Mikrotik 2: Kantor Mini

Fase 1 dari roadmap: membangun "kantor mini", yaitu satu router MikroTik sebagai gateway, beberapa PC yang mendapat IP otomatis, dan semuanya bisa internetan. Konfigurasi dilakukan lewat Winbox 4, dengan padanan CLI di setiap langkah.

Tujuan

Paham peran IP address, gateway, DHCP, DNS, dan NAT di jaringan kantor.
Paham beda switching (Layer 2) dan routing (Layer 3).
Bisa membaca kondisi router: siapa yang tersambung, dapat IP apa, lewat mana.

Topologi

                    [NAT]
                      │
                 ether1 (WAN, DHCP client)
                 192.168.122.212/24
                      │
               [MikroTikCHR-1]
            ether2 /       \ ether3
     192.168.10.1/24     192.168.11.1/24
           │                   │
       [Switch1]           [Switch2]
      /    |    \            /    \
   PC1   PC2   PC3        PC4    PC5

NAT node dari Part 1 tetap di ether1.
Ethernet switch dan VPCS adalah perangkat bawaan GNS3 (kategori Switches dan End devices).

Pengingat: setelah reboot host, jalankan ulang aturan DOCKER-USER dari Part 1, kalau tidak traffic lab tidak bisa keluar ke internet.

Konsep dasar

IP address, subnet, dan alamat spesial

/24 berarti 24 bit pertama adalah bagian network, 8 bit terakhir bagian host.

192.168.10. | 00000000  → .0    semua bit host 0 = alamat network
192.168.10. | 00000001  → .1    host pertama
192.168.10. | 11111110  → .254  host terakhir
192.168.10. | 11111111  → .255  semua bit host 1 = broadcast

Alamat	Fungsi	Bisa dipakai perangkat?
`192.168.10.0`	Network address (identitas subnet)	Tidak
`192.168.10.1` – `.254`	Alamat host (254 host)	Ya
`192.168.10.255`	Broadcast (ke semua di subnet)	Tidak

Kapan menulis .1/24 dan kapan .0/24?

IP → Addresses menjawab "IP gua apa?" → alamat host, misalnya 192.168.10.1/24. Kolom Network dihitung otomatis.
Route, DHCP Network, firewall menjawab "network yang mana?" → alamat network, misalnya 192.168.10.0/24.

Range IP privat (tidak dikenal di internet): 10.0.0.0/8, 172.16.0.0/12 (172.16–172.31), 192.168.0.0/16.

Gateway

Gateway adalah "pintu keluar" PC. Tujuan di luar subnet sendiri dikirim ke gateway.

Aturan emas: gateway harus berada di subnet yang sama dengan PC. Biasanya berupa IP router di interface tersebut. Gateway di .1 hanya kebiasaan, bukan aturan.

ARP

Di dalam satu segmen, frame Ethernet dikirim berdasarkan MAC address, bukan IP. ARP menerjemahkan IP → MAC di dalam satu segmen.

Request (broadcast): "Siapa yang punya 192.168.10.1? Kasih tahu 192.168.10.100."
Reply (unicast): "Itu gua, MAC gua 0C:B3:C6:FB:00:01."
Hasilnya disimpan di tabel ARP (cache) dan kedaluwarsa setelah beberapa waktu.

Poin penting: saat PC ping 8.8.8.8, yang di-ARP adalah gateway, bukan 8.8.8.8. Di setiap lompatan, IP tujuan tetap sama, tapi MAC tujuan berganti. Inilah beda Layer 2 (antar tetangga) dan Layer 3 (ujung ke ujung).

Switch juga punya tabel MAC, tapi isinya "MAC ini ada di port mana". Switch tidak peduli IP.

DHCP

PC yang baru tersambung belum punya IP, gateway, maupun DNS. DHCP membagikannya secara otomatis lewat proses DORA:

Discover: PC broadcast "ada DHCP server?"
Offer: server menawarkan IP + gateway + DNS
Request: PC menerima tawaran
Ack: server mengonfirmasi dan mencatat lease

Di RouterOS, DHCP dipecah menjadi tiga bagian:

Bagian	Menjawab	Alasan dipisah
Pool	IP mana yang boleh dibagikan?	Pool dipakai ulang oleh fitur lain (VPN, PPPoE, Hotspot)
Network	Info apa yang diberikan (gateway, DNS)?	Satu server bisa melayani banyak subnet (lewat relay)
Server	Siapa yang melayani, di interface mana?	Mengikat semuanya ke satu segmen

Lease time (default 30 menit): lama IP "disewakan". PC memperpanjang sebelum habis, dan IP kembali ke pool kalau PC pergi.
Kenapa pool mulai dari .100: .2–.99 disisakan untuk perangkat ber-IP tetap (server, printer, access point, CCTV).

Di mana DHCP server diletakkan? Broadcast DHCP tidak menyeberang router, jadi DHCP server harus berada di segmen yang sama dengan client, atau memakai DHCP relay yang meneruskan permintaan ke server di network lain.

Skenario	Lokasi DHCP server
Rumah	Modem/router ISP
Kantor kecil-menengah	Router MikroTik, satu server per segmen/VLAN
Kantor besar	Server khusus (Windows Server, Kea, dnsmasq) + DHCP relay di router

Di lab ini CHR berperan ganda: client di sisi WAN (dapat IP dari dnsmasq libvirt) dan server di sisi LAN.

Satu segmen = satu DHCP server. Dua server di segmen yang sama membuat PC bisa mendapat konfigurasi yang salah. Kasus klasiknya rogue DHCP: router Wi-Fi rumahan yang dicolok ke jaringan kantor.

DNS

PC diarahkan ke router (192.168.10.1) sebagai DNS server. Router meneruskan pertanyaan ke Dynamic Servers (192.168.122.1, didapat dari DHCP di WAN) dan menyimpan jawabannya di cache.

Allow Remote Requests harus dicentang, karena defaultnya DNS router hanya untuk dirinya sendiri.
Keuntungan lewat router: cache, kontrol terpusat (nama lokal, blokir domain), dan ganti DNS upstream cukup di satu tempat.

NAT (masquerade)

IP privat tidak bisa dibalas oleh internet. Masquerade mengganti IP sumber paket yang keluar lewat WAN menjadi IP router, lalu mencatat pemetaannya di connection tracking supaya balasan bisa dikembalikan ke PC yang benar.

Chain srcnat: yang diubah alamat sumber, diproses setelah keputusan routing.
Out. Interface ether1: hanya traffic ke arah WAN yang di-NAT.
masquerade vs src-nat: masquerade otomatis memakai IP yang sedang menempel di interface, cocok untuk IP WAN dinamis. src-nat dipakai kalau IP publik statis.

Kenapa NAT ada di menu Firewall? Firewall RouterOS adalah mesin pemroses paket dengan beberapa tabel (Filter, NAT, Mangle, Raw), persis seperti iptables di Linux:

# padanan rule masquerade di Linux
iptables -t nat -A POSTROUTING -o ether1 -j MASQUERADE

Fakta menarik: virbr0 + dnsmasq dari libvirt (Part 1) melakukan hal yang sama persis dengan router di lab ini: IP gateway, DHCP, DNS, dan masquerade. Lab ini juga double NAT: paket di-masquerade CHR, lalu di-NAT lagi oleh virbr0. Banyak kantor sungguhan juga begini (router kantor di belakang modem ISP).

Perjalanan satu ping

PC1 (192.168.10.100) ping 8.8.8.8
 │ "bukan tetangga → kirim ke gateway"  (ARP gateway → dapat MAC router)
 ▼
CHR ether2 ── routing: 0.0.0.0/0 via 192.168.122.1 ── keluar ether1
 │ srcnat masquerade: src 192.168.10.100 → 192.168.122.212
 ▼
virbr0 (host) ── masquerade lagi: src → IP host
 ▼
Internet ── balasan kembali, setiap NAT membalik alamatnya ── PC1 ✅

Konfigurasi LAN pertama

Konek Winbox

Isi Connect To dengan IP WAN CHR (contoh 192.168.122.212), login admin. Konek lewat MAC di tab Neighbors belum tentu berhasil melalui virbr0, jadi pakai IP.

Langkah-langkah

#	Winbox	Isian	CLI
1	IP → Addresses → New	Address `192.168.10.1/24`, Interface `ether2`, Comment `LAN`	`/ip address add address=192.168.10.1/24 interface=ether2 comment=LAN`
2	IP → Pool → New	Name `pool-lan`, Addresses `192.168.10.100-192.168.10.200`	`/ip pool add name=pool-lan ranges=192.168.10.100-192.168.10.200`
3	IP → DHCP Server → tab Networks → New	Address `192.168.10.0/24`, Gateway `192.168.10.1`, DNS `192.168.10.1`	`/ip dhcp-server network add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1`
4	IP → DHCP Server → tab DHCP → New	Name `dhcp-lan`, Interface `ether2`, Address Pool `pool-lan`	`/ip dhcp-server add name=dhcp-lan interface=ether2 address-pool=pool-lan disabled=no`
5	IP → DNS	Centang Allow Remote Requests	`/ip dns set allow-remote-requests=yes`
6	IP → Firewall → tab NAT → New	General: Chain `srcnat`, Out. Interface `ether1`; Action: `masquerade`	`/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade comment="NAT ke internet"`

Catatan langkah 1: entri 192.168.122.x di ether1 dengan flag D (Dynamic) adalah IP WAN dari DHCP client. Jangan dihapus. Router memang punya satu IP di setiap network yang ia sambungkan, dan network di interface berbeda tidak boleh tumpang tindih.

Peringatan keamanan: CHR ini belum punya firewall filter, dan allow-remote-requests=yes membuat DNS router bisa ditanya dari sisi WAN. Aman di lab, tapi di router sungguhan harus diblok (Fase 3).

Trik Winbox

Tombol DHCP Setup mengerjakan langkah 2–4 sekaligus. Pakai setelah paham cara manualnya.
Terminal tersedia di dalam Winbox. Jalankan /ip firewall nat export untuk melihat padanan CLI dari apa yang diklik di GUI.
Safe Mode: kalau koneksi putus karena salah setting, perubahan otomatis dibatalkan. Biasakan menyalakannya.

Verifikasi

Di VPCS:

ip dhcp
show ip
ping 192.168.10.1
ping 8.8.8.8
ping google.com
trace 8.8.8.8
show arp

trace menampilkan hop lewat 192.168.10.1 lalu 192.168.122.1, jadi double NAT terlihat langsung.

Melihat perangkat yang tersambung

Menu	Menampilkan	Keterbatasan
IP → DHCP Server → Leases	IP, MAC, hostname, status (`bound`)	Hanya perangkat yang memakai DHCP
IP → ARP	Perangkat yang baru-baru ini berkomunikasi, termasuk IP statis	Perangkat yang diam bisa tidak muncul
Bridge → Hosts	MAC per port fisik	Hanya untuk port anggota bridge
IP → Neighbors	Perangkat jaringan (MNDP/LLDP/CDP)	PC biasa umumnya tidak muncul
Tools → IP Scan	Scan aktif satu range	Harus dijalankan manual

Kombinasi di kantor: Leases (perangkat siapa), ARP (siapa yang aktif), Bridge Hosts (colok di port mana).

Melihat paket ARP secara langsung: klik kanan kabel di GNS3 → Start capture, lalu di PC jalankan clear arp dan ping 192.168.10.1.

LAN kedua dan routing antar subnet

Konfigurasi

Bagian	Isian
IP → Addresses	`192.168.11.1/24` di `ether3` (beri comment, misalnya `LAN2`)
IP → Pool	`pool-lan2`: `192.168.11.100-192.168.11.200`
DHCP → Networks	`192.168.11.0/24`, gateway & DNS `192.168.11.1`
DHCP → DHCP	Server baru di `ether3` dengan `pool-lan2`
NAT	Tidak perlu diubah: rule mencocokkan `out-interface=ether1`, jadi semua subnet yang keluar ke WAN otomatis di-masquerade

Kenapa PC1 bisa ping PC4?

PC1 melihat 192.168.11.x bukan tetangga → kirim ke gateway 192.168.10.1.
Router sudah mengenal kedua network sebagai connected route (lihat IP → Routes):

DAC  192.168.10.0/24   → ether2
DAC  192.168.11.0/24   → ether3
DAd  0.0.0.0/0         → 192.168.122.1  (dari DHCP client)

D = dynamic, A = active, C = connected.

Router meng-ARP PC4 di sisi ether3 lalu meneruskan paket.
Tidak kena NAT, karena traffic keluar lewat ether3, bukan ether1. PC4 melihat IP asli PC1.
Tidak ada yang memblokir, karena belum ada firewall filter.

Switching vs routing

Tes	Hasil `trace`	Yang bekerja
PC1 → PC2 (satu switch)	Langsung sampai	Switch (Layer 2). Router tidak terlibat.
PC1 → PC4 (beda subnet)	Satu hop lewat `192.168.10.1`	Router (Layer 3)

Implikasi di kantor: memisahkan subnet tidak sama dengan isolasi. Secara default router menyambungkan semua subnet. Untuk memisahkan misalnya Wi-Fi tamu atau CCTV dari jaringan karyawan, dibutuhkan firewall filter di chain forward (Fase 3).

Kesalahan umum

Gejala	Penyebab	Solusi
PC dapat IP tapi tidak bisa internetan setelah ganti subnet	Gateway/DNS di DHCP Network masih memakai alamat subnet lama. PC tidak bisa meng-ARP gateway yang bukan tetangganya.	Gateway & DNS = IP router di subnet baru
Router punya dua IP di satu interface setelah ganti subnet	Menambah entri baru tanpa menghapus yang lama	Edit entri yang ada (double-click)
PC masih memakai IP lama	Lease lama belum diperbarui	Jalankan `ip dhcp` lagi di VPCS
Satu segmen mendadak dapat gateway aneh	Rogue DHCP (dua DHCP server di satu segmen)	Cari dan cabut DHCP server liar
Router bingung meneruskan paket	Dua interface memakai subnet yang tumpang tindih	Pakai subnet berbeda di setiap interface
`failure: dhcp-client on that interface already exists`	Appliance CHR sudah membawa DHCP client di `ether1`	Normal, abaikan
Parameter ditolak	`disable=no`	Yang benar `disabled=no`

Latihan

Pindah subnet: ubah LAN pertama menjadi 10.10.10.0/24 (gateway .1, pool .50–.99). Ada empat isian yang harus ikut berubah. Apakah rule NAT perlu diubah?
Static lease: buat PC1 selalu mendapat 192.168.10.10, sementara PC lain tetap acak dari pool.
- Bolehkah static lease memakai IP di luar pool? Kenapa justru bisa jadi ide bagus?
- Bagaimana membuat PC1 memakai IP barunya?
- Apa yang bisa terjadi kalau static lease memakai IP di dalam pool yang sedang dipakai PC lain?
Sengaja dirusak: disable rule NAT. Tebak dulu: /ping 8.8.8.8 dari router masih jalan? Dari PC1? Tes, lalu jelaskan kenapa hasilnya berbeda.

Selanjutnya

Part 3: bridge dan VLAN, yaitu cara satu router melayani banyak segmen lewat satu kabel.

Referensi