IP Kampus Kena Blacklist? Panduan Audit dan Delisting untuk Admin Jaringan

Artikel ini ditulis untuk dua audience: (1) admin jaringan kampus yang baru menerima keluhan dosen tidak bisa kirim email luar negeri, mahasiswa kena 403 Blocked di CloudFront, atau form online ke layanan pemerintah gagal terus — dan butuh playbook teknis untuk diagnosis, audit, dan delisting; serta (2) pengguna biasa (mahasiswa, dosen, staff non-IT) yang ingin tahu apa yang sedang terjadi dan langkah praktis yang bisa dilakukan tanpa akses admin. Setelah cek di tool blacklist-check, kalau IP publik kamu masuk daftar Barracuda BRBL dan SpamRats NoPTR, kamu sudah berada di tempat yang tepat.

Untuk Pengguna Biasa (Mahasiswa, Dosen, Staff Non-IT)

Kalau kamu bukan admin jaringan dan tiba-tiba mengalami gangguan saat akses internet di kampus, jangan panik. Kamu tidak melakukan kesalahan apa-apa — masalah ada di level jaringan kampus, bukan di perangkat atau akun kamu. Berikut panduan praktis tanpa akses admin.

Tanda-tanda Kamu Terdampak

Workaround Sementara (Sambil Menunggu Admin)

Cara Lapor ke IT Kampus dengan Bukti yang Berbobot

Laporan dengan bukti konkret diproses 5-10x lebih cepat daripada laporan generik "internet kampus aneh". Berikut template lapor yang efektif:

Kepada Yth. Tim IT/NOC [Nama Kampus],

Saya [Nama], [Mahasiswa/Dosen/Staff] [Fakultas/Unit],
NIM/NIK: [xxx]

Melaporkan masalah akses internet dari jaringan kampus:

GEJALA:
- [Contoh: Email saya ke [email protected] selalu bounce dengan error 5xx]
- [Contoh: Akses BPJS Online kena 403 Blocked dari wifi kampus]
- Tanggal mulai: [DD-MM-YYYY]

BUKTI YANG SUDAH SAYA KUMPULKAN:
1. Cek di tool cekipsaya.com/blacklist-check/ menunjukkan
   IP publik kampus terdaftar di [Barracuda / SpamRats / dll].
   Skor kesehatan: [xx/100, grade X].
2. Tes paralel dari mobile data 4G — akses ke URL yang sama BERHASIL.
   Ini mengkonfirmasi masalah ada di jaringan kampus, bukan di sisi tujuan.
3. Screenshot terlampir.

MOHON:
Dilakukan pengecekan dan tindak lanjut. Jika butuh informasi tambahan,
saya bisa dikontak di [WA/email].

Terima kasih,
[Nama]

Yang TIDAK Perlu Kamu Lakukan

Berapa Lama Sampai Kembali Normal?

Kenapa IP Kampus Rentan Kena Blacklist (Untuk Admin)

Berbeda dari IP korporat dengan kontrol ketat, jaringan kampus punya karakteristik yang membuatnya gampang masuk DNSBL:

Faktor paling dominan dari pengalaman multiple insiden: satu device terinfeksi botnet di lab komputer atau wifi mahasiswa cukup mengirim ribuan email spam keluar via port 25 dalam beberapa jam. Jika belum ada egress filtering, seluruh /24 kamu akan listed di Barracuda dalam waktu kurang dari 24 jam.

Diagnosis Cepat (15 Menit)

Sebelum menyentuh konfigurasi apapun, lakukan empat pengecekan ini secara paralel untuk memetakan masalah:

# Ganti IP di bawah dengan IP publik kampus kamu
IP="203.0.113.42"
REV=$(echo $IP | awk -F. '{print $4"."$3"."$2"."$1}')

for zone in zen.spamhaus.org bl.spamcop.net b.barracudacentral.org \
            noptr.spamrats.com spam.spamrats.com dyna.spamrats.com \
            dnsbl.sorbs.net psbl.surriel.com cbl.abuseat.org \
            ix.dnsbl.manitu.net dnsbl-1.uceprotect.net \
            dnsbl-2.uceprotect.net dnsbl-3.uceprotect.net; do
  result=$(dig $REV.$zone A +short +time=3 +tries=1)
  if [ -n "$result" ]; then
    echo "LISTED  $zone"
  else
    echo "clean   $zone"
  fi
done

# PTR kosong = NoPTR confirmed
dig -x 203.0.113.42 +short

# PTR pattern generic juga dianggap bermasalah:
# 42.113.0.203.dynamic.isp.id    → SpamRats listed
# 42.113.0.203.pool.isp.id       → SpamRats listed
# mail.kampus.ac.id              → CLEAN

# Cek juga forward-confirmed reverse DNS (FCrDNS):
host mail.kampus.ac.id     # harus return IP yang sama
host 203.0.113.42          # harus return mail.kampus.ac.id

# Identifikasi ownership & abuse mailbox
whois -h whois.cymru.com " -v 203.0.113.42"

# Output:
# AS    | IP            | BGP Prefix      | CC | Allocated   | AS Name
# 12345 | 203.0.113.42  | 203.0.113.0/24  | ID | 2012-03-15  | UNIV-XXX-AS-ID

# Detail APNIC untuk abuse-mailbox
whois -h whois.apnic.net 203.0.113.42 | grep -iE 'abuse|netname|descr|origin'

5 Root Cause Spesifik di Lingkungan Kampus

RC1 — PTR Record Tidak Diset (NoPTR)

Frekuensi: 95% kasus. Banyak /24 kampus dialokasi APNIC/IDNIC bertahun lalu tanpa pernah set in-addr.arpa zone. SpamRats NoPTR akan langsung listing setiap IP di range yang tidak punya PTR. Ini bukan tanda abuse — tapi sinyal "rumah tidak ada papan nama" yang membuat WAF/mail server defensif menolak.

RC2 — Mail Server Compromised / Open Relay

Frekuensi: 30% kasus. Server email akademik (Postfix/Exim/Sendmail) yang konfigurasinya kurang ketat sering jadi open relay tanpa disadari — biasanya karena rule mynetworks yang kebablasan. Sekali kebobolan, ribuan spam keluar per jam.

# Rule mynetworks harus spesifik, tidak boleh 0.0.0.0/0
postconf -n | grep mynetworks

# Yang aman:
# mynetworks = 127.0.0.0/8 [::1]/128 203.0.113.0/24

# Yang berbahaya:
# mynetworks = 0.0.0.0/0    ← OPEN RELAY!

# Cek log spam outbound 24 jam terakhir
awk '/postfix\/smtp/ && /status=sent/' /var/log/mail.log | \
  awk '{print $7}' | sort | uniq -c | sort -rn | head -20

RC3 — Web Shell di Server Akademik

Frekuensi: 25% kasus. Aplikasi web kampus (SIAKAD, e-learning, portal mahasiswa) yang pakai CMS lawas (WordPress 5.x, Joomla 3.x, custom PHP) sering punya vulnerable upload endpoint. Attacker upload web shell, lalu pakai PHPMailer untuk kirim spam via port 25 dari IP server kampus.

# File PHP yang baru dimodifikasi 7 hari terakhir
find /var/www -name '*.php' -mtime -7 -ls

# File dengan eval/base64_decode (signature web shell)
grep -rlE '(eval|base64_decode|gzinflate|str_rot13)' \
  /var/www --include='*.php' 2>/dev/null

# Connection outbound port 25 dari user www-data
ss -tnp | grep ':25 ' | grep www-data

RC4 — BYOD Device Mahasiswa/Dosen Terinfeksi

Frekuensi: 40% kasus. Mahasiswa connect laptop ke wifi kampus dengan PC yang sudah terinfeksi botnet (Emotet, Trickbot, atau spambot lawas). Begitu connect, malware langsung kirim spam via port 25 ke ribuan target. NAT IP publik kamu yang kena listing — bukan device-nya.

RC5 — Form Abuse di Aplikasi Web Kampus

Frekuensi: 15% kasus. Form contact / pendaftaran online kampus tanpa CAPTCHA dipakai bot untuk kirim email validasi/notifikasi ke target acak (header injection / mail relay via mail() PHP). Volume rendah tapi konstan, cukup buat trigger Barracuda heuristic.

Audit Egress Traffic (Cara Temukan Source)

Jangan submit delisting sebelum source bersih — jika kamu delist tanpa fix akar masalah, listing akan kembali dalam beberapa jam dan reputasi makin jelek (semakin sering re-list, semakin lama cooldown). Berikut prosedur audit yang bekerja di network kampus skala 500-5000 host:

# Pasang di gateway/border router (1 baris cukup)
iptables -I FORWARD -p tcp --dport 25 \
  -m comment --comment 'audit-smtp-egress' \
  -j LOG --log-prefix 'SMTP-OUT: ' --log-level 4

# Setelah 24 jam, analisis:
grep 'SMTP-OUT' /var/log/kern.log | \
  grep -oP 'SRC=\K[0-9.]+' | sort | uniq -c | sort -rn | head

# Output (contoh):
#   8421 192.168.50.117    ← Suspicious! 8000+ koneksi SMTP/24jam
#     12 192.168.10.5      ← Mail server resmi, normal
#      3 192.168.20.42     ← User accidental, normal

Solusi Bertingkat: Hari, Minggu, Bulan

Level 1 — QuickWin (Hari Ini)

# Mail server resmi kampus: 203.0.113.10
# Subnet user: 192.168.0.0/16

iptables -I FORWARD -s 192.168.0.0/16 \
  -p tcp --dport 25 -j REJECT \
  --reject-with icmp-admin-prohibited

iptables -I FORWARD -s 203.0.113.10 \
  -p tcp --dport 25 -j ACCEPT

# Persistent
iptables-save > /etc/iptables/rules.v4

Level 2 — Solusi Permanen (Minggu Ini)

Level 3 — Strategis (Bulan Ini)

Submit Delisting (Setelah Source Bersih)

Aturan emas: jangan submit delisting kalau audit egress belum selesai. Kalau di-list lagi dalam 24 jam, beberapa DNSBL (Spamhaus, Barracuda) akan menerapkan cooldown 7-30 hari sebelum mau menerima delisting berikutnya.

Verifikasi dan Monitoring Berkala

#!/bin/bash
# /etc/cron.weekly/check-blacklist.sh

IPS=("203.0.113.10" "203.0.113.42" "203.0.113.100")
ALERT_EMAIL="[email protected]"

for IP in "${IPS[@]}"; do
  REV=$(echo $IP | awk -F. '{print $4"."$3"."$2"."$1}')
  for zone in zen.spamhaus.org b.barracudacentral.org \
              noptr.spamrats.com bl.spamcop.net; do
    result=$(dig $REV.$zone A +short +time=3 +tries=1)
    if [ -n "$result" ]; then
      echo "ALERT: $IP listed in $zone" | \
        mail -s "BL Alert: $IP @ $zone" $ALERT_EMAIL
    fi
  done
done

Studi Kasus: Insiden Nyata Kampus Indonesia

Kasus 1 — Universitas Negeri di Sumatera (2024)

Gejala: Email kampus ke partner luar negeri bounce 70% selama 3 minggu. Cek DNSBL menunjukkan listing di Barracuda + Spamhaus CSS + SpamRats NoPTR. Diagnosis: audit egress menemukan 1 PC di lab komputer mengirim 12.000+ koneksi SMTP/24 jam ke berbagai domain unrelated. Investigasi forensik mengonfirmasi malware Emotet via USB. Fix: karantina device, reimage OS, deploy block port 25 outbound dari subnet lab, set PTR record untuk /24, submit delisting. Waktu pulih: 5 hari.

Kasus 2 — Politeknik di Jawa Tengah (2025)

Gejala: Mahasiswa kena 403 CloudFront saat akses platform pemerintahan dari wifi kampus. Listing di Barracuda + SpamRats NoPTR. Diagnosis: server e-learning Moodle versi 3.9 ter-eksploitasi via plugin lama, web shell upload ke /moodledata/. PHPMailer dipakai untuk kirim phishing campaign 50.000+ email/minggu. Fix: hapus shell, upgrade Moodle ke 4.x, audit semua plugin, set PTR, deploy WAF (ModSecurity). Waktu pulih: 9 hari termasuk delisting.

Checklist Cepat untuk Admin

FAQ — Pertanyaan yang Sering Ditanyakan

Kesimpulan

IP kampus yang masuk DNSBL hampir selalu disebabkan kombinasi dua faktor struktural: PTR record yang tidak diset sejak alokasi awal, dan traffic abuse dari satu atau dua host di dalam /24 kamu. Untuk admin: solusinya bukan delisting cepat — tapi audit egress traffic yang disiplin, set rDNS untuk hostname produksi, lalu submit delisting setelah sumber bersih. Untuk pengguna biasa: konfirmasi gejala, kumpulkan bukti via tool blacklist-check, lapor ke IT kampus dengan template di artikel ini, lalu pakai workaround sambil menunggu. Untuk diagnosis berkala gunakan Cek Blacklist IP dan DNS Lookup di cekipsaya.com — keduanya gratis, tanpa install.