Cara Install Mikrotik CHR di VPS untuk Remote Jaringan

Hampir semua pengelola jaringan skala kecil pernah menghadapi masalah yang sama: router di lokasi pelanggan berada di balik NAT operator, tidak memegang IP publik, dan mustahil Anda sentuh dari luar. Mikrotik CHR menjawab persoalan itu dengan cara yang sangat masuk akal, yaitu menjalankan RouterOS di atas sebuah VPS ber-IP publik lalu menarik seluruh router lapangan menempel ke sana melalui tunnel. Sejak saya memakai pola ini untuk mengelola beberapa titik RT-RW Net, pekerjaan yang dulu menuntut perjalanan satu jam ke lokasi kini selesai dari laptop dalam hitungan menit.

Artikel ini bukan terjemahan dokumentasi. Isinya urutan kerja yang benar-benar saya jalankan di lapangan: menulis image ke disk VPS lewat rescue mode, menegakkan IP statis lewat console, menutup layanan yang tidak perlu, membangun tunnel L2TP maupun WireGuard, sampai memasang dst-nat supaya modem dan CCTV pelanggan bisa saya buka dari mana saja. Setiap perintah sudah saya pakai di produksi, bukan hasil menyalin forum.

Saya juga akan jujur soal sisi gelapnya. Lisensi gratis Mikrotik CHR membatasi kecepatan tiap interface di angka 1 Mbps, dan angka itu terasa sekali begitu Anda mulai melewatkan trafik nyata. Selain itu VPS punya kuota bandwidth, punya batas CPU, dan bisa mati kalau tagihan telat. Semua itu perlu Anda perhitungkan sebelum memindahkan pekerjaan kritis ke atasnya.

Pengertian Mikrotik CHR dan Posisinya dalam Jaringan

Cloud Hosted Router, atau yang lebih akrab kita sebut Mikrotik CHR, adalah versi RouterOS yang MikroTik kemas sebagai image mesin virtual, sehingga bisa berjalan di atas hypervisor umum seperti KVM, VMware, Hyper-V, atau VirtualBox. Singkatnya, Anda mendapatkan router Mikrotik utuh tanpa membeli perangkat keras apa pun. Fitur di dalamnya identik dengan router fisik: firewall, PPPoE server, hotspot, queue, routing dinamis, sampai berbagai jenis tunnel.

Perbedaan mendasarnya terletak pada tempat RouterOS itu hidup. RouterBOARD berjalan di atas chip yang MikroTik pilih sendiri, dan lisensinya menempel permanen pada perangkat. Sebaliknya, image cloud berjalan di atas disk virtual milik penyedia VPS, dan lisensinya terikat pada system ID yang lahir saat instalasi pertama.

Dalam praktik saya, hampir tidak pernah saya memakai Mikrotik CHR untuk melewatkan trafik pelanggan. Peranannya lebih sebagai titik kumpul: sebuah alamat tetap di internet yang selalu bisa dihubungi, tempat semua router cabang mendaftarkan diri. Dengan pembagian peran seperti itu, batas 1 Mbps pada lisensi gratis pun jarang mengganggu karena yang lewat hanya trafik manajemen.

Perbedaan Mikrotik CHR dengan RouterBOARD Fisik

Router fisik memiliki port ethernet nyata, radio wireless, dan sering kali port SFP. Anda mencolokkan kabel, dan paket benar-benar melewati chip switch. Mikrotik CHR tidak punya satu pun di antaranya; interface yang muncul hanyalah kartu jaringan virtual yang hypervisor sediakan, biasanya satu ether1 saja.

Konsekuensinya, semua topologi di dalamnya bersifat logis. Anda membangun VLAN, bridge, atau tunnel di atas satu interface tunggal. Bagi pekerjaan agregasi tunnel hal ini justru menguntungkan karena konfigurasi jadi ringkas dan tidak ada kabel yang bisa lepas.

Faktor lain yang jarang orang bahas adalah umur perangkat. RouterBOARD di lapangan bisa rusak karena petir, tegangan tidak stabil, atau debu. Mesin virtual di pusat data tidak mengenal masalah itu, tetapi ia tunduk pada kebijakan penyedia, tagihan bulanan, dan kesehatan hypervisor di bawahnya.

Tingkatan Lisensi Mikrotik CHR yang Perlu Anda Pahami

MikroTik membagi lisensi menjadi empat tingkat, dan pembedanya hanya satu: batas kecepatan per interface. Semua fitur RouterOS terbuka penuh bahkan di tingkat gratis, jadi Anda tidak kehilangan menu apa pun. Tabel berikut merangkum perbandingannya berdasarkan yang saya pakai sehari-hari.

Garis bawahi hal ini: angka 1 Mbps itu berlaku per interface dan menghitung trafik dua arah secara terpisah. Untuk sesi Winbox, SSH, atau polling API dari sistem billing, kapasitas segitu masih longgar. Begitu Anda mulai melewatkan browsing pelanggan atau menarik backup besar melalui tunnel, barulah keterbatasan tersebut terasa menyakitkan.

Ada satu hal lagi yang wajib Anda ingat. Ketika instalasi Mikrotik CHR baru pertama kali menyala, RouterOS memberi masa percobaan 60 hari pada tingkat P1 sebelum turun otomatis ke tingkat gratis. Manfaatkan masa itu untuk mengukur kebutuhan sebenarnya sebelum memutuskan membeli.

Cara Kerja Mikrotik CHR sebagai Titik Temu di Internet

Inti pola ini terletak pada satu kenyataan sederhana: router yang berada di balik NAT operator tidak bisa Anda hubungi dari luar, tetapi ia sangat bisa menghubungi keluar. Maka arah koneksi kita balik. Alih-alih Anda mengetuk pintu router cabang, router cabanglah yang menelepon VPS Anda dan menjaga saluran itu tetap terbuka.

Begitu router cabang membentuk saluran menuju Mikrotik CHR, kedua sisi mendapat alamat privat di dalam terowongan, misalnya 10.9.0.1 untuk pusat dan 10.9.0.11 untuk cabang pertama. Alamat itulah yang Anda pakai untuk Winbox, SSH, atau API. Operator boleh mengganti IP publik pelanggan kapan saja karena alamat di dalam terowongan tidak ikut berubah.

Langkah berikutnya adalah menambahkan route. Setelah pusat tahu bahwa jaringan 192.168.11.0/24 berada di seberang 10.9.0.11, ia ikut menjangkau seluruh perangkat di lokasi tersebut, termasuk modem ONU, DVR, dan access point. Dari situ tinggal satu langkah lagi menuju dst-nat agar Anda bisa membuka perangkat tersebut dari internet publik.

Alur Paket dari Kantor Menuju Perangkat Cabang

Bayangkan Anda ingin membuka halaman web sebuah modem di lokasi B. Paket dari laptop Anda masuk ke ether1 Mikrotik CHR pada port yang sudah Anda petakan, misalnya 8082. Aturan dst-nat mengubah tujuannya menjadi 192.168.12.1 port 80, lalu tabel routing melempar paket itu ke terowongan menuju cabang B.

Di sisi cabang, router meneruskan paket ke LAN lokal seperti trafik biasa. Balasan modem kembali ke router cabang, masuk lagi ke terowongan, dan sampai ke VPS. Selama Anda memasang masquerade pada sisi keluar terowongan, modem cukup mengenal satu alamat sumber dan tidak perlu memahami rute balik ke laptop Anda.

Rantai itu tampak panjang, namun latensinya sangat kecil karena hanya menambah satu lompatan. Pada pengukuran saya dengan VPS di Jakarta dan router di Sulawesi, tambahan waktu tempuhnya berkisar 30 sampai 45 milidetik. Angka tersebut tidak terasa untuk pekerjaan konfigurasi.

Kelebihan dan Kekurangan Mikrotik CHR di Dunia Nyata

Setiap solusi punya harga yang harus Anda bayar, dan saya lebih suka menyebutkannya di depan. Berikut ringkasan yang saya susun setelah dua tahun mengoperasikan Mikrotik CHR untuk beberapa lokasi berbeda.

Keunggulan Mikrotik CHR yang paling saya rasakan justru bukan soal biaya, melainkan soal kendali. Satu alamat tetap memusatkan semua pekerjaan: pemantauan, penarikan konfigurasi, sampai integrasi dengan sistem billing yang menembak API tiap router. Tanpa titik temu semacam ini, setiap penambahan lokasi berarti menambah pusing.

Kekurangan yang Perlu Anda Antisipasi Sejak Awal

Risiko terbesar adalah keterbukaan. Begitu VPS menyala, dalam hitungan jam log Anda akan penuh percobaan login dari berbagai negara. Saya pernah membiarkan port 8291 terbuka selama tiga hari dan menemukan lebih dari empat ribu percobaan koneksi di dalam log.

Risiko kedua bersifat administratif. Kalau Anda telat membayar tagihan VPS atau penyedia melakukan migrasi mendadak, seluruh cabang kehilangan jalur manajemen sekaligus. Karena itu saya selalu menyisakan satu jalur cadangan, entah lewat VPN kedua di penyedia lain atau modem 4G dengan IP publik di kantor.

Risiko ketiga menyangkut lisensi. System ID Mikrotik CHR lahir dari proses instalasi, jadi memasang ulang sistem operasi tanpa menyimpan backup lisensi bisa membuat Anda kehilangan hak pakai yang sudah Anda beli. Catat system ID dan simpan kunci di tempat aman sebelum menyentuh apa pun.

Persiapan Sebelum Install Mikrotik CHR di VPS

Persiapan menentukan lancar atau tidaknya seluruh pemasangan Mikrotik CHR. Yang paling penting bukan spesifikasi, melainkan apakah penyedia VPS Anda mengizinkan Anda menulis langsung ke disk. Tanpa itu, seluruh metode di bawah tidak akan berjalan.

Ada dua jalan yang biasa tersedia. Jalan pertama, penyedia menyediakan fitur custom image sehingga Anda tinggal mengunggah berkas dan memilihnya saat membuat mesin. Jalan kedua, penyedia menyediakan rescue mode atau live CD Linux plus akses console berbasis VNC, dan lewat situlah kita menulis image secara manual.

Sebelum mulai, catat tiga informasi ini: alamat IP publik yang penyedia berikan, netmask atau prefix-nya, dan alamat gateway. RouterOS tidak akan membaca ketiganya secara otomatis setelah booting karena banyak penyedia tidak menjalankan DHCP untuk mesin pelanggan. Kalau Anda lupa mencatatnya, siap-siap mengetuk pintu tim dukungan.

Spesifikasi VPS Minimal untuk Mikrotik CHR

Kebutuhan sumber daya jauh lebih ringan daripada dugaan kebanyakan orang. Untuk peran titik kumpul dengan sepuluh sampai dua puluh terowongan, satu vCPU dan RAM 512 MB sudah lebih dari cukup. Saya menjalankan tiga belas terowongan aktif pada mesin 1 vCPU dengan penggunaan CPU rata-rata di bawah delapan persen.

Jenis virtualisasi jauh lebih menentukan. Pilih KVM, bukan OpenVZ atau LXC, karena dua yang terakhir berbagi kernel dengan host dan tidak bisa menjalankan kernel RouterOS sendiri. Kalau halaman penawaran tidak menyebutkan jenisnya, tanyakan lebih dulu sebelum membayar.

Untuk beban yang lebih berat, ketika Mikrotik CHR harus melayani IPsec dengan enkripsi penuh pada puluhan cabang, naikkan ke dua vCPU dan RAM 1 GB. WireGuard jauh lebih hemat dibanding IPsec pada beban setara, jadi pilihan protokol ikut menentukan spesifikasi yang perlu Anda sewa.

Memilih Versi Image dan Alokasi Disk

MikroTik menyediakan beberapa format berkas, dan yang kita pakai adalah image raw berekstensi .img.zip. Hanya format inilah yang bisa Anda tulis langsung ke perangkat blok. Hindari berkas .vmdk atau .vdi kecuali penyedia memang menerima unggahan format tersebut.

Ukuran image mentahnya hanya sekitar 128 MB, jadi disk 10 GB pun terasa berlebihan. Namun RouterOS tidak memakai sisa kapasitas itu dengan sendirinya. Setelah booting, Anda bisa memperluas partisi utama lewat menu /system resize supaya RouterOS mengenali ruang tambahan itu sebagai penyimpanan.

Soal versi, saya menyarankan mengikuti cabang stable terbaru pada saat instalasi, bukan cabang testing. Cocokkan pula versi mayor dengan router lapangan Anda supaya perilaku fitur seragam. Mencampur RouterOS 6 di cabang dengan Mikrotik CHR versi 7 di pusat masih bisa jalan, tetapi konfigurasi WireGuard hanya tersedia di versi 7.

Langkah Instalasi Mikrotik CHR Lewat Rescue Mode

Bagian ini adalah inti pekerjaan memasang Mikrotik CHR. Prosesnya menimpa seluruh isi disk, jadi pastikan VPS tersebut memang kosong atau datanya sudah Anda pindahkan. Sekali dd berjalan, tidak ada tombol batal.

Langkah 1: Masuk Rescue Mode dan Kenali Nama Disk

Nyalakan rescue mode dari panel penyedia, lalu masuk lewat SSH atau console VNC. Setelah berada di prompt Linux, periksa dulu perangkat blok yang tersedia supaya Anda tidak salah sasaran. Pada VPS berbasis KVM nama disk umumnya /dev/vda, sedangkan pada beberapa penyedia lain muncul sebagai /dev/sda.

lsblk
fdisk -l

Perhatikan kolom ukuran untuk memastikan Anda menunjuk disk sistem, bukan perangkat loop milik rescue image. Salah menunjuk berarti Anda menimpa sistem penyelamat itu sendiri dan harus mengulang dari panel. Catat nama disk yang benar sebelum melanjutkan.

Langkah 2: Unduh Image dengan wget

Ambil image raw langsung dari server unduhan MikroTik. Beberapa rescue image tidak menyertakan unzip, jadi pasang dulu bila perlu. Perintah di bawah memakai versi 7.15.3 sebagai contoh; sesuaikan nomornya dengan rilis stable yang sedang berlaku.

apt-get update
apt-get install -y unzip wget
cd /tmp
wget https://download.mikrotik.com/routeros/7.15.3/chr-7.15.3.img.zip -O chr.img.zip
unzip -p chr.img.zip > chr.img
ls -lh chr.img

Berkas hasil ekstraksi seharusnya berukuran sekitar 128 MB. Kalau ukurannya nol atau hanya beberapa kilobyte, unduhan gagal atau nomor versinya keliru. Ulangi sampai ukuran berkas masuk akal sebelum menyentuh disk.

Langkah 3: Menulis Image ke Disk dengan dd

Inilah momen tanpa jalan kembali. Perintah dd menyalin blok demi blok dari berkas image ke perangkat disk, menghapus tabel partisi lama sekaligus. Tambahkan status=progress agar Anda melihat kemajuannya, dan oflag=sync supaya penulisan benar-benar mendarat di disk.

Sesudah penulisan rampung, paksa mesin melakukan reboot keras. Jalan paling andal memakai sysrq trigger, sebab layanan Linux di rescue mode sering menolak perintah reboot biasa ketika disk sistemnya sudah tertimpa. Empat baris berikut Anda jalankan berurutan dalam satu sesi.

dd if=/tmp/chr.img of=/dev/vda bs=4M oflag=sync status=progress
sync
echo 1 > /proc/sys/kernel/sysrq
echo b > /proc/sysrq-trigger

Penulisan itu sendiri hanya berlangsung beberapa detik karena ukuran image sangat kecil. Jangan lupa mematikan rescue mode dari panel penyedia sebelum atau tepat setelah reboot. Bila lupa, mesin akan kembali booting ke sistem penyelamat dan Anda mengira instalasinya gagal. Kesalahan sepele ini paling sering membuat orang mengulang proses tanpa perlu.

Langkah 4: Boot Pertama dan Login Lewat Console

Buka console VNC dari panel penyedia dan tunggu prompt login RouterOS muncul. Masukkan nama pengguna admin dengan kata sandi kosong, lalu tekan Enter. RouterOS versi 7 akan meminta Anda menetapkan kata sandi baru pada login pertama, dan permintaan itu memang sebaiknya Anda penuhi saat itu juga.

Perhatikan bahwa pada tahap ini mesin belum tentu punya alamat IP. Beberapa penyedia menyediakan DHCP sehingga ether1 langsung mendapat alamat, tetapi mayoritas mengharuskan konfigurasi manual. Console adalah satu-satunya pintu masuk sampai jaringannya hidup.

Selagi di console, saya biasa langsung mengganti identitas Mikrotik CHR agar tidak tertukar dengan router lain. Nama yang jelas sangat membantu ketika Anda membuka sepuluh jendela Winbox sekaligus. Sesudah itu barulah masuk ke urusan alamat.

Langkah 5: Mengatur IP Statis, Gateway, dan DNS

Masukkan alamat yang sudah Anda catat sebelumnya. Contoh berikut memakai alamat dokumentasi 203.0.113.5 dengan prefix /24 dan gateway 203.0.113.1. Ganti ketiganya dengan data dari panel penyedia Anda.

/system identity set name=chr-pusat
/ip address add address=203.0.113.5/24 interface=ether1
/ip route add dst-address=0.0.0.0/0 gateway=203.0.113.1
/ip dns set servers=1.1.1.1,8.8.8.8 allow-remote-requests=no
/user set [find name=admin] password="KataSandiPanjangAnda"
/ping 8.8.8.8 count=4

Kalau balasan ping muncul, jaringan sudah beres dan Anda boleh menutup console. Bila gagal, periksa dulu apakah prefix yang Anda pakai benar, sebab sebagian penyedia memberi /29 atau /32 dengan gateway di luar subnet. Untuk kasus /32, tambahkan route host ke gateway lebih dahulu lalu route default menunjuk ke sana.

Perhatikan opsi allow-remote-requests=no pada baris DNS. Nilai itu mencegah orang lain memakai perangkat Anda sebagai DNS resolver terbuka, sebuah celah yang rutin penyerang manfaatkan untuk serangan amplifikasi. Biarkan tetap tertutup kecuali Anda benar-benar butuh sebaliknya.

Langkah 6: Memeriksa Lisensi dan Menaikkan Tingkatannya

Periksa tingkat lisensi Mikrotik CHR yang sedang aktif beserta system ID milik mesin. Instalasi baru biasanya menampilkan status percobaan dengan sisa hari, dan setelah masa itu habis levelnya turun ke free. Salin system ID tersebut ke catatan Anda.

Untuk menaikkan tingkat, siapkan akun mikrotik.com yang sudah berisi saldo atau kunci CHR. Perintah renew menghubungi server lisensi MikroTik memakai kredensial akun Anda, jadi pastikan perangkat sudah bisa menjangkau internet lebih dahulu.

/system license print
/system resource print
/system license renew account="akun@example.com" password="SandiAkunMikrotik" level=p1
/system license print

Setelah proses berhasil, jalankan reboot agar batas kecepatan baru benar-benar berlaku. Simpan salinan informasi lisensi di luar mesin, misalnya di catatan tim. Kehilangan akses ke akun mikrotik.com jauh lebih merepotkan daripada kehilangan VPS-nya sendiri.

Mengamankan Mikrotik CHR yang Terbuka di Internet

Router di lapangan biasanya bersembunyi di balik NAT operator, sementara Mikrotik CHR berdiri telanjang dengan IP publik. Pemindai otomatis akan menemukannya dalam hitungan menit. Pengerasan konfigurasi bukan pilihan tambahan, melainkan syarat sebelum Anda menyambungkan cabang mana pun.

Prinsip yang saya pakai sederhana: tutup semua, buka seperlunya. Pendekatan ini sejalan dengan praktik yang saya bahas pada panduan langkah pengamanan router Mikrotik, hanya saja tingkat kedisiplinannya harus lebih tinggi karena perangkat berada di jaringan publik.

Menutup Layanan dan Mengganti Port Bawaan

Mikrotik CHR menyalakan sejumlah layanan secara bawaan, termasuk Telnet, FTP, dan API tanpa enkripsi. Semuanya tidak Anda butuhkan. Matikan layanan yang tidak Anda pakai, lalu geser port layanan sisanya ke nomor tidak umum agar luput dari pemindaian massal.

/ip service print
/ip service disable telnet,ftp,www,api
/ip service set ssh port=2200
/ip service set winbox port=18291
/ip service set api-ssl port=8730

Mengganti port bukan pengamanan sejati, melainkan pengurang kebisingan. Log Anda menjadi jauh lebih bersih sehingga Anda langsung melihat percobaan yang benar-benar mencurigakan. Pengamanan aslinya datang dari pembatasan alamat dan firewall di bagian berikutnya.

Membatasi Akses Admin ke Alamat Tertentu

Setiap entri pada menu service menerima parameter address yang membatasi sumber koneksi. Isi dengan alamat kantor Anda atau blok tempat Anda biasa bekerja. Saya juga menambahkan alamat di dalam terowongan agar tetap bisa masuk melalui jalur cadangan.

/ip service set ssh address=203.0.113.0/24,10.9.0.0/24
/ip service set winbox address=203.0.113.0/24,10.9.0.0/24
/user set [find name=admin] address=203.0.113.0/24,10.9.0.0/24

Berhati-hatilah kalau koneksi rumah Anda memakai IP dinamis. Mengunci akses ke alamat yang berubah tiap hari adalah cara tercepat mengunci diri sendiri di luar. Untuk kasus itu, pakai alamat kantor yang statis atau siapkan satu VPN pribadi sebagai pintu masuk tetap.

Menyusun Firewall Filter yang Ketat pada Chain Input

Firewall filter menutup celah yang luput dari pengaturan layanan, termasuk protokol tunnel dan probe acak. Susunan di bawah menerima koneksi yang sudah berjalan, mengizinkan alamat administrator, membuka port tunnel, lalu membuang sisanya. Urutan baris sangat menentukan, jadi masukkan persis seperti tertulis.

/ip firewall address-list add list=admin-ip address=203.0.113.77 comment="kantor"
/ip firewall filter add chain=input action=accept connection-state=established,related comment="terima sesi lama"
/ip firewall filter add chain=input action=drop connection-state=invalid
/ip firewall filter add chain=input action=accept protocol=icmp limit=10,5:packet
/ip firewall filter add chain=input action=accept src-address-list=admin-ip comment="admin"
/ip firewall filter add chain=input action=accept protocol=udp dst-port=1701,500,4500 comment="l2tp ipsec"
/ip firewall filter add chain=input action=accept protocol=ipsec-esp
/ip firewall filter add chain=input action=accept protocol=udp dst-port=13231 comment="wireguard"
/ip firewall filter add chain=input action=drop comment="tutup sisanya"

Sebelum memasang baris drop terakhir, pastikan Anda masih memegang akses console dari panel penyedia. Kesalahan urutan satu baris saja bisa memutus sesi Winbox Anda seketika. Console VNC adalah jaring pengaman yang membuat Anda bisa memperbaiki kesalahan semacam itu dalam satu menit.

Membangun Tunnel dari Router Cabang ke Pusat

Setelah Mikrotik CHR aman, saatnya menarik cabang. Dua protokol yang paling sering saya pakai adalah L2TP berpadu IPsec dan WireGuard. Keduanya bekerja baik di balik NAT operator, hanya berbeda pada kemudahan dan beban CPU.

Pilihan saya belakangan condong ke WireGuard karena kodenya ringan, koneksinya cepat pulih, dan konfigurasinya pendek. Namun L2TP tetap relevan untuk router lama yang masih berjalan di RouterOS 6, karena WireGuard baru hadir mulai versi 7. Sesuaikan dengan armada perangkat yang Anda kelola.

Menyiapkan Tunnel L2TP dengan IPsec

Nyalakan server L2TP di pusat, siapkan kolam alamat untuk klien, lalu buat profil yang memegang alamat lokal terowongan. Sesudah itu daftarkan tiap cabang sebagai secret dengan alamat tetap supaya nomor terowongan tidak berpindah-pindah. Detail lebih dalam soal protokol ini sudah saya bahas pada tulisan tentang membangun VPN L2TP berpadu IPsec.

/ip pool add name=pool-tunnel ranges=10.9.0.10-10.9.0.200
/ppp profile add name=profil-tunnel local-address=10.9.0.1 remote-address=pool-tunnel
/interface l2tp-server server set enabled=yes use-ipsec=required ipsec-secret="RahasiaIpsecPanjang" default-profile=profil-tunnel
/ppp secret add name=cabang-a password="SandiCabangA" service=l2tp profile=profil-tunnel remote-address=10.9.0.11
/ppp secret add name=cabang-b password="SandiCabangB" service=l2tp profile=profil-tunnel remote-address=10.9.0.12

Sisi cabang jauh lebih ringkas. Cukup satu baris klien yang menunjuk alamat publik pusat, dan biarkan opsi route bawaan tetap mati agar trafik internet pelanggan tidak ikut membanjiri terowongan. Kelalaian pada opsi tersebut pernah membuat seluruh pelanggan saya melewati jalur 1 Mbps dan langsung memicu keluhan.

/interface l2tp-client add name=l2tp-ke-pusat connect-to=203.0.113.5 user=cabang-a password="SandiCabangA" use-ipsec=yes ipsec-secret="RahasiaIpsecPanjang" add-default-route=no disabled=no
/interface l2tp-client print

Alternatif WireGuard yang Lebih Ringan

WireGuard memakai model kunci publik, jadi tidak ada nama pengguna maupun kata sandi. Buat interface di pusat, catat kunci publiknya, lalu daftarkan tiap cabang sebagai peer beserta jaringan yang boleh lewat. Panduan konfigurasi WireGuard di RouterOS memuat pembahasan dasarnya.

/interface wireguard add name=wg-pusat listen-port=13231
/interface wireguard print detail
/ip address add address=10.9.0.1/24 interface=wg-pusat
/interface wireguard peers add interface=wg-pusat public-key="KUNCI-PUBLIK-CABANG-A" allowed-address=10.9.0.11/32,192.168.11.0/24 comment="cabang-a"
/interface wireguard peers add interface=wg-pusat public-key="KUNCI-PUBLIK-CABANG-B" allowed-address=10.9.0.12/32,192.168.12.0/24 comment="cabang-b"

Konfigurasi cabang menunjuk balik ke alamat publik pusat dan menyalakan keepalive. Nilai keepalive penting sekali karena router berada di balik NAT operator; tanpa paket berkala, tabel NAT operator akan melupakan sesi tersebut dalam beberapa menit. Angka 25 detik terbukti aman pada semua operator yang pernah saya pakai.

/interface wireguard add name=wg-ke-pusat listen-port=13231
/ip address add address=10.9.0.11/24 interface=wg-ke-pusat
/interface wireguard peers add interface=wg-ke-pusat public-key="KUNCI-PUBLIK-PUSAT" endpoint-address=203.0.113.5 endpoint-port=13231 allowed-address=10.9.0.0/24,192.168.12.0/24 persistent-keepalive=25s

Menambahkan Route agar LAN Antar Cabang Saling Terjangkau

Terowongan yang hidup baru menghubungkan alamat 10.9.0.x. Supaya pusat bisa menjangkau jaringan lokal di belakang tiap router, ia perlu tahu ke arah mana harus melempar paket. Tambahkan satu route statis per cabang pada perangkat pusat.

/ip route add dst-address=192.168.11.0/24 gateway=10.9.0.11 comment="LAN cabang A"
/ip route add dst-address=192.168.12.0/24 gateway=10.9.0.12 comment="LAN cabang B"
/ip route print where dst-address~"192.168"

Sisi cabang cukup mengenal blok terowongan dan, bila perlu, blok LAN cabang lain. Aturan emas yang saya pegang: setiap lokasi wajib memakai subnet berbeda. Dua cabang yang sama-sama memakai 192.168.1.0/24 tidak akan pernah bisa saling melihat, dan memperbaikinya di kemudian hari jauh lebih repot daripada merencanakannya sejak awal. Pemahaman dasar tentang pembagian blok alamat sangat membantu di titik ini.

Dst-NAT untuk Mengakses Modem dan CCTV Pelanggan

Setelah route rapi, Anda bisa membuka perangkat di dalam LAN cabang ke internet publik melalui satu alamat milik Mikrotik CHR. Mekanismenya sama dengan yang saya jelaskan pada artikel meneruskan port ke perangkat lokal, hanya saja tujuannya berada di seberang terowongan.

Kuncinya ada dua baris: satu aturan dstnat untuk mengarahkan port, dan satu aturan srcnat agar paket balasan tidak salah jalan. Tanpa srcnat, modem tujuan akan membalas ke alamat asli laptop Anda dan paket itu hilang karena modem tidak punya route ke sana.

/ip firewall nat add chain=dstnat in-interface=ether1 protocol=tcp dst-port=8081 action=dst-nat to-addresses=192.168.11.1 to-ports=80 comment="modem cabang A"
/ip firewall nat add chain=dstnat in-interface=ether1 protocol=tcp dst-port=8082 action=dst-nat to-addresses=192.168.12.10 to-ports=80 comment="dvr cabang B"
/ip firewall nat add chain=srcnat dst-address=192.168.11.0/24 action=masquerade comment="balikan cabang A"
/ip firewall nat add chain=srcnat dst-address=192.168.12.0/24 action=masquerade comment="balikan cabang B"

Buka aturan tersebut hanya untuk alamat administrator bila memungkinkan. Tambahkan src-address-list=admin-ip pada baris dstnat sehingga seluruh internet tidak ikut melihat halaman modem. Antarmuka web modem ONU murah terkenal rapuh dan sering memakai kata sandi bawaan yang mudah ditebak.

Studi Kasus Mikrotik CHR untuk Tiga Lokasi RT-RW Net

Saya mengelola tiga lokasi dengan total sekitar 180 pelanggan PPPoE. Lokasi pertama berisi 90 pelanggan, lokasi kedua 55 pelanggan, dan lokasi ketiga 35 pelanggan. Ketiganya berlangganan internet rumahan yang hanya memberikan IP privat CGNAT, sehingga tidak satu pun bisa saya sentuh dari luar sebelum pola ini berjalan.

Rancangannya saya buat sesederhana mungkin. Mikrotik CHR di pusat memegang 10.9.0.1, lalu tiap lokasi mendapat nomor terowongan berurutan mulai 10.9.0.11. LAN pelanggan memakai blok berbeda per lokasi: 10.11.0.0/16 untuk lokasi pertama, 10.12.0.0/16 untuk kedua, dan 10.13.0.0/16 untuk ketiga. Skema tersebut membuat saya bisa menebak lokasi hanya dari alamat.

Hasilnya terasa langsung pada pekerjaan harian. Sistem billing saya menembak API tiap router lewat alamat terowongan untuk memutus dan menyambung pelanggan yang menunggak, sesuatu yang mustahil sebelumnya. Pendekatan ini melengkapi cara kerja yang saya uraikan pada tulisan tentang pengelolaan tagihan pelanggan RT-RW Net.

Konsumsi sumber daya Mikrotik CHR jauh lebih kecil daripada dugaan saya. Rata-rata trafik manajemen ketiga terowongan hanya berkisar 80 sampai 150 kbps, jadi lisensi gratis pun masih cukup. Saya tetap membeli P1 belakangan karena sesekali menarik backup konfigurasi dan berkas log dari lapangan, dan pada momen itu batas 1 Mbps terasa menyiksa.

Tips dan Best Practice Mengoperasikan Mikrotik CHR

Bagian ini berisi kebiasaan yang saya bangun setelah beberapa kali kena masalah pada Mikrotik CHR. Semuanya murah Anda kerjakan dan mahal kalau Anda abaikan.

• Backup rutin dan simpan di luar mesin. Ambil backup biner sekaligus export teks, lalu unduh keduanya ke penyimpanan lain minimal sebulan sekali.
• Pantau kuota bandwidth VPS. Banyak paket murah membatasi transfer bulanan, dan pemakaian berlebih berujung pemblokiran port jaringan.
• Waspadai batas lisensi gratis. Kecepatan 1 Mbps per interface cukup untuk manajemen, tidak untuk trafik pelanggan.
• Catat pemetaan port secara tertulis. Simpan tabel berisi port publik, tujuan, lokasi, dan tanggal pembuatan agar aturan lama tidak menumpuk.
• Aktifkan pencatatan login. Log percobaan masuk membantu Anda mengenali pola serangan sebelum berkembang.
• Sinkronkan waktu. Tanpa NTP, stempel waktu pada log tidak berguna saat Anda menelusuri insiden.

/system backup save name=chr-pusat password="SandiBackupAnda"
/export file=chr-pusat-config
/system clock set time-zone-name=Asia/Jakarta
/system ntp client set enabled=yes servers=id.pool.ntp.org
/system scheduler add name=backup-harian interval=1d on-event="/system backup save name=harian password=\"SandiBackupAnda\""

Kebiasaan lain yang jarang orang lakukan adalah menuliskan comment pada setiap aturan firewall dan NAT. Enam bulan kemudian Anda tidak akan ingat alasan membuka port 8087. Comment yang rapi mengubah audit dari pekerjaan tebak-tebakan menjadi lima menit pembacaan.

Terakhir, uji jalur pemulihan Anda sesekali. Coba masuk lewat console VNC, coba pulihkan backup ke mesin uji, dan pastikan kredensial akun mikrotik.com masih valid. Prosedur pemulihan yang belum pernah Anda uji sama saja dengan tidak punya prosedur, seperti yang juga berlaku pada praktik reset dan pencadangan RouterOS.

Troubleshooting Masalah Umum pada Mikrotik CHR

Empat masalah berikut mencakup hampir semua tiket yang pernah saya tangani. Urutan penyelesaiannya sengaja saya susun dari penyebab paling sering ke paling jarang.

Perangkat Tidak Booting Setelah Proses dd

Gejalanya berupa layar console yang berhenti di boot loader lama atau langsung menampilkan pesan tidak menemukan sistem operasi. Penyebab paling umum adalah rescue mode yang belum Anda matikan dari panel, sehingga mesin terus booting ke media penyelamat. Matikan opsi itu, lalu lakukan power cycle penuh, bukan sekadar restart.

Penyebab kedua adalah salah menunjuk perangkat blok. Menulis ke /dev/vda1 alih-alih /dev/vda hanya menimpa satu partisi dan merusak tabel partisi. Ulangi proses dengan menunjuk perangkat induk, tanpa angka di belakangnya.

Penyebab ketiga menyangkut mode boot. Beberapa penyedia mengaktifkan UEFI secara bawaan, sementara image lawas mengharapkan BIOS legacy. Ubah pengaturan boot mesin ke legacy pada panel bila tersedia, atau pilih rilis RouterOS 7 terbaru yang sudah mendukung UEFI.

Mikrotik CHR Tidak Bisa Diakses Setelah Reboot

Kalau mesin sempat hidup lalu hilang setelah restart, hampir pasti persoalannya ada pada konfigurasi alamat. Perangkat yang tadinya memakai DHCP kehilangan alamat karena penyedia mencabut layanan itu. Masuk lewat console, periksa daftar alamat, dan pasang alamat statis secara permanen.

/ip address print
/ip route print
/interface print
/log print where topics~"critical"

Kemungkinan berikutnya adalah firewall yang terlalu ketat. Aturan drop pada chain input tanpa pengecualian untuk alamat Anda akan memblokir semua percobaan masuk. Lewat console, nonaktifkan sementara aturan terakhir memakai /ip firewall filter disable pada nomor yang bersangkutan, lalu perbaiki urutannya.

Periksa juga apakah Anda sempat mengganti port layanan lalu lupa mencatatnya. Menjalankan /ip service print dari console langsung menjawab keraguan itu. Saya menyimpan daftar port ini di pengelola kata sandi bersama kredensialnya supaya tidak terpisah.

Tunnel Putus Saat IP Publik Operator Berubah

Router cabang yang memakai koneksi rumahan pasti mengalami pergantian IP publik. Selama Mikrotik CHR memegang alamat statis, terowongan seharusnya terhubung ulang secara otomatis. Kalau tidak, biasanya penyebabnya adalah sesi lama yang menggantung di sisi pusat.

Untuk L2TP, aktifkan pemeriksaan keepalive pada profil PPP agar router mendeteksi sesi mati lebih cepat. Pada WireGuard, pastikan persistent-keepalive terpasang di sisi cabang. Nilai 25 detik menjaga tabel NAT operator tetap mengingat sesi Anda.

Bila putusnya sering terjadi pada jam tertentu, curigai perilaku operator yang memutus sesi PPPoE secara berkala. Pemantauan otomatis sangat menolong; saya memasang netwatch di pusat yang mengirim notifikasi ketika alamat terowongan cabang berhenti membalas ping.

/tool netwatch add host=10.9.0.11 interval=30s up-script="/log info \"cabang A naik\"" down-script="/log warning \"cabang A turun\""
/interface wireguard peers print detail
/ppp active print

Route Bertabrakan Antar Cabang

Masalah ini muncul ketika dua lokasi memakai blok alamat yang sama, misalnya sama-sama 192.168.1.0/24. Mikrotik CHR hanya bisa memilih satu tujuan, sehingga salah satu cabang selalu tidak terjangkau. Tidak ada trik konfigurasi yang benar-benar menyelesaikannya secara bersih.

Solusi terbaik adalah menomori ulang salah satu lokasi. Pekerjaan itu memang merepotkan, tetapi Anda hanya perlu melakukannya sekali. Rancang skema global sejak awal, misalnya blok 10.nomor lokasi.0.0/16, sehingga penambahan lokasi baru tidak pernah menimbulkan bentrok.

Bila penomoran ulang mustahil dalam waktu dekat, Anda bisa memakai src-nat di sisi cabang sebagai penambal sementara. Pusat kemudian mengakses perangkat lewat alamat terowongan cabang, bukan alamat LAN aslinya. Anggap cara ini sebagai jembatan darurat, bukan penyelesaian permanen.

Pertanyaan yang Sering Diajukan

Apakah Mikrotik CHR gratis selamanya?

Ya, tingkat free berlaku tanpa batas waktu dan tanpa perlu pembelian. Semua fitur RouterOS tetap terbuka, hanya kecepatan tiap interface yang RouterOS kunci pada 1 Mbps. Untuk peran titik kumpul tunnel, batasan tersebut umumnya masih nyaman.

Berapa lama masa percobaan setelah instalasi baru?

RouterOS memberi masa percobaan 60 hari pada tingkat P1 sejak instalasi pertama. Setelah masa itu habis, perangkat turun otomatis ke tingkat gratis tanpa kehilangan konfigurasi. Anda bisa membeli lisensi kapan saja sebelum maupun sesudah masa percobaan berakhir.

Apakah Mikrotik CHR bisa dipasang di semua jenis VPS?

Tidak. Mesin harus berbasis virtualisasi penuh seperti KVM, VMware, atau Hyper-V, karena RouterOS menjalankan kernelnya sendiri. VPS berbasis OpenVZ atau LXC berbagi kernel dengan host sehingga Anda tidak bisa memakainya sama sekali.

Lebih baik memakai L2TP atau WireGuard untuk cabang?

WireGuard lebih ringan, lebih cepat pulih, dan konfigurasinya jauh lebih pendek. Namun protokol ini hanya tersedia mulai RouterOS 7, sehingga router lama masih membutuhkan L2TP. Saya biasa menjalankan keduanya berdampingan selama masa transisi armada perangkat.

Apakah lisensi hilang kalau VPS dipasang ulang?

Lisensi terikat pada system ID yang lahir saat instalasi, jadi memasang ulang dari awal akan menghasilkan ID berbeda. Sebelum menyentuh disk, catat system ID dan simpan kunci Anda. Dengan catatan itu, tim dukungan MikroTik biasanya bisa membantu memindahkan lisensi.

Berapa RAM yang dibutuhkan untuk dua puluh terowongan?

Berdasarkan pengalaman saya, RAM 512 MB sudah cukup untuk dua puluh terowongan manajemen dengan pemakaian di bawah setengahnya. Naikkan ke 1 GB bila Anda memakai IPsec pada semua cabang atau menjalankan routing dinamis. Pemantauan lewat /system resource print memberi gambaran paling jujur.

Bisakah Mikrotik CHR menggantikan router fisik di lokasi pelanggan?

Tidak sepenuhnya, karena mesin virtual tidak punya port ethernet, radio, maupun PoE. Perangkat ini paling tepat berperan sebagai pusat agregasi, gateway logis, atau server tunnel. Anda tetap membutuhkan router fisik di lapangan untuk terminasi kabel dan distribusi ke pelanggan.

Apakah pola ini aman untuk jaringan produksi?

Mikrotik CHR aman untuk produksi selama Anda menutup layanan yang menganggur, membatasi sumber akses, dan memasang firewall pada chain input. Tambahkan pemantauan serta backup rutin sebagai lapisan berikutnya. Referensi resmi di dokumentasi MikroTik layak Anda baca untuk detail tiap parameter.

Kesimpulan

Menjalankan Mikrotik CHR di atas VPS mengubah cara kerja pengelola jaringan kecil secara mendasar. Satu alamat publik yang stabil menjadi pintu masuk bagi seluruh lokasi, dan masalah klasik router di balik NAT operator lenyap seketika. Biayanya pun jauh lebih ringan daripada menyewa IP publik statis untuk tiap lokasi.

Urutan kerjanya sudah jelas: siapkan VPS berbasis KVM, tulis image lewat rescue mode memakai wget dan dd, tegakkan alamat statis lewat console, kunci akses administratif, lalu tarik cabang dengan L2TP maupun WireGuard. Setelah route rapi, dst-nat membuka jalan menuju modem dan CCTV pelanggan dari mana saja.

Mulailah dari satu cabang untuk membiasakan diri, baru tambahkan lokasi lain setelah pola penomoran Anda mantap. Rancang blok alamat sejak awal, catat setiap pemetaan port, dan jangan pernah menunda backup. Dengan disiplin sederhana itu, Mikrotik CHR akan bekerja diam-diam bertahun-tahun tanpa pernah menuntut perhatian Anda.