Jump to content

Mikrotik 2: Kantor Mini

From Haidhi Wiki

Fase 1 dari roadmap: membangun "kantor mini", yaitu satu router MikroTik sebagai gateway, beberapa PC yang mendapat IP otomatis, dan semuanya bisa internetan. Konfigurasi dilakukan lewat Winbox 4, dengan padanan CLI di setiap langkah.

Tujuan

  • Paham peran IP address, gateway, DHCP, DNS, dan NAT di jaringan kantor.
  • Paham beda switching (Layer 2) dan routing (Layer 3).
  • Bisa membaca kondisi router: siapa yang tersambung, dapat IP apa, lewat mana.

Topologi

                    [NAT]
                      │
                 ether1 (WAN, DHCP client)
                 192.168.122.212/24
                      │
               [MikroTikCHR-1]
            ether2 /       \ ether3
     192.168.10.1/24     192.168.11.1/24
           │                   │
       [Switch1]           [Switch2]
      /    |    \            /    \
   PC1   PC2   PC3        PC4    PC5
  • NAT node dari Part 1 tetap di ether1.
  • Ethernet switch dan VPCS adalah perangkat bawaan GNS3 (kategori Switches dan End devices).

Pengingat: setelah reboot host, jalankan ulang aturan DOCKER-USER dari Part 1, kalau tidak traffic lab tidak bisa keluar ke internet.

Konsep dasar

IP address, subnet, dan alamat spesial

/24 berarti 24 bit pertama adalah bagian network, 8 bit terakhir bagian host. 

192.168.10. | 00000000  → .0    semua bit host 0 = alamat network
192.168.10. | 00000001  → .1    host pertama
192.168.10. | 11111110  → .254  host terakhir
192.168.10. | 11111111  → .255  semua bit host 1 = broadcast
Alamat Fungsi Bisa dipakai perangkat?
192.168.10.0 Network address (identitas subnet) Tidak
192.168.10.1 – .254 Alamat host (254 host) Ya
192.168.10.255 Broadcast (ke semua di subnet) Tidak

Kapan menulis .1/24 dan kapan .0/24?

  • IP → Addresses menjawab "IP gua apa?" → alamat host, misalnya 192.168.10.1/24. Kolom Network dihitung otomatis.
  • Route, DHCP Network, firewall menjawab "network yang mana?" → alamat network, misalnya 192.168.10.0/24.

Range IP privat (tidak dikenal di internet): 10.0.0.0/8, 172.16.0.0/12 (172.16–172.31), 192.168.0.0/16.

Gateway

Gateway adalah "pintu keluar" PC. Tujuan di luar subnet sendiri dikirim ke gateway.

Aturan emas: gateway harus berada di subnet yang sama dengan PC. Biasanya berupa IP router di interface tersebut. Gateway di .1 hanya kebiasaan, bukan aturan.

ARP

Di dalam satu segmen, frame Ethernet dikirim berdasarkan MAC address, bukan IP. ARP menerjemahkan IP → MAC di dalam satu segmen.

  1. Request (broadcast): "Siapa yang punya 192.168.10.1? Kasih tahu 192.168.10.100."
  2. Reply (unicast): "Itu gua, MAC gua 0C:B3:C6:FB:00:01."
  3. Hasilnya disimpan di tabel ARP (cache) dan kedaluwarsa setelah beberapa waktu.

Poin penting: saat PC ping 8.8.8.8, yang di-ARP adalah gateway, bukan 8.8.8.8. Di setiap lompatan, IP tujuan tetap sama, tapi MAC tujuan berganti. Inilah beda Layer 2 (antar tetangga) dan Layer 3 (ujung ke ujung).

Switch juga punya tabel MAC, tapi isinya "MAC ini ada di port mana". Switch tidak peduli IP.

DHCP

PC yang baru tersambung belum punya IP, gateway, maupun DNS. DHCP membagikannya secara otomatis lewat proses DORA:

  1. Discover: PC broadcast "ada DHCP server?"
  2. Offer: server menawarkan IP + gateway + DNS
  3. Request: PC menerima tawaran
  4. Ack: server mengonfirmasi dan mencatat lease

Di RouterOS, DHCP dipecah menjadi tiga bagian:

Bagian Menjawab Alasan dipisah
Pool IP mana yang boleh dibagikan? Pool dipakai ulang oleh fitur lain (VPN, PPPoE, Hotspot)
Network Info apa yang diberikan (gateway, DNS)? Satu server bisa melayani banyak subnet (lewat relay)
Server Siapa yang melayani, di interface mana? Mengikat semuanya ke satu segmen
  • Lease time (default 30 menit): lama IP "disewakan". PC memperpanjang sebelum habis, dan IP kembali ke pool kalau PC pergi.
  • Kenapa pool mulai dari .100: .2–.99 disisakan untuk perangkat ber-IP tetap (server, printer, access point, CCTV).

Di mana DHCP server diletakkan? Broadcast DHCP tidak menyeberang router, jadi DHCP server harus berada di segmen yang sama dengan client, atau memakai DHCP relay yang meneruskan permintaan ke server di network lain.

Skenario Lokasi DHCP server
Rumah Modem/router ISP
Kantor kecil-menengah Router MikroTik, satu server per segmen/VLAN
Kantor besar Server khusus (Windows Server, Kea, dnsmasq) + DHCP relay di router

Di lab ini CHR berperan ganda: client di sisi WAN (dapat IP dari dnsmasq libvirt) dan server di sisi LAN.

Satu segmen = satu DHCP server. Dua server di segmen yang sama membuat PC bisa mendapat konfigurasi yang salah. Kasus klasiknya rogue DHCP: router Wi-Fi rumahan yang dicolok ke jaringan kantor.

DNS

PC diarahkan ke router (192.168.10.1) sebagai DNS server. Router meneruskan pertanyaan ke Dynamic Servers (192.168.122.1, didapat dari DHCP di WAN) dan menyimpan jawabannya di cache.

  • Allow Remote Requests harus dicentang, karena defaultnya DNS router hanya untuk dirinya sendiri.
  • Keuntungan lewat router: cache, kontrol terpusat (nama lokal, blokir domain), dan ganti DNS upstream cukup di satu tempat.

NAT (masquerade)

IP privat tidak bisa dibalas oleh internet. Masquerade mengganti IP sumber paket yang keluar lewat WAN menjadi IP router, lalu mencatat pemetaannya di connection tracking supaya balasan bisa dikembalikan ke PC yang benar.

  • Chain srcnat: yang diubah alamat sumber, diproses setelah keputusan routing.
  • Out. Interface ether1: hanya traffic ke arah WAN yang di-NAT.
  • masquerade vs src-nat: masquerade otomatis memakai IP yang sedang menempel di interface, cocok untuk IP WAN dinamis. src-nat dipakai kalau IP publik statis.

Kenapa NAT ada di menu Firewall? Firewall RouterOS adalah mesin pemroses paket dengan beberapa tabel (Filter, NAT, Mangle, Raw), persis seperti iptables di Linux: 

# padanan rule masquerade di Linux
iptables -t nat -A POSTROUTING -o ether1 -j MASQUERADE

Fakta menarik: virbr0 + dnsmasq dari libvirt (Part 1) melakukan hal yang sama persis dengan router di lab ini: IP gateway, DHCP, DNS, dan masquerade. Lab ini juga double NAT: paket di-masquerade CHR, lalu di-NAT lagi oleh virbr0. Banyak kantor sungguhan juga begini (router kantor di belakang modem ISP).

Perjalanan satu ping

PC1 (192.168.10.100) ping 8.8.8.8
 │ "bukan tetangga → kirim ke gateway"  (ARP gateway → dapat MAC router)
 ▼
CHR ether2 ── routing: 0.0.0.0/0 via 192.168.122.1 ── keluar ether1
 │ srcnat masquerade: src 192.168.10.100 → 192.168.122.212
 ▼
virbr0 (host) ── masquerade lagi: src → IP host
 ▼
Internet ── balasan kembali, setiap NAT membalik alamatnya ── PC1 ✅

Konfigurasi LAN pertama

Konek Winbox

Isi Connect To dengan IP WAN CHR (contoh 192.168.122.212), login admin. Konek lewat MAC di tab Neighbors belum tentu berhasil melalui virbr0, jadi pakai IP.

Langkah-langkah

# Winbox Isian CLI
1 IP → Addresses → New Address 192.168.10.1/24, Interface ether2, Comment LAN /ip address add address=192.168.10.1/24 interface=ether2 comment=LAN
2 IP → Pool → New Name pool-lan, Addresses 192.168.10.100-192.168.10.200 /ip pool add name=pool-lan ranges=192.168.10.100-192.168.10.200
3 IP → DHCP Server → tab Networks → New Address 192.168.10.0/24, Gateway 192.168.10.1, DNS 192.168.10.1 /ip dhcp-server network add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1
4 IP → DHCP Server → tab DHCP → New Name dhcp-lan, Interface ether2, Address Pool pool-lan /ip dhcp-server add name=dhcp-lan interface=ether2 address-pool=pool-lan disabled=no
5 IP → DNS Centang Allow Remote Requests /ip dns set allow-remote-requests=yes
6 IP → Firewall → tab NAT → New General: Chain srcnat, Out. Interface ether1; Action: masquerade /ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade comment="NAT ke internet"

Catatan langkah 1: entri 192.168.122.x di ether1 dengan flag D (Dynamic) adalah IP WAN dari DHCP client. Jangan dihapus. Router memang punya satu IP di setiap network yang ia sambungkan, dan network di interface berbeda tidak boleh tumpang tindih.

Peringatan keamanan: CHR ini belum punya firewall filter, dan allow-remote-requests=yes membuat DNS router bisa ditanya dari sisi WAN. Aman di lab, tapi di router sungguhan harus diblok (Fase 3).

Trik Winbox

  • Tombol DHCP Setup mengerjakan langkah 2–4 sekaligus. Pakai setelah paham cara manualnya.
  • Terminal tersedia di dalam Winbox. Jalankan /ip firewall nat export untuk melihat padanan CLI dari apa yang diklik di GUI.
  • Safe Mode: kalau koneksi putus karena salah setting, perubahan otomatis dibatalkan. Biasakan menyalakannya.

Verifikasi

Di VPCS: 

ip dhcp
show ip
ping 192.168.10.1
ping 8.8.8.8
ping google.com
trace 8.8.8.8
show arp

trace menampilkan hop lewat 192.168.10.1 lalu 192.168.122.1, jadi double NAT terlihat langsung.

Melihat perangkat yang tersambung

Menu Menampilkan Keterbatasan
IP → DHCP Server → Leases IP, MAC, hostname, status (bound) Hanya perangkat yang memakai DHCP
IP → ARP Perangkat yang baru-baru ini berkomunikasi, termasuk IP statis Perangkat yang diam bisa tidak muncul
Bridge → Hosts MAC per port fisik Hanya untuk port anggota bridge
IP → Neighbors Perangkat jaringan (MNDP/LLDP/CDP) PC biasa umumnya tidak muncul
Tools → IP Scan Scan aktif satu range Harus dijalankan manual

Kombinasi di kantor: Leases (perangkat siapa), ARP (siapa yang aktif), Bridge Hosts (colok di port mana).

Melihat paket ARP secara langsung: klik kanan kabel di GNS3 → Start capture, lalu di PC jalankan clear arp dan ping 192.168.10.1.

LAN kedua dan routing antar subnet

Konfigurasi

Bagian Isian
IP → Addresses 192.168.11.1/24 di ether3 (beri comment, misalnya LAN2)
IP → Pool pool-lan2: 192.168.11.100-192.168.11.200
DHCP → Networks 192.168.11.0/24, gateway & DNS 192.168.11.1
DHCP → DHCP Server baru di ether3 dengan pool-lan2
NAT Tidak perlu diubah: rule mencocokkan out-interface=ether1, jadi semua subnet yang keluar ke WAN otomatis di-masquerade

Kenapa PC1 bisa ping PC4?

  1. PC1 melihat 192.168.11.x bukan tetangga → kirim ke gateway 192.168.10.1.
  2. Router sudah mengenal kedua network sebagai connected route (lihat IP → Routes):
DAC  192.168.10.0/24   → ether2
DAC  192.168.11.0/24   → ether3
DAd  0.0.0.0/0         → 192.168.122.1  (dari DHCP client)
D = dynamic, A = active, C = connected.
  1. Router meng-ARP PC4 di sisi ether3 lalu meneruskan paket.
  2. Tidak kena NAT, karena traffic keluar lewat ether3, bukan ether1. PC4 melihat IP asli PC1.
  3. Tidak ada yang memblokir, karena belum ada firewall filter.

Switching vs routing

Tes Hasil trace Yang bekerja
PC1 → PC2 (satu switch) Langsung sampai Switch (Layer 2). Router tidak terlibat.
PC1 → PC4 (beda subnet) Satu hop lewat 192.168.10.1 Router (Layer 3)

Implikasi di kantor: memisahkan subnet tidak sama dengan isolasi. Secara default router menyambungkan semua subnet. Untuk memisahkan misalnya Wi-Fi tamu atau CCTV dari jaringan karyawan, dibutuhkan firewall filter di chain forward (Fase 3).

Kesalahan umum

Gejala Penyebab Solusi
PC dapat IP tapi tidak bisa internetan setelah ganti subnet Gateway/DNS di DHCP Network masih memakai alamat subnet lama. PC tidak bisa meng-ARP gateway yang bukan tetangganya. Gateway & DNS = IP router di subnet baru
Router punya dua IP di satu interface setelah ganti subnet Menambah entri baru tanpa menghapus yang lama Edit entri yang ada (double-click)
PC masih memakai IP lama Lease lama belum diperbarui Jalankan ip dhcp lagi di VPCS
Satu segmen mendadak dapat gateway aneh Rogue DHCP (dua DHCP server di satu segmen) Cari dan cabut DHCP server liar
Router bingung meneruskan paket Dua interface memakai subnet yang tumpang tindih Pakai subnet berbeda di setiap interface
failure: dhcp-client on that interface already exists Appliance CHR sudah membawa DHCP client di ether1 Normal, abaikan
Parameter ditolak disable=no Yang benar disabled=no
Static lease sudah diubah tapi IP perangkat tetap DHCP menunggu client bertanya (renew) ip dhcp -x lalu ip dhcp, atau restart perangkat
Koneksi dua PC putus-nyambung acak IP conflict (static lease ke IP yang sedang dipakai) Taruh static lease di luar pool, cek Leases/ARP dulu
Router bisa internetan, semua PC tidak Rule NAT hilang/disabled/out-interface salah Cek IP → Firewall → NAT

Static lease

Static lease adalah reservasi IP di DHCP server berdasarkan MAC address. Setiap kali perangkat dengan MAC tersebut meminta IP, DHCP selalu memberikan IP yang sama.

Kenapa tidak set IP manual di perangkat saja?

  • Terpusat: semua IP diatur dari router. Ganti IP printer cukup dari Winbox.
  • Gateway & DNS tetap ikut DHCP: kalau gateway berubah, perangkat ikut berubah otomatis.
  • Dipakai untuk printer, server, CCTV/NVR, access point, dan target port forwarding (Fase 3).

Contoh: mengunci IP PC4

  1. IP → DHCP Server → tab Leases.
  2. Cari baris PC4 (cocokkan MAC dengan hasil show ip di VPCS). Ada flag D (dynamic).
  3. Pilih baris → Make Static. Flag D hilang.
  4. Untuk mengganti ke IP lain, double-click lease lalu ubah kolom Address.
/ip dhcp-server lease make-static [find address=192.168.11.10x]

Perubahan tidak langsung berlaku

Setelah static lease diubah, PC masih memakai IP lama. DHCP bersifat "client yang bertanya": router tidak bisa memaksa PC berganti IP. PC baru meminta lagi ketika:

  • lease hampir habis (biasanya mulai memperpanjang di setengah lease time),
  • kabel dicabut-colok atau perangkat restart,
  • dipaksa manual.
ip dhcp -x     # release lease lama
ip dhcp        # minta lease baru
show ip

Tombol Send Reconfigure di Winbox hanya bekerja kalau client mendukung fitur tersebut. Kebanyakan perangkat (termasuk VPCS) tidak, jadi cara paling pasti tetap dari sisi client.

Di kantor: setelah mengganti IP printer lewat static lease, printer tidak langsung pindah. Tunggu renew, atau restart perangkatnya.

Latihan dan pembahasan

Soal 1: pindah subnet

Soal: ubah LAN pertama menjadi 10.10.10.0/24 (gateway .1, pool .50–.99).

Pembahasan: ada empat isian yang ikut berubah.

Tempat Sebelum Sesudah
IP → Addresses 192.168.10.1/24 10.10.10.1/24
DHCP Network (address) 192.168.10.0/24 10.10.10.0/24
DHCP Network (gateway & DNS) 192.168.10.1 10.10.10.1
Pool 192.168.10.100–200 10.10.10.50–99
  • Rule NAT tidak perlu diubah, karena mencocokkan out-interface=ether1, bukan alamat LAN.
  • Jebakan: lupa mengganti gateway di DHCP Network. PC mendapat 10.10.10.x dengan gateway 192.168.10.1, yang bukan tetangganya. PC tidak bisa meng-ARP gateway tersebut, dan router juga sudah tidak memilikinya. Hasilnya: dapat IP tapi tidak bisa internetan. Ini kesalahan yang sering terjadi saat migrasi subnet di kantor.

Soal 2: static lease

Soal: buat PC1 selalu mendapat IP tetap, sementara PC lain tetap acak dari pool.

Pengerjaan: Make Static pada lease PC1, ubah Address ke IP target (contoh: 192.168.10.253), lalu di PC1 jalankan ip dhcp -x dan ip dhcp.

Pertanyaan 1: kenapa static lease sebaiknya di luar pool?

  • Pool adalah wilayah DHCP dynamic. IP di luar pool tidak akan pernah dibagikan ke perangkat lain, jadi tidak mungkin bentrok.
  • Mudah dibaca: .2–.99 = perangkat penting, .100+ = perangkat biasa.
  • Aman saat pool diperbesar atau diperkecil.
  • Konvensi umum: IP statis di range bawah (.2–.99).

Pertanyaan 2: kenapa PC1 tidak langsung berganti IP? Lihat Perubahan tidak langsung berlaku.

Pertanyaan 3: static lease ke IP di dalam pool yang sedang dipakai PC lain? Kemungkinan urutannya:

  1. Static lease .150 dibuat untuk PC1, sementara PC2 masih memakai .150 karena belum renew.
  2. Kalau PC1 renew dan mendapat .150, dua PC memakai IP yang sama: IP conflict.
  3. Keduanya menjawab ARP untuk .150. Tabel ARP router berganti-ganti MAC, sehingga koneksi kedua PC putus-nyambung acak.
  4. Saat PC2 renew, server menolak (IP sudah direservasi untuk MAC lain), dan PC2 mendapat IP baru dari pool. PC2 tidak harus di-release manual; ip dhcp -x hanya mempercepat.

Catatan: perilaku detail di langkah 2 bisa berbeda antar implementasi DHCP. Buktikan sendiri di lab sambil memantau Leases dan IP → ARP.

Pelajaran: sebelum memasang static lease, pastikan IP-nya kosong (cek Leases dan ARP), atau taruh di luar pool.

Soal 3: LAN kedua

Lihat LAN kedua dan routing antar subnet.

Soal 4: NAT dimatikan

Soal: disable rule NAT, lalu tes /ping 8.8.8.8 dari router dan dari PC1. 

/ip firewall nat disable 0
/ping 8.8.8.8 count=4      # dari router
# ping 8.8.8.8 dari VPCS PC1
/ip firewall nat enable 0  # jangan lupa dinyalakan lagi

Hasil: ping dari router berhasil, ping dari PC1 timeout.

Pembahasan: paket dari keduanya keluar lewat kabel yang sama (ether1). Yang membedakan adalah IP sumber. 

Router → 8.8.8.8   src 192.168.122.212  → dikenal virbr0 ✅
PC1    → 8.8.8.8   src 192.168.10.200   → "ini siapa? baliknya lewat mana?" ❌
  • Router membuat paket sendiri dengan IP sumber interface keluarnya, 192.168.122.212. IP itu ada di subnet virbr0, sehingga host tahu cara membalas, dan masquerade libvirt (untuk 192.168.122.0/24) meneruskannya ke internet. Traffic yang dibuat router sendiri tidak membutuhkan rule masquerade di router.
  • PC1: tanpa NAT, IP sumber tetap 192.168.10.x. Host tidak punya route ke 192.168.10.0/24, dan masquerade libvirt tidak mencakup subnet itu. Paket bisa keluar, tapi balasan tidak bisa pulang.

Pelajaran di kantor: gejala "router bisa internetan, tapi semua PC tidak" adalah tanda klasik masalah NAT (rule hilang, disabled, atau out-interface salah setelah port WAN diganti).

Alternatif tanpa NAT: kalau "dunia luar" diberi tahu jalan pulangnya, NAT tidak dibutuhkan. Misalnya route di host 192.168.10.0/24 via 192.168.122.212 membuat host bisa ping PC1 langsung. Ini routing murni, cara jaringan internal besar menyambungkan antar subnet. NAT hanya terpaksa dipakai di batas ke internet karena IP privat tidak bisa di-routing di sana.

Referensi

Retrieved from "https://wiki.haidhi.my.id/wiki/index.php?title=Mikrotik_2:_Kantor_Mini&oldid=879"