WireGuard Full Tunnel di MikroTik — Tetap Gunakan IP Kantor saat WFH

Skenario yang sering terjadi: kamu sysadmin yang lagi WFH, dapat laporan internet kantor lemot. Mau jalankan MTR atau traceroute untuk lihat di mana masalahnya, tapi hasilnya keluar dari perspektif jaringan rumahmu — bukan dari kantor. Padahal WireGuard sudah connect, tunnel hijau, semua kelihatan oke. Masalahnya: WireGuard kamu lagi mode split tunnel — cuma routing subnet internal kantor, bukan semua traffic. Untuk benar-benar jalan dari "perspektif kantor", kamu butuh full tunnel. Dan yang sering terlewat: konfigurasinya bukan cuma di sisi client — MikroTik sebagai server harus ada dua perubahan. Artikel ini fokus di sisi server, tutorial dari pengalaman langsung praktisi yang setup ini.

Bedanya Split Tunnel dan Full Tunnel

Analogi sederhana: bayangkan WireGuard sebagai jalan tol khusus dari rumah ke kantor. Split tunnel = jalan tol cuma dipakai untuk tujuan kantor, sisanya (browsing, YouTube, Instagram) tetap lewat jalan biasa langsung dari ISP rumah. Full tunnel = semua kendaraan — termasuk yang tujuannya jauh dari kantor — wajib lewat jalan tol kantor dulu, baru lanjut ke tujuan akhir. Konsekuensinya: traffic browsing pribadimu tercatat di log gateway kantor, latency naik sedikit karena memutar, tapi IP publik yang dilihat dunia luar adalah IP kantor.

Kapan Butuh Full Tunnel?

• Test kondisi jaringan kantor dari luar — MTR, traceroute, ping dari perspektif gateway kantor, bukan rumah.
• Akses layanan whitelist IP — beberapa SIA kampus, banking corporate, atau partner API hanya izinkan IP publik tertentu.
• Remote work yang butuh IP konsisten — beberapa sistem deteksi anomali kalau login dari IP berubah-ubah.
• Verifikasi sumber masalah — kalau dari rumah lemot tapi via tunnel kantor lancar, masalah ada di ISP rumah; kalau via tunnel juga lemot, masalah di hulu.

Yang Dibutuhkan Sebelum Mulai

Langkah 1 — Edit Allowed Address di MikroTik

Langkah pertama dilakukan di sisi server (MikroTik). Yang kita ubah: Allowed Address dari peer client. Field ini memberitahu MikroTik traffic apa saja yang boleh masuk lewat tunnel dari client ini. Untuk full tunnel, kita tambahkan 0.0.0.0/0 agar semua traffic — termasuk traffic internet bukan cuma subnet internal — diterima dari tunnel.

Via WinBox

Buka WireGuard → Peers → klik dua kali peer client → ubah field Allowed Address:

# SEBELUM (split tunnel)
10.20.20.2/32, 10.1.0.0/16

# SESUDAH (full tunnel)
10.20.20.2/32, 10.1.0.0/16, 0.0.0.0/0

Via Terminal MikroTik

# Lihat semua peer dulu untuk konfirmasi nama
/interface wireguard peers print

# Update allowed-address peer (ganti "laptop-staff" dengan nama peer kamu)
/interface wireguard peers
set [find name="laptop-staff"] \
    allowed-address=10.20.20.2/32,10.1.0.0/16,0.0.0.0/0

# Verifikasi
/interface wireguard peers print where name="laptop-staff"

Langkah 2 — Tambahkan NAT Masquerade di MikroTik

Ini langkah yang paling sering terlewat — dan penyebab utama "internet putus setelah ganti ke full tunnel". Mari pahami dulu kenapa NAT masquerade diperlukan, biar ke depannya tidak salah konfigurasi.

Kenapa NAT Masquerade Wajib?

Saat client mengirim traffic internet via tunnel — misalnya request ke google.com — paket sampai di MikroTik dengan source IP 10.20.20.2 (IP internal subnet WireGuard). Kalau MikroTik langsung forward paket ke ISP dengan source IP itu, ISP akan drop — IP 10.20.20.x bukan IP publik, tidak ada di routing table internet manapun. NAT masquerade mengubah source IP dari 10.20.20.2 menjadi IP publik MikroTik sebelum dikirim ke ISP. Reply dari Google datang kembali ke IP publik MikroTik, lalu MikroTik translate balik ke 10.20.20.2 dan teruskan ke client lewat tunnel. Tanpa NAT masquerade, traffic out tetap pakai IP private — langsung di-drop di hop pertama setelah MikroTik.

Cek Rule yang Sudah Ada

/ip firewall nat print

# Atau cuma lihat rule masquerade saja
/ip firewall nat print where action=masquerade

Tambahkan Rule Baru

# Ganti ether1 dengan nama interface WAN kamu
/ip firewall nat add \
    chain=srcnat \
    src-address=10.20.20.0/24 \
    out-interface=ether1 \
    action=masquerade \
    comment="NAT WireGuard Full Tunnel to Internet"

# Verifikasi
/ip firewall nat print where comment~"WireGuard"

Cara Cari Nama Interface WAN

Kalau kamu tidak yakin nama interface WAN MikroTik kamu, cek dengan:

/ip address print

# Output contoh:
#  #  ADDRESS              NETWORK         INTERFACE
#  0  192.168.88.1/24      192.168.88.0    bridge-lan
#  1  103.10.x.x/29        103.10.x.0      ether1     ← INI WAN-nya
#  2  10.20.20.1/24        10.20.20.0      wireguard1

Verifikasi — Pastikan Konfigurasi Sudah Benar

Langkah verifikasi sebenarnya dilakukan dari sisi client setelah semua selesai. Tapi ada beberapa cek dasar yang bisa kita lakukan langsung di MikroTik untuk memastikan konfigurasi sudah aman sebelum client mulai pakai.

# 1. Pastikan peer allowed-address sudah include 0.0.0.0/0
/interface wireguard peers print where name="laptop-staff"

# 2. Pastikan NAT rule WireGuard sudah ada
/ip firewall nat print where comment~"WireGuard"

# 3. Lihat trafik di interface WireGuard (counter naik = ada aktivitas)
/interface wireguard print stats

# 4. Cek connection tracking — saat client mulai browsing,
# entry NAT akan muncul dengan src-address=10.20.20.x
/ip firewall connection print where src-address~"10.20.20"

Lanjutan — Konfigurasi Sisi Client

Sisi server beres. Sekarang lanjut ke sisi client — pilih panduan sesuai OS:

Troubleshooting — Masalah yang Sering Muncul

Kapan Harus Kembali ke Split Tunnel

Full tunnel tidak disarankan dipakai terus-menerus. Tiga alasan utama:

• Privacy — semua traffic browsing pribadi keluar dari IP kantor, tercatat di log gateway/firewall kantor. Kalau ada audit, traffic browsing kamu (termasuk yang non-kerja) ada di sana.
• Latency tambahan — semua koneksi memutar lewat MikroTik kantor. Untuk video meeting Zoom atau gaming, tambahan 10–30ms bisa terasa.
• Bandwidth kantor terpotong — bandwidth kantor dipakai untuk traffic pribadi banyak orang sekaligus = bisa cepat habis. Apalagi kalau quota terbatas.

Best practice: aktifkan full tunnel hanya saat butuh — misalnya selama 30 menit untuk MTR diagnostic, atau saat akses layanan whitelist IP. Setelah selesai, kembali ke split tunnel. Cara kembali: di sisi client edit AllowedIPs balik ke subnet internal saja, hapus baris DNS. Rule NAT di MikroTik bisa dibiarkan permanen — tidak aktif kalau client tidak kirim traffic internet via tunnel.

FAQ — Pertanyaan yang Sering Ditanyakan

Kesimpulan

Full tunnel di MikroTik adalah dua perubahan kecil yang sering luput: AllowedIPs di peer harus include 0.0.0.0/0, dan harus ada NAT masquerade yang men-translate source IP subnet WireGuard ke IP publik MikroTik. Tanpa salah satunya, full tunnel akan terlihat connect tapi internet putus atau IP publik masih IP rumah. Setelah server beres, langkah berikutnya tinggal di sisi client — pilih panduan sesuai OS: Windows, Mac, atau Linux. Pakai full tunnel hanya saat butuh — test jaringan, akses resource whitelist IP, atau verifikasi dari mana masalah berasal — lalu kembali ke split tunnel.