SanzSkuy at 07:38, 23 October 2026

2026-10-23T07:38:21Z

SanzSkuy: Created page with "Fase 1 dari roadmap: membangun '''"kantor mini"''', yaitu satu router MikroTik sebagai gateway, beberapa PC yang mendapat IP otomatis, dan semuanya bisa internetan. Konfigurasi dilakukan lewat '''Winbox 4''', dengan padanan CLI di setiap langkah. TOC == Tujuan == * Paham peran IP address, gateway, DHCP, DNS, dan NAT di jaringan kantor. * Paham beda '''switching''' (Layer 2) dan '''routing''' (Layer 3). * Bisa membaca kondisi router: siapa yang tersambung, dapat IP..."

2026-10-23T03:16:24Z

Created page with "Fase 1 dari roadmap: membangun '''"kantor mini"''', yaitu satu router MikroTik sebagai gateway, beberapa PC yang mendapat IP otomatis, dan semuanya bisa internetan. Konfigurasi dilakukan lewat '''Winbox 4''', dengan padanan CLI di setiap langkah. __TOC__ == Tujuan == * Paham peran IP address, gateway, DHCP, DNS, dan NAT di jaringan kantor. * Paham beda '''switching''' (Layer 2) dan '''routing''' (Layer 3). * Bisa membaca kondisi router: siapa yang tersambung, dapat IP..."

New page

Fase 1 dari roadmap: membangun '''"kantor mini"''', yaitu satu router MikroTik sebagai gateway, beberapa PC yang mendapat IP otomatis, dan semuanya bisa internetan. Konfigurasi dilakukan lewat '''Winbox 4''', dengan padanan CLI di setiap langkah.

__TOC__

== Tujuan ==
* Paham peran IP address, gateway, DHCP, DNS, dan NAT di jaringan kantor.
* Paham beda '''switching''' (Layer 2) dan '''routing''' (Layer 3).
* Bisa membaca kondisi router: siapa yang tersambung, dapat IP apa, lewat mana.

== Topologi ==
<pre>
[NAT]
│
ether1 (WAN, DHCP client)
192.168.122.212/24
│
[MikroTikCHR-1]
ether2 / \ ether3
192.168.10.1/24 192.168.11.1/24
│ │
[Switch1] [Switch2]
/ | \ / \
PC1 PC2 PC3 PC4 PC5
</pre>

* '''NAT node''' dari [[Belajar MikroTik Part 1|Part 1]] tetap di <code>ether1</code>.
* '''Ethernet switch''' dan '''VPCS''' adalah perangkat bawaan GNS3 (kategori Switches dan End devices).

'''Pengingat''': setelah reboot host, jalankan ulang aturan <code>DOCKER-USER</code> dari Part 1, kalau tidak traffic lab tidak bisa keluar ke internet.

== Konsep dasar ==

=== IP address, subnet, dan alamat spesial ===
<code>/24</code> berarti 24 bit pertama adalah bagian '''network''', 8 bit terakhir bagian '''host'''.

<pre>
192.168.10. | 00000000 → .0 semua bit host 0 = alamat network
192.168.10. | 00000001 → .1 host pertama
192.168.10. | 11111110 → .254 host terakhir
192.168.10. | 11111111 → .255 semua bit host 1 = broadcast
</pre>

{| class="wikitable"
! Alamat !! Fungsi !! Bisa dipakai perangkat?
|-
| <code>192.168.10.0</code> || Network address (identitas subnet) || Tidak
|-
| <code>192.168.10.1</code> – <code>.254</code> || Alamat host (254 host) || Ya
|-
| <code>192.168.10.255</code> || Broadcast (ke semua di subnet) || Tidak
|}

'''Kapan menulis <code>.1/24</code> dan kapan <code>.0/24</code>?'''
* '''IP → Addresses''' menjawab "IP gua apa?" → alamat host, misalnya <code>192.168.10.1/24</code>. Kolom Network dihitung otomatis.
* '''Route, DHCP Network, firewall''' menjawab "network yang mana?" → alamat network, misalnya <code>192.168.10.0/24</code>.

'''Range IP privat''' (tidak dikenal di internet): <code>10.0.0.0/8</code>, <code>172.16.0.0/12</code> (172.16–172.31), <code>192.168.0.0/16</code>.

=== Gateway ===
Gateway adalah "pintu keluar" PC. Tujuan di luar subnet sendiri dikirim ke gateway.

'''Aturan emas''': gateway '''harus berada di subnet yang sama''' dengan PC. Biasanya berupa IP router di interface tersebut. Gateway di <code>.1</code> hanya kebiasaan, bukan aturan.

=== ARP ===
Di dalam satu segmen, frame Ethernet dikirim berdasarkan '''MAC address''', bukan IP. '''ARP''' menerjemahkan '''IP → MAC''' di dalam satu segmen.

# '''Request (broadcast)''': "Siapa yang punya <code>192.168.10.1</code>? Kasih tahu <code>192.168.10.100</code>."
# '''Reply (unicast)''': "Itu gua, MAC gua <code>0C:B3:C6:FB:00:01</code>."
# Hasilnya disimpan di '''tabel ARP''' (cache) dan kedaluwarsa setelah beberapa waktu.

'''Poin penting''': saat PC ping <code>8.8.8.8</code>, yang di-ARP adalah '''gateway''', bukan <code>8.8.8.8</code>. Di setiap lompatan, '''IP tujuan tetap sama''', tapi '''MAC tujuan berganti'''. Inilah beda Layer 2 (antar tetangga) dan Layer 3 (ujung ke ujung).

Switch juga punya tabel MAC, tapi isinya "MAC ini ada di port mana". Switch tidak peduli IP.

=== DHCP ===
PC yang baru tersambung belum punya IP, gateway, maupun DNS. DHCP membagikannya secara otomatis lewat proses '''DORA''':
# '''Discover''': PC broadcast "ada DHCP server?"
# '''Offer''': server menawarkan IP + gateway + DNS
# '''Request''': PC menerima tawaran
# '''Ack''': server mengonfirmasi dan mencatat lease

Di RouterOS, DHCP dipecah menjadi tiga bagian:
{| class="wikitable"
! Bagian !! Menjawab !! Alasan dipisah
|-
| '''Pool''' || IP mana yang boleh dibagikan? || Pool dipakai ulang oleh fitur lain (VPN, PPPoE, Hotspot)
|-
| '''Network''' || Info apa yang diberikan (gateway, DNS)? || Satu server bisa melayani banyak subnet (lewat relay)
|-
| '''Server''' || Siapa yang melayani, di interface mana? || Mengikat semuanya ke satu segmen
|}

* '''Lease time''' (default 30 menit): lama IP "disewakan". PC memperpanjang sebelum habis, dan IP kembali ke pool kalau PC pergi.
* '''Kenapa pool mulai dari <code>.100</code>''': <code>.2–.99</code> disisakan untuk perangkat ber-IP tetap (server, printer, access point, CCTV).

'''Di mana DHCP server diletakkan?''' Broadcast DHCP '''tidak menyeberang router''', jadi DHCP server harus berada di segmen yang sama dengan client, atau memakai '''DHCP relay''' yang meneruskan permintaan ke server di network lain.

{| class="wikitable"
! Skenario !! Lokasi DHCP server
|-
| Rumah || Modem/router ISP
|-
| Kantor kecil-menengah || Router MikroTik, satu server per segmen/VLAN
|-
| Kantor besar || Server khusus (Windows Server, Kea, dnsmasq) + DHCP relay di router
|}

Di lab ini CHR berperan ganda: '''client''' di sisi WAN (dapat IP dari dnsmasq libvirt) dan '''server''' di sisi LAN.

'''Satu segmen = satu DHCP server.''' Dua server di segmen yang sama membuat PC bisa mendapat konfigurasi yang salah. Kasus klasiknya '''rogue DHCP''': router Wi-Fi rumahan yang dicolok ke jaringan kantor.

=== DNS ===
PC diarahkan ke router (<code>192.168.10.1</code>) sebagai DNS server. Router meneruskan pertanyaan ke '''Dynamic Servers''' (<code>192.168.122.1</code>, didapat dari DHCP di WAN) dan menyimpan jawabannya di cache.

* '''Allow Remote Requests''' harus dicentang, karena defaultnya DNS router hanya untuk dirinya sendiri.
* Keuntungan lewat router: cache, kontrol terpusat (nama lokal, blokir domain), dan ganti DNS upstream cukup di satu tempat.

=== NAT (masquerade) ===
IP privat tidak bisa dibalas oleh internet. '''Masquerade''' mengganti '''IP sumber''' paket yang keluar lewat WAN menjadi IP router, lalu mencatat pemetaannya di '''connection tracking''' supaya balasan bisa dikembalikan ke PC yang benar.

* '''Chain <code>srcnat</code>''': yang diubah alamat sumber, diproses setelah keputusan routing.
* '''Out. Interface <code>ether1</code>''': hanya traffic ke arah WAN yang di-NAT.
* '''<code>masquerade</code> vs <code>src-nat</code>''': masquerade otomatis memakai IP yang sedang menempel di interface, cocok untuk IP WAN dinamis. <code>src-nat</code> dipakai kalau IP publik statis.

'''Kenapa NAT ada di menu Firewall?''' Firewall RouterOS adalah mesin pemroses paket dengan beberapa tabel (Filter, NAT, Mangle, Raw), persis seperti <code>iptables</code> di Linux:
<syntaxhighlight lang="bash">
# padanan rule masquerade di Linux
iptables -t nat -A POSTROUTING -o ether1 -j MASQUERADE
</syntaxhighlight>

'''Fakta menarik''': <code>virbr0</code> + dnsmasq dari libvirt (Part 1) melakukan hal yang sama persis dengan router di lab ini: IP gateway, DHCP, DNS, dan masquerade. Lab ini juga '''double NAT''': paket di-masquerade CHR, lalu di-NAT lagi oleh <code>virbr0</code>. Banyak kantor sungguhan juga begini (router kantor di belakang modem ISP).

=== Perjalanan satu ping ===
<pre>
PC1 (192.168.10.100) ping 8.8.8.8
│ "bukan tetangga → kirim ke gateway" (ARP gateway → dapat MAC router)
▼
CHR ether2 ── routing: 0.0.0.0/0 via 192.168.122.1 ── keluar ether1
│ srcnat masquerade: src 192.168.10.100 → 192.168.122.212
▼
virbr0 (host) ── masquerade lagi: src → IP host
▼
Internet ── balasan kembali, setiap NAT membalik alamatnya ── PC1 ✅
</pre>

== Konfigurasi LAN pertama ==

=== Konek Winbox ===
Isi '''Connect To''' dengan IP WAN CHR (contoh <code>192.168.122.212</code>), login <code>admin</code>. Konek lewat MAC di tab '''Neighbors''' belum tentu berhasil melalui <code>virbr0</code>, jadi pakai IP.

=== Langkah-langkah ===
{| class="wikitable"
! # !! Winbox !! Isian !! CLI
|-
| 1 || '''IP → Addresses''' → New || Address <code>192.168.10.1/24</code>, Interface <code>ether2</code>, Comment <code>LAN</code> || <code>/ip address add address=192.168.10.1/24 interface=ether2 comment=LAN</code>
|-
| 2 || '''IP → Pool''' → New || Name <code>pool-lan</code>, Addresses <code>192.168.10.100-192.168.10.200</code> || <code>/ip pool add name=pool-lan ranges=192.168.10.100-192.168.10.200</code>
|-
| 3 || '''IP → DHCP Server''' → tab '''Networks''' → New || Address <code>192.168.10.0/24</code>, Gateway <code>192.168.10.1</code>, DNS <code>192.168.10.1</code> || <code>/ip dhcp-server network add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1</code>
|-
| 4 || '''IP → DHCP Server''' → tab '''DHCP''' → New || Name <code>dhcp-lan</code>, Interface <code>ether2</code>, Address Pool <code>pool-lan</code> || <code>/ip dhcp-server add name=dhcp-lan interface=ether2 address-pool=pool-lan disabled=no</code>
|-
| 5 || '''IP → DNS''' || Centang '''Allow Remote Requests''' || <code>/ip dns set allow-remote-requests=yes</code>
|-
| 6 || '''IP → Firewall''' → tab '''NAT''' → New || General: Chain <code>srcnat</code>, Out. Interface <code>ether1</code>; Action: <code>masquerade</code> || <code>/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade comment="NAT ke internet"</code>
|}

'''Catatan langkah 1''': entri <code>192.168.122.x</code> di <code>ether1</code> dengan flag '''D''' (Dynamic) adalah IP WAN dari DHCP client. Jangan dihapus. Router memang punya '''satu IP di setiap network''' yang ia sambungkan, dan network di interface berbeda '''tidak boleh tumpang tindih'''.

'''Peringatan keamanan''': CHR ini belum punya firewall filter, dan <code>allow-remote-requests=yes</code> membuat DNS router bisa ditanya dari sisi WAN. Aman di lab, tapi di router sungguhan harus diblok (Fase 3).

=== Trik Winbox ===
* Tombol '''DHCP Setup''' mengerjakan langkah 2–4 sekaligus. Pakai setelah paham cara manualnya.
* '''Terminal''' tersedia di dalam Winbox. Jalankan <code>/ip firewall nat export</code> untuk melihat padanan CLI dari apa yang diklik di GUI.
* '''Safe Mode''': kalau koneksi putus karena salah setting, perubahan otomatis dibatalkan. Biasakan menyalakannya.

== Verifikasi ==
Di VPCS:
<syntaxhighlight lang="text">
ip dhcp
show ip
ping 192.168.10.1
ping 8.8.8.8
ping google.com
trace 8.8.8.8
show arp
</syntaxhighlight>
<code>trace</code> menampilkan hop lewat <code>192.168.10.1</code> lalu <code>192.168.122.1</code>, jadi double NAT terlihat langsung.

=== Melihat perangkat yang tersambung ===
{| class="wikitable"
! Menu !! Menampilkan !! Keterbatasan
|-
| '''IP → DHCP Server → Leases''' || IP, MAC, hostname, status (<code>bound</code>) || Hanya perangkat yang memakai DHCP
|-
| '''IP → ARP''' || Perangkat yang baru-baru ini berkomunikasi, termasuk IP statis || Perangkat yang diam bisa tidak muncul
|-
| '''Bridge → Hosts''' || MAC per port fisik || Hanya untuk port anggota bridge
|-
| '''IP → Neighbors''' || Perangkat jaringan (MNDP/LLDP/CDP) || PC biasa umumnya tidak muncul
|-
| '''Tools → IP Scan''' || Scan aktif satu range || Harus dijalankan manual
|}

Kombinasi di kantor: '''Leases''' (perangkat siapa), '''ARP''' (siapa yang aktif), '''Bridge Hosts''' (colok di port mana).

Melihat paket ARP secara langsung: klik kanan kabel di GNS3 → '''Start capture''', lalu di PC jalankan <code>clear arp</code> dan <code>ping 192.168.10.1</code>.

== LAN kedua dan routing antar subnet ==

=== Konfigurasi ===
{| class="wikitable"
! Bagian !! Isian
|-
| IP → Addresses || <code>192.168.11.1/24</code> di <code>ether3</code> (beri comment, misalnya <code>LAN2</code>)
|-
| IP → Pool || <code>pool-lan2</code>: <code>192.168.11.100-192.168.11.200</code>
|-
| DHCP → Networks || <code>192.168.11.0/24</code>, gateway & DNS <code>192.168.11.1</code>
|-
| DHCP → DHCP || Server baru di <code>ether3</code> dengan <code>pool-lan2</code>
|-
| NAT || '''Tidak perlu diubah''': rule mencocokkan <code>out-interface=ether1</code>, jadi semua subnet yang keluar ke WAN otomatis di-masquerade
|}

=== Kenapa PC1 bisa ping PC4? ===
# PC1 melihat <code>192.168.11.x</code> bukan tetangga → kirim ke gateway <code>192.168.10.1</code>.
# Router sudah mengenal kedua network sebagai '''connected route''' (lihat '''IP → Routes'''):
<pre>
DAC 192.168.10.0/24 → ether2
DAC 192.168.11.0/24 → ether3
DAd 0.0.0.0/0 → 192.168.122.1 (dari DHCP client)
</pre>
:<code>D</code> = dynamic, <code>A</code> = active, <code>C</code> = connected.
# Router meng-ARP PC4 di sisi <code>ether3</code> lalu meneruskan paket.
# '''Tidak kena NAT''', karena traffic keluar lewat <code>ether3</code>, bukan <code>ether1</code>. PC4 melihat IP asli PC1.
# '''Tidak ada yang memblokir''', karena belum ada firewall filter.

=== Switching vs routing ===
{| class="wikitable"
! Tes !! Hasil <code>trace</code> !! Yang bekerja
|-
| PC1 → PC2 (satu switch) || Langsung sampai || '''Switch''' (Layer 2). Router tidak terlibat.
|-
| PC1 → PC4 (beda subnet) || Satu hop lewat <code>192.168.10.1</code> || '''Router''' (Layer 3)
|}

'''Implikasi di kantor''': memisahkan subnet '''tidak sama dengan isolasi'''. Secara default router menyambungkan semua subnet. Untuk memisahkan misalnya Wi-Fi tamu atau CCTV dari jaringan karyawan, dibutuhkan '''firewall filter di chain <code>forward</code>''' (Fase 3).

== Kesalahan umum ==
{| class="wikitable"
! Gejala !! Penyebab !! Solusi
|-
| PC dapat IP tapi tidak bisa internetan setelah ganti subnet || Gateway/DNS di DHCP Network masih memakai alamat subnet lama. PC tidak bisa meng-ARP gateway yang bukan tetangganya. || Gateway & DNS = IP router di subnet baru
|-
| Router punya dua IP di satu interface setelah ganti subnet || Menambah entri baru tanpa menghapus yang lama || Edit entri yang ada (double-click)
|-
| PC masih memakai IP lama || Lease lama belum diperbarui || Jalankan <code>ip dhcp</code> lagi di VPCS
|-
| Satu segmen mendadak dapat gateway aneh || Rogue DHCP (dua DHCP server di satu segmen) || Cari dan cabut DHCP server liar
|-
| Router bingung meneruskan paket || Dua interface memakai subnet yang tumpang tindih || Pakai subnet berbeda di setiap interface
|-
| <code>failure: dhcp-client on that interface already exists</code> || Appliance CHR sudah membawa DHCP client di <code>ether1</code> || Normal, abaikan
|-
| Parameter ditolak || <code>disable=no</code> || Yang benar <code>disabled=no</code>
|}

== Latihan ==
# '''Pindah subnet''': ubah LAN pertama menjadi <code>10.10.10.0/24</code> (gateway <code>.1</code>, pool <code>.50–.99</code>). Ada empat isian yang harus ikut berubah. Apakah rule NAT perlu diubah?
# '''Static lease''': buat PC1 selalu mendapat <code>192.168.10.10</code>, sementara PC lain tetap acak dari pool.
#* Bolehkah static lease memakai IP di luar pool? Kenapa justru bisa jadi ide bagus?
#* Bagaimana membuat PC1 memakai IP barunya?
#* Apa yang bisa terjadi kalau static lease memakai IP di dalam pool yang sedang dipakai PC lain?
# '''Sengaja dirusak''': disable rule NAT. Tebak dulu: <code>/ping 8.8.8.8</code> dari router masih jalan? Dari PC1? Tes, lalu jelaskan kenapa hasilnya berbeda.

== Selanjutnya ==
Part 3: bridge dan VLAN, yaitu cara satu router melayani banyak segmen lewat satu kabel.

== Referensi ==
* [https://help.mikrotik.com/docs/spaces/ROS/pages/24805500/DHCP MikroTik Docs: DHCP]
* [https://help.mikrotik.com/docs/spaces/ROS/pages/37748767/DNS MikroTik Docs: DNS]
* [https://help.mikrotik.com/docs/spaces/ROS/pages/3211299/NAT MikroTik Docs: NAT]
* [https://help.mikrotik.com/docs/spaces/ROS/pages/328088/IP+Addressing MikroTik Docs: IP Addressing]

[[Category:Networking]]

Mikrotik 2: Kantor Mini - Revision history

SanzSkuy at 07:38, 23 October 2026