Cara Setting MikroTik untuk Internet Kantor: Panduan Dasar RouterOS 7

Setting dasar MikroTik untuk internet kantor terdiri dari empat bagian: port LAN digabung dalam bridge dengan IP gateway, DHCP server untuk klien, koneksi WAN di ether1 sesuai layanan ISP (DHCP, IP statis, atau PPPoE), dan NAT masquerade. Setelah itu, akses ke router perlu diamankan.

Perintah di bawah mengikuti dokumentasi resmi RouterOS 7 dan dijalankan di CLI RouterOS. Contoh alamat memakai 192.168.88.0/24 seperti di dokumentasi MikroTik. Sesuaikan dengan rencana IP kantor Anda.

Persiapan sebelum konfigurasi

Sambungkan kabel dari modem atau perangkat ISP ke ether1. Port ini menjadi WAN. Komputer untuk konfigurasi dihubungkan ke port lain.

1. Unduh dan jalankan WinBox. Aplikasi ini tidak perlu diinstal.
2. Pada pilihan Select from, pilih Neighbors. Router akan muncul di daftar.
3. Klik dua kali entri router. Jika alamat IP-nya 0.0.0.0 atau tidak bisa dijangkau, sambungkan lewat alamat MAC.
4. Login dengan username admin. Password dikosongkan, atau isi dengan password yang tercetak di label perangkat.

Konfigurasi default atau reset bersih

Router yang membawa konfigurasi default sudah memiliki firewall dasar, DHCP server, dan pengaturan keamanan wireless untuk model yang punya WiFi. Dokumentasi MikroTik menyarankan pemula mempertahankan konfigurasi ini dan cukup menyesuaikannya. Aturan firewall yang sudah ada jangan dinonaktifkan; tambahkan aturan baru hanya jika perlu.

Langkah bridge dan DHCP server di bawah diperlukan jika router tidak membawa konfigurasi default, atau sengaja di-reset ke kondisi bersih dengan perintah ini:

/system/reset-configuration no-defaults=yes skip-backup=yes

Router akan reboot tanpa pengaturan, aturan firewall, maupun layanan bawaan. Opsi skip-backup=yes berarti tidak ada backup yang dibuat sebelum reset. Setelah reboot, sambungkan kembali lewat alamat MAC di WinBox karena router belum punya alamat IP.

Membuat bridge LAN dan alamat IP

Bridge menggabungkan beberapa port fisik menjadi satu segmen LAN. Alamat IP gateway dipasang di bridge tersebut.

/interface/bridge/add name=bridge1
/interface/bridge/port/add interface=ether2 bridge=bridge1
/interface/bridge/port/add interface=ether3 bridge=bridge1
/ip/address/add address=192.168.88.1/24 interface=bridge1

Tambahkan baris port/add untuk setiap port LAN lain yang dipakai. Lewat WinBox atau WebFig:

1. Buka Bridge, tab Bridge, klik +, biarkan nama bridge1, lalu klik OK.
2. Pindah ke tab Ports, klik +, pilih ether2 sebagai interface dan bridge1 sebagai bridge, lalu klik OK. Ulangi untuk port LAN lainnya.
3. Buka IP → Address, klik +, isi 192.168.88.1/24, pilih interface bridge1, lalu klik OK.

Mengaktifkan DHCP server

Wizard DHCP setup membuat pool alamat dan server DHCP sekaligus. Jalankan perintah berikut, lalu tekan Enter untuk menerima setiap nilai yang disarankan:

/ip/dhcp-server/setup

Di WinBox, buka IP → DHCP Server, tab DHCP, klik DHCP Setup, pilih bridge1 sebagai DHCP Server Interface, lalu ikuti wizard sampai selesai.

Komputer di port LAN sekarang mendapat IP otomatis. Tutup WinBox dan sambungkan kembali ke router lewat alamat 192.168.88.1.

DNS untuk klien

Dengan nilai di atas, klien menerima 192.168.88.1 sebagai DNS server. Router baru menjawab permintaan DNS dari klien jika allow-remote-requests diaktifkan, dan nilai default-nya no:

/ip/dns/set allow-remote-requests=yes

Dokumentasi DNS MikroTik meminta akses ke port 53 TCP dan UDP dibatasi untuk host yang dikenal. Aturan firewall input di bagian pengamanan nanti menutup akses tersebut dari sisi WAN.

Menghubungkan WAN ke ISP

Pilih satu metode sesuai jenis layanan dari ISP.

DHCP client (IP dinamis)

/ip/dhcp-client/add disabled=no interface=ether1
/ip/dhcp-client/print

Status yang benar adalah bound, disertai alamat IP yang diberikan ISP.

IP statis

/ip/address/add address=1.2.3.100/24 interface=ether1
/ip/route/add gateway=1.2.3.1
/ip/dns/set servers=8.8.8.8

Ganti alamat, gateway, dan DNS dengan data dari ISP.

PPPoE

/interface/pppoe-client/add disabled=no interface=ether1 user=me password=123 add-default-route=yes use-peer-dns=yes

Di WinBox, buka PPP, tab Interface, klik +, pilih PPPoE Client, lalu pilih ether1 sebagai interface. Di tab Dial Out, isi username dan password dari ISP, lalu klik OK.

Setelah PPPoE aktif, interface WAN menjadi pppoe-out1. Pakai nama ini di semua aturan NAT dan firewall berikutnya.

Uji koneksi

/ping 8.8.8.8
/ping google.com

Ping ke alamat IP menguji konektivitas, ping ke nama domain menguji DNS. Jika ping IP berhasil tetapi ping domain gagal, periksa pengaturan DNS router.

NAT masquerade agar klien bisa ke internet

Klien LAN memakai IP privat, jadi lalu lintas yang keluar lewat WAN perlu di-masquerade ke IP router. Lewati langkah ini jika konfigurasi default sudah memiliki aturan masquerade.

/ip/firewall/nat/add chain=srcnat out-interface=ether1 action=masquerade

Dokumentasi MikroTik juga memberi contoh berbasis interface list. Port WAN dimasukkan ke list WAN, lalu aturan NAT merujuk ke list tersebut:

/interface/list/add name=WAN
/interface/list/member/add list=WAN interface=ether1
/ip/firewall/nat/add chain=srcnat out-interface-list=WAN ipsec-policy=out,none action=masquerade

Pakai salah satu saja. Versi interface list praktis jika port WAN suatu saat berganti, karena cukup anggota list yang diubah.

Mengamankan akses router

User dan password

/user/add name=myname password=mypassword group=full
/user/disable admin

Pastikan login dengan user baru berhasil sebelum menonaktifkan admin. Sebaiknya setiap administrator punya akun sendiri. Password minimal 12 karakter, campuran huruf besar, huruf kecil, angka, dan simbol, tanpa kata dari kamus.

Jika password ditulis di dalam tanda kutip, karakter ", \, dan $ harus diawali backslash. Tanpa itu, $ dibaca sebagai variabel dan password yang tersimpan bisa lebih pendek dari yang Anda ketik. Password admin yang hilang tidak bisa dipulihkan: router harus di-reset atau RouterOS diinstal ulang.

Firewall input dan forward

Pada router dengan konfigurasi default, firewall bawaan sudah memblokir akses manajemen dari WAN. Untuk router yang di-reset bersih, aturan berikut diambil dari dokumentasi MikroTik. Aturan yang membuka WinBox dan SSH dari WAN sengaja tidak disertakan.

/ip/firewall/filter
add chain=input action=accept connection-state=established,related,untracked comment="accept established,related,untracked"
add chain=input action=drop connection-state=invalid comment="drop invalid"
add chain=input action=accept in-interface=ether1 protocol=icmp comment="accept ICMP"
add chain=input action=drop in-interface=ether1 comment="block everything else"
add chain=forward action=fasttrack-connection connection-state=established,related comment="fast-track for established,related"
add chain=forward action=accept connection-state=established,related comment="accept established,related"
add chain=forward action=drop connection-state=invalid
add chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface=ether1 comment="drop access to clients behind NAT from WAN"

Chain input menerima koneksi yang sudah terjalin dan ICMP, lalu membuang koneksi lain dari WAN ke router. Di chain forward, aturan fasttrack membuat koneksi established dan related melewati pemrosesan firewall sehingga beban CPU turun. Aturan terakhir memblokir koneksi baru dari WAN ke LAN yang bukan hasil dst-nat.

Jika WAN memakai PPPoE, ganti ether1 dengan pppoe-out1. Periksa nama interface sebelum menjalankan perintah, karena interface yang salah bisa membuat Anda terkunci dari router. Untuk mengelola router dari luar kantor, panduan keamanan MikroTik menyarankan VPN seperti WireGuard, bukan membuka layanan manajemen ke internet.

Layanan yang tidak dipakai

/ip/service/disable telnet,ftp,www,api
/ip/ssh/set strong-crypto=yes
/tool/bandwidth-server/set enabled=no

Layanan www adalah WebFig lewat HTTP. Jika tim Anda memakai WebFig, sesuaikan daftar tersebut. Opsi strong-crypto=yes membuat server SSH berhenti menawarkan cipher dan algoritma lama seperti SHA-1, MD5, dan 3DES.

Untuk jaringan produksi, dokumentasi MikroTik juga menyarankan akses MAC dan neighbor discovery dimatikan:

/tool/mac-server/set allowed-interface-list=none
/tool/mac-server/mac-winbox/set allowed-interface-list=none
/tool/mac-server/ping/set enabled=no
/ip/neighbor/discovery-settings/set discover-interface-list=none

Setelah itu router tidak lagi muncul di tab Neighbors dan tidak bisa diakses lewat alamat MAC. Jalankan bagian ini setelah akses WinBox lewat IP sudah dipastikan berjalan.

Update RouterOS

Perbarui RouterOS lewat Check for Updates di WinBox atau WebFig, dan ikuti pengumuman keamanan yang diterbitkan MikroTik.

Backup konfigurasi

Dokumentasi MikroTik menyarankan backup setiap kali satu bagian konfigurasi selesai dan sebelum perubahan yang berisiko. Dari CLI:

/export file=konfigurasi-kantor

Di WinBox, buka Files, klik Backup, lalu beri nama yang jelas. Untuk mengembalikan, pilih file backup di Files dan klik Restore. Unduh file backup ke komputer atau server lain agar tetap tersedia jika router rusak atau di-reset.

Langkah berikutnya

Dengan bridge LAN, DHCP server, koneksi WAN, NAT, dan firewall dasar, router MikroTik sudah bisa melayani internet kantor. Pekerjaan lanjutan yang biasa menyusul adalah WiFi, VLAN untuk memisahkan divisi atau jaringan tamu, dan VPN untuk akses dari luar kantor. Untuk kantor dengan beberapa cabang atau kebutuhan VLAN dan VPN antarkantor, IPA melayani desain dan instalasinya lewat layanan Network Design.

Untuk perangkat dan lisensi MikroTik di Indonesia, silakan hubungi kami.