhighlight>

== Referensi ==
* [https://docs.okd.io/latest/installing/overview/ OKD installation overview]
* [https://docs.okd.io/4.21/installing/installing_sno/install-sno-preparing-to-install-sno.html Preparing to install OKD on a single node]
* [https://docs.okd.io/4.22/installing/installing_two_node_cluster/about-two-node-arbiter-installation.html OKD two control plane + arbiter]
* [https://okd.io/blog/2025/05/14/okd-4.19-and-4.20-release OKD 4.19 / 4.20 release (transisi ke SCOS)]
* [https://github.com/okd-project/okd/releases OKD releases (GitHub)]

DevOps

SanzSkuy — Wed, 28 Oct 2026 04:17:00 GMT

← Older revision		Revision as of 04:17, 28 October 2026
Line 5:		Line 5:
	* [[Cara buat monitoring server pake Grafana & Prometheus]]		* [[Cara buat monitoring server pake Grafana & Prometheus]]
	* [[Deploy app bare-metal]]		* [[Deploy app bare-metal]]
			* [[Cara install OKD]]

	== Microk8s ==		== Microk8s ==
	* [[Microk8s: setup awal]]		* [[Microk8s: setup awal]]
	* [[Microk8s: setup registry]]		* [[Microk8s: setup registry]]

Main Page

SanzSkuy — Mon, 26 Oct 2026 09:57:51 GMT

← Older revision		Revision as of 09:57, 26 October 2026
Line 36:		Line 36:
	* Tedja, H. A., & Onno W. Purbo. (2024). Performance and Efficiency Comparison of U-Net and Ghost U-Net in Road Crack Segmentation with Floating Point and Quantization Optimization. Jurnal RESTI (Rekayasa Sistem Dan Teknologi Informasi), 8(6), 779 - 787. https://doi.org/10.29207/resti.v8i6.6089		* Tedja, H. A., & Onno W. Purbo. (2024). Performance and Efficiency Comparison of U-Net and Ghost U-Net in Road Crack Segmentation with Floating Point and Quantization Optimization. Jurnal RESTI (Rekayasa Sistem Dan Teknologi Informasi), 8(6), 779 - 787. https://doi.org/10.29207/resti.v8i6.6089
	* Angkawijana Tedja, H. (2026). A Smartphone Is a Better Compute Node Than a Legacy Laptop: A Feasibility Study of an MPI × OpenCL Cluster Across x86 Laptops and an Android Phone. Zenodo. https://doi.org/10.5281/zenodo.21351608		* Angkawijana Tedja, H. (2026). A Smartphone Is a Better Compute Node Than a Legacy Laptop: A Feasibility Study of an MPI × OpenCL Cluster Across x86 Laptops and an Android Phone. Zenodo. https://doi.org/10.5281/zenodo.21351608
			* Tedja, H. A. (2025). Perbandingan Metode Vektorisasi Teks dan Algoritma Pembelajaran Mesin Klasik untuk Klasifikasi Teks Bahasa Arab. Journal of Computer and Information Systems Ampera, 7(3), 207–219. https://doi.org/10.51519/journalcisa.v7i3.793

	== CV ==		== CV ==

Mikrotik 5: Bridge VLAN Filtering

SanzSkuy — Mon, 26 Oct 2026 09:41:07 GMT

Created page with "== Tujuan == * Paham kapan cukup memakai VLAN interface di port, dan kapan butuh bridge VLAN filtering. * Paham tiga bagian bridge VLAN filtering: PVID, tabel VLAN, dan VLAN interface di atas bridge. * Bisa membuat access port, trunk ke switch, dan trunk ke server. * Bisa men-debug konfigurasi VLAN lewat CLI. == Konsep == === Router sebagai switch VLAN === * '''Part 4 (router-on-a-stick)''': VLAN diurus switch. Router hanya menerima satu kabel trunk. * '''Part 5''': ro..."

New page

== Tujuan ==
* Paham kapan cukup memakai VLAN interface di port, dan kapan butuh bridge VLAN filtering.
* Paham tiga bagian bridge VLAN filtering: PVID, tabel VLAN, dan VLAN interface di atas bridge.
* Bisa membuat access port, trunk ke switch, dan trunk ke server.
* Bisa men-debug konfigurasi VLAN lewat CLI.

== Konsep ==

=== Router sebagai switch VLAN ===
* '''Part 4 (router-on-a-stick)''': VLAN diurus switch. Router hanya menerima satu kabel trunk.
* '''Part 5''': router '''sendiri''' menjadi switch VLAN. Setiap port bisa menjadi access atau trunk, dan router sekaligus menjadi gateway setiap VLAN.

=== Kapan butuh bridge? ===
{| class="wikitable"
! Situasi !! Pakai
|-
| Satu port membawa beberapa VLAN, dan setiap VLAN hanya ada di port itu || '''VLAN interface langsung di port''' (cara Part 4, paling simpel)
|-
| Satu VLAN tersebar di '''beberapa port''' router || '''Bridge + VLAN filtering'''
|}

Port-port hanya bisa "disambung" menjadi satu segmen lewat bridge ([[Belajar MikroTik Part 3|Part 3]]). Begitu port-port berada dalam satu bridge, cara memisahkan VLAN-nya adalah bridge VLAN filtering.

Analogi: VLAN interface di port = satu pipa dibagi beberapa jalur. Bridge VLAN filtering = gedung dengan banyak pintu, setiap pintu diberi label "khusus staff" atau "khusus tamu", dan pintu berlabel sama tetap tersambung satu sama lain.

'''VLAN yang sudah dipakai di satu port tetap bisa dipakai di port lain.''' Justru itu gunanya: VLAN 10 bisa ada di <code>ether2</code> dan <code>ether3</code> sekaligus, dan semua perangkatnya tetap satu network.

=== Tiga bagian + satu saklar ===
{| class="wikitable"
! # !! Bagian !! Menu !! Fungsi
|-
| 1 || '''PVID''' || Bridge → Ports || Frame '''polos''' yang masuk dari port ini dianggap milik VLAN berapa. Ini yang membuat port menjadi access port.
|-
| 2 || '''Tabel VLAN''' || Bridge → VLANs || Untuk setiap VLAN: port mana yang menjadi anggota, dan frame yang '''keluar''' dikirim tagged atau untagged. Ini daftar VLAN yang boleh lewat trunk.
|-
| 3 || '''VLAN interface di atas bridge''' || Interfaces → VLAN || Gateway Layer 3. Bridge sendiri harus menjadi anggota '''tagged''' di setiap VLAN ("port internal" ke otak router).
|-
| 4 || '''Saklar <code>vlan-filtering</code>''' || Bridge → Bridge → tab VLAN || Selama mati, semua aturan VLAN diabaikan. '''Nyalakan paling akhir.'''
|}

'''Frame Types''' di Bridge → Ports:
* Access port: <code>admit-only-untagged-and-priority-tagged</code> (frame bertag dari PC dibuang).
* Trunk port: <code>admit-only-vlan-tagged</code>.

'''Peringatan''': mengaktifkan <code>vlan-filtering</code> saat terhubung ke router lewat port anggota bridge bisa memutus koneksi Winbox. Di router produksi, selalu nyalakan '''Safe Mode''' dulu.

<pre>
┌──────────── CHR ─────────────┐
│ vlan10 … vlan70 (gateway) │ ← Layer 3
│ │ tagged │
│ ┌─ bridge-vlan ──────┐ │ ← "switch"
│ │ ether2-4 access │ │
│ │ ether5-6 trunk │ │
│ └────────────────────┘ │
│ ether1 (WAN, di luar bridge) │
└───────────────────────────────┘
</pre>

=== Pemakaian di dunia nyata ===
Di lab PC dicolok langsung ke port router agar sederhana. Di dunia nyata, port router biasanya tersambung ke:

{| class="wikitable"
! Port !! Tipe !! Tersambung ke !! Keterangan
|-
| ether2 || access 10 || Switch ruangan staff || Switch biasa (bahkan unmanaged). Semua yang dicolok otomatis VLAN 10.
|-
| ether3 || trunk 10, 20 || Access point || Dua SSID: <code>Kantor</code> (VLAN 10) dan <code>Kantor-Tamu</code> (VLAN 20). Satu kabel, dua jaringan.
|-
| ether4 || trunk 10, 20, 30 || Server Proxmox || VM ditempatkan di VLAN mana pun lewat satu kabel.
|-
| ether5 || access 30 || Switch CCTV || Semua kamera terkurung di VLAN 30.
|}

Di kantor besar, router sering hanya memakai 1–2 port trunk ke switch inti. Switch MikroTik (CRS) dikonfigurasi dengan '''cara yang sama persis'''.

'''Homelab''': pola ini juga populer di rumah, misalnya VLAN keluarga, VLAN lab/server, VLAN IoT (smart TV, CCTV murah), dan VLAN tamu. Ingat: VLAN saja tidak mengisolasi, karena router tetap me-routing antar VLAN. Isolasi dibutuhkan lewat firewall ([[Belajar MikroTik Part 6|Part 6]]).

== Lab ==

=== Topologi ===
<pre>
[NAT]
│ ether1 (WAN)
[CHR] ── bridge-vlan
ether2 ether3 ether4 ether5 ether6
VLAN10 VLAN10 VLAN20 trunk 30+40 trunk 50+60+70
│ │ │ │ │
Staff1 Staff2 Tamu [Switch1] [Proxmox]
/ \ eth0.50/.60/.70
PC-30 PC-40
</pre>

{| class="wikitable"
! VLAN !! Subnet !! Gateway !! Lokasi
|-
| 10 || <code>172.16.10.0/24</code> || <code>.1</code> || ether2, ether3 (access)
|-
| 20 || <code>172.16.20.0/24</code> || <code>.1</code> || ether4 (access)
|-
| 30, 40 || <code>172.16.30.0/24</code>, <code>172.16.40.0/24</code> || <code>.1</code> || ether5 (trunk ke switch)
|-
| 50, 60, 70 || <code>172.16.50.0/24</code>, <code>.60.</code>, <code>.70.</code> || <code>.1</code> || ether6 (trunk ke server)
|}

PC memakai container <code>lab-ubuntu</code> (lihat [[Belajar MikroTik Lampiran: Linux Networking|lampiran Linux]]) atau VPCS.

=== 0. Persiapan ===
* Host: <code>virsh net-start default</code> dan aturan <code>DOCKER-USER</code> ([[Belajar MikroTik Part 1|Part 1]]).
* Project baru, identity, NAT masquerade di <code>ether1</code>, DNS Allow Remote Requests ([[Belajar MikroTik Part 4|Part 4]]).
* Backup: snapshot GNS3 atau <code>/export file=...</code>.

=== 1. Access port (ether2–ether4) ===
'''Bridge''': Bridge → Bridge → New, Name <code>bridge-vlan</code>, '''VLAN Filtering belum dicentang'''.

'''Ports''': Bridge → Ports → New
{| class="wikitable"
! Interface !! PVID !! Frame Types
|-
| <code>ether2</code> || 10 || admit only untagged and priority tagged
|-
| <code>ether3</code> || 10 || admit only untagged and priority tagged
|-
| <code>ether4</code> || 20 || admit only untagged and priority tagged
|}

'''Tabel VLAN''': Bridge → VLANs → New
{| class="wikitable"
! VLAN IDs !! Tagged !! Untagged
|-
| 10 || <code>bridge-vlan</code> || <code>ether2</code>, <code>ether3</code>
|-
| 20 || <code>bridge-vlan</code> || <code>ether4</code>
|}

'''Gateway''': VLAN interface di '''<code>bridge-vlan</code>''' (bukan di port fisik), IP, dan DHCP per VLAN.

'''Saklar''': Bridge → Bridge → <code>bridge-vlan</code> → tab VLAN → centang '''VLAN Filtering'''.

=== 2. Trunk ke switch (ether5, VLAN 30 + 40) ===
Switch GNS3: port 0 <code>dot1q</code> (ke <code>ether5</code>), port 1 <code>access 30</code> (PC-30), port 2 <code>access 40</code> (PC-40).

Di router:
* Bridge → Ports: <code>ether5</code>, Frame Types '''admit only VLAN tagged''', PVID dibiarkan default.
* Bridge → VLANs: VLAN 30 dan 40, Tagged <code>bridge-vlan</code> + <code>ether5</code>, Untagged kosong.
* VLAN interface <code>vlan30</code>, <code>vlan40</code> di <code>bridge-vlan</code>, IP, DHCP.

Access port menerima frame '''polos''' dan memakai PVID untuk menentukan VLAN. Trunk menerima frame '''bertag''' karena VLAN-nya sudah tertulis di tag.

=== 3. Trunk ke server (ether6, VLAN 50 + 60 + 70) ===
<syntaxhighlight lang="text">
/interface bridge port add bridge=bridge-vlan interface=ether6 frame-types=admit-only-vlan-tagged

/interface bridge vlan
add bridge=bridge-vlan vlan-ids=50 tagged=bridge-vlan,ether6
add bridge=bridge-vlan vlan-ids=60 tagged=bridge-vlan,ether6
add bridge=bridge-vlan vlan-ids=70 tagged=bridge-vlan,ether6

/interface vlan
add name=vlan50 interface=bridge-vlan vlan-id=50
add name=vlan60 interface=bridge-vlan vlan-id=60
add name=vlan70 interface=bridge-vlan vlan-id=70

/ip address
add address=172.16.50.1/24 interface=vlan50 comment=VLAN50-proxmox
add address=172.16.60.1/24 interface=vlan60 comment=VLAN60-proxmox
add address=172.16.70.1/24 interface=vlan70 comment=VLAN70-proxmox

/ip pool
add name=pool50 ranges=172.16.50.100-172.16.50.200
add name=pool60 ranges=172.16.60.100-172.16.60.200
add name=pool70 ranges=172.16.70.100-172.16.70.200

/ip dhcp-server network
add address=172.16.50.0/24 gateway=172.16.50.1 dns-server=172.16.50.1
add address=172.16.60.0/24 gateway=172.16.60.1 dns-server=172.16.60.1
add address=172.16.70.0/24 gateway=172.16.70.1 dns-server=172.16.70.1

/ip dhcp-server
add name=server50 interface=vlan50 address-pool=pool50
add name=server60 interface=vlan60 address-pool=pool60
add name=server70 interface=vlan70 address-pool=pool70
</syntaxhighlight>

'''Menambah trunk untuk VLAN yang sudah ada''' cukup menambahkan port ke kolom Tagged. Hati-hati: <code>set tagged=...</code> '''menimpa''' daftar lama, sehingga port yang sudah ada harus ditulis ulang:
<syntaxhighlight lang="text">
/interface bridge vlan set [find vlan-ids=30] tagged=bridge-vlan,ether5,ether6
</syntaxhighlight>

=== 4. Sisi server (container Linux) ===
<syntaxhighlight lang="bash">
ip link set eth0 up
for v in 50 60 70; do
ip link add link eth0 name eth0.$v type vlan id $v
ip link set eth0.$v up
dhclient -v eth0.$v
done
ip -br addr
</syntaxhighlight>

Hasil:
<pre>
eth0.50@eth0 UP 172.16.50.200/24
eth0.60@eth0 UP 172.16.60.200/24
eth0.70@eth0 UP 172.16.70.200/24
eth0 UP
</pre>

* <code>RTNETLINK answers: File exists</code> saat <code>dhclient</code> kedua/ketiga itu normal: Linux hanya memakai satu default gateway di tabel routing utama.
* Ctrl+C di tengah loop menghentikan '''seluruh''' loop. VLAN berikutnya harus dicoba manual.
* Baris <code>xid: warning ...</code> aman diabaikan.

=== Padanan di Proxmox sungguhan ===
<syntaxhighlight lang="text">
auto vmbr0
iface vmbr0 inet manual
bridge-ports eno1
bridge-stp off
bridge-fd 0
bridge-vlan-aware yes
bridge-vids 2-4094

auto vmbr0.50
iface vmbr0.50 inet static
address 172.16.50.20/24
gateway 172.16.50.1
</syntaxhighlight>
* <code>bridge-vlan-aware yes</code> = bridge Proxmox juga memakai VLAN filtering, konsepnya sama dengan <code>bridge-vlan</code> di MikroTik.
* <code>vmbr0.50</code> = IP manajemen host, statis di range server.
* Setiap VM: Bridge <code>vmbr0</code> + '''VLAN Tag''' di setting network VM.

== Verifikasi ==
* Setiap PC/VM mendapat IP sesuai VLAN-nya dan bisa <code>ping 8.8.8.8</code>.
* <code>trace</code> dalam satu VLAN langsung sampai; antar VLAN lewat gateway.
* '''Bridge → VLANs''': keanggotaan tagged/untagged sesuai rencana.
* '''Bridge → Hosts''': MAC setiap perangkat beserta port dan VLAN-nya.

Entri dinamis seperti <code>VLAN 1 ;;; added by pvid</code> di tabel VLAN itu normal: bridge sendiri punya PVID default 1.

== Masalah yang ditemui ==

=== VLAN interface berflag R tapi parameternya salah ===
Ketiga kasus di bawah sama-sama terlihat normal di <code>print</code> biasa. Flag '''R''' hanya berarti "interface hidup", bukan "konfigurasinya benar". Masalahnya baru terlihat di <code>print detail</code>.

{| class="wikitable"
! Kasus !! Temuan di <code>print detail</code> !! Penyebab !! Perbaikan
|-
| PC-30 & PC-40 tidak dapat IP || <code>vlan30</code> dan <code>vlan40</code>: <code>vlan-id=1</code> || Kolom VLAN ID terlewat, memakai default || <code>/interface vlan set vlan30 vlan-id=30</code>
|-
| PC-40 tidak dapat IP || <code>vlan40</code>: <code>use-service-tag=yes</code> || Checkbox '''Use Service Tag''' tercentang. Itu mode QinQ (penanda <code>0x88a8</code>), sedangkan switch mengirim tag biasa <code>0x8100</code>. || <code>... vlan-id=40 use-service-tag=no</code>
|-
| VLAN 50 jalan, VLAN 60 tidak || <code>vlan60</code>: <code>interface=ether1</code>, MAC sama dengan <code>ether1</code> || Dropdown Interface terpilih port WAN || <code>/interface vlan set vlan60 interface=bridge-vlan</code>
|}

Efek samping VLAN interface ber-ID 1 di atas bridge: muncul entri dinamis <code>VLAN 1 ;;; added by vlan on bridge</code> di tabel VLAN.

=== Diagnosis cepat ===
'''Kalau satu VLAN jalan dan VLAN lain tidak''' di trunk yang sama, jalur fisik dan trunk sudah benar. Fokus ke konfigurasi khusus VLAN yang gagal.

'''Menentukan layer masalah''': jalankan DHCP di client, sementara di router:
<syntaxhighlight lang="text">
/tool torch interface=vlan60
/tool sniffer quick interface=ether6
</syntaxhighlight>
* Ada traffic di <code>vlanXX</code> → paket sampai, masalah di DHCP/IP.
* Kosong → masalah di VLAN ID, interface induk, atau tabel bridge VLAN.

'''Perintah pengecekan lengkap'''
<syntaxhighlight lang="text">
/interface vlan print detail
/interface bridge print
/interface bridge port print
/interface bridge vlan print
/ip address print
/ip pool print
/ip dhcp-server print
/ip dhcp-server network print
/ip dhcp-server lease print
/log print where topics~"dhcp"
</syntaxhighlight>

== Checklist VLAN baru ==
# '''Bridge → VLANs''': VLAN ID; <code>bridge-vlan</code> + port trunk di Tagged; access port di Untagged.
# '''Interfaces → VLAN''': cek '''vlan-id''', '''interface = bridge-vlan''', '''use-service-tag = no'''.
# '''IP → Addresses''': gateway <code>.1</code>.
# '''DHCP''': gateway/DNS di Networks.
# Langsung jalankan <code>/interface vlan print detail</code>.

'''Tips''': simpan blok CLI VLAN sebagai template, ganti angkanya, lalu copy-paste. Sebagian besar kesalahan di lab ini terjadi saat mengisi form GUI.

== Latihan ==
# '''Tebak dulu''': hapus <code>ether6</code> dari Tagged di VLAN 60. Di container, <code>dhclient -r eth0.60</code> lalu <code>dhclient -v eth0.60</code>. Apa yang terjadi? Apakah VLAN 50 dan 70 ikut terdampak?
# '''IP manajemen statis''': lepas DHCP di <code>eth0.50</code>, pasang <code>172.16.50.20/24</code> dengan gateway <code>172.16.50.1</code>, sampai container bisa <code>ping 8.8.8.8</code> lewat VLAN 50.
# '''Detektif''': di '''Bridge → Hosts''', MAC container muncul berapa kali dan di VLAN apa saja? Kenapa satu MAC bisa muncul beberapa kali?
# '''Tebak dulu''': hapus <code>bridge-vlan</code> dari Tagged di VLAN 20 (biarkan <code>ether4</code> untagged). Apakah Tamu masih bisa mendapat IP? Ping gateway? Ping Staff1?

== Catatan ==
Bridge VLAN filtering sudah melampaui cakupan dasar MTCNA dan lebih dekat ke materi switching. Kesalahan di lab ini hampir semuanya salah input, bukan salah konsep. Kemampuan yang paling berguna bukan menghafal menu, tapi melacak kenapa sesuatu tidak berjalan.

== Ringkasan ==
* Satu VLAN di satu port → VLAN interface di port. Satu VLAN di banyak port → bridge VLAN filtering.
* PVID = VLAN untuk frame polos yang masuk. Tabel VLAN = keanggotaan dan tagged/untagged saat keluar.
* VLAN interface (gateway) ditempel di bridge, dan bridge harus tagged di setiap VLAN.
* Nyalakan <code>vlan-filtering</code> paling akhir, dengan Safe Mode di router produksi.
* Flag R bukan jaminan benar: biasakan <code>print detail</code>.

Networking

SanzSkuy — Mon, 26 Oct 2026 09:41:01 GMT

← Older revision		Revision as of 09:41, 26 October 2026
Line 17:		Line 17:
	* [[Mikrotik 3: Bridge]]		* [[Mikrotik 3: Bridge]]
	* [[Mikrotik 4: VLAN]]		* [[Mikrotik 4: VLAN]]
			* [[Mikrotik 5: Bridge VLAN Filtering]]

	= Cisco =		= Cisco =

Mikrotik 4: VLAN

SanzSkuy — Mon, 26 Oct 2026 06:33:34 GMT

Created page with "== Tujuan == * Paham VLAN, tag 802.1Q, access port, dan trunk port. * Bisa membuat VLAN interface dan gateway per VLAN di RouterOS. * Bisa melihat tag VLAN di Wireshark. * Paham dua kesalahan klasik: VLAN ditentukan port switch, dan trunk yang tidak sepakat di kedua ujung. == Konsep == === Masalah yang diselesaikan VLAN === Tanpa VLAN, setiap segmen butuh port router, switch, dan jalur kabel sendiri. Lima segmen (staff, tamu, CCTV, server, manajemen) berarti lima port..."

New page

== Tujuan ==
* Paham VLAN, tag 802.1Q, access port, dan trunk port.
* Bisa membuat VLAN interface dan gateway per VLAN di RouterOS.
* Bisa melihat tag VLAN di Wireshark.
* Paham dua kesalahan klasik: VLAN ditentukan port switch, dan trunk yang tidak sepakat di kedua ujung.

== Konsep ==

=== Masalah yang diselesaikan VLAN ===
Tanpa VLAN, setiap segmen butuh port router, switch, dan jalur kabel sendiri. Lima segmen (staff, tamu, CCTV, server, manajemen) berarti lima port router, lima switch, lima kabel.

'''VLAN (Virtual LAN)''' memecah satu switch fisik menjadi beberapa switch virtual yang terisolasi di Layer 2. Setiap VLAN punya nomor ('''VLAN ID''', 1–4094). Perangkat di VLAN berbeda tidak bisa saling meng-ARP, persis seperti berada di switch berbeda.

=== Tag 802.1Q ===
Satu kabel bisa membawa banyak VLAN karena setiap frame diberi '''tag''' (label) berisi VLAN ID. Standarnya '''IEEE 802.1Q'''.

<pre>
Frame biasa: [Dst MAC][Src MAC][Type][ Data ][FCS]
Frame 802.1Q: [Dst MAC][Src MAC][TAG][Type][ Data ][FCS]
└ 4 byte tambahan
</pre>

Isi tag (4 byte):
{| class="wikitable"
! Bagian !! Ukuran !! Fungsi
|-
| '''TPID''' || 16 bit || Penanda <code>0x8100</code>: "frame ini bertag 802.1Q"
|-
| '''PRI''' (PCP) || 3 bit || Prioritas untuk QoS (misalnya VoIP didahulukan)
|-
| '''DEI''' || 1 bit || Tanda boleh dibuang lebih dulu saat padat
|-
| '''VLAN ID''' || 12 bit || Nomor VLAN (2<sup>12</sup> = 4096, dipakai 1–4094)
|}

Contoh di Wireshark:
<pre>
Ethernet II, Src: 00:50:79:66:68:00, Dst: ...
802.1Q Virtual LAN, PRI: 0, DEI: 0, ID: 10 ← tag
Internet Protocol Version 4, Src: 172.16.10.x, Dst: 8.8.8.8
</pre>

=== Access port vs trunk port ===
{| class="wikitable"
! !! Access port !! Trunk port
|-
| Membawa || '''Satu''' VLAN || '''Banyak''' VLAN
|-
| Frame || '''Untagged''' || '''Tagged'''
|-
| Tersambung ke || PC, printer, CCTV || Switch lain, router, server Proxmox
|}

'''PC tidak tahu apa-apa soal VLAN.''' PC mengirim frame polos. Switch menempelkan tag saat frame masuk dari access port, dan melepas tag saat frame keluar ke access port. Tag hanya hidup di jalur trunk.

'''Native VLAN''': VLAN yang lewat trunk '''tanpa tag'''. Di switch GNS3, kolom VLAN pada port <code>dot1q</code> adalah native VLAN (default <code>1</code>).

=== Router-on-a-stick ===
Setiap VLAN adalah segmen terpisah, sehingga butuh '''subnet dan gateway sendiri'''. Router cukup tersambung ke switch dengan '''satu kabel trunk''', lalu membuat satu '''VLAN interface''' per VLAN (misalnya <code>vlan10</code>, <code>vlan20</code>). Setiap VLAN interface diberi IP gateway. Satu kabel, banyak gateway.

=== Keuntungan dan harga yang dibayar ===
'''Keuntungan'''
* Hemat port router: satu port trunk bisa membawa banyak segmen.
* Hemat switch: satu switch fisik dipakai bersama semua segmen.
* Hemat kabel antar lantai/ruangan: cukup satu trunk per switch.
* Fleksibel: memindahkan PC ke segmen lain cukup mengubah setting port switch.

'''Harga yang dibayar'''
* '''Bandwidth trunk dibagi''' semua VLAN. Traffic antar VLAN naik ke router lewat trunk lalu turun lagi lewat trunk yang sama.
* '''Single point of failure''': trunk putus = semua VLAN di switch itu putus.
* '''Butuh managed switch'''. Switch unmanaged tidak mengerti tag.
* CPU router mengerjakan semua routing antar VLAN.

'''Solusi umum''': trunk di port cepat (SFP+ 10 Gbps), '''bonding/LACP''' (beberapa kabel menjadi satu trunk dengan cadangan), atau '''switch Layer 3''' untuk routing antar VLAN di kantor besar.

=== Managed vs unmanaged switch ===
{| class="wikitable"
! !! Unmanaged !! Managed (termasuk "smart/easy smart")
|-
| Setup || Colok langsung jalan || Colok langsung jalan, tapi bisa dikonfigurasi
|-
| IP / web UI || Tidak ada || Ada (web UI, SSH/CLI, port console)
|-
| VLAN || Tidak || Ya
|-
| Fitur lain || – || Monitoring per port, port mirroring, LACP, STP, limit bandwidth
|-
| Contoh || Switch 5–8 port murah || MikroTik CRS/CSS, Cisco Catalyst, TP-Link Easy Smart/JetStream, UniFi
|}

Managed switch baru '''berperilaku seperti unmanaged''': semua port default <code>access VLAN 1</code>.

'''Jebakan di kantor'''
* Unmanaged switch di '''access port VLAN 10''' → semua perangkat di switch kecil itu masuk VLAN 10. Normal dan sering disengaja.
* Unmanaged switch di '''trunk port''' → perangkat hanya mendapat native VLAN, sementara frame bertag VLAN lain ikut diteruskan. Gejalanya: "PC di ruangan ini dapat IP dari segmen yang salah."

== Lab ==

=== Topologi ===
<pre>
[NAT]
│
ether1 (WAN, DHCP client)
│
[CHR]
ether2
║ trunk (VLAN 10 + 20)
║
[Switch1]
port1 port2 port3
VLAN10 VLAN10 VLAN20
│ │ │
Staff1 Staff2 Tamu

vlan10 → 172.16.10.1/24 (staff)
vlan20 → 172.16.20.1/24 (tamu)
</pre>

'''Konvensi alamat''': range privat <code>172.16.0.0/12</code>, dengan oktet ketiga = VLAN ID (VLAN 10 → <code>172.16.10.0/24</code>). Memudahkan saat VLAN sudah puluhan.

=== 1. Persiapan host dan project ===
<syntaxhighlight lang="bash">
sudo virsh net-start default 2>/dev/null
sudo iptables -I DOCKER-USER -i virbr0 -j ACCEPT
sudo iptables -I DOCKER-USER -o virbr0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
</syntaxhighlight>
* GNS3: '''File → New blank project''' (contoh nama: <code>fase2-vlan</code>).
* Perangkat: NAT, MikroTik CHR, Ethernet switch, 3 VPCS (beri nama Staff1, Staff2, Tamu).

=== 2. Konfigurasi switch GNS3 ===
Nyalakan '''View → Show interface labels''' untuk melihat nomor port tiap kabel, lalu klik kanan switch → '''Configure'''.

Untuk setiap port: klik barisnya di daftar '''Ports''', isi '''VLAN''' dan '''Type''', lalu klik '''Add''' (menimpa setting port dengan nomor yang sama). Akhiri dengan '''Apply → OK'''. Kalau perubahan tidak tersimpan, stop switch dulu.

{| class="wikitable"
! Port !! Ke !! VLAN !! Type
|-
| 0 || CHR <code>ether2</code> || 1 || <code>dot1q</code>
|-
| 1 || Staff1 || 10 || <code>access</code>
|-
| 2 || Staff2 || 10 || <code>access</code>
|-
| 3 || Tamu || 20 || <code>access</code>
|}

<code>dot1q</code> = trunk 802.1Q. QinQ EtherType dibiarkan <code>0x8100</code> (hanya dipakai pada type <code>qinq</code>). Sesuaikan nomor port dengan label kabel.

=== 3. Setup dasar CHR ===
Di console:
<syntaxhighlight lang="text">
/system identity set name=router-vlan
/ip address print
</syntaxhighlight>
Catat IP WAN di <code>ether1</code>, connect Winbox, lalu:
* '''IP → Firewall → NAT''': <code>srcnat</code>, Out. Interface <code>ether1</code>, <code>masquerade</code>
* '''IP → DNS''': centang '''Allow Remote Requests'''
* Tes: <code>/ping 8.8.8.8 count=3</code>

=== 4. VLAN interface dan gateway ===
{| class="wikitable"
! Winbox !! Isian !! CLI
|-
| '''Interfaces → VLAN''' → New || <code>vlan10</code>, VLAN ID <code>10</code>, Interface <code>ether2</code> || <code>/interface vlan add name=vlan10 vlan-id=10 interface=ether2</code>
|-
| '''Interfaces → VLAN''' → New || <code>vlan20</code>, VLAN ID <code>20</code>, Interface <code>ether2</code> || <code>/interface vlan add name=vlan20 vlan-id=20 interface=ether2</code>
|-
| '''IP → Addresses''' → New || <code>172.16.10.1/24</code> di <code>vlan10</code>, comment <code>VLAN10-staff</code> || <code>/ip address add address=172.16.10.1/24 interface=vlan10 comment=VLAN10-staff</code>
|-
| '''IP → Addresses''' → New || <code>172.16.20.1/24</code> di <code>vlan20</code>, comment <code>VLAN20-tamu</code> || <code>/ip address add address=172.16.20.1/24 interface=vlan20 comment=VLAN20-tamu</code>
|}

<code>ether2</code> sendiri '''tidak diberi IP'''. Ia hanya kabel trunk, sedangkan kerja Layer 3 ada di <code>vlan10</code> dan <code>vlan20</code>. Sama seperti aturan bridge: IP di interface logis, bukan di port fisik.

=== 5. DHCP per VLAN ===
Setiap VLAN butuh '''pool, network, dan server sendiri''' karena subnetnya berbeda.

'''Lewat DHCP Setup''' (jalankan untuk <code>vlan10</code>, lalu <code>vlan20</code>): wizard membuat pool otomatis. Ubah '''Addresses to Give Out''' menjadi <code>.100–.200</code> agar <code>.2–.99</code> tetap kosong untuk perangkat statis.

'''Manual''':
{| class="wikitable"
! Bagian !! VLAN 10 !! VLAN 20
|-
| Pool || <code>172.16.10.100-172.16.10.200</code> || <code>172.16.20.100-172.16.20.200</code>
|-
| Network || <code>172.16.10.0/24</code>, gateway & DNS <code>172.16.10.1</code> || <code>172.16.20.0/24</code>, gateway & DNS <code>172.16.20.1</code>
|-
| Server || Interface <code>vlan10</code> || Interface <code>vlan20</code>
|}

'''Periksa''': pool di subnet yang benar, gateway/DNS = <code>.1</code>, server menempel di <code>vlan10</code>/<code>vlan20</code> (bukan <code>ether2</code>). Rule NAT tidak perlu diubah.

== Verifikasi ==
<syntaxhighlight lang="text">
ip dhcp
show ip
ping 8.8.8.8
trace <IP PC lain>
</syntaxhighlight>
* Staff1 dan Staff2 mendapat <code>172.16.10.x</code>, Tamu mendapat <code>172.16.20.x</code>.
* <code>trace</code> Staff1 → Staff2: langsung sampai (satu VLAN, di-switch).
* <code>trace</code> Staff1 → Tamu: lewat <code>172.16.10.1</code> (beda VLAN, di-route).

Ketiganya tersambung ke '''switch fisik yang sama''', tapi VLAN memisahkan mereka di Layer 2.

Kalau PC hanya menampilkan "DDD", periksa dulu kecocokan nomor port switch dengan label kabel.

== Latihan dan pembahasan ==

=== Soal 1: melihat tag ===
'''Soal''': capture Wireshark di kabel CHR ↔ Switch1 (trunk) dan Switch1 ↔ Staff1 (access), lalu ping dari Staff1. Di mana ada tag 802.1Q? VLAN ID-nya berapa?

'''Pembahasan'''
* '''Trunk''': ada baris <code>802.1Q Virtual LAN</code> dengan '''ID 10 dan ID 20'''. Meskipun ping hanya dari Staff1 (VLAN 10), traffic Tamu (ARP, DHCP renew) juga lewat kabel yang sama. Bukti satu trunk membawa banyak VLAN.
* '''Access''': tidak ada tag, frame polos.
* Alur: Staff1 mengirim frame polos → Switch1 menempelkan tag <code>ID: 10</code> → CHR membaca tag dan menyerahkan frame ke <code>vlan10</code>. Arah balik, switch melepas tag sebelum frame sampai ke Staff1.

=== Soal 2: menambah VLAN CCTV ===
'''Soal''': buat VLAN 30 (<code>172.16.30.0/24</code>) dengan PC4 sampai bisa internetan.

'''Pembahasan'''
{| class="wikitable"
! Di mana !! Perubahan
|-
| Router || '''Interfaces → VLAN''': <code>vlan30</code>, ID <code>30</code>, di <code>ether2</code>
|-
| Router || '''IP → Addresses''': <code>172.16.30.1/24</code> di <code>vlan30</code>
|-
| Router || DHCP: pool, network (gateway/DNS <code>172.16.30.1</code>), server di <code>vlan30</code>
|-
| Router || NAT: tidak perlu diubah
|-
| Switch || Port PC4: <code>access</code> VLAN <code>30</code>
|-
| Switch || Port trunk: tidak diubah (di GNS3)
|}

* '''Jangan lupa IP gateway''' di <code>vlan30</code>. DHCP Setup bisa berjalan tanpanya, tapi PC akan mendapat gateway yang tidak ada di router.
* '''Trunk di GNS3''' otomatis membawa semua VLAN. Di banyak switch sungguhan (termasuk MikroTik), trunk harus '''didaftarkan VLAN mana saja yang boleh lewat'''. Lupa menambahkan VLAN baru ke trunk = PC di VLAN itu "DDD" terus, padahal konfigurasi lain sudah benar.
* Beri comment <code>VLAN30-cctv</code> di semua objek terkait.

=== Soal 3: memindahkan VLAN tanpa menyentuh PC ===
'''Soal''': ubah port Tamu dari access VLAN 20 menjadi access VLAN 10, tanpa mengubah PC. Lalu <code>ip dhcp -x</code> dan <code>ip dhcp</code>.

'''Hasil''': Tamu mendapat <code>172.16.10.x</code>.

'''Pembahasan''': '''VLAN sebuah PC ditentukan oleh port switch tempat ia tersambung.''' PC tidak tahu dan tidak bisa memilih.
* '''Enak''': memindahkan karyawan ke segmen lain cukup mengubah port switch.
* '''Bahaya''': siapa pun yang mencolok laptop ke port staff langsung masuk jaringan staff. Keamanan port fisik penting. Solusi lanjutannya '''802.1X''' (perangkat harus login sebelum port dibuka), yaitu fitur di menu '''Dot1X''' RouterOS.

=== Soal 4: trunk yang salah ===
'''Soal''': ubah port trunk (port 0) dari <code>dot1q</code> menjadi <code>access</code> VLAN 10.

'''Hasil''': Staff1 dan Tamu sama-sama tidak bisa internetan, tapi dengan alasan berbeda.

<pre>
Normal (dot1q): switch ══[tag 10][tag 20]══► CHR → vlan10 / vlan20 ✅
Salah (access 10): switch ───[polos, VLAN 10 saja]──► CHR → ether2 (tanpa IP) ❌
VLAN 20 → tidak dikirim sama sekali ❌
</pre>

* '''Staff1''': switch mengirim traffic VLAN 10 ke CHR '''tanpa tag'''. <code>vlan10</code> hanya menerima frame bertag 10, sehingga frame polos jatuh ke <code>ether2</code> yang tidak punya IP. ARP ke gateway tidak pernah terjawab.
* '''Tamu''': port 0 sekarang hanya anggota VLAN 10, sehingga frame VLAN 20 tidak pernah dikirim keluar. Tamu terkurung di dalam switch.

'''Pelajaran''': kedua ujung trunk harus '''sepakat'''. Kalau satu sisi mengirim bertag dan sisi lain menunggu polos (atau sebaliknya), link terlihat menyala (lampu hijau, interface Running), tapi traffic tidak tersambung. Sering terjadi saat mengganti switch atau saat ada yang "merapikan" konfigurasi.

== Kesalahan umum ==
{| class="wikitable"
! Gejala !! Penyebab !! Solusi
|-
| PC "DDD" setelah setting VLAN || Nomor port switch tidak cocok dengan kabel || Cek '''Show interface labels'''
|-
| PC dapat IP tapi tidak bisa internetan || IP gateway belum dipasang di VLAN interface || '''IP → Addresses''' di <code>vlanXX</code>
|-
| PC di VLAN baru "DDD" padahal router benar || VLAN belum didaftarkan di trunk switch || Tambahkan VLAN ke daftar trunk
|-
| Link menyala tapi semua VLAN putus || Trunk tidak sepakat (tagged vs untagged) || Samakan konfigurasi kedua ujung
|-
| PC dapat IP dari segmen yang salah || Port switch salah VLAN, atau unmanaged switch di trunk port || Periksa port dan perangkat yang tersambung
|-
| Comment tidak sesuai isi || Typo saat membuat objek || Perbaiki, karena comment adalah dokumentasi
|}

== Ringkasan ==
* VLAN memecah satu switch menjadi beberapa segmen Layer 2 terpisah.
* Tag 802.1Q (4 byte, berisi VLAN ID) hanya ada di trunk. PC selalu mengirim frame polos.
* Access = satu VLAN untagged. Trunk = banyak VLAN tagged.
* Router-on-a-stick: satu trunk, satu VLAN interface + gateway per VLAN.
* VLAN ditentukan port switch, bukan PC.
* Kedua ujung trunk harus sepakat.

Networking

SanzSkuy — Mon, 26 Oct 2026 06:33:28 GMT

← Older revision		Revision as of 06:33, 26 October 2026
Line 16:		Line 16:
	* [[Mikrotik 2: Kantor Mini]]		* [[Mikrotik 2: Kantor Mini]]
	* [[Mikrotik 3: Bridge]]		* [[Mikrotik 3: Bridge]]
			* [[Mikrotik 4: VLAN]]

	= Cisco =		= Cisco =