📘 Modul 04 · MikroTik Fundamentals

Firewall — Filter, Mangle, Connection Tracking

⏱ 60 menit 📝 9 lab tasks 🎯 Intermediate 🛠 WinBox / SSH

🎯 Setelah Modul Ini Kamu Akan Bisa

  • Membedakan chain input, forward, dan output — dan tahu kapan pakai yang mana
  • Memahami connection tracking (established/related/new/invalid) supaya rule efisien & benar
  • Menyusun urutan rule yang aman — kenapa urutan menentukan hasil, bukan cuma isi rule-nya
  • Selalu pakai Safe Mode sebelum edit firewall supaya tidak self-lockout
  • Membuat allowlist akses manajemen yang benar sebelum menambahkan rule drop apa pun
Prasyarat: Sudah menyelesaikan Modul 03 — NAT & Routing (WAN sudah live, LAN sudah bisa internet lewat NAT). Hardware: 2 jalur setara — (a) mandiri: CHR di VirtualBox (panduan setup →), atau (b) magang formal: hardware MikroTik di kantor mitra.
🚨 Modul paling berisiko self-lockout. Salah urutan rule firewall bisa memutus akses winbox/ssh kamu SENDIRI ke router. Modul ini WAJIB dibaca sampai section 5 (Safe Mode) SEBELUM menyentuh command apa pun di section demo/lab. Kalau pakai hardware fisik jarak jauh (remote), risikonya lebih tinggi — pastikan ada rencana akses fisik/darurat sebelum mulai.

1 · PengantarSkenario: LAN Bisa Internet, Tapi Belum Terlindungi

Klinik gigi yang sama. Setelah Modul 03, LAN sudah bisa akses internet lewat NAT masquerade. Tapi ingat callout di Modul 03: WAN yang live berarti router bisa mulai di-scan dari luar — dan sejauh ini belum ada firewall filter yang benar-benar memutuskan trafik mana yang boleh masuk/lewat.

💡 NAT ≠ Firewall. NAT (Modul 03) cuma menerjemahkan alamat supaya LAN bisa "keluar" ke internet — itu bukan proteksi. Tanpa firewall filter, trafik yang mencoba masuk lewat WAN (misal scanning otomatis dari bot internet) masih diproses router, cuma kebetulan sering gagal karena tidak ada rule NAT yang mengarahkannya ke LAN. Firewall filter adalah lapisan yang secara eksplisit MEMUTUSKAN boleh/tidaknya trafik itu diproses sama sekali.

2 · Konsep3 Chain: Input, Forward, Output

Firewall filter RouterOS punya 3 chain (jalur) bawaan, tergantung siapa tujuan trafik itu:

1) Input — trafik TUJUAN router itu sendiri

Contoh: kamu login winbox/ssh ke router, atau ping ke IP router. Chain ini yang paling berisiko kalau salah konfig — kalau ter-drop, kamu kehilangan akses manajemen ke router itu sendiri.

2) Forward — trafik YANG LEWAT router (bukan untuk router)

Contoh: laptop di LAN browsing ke internet (lewat WAN), atau device WAN mencoba akses device di LAN. Ini chain yang benar-benar "melindungi LAN dari internet" — beda dari input yang soal keamanan router itu sendiri.

3) Output — trafik YANG DIBUAT router itu sendiri

Contoh: router melakukan NTP request, atau update check. Paling jarang dibatasi ketat di jaringan kecil/menengah — di luar scope modul ini.

⚠ Miskonsepsi umum: menyangka satu rule bisa "melindungi semuanya sekaligus". Rule di chain input TIDAK mempengaruhi trafik di chain forward, dan sebaliknya — keduanya perlu rule terpisah sesuai tujuannya masing-masing.

3 · KonsepConnection Tracking (established/related/new/invalid)

RouterOS "mengingat" status tiap koneksi yang lewat — ini disebut connection tracking. Statusnya:

  • new — paket pertama dari koneksi yang benar-benar baru.
  • established — bagian dari koneksi yang sudah "diakui" sebelumnya (misal balasan dari request yang kamu kirim).
  • related — koneksi baru tapi terkait dengan koneksi lain yang sudah established (contoh klasik: FTP data channel yang terkait FTP control channel).
  • invalid — paket yang tidak jelas asal-usulnya dalam tracking table (biasanya tanda paket rusak/aneh/serangan) — hampir selalu aman untuk di-drop.
💡 Kenapa ini penting? Tanpa connection tracking, kamu harus buat rule terpisah untuk SETIAP arah komunikasi (request keluar DAN balasan masuk) — merepotkan dan rawan salah. Dengan accept established,related sebagai rule PALING ATAS, semua balasan dari koneksi yang kamu inisiasi sendiri otomatis diizinkan tanpa perlu rule tambahan per-kasus.

4 · KonsepUrutan Rule & Default Drop

RouterOS mengevaluasi rule firewall dari atas ke bawah, berhenti di rule pertama yang cocok (first-match-wins). Ini artinya urutan rule sama pentingnya dengan isi rule itu sendiri.

🚨 Kesalahan fatal paling umum: menaruh rule drop semua di ATAS, sebelum rule accept untuk akses manajemen kamu sendiri. Begitu rule drop-semua itu ditambahkan, SEMUA trafik berikutnya (termasuk winbox/ssh kamu) langsung ditolak di situ juga — rule accept di bawahnya tidak akan pernah dievaluasi karena eksekusi sudah berhenti duluan di rule drop.

Urutan yang aman (pola standar):

  1. Accept established, related, untracked — paling atas, untuk performa & koneksi yang sudah sah.
  2. Accept akses manajemen (winbox/ssh dari subnet admin kamu) — allowlist, harus eksplisit sebelum rule drop apa pun.
  3. Drop invalid — buang paket yang tidak jelas asal-usulnya.
  4. (rule spesifik lain sesuai kebutuhan)
  5. Drop semua sisanya — SELALU PALING BAWAH, setelah semua rule accept di atas sudah didefinisikan.

5 · KonsepSafe Mode — Wajib Sebelum Ubah Firewall

RouterOS punya fitur bawaan bernama Safe Mode khusus untuk mencegah self-lockout: kalau kamu kehilangan koneksi ke router (karena rule yang baru saja ditambahkan ternyata salah) SEBELUM kamu sempat konfirmasi keluar dari Safe Mode, RouterOS akan otomatis membatalkan SEMUA perubahan yang dibuat selama sesi Safe Mode itu.

Cara aktifkan

  • Terminal/SSH: tekan Ctrl+X — prompt akan menunjukkan [Safe Mode taken].
  • WinBox: tombol "Safe Mode" di toolbar (atau Ctrl+X juga jalan di jendela terminal WinBox).
  • Tekan Ctrl+X sekali lagi untuk KELUAR Safe Mode (mengonfirmasi semua perubahan permanen) — HANYA lakukan ini setelah kamu yakin akses masih normal dari semua jalur yang perlu.
🛟 Jaring pengaman kedua: akses winbox lewat MAC address (diajarkan Modul 01) beroperasi di Layer 2 — secara default TIDAK melewati /ip firewall filter (yang bekerja di Layer 3/IP). Jadi walau rule IP-mu kacau, akses via MAC biasanya masih jalan sebagai jalur darurat. Ini bukan alasan untuk ceroboh — tetap pakai Safe Mode sebagai pertahanan utama.
⚠ Kalau kerja jarak jauh (remote) ke hardware fisik tanpa akses MAC/console langsung — Safe Mode adalah satu-satunya jaring pengaman kamu. Jangan pernah edit firewall input chain secara remote tanpa Safe Mode aktif.

6 · PraktikDemo Step-by-Step (CLI)

Ingat: aktifkan Safe Mode dulu (Ctrl+X) sebelum mengetik command apa pun di section ini.

1

Aktifkan Safe Mode, cek rule default

# Tekan Ctrl+X di terminal — prompt berubah: [admin@RB-KLINIK] (Safe Mode) > /ip firewall filter print (kosong pada instalasi baru — belum ada rule apa pun)
2

Rule pertama: accept established/related

> /ip firewall filter add chain=input connection-state=established,related,untracked action=accept comment="allow established/related"

Selalu paling atas — memastikan koneksi yang sudah sah (termasuk balasan dari trafik yang kamu inisiasi sendiri) tidak pernah ke-drop rule berikutnya.

3

Rule kedua: allowlist akses manajemen

> /ip firewall filter add chain=input src-address=10.10.10.0/24 protocol=tcp dst-port=8291,22 action=accept comment="allow mgmt winbox/ssh"

Subnet 10.10.10.0/24 ini subnet manajemen dari Modul 01. Rule ini HARUS ada sebelum rule drop-semua di langkah 5 — kalau tidak, kamu akan ter-lockout begitu drop-semua aktif.

4

Rule ketiga: drop invalid

> /ip firewall filter add chain=input connection-state=invalid action=drop comment="drop invalid"
5

Rule terakhir: drop semua sisanya (WAJIB PALING BAWAH)

> /ip firewall filter add chain=input action=drop comment="drop all other input - MUST STAY LAST" # Verifikasi urutan lengkap: > /ip firewall filter print # CHAIN ACTION COMMENT 0 input accept allow established/related 1 input accept allow mgmt winbox/ssh 2 input drop drop invalid 3 input drop drop all other input - MUST STAY LAST
🚨 JANGAN keluar Safe Mode dulu. Sebelum konfirmasi (Ctrl+X lagi), uji dulu di langkah 6-7.
6

Uji dari subnet manajemen (HARUS berhasil)

# Dari device di subnet 10.10.10.0/24, buka koneksi WinBox/SSH baru # (bukan reuse sesi yang sedang jalan — buka sesi BARU untuk tes jujur)

Kalau koneksi baru berhasil, allowlist manajemen (langkah 3) bekerja dengan benar. Kalau gagal, JANGAN keluar Safe Mode — biarkan timeout supaya semua perubahan otomatis dibatalkan, lalu tinjau ulang urutan rule.

7

Uji dari subnet LAIN (HARUS gagal — buktikan drop bekerja)

# Dari device DI LUAR subnet 10.10.10.0/24 (mis. LAN device biasa), # coba winbox/ssh ke router — harus GAGAL/timeout.

Kalau device di luar subnet manajemen JUSTRU berhasil konek, berarti ada rule yang keliru (mungkin allowlist terlalu longgar). Perbaiki sebelum keluar Safe Mode.

8

Pola sama untuk chain forward

> /ip firewall filter add chain=forward connection-state=established,related,untracked action=accept comment="allow established/related" > /ip firewall filter add chain=forward connection-state=invalid action=drop comment="drop invalid" > /ip firewall filter add chain=forward in-interface=bridge out-interface=ether1 action=accept comment="allow LAN to WAN new connections" > /ip firewall filter add chain=forward action=drop comment="drop all other forward - MUST STAY LAST"

Hasilnya: trafik LAN→WAN (device kamu browsing) tetap bisa jalan, tapi koneksi BARU yang diinisiasi dari WAN menuju LAN (misal scanning dari internet) otomatis ditolak — karena tidak ada rule accept yang cocok untuk arah itu sebelum drop-semua di paling bawah.

9

Konfirmasi & backup

# SETELAH semua tes (langkah 6-7) berhasil sesuai ekspektasi: # Tekan Ctrl+X SEKALI LAGI untuk keluar Safe Mode (konfirmasi permanen) > /system backup save name=setelah-firewall-2026-05-02 > /export file=setelah-firewall-2026-05-02

7 · Lab TaskPraktik Wajib — Hardware Kantor Mitra atau CHR Mandiri

🧭 Pilih jalurmu — keduanya setara dan sah:
  • Jalur Mandiri (CHR): lanjutkan CHR yang sama dari Modul 01-03. Bukti kelulusan = screenshot tiap tahap, disimpan sendiri (tidak perlu verifikasi pembimbing).
  • Jalur Formal (magang): pakai hardware MikroTik yang sama dari Modul 01-03 di kantor mitra. Hasil dicatat di template Laporan PKL Bagian 4, dan diverifikasi langsung oleh pembimbing.
🚨 Wajib pakai Safe Mode (Ctrl+X) untuk SELURUH task di bawah — dari task 1 sampai task 9. Jangan keluar Safe Mode sebelum task 8 (uji dua arah) selesai dan sesuai ekspektasi.

📋 9 Lab Tasks — Modul 04

  1. Aktifkan Safe Mode (Ctrl+X), screenshot prompt yang menunjukkan [Safe Mode taken].
  2. Cek rule firewall default — screenshot /ip firewall filter print (biasanya kosong).
  3. Buat rule accept established/related/untracked di chain input, paling atas. Screenshot hasilnya.
  4. Buat rule allowlist manajemen — accept winbox/ssh HANYA dari subnet manajemen kamu (10.10.10.0/24 atau subnet lab kamu). Screenshot hasilnya.
  5. Buat rule drop invalid di chain input. Screenshot hasilnya.
  6. Buat rule drop-semua di chain input, paling bawah. Screenshot /ip firewall filter print menunjukkan urutan LENGKAP 4 rule (nomor 0-3) sesuai urutan di atas.
  7. Uji akses manajemen: dari subnet manajemen HARUS masih bisa konek winbox/ssh (sesi baru). Screenshot bukti berhasil.
  8. Uji dari subnet lain (kalau ada device test kedua): winbox/ssh HARUS gagal/timeout dari luar subnet manajemen. Screenshot bukti gagal (atau catat hasil kalau tidak ada device test kedua).
  9. Ulangi pola serupa di chain forward (established/related → drop invalid → allow LAN-ke-WAN → drop-semua paling bawah), lalu baru keluar Safe Mode setelah semua tes sesuai ekspektasi. Screenshot /ip firewall filter print final (input + forward) dan hasil /system backup save.

Selesai? Jalur Formal: tunjuk pembimbing untuk verifikasi — pembimbing akan cek langsung: akses manajemen dari subnet yang benar tetap jalan, akses dari luar subnet manajemen ditolak, dan urutan rule sudah benar (allowlist SEBELUM drop-semua). Jalur Mandiri: cek sendiri — kalau semua 9 screenshot lengkap dan konsisten (terutama bukti uji akses berhasil DAN gagal sesuai ekspektasi), lab task ini selesai. Simpan buktinya untuk checklist di halaman progres.

8 · Self-AssessmentCek Pemahaman (5 Soal)

1. Kenapa WAJIB aktifkan Safe Mode sebelum edit firewall?
2. Kenapa rule "drop semua" HARUS di paling BAWAH, bukan di atas?
3. Status connection tracking untuk paket balasan dari koneksi yang sudah kamu inisiasi sendiri:
4. Rule di chain FORWARD mempengaruhi akses winbox/ssh KE router itu sendiri?
5. Kamu ter-lockout dari winbox/ssh setelah salah urutan rule (tidak pakai Safe Mode). Jalur darurat yang masih mungkin bekerja (dari Modul 01):

9 · RangkumanKey Takeaways Modul 04

  1. Safe Mode dulu, selalu — sebelum sentuh rule firewall apa pun, tanpa kecuali.
  2. Input vs Forward — input untuk akses ke router itu sendiri, forward untuk trafik yang cuma lewat.
  3. Urutan rule = first-match-wins — rule di atas dievaluasi duluan, drop-semua HARUS paling bawah.
  4. Allowlist manajemen SEBELUM drop-semua — atau kamu akan self-lockout.
  5. established/related di paling atas mengurangi kerumitan rule & risiko salah konfig.
  6. Selalu uji DUA arah: akses yang seharusnya BOLEH (berhasil) dan yang seharusnya DITOLAK (gagal) — jangan cuma tes satu sisi.
  7. MAC address WinBox adalah jaring pengaman kedua (Layer 2, di luar jangkauan firewall filter) — bukan alasan untuk skip Safe Mode.

📘 Modul Berikutnya

Modul 05 — Hotspot: WiFi Tamu dengan Login Page

Setelah LAN aman dengan firewall, kita bikin jaringan WiFi tamu terpisah dengan halaman login (captive portal) — user manager, voucher, dan walled garden untuk klinik gigi kita.

← Kembali ke daftar 6 modul

10 · GlossariumIstilah Penting di Modul Ini

Chain Input
Jalur firewall untuk trafik yang tujuannya router itu sendiri (mis. winbox/ssh).
Chain Forward
Jalur firewall untuk trafik yang cuma LEWAT router (mis. LAN ke WAN), bukan ditujukan ke router.
Connection Tracking
Mekanisme RouterOS "mengingat" status tiap koneksi: new, established, related, invalid.
First-Match-Wins
Prinsip evaluasi rule firewall: dari atas ke bawah, berhenti di rule pertama yang cocok.
Safe Mode
Fitur RouterOS (Ctrl+X) yang otomatis membatalkan perubahan kalau koneksi terputus sebelum dikonfirmasi.
Allowlist
Rule accept eksplisit untuk akses yang diizinkan, harus ada SEBELUM rule drop-semua.
MAC Access (jaring pengaman)
Akses WinBox via MAC address (Layer 2) yang secara default tidak melewati firewall filter (Layer 3).
Invalid (connection state)
Paket yang tidak jelas asal-usulnya di tracking table — umumnya aman untuk di-drop.