📘 Modul 03 · MikroTik Fundamentals

NAT & Routing — Internet Sharing untuk LAN

⏱ 50 menit 📝 7 lab tasks 🎯 Beginner-Intermediate 🛠 WinBox / SSH

🎯 Setelah Modul Ini Kamu Akan Bisa

  • Menjelaskan kenapa IP privat di LAN tidak bisa langsung akses internet tanpa NAT
  • Setup interface WAN sebagai DHCP client untuk dapat IP dari ISP
  • Membaca routing table & memahami peran default route
  • Membuat NAT rule masquerade supaya seluruh LAN bisa internet sharing lewat satu WAN
  • Memverifikasi NAT benar-benar aktif lewat counter, bukan cuma asumsi
Prasyarat: Sudah menyelesaikan Modul 02 — DHCP Server (LAN sudah bisa bagi IP otomatis). Paham dasar subnetting & konsep IP publik vs privat. Hardware: 2 jalur setara — (a) mandiri: CHR di VirtualBox (panduan setup →), atau (b) magang formal: hardware MikroTik di kantor mitra. Modul ini murni konfigurasi software — command identik di kedua jalur.

1 · PengantarSkenario: LAN Sudah Rapi, Tapi Belum Internetan

Klinik gigi yang sama. Setelah Modul 01 (setup awal) dan Modul 02 (DHCP), laptop staff, WiFi tamu, printer, dan CCTV sudah otomatis dapat IP dari router. Tapi kalau kamu coba buka browser di salah satu laptop — tidak ada internet sama sekali, padahal IP-nya sudah benar.

💡 Kenapa punya IP saja tidak cukup? Dapat IP dari DHCP (Modul 02) cuma menyelesaikan "device punya alamat untuk jalan-jalan di jaringan lokal". Tapi router itu sendiri belum tersambung ke ISP, dan walaupun tersambung, IP privat LAN (192.168.x.x) tidak dikenali di internet publik. Dua masalah terpisah yang keduanya harus diselesaikan di modul ini: routing ke ISP dan NAT.

Sampai modul sebelumnya kita cuma sentuh interface bridge (LAN). Sekarang kita pakai interface KEDUA — ether1 — sebagai WAN, koneksi router ke modem/ISP.

2 · KonsepWAN & DHCP Client

Di Modul 02, MikroTik jadi DHCP server — membagikan IP ke LAN. Di sisi WAN, perannya terbalik: MikroTik jadi DHCP client — meminta IP ke modem/ISP, persis seperti laptop kamu meminta IP ke router di rumah.

⚠ Miskonsepsi umum: baru belajar DHCP server di Modul 02, banyak yang refleks pakai /ip dhcp-server lagi untuk WAN. Salah arah! WAN = router MINTA IP (client), LAN = router MEMBERI IP (server). Dua command yang beda: /ip dhcp-client vs /ip dhcp-server.

Kebanyakan ISP rumahan/kantor kecil di Indonesia kasih IP dynamic (berubah sewaktu-waktu) — makanya DHCP client adalah cara paling umum setup WAN. Kalau berlangganan IP publik statis (leased line, biasanya lebih mahal), interface WAN di-set manual pakai IP tetap dari ISP, bukan DHCP client.

3 · KonsepRouting & Default Route

Routing table adalah "peta jalan" router — daftar aturan ke mana paket data harus diteruskan tergantung tujuannya. Setiap kali router terima paket, dia cek tabel ini untuk memutuskan lewat interface mana paket itu harus keluar.

Default Route (0.0.0.0/0)

Route khusus yang artinya: "kalau tujuan paket tidak cocok dengan rute spesifik manapun di tabel, kirim ke sini saja." Ini biasanya mengarah ke gateway ISP — jalur keluar ke internet.

🚨 Tanpa default route: device LAN bisa saja sudah punya IP valid dari DHCP (Modul 02) dan bisa saling ping SESAMA LAN — tapi begitu ada paket menuju internet (tujuan di luar jaringan lokal), router bingung mau diteruskan ke mana dan paket itu di-drop. Gejalanya: "internet lokal jalan, internet luar mati total."

Kabar baiknya: kalau interface WAN di-set sebagai DHCP client (lihat section sebelumnya), default route biasanya otomatis muncul di routing table — ISP mengirimkannya bersamaan dengan IP lewat proses DHCP.

4 · KonsepKenapa LAN Butuh NAT untuk ke Internet

IP privat (192.168.x.x, 10.x.x.x, 172.16-31.x.x — RFC 1918) sengaja dialokasikan untuk dipakai berulang-ulang di jutaan jaringan lokal berbeda di seluruh dunia. Itu artinya IP ini tidak unik secara global — router-router di internet publik tidak tahu (dan tidak bisa tahu) harus mengirim balasan ke jaringan lokal yang mana kalau paket dikirim langsung pakai IP privat sebagai alamat asal.

💡 Analogi: Bayangkan kantor dengan banyak karyawan yang semuanya mau kirim surat keluar. Alih-alih tiap karyawan pakai alamat rumah masing-masing (yang tidak dikenal pengirim luar), semua surat "ditempeli" satu alamat kantor yang sama sebelum dikirim — lalu resepsionis (NAT) yang mengatur balasannya sampai ke karyawan yang benar.

NAT (Network Address Translation) menerjemahkan banyak IP privat LAN jadi satu IP publik (milik interface WAN) saat trafik keluar ke internet — dan menerjemahkan balik saat balasannya kembali.

5 · KonsepSource NAT: Masquerade vs Static

Ada 2 cara implementasi source NAT di RouterOS:

1) Masquerade (paling umum)

Otomatis "ikut" berapa pun IP WAN interface saat itu. Cocok untuk WAN dengan IP dynamic dari ISP (mayoritas kasus kantor kecil/rumahan Indonesia) — kalau ISP ganti IP WAN, masquerade otomatis menyesuaikan tanpa perlu diedit manual.

2) Static Source NAT

Pakai IP tujuan (to-addresses) yang ditentukan manual dan tetap. Cocok kalau WAN benar-benar punya IP publik statis (leased line, biasanya berbayar lebih mahal). Kalau IP WAN sebenarnya dynamic tapi dipaksa pakai static NAT, begitu ISP ganti IP, rule NAT jadi salah dan trafik LAN berhenti keluar sampai rule diperbaiki manual.

⚠ Untuk klinik gigi di skenario kita (ISP rumahan/kantor kecil, IP dynamic) — masquerade adalah pilihan yang tepat, bukan static NAT.

6 · PraktikDemo Step-by-Step (CLI)

Asumsi: ether1 adalah port yang tersambung ke modem/ISP (di kebanyakan board MikroTik seperti hAP, ether1 secara default berfungsi sebagai WAN port). Interface bridge (LAN) sudah dikonfigurasi dari Modul 01-02.

1

Cek interface yang akan jadi WAN

> /interface print # NAME TYPE ACTUAL-MTU 0 R ether1 ether 1500 1 R ether2 ether 1500 2 bridge bridge 1500

Pastikan ether1 sudah tersambung fisik ke modem/ISP (flag R = running/link up) sebelum lanjut.

2

Set WAN jadi DHCP client

> /ip dhcp-client add interface=ether1 disabled=no # Verifikasi: > /ip dhcp-client print # INTERFACE STATUS ADDRESS 0 ether1 bound 203.0.113.50/24

Status bound artinya router berhasil dapat IP dari ISP. Kalau statusnya searching terus, cek koneksi fisik ke modem.

⚠ Router sekarang live di internet: begitu WAN dapat IP publik, router bisa mulai di-scan dari luar. Firewall filter (input/forward chain) belum dibahas — itu topik Modul 04. Untuk sesi lab singkat ini normal/aman (durasi kerja jam-jaman), tapi jangan biarkan router production nyala tanpa firewall filter dalam waktu lama. Winbox/SSH kamu tetap aman untuk sekarang karena sudah dibatasi ke subnet manajemen sejak Modul 01.
3

Cek routing table — default route

> /ip route print # DST-ADDRESS GATEWAY DISTANCE 0 AD 0.0.0.0/0 203.0.113.1 1

Baris dengan DST-ADDRESS 0.0.0.0/0 adalah default route — biasanya muncul otomatis begitu DHCP client di langkah 2 berhasil bound. Kalau tidak muncul, cek lagi status DHCP client-nya.

4

Buat NAT rule masquerade

> /ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade # Verifikasi: > /ip firewall nat print # CHAIN ACTION OUT-INTERFACE 0 srcnat masquerade ether1

chain=srcnat artinya rule ini berlaku untuk trafik yang SUMBER-nya perlu diterjemahkan (keluar dari LAN). out-interface=ether1 membatasi rule ini cuma berlaku untuk trafik yang keluar lewat WAN.

5

Uji dari device LAN

# Dari laptop/device di LAN (bukan dari router), coba ping ke internet: C:\> ping 8.8.8.8 Reply from 8.8.8.8: bytes=32 time=18ms TTL=114 Reply from 8.8.8.8: bytes=32 time=17ms TTL=114

Kalau dapat Reply (bukan Request timed out), NAT & routing sudah jalan. Coba juga buka browser ke situs manapun untuk konfirmasi tambahan.

6

Verifikasi NAT benar-benar dipakai (bukan cuma dibuat)

> /ip firewall nat print stats # CHAIN ACTION BYTES PACKETS 0 srcnat masquerade 48.2 KiB 312

Counter BYTES/PACKETS yang bertambah setelah ada trafik lewat adalah bukti pasti rule ini aktif dipakai — beda dengan cuma asumsi "sudah dibuat pasti jalan" (rule bisa saja salah kondisi dan tidak pernah kepakai walau tampil di list).

7

Backup & export konfigurasi gabungan

> /system backup save name=setelah-nat-routing-2026-05-02 > /export file=setelah-nat-routing-2026-05-02

Konfigurasi ini sekarang gabungan Modul 01 (identitas+password) + Modul 02 (DHCP LAN) + Modul 03 (WAN+NAT) — backup mencakup semuanya sekaligus, bukan cuma bagian NAT.

7 · Lab TaskPraktik Wajib — Hardware Kantor Mitra atau CHR Mandiri

🧭 Pilih jalurmu — keduanya setara dan sah:
  • Jalur Mandiri (CHR): lanjutkan CHR yang sama dari Modul 01-02. Modul ini butuh interface KEDUA untuk WAN — di VirtualBox, tambah satu network adapter lagi (Settings → Network → Adapter 2) dan set ke mode "Bridged", supaya CHR dapat IP langsung dari jaringan rumah/kampus kamu (persis seperti WAN dapat IP dari ISP). Adapter pertama (dari setup Modul 01) tetap dipakai untuk LAN/bridge, jangan diubah. Bukti kelulusan = screenshot tiap tahap, disimpan sendiri (tidak perlu verifikasi pembimbing).
  • Jalur Formal (magang): pakai hardware MikroTik yang sama dari Modul 01-02 di kantor mitra, WAN tersambung ke modem ISP sungguhan. Hasil dicatat di template Laporan PKL Bagian 4, dan diverifikasi langsung oleh pembimbing.

📋 7 Lab Tasks — Modul 03

Command dan tahapannya identik di kedua jalur — beda cuma cara WAN tersambung ke "internet" (ISP asli vs jaringan rumah/kampus via CHR).

  1. Cek interface WAN yang akan dipakai (pastikan link fisik/virtual sudah aktif). Screenshot hasil /interface print.
  2. Set WAN sebagai DHCP client. Screenshot /ip dhcp-client print yang menunjukkan status bound dan IP yang didapat.
  3. Cek routing table, pastikan default route (0.0.0.0/0) muncul otomatis. Screenshot /ip route print.
  4. Buat NAT rule masquerade untuk trafik LAN keluar lewat WAN. Screenshot /ip firewall nat print.
  5. Uji dari device LAN: ping ke 8.8.8.8 dari laptop/device di jaringan LAN kamu (bukan dari router). Screenshot hasil ping yang berhasil (reply, bukan timeout).
  6. Verifikasi counter NAT naik setelah trafik lewat. Screenshot /ip firewall nat print stats — bandingkan sebelum & sesudah generate trafik (mis. ping beberapa kali).
  7. Backup & export konfigurasi akhir gabungan Modul 01-03. Sertakan .backup + .rsc di folder laporan/bukti.

Selesai? Jalur Formal: tunjuk pembimbing untuk verifikasi — pembimbing akan coba browsing/ping dari device LAN secara langsung dan cek counter NAT bertambah. Kalau internet jalan & counter naik, kamu lulus lab task ini. Jalur Mandiri: cek sendiri — kalau semua 7 screenshot + file .rsc akhir sudah lengkap dan konsisten dengan langkah di atas, lab task ini selesai. Simpan buktinya untuk checklist di halaman progres.

8 · Self-AssessmentCek Pemahaman (5 Soal)

1. Kenapa IP privat (192.168.x.x) tidak bisa langsung dipakai browsing internet tanpa NAT?
2. Command yang benar untuk membuat interface WAN dapat IP otomatis dari ISP:
3. Beda masquerade vs static source NAT:
4. Kalau default route (0.0.0.0/0) tidak ada di routing table, device LAN yang sudah dapat IP valid dari DHCP tetap tidak bisa apa?
5. Cara paling pasti memverifikasi NAT rule benar-benar dipakai (bukan cuma dibuat tapi tidak pernah kepakai):

9 · RangkumanKey Takeaways Modul 03

  1. WAN = DHCP client, LAN = DHCP server — dua arah yang berlawanan, jangan tertukar.
  2. Default route (0.0.0.0/0) adalah jalur keluar ke internet — tanpa ini, LAN lokal jalan tapi internet mati total.
  3. IP privat butuh NAT untuk bisa "keluar" ke internet — karena tidak unik secara global.
  4. Masquerade untuk WAN IP dynamic (mayoritas kasus), static NAT cuma untuk WAN IP publik tetap.
  5. Verifikasi NAT lewat counter (packets/bytes bertambah), bukan cuma asumsi rule sudah dibuat.
  6. Backup di akhir sekarang mencakup gabungan 3 modul (identitas+password, DHCP, NAT+routing) — bukan cuma bagian modul ini saja.

📘 Modul Berikutnya

Modul 04 — Firewall: Filter, Mangle, Connection Tracking

Sekarang LAN sudah bisa internet sharing lewat NAT — tapi trafik dari internet juga bisa "masuk" ke LAN kalau tidak difilter. Modul berikutnya bahas firewall chain (input, forward, output) untuk mengamankan jaringan dari trafik yang tidak diinginkan.

← Kembali ke daftar 6 modul

10 · GlossariumIstilah Penting di Modul Ini

WAN
Wide Area Network — interface/koneksi router ke ISP/internet, beda dari LAN (jaringan lokal).
DHCP Client
Mode di mana interface MEMINTA IP ke server lain (kebalikan dari DHCP server yang MEMBAGIKAN IP).
Routing Table
Daftar aturan ke mana paket data diteruskan berdasarkan tujuannya, dilihat via /ip route print.
Default Route
Route 0.0.0.0/0 — jalur "kalau tidak tahu harus kemana, kirim ke sini", biasanya ke gateway ISP.
NAT
Network Address Translation — menerjemahkan banyak IP privat jadi satu IP publik saat trafik keluar ke internet.
Masquerade
Jenis source NAT yang otomatis mengikuti IP WAN interface saat itu — cocok untuk WAN dengan IP dynamic.
Static Source NAT
Source NAT dengan IP tujuan (to-addresses) tetap/manual — cuma cocok kalau WAN punya IP publik statis.
srcnat / dstnat
Chain NAT: srcnat menerjemahkan alamat SUMBER (trafik keluar LAN), dstnat menerjemahkan alamat TUJUAN (trafik masuk, dibahas modul lanjutan).