by Pemindai otomatis menyapa router yang terhubung ke internet publik dalam hitungan menit, dan firewall filter Mikrotik adalah lapisan pertahanan pertama yang menentukan apakah router menerima atau membuang sapaan itu. Saya mengelola belasan router RouterOS untuk jaringan RT-RW Net dan ISP kecil, dan hampir semua insiden serius yang pernah saya tangani berakar pada satu hal: administrator tidak paham paket mana masuk ke chain mana. Akibatnya mereka memasang rule di tempat salah, paket tidak pernah menyentuhnya, dan router tetap telanjang meski daftar aturannya tampak panjang.
Masalah kedua justru kebalikannya. Seorang teknisi belajar bahwa router harus aman, lalu menempelkan satu baris drop di chain input tanpa mengecek apakah laptopnya sendiri masih punya jalan masuk. Winbox langsung putus, ping mati, dan teknisi itu kini hanya bisa memulihkan perangkat di tiang setinggi delapan meter dengan bantuan tangga.
Tulisan ini membedah fitur tersebut dari dasar sampai praktik lapangan: posisinya dalam alur paket RouterOS, tiga chain bawaan, urutan evaluasi rule, daftar action, connection state, address list, chain khusus dengan jump, sampai studi kasus mengamankan router RT-RW Net berisi 120 pelanggan. Bagian troubleshooting menutupnya dengan skenario paling menakutkan bagi teknisi lapangan, yaitu mengunci diri sendiri.
Pengertian Firewall Filter Mikrotik
Firewall filter Mikrotik adalah subsistem RouterOS yang memeriksa setiap paket IP lalu memutuskan apakah router meloloskan atau membuang paket itu. Fitur ini hidup di menu /ip firewall filter dan bekerja murni sebagai penjaga gerbang: ia tidak mengubah alamat, tidak menandai paket, dan tidak membatasi kecepatan.
Cara berpikirnya sederhana. Anda menyusun daftar aturan berurutan, masing-masing berisi kondisi pencocokan dan satu tindakan. Router membaca daftar itu dari nomor terkecil, membandingkan paket dengan tiap baris, lalu menjalankan action milik baris pertama yang cocok. RouterOS mengabaikan baris di bawahnya selama action tersebut bersifat final.
Menu firewall RouterOS memuat beberapa tabel yang sering tertukar. Tabel filter memutuskan boleh atau tidak, sedangkan NAT menerjemahkan alamat seperti pada aturan port forwarding ke server lokal, dan mangle menempelkan tanda untuk dipakai queue maupun routing kebijakan. Kekeliruan klasik muncul ketika teknisi menaruh rule blokir situs di chain input, padahal trafik pelanggan menuju situs luar jelas melintas, bukan menuju router.
Cara Kerja Firewall Filter Mikrotik
Paket yang tiba di interface pertama-tama melewati prerouting, tempat dst-nat dan mangle bekerja. Setelah itu router mengambil keputusan routing, dan keputusan itulah yang menentukan chain mana yang menangani paket tersebut. Dokumentasi resmi packet flow tersedia di portal dokumentasi MikroTik dan layak Anda simpan sebagai rujukan cepat.
Perilaku bawaan firewall filter Mikrotik adalah menerima. Selama Anda belum menulis rule apa pun, seluruh paket lolos. Itu sebabnya router baru yang langsung memakai alamat publik menjadi sasaran empuk bot pemindai SSH dan Winbox dalam waktu singkat.
Tiga Chain Bawaan: Input, Forward, dan Output
Chain input menampung paket yang alamat tujuannya adalah router itu sendiri: sesi Winbox ke port 8291, SSH, kueri DNS dari pelanggan yang memakai router sebagai resolver, autentikasi PPPoE, ping ke gateway, sampai upaya brute force dari internet. Bagian ini paling kritis sekaligus paling berbahaya, sebab akses administratif Anda melewati jalur yang sama persis.
Sementara itu, chain forward menangani paket yang hanya menumpang lewat, yaitu trafik antar jaringan. Semua aktivitas pelanggan berada di sini, dan volumenya sering ratusan kali lipat dibanding chain input. Karena itu efisiensi rule pada chain forward berdampak langsung ke beban CPU, terutama pada perangkat kelas RB750Gr3 yang melayani seratusan pelanggan.
Chain output memeriksa paket yang lahir dari router: balasan Winbox ke laptop Anda, permintaan sinkronisasi NTP, kueri DNS cache, pengecekan Netwatch, dan laporan e-mail. Administrator jarang menyentuh chain ini, tetapi ia berguna untuk mencegah router bertanya ke resolver liar atau membatasi router agar hanya menghubungi server RADIUS resmi.
| Chain | Jenis paket | Contoh nyata | Risiko salah rule |
|---|---|---|---|
| input | Menuju router | Winbox, SSH, DNS, PPPoE, ping ke gateway | Sangat tinggi, admin ikut terblokir |
| forward | Melintasi router | Browsing pelanggan, antar VLAN, streaming | Sedang, pelanggan kehilangan layanan |
| output | Dibuat router | NTP, Netwatch, kueri DNS cache, e-mail | Sedang, layanan router macet diam-diam |
Urutan Rule dan Daftar Action
RouterOS membaca rule seperti manusia membaca daftar periksa: dari baris pertama sampai ketemu yang cocok. Begitu router menemukan baris dengan action accept, drop, atau reject, pemeriksaan chain tersebut selesai untuk paket itu. Saya beberapa kali menemukan router dengan 40 aturan keamanan yang ternyata mandul semua karena baris kedua berbunyi accept untuk semua alamat.
Pilihan action menentukan perilaku jaringan. Untuk trafik dari internet publik saya selalu memakai drop, sebab balasan reject justru memberi tahu penyerang bahwa alamat itu hidup sekaligus memakan bandwidth upstream ketika ribuan paket pemindai datang. Sebaliknya reject lebih ramah bagi pengguna internal karena aplikasi langsung gagal dengan pesan jelas, bukan menggantung sampai timeout tiga puluh detik.
Selain ketiganya tersedia jump yang melemparkan pemeriksaan ke chain buatan sendiri, return yang mengembalikannya, log yang mencatat paket ke log sistem, serta add-src-to-address-list yang menaruh alamat sumber ke daftar dinamis. Dua yang terakhir menjadi tulang punggung mekanisme anti brute force.
| Action | Efek pada paket | Waktu terbaik memakainya |
|---|---|---|
| accept | Lolos, pemeriksaan chain berhenti | Trafik tepercaya yang sudah Anda verifikasi |
| drop | Dibuang tanpa balasan apa pun | Serangan dan pemindaian dari internet publik |
| reject | Dibuang plus pesan ICMP atau TCP reset | Pembatasan internal agar aplikasi gagal cepat |
| jump | Pindah ke chain buatan sendiri | Merapikan puluhan rule sejenis |
| return | Kembali ke chain pemanggil | Mengakhiri chain khusus lebih awal |
| log | Mencatat lalu lanjut ke baris berikutnya | Investigasi sementara, bukan produksi permanen |
| add-src-to-address-list | Menyimpan alamat sumber ke daftar | Deteksi brute force dan port scan bertahap |
Connection State dan Pola Rule Modern
RouterOS melacak setiap sesi lewat connection tracking, dan hasil pelacakan itu bisa Anda pakai sebagai kondisi rule. Administrator paling sering memakai empat nilai, yaitu new untuk paket pembuka sesi, established untuk paket lanjutan sesi yang sudah router kenali, related untuk sesi turunan seperti pesan ICMP error, dan invalid untuk paket yang tidak cocok dengan sesi mana pun.
Pola modern selalu menempatkan accept established dan related di baris paling atas. Logikanya efisiensi: mayoritas paket dalam jaringan adalah lanjutan sesi yang sudah Anda izinkan, jadi biarkan paket itu lolos setelah satu pemeriksaan murah, bukan setelah menelusuri tiga puluh baris. Router yang tadinya sibuk 65 persen sering turun ke bawah 30 persen hanya karena penataan ini.
Baris kedua biasanya berisi drop untuk paket invalid. Paket semacam itu muncul dari sesi yang timeout sepihak, serangan spoofing, atau routing asimetris, dan membiarkannya lewat hanya menambah sampah di tabel koneksi. Setelah dua baris tersebut barulah aturan bisnis Anda mulai bekerja.
Kelebihan dan Kekurangan Firewall Filter Mikrotik
Keunggulan terbesarnya adalah kendali penuh dengan biaya nol. Anda mendapat mesin penyaring stateful setara appliance komersial pada perangkat seharga satu juta rupiah, lengkap dengan address list dinamis, chain buatan sendiri, dan counter per rule. Bagi operator RT-RW Net yang menghitung setiap rupiah belanja modal, nyaris tidak ada pesaing yang menandingi nilai itu.
Kekurangan firewall filter Mikrotik juga nyata. Tidak ada wizard, tidak ada validasi niat, dan tidak ada peringatan ketika Anda hendak memutus akses diri sendiri. RouterOS menjalankan perintah persis seperti yang Anda ketik, termasuk perintah yang membuat router menghilang dari jaringan.
| Aspek | Kelebihan | Kekurangan |
|---|---|---|
| Biaya | Sudah termasuk lisensi RouterOS | Butuh waktu belajar yang tidak sedikit |
| Fleksibilitas | Kondisi pencocokan sangat kaya | Mudah menyusun aturan yang saling bertabrakan |
| Kinerja | Ringan bila memakai connection state | Rule layer7 dan content memberatkan CPU |
| Operasional | Counter memudahkan audit | Tidak ada pengaman bawaan dari lockout |
Default-Accept atau Default-Drop
Pendekatan default-accept membiarkan semua paket lewat, lalu Anda menambahkan aturan drop untuk setiap hal yang ingin Anda larang. Rasanya nyaman karena tidak pernah memutus layanan secara mendadak, tetapi kelemahannya fatal: Anda hanya aman dari ancaman yang sudah Anda pikirkan. Port yang tiba-tiba aktif setelah upgrade paket akan lolos begitu saja.
Default-drop melakukan kebalikannya, yaitu membuang segalanya di baris terakhir dan hanya meloloskan trafik yang Anda izinkan secara eksplisit. Saya menerapkan kebijakan firewall filter Mikrotik semacam ini untuk chain input di semua router produksi, dengan harga berupa disiplin: setiap layanan baru menuntut satu baris izin baru. Untuk chain forward di jaringan RT-RW Net saya bersikap lebih longgar, sebab pelanggan memakai game dan aplikasi dengan port yang tidak terprediksi.
Persiapan Sebelum Menyusun Rule
Persiapan matang memangkas hampir semua risiko saat Anda mulai menyusun firewall filter Mikrotik. Sebelum menyentuh menunya saya memastikan tiga hal tersedia: backup konfigurasi terbaru, daftar alamat administratif yang sah, serta jalur cadangan untuk masuk kalau jalur utama tertutup. Ketiganya memakan waktu sepuluh menit dan menyelamatkan berjam-jam.
Kumpulkan dulu data berikut supaya aturan yang Anda tulis bukan sekadar tebakan:
- Peta subnet lengkap dengan peruntukannya, misalnya 192.168.88.0/24 untuk manajemen, 10.10.0.0/16 untuk pelanggan PPPoE, dan 172.16.10.0/24 untuk hotspot.
- Daftar port layanan yang benar-benar dipakai: Winbox 8291, SSH 22, API 8728, API-SSL 8729, web 80.
- Alamat IP yang berhak melakukan administrasi, sebaiknya lewat jalur VPN karena alamat ISP retail hampir selalu berubah.
- Nama interface WAN dan bridge LAN persis seperti yang tercantum di router.
Jalur pemulihan adalah asuransi Anda. Yang pertama dan paling murah adalah Safe Mode, mekanisme bawaan yang membatalkan seluruh perubahan begitu sesi administratif terputus; Winbox menyediakan tombolnya di kiri atas, sedangkan terminal mengaktifkannya dengan Ctrl-X. Asuransi kedua berupa akses lewat alamat MAC, dan yang ketiga berupa penjadwal pembatal yang saya bahas di bagian tips. Buat pula backup dua bentuk sesuai prosedur cadangkan dan reset konfigurasi RouterOS.
Konfigurasi Firewall Filter Mikrotik Langkah demi Langkah
Bagian ini menyusun rangkaian firewall filter Mikrotik dari nol pada skenario nyata: satu router gateway dengan uplink publik di ether1, subnet manajemen 192.168.88.0/24, dan pelanggan PPPoE di 10.10.0.0/16. Saya menuliskannya sebagai perintah terminal karena Anda lebih mudah memverifikasi dan mendokumentasikannya dibanding klik demi klik. Pemula yang belum terbiasa dengan terminal boleh memakai jendela Firewall di Winbox, sebab isian kolomnya sama persis dengan parameter di bawah ini.
Langkah 1: Safe Mode dan Address List Admin
Tekan Ctrl-X di terminal sebelum apa pun. Prompt akan berubah menandakan mode aman aktif, dan selama mode ini menyala RouterOS mengembalikan konfigurasi ke kondisi semula begitu sesi Anda terputus. Lihat pula isi tabel yang sudah ada, sebab perangkat bekas sering menyimpan aturan warisan yang perlu Anda pahami sebelum menambah apa pun.
Address list mengelompokkan sekumpulan alamat di bawah satu nama sehingga aturan cukup menyebut namanya. Manfaatnya besar: ketika alamat administratif bertambah, Anda mengubah satu daftar alih-alih menyunting sepuluh baris.
/ip firewall filter print /ip firewall filter print stats /ip firewall address-list add list=admin address=192.168.88.0/24 comment="LAN manajemen" add list=admin address=10.9.0.0/24 comment="Subnet VPN teknisi" add list=bogon address=10.0.0.0/8 comment="RFC1918" add list=bogon address=172.16.0.0/12 comment="RFC1918" add list=bogon address=192.168.0.0/16 comment="RFC1918" print
Langkah 2: Prioritaskan Established dan Related
Dua baris pertama menentukan performa seluruh perangkat. Baris pembuka menerima paket lanjutan sesi, baris kedua membuang paket invalid, dan keduanya wajib ada di chain input maupun forward.
/ip firewall filter
add chain=input action=accept connection-state=established,related \
comment="IN-terima lanjutan sesi yang sudah dikenal"
add chain=input action=drop connection-state=invalid \
comment="IN-buang paket invalid"
add chain=forward action=accept connection-state=established,related \
comment="FW-terima lanjutan sesi pelanggan"
add chain=forward action=drop connection-state=invalid \
comment="FW-buang paket invalid"
Pemilik router dengan trafik besar bisa menambahkan fasttrack agar paket lanjutan melompati sebagian pemeriksaan. Perlu Anda ingat, paket yang masuk jalur cepat tidak terlihat oleh Simple Queue biasa, jadi lewati langkah ini bila Anda mengandalkan pembatasan bandwidth per pelanggan.
/ip firewall filter
add chain=forward action=fasttrack-connection connection-state=established,related \
hw-offload=yes comment="FW-jalur cepat, matikan bila memakai queue per pelanggan"
Langkah 3: Kunci Chain Input
Tahap ini paling menegangkan sekaligus paling penting. Tulis seluruh baris izin lebih dulu, uji satu per satu dari perangkat nyata, dan baru pasang baris drop terakhir setelah Anda yakin akses administratif masih hidup. Membalik urutannya nyaris selalu berakhir dengan perjalanan ke lokasi tower.
/ip firewall filter
add chain=input action=accept src-address-list=admin \
comment="IN-akses penuh untuk admin"
add chain=input action=accept protocol=icmp limit=20,10:packet \
comment="IN-ping dengan pembatasan laju"
add chain=input action=accept protocol=udp dst-port=1701,500,4500 \
comment="IN-L2TP dan IPsec"
add chain=input action=accept in-interface=bridge-lan protocol=udp dst-port=53 \
comment="IN-DNS hanya dari LAN"
add chain=input action=drop in-interface=ether1-wan src-address-list=bogon \
comment="IN-tolak alamat privat dari arah WAN"
Lakukan pengujian sungguhan sekarang: ping ke router, buka Winbox dari alamat yang tercantum di daftar admin, dan pastikan pelanggan PPPoE masih bisa autentikasi. Baru setelah semuanya lancar, pasang baris penutup lalu buka sesi baru dari perangkat lain untuk membuktikan akses tetap ada. Bila sesi baru gagal, tekan Ctrl-D pada terminal Safe Mode supaya RouterOS membatalkan seluruh perubahan.
/ip firewall filter add chain=input action=drop comment="IN-DEFAULT DROP, pastikan rule admin sudah teruji"
Langkah 4: Chain Forward, Jump, dan Output
Chain forward mengatur apa yang boleh pelanggan lakukan. Fokus saya ada pada tiga hal: memisahkan subnet manajemen, menahan port favorit malware, dan menolak alamat sumber palsu. Ketika aturan sejenis menumpuk, pindahkan ke chain buatan sendiri memakai jump agar chain utama tetap pendek.
/ip firewall filter
add chain=forward action=drop src-address=10.10.0.0/16 \
dst-address=192.168.88.0/24 comment="FW-pelanggan dilarang ke subnet manajemen"
add chain=forward action=drop protocol=tcp dst-port=25 \
src-address=10.10.0.0/16 comment="FW-cegah spam SMTP dari perangkat terinfeksi"
add chain=forward action=jump jump-target=port-malware protocol=tcp \
comment="FW-lempar TCP ke pemeriksaan port malware"
add chain=port-malware action=drop protocol=tcp dst-port=135-139 comment="NetBIOS"
add chain=port-malware action=drop protocol=tcp dst-port=445 comment="SMB"
add chain=port-malware action=return comment="Kembali ke chain forward"
Administrator umumnya membiarkan chain output terbuka, tetapi satu pola saya pakai di semua router: mencegah perangkat menghubungi resolver DNS selain yang saya tentukan. Terakhir, pasang mekanisme anti brute force yang mencatat alamat pengetuk berulang lalu memblokirnya satu jam. Jangan menukar urutan tiga baris terakhir, sebab router harus menangkap alamat yang sudah masuk tahap satu lebih dulu.
/ip firewall filter
add chain=output action=accept protocol=udp dst-port=53 dst-address=8.8.8.8 \
comment="OUT-resolver resmi"
add chain=output action=drop protocol=udp dst-port=53 \
comment="OUT-router dilarang bertanya ke resolver lain"
add chain=input protocol=tcp dst-port=8291 connection-state=new \
src-address-list=winbox-tahap1 action=add-src-to-address-list \
address-list=winbox-blokir address-list-timeout=1h comment="IN-blokir 1 jam"
add chain=input protocol=tcp dst-port=8291 connection-state=new \
action=add-src-to-address-list address-list=winbox-tahap1 \
address-list-timeout=1m comment="IN-catat percobaan pertama"
Setelah Anda memasang dan menguji semuanya, tekan Ctrl-X sekali lagi untuk keluar dari Safe Mode agar RouterOS menyimpan perubahan secara permanen. Pastikan pula port administratif sudah Anda amankan sesuai metode remote router yang lebih aman.
Studi Kasus Firewall Filter Mikrotik di Jaringan RT-RW Net
Kasus ini datang dari jaringan RT-RW Net di pinggiran kota dengan 120 pelanggan aktif, memakai RB4011 sebagai gateway dan RB750Gr3 sebagai router distribusi. Pemiliknya menghubungi saya karena perangkat sering restart sendiri, tagihan bandwidth membengkak, dan sebagian pelanggan melaporkan koneksi lambat pada malam hari.
Pemeriksaan awal menemukan tabel filter benar-benar kosong. Router memakai alamat publik statis di ether1, membiarkan port Winbox menganga ke internet, mencatat log penuh percobaan login dari luar negeri, dan menyimpan lebih dari 40.000 entri koneksi yang mayoritas berasal dari pemindaian. Beban CPU pada jam sibuk menyentuh 78 persen untuk trafik yang hanya 250 Mbps.
Perbaikan firewall filter Mikrotik saya lakukan bertahap selama tiga malam. Malam pertama saya membangun address list admin lalu menyusun chain input dengan pola established, invalid, admin, ICMP berlimit, PPPoE, dan drop sebagai baris penutup, seluruhnya dalam Safe Mode. Hasilnya terlihat dalam dua jam: entri tabel koneksi turun ke sekitar 9.000 dan beban CPU jam sibuk turun ke kisaran 41 persen.
Malam kedua saya menambahkan pemisahan subnet di chain forward, blokir SMTP dari arah pelanggan, serta chain khusus port malware. Blokir SMTP saja langsung memangkas trafik keluar sebesar 12 Mbps yang ternyata berasal dari dua perangkat pelanggan terinfeksi. Pemilik jaringan yang semula skeptis akhirnya percaya setelah melihat counter byte pada baris itu melonjak ribuan kali dalam semalam, dan pengalaman ini melengkapi panduan membangun RT-RW Net dari nol.
Tips dan Best Practice Firewall Filter Mikrotik
Kebiasaan kecil membedakan administrator yang tenang dari administrator yang sering panik. Berikut praktik firewall filter Mikrotik yang saya jalankan konsisten di setiap router, tanpa pengecualian, sekecil apa pun pekerjaannya.
- Aktifkan Safe Mode setiap kali menyentuh menu firewall, bahkan untuk perubahan satu karakter.
- Tulis baris izin dan uji hasilnya sebelum memasang drop terakhir di chain input.
- Beri komentar pada setiap aturan dengan bahasa yang dipahami teknisi lain, diawali kode chain seperti IN-, FW-, atau OUT-.
- Pakai address list untuk sekumpulan alamat, jangan menulis alamat langsung di banyak baris.
- Letakkan accept established dan related pada posisi paling atas setiap chain.
- Pilih drop untuk trafik internet publik, reject untuk pembatasan internal.
- Hindari pencocokan content dan layer7 kalau tujuan sama bisa dicapai lewat port.
Satu tips yang jarang disebut namun sangat menyelamatkan adalah penjadwal pembatal. Sebelum memasang aturan drop yang Anda ragukan, buat scheduler yang menonaktifkan baris tersebut lima menit kemudian. Kalau ternyata akses Anda ikut terputus, router memulihkan dirinya sendiri tanpa perlu kunjungan lapangan.
/system scheduler
add name=pembatal-firewall interval=5m \
on-event="/ip firewall filter disable [find comment~\"UJI COBA\"]" \
comment="Nonaktifkan rule uji coba otomatis"
Perlu Anda catat bahwa RouterOS menyimpan konfigurasi seketika, sehingga menjalankan /system reboot sama sekali tidak membatalkan aturan yang salah. Reboot hanya membantu bila Anda memang menjadwalkan sesuatu untuk berjalan saat startup. Perlindungan nyata tetap datang dari Safe Mode dan scheduler pembatal di atas.
Troubleshooting Masalah Umum
Gangguan pada firewall filter Mikrotik punya pola berulang, dan mengenali polanya mempersingkat perbaikan. Tiga masalah berikut mencakup mayoritas kasus yang saya temui selama bertahun-tahun mengelola jaringan berbasis RouterOS.
Terkunci dari Router Sendiri
Inilah mimpi buruk yang paling sering terjadi. Gejalanya jelas: Winbox terputus tepat setelah Anda menekan Apply, dan setiap upaya menghubungkan ulang selalu gagal. Penyebabnya hampir pasti satu baris drop di chain input yang menutup alamat Anda sendiri.
Langkah pemulihan pertama adalah menghubungi router lewat alamat MAC. Buka Winbox, klik tab Neighbors, pilih baris router, lalu klik kolom MAC Address alih-alih IP Address. Jalur ini bekerja di layer 2 sehingga tabel penyaring IP tidak menyentuhnya, dengan syarat laptop Anda berada pada segmen jaringan yang sama.
Begitu masuk, segera nonaktifkan baris bermasalah memakai nomornya dan jangan menghapusnya dulu supaya Anda masih bisa membaca isinya. Kalau akses MAC ikut mati, sambungkan kabel konsol bila perangkat menyediakannya, atau tekan tombol reset fisik untuk mengembalikan konfigurasi awal. Di titik itulah backup yang Anda buat di tahap persiapan menentukan apakah pemulihan memakan lima menit atau lima jam.
/tool mac-server print /tool mac-server mac-winbox set [find] interface=bridge-lan /ip firewall filter print where chain=input /ip firewall filter disable 8 /ip firewall filter set 8 src-address-list=admin /ip firewall filter enable 8
Rule Firewall Filter Mikrotik Tidak Pernah Kena
Keluhan kedua terdengar seperti ini: saya sudah memasang aturan, tetapi situsnya tetap terbuka. Penyebab paling umum adalah urutan, yaitu ada baris accept lebih longgar di atasnya sehingga paket lolos sebelum sempat mencapai baris blokir Anda. Buktikan dugaan itu lewat counter, lalu geser posisinya dengan perintah move.
/ip firewall filter print stats where chain=forward /ip firewall filter move 12 destination=4
Penyebab kedua adalah salah chain. Trafik pelanggan menuju internet berada di forward, bukan input, dan salah menempatkannya membuat aturan terlihat benar tetapi tidak pernah aktif. Kemungkinan ketiga menyangkut fasttrack, sebab paket yang sudah masuk jalur cepat melewati sebagian pemeriksaan sehingga sesi lama tetap lolos.
Membaca Counter Bytes dan Packets
Counter adalah alat diagnosis paling jujur milik RouterOS. Setiap baris menyimpan jumlah paket dan byte yang pernah cocok dengannya, dan angka itu tidak bisa berbohong. Tampilkan lewat print stats di terminal, atau centang kolom Bytes dan Packets pada jendela firewall di Winbox.
/ip firewall filter reset-counters-all /ip firewall filter print stats /ip firewall filter reset-counters 5
Teknik pengujiannya sederhana: nolkan seluruh counter, lakukan aktivitas yang seharusnya kena, lalu cetak ulang. Angka yang bergerak membuktikan aturan bekerja, sedangkan angka nol menunjukkan ada yang salah pada urutan atau kondisi pencocokan. Nilai byte juga bercerita soal skala, misalnya baris blokir SMTP yang mencatat 2 GB semalam menandakan ada pelanggan yang perangkatnya mengirim spam.
FAQ Seputar Firewall Filter Mikrotik
Apa itu firewall filter Mikrotik secara singkat?
Firewall filter Mikrotik adalah tabel aturan di RouterOS yang memutuskan apakah router meloloskan atau membuang sebuah paket. Ia bekerja pada tiga chain bawaan, yaitu input untuk trafik menuju router, forward untuk trafik antar jaringan, dan output untuk trafik yang router hasilkan sendiri. Fitur ini murni menyaring, tidak mengubah alamat dan tidak membatasi kecepatan.
Lebih baik memakai drop atau reject?
Pakai drop untuk trafik yang datang dari internet publik karena balasan reject justru mengonfirmasi bahwa alamat Anda hidup sekaligus memboroskan bandwidth. Pilih reject untuk pembatasan di jaringan internal supaya aplikasi pengguna gagal seketika dengan pesan jelas. Perbedaan pengalaman antara keduanya sangat terasa pada aplikasi dengan timeout panjang.
Apakah firewall filter Mikrotik membebani CPU router?
Bebannya ringan selama Anda memakai pencocokan sederhana seperti alamat, port, dan connection state. Angka CPU melonjak ketika aturan memeriksa isi paket lewat content atau layer7-protocol, sebab router harus membaca payload setiap paket yang lewat. Menempatkan accept established dan related di baris teratas justru menurunkan beban dibanding router tanpa aturan sama sekali.
Bagaimana cara memulihkan router yang terkunci total?
Coba dulu Winbox lewat alamat MAC karena jalur itu bekerja di layer 2 dan tidak tersentuh tabel penyaring IP. Bila gagal, gunakan kabel konsol jika tersedia, atau tekan tombol reset fisik lalu pulihkan dari backup. Ingat, /system reboot tidak membatalkan aturan apa pun karena RouterOS menyimpan konfigurasi secara langsung.
Berapa jumlah rule yang wajar untuk RT-RW Net?
Router RT-RW Net dengan seratusan pelanggan biasanya cukup memakai 15 sampai 25 baris yang tertata rapi. Jumlah yang jauh lebih besar umumnya menandakan duplikasi atau warisan konfigurasi yang luput dari evaluasi ulang. Periksa counter secara berkala lalu hapus baris yang tidak pernah kena selama tiga bulan.
Apakah default-drop di chain forward aman?
Kebijakan default-drop di forward aman untuk jaringan kantor yang daftar aplikasinya terprediksi. Untuk RT-RW Net, kebijakan itu sering menimbulkan komplain karena pelanggan memakai game dan aplikasi dengan port tidak lazim. Saya menyarankan default-drop untuk chain input dan pendekatan selektif untuk chain forward pada jaringan pelanggan umum.
Apakah address list bisa terisi otomatis?
Bisa, dan itulah kekuatan utamanya. Action add-src-to-address-list menyimpan alamat sumber ke daftar tertentu dengan masa berlaku yang Anda tentukan lewat parameter address-list-timeout. Pola tersebut menjadi dasar mekanisme anti brute force dan deteksi port scan tanpa perangkat lunak tambahan.
Kesimpulan
Menguasai firewall filter Mikrotik bukan soal menghafal ratusan parameter, melainkan soal memahami tiga pertanyaan dasar: paket ini menuju ke mana, chain mana yang menanganinya, dan pada urutan keberapa aturan saya berada. Setelah ketiganya jelas, sisanya hanya penerapan yang konsisten. Chain input menjaga router, forward mengatur pelanggan, dan output mengendalikan apa yang router lakukan sendiri.
Sikap hati-hati bernilai lebih tinggi daripada kepintaran teknis. Safe Mode, address list admin yang teruji, komentar pada tiap baris, serta penjadwal pembatal adalah empat kebiasaan yang membedakan pekerjaan malam yang tenang dari perjalanan darurat ke lokasi tower. Keempatnya sudah beberapa kali menyelamatkan saya, dan saya sekali pun tidak pernah menyesal.
Mulailah dari router uji coba di meja Anda sebelum menyentuh perangkat produksi. Bangun aturan dasar, amati pergerakan counter, dan biasakan membaca hasil print stats sampai terasa alami. Kalau Anda ingin memperdalam sisi pengamanan lain di luar penyaringan paket, lanjutkan dengan panduan pengamanan menyeluruh perangkat RouterOS yang membahas layanan, pengguna, dan akses administratif secara terpisah.
