View source for Mikrotik 4: VLAN

== Tujuan ==
* Paham VLAN, tag 802.1Q, access port, dan trunk port.
* Bisa membuat VLAN interface dan gateway per VLAN di RouterOS.
* Bisa melihat tag VLAN di Wireshark.
* Paham dua kesalahan klasik: VLAN ditentukan port switch, dan trunk yang tidak sepakat di kedua ujung.

== Konsep ==

=== Masalah yang diselesaikan VLAN ===
Tanpa VLAN, setiap segmen butuh port router, switch, dan jalur kabel sendiri. Lima segmen (staff, tamu, CCTV, server, manajemen) berarti lima port router, lima switch, lima kabel.

'''VLAN (Virtual LAN)''' memecah satu switch fisik menjadi beberapa switch virtual yang terisolasi di Layer 2. Setiap VLAN punya nomor ('''VLAN ID''', 1–4094). Perangkat di VLAN berbeda tidak bisa saling meng-ARP, persis seperti berada di switch berbeda.

=== Tag 802.1Q ===
Satu kabel bisa membawa banyak VLAN karena setiap frame diberi '''tag''' (label) berisi VLAN ID. Standarnya '''IEEE 802.1Q'''.

<pre>
Frame biasa:   [Dst MAC][Src MAC][Type][ Data ][FCS]
Frame 802.1Q:  [Dst MAC][Src MAC][TAG][Type][ Data ][FCS]
                                  └ 4 byte tambahan
</pre>

Isi tag (4 byte):
{| class="wikitable"
! Bagian !! Ukuran !! Fungsi
|-
| '''TPID''' || 16 bit || Penanda <code>0x8100</code>: "frame ini bertag 802.1Q"
|-
| '''PRI''' (PCP) || 3 bit || Prioritas untuk QoS (misalnya VoIP didahulukan)
|-
| '''DEI''' || 1 bit || Tanda boleh dibuang lebih dulu saat padat
|-
| '''VLAN ID''' || 12 bit || Nomor VLAN (2<sup>12</sup> = 4096, dipakai 1–4094)
|}

Contoh di Wireshark:
<pre>
Ethernet II, Src: 00:50:79:66:68:00, Dst: ...
802.1Q Virtual LAN, PRI: 0, DEI: 0, ID: 10      ← tag
Internet Protocol Version 4, Src: 172.16.10.x, Dst: 8.8.8.8
</pre>

=== Access port vs trunk port ===
{| class="wikitable"
! !! Access port !! Trunk port
|-
| Membawa || '''Satu''' VLAN || '''Banyak''' VLAN
|-
| Frame || '''Untagged''' || '''Tagged'''
|-
| Tersambung ke || PC, printer, CCTV || Switch lain, router, server Proxmox
|}

'''PC tidak tahu apa-apa soal VLAN.''' PC mengirim frame polos. Switch menempelkan tag saat frame masuk dari access port, dan melepas tag saat frame keluar ke access port. Tag hanya hidup di jalur trunk.

'''Native VLAN''': VLAN yang lewat trunk '''tanpa tag'''. Di switch GNS3, kolom VLAN pada port <code>dot1q</code> adalah native VLAN (default <code>1</code>).

=== Router-on-a-stick ===
Setiap VLAN adalah segmen terpisah, sehingga butuh '''subnet dan gateway sendiri'''. Router cukup tersambung ke switch dengan '''satu kabel trunk''', lalu membuat satu '''VLAN interface''' per VLAN (misalnya <code>vlan10</code>, <code>vlan20</code>). Setiap VLAN interface diberi IP gateway. Satu kabel, banyak gateway.

=== Keuntungan dan harga yang dibayar ===
'''Keuntungan'''
* Hemat port router: satu port trunk bisa membawa banyak segmen.
* Hemat switch: satu switch fisik dipakai bersama semua segmen.
* Hemat kabel antar lantai/ruangan: cukup satu trunk per switch.
* Fleksibel: memindahkan PC ke segmen lain cukup mengubah setting port switch.

'''Harga yang dibayar'''
* '''Bandwidth trunk dibagi''' semua VLAN. Traffic antar VLAN naik ke router lewat trunk lalu turun lagi lewat trunk yang sama.
* '''Single point of failure''': trunk putus = semua VLAN di switch itu putus.
* '''Butuh managed switch'''. Switch unmanaged tidak mengerti tag.
* CPU router mengerjakan semua routing antar VLAN.

'''Solusi umum''': trunk di port cepat (SFP+ 10 Gbps), '''bonding/LACP''' (beberapa kabel menjadi satu trunk dengan cadangan), atau '''switch Layer 3''' untuk routing antar VLAN di kantor besar.

=== Managed vs unmanaged switch ===
{| class="wikitable"
! !! Unmanaged !! Managed (termasuk "smart/easy smart")
|-
| Setup || Colok langsung jalan || Colok langsung jalan, tapi bisa dikonfigurasi
|-
| IP / web UI || Tidak ada || Ada (web UI, SSH/CLI, port console)
|-
| VLAN || Tidak || Ya
|-
| Fitur lain || – || Monitoring per port, port mirroring, LACP, STP, limit bandwidth
|-
| Contoh || Switch 5–8 port murah || MikroTik CRS/CSS, Cisco Catalyst, TP-Link Easy Smart/JetStream, UniFi
|}

Managed switch baru '''berperilaku seperti unmanaged''': semua port default <code>access VLAN 1</code>.

'''Jebakan di kantor'''
* Unmanaged switch di '''access port VLAN 10''' → semua perangkat di switch kecil itu masuk VLAN 10. Normal dan sering disengaja.
* Unmanaged switch di '''trunk port''' → perangkat hanya mendapat native VLAN, sementara frame bertag VLAN lain ikut diteruskan. Gejalanya: "PC di ruangan ini dapat IP dari segmen yang salah."

== Lab ==

=== Topologi ===
<pre>
                 [NAT]
                   │
                 ether1 (WAN, DHCP client)
                   │
                 [CHR]
                 ether2
                   ║  trunk (VLAN 10 + 20)
                   ║
               [Switch1]
           port1  port2  port3
          VLAN10 VLAN10 VLAN20
            │      │      │
         Staff1 Staff2  Tamu

  vlan10 → 172.16.10.1/24  (staff)
  vlan20 → 172.16.20.1/24  (tamu)
</pre>

'''Konvensi alamat''': range privat <code>172.16.0.0/12</code>, dengan oktet ketiga = VLAN ID (VLAN 10 → <code>172.16.10.0/24</code>). Memudahkan saat VLAN sudah puluhan.

=== 1. Persiapan host dan project ===
<syntaxhighlight lang="bash">
sudo virsh net-start default 2>/dev/null
sudo iptables -I DOCKER-USER -i virbr0 -j ACCEPT
sudo iptables -I DOCKER-USER -o virbr0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
</syntaxhighlight>
* GNS3: '''File → New blank project''' (contoh nama: <code>fase2-vlan</code>).
* Perangkat: NAT, MikroTik CHR, Ethernet switch, 3 VPCS (beri nama Staff1, Staff2, Tamu).

=== 2. Konfigurasi switch GNS3 ===
Nyalakan '''View → Show interface labels''' untuk melihat nomor port tiap kabel, lalu klik kanan switch → '''Configure'''.

Untuk setiap port: klik barisnya di daftar '''Ports''', isi '''VLAN''' dan '''Type''', lalu klik '''Add''' (menimpa setting port dengan nomor yang sama). Akhiri dengan '''Apply → OK'''. Kalau perubahan tidak tersimpan, stop switch dulu.

{| class="wikitable"
! Port !! Ke !! VLAN !! Type
|-
| 0 || CHR <code>ether2</code> || 1 || <code>dot1q</code>
|-
| 1 || Staff1 || 10 || <code>access</code>
|-
| 2 || Staff2 || 10 || <code>access</code>
|-
| 3 || Tamu || 20 || <code>access</code>
|}

<code>dot1q</code> = trunk 802.1Q. QinQ EtherType dibiarkan <code>0x8100</code> (hanya dipakai pada type <code>qinq</code>). Sesuaikan nomor port dengan label kabel.

=== 3. Setup dasar CHR ===
Di console:
<syntaxhighlight lang="text">
/system identity set name=router-vlan
/ip address print
</syntaxhighlight>
Catat IP WAN di <code>ether1</code>, connect Winbox, lalu:
* '''IP → Firewall → NAT''': <code>srcnat</code>, Out. Interface <code>ether1</code>, <code>masquerade</code>
* '''IP → DNS''': centang '''Allow Remote Requests'''
* Tes: <code>/ping 8.8.8.8 count=3</code>

=== 4. VLAN interface dan gateway ===
{| class="wikitable"
! Winbox !! Isian !! CLI
|-
| '''Interfaces → VLAN''' → New || <code>vlan10</code>, VLAN ID <code>10</code>, Interface <code>ether2</code> || <code>/interface vlan add name=vlan10 vlan-id=10 interface=ether2</code>
|-
| '''Interfaces → VLAN''' → New || <code>vlan20</code>, VLAN ID <code>20</code>, Interface <code>ether2</code> || <code>/interface vlan add name=vlan20 vlan-id=20 interface=ether2</code>
|-
| '''IP → Addresses''' → New || <code>172.16.10.1/24</code> di <code>vlan10</code>, comment <code>VLAN10-staff</code> || <code>/ip address add address=172.16.10.1/24 interface=vlan10 comment=VLAN10-staff</code>
|-
| '''IP → Addresses''' → New || <code>172.16.20.1/24</code> di <code>vlan20</code>, comment <code>VLAN20-tamu</code> || <code>/ip address add address=172.16.20.1/24 interface=vlan20 comment=VLAN20-tamu</code>
|}

<code>ether2</code> sendiri '''tidak diberi IP'''. Ia hanya kabel trunk, sedangkan kerja Layer 3 ada di <code>vlan10</code> dan <code>vlan20</code>. Sama seperti aturan bridge: IP di interface logis, bukan di port fisik.

=== 5. DHCP per VLAN ===
Setiap VLAN butuh '''pool, network, dan server sendiri''' karena subnetnya berbeda.

'''Lewat DHCP Setup''' (jalankan untuk <code>vlan10</code>, lalu <code>vlan20</code>): wizard membuat pool otomatis. Ubah '''Addresses to Give Out''' menjadi <code>.100–.200</code> agar <code>.2–.99</code> tetap kosong untuk perangkat statis.

'''Manual''':
{| class="wikitable"
! Bagian !! VLAN 10 !! VLAN 20
|-
| Pool || <code>172.16.10.100-172.16.10.200</code> || <code>172.16.20.100-172.16.20.200</code>
|-
| Network || <code>172.16.10.0/24</code>, gateway & DNS <code>172.16.10.1</code> || <code>172.16.20.0/24</code>, gateway & DNS <code>172.16.20.1</code>
|-
| Server || Interface <code>vlan10</code> || Interface <code>vlan20</code>
|}

'''Periksa''': pool di subnet yang benar, gateway/DNS = <code>.1</code>, server menempel di <code>vlan10</code>/<code>vlan20</code> (bukan <code>ether2</code>). Rule NAT tidak perlu diubah.

== Verifikasi ==
<syntaxhighlight lang="text">
ip dhcp
show ip
ping 8.8.8.8
trace <IP PC lain>
</syntaxhighlight>
* Staff1 dan Staff2 mendapat <code>172.16.10.x</code>, Tamu mendapat <code>172.16.20.x</code>.
* <code>trace</code> Staff1 → Staff2: langsung sampai (satu VLAN, di-switch).
* <code>trace</code> Staff1 → Tamu: lewat <code>172.16.10.1</code> (beda VLAN, di-route).

Ketiganya tersambung ke '''switch fisik yang sama''', tapi VLAN memisahkan mereka di Layer 2.

Kalau PC hanya menampilkan "DDD", periksa dulu kecocokan nomor port switch dengan label kabel.

== Latihan dan pembahasan ==

=== Soal 1: melihat tag ===
'''Soal''': capture Wireshark di kabel CHR ↔ Switch1 (trunk) dan Switch1 ↔ Staff1 (access), lalu ping dari Staff1. Di mana ada tag 802.1Q? VLAN ID-nya berapa?

'''Pembahasan'''
* '''Trunk''': ada baris <code>802.1Q Virtual LAN</code> dengan '''ID 10 dan ID 20'''. Meskipun ping hanya dari Staff1 (VLAN 10), traffic Tamu (ARP, DHCP renew) juga lewat kabel yang sama. Bukti satu trunk membawa banyak VLAN.
* '''Access''': tidak ada tag, frame polos.
* Alur: Staff1 mengirim frame polos → Switch1 menempelkan tag <code>ID: 10</code> → CHR membaca tag dan menyerahkan frame ke <code>vlan10</code>. Arah balik, switch melepas tag sebelum frame sampai ke Staff1.

=== Soal 2: menambah VLAN CCTV ===
'''Soal''': buat VLAN 30 (<code>172.16.30.0/24</code>) dengan PC4 sampai bisa internetan.

'''Pembahasan'''
{| class="wikitable"
! Di mana !! Perubahan
|-
| Router || '''Interfaces → VLAN''': <code>vlan30</code>, ID <code>30</code>, di <code>ether2</code>
|-
| Router || '''IP → Addresses''': <code>172.16.30.1/24</code> di <code>vlan30</code>
|-
| Router || DHCP: pool, network (gateway/DNS <code>172.16.30.1</code>), server di <code>vlan30</code>
|-
| Router || NAT: tidak perlu diubah
|-
| Switch || Port PC4: <code>access</code> VLAN <code>30</code>
|-
| Switch || Port trunk: tidak diubah (di GNS3)
|}

* '''Jangan lupa IP gateway''' di <code>vlan30</code>. DHCP Setup bisa berjalan tanpanya, tapi PC akan mendapat gateway yang tidak ada di router.
* '''Trunk di GNS3''' otomatis membawa semua VLAN. Di banyak switch sungguhan (termasuk MikroTik), trunk harus '''didaftarkan VLAN mana saja yang boleh lewat'''. Lupa menambahkan VLAN baru ke trunk = PC di VLAN itu "DDD" terus, padahal konfigurasi lain sudah benar.
* Beri comment <code>VLAN30-cctv</code> di semua objek terkait.

=== Soal 3: memindahkan VLAN tanpa menyentuh PC ===
'''Soal''': ubah port Tamu dari access VLAN 20 menjadi access VLAN 10, tanpa mengubah PC. Lalu <code>ip dhcp -x</code> dan <code>ip dhcp</code>.

'''Hasil''': Tamu mendapat <code>172.16.10.x</code>.

'''Pembahasan''': '''VLAN sebuah PC ditentukan oleh port switch tempat ia tersambung.''' PC tidak tahu dan tidak bisa memilih.
* '''Enak''': memindahkan karyawan ke segmen lain cukup mengubah port switch.
* '''Bahaya''': siapa pun yang mencolok laptop ke port staff langsung masuk jaringan staff. Keamanan port fisik penting. Solusi lanjutannya '''802.1X''' (perangkat harus login sebelum port dibuka), yaitu fitur di menu '''Dot1X''' RouterOS.

=== Soal 4: trunk yang salah ===
'''Soal''': ubah port trunk (port 0) dari <code>dot1q</code> menjadi <code>access</code> VLAN 10.

'''Hasil''': Staff1 dan Tamu sama-sama tidak bisa internetan, tapi dengan alasan berbeda.

<pre>
Normal (dot1q):     switch ══[tag 10][tag 20]══► CHR → vlan10 / vlan20 ✅
Salah (access 10):  switch ───[polos, VLAN 10 saja]──► CHR → ether2 (tanpa IP) ❌
                    VLAN 20 → tidak dikirim sama sekali ❌
</pre>

* '''Staff1''': switch mengirim traffic VLAN 10 ke CHR '''tanpa tag'''. <code>vlan10</code> hanya menerima frame bertag 10, sehingga frame polos jatuh ke <code>ether2</code> yang tidak punya IP. ARP ke gateway tidak pernah terjawab.
* '''Tamu''': port 0 sekarang hanya anggota VLAN 10, sehingga frame VLAN 20 tidak pernah dikirim keluar. Tamu terkurung di dalam switch.

'''Pelajaran''': kedua ujung trunk harus '''sepakat'''. Kalau satu sisi mengirim bertag dan sisi lain menunggu polos (atau sebaliknya), link terlihat menyala (lampu hijau, interface Running), tapi traffic tidak tersambung. Sering terjadi saat mengganti switch atau saat ada yang "merapikan" konfigurasi.

== Kesalahan umum ==
{| class="wikitable"
! Gejala !! Penyebab !! Solusi
|-
| PC "DDD" setelah setting VLAN || Nomor port switch tidak cocok dengan kabel || Cek '''Show interface labels'''
|-
| PC dapat IP tapi tidak bisa internetan || IP gateway belum dipasang di VLAN interface || '''IP → Addresses''' di <code>vlanXX</code>
|-
| PC di VLAN baru "DDD" padahal router benar || VLAN belum didaftarkan di trunk switch || Tambahkan VLAN ke daftar trunk
|-
| Link menyala tapi semua VLAN putus || Trunk tidak sepakat (tagged vs untagged) || Samakan konfigurasi kedua ujung
|-
| PC dapat IP dari segmen yang salah || Port switch salah VLAN, atau unmanaged switch di trunk port || Periksa port dan perangkat yang tersambung
|-
| Comment tidak sesuai isi || Typo saat membuat objek || Perbaiki, karena comment adalah dokumentasi
|}

== Ringkasan ==
* VLAN memecah satu switch menjadi beberapa segmen Layer 2 terpisah.
* Tag 802.1Q (4 byte, berisi VLAN ID) hanya ada di trunk. PC selalu mengirim frame polos.
* Access = satu VLAN untagged. Trunk = banyak VLAN tagged.
* Router-on-a-stick: satu trunk, satu VLAN interface + gateway per VLAN.
* VLAN ditentukan port switch, bukan PC.
* Kedua ujung trunk harus sepakat.