Cara Memproteksi Mikrotik dari Serangan Hacker dengan Port Knocking

Proteksi dan keamanan pada router Mikrotik sangatlah penting untuk menjaga kelangsungan jaringan komputer kita. Terutama untuk menjaga router Mikrotik dari serangan hacker dan orang yang tidak bertanggunga jawab. Salah satu cara untuk memproteksi Mikrotik dari Serangan Hacker yaitu dengan menggunakan Port Knocking.

Port Knocking adalah salah satu cara untuk memproteksi router mikrotik dari hacking ataupun brute force dengan melakukan blocking pada Telnet, Mac Telnet, SSH ataupun Winbox, dan hanya membuka akses tersebut hanya untuk administrator saja. Dengan cara ini network administrator dapat melakukan perubahan setting di router secara lebih aman.

Caranya adalah dengan memblok port Telnet, Mac Telnet, SSH ataupun Winbox dan ketika admin ingin melakukan konfigurasi di mikrotik maka harus mengirimkan paket ICMP / ping dan juga port 80 / mengakses IP router di browser agar port tersebut dibuka. Jadi kita akan Mencegah Serangan Hacker dengan Firewall Mikrotik.

Berikut adalah Langkah-langkah Cara Memproteksi Mikrotik dari Serangan Hacker dengan Port Knocking :

1. Login ke Mikrotik via Winbox. Masuk ke Menu IP --> Firewall --> pada tab Filter --> Add (+) rule.

2. Pada tab General :
- Chain : input
- Protocol : icmp

3. Pada tab Action :
- Action : add src to address list
- Address List : ICMP
- Timeout : 00:01:00 (1 menit)
- Apply --> OK

4. Rule diatas berfungsi agar setiap orang yang mengirimkan paket ICMP untuk request buka port hanya valid selama 1 menit, dan nantinya IP tersebut akan masuk ke dalam Address List di Firewall mikrotik.

5. Kita tambahkan juga rule agar router meminta Anda untuk mengirimkan request dengan menggunakan port 80 atau mengakses ip router di web.

6. Tambahkan rule kedua. Pada tab General :
- Chain : input
- Protocol : tcp
- Dst. Port : 80

7. Pada tab Advanced :
- Src. Address List : ICMP

8. Pada tab Action :
- Action : add src to address list
- Address List : ICMP + HTTP
- Timeout : 00:01:00

9. Sekarang kita tambahkan rule ketiga agar Mikrotik dapat mengenali IP admin yang mengirimkan request ICMP dan mengirimkan Web request yang berfungsi untuk membuka port SSH, Telnet dan Winbox.

10. Pada tab General :
- Chain : input
- Protocol : tcp
- Dst. Port : 80,22,8291

11. Pada tab Advanced :
- Src. Address List : ! ICMP + HTTP (Jangan lupa klik kotak sampai muncul tanda "!")

12. Pada tab Action
- Action : drop

13.  Setelah semua rule tersebut dibuat, susunan rule nya adalah seperti ini :

14. Sekarang kita coba uji rule Port Knocking ini. Close Winbox --> Buka Putty (SSH) --> Login ke Mikrotik via Putty. Coba juga login lagi via Winbox. Hasilnya kita tidak bisa login.

15. Agar kita bisa login, buka CMD --> ke IP address Mikrotik --> Buka web Browser --> akses IP Mikrotik melalui web browser.

16. Sekarang kita coba lagi login via Winbox maupun Putty (SSH). Hasilnya kita bisa login. Coba cek ke address list (IP --> Firewall --> tab Address List). IP kita akan terekam di address list selama 1 menit.

17. PERHATIAN INI PENTING!!! Karena IP address kita hanya terekam selama 1 menit saja di address list, maka agar kita bisa tetap login di Mikrotik, rule terakhir harus di disable dulu. Jika tidak, maka setelah 1 menit winbox akan disconnect.

18. Setelah kita selesai mengkonfigurasi Mikrotik, sebelum log off Winbox jangan lupa kita aktifkan (enable) lagi rule ketiga agar proteksi Port Knocking dapat berjalan kembali.

Demikian Tutorial Mikrotik Indonesia tentang Cara Memproteksi Mikrotik dari Serangan Hacker dengan Port Knocking. Silakan dicoba dan diterapkan di Mikrotik masing-masing untuk mencegah Hacking Mikrotik.

Sumber :
http://mediabisnisonline.com/lindungi-router-mikrotik-anda-dari-hacker-dengan-port-knocking/

Read More

Memblokir Port Virus di Mikrotik Menggunakan Firewall

Penyebaran virus dan malware di jaringan dapat terjadi jika kita tidak selektif dalam mengaktifkan port apa saja yang digunakan. Untuk mengamankan jaringan dari penyebaran virus dan malware, kita dapat menutup port komunikasi yang tidak digunakan dan rentan dimanfaatkan oleh virus. Caranya dengan menggunakan rule firewall Mikrotik untuk men-drop paket yang masuk ke port yang tidak digunakan.

Caranya sangat mudah, silakan anda copy paste command berikut ini ke terminal Mikrotik :

/ ip firewall filter
add chain=virus protocol=tcp dst-port=135-139 action=drop comment="Blaster Worm"
add chain=virus protocol=udp dst-port=135-139 action=drop comment="Messenger Worm"
add chain=virus protocol=tcp dst-port=445 action=drop comment="Blaster Worm"
add chain=virus protocol=udp dst-port=445 action=drop comment="Blaster Worm"
add chain=virus protocol=tcp dst-port=593 action=drop comment="________"
add chain=virus protocol=tcp dst-port=1024-1030 action=drop comment="________"
add chain=virus protocol=tcp dst-port=1080 action=drop comment="Drop MyDoom"
add chain=virus protocol=tcp dst-port=1214 action=drop comment="________"
add chain=virus protocol=tcp dst-port=1363 action=drop comment="ndm requester"
add chain=virus protocol=tcp dst-port=1364 action=drop comment="ndm server"
add chain=virus protocol=tcp dst-port=1368 action=drop comment="screen cast"
add chain=virus protocol=tcp dst-port=1373 action=drop comment="hromgrafx"
add chain=virus protocol=tcp dst-port=1377 action=drop comment="cichlid"

add chain=virus protocol=tcp dst-port=2745 action=drop comment="Bagle Virus"
add chain=virus protocol=tcp dst-port=2283 action=drop comment="Dumaru.Y"
add chain=virus protocol=tcp dst-port=2535 action=drop comment="Beagle"
add chain=virus protocol=tcp dst-port=2745 action=drop comment="Beagle.C-K"
add chain=virus protocol=tcp dst-port=3127-3128 action=drop comment="MyDoom"
add chain=virus protocol=tcp dst-port=3410 action=drop comment="Backdoor OptixPro"
add chain=virus protocol=tcp dst-port=4444 action=drop comment="Worm"
add chain=virus protocol=udp dst-port=4444 action=drop comment="Worm"
add chain=virus protocol=tcp dst-port=5554 action=drop comment="Drop Sasser"
add chain=virus protocol=tcp dst-port=8866 action=drop comment="Drop Beagle.B"
add chain=virus protocol=tcp dst-port=9898 action=drop comment="Drop Dabber.A-B"
add chain=virus protocol=tcp dst-port=10000 action=drop comment="Drop Dumaru.Y"
add chain=virus protocol=tcp dst-port=10080 action=drop comment="Drop MyDoom.B"
add chain=virus protocol=tcp dst-port=12345 action=drop comment="Drop NetBus"
add chain=virus protocol=tcp dst-port=17300 action=drop comment="Drop Kuang2"
add chain=virus protocol=tcp dst-port=27374 action=drop comment="Drop SubSeven"
add chain=virus protocol=tcp dst-port=65506 action=drop comment="Drop PhatBot,Agobot, Gaobot"
add chain=virus protocol=udp dst-port=12667 action=drop comment="Trinoo" disabled=no
add chain=virus protocol=udp dst-port=27665 action=drop comment="Trinoo" disabled=no
add chain=virus protocol=udp dst-port=31335 action=drop comment="Trinoo" disabled=no
add chain=virus protocol=udp dst-port=27444 action=drop comment="Trinoo" disabled=no
add chain=virus protocol=udp dst-port=34555 action=drop comment="Trinoo" disabled=no
add chain=virus protocol=udp dst-port=35555 action=drop comment="Trinoo" disabled=no
add chain=virus protocol=tcp dst-port=27444 action=drop comment="Trinoo" disabled=no
add chain=virus protocol=tcp dst-port=27665 action=drop comment="Trinoo" disabled=no
add chain=virus protocol=tcp dst-port=31335 action=drop comment="Trinoo" disabled=no
add chain=virus protocol=tcp dst-port=31846 action=drop comment="Trinoo" disabled=no
add chain=virus protocol=tcp dst-port=34555 action=drop comment="Trinoo" disabled=no
add chain=virus protocol=tcp dst-port=35555 action=drop comment="Trinoo" disabled=no
add action=drop chain=forward comment=";;Block W32.Kido - Conficker" disabled=no protocol=udp src-port=135-139,445
add action=drop chain=forward comment="" disabled=no dst-port=135-139,445 protocol=udp
add action=drop chain=forward comment="" disabled=no protocol=tcp src-port=135-139,445,593
add action=drop chain=forward comment="" disabled=no dst-port=135-139,445,593 protocol=tcp
add action=accept chain=input comment="Allow limited pings" disabled=no limit=50/5s,2 protocol=icmp
add action=accept chain=input comment="" disabled=no limit=50/5s,2 protocol=icmp
add action=drop chain=input comment="drop FTP Brute Forcers" disabled=no dst-port=21 protocol=tcp src-address-list=FTP_BlackList
add action=drop chain=input comment="" disabled=no dst-port=21 protocol=tcp src-address-list=FTP_BlackList
add action=accept chain=output comment="" content="530 Login incorrect" disabled=no dst-limit=1/1m,9,dst-address/1m protocol=tcp
add action=add-dst-to-address-list address-list=FTP_BlackList address-list-timeout=1d chain=output comment="" content="530 Login incorrect" disabled=no protocol=tcp
add action=drop chain=input comment="drop SSH&TELNET Brute Forcers" disabled=no dst-port=22-23 protocol=tcp src-address-list=IP_BlackList
add action=add-src-to-address-list address-list=IP_BlackList address-list-timeout=1d chain=input comment="" connection-state=new disabled=no dst-port=22-23 protocol=tcp src-address-list=SSH_BlackList_3
add action=add-src-to-address-list address-list=SSH_BlackList_3 address-list-timeout=1m chain=input comment="" connection-state=new disabled=no dst-port=22-23 protocol=tcp src-address-list=SSH_BlackList_2
add action=add-src-to-address-list address-list=SSH_BlackList_2 address-list-timeout=1m chain=input comment="" connection-state=new disabled=no dst-port=22-23 protocol=tcp src-address-list=SSH_BlackList_1
add action=add-src-to-address-list address-list=SSH_BlackList_1 address-list-timeout=1m chain=input comment="" connection-state=new disabled=no dst-port=22-23 protocol=tcp
add action=drop chain=input comment="drop port scanners" disabled=no src-address-list=port_scanners
add action=add-src-to-address-list address-list=port_scanners address-list-timeout=2w chain=input comment="" disabled=no protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list=port_scanners address-list-timeout=2w chain=input comment="" disabled=no protocol=tcp tcp-flags=fin,syn
add action=add-src-to-address-list address-list=port_scanners address-list-timeout=2w chain=input comment="" disabled=no protocol=tcp tcp-flags=syn,rst
add action=add-src-to-address-list address-list=port_scanners address-list-timeout=2w chain=input comment="" disabled=no protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list=port_scanners address-list-timeout=2w chain=input comment="" disabled=no protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg
add action=add-src-to-address-list address-list=port_scanners address-list-timeout=2w chain=input comment="" disabled=no protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg

Hasilnya akan jadi seperti ini :

Nah, sekarang kita sudah berhasil Memblokir Port Virus Menggunakan Firewall di Mikrotik.
Semoga bermanfaat :)

Read More

Cara Mencegah Client Mengganti DNS secara Manual

Bagaimana cara mencegah client mengganti DNS manual misal ke 8.8.8.8? Pertanyaan ini ada pada artikel sebelumnya yakni : Cara Mudah Memblokir Situs-situs Dewasa dengan DNS di Mikrotik. Nah pada artikel kali ini saya akan coba menjawab nya dan memberikan solusi mencegah client mengganti DNS secara manual menggunakan Mikrotik.

Sebenarnya lebih tepat kalau kita sebut "Memaksa" Client menggunakan DNS Mikrotik. Karena siapapun bisa saja merubah setingan DNS di PC nya masing-masing. Nah, hal yang akan kita lakukan ini adalah memaksa client tersebut untuk menggunakan DNS kita walaupun DNS di PC nya sudah dirubah misal ke 8.8.8.8. Gimana caranya? Simak tutorial berikut :

Tutorial Cara Mencegah Client Mengganti DNS secara Manual :

1. Login ke Mikrotik via Winbox 

2. Masuk ke menu IP --> Firewall --> NAT --> Add --> 

- Pada tab General : 

==> Chain : dstnat

==> Protocol : 17 (udp)

==> Dst. Port : 53

- Pada tab Action :

==> Action : Redirect

==> To Ports : 53

3. Coba anda cek di PC, ganti DNS ke manual misal 8.8.8.8 dan akses situs yang harusnya diblokir.

4. Jika masih bisa, coba flush dulu DNS Cache nya di Mikrotik dan PC nya

Oke, selamat mencoba tutorial Cara Mencegah Client Mengganti DNS secara Manual ini ya. Semoga sukses :)

Read More

Perbedaan Action=drop dan Action=reject Mikrotik

Penjelasan perbedaan penggunaan Action=drop dan Action=reject pada Mikrotik akan kita bahas pada artikel berikut ini. Action drop dan reject merupakan dua diantara pilihan Action Filter Firewall pada RouterOS Mikrotik. Keduanya memiliki fungsi yang hampir sama, tapi sebenarnya ada perbedaan mendasarnya.

Penggunaan Action=drop

Jika anda memilih untuk menggunakan opsi Action=drop, maka data yang berasal dari client akan dibuang (drop) oleh router. Hal ini dilakukan secara diam-diam, dengan tidak mengirimkan pesan penolakan ICMP (Internet Control Message Protocol). Sehingga jika kita mengirimkan pesan ping dari CMD, maka hasilnya adalah Request Timed out (RTO).

Ketika menggunakan opsi Action=drop, maka pada proses ping akan muncul pesan "Request Timed out" seperti gambar berikut ini :

Penggunaan Action=reject

Sedangkan untuk opsi Action=reject, paket data akan dibuang oleh router namun router akan memberikan pesan penolakan paket dengan mengirimkan pesan penolakan ICMP. Anda dapat memilih pesan apa yang akan dikirimkan jika menggunakan opsi reject ini.

Ketika anda mencoba melakukan ping maka hasilnya adalah "Destination net unreachable" sama seperti opsi Reject with sebelumnya, seperti gambar berikut ini :

Demikian artikel pada blog Mikrotik Indonesia tentang Perbedaan Action=drop dan Action=reject Mikrotik. Semoga bermanfaat :)

Read More

Penjelasan Chain Mikrotik : Input, Forward, Prerouting, dll

Perbedaan dan penjelasan Chain Mikrotik Input, Output, Forward, Prerouting, dan Postrouting akan dibahas pada artikel di blog Mikrotik Indonesia berikut ini.

forward :

- Digunakan untuk proses paket data yang melewati router, koneksi yang terjadi dari public ke local

atau

- Koneksi yang terjadi dari local ke public

dengan ketentuan tanpa ada proses di dalam router, artinya koneksi tersebut adalah langsung dan hanya numpang lewat di router tidak ada terjadi suatu proses di dalam router.

input :

- Digunakan untuk memproses paket memasuki router melalui salah satu interface dengan alamat IP tujuan yang merupakan salah satu alamat router. Chain input berguna untuk membatasi akses konfigurasi terhadap Router Mikrotik.

atau

- Koneksi yang terjadi dari local menuju router dan berakhir di router

contoh : penggunaan proxy internal (proxy internal kan di dalem router tempatnya)

output :

- Digunakan untuk proses paket data yang berasal dari router dan meninggalkan melalui salah satu interface, koneksi yang terjadi dari router menuju public.

atau

- Koneksi yang terjadi dari router menuju local.

artinya koneksi tercipta karena router sendiri yang meminta (kebutuhan router itu, bukan dari local / public), contoh : hasil dari proxy internal mikrotik yang di kirimkan ke client.

prerouting :

Pre routing artinya koneksi yang akan masuk router (gak peduli dari mana/tergantung setting mangle in intercafe nya nanti)

koneksi ini akan di proses di dalam router, bisa proses pembelokan ke proxy external, bisa filtering port, bisa apa aja deh, pokoknya ada proses, nah prerouting itu menandai koneksi sebelum terjadi proses tersebut.

postrouting :

Postrouting adalah koneksi yang akan keluar router setelah terjadi proses di dalam router.

Demikianlah artikel tentang penjelasan Chain Mikrotik Input, Output, Forward, Prerouting, dan Postrouting. Semoga bermanfaat :)

Sumber : 

forummikrotik

Read More

Cara Membuat Transparent Proxy Mikrotik

Cara Membuat Transparent Proxy Mikrotik - Transparent Proxy adalah konsep proxy transparan yaitu konfigurasi proxy dimana client yang terhubung ke proxy tidak harus menyeting atau memasukkan konfigurasi proxy ke browser satu per satu. Sehingga penggunaan proxy akan lebih simpel dan mudah. Sebelum kita lanjut ada baiknya anda baca artikel Penjelasan Web Proxy Mikrotik dulu ya.

Oke udah baca artikel sebelumnya kan? Kalo sudah kita lanjut belajar mikrotik membuat Web Proxy Mikrotik nya dulu tanpa Transparent. 

Membuat Web Proxy Mikrotik

Silakan buka Winbox dan ikuti langkah berikut :

1. Masuk ke menu IP --> Web Proxy pada Winbox

2. Untuk mengaktifkan Web Proxy centang tombol "Enabled"

3. Isikan port yang akan digunakan oleh Proxy. Isikan saja port 8080

4. Cache Administrator bisa anda ganti dengan email anda sendiri selaku Admin nya

5. Max. Cache Size menentukan berapa besar alokasi memori untuk menyimpan cache proxy nya. Silakan anda isikan sesuai kebutuhan atau bisa saja pilih unlimited.

6. Centang opsi Cache On Disk agar penyimpanan dilakukan pada harddisk Mikrotik bukannya RAM. Karena biasanya harddisk Mikrotik lebih basar daripada RAM nya.

7. Klik Apply --> OK 

Sampai disini Web Proxy sudah berhasil dibuat. Anda sudah bisa menggunakan Web Proxy Mikrotik ini namun harus mengkonfigurasi setingan Proxy pada Browser anda dulu dengan IP address Mikrotik dan port 8080. Nah, biar ga ribet seting browser dan membuatnya lebih simple kita akan mengaktifkan fungsi Transparent Proxy.

Membuat Transparent Proxy Mikrotik

Cara kerja Transparent Proxy ini dengan mengalihkan (redirect) Traffic data HTTP (destination port 80) ke port yang digunakan proxy yaitu 8080. Caranya dengan mengkonfigurasi Firewall NAT nya
 dengan chain=dstnat dan action redirect. Berikut ini command nya :

ip firewall nat add chain=dstnat protocol=tcp dst-port=80 action=redirect to-ports=8080

atau bisa melalui Winbox, masuk menu IP --> Firewall

Pada tab General 

Chain : dstnat

Protocol : tcp

Dst. Port : 80

Pada tab Action

Action : redirect

To Ports : 8080

Sekarang Proxy Mikrotik nya sudah Transparent. Untuk mengujinya, silakan anda buka menu IP --> Web Proxy di Winbox. Masuk tab Status dan klik Connections. Kalau keduanya sudah ada isinya berarti transparent Proxy Mikrotik sudah jalan.

Selain itu anda juga bisa menguji nya dengan membuka browser kemudian masukkan alamat sembarang supaya terjadi pesan error. Jika Transparent Proxy Mikrotik sudah jalan maka akan muncul pesan error dari Mikrotik nya seperti gambar berikut ini :

Kalo masih kurang jelas silakan lihat video ini





Oke sekian saja tutorial Cara Membuat Transparent Proxy Mikrotik. Selamat mencoba dan semoga bermanfaat ya :)

Salam,

Rizky Agung

Read More

Penjelasan Web Proxy Mikrotik

Penjelasan Web Proxy Mikrotik - Proxy adalah suatu aplikasi yang menjadi perantara antara client dengan server, sehingga client tidak akan berhubungan langsung dengan server-server yang ada di Internet. Mikrotik memiliki fitur Web proxy yang bisa digunakan sebagai proxy server yang nantinya akan menjadi perantara antara browser user dengan web server di Internet.

Cara Kerja Web Proxy

Ketika user membuka suatu situs, maka browser akan mengirimkan HTTP request ke Server, namun karena computer user ini menggunakan web proxy maka proxy akan menerima HTTP request dari browser tersebut kemudian membuat HTTP request baru atas nama dirinya. HTTP request baru buatan Proxy inilah yang diterima oleh Server kemudian Server membalas dengan HTTP Response dan diterima oleh Proxy yang kemudian diteruskan ke browser user yang sebelumnya melakukan request.

Perbedaan Web Proxy dengan NAT

Mungkin penjelasan cara kerja web proxy di atas hamper mirip dengan NAT (Network Address Translation) Masquerade, namun sebenarnya berbeda. Karena jika menggunakan NAT, maka Mikrotik hanya akan meneruskan HTTP Request yang dibuat oleh computer user. HTTP request tersebut diteruskan ke Server oleh Mikrotik tanpa membuat HTTP request baru seperti halnya pada Web Proxy.

NAT hanya menangani paket data saja, sedangkan Proxy bekerja dengan memeriksa konten dari HTTP Request dan Response secara detail, sehingga Proxy sering juga disebut sebagai Application Firewall.

Web Proxy Membutuhkan Resource CPU Besar

Jika mengaktifkan fitur Web proxy pada Mikrotik anda harus memperhatikan kapasitas memori dan CPU. Karena Mikrotik akan membuat HTTP Request baru atas nama dirinya, sehingga membutuhkan pemakaian Resource memori dan CPU yang lebih besar daripada hanya menggunakan NAT. Jika pemakaian resource Mikrotik berlebihan maka akan membuat Router Mikrotik anda hang dan koneksi internet pun akan jadi lambat.

Keuntungan menggunakan Web Proxy

Fungsi dari proxy secara umum adalah sebagai Caching, Filtering, dan Connection Sharing. Semua fungsi ini dapat anda temui pada Web Proxy Mikrotik. Berikut ini adalah Keuntungan / Manfaat Web Proxy pada Mikrotik :

Caching
Web Proxy Mikrotik dapat melakukan caching content yaitu menyimpan beberapa konten web yang disimpan di memori Mikrotik. Konten tersebut akan digunakan kembali apabila ada permintaan pada konten itu lagi. Misalnya anda membuka Facebook.com, maka file-file pada web tersebut seperti image, script, dll akan disimpan oleh web proxy, sehingga jika lain kali anda membuka Facebook maka tidak perlu konek ke Internet pun halaman itu bisa dibuka dengan mengambil file dari cache proxy. Hal ini dapat menghemat bandwidth Internet dan mempercepat koneksi.

Filtering
Dengan menggunakan Web Proxy anda dapat membatasi akses konten-konten tertentu yang di-request oleh client. Anda dapat membatasi akses ke situs tertentu, ekstensi file tertentu, melakukan redirect (pengalihan) ke situs lain, maupun pembatasan terhadap metode akses HTTP. Hal tersebut tidak dapat anda lakukan jika hanya menggunakan NAT.

Connection Sharing
Web Proxy meningkatkan level keamanan dari jaringan anda, karena computer user tidak berhubungan langsung dengan web server yang ada di Internet.

Demikianlah Penjelasan Web Proxy Mikrotik secara umum. Untuk Setingan Web proxy Mikrotik akan dibahas pada artikel selanjutnya di blog Tutorial Mikrotik ini.

Read More

Belajar Mikrotik : Dasar Firewall Mikrotik

Belajar Mikrotik : Dasar Firewall Mikrotik - Pada artikel kali ini Tutorial Mikrotik Indonesia akan membahas tentang dasar fitur Firewall pada Router Mikrotik. Sebelumnya mari kita pelajari dulu apa itu Firewall.

Apa itu Firewall?

Firewall adalah perangkat yang berfungsi untuk memeriksa dan menentukan paket data yang dapat keluar atau masuk dari sebuah jaringan. Dengan kemampuan tersebut maka firewall berperan dalam melindungi jaringan dari serangan yang berasal dari jaringan luar (outside network). Firewall mengimplementasikan packet filtering dan dengan demikian menyediakan fungsi keamanan yang digunakan untuk mengelola aliran data ke, dari dan melalui router. Sebagai contoh, firewall difungsikan untuk melindungi jaringan lokal (LAN) dari kemungkinan serangan yang datang dari Internet. Selain untuk melindungi jaringan, firewall juga difungsikan untuk melindungi komputer user atau host (host firewall).

Firewall digunakan sebagai sarana untuk mencegah atau meminimalkan risiko keamanan yang melekat dalam menghubungkan ke jaringan lain. Firewall jika dikonfigurasi dengan benar akan memainkan peran penting dalam penyebaran jaringan yang efisien dan infrastrure yang aman . MikroTik RouterOS memiliki implementasi firewall yang sangat kuat dengan fitur termasuk:

• stateful packet inspection
• Layer-7 protocol detection
• peer-to-peer protocols filtering
• traffic classification by:
• source MAC address
• IP addresses (network or list) and address types (broadcast, local, multicast, unicast)
• port or port range
• IP protocols
• protocol options (ICMP type and code fields, TCP flags, IP options and MSS)
• interface the packet arrived from or left through
• internal flow and connection marks
• DSCP byte
• packet content
• rate at which packets arrive and sequence numbers
• packet size
• packet arrival time
• dll

Anda dapat mengakses Firewall Mikrotik via Winbox melalui menu IP --> Firewall

Chain pada Firewall Mikrotik

Firewall beroperasi dengan menggunakan aturan firewall. Setiap aturan terdiri dari dua bagian - matcher yang sesuai arus lalu lintas terhadap kondisi yang diberikan dan tindakan yang mendefinisikan apa yang harus dilakukan dengan paket yang cocok. Aturan firewall filtering dikelompokkan bersama dalam chain. Hal ini memungkinkan paket yang akan dicocokkan terhadap satu kriteria umum dalam satu chain, dan kemudian melewati untuk pengolahan terhadap beberapa kriteria umum lainnya untuk chain yang lain.

Misalnya paket harus cocok dengan alamat IP:port. Tentu saja, itu bisa dicapai dengan menambahkan beberapa rules dengan alamat IP:port yang sesuai menggunakan chain forward, tetapi cara yang lebih baik bisa menambahkan satu rule yang cocok dengan lalu lintas dari alamat IP tertentu, misalnya: filter firewall / ip add src-address = 1.1.1.2/32 jump-target = "mychain".

Ada tiga chain yang telah ditetapkan pada RouterOS Mikrotik :

1. Input - digunakan untuk memproses paket memasuki router melalui salah satu interface dengan alamat IP tujuan yang merupakan salah satu alamat router. Chain input berguna untuk membatasi akses konfigurasi terhadap Router Mikrotik.
2. Forward - digunakan untuk proses paket data yang melewati router.
3. Output - digunakan untuk proses paket data yang berasal dari router dan meninggalkan melalui salah satu interface.

Ketika memproses chain, rule yang diambil dari chain dalam daftar urutan akan dieksekusi dari atas ke bawah. Jika paket cocok dengan kriteria aturan tersebut, maka tindakan tertentu dilakukan di atasnya, dan tidak ada lagi aturan yang diproses dalam chain. Jika paket tidak cocok dengan salah satu rule dalam chain, maka paket itu akan diterima.

Connection State (Status paket data yang melalui router)

• Invalid : paket tidak dimiliki oleh koneksi apapun, tidak berguna.
• New : paket yang merupakan pembuka sebuah koneksi/paket pertama dari sebuah koneksi.
• Established : merupakan paket kelanjutan dari paket dengan status new.
• Related : paket pembuka sebuah koneksi baru, tetapi masih berhubungan denga koneksi sebelumnya.

Action Filter Firewall RouterOS Mikrotik

Pada konfigurasi firewall mikrotik ada beberapa pilihan Action, diantaranya :

• Accept : paket diterima dan tidak melanjutkan membaca baris berikutnya
• Drop : menolak paket secara diam-diam (tidak mengirimkan pesan penolakan ICMP) 
• Reject : menolak paket dan mengirimkan pesan penolakan ICMP
• Jump : melompat ke chain lain yang ditentukan oleh nilai parameter jump-target
• Tarpit : menolak, tetapi tetap menjaga TCP connection yang masuk (membalas dengan SYN/ACK untuk paket TCP SYN yang masuk)
• Passthrough : mengabaikan rule ini dan menuju ke rule selanjutnya
• log : menambahkan informasi paket data ke log

Contoh Pengunaan Firewall pada Router Mikrotik

Katakanlah jaringan pribadi kita adalah 192.168.0.0/24 dan publik (WAN) interface ether1. Kita akan mengatur firewall untuk memungkinkan koneksi ke router itu sendiri hanya dari jaringan lokal kita dan drop sisanya. Juga kita akan memungkinkan protokol ICMP pada interface apapun sehingga siapa pun dapat ping router kita dari internet. Berikut command nya :

/ip firewall filter
add chain=input connection-state=invalid action=drop \
 comment="Drop Invalid connections"  
add chain=input connection-state=established action=accept \
 comment="Allow Established connections"  
add chain=input protocol=icmp action=accept \
 comment="Allow ICMP" 
add chain=input src-address=192.168.0.0/24 action=accept \
 in-interface=!ether1 
add chain=input action=drop comment="Drop semuanya"  

Cukup sekian dulu belajar mikrotik tentang Dasar Firewall Mikrotik. Untuk penjelasan firewall mikrotik yang lebih mendalam akan dibahas pada artikel selanjutnya. Terima kasih, semoga artikel ini bermanfaat :)

Read More