Modul Praktikum 13
Konfigurasi Firewall Pada Mikrotik RouterOS
Disusun Oleh : Nama : Musdari Nim : 1541180153 Kelas : TI_2B
No.Hp : 085330170945
Email : [email protected]
POLITEKNIK NEGERI MALANG JURUSAN TEKNOLOGI INFORMASI
PRODI TEKNIK INFORMATIKA
2017
Langkah Praktikum:
Pada praktikum kali ini, anda akan menggunakan routerOS CHR yang telah diinstall pada praktikum sebelumnya
· Lakukanlah praktikum ini secara berkelompok, beranggotakan 2 orang. Ketika 1 orang selesai melakukan konfigurasi, 1 teman lain melakukan pengujian (pastikan routerOS teman anda dalam keadaan shutdown).
· Logical Topologi jaringan yang kita buat adalah seperti berikut. (Host & Guest VM digambarkan terpisah)
Konfigurasi Jaringan yang akan kita buat adalah sebagai berikut :
· Jaringan LAN mempunyai IP jaringan yang berbeda dengan WAN. Dan ketika berkomunikasi ke WAN, IP address dari jaringan LAN akan disamarkan oleh firewall
· Mikrotik hanya bisa diakses dari WAN melalui winbox & ssh
· Akses dari LAN yang diperbolehkan hanya web browsing dan ping ICMP
· Akses website youtube dari LAN tidak diperbolehkan
· Akses website facebook dan LAN pada jam kerja tidak diperbolehkan
· Semua packet yang tidak sesuai dengan aturan diatas akan di reject
Berikut adalah langkah-langkah konfigurasi firewall nya
1. Koneksikan komputer anda ke jaringan wireless gedung/tethering, dan pastikan sampai anda dapat terkoneksi ke internet.
Kemudian koneksikan Winbox ke routerOS anda untuk memulai konfgurasi 2. NAT
Konfigurasi hotspot yang dibuat pada praktikum sebelumnya, otomatis memberikan banyak konfigurasi firewall. Bisa anda lihat pada menu IP firewall, akan banyak konfigurasi yang telah dibuat.
Rubahlah Nama interface terlebih dahulu untuk memudahkan setting berikutnya.
Masuk ke menu Interfaces Interface Rubah name “ether1” menjadi WAN Rubah name “ether2” menjadi LAN
Hapuslah konfigurasi hotspot yang ada sebelumnya dibuat pada menu IP-hotspot
Masuk ke menu IP firewall, dan perhatikan bahwa konfigurasi NAT masih tersimpan di konfigurasi. Rubahlah konfigurasi IP NAT untuk interface LAN tersebut, menjadi subnet :
Network Address : 10.<no-absent>.0.0/24 IP gateway : 10.<no-absent>.0.1
Untuk merubah keseluruhan setting IP NAT untuk jaringan LAN, anda juga perlu merubah konfigurasi IP di :
IP DHCP Server Networks : Rubah Address & Gateway sesuai segment subnet baru
IP Pool: Rubah Addresses range, sesuai subnet baru
Berikutnya client yang terkoneksi ke LAN cable akan mendapatkan segment yang baru ini.
Tapi untuk memastikan OS windows hanya memiliki koneksi di WAN, maka perlu dimatikan IP address yang didapat dari koneksi LAN. Lakukan perintah berikut pada CMD command prompt :
$> ipconfig /release "Local Area Connection"
Untuk memahami bagaimana NAT ini bekerja maka, mintalah teman untuk koneksi ke LAN cable anda.
Aktifkan packet capture melalui menu : Tools Packet sniffer
Gunakan Filter, dan hanya aktifkan ICMP saja. Pilih Apply lalu Pilih Start
Dari komputer teman, lakukan percobaan ping ke IP internet
$> ping –n 1 8.8.8.8
Setelah selesai. Pilih Stop dan pilih Packets. Akan muncul 4 packet yang melewati firewall.
Perhatikan dan Simpulkan apa yang berbeda antara paket 1-2 dan antara paket 3-4.
Cobalah lakukan ping dari PC teman ke Windows HostOS. Dan lakukan juga ping dari Windows HostOS ke PC teman. Tulis kesimpulan anda mengenai fitur NAT.
3. Filter Akses ke Firewall
Untuk membatasi akses ke Mikrotik dari WAN kita perlu menambahkan rule berikut.
Chain: INPUT IN interface : WAN Action : drop
Lalu pilih OK
Maka koneksi winbox kita tidak akan bisa digunakan lagi, karena koneksi winbox merupakan koneksi dari WAN menuju -- ke firewall.
Untuk memperbolehkan koneksi kembali maka tambahkan rule berikut ke mikrotik melalui command console
$> ip firewall filter add chain=input in-interface=WAN protocol=tcp dst-port=8291 action=accept
comment="Memperbolehkan koneksi Winbox" disabled=no placebefore=
0
Lakukan reconnect setelah selesai melakukan perintah.
Untuk menghindari kesalahan fatal konfigurasi seperti penambahan rule pertama, kita bisa memanfaatkan fitur “safe mode” di mikrotik. Dengan “safe mode” konfigurasi akan kembali ke awal, apabila session kita terputus. Dan hanya akan “disimpan” saat kita menekan kembali “safe mode” (keluar dari mode safe).
Hapus kembali rule no# ke 0, sehingga winbox terputus. Tapi cobalah segera untuk connect kembali, tanpa perlu menambahkan perintah ke console. Cek kembali IPFirewall-
Filter Rule.
Tambahkan juga rule untuk memperbolehkan SSH ke mikrotik dari WAN, dengan setting berikut.
Chain: INPUT IN interface : WAN Protocol : tcp
Dst Port : (isikan nomor port standard SSH) Action : accept
Comment : “Memperbolehkan SSH”
Rule baru akan berada paling bawah, namun karena algoritma firewall sifatnya
sekuensial, maka perlu kita taruh diatas rule block yang kita buat pertama. Pindahkan rule tersebut secara “drag n drop” di nomer 1.
4. Pembatasan Akses dari LAN
Untuk memperbolehkan hanya akses internet oleh client dari LAN, maka perlu kita tambahkan firewall rule FORWARD.
“Memperbolehkan browsing”
Chain: FORWARD IN interface : LAN Protocol : tcp
Port : (isikan nomor port standard HTTP) Action : accept
Chain: FORWARD IN interface : LAN Protocol : tcp
Port : (isikan nomor port standard HTTPS) Action : accept
Chain: FORWARD IN interface : LAN Protocol : udp
Port : (isikan nomor port standard DNS) Action : accept
“Block koneksi LAN”
Chain: FORWARD IN interface : LAN Action : drop
Tambahkan juga konfigurasi untuk memperbolehkan ping ICMP dari LAN menuju ke internet. Cobalah konfigurasi anda.
Pastikan anda menyusun aturan firewall sesuai dengan sekuens yang benar sehingga aturan firewal bisa dijalankan.
5. Pembatasan URL youtube dari LAN
Untuk membatasi akses ke website tertentu kita bisa memanfaatkan fitur layer 7 dari mikrotik. Tambahkan konfigurasi berikut ke firewal L7 protocol :
Lalu tambahkan filter rule baru berikut.
“Block website youtube”
Chain: FORWARD IN interface : LAN Protocol : tcp
Advanced | Layer 7 Protocol : URL-youtube Action | Action : drop
Cobalah browsing ke youtube.com dan pastikan website nya tidak bisa diakses.
6. Penggunaan IP address list dan Mangle
Misalnya di peraturan LAN dilarang untuk melakukan browsing facebook, pada waktu jam kerja. Dan bagi yang melanggar, maka IP yang mengakses akan kita block untuk semua koneksi selama 10 menit, maka firewall rule yang perlu kita tambahkan adalah:
Firewall L7 protocol Name : URL-facebook
Regexp : ^(.*)(facebook.com)(.*)\$
Address Lists Name : fesbuker
Address : 1.1.1.1 (Address dummy)
Timeout : 00:05:00 (Address ini akan dihapus dalam waktu 5 menit)
Filter Rules (Letakkan rules ini di sebelum accept browsing HTTP)
“Block IP fesbuker”
Chain: FORWARD IN interface : LAN Protocol : tcp
Advanced | Src Address List : fesbuker Action | Action : drop
Lalu tambahkan juga mangle rule, supaya address list bisa terupdate secara otomatis, bagi yang berusaha mengakses facebook.com pada waktu jam kerja:
Mangle Rule Chain: prerouting IN interface : LAN Protocol : tcp
Advanced | Layer 7 Protocol : URL-facebook Extra | Time : 00:08:00 – 00:17:00
Action | Action : add-src-to-address-list Action | address list : fesbuker
Cobalah konfigurasi anda dari client, dengan mencoba akses ke facebook.com. maka IP client akan tercatat di address list, dan IP tersebut akan diblock aksesnya ke internet selama 10 menit.
Lakukan screenshot terhadap keseluruhan filter rule yang telah anda buat dalam praktikum kali ini
