Cara Setting NAT dan Masquerade di Mikrotik (Panduan Lengkap)

Hampir semua jaringan lokal di Indonesia hari ini berjalan di atas alamat IP privat, sementara ISP biasanya hanya memberi satu alamat publik. Di titik inilah NAT Mikrotik memegang peran utama: router menerjemahkan puluhan bahkan ratusan alamat privat menjadi satu alamat publik yang sah di internet. Tanpa terjemahan tersebut, komputer di belakang router tidak akan pernah bisa membuka satu halaman web pun. Pola yang sama saya temui di warnet kecil, kantor desa, sampai jaringan RT-RW Net dengan ratusan pelanggan aktif.

Sayangnya banyak teknisi menyalin satu baris rule masquerade dari forum, internet menyala, lalu berhenti belajar sampai di situ. Masalah baru muncul ketika mereka harus memasang server CCTV di dalam jaringan, memakai dua ISP sekaligus, atau menelusuri sebab koneksi melambat pada jam sibuk. Pemahaman yang setengah matang membuat proses pelacakan masalah berubah menjadi tebak-tebakan yang memakan waktu berjam-jam.

Artikel ini membedah NAT Mikrotik secara utuh: alasan historis kemunculan terjemahan alamat, perbedaan chain srcnat dan dstnat, pemilihan antara action masquerade dan src-nat, sampai teknik hairpin serta pengecualian trafik lokal. Seluruh perintah RouterOS di bawah berasal dari konfigurasi yang benar-benar berjalan di lapangan. Anda tinggal menyesuaikan nama interface dan blok alamat dengan kondisi jaringan sendiri.

Pengertian NAT Mikrotik dan Alasan Kemunculannya

NAT atau Network Address Translation adalah mekanisme yang menukar alamat IP pada header paket saat paket melintasi router, sehingga host dengan alamat privat dapat berkomunikasi dengan internet memakai alamat publik milik router. Pada RouterOS, seluruh aturan NAT Mikrotik hidup di dalam tabel /ip firewall nat. Router membaca aturan tersebut dari atas ke bawah, lalu mengeksekusi aturan pertama yang cocok dengan karakteristik paket.

Sederhananya, router bertindak seperti resepsionis kantor. Semua surat keluar dari ratusan karyawan memakai satu alamat kantor pada amplopnya, dan resepsionis mencatat siapa yang mengirim apa supaya balasannya sampai ke meja yang tepat. Catatan itulah yang RouterOS simpan di tabel connection tracking, dan tanpa catatan tersebut paket balasan dari internet akan tersesat.

Fitur ini bukan bagian dari rancangan asli internet. Perancang TCP/IP dulu membayangkan setiap perangkat memiliki alamat unik dan saling terhubung langsung, sebuah prinsip yang orang sebut end-to-end connectivity. Kenyataan ekonomi dan keterbatasan jumlah alamat memaksa dunia jaringan mengambil jalan pintas yang kini justru menjadi standar de facto di hampir semua jaringan rumahan dan bisnis kecil.

Keterbatasan IPv4 sebagai Pemicu Utama

IPv4 hanya menyediakan sekitar 4,3 miliar alamat, dan sebagian besar sudah habis terbagi sejak IANA mengumumkan kehabisan blok pusat pada 2011. Jumlah tersebut terdengar besar pada 1981, namun sama sekali tidak memadai ketika satu orang bisa memegang ponsel, laptop, smart TV, dan beberapa kamera IP sekaligus. Sebagai gambaran, satu rumah pelanggan RT-RW Net saya rata-rata membawa 7 sampai 12 perangkat aktif setiap malam.

RFC 1918 kemudian menetapkan tiga blok alamat privat yang boleh dipakai ulang oleh siapa pun: 10.0.0.0/8, 172.16.0.0/12, dan 192.168.0.0/16. Blok tersebut tidak pernah dirutekan di internet publik, jadi ribuan jaringan boleh memakai 192.168.1.0/24 secara bersamaan tanpa saling bentrok. Untuk memahami pembagian kelas dan fungsi tiap blok, silakan baca dulu penjelasan kelas dan fungsi IP address.

Konsekuensinya jelas: alamat privat butuh perantara agar bisa menyentuh internet. Perantara itulah router dengan kemampuan menerjemahkan alamat, dan Mikrotik menyediakannya sejak versi RouterOS paling awal. Alhasil satu alamat publik dari ISP bisa melayani 30 klien warnet maupun 200 pelanggan RT-RW Net sekaligus, selama kapasitas bandwidth dan tabel koneksinya masih cukup.

Posisi NAT Mikrotik dalam Arsitektur Jaringan

Router Mikrotik memproses paket melalui rangkaian tabel yang berurutan, dan tabel NAT punya dua titik sentuh berbeda. Chain dstnat bekerja sangat awal, tepat setelah paket masuk ke router dan sebelum router memutuskan rute. Chain srcnat justru bekerja paling akhir, setelah router menentukan interface keluar, sehingga aturan srcnat selalu tahu paket akan keluar lewat jalur mana.

Urutan tersebut menjelaskan banyak perilaku yang membingungkan pemula. Filter rule pada /ip firewall filter chain forward melihat alamat tujuan yang sudah tertranslasi oleh dstnat, tetapi masih melihat alamat sumber asli karena srcnat belum berjalan. Banyak orang salah menulis rule blokir gara-gara mengabaikan urutan ini, dan paketnya lolos begitu saja.

Pemahaman posisi juga membantu ketika Anda menggabungkan NAT Mikrotik dengan mangle, queue, atau routing mark. Queue simple yang memakai target alamat privat tetap bekerja normal karena queue membaca paket sebelum srcnat menukar alamatnya. Mengetahui titik sentuh tiap tabel membuat Anda berhenti menebak dan mulai membaca alur paket secara runtut.

Cara Kerja NAT Mikrotik Menerjemahkan Alamat Privat

Proses terjemahan pada NAT Mikrotik berlangsung dalam tiga tahap yang selalu berulang untuk setiap sesi baru. Router menerima paket dari klien, menukar alamat sumber pada header, lalu mencatat pasangan alamat lama dan baru ke tabel koneksi. Ketika balasan datang dari server tujuan, router membaca catatan tersebut dan mengembalikan alamat aslinya sebelum meneruskan paket ke klien.

Bagian yang sering luput dari perhatian adalah nomor port. Router tidak hanya menukar alamat, tetapi juga bisa mengganti port sumber supaya dua klien berbeda yang kebetulan memakai port sama tidak saling tumpang tindih. Teknik tersebut punya nama resmi PAT atau Port Address Translation, dan itulah alasan satu alamat publik sanggup melayani ratusan perangkat sekaligus.

Tabel koneksi menjadi jantung dari seluruh mekanisme ini. RouterOS menyimpan setiap sesi lengkap dengan protokol, alamat asal, alamat tujuan, port, dan sisa waktu hidup entri. Begitu tabel penuh atau fitur connection tracking mati, terjemahan alamat langsung berhenti bekerja dan internet ikut mati total.

Alur Paket Keluar pada NAT Mikrotik

Bayangkan klien 192.168.10.25 membuka situs berita di alamat 104.18.5.10 port 443. Klien mengirim paket dengan alamat sumber 192.168.10.25 dan port sumber acak, misalnya 51234, lalu paket itu sampai ke router melalui interface bridge lokal. Router memeriksa tabel rute, menemukan jalur default lewat ether1, kemudian menyerahkan paket ke chain srcnat.

Rule masquerade yang cocok kemudian mengganti alamat sumber menjadi alamat publik pada ether1, katakanlah 103.23.198.182, dan bila perlu menukar port sumber menjadi angka lain yang masih bebas. Paket keluar ke internet membawa identitas router, bukan identitas klien. Server tujuan sama sekali tidak tahu ada 30 komputer lain di belakang alamat publik tersebut.

Balasan dari server datang ke 103.23.198.182 port 51234, dan di sinilah tabel koneksi bekerja. Router mencocokkan paket balasan dengan entri yang tersimpan, mengembalikan alamat tujuan menjadi 192.168.10.25 port 51234, lalu meneruskannya ke jaringan lokal. Seluruh rangkaian tersebut berlangsung dalam hitungan mikrodetik dan berulang ribuan kali per detik pada jam sibuk.

Perbedaan Chain Srcnat dan Dstnat

Kedua chain pada NAT Mikrotik menangani arah yang berlawanan, dan tertukar sedikit saja membuat konfigurasi gagal total. Chain srcnat mengurus paket yang meninggalkan jaringan Anda menuju internet, jadi router menukar alamat sumber. Sebaliknya, dstnat mengurus paket yang datang dari internet menuju perangkat di dalam, sehingga router menukar alamat tujuan.

Dari sinilah teknik port forwarding bekerja: dstnat adalah mesin di baliknya. Kalau Anda pernah membuka port 8080 agar DVR bisa dilihat dari luar rumah, sebenarnya Anda sedang menulis rule dstnat. Pembahasan lengkap beserta contoh port kamera dan web server tersedia pada panduan membuka port ke perangkat lokal, dan artikel ini adalah konsep induknya.

Perbedaan Action Masquerade dan Src-nat

Kedua action NAT Mikrotik tersebut sama-sama menukar alamat sumber, namun cara memperoleh alamat penggantinya berbeda. Action masquerade mengambil alamat secara otomatis dari interface keluar setiap kali paket lewat, sedangkan src-nat memakai alamat tetap yang Anda tulis sendiri pada parameter to-addresses. Perbedaan kecil tersebut berdampak besar pada stabilitas dan beban CPU.

Aturan praktis saya sederhana. Ketika ISP memberi alamat lewat PPPoE atau DHCP yang berganti setiap kali modem restart, masquerade adalah pilihan paling aman karena router tidak perlu tahu alamatnya. Namun ketika ISP memberi blok statis seperti 103.23.198.176/29, src-nat lebih hemat sumber daya sekaligus memberi Anda kendali penuh atas alamat mana yang mewakili tiap kelompok klien.

Ada satu keunggulan masquerade yang jarang orang bahas: fitur ini otomatis membuang entri koneksi lama ketika interface keluar mati. Perilaku tersebut sangat berguna pada jaringan dengan dua ISP, karena sesi yang menempel di jalur mati tidak akan menggantung. Pemakai jalur cadangan sebaiknya memilih masquerade demi alasan tersebut, meski alamat publiknya kebetulan statis.

Kelebihan dan Kekurangan NAT

Teknologi ini menyelamatkan internet dari kehabisan alamat, namun ia juga meninggalkan warisan masalah yang masih terasa sampai sekarang. Menimbang keduanya secara jujur membantu Anda memutuskan kapan harus mempertahankan NAT Mikrotik apa adanya dan kapan sebaiknya meminta alamat publik tambahan kepada ISP. Tabel berikut merangkum pertimbangan yang paling sering muncul di lapangan.

Sisi Positif yang Membuat NAT Mikrotik Bertahan

Penghematan alamat menjadi manfaat paling nyata dan paling mudah dihitung. Satu pelanggan RT-RW Net dengan 200 rumah hanya perlu satu alamat publik, padahal tanpa terjemahan alamat ia harus menyewa blok /24 yang harganya jauh di luar jangkauan. Biaya sewa alamat publik di Indonesia berkisar puluhan ribu rupiah per alamat per bulan, jadi selisihnya sangat terasa.

Manfaat kedua bersifat keamanan, meskipun sifatnya kebetulan dan bukan tujuan awal. Perangkat di balik router tidak memiliki alamat yang bisa dijangkau dari internet, sehingga pemindai otomatis tidak dapat menyentuhnya secara langsung. Perlindungan ini tetap tidak menggantikan firewall yang benar, dan langkah pengamanan router Mikrotik tetap wajib Anda terapkan.

Keuntungan ketiga muncul saat Anda berganti penyedia layanan. Alamat LAN 192.168.10.0/24 tetap sama meskipun ISP berganti dari Telkom ke penyedia lokal, karena hanya sisi WAN yang berubah. Praktisnya, seluruh konfigurasi DHCP, queue, dan reservasi alamat tidak perlu Anda sentuh sama sekali.

Harga yang Harus Dibayar

Kerugian terbesar terletak pada koneksi masuk. Server yang berada di balik router tidak bisa orang lain hubungi tanpa rule dstnat khusus, dan setiap layanan baru menuntut rule tambahan. Situasinya makin rumit ketika ISP memakai CGNAT, karena Anda bahkan tidak memegang alamat publik sendiri sehingga port forwarding sama sekali mustahil.

Prinsip end-to-end juga runtuh. Aplikasi seperti VoIP SIP, game peer-to-peer, dan protokol FTP aktif dirancang dengan asumsi kedua ujung saling melihat alamat asli lawan bicaranya. RouterOS menyediakan helper seperti sip, ftp, dan pptp pada connection tracking untuk menambal masalah tersebut, namun tambalan itu tidak selalu mulus.

Beban perangkat menjadi masalah ketiga bagi router yang menjalankan NAT Mikrotik sepanjang hari. Setiap sesi menempati satu entri di tabel koneksi, dan router kelas RB750 hanya sanggup menampung puluhan ribu entri sebelum kehabisan memori. Ketika 150 pelanggan streaming bersamaan pada malam Minggu, tabel itu bisa terisi lebih cepat daripada perkiraan Anda.

Persiapan Sebelum Setting NAT Mikrotik

Persiapan yang rapi memangkas separuh waktu troubleshooting nanti. Sebelum menulis satu pun rule NAT Mikrotik, pastikan tiga hal sudah beres: interface WAN benar-benar memegang alamat, rute default sudah ada, dan blok alamat lokal sudah Anda tetapkan dengan jelas. Kesalahan pada salah satu dari tiga hal tersebut akan menghasilkan gejala yang mirip, yaitu internet mati meski rule terlihat benar.

Perangkat yang saya pakai sebagai contoh adalah RB750Gr3 dengan RouterOS 7.13, interface ether1 menuju modem ISP, dan bridge bernama bridge-lan yang menampung ether2 sampai ether5. Skema alamat lokalnya 192.168.10.0/24 dengan router memegang 192.168.10.1. Silakan sesuaikan penamaan tersebut, karena nama interface pada RouterOS bersifat bebas.

Siapkan juga akses cadangan sebelum bereksperimen. Kesalahan rule bisa memutus akses Winbox lewat alamat IP, jadi catat MAC address router agar Anda tetap bisa masuk lewat MAC Winbox. Simpan pula salinan konfigurasi lama supaya pemulihan cukup satu perintah bila percobaan NAT Mikrotik Anda ternyata meleset.

Memeriksa Alamat IP dan Rute Default

Mulailah dengan membaca kondisi router apa adanya. Tiga perintah berikut memberi gambaran lengkap tentang alamat yang menempel, rute yang aktif, dan daftar interface yang tersedia. Jalankan semuanya lewat terminal Winbox atau SSH.

/ip address print
/ip route print
/interface print

Perhatikan kolom alamat pada interface WAN. Bila ether1 memegang alamat seperti 100.64.x.x atau 10.x.x.x, ISP Anda memakai CGNAT dan alamat tersebut bukan alamat publik sejati. Kondisi itu tidak menghalangi trafik keluar, tetapi menutup kemungkinan menerima koneksi masuk dari internet.

Pastikan juga baris rute default 0.0.0.0/0 sudah ada dengan flag A dan S atau A dan D. Tanpa rute default, paket klien tidak pernah sampai ke chain srcnat karena router membuangnya lebih dulu. Banyak kasus “sudah pasang masquerade tapi tetap mati” berakar dari rute default yang hilang, bukan dari rule firewall.

Menyiapkan Interface List WAN

Menulis nama interface langsung pada rule terasa praktis, sampai Anda menambah ISP kedua atau memindahkan kabel ke port lain. Interface list menyelesaikan masalah tersebut dengan memberi satu nama kolektif yang bisa Anda isi ulang kapan saja. RouterOS 6.41 ke atas sudah mendukung fitur ini secara penuh.

/interface list
add name=WAN comment="Uplink ke ISP"
add name=LAN comment="Jaringan lokal"

/interface list member
add list=WAN interface=ether1
add list=LAN interface=bridge-lan

Setelah daftar tersebut jadi, rule NAT Mikrotik cukup memakai out-interface-list=WAN alih-alih menyebut ether1. Menambah uplink kedua nanti hanya butuh satu baris member baru tanpa menyentuh satu pun rule NAT. Kebiasaan kecil ini menyelamatkan saya berkali-kali ketika harus memindahkan pelanggan ke jalur cadangan pada tengah malam.

Interface list juga rapi untuk rule filter dan mangle. Anda bisa memakai nama LAN pada rule input agar Winbox hanya menerima koneksi dari dalam jaringan. Konsistensi penamaan membuat konfigurasi router tetap terbaca meski sudah berumur dua tahun.

Konfigurasi NAT Mikrotik Langkah demi Langkah

Bagian ini menyusun konfigurasi NAT Mikrotik dari yang paling dasar sampai kasus lanjutan. Kerjakan berurutan, dan uji setiap langkah sebelum lanjut ke langkah berikutnya. Pendekatan bertahap memudahkan Anda menemukan langkah mana yang bermasalah bila hasilnya tidak sesuai harapan.

Langkah 1 — Memastikan Klien Sudah Mendapat Alamat

Klien harus memegang alamat privat dan gateway yang menunjuk ke router sebelum NAT Mikrotik berguna. Periksa lewat DHCP server atau konfigurasi manual pada komputer klien. Perintah /ip dhcp-server lease print memperlihatkan daftar sewa alamat yang aktif, sementara /ip arp print menampilkan perangkat yang benar-benar terlihat oleh router.

Cocokkan alamat yang muncul dengan blok yang Anda rencanakan. Bila klien memegang alamat 169.254.x.x, berarti DHCP server belum berjalan dan klien memakai alamat cadangan otomatis. Perbaiki dulu bagian tersebut, karena tidak ada rule firewall yang bisa menyelamatkan klien tanpa gateway.

Uji juga koneksi dari router ke klien memakai ping. Router harus bisa menjangkau 192.168.10.25, dan klien harus bisa menjangkau 192.168.10.1. Kalau salah satu arah gagal, masalahnya ada pada kabel, bridge, atau firewall filter, bukan pada tabel terjemahan alamat.

Langkah 2 — Membuat Rule Masquerade sebagai Fondasi

Inilah rule yang membuat seluruh jaringan lokal bisa menyentuh internet. Satu baris saja sudah cukup untuk mayoritas jaringan rumahan dan warnet. Perhatikan parameter out-interface-list yang membatasi rule hanya pada arah keluar menuju ISP.

/ip firewall nat
add chain=srcnat src-address=192.168.10.0/24 out-interface-list=WAN \
    action=masquerade comment="Masquerade LAN ke internet"

Parameter src-address memastikan hanya blok lokal Anda yang terkena terjemahan. Tanpa pembatas tersebut, rule akan menyentuh trafik apa pun yang lewat, termasuk trafik dari jaringan tetangga bila router Anda juga meneruskan rute lain. Pembatasan ini murah dan mencegah kebocoran yang sulit terlacak.

Uji langsung dari komputer klien dengan membuka situs mana pun. Bila halaman terbuka, fondasi NAT Mikrotik Anda sudah benar dan sisa artikel ini tinggal penyempurnaan. Bila masih gagal, lompat sebentar ke bagian troubleshooting di bawah sebelum melanjutkan.

Langkah 3 — Memakai Src-nat untuk IP Publik Tetap

Pelanggan dengan alamat publik statis sebaiknya memakai action src-nat. Router tidak perlu memeriksa alamat interface setiap kali paket lewat, sehingga beban CPU turun pada trafik padat. Ganti alamat pada contoh berikut dengan alamat publik yang ISP berikan kepada Anda.

/ip firewall nat
add chain=srcnat src-address=192.168.10.0/24 out-interface=ether1 \
    action=src-nat to-addresses=103.23.198.182 comment="Src-nat IP statis"

Bila ISP memberi blok /29 berisi beberapa alamat publik, Anda boleh memisahkan kelompok klien ke alamat berbeda. Buat dua rule dengan src-address berbeda dan to-addresses berbeda, misalnya kantor memakai .182 sementara tamu memakai .183. Pemisahan semacam ini memudahkan pelacakan bila salah satu alamat masuk daftar hitam layanan tertentu.

Satu peringatan penting: jangan memakai src-nat pada koneksi PPPoE atau DHCP client yang alamatnya berubah-ubah. Begitu ISP memberi alamat baru, rule lama menunjuk alamat yang sudah tidak ada dan seluruh trafik keluar mati seketika. Pemakai koneksi PPPoE client ke ISP jauh lebih aman memakai masquerade.

Langkah 4 — Hairpin untuk Akses Server dari Dalam

Masalah klasik muncul setelah Anda memasang port forwarding. Akses dari luar berhasil, tetapi klien di dalam jaringan justru gagal membuka alamat publik yang sama. Penyebabnya sederhana: paket balasan dari server lokal kembali langsung ke klien tanpa melewati router, sehingga klien menolaknya karena alamat pengirim tidak cocok.

Solusinya bernama hairpin, yaitu menambahkan rule srcnat agar paket internal ikut tertranslasi. Contoh berikut mengasumsikan server web lokal di 192.168.10.10 port 80 dan alamat publik 103.23.198.182. Rule pertama menangani akses dari luar, rule kedua menangani akses dari dalam.

/ip firewall nat
add chain=dstnat dst-address=103.23.198.182 protocol=tcp dst-port=80 \
    action=dst-nat to-addresses=192.168.10.10 to-ports=80 comment="Forward web"
add chain=srcnat src-address=192.168.10.0/24 dst-address=192.168.10.10 \
    protocol=tcp dst-port=80 action=masquerade comment="Hairpin web"

Rule kedua membuat router menyamar sebagai pengirim, sehingga server lokal membalas ke router dan router meneruskannya ke klien dengan alamat yang konsisten. Efek sampingnya, log server web akan mencatat 192.168.10.1 sebagai pengunjung untuk semua akses internal. Konsekuensi tersebut biasanya bisa Anda terima demi kenyamanan akses.

Langkah 5 — Mengecualikan Trafik Lokal dan VPN

Jaringan yang memiliki beberapa segmen internal atau tunnel VPN butuh pengecualian. Tanpa pengecualian, paket antar segmen ikut tertranslasi dan server tujuan melihat semua permintaan berasal dari router. Rule accept berikut menghentikan pemeriksaan lebih awal sehingga rule masquerade di bawahnya tidak tersentuh.

/ip firewall nat
add chain=srcnat dst-address=10.0.0.0/8 action=accept \
    comment="Bypass antar segmen" place-before=0
add chain=srcnat dst-address=172.16.0.0/12 action=accept place-before=1
add chain=srcnat dst-address=192.168.0.0/16 action=accept place-before=2

Parameter place-before menaruh rule baru di posisi tertentu tanpa perlu perintah move terpisah. Urutan sangat menentukan di sini, karena rule accept harus berada di atas rule masquerade agar sempat dieksekusi. Kalau posisinya terbalik, pengecualian tersebut tidak akan pernah bekerja.

Pengecualian semacam ini wajib pada jaringan yang memakai tunnel. Trafik menuju kantor cabang lewat tunnel WireGuard antar lokasi harus tetap membawa alamat asli agar sisi seberang bisa membedakan tiap host. Menyamarkan trafik tunnel sama saja membuang manfaat utama VPN.

Langkah 6 — Verifikasi NAT Mikrotik Sudah Berjalan

Jangan berhenti pada “internet sudah nyala”. Periksa counter tiap rule untuk memastikan paket benar-benar melewati aturan yang Anda maksud. Perintah berikut menampilkan statistik paket dan byte per rule beserta isi tabel koneksi yang sedang aktif.

/ip firewall nat print stats
/ip firewall connection print count-only
/ip firewall connection print where src-address~"192.168.10"

Counter yang terus bertambah pada rule masquerade menandakan aturan bekerja normal. Counter nol berarti paket tidak pernah mencapainya, entah karena rule lain di atas sudah menangkapnya atau karena kondisi rule terlalu sempit. Perbandingan angka antar rule sering langsung menunjukkan letak kesalahan tanpa perlu menebak.

Lihat juga jumlah total koneksi aktif. Angka 3.000 sampai 8.000 masih wajar untuk 30 klien warnet, sementara 60.000 pada router kecil adalah tanda bahaya. Catat angka normal jaringan Anda supaya punya pembanding ketika suatu saat terjadi lonjakan mencurigakan.

Studi Kasus Nyata di Lapangan

Teori terasa jelas sampai Anda berhadapan dengan jaringan sungguhan yang penuh kompromi. Dua kasus penerapan NAT Mikrotik berikut berasal dari pekerjaan nyata dengan angka dan perangkat apa adanya. Keduanya memakai pendekatan berbeda meski masalah dasarnya sama.

Warnet 30 Klien dengan Satu IP Dinamis

Warnet di pinggiran kota memakai satu langganan fiber 100 Mbps dengan alamat publik dinamis lewat PPPoE. Perangkatnya RB750Gr3, 30 unit PC klien, dan satu server billing lokal di 192.168.20.5. Pemilik mengeluh internet kadang terputus sendiri pada jam ramai antara pukul 19.00 sampai 22.00.

Pemeriksaan menunjukkan dua rule masquerade tumpang tindih dan satu di antaranya tanpa pembatas interface. Setelah saya hapus rule berlebih dan menyisakan satu rule dengan out-interface=pppoe-out1, gejala terputus langsung hilang. Ternyata rule tanpa pembatas ikut menerjemahkan trafik menuju server billing lokal sehingga aplikasi kasir sering kehilangan sesi.

Penambahan rule accept untuk blok 192.168.20.0/24 di posisi paling atas menutup masalah tersebut secara permanen. Beban CPU router pada jam puncak turun dari rata-rata 62 persen menjadi 41 persen. Pelajaran utamanya: satu rule NAT Mikrotik yang berlebih bisa merusak layanan yang sama sekali tidak berhubungan dengan internet.

RT-RW Net 180 Pelanggan dengan NAT Mikrotik

Jaringan RT-RW Net ini melayani 180 pelanggan PPPoE dengan blok alamat 10.7.0.0/16 dan satu alamat publik statis dari ISP. Routernya CCR1009 dengan uplink 300 Mbps. Operator memakai src-nat karena alamat publiknya tetap, dan pilihan tersebut memang tepat untuk jumlah sesi sebesar itu.

Kendala muncul ketika beberapa pelanggan mengeluh tidak bisa memakai aplikasi konferensi video dengan lancar. Penyebabnya adalah port sumber yang terus berubah karena tabel koneksi cepat penuh dan entri lama terbuang sebelum sesi selesai. Menaikkan batas entri serta memperpendek tcp-close-wait-timeout menyelesaikan keluhan tersebut dalam satu malam.

Operator juga memisahkan pelanggan bisnis ke alamat publik kedua memakai rule src-nat terpisah berdasarkan blok 10.7.100.0/24. Pemisahan itu membuat pelanggan bisnis tidak ikut terdampak ketika alamat utama sesekali kena pembatasan layanan tertentu. Bila Anda sedang merintis jaringan serupa, panduan membangun RT-RW Net dari nol membahas perencanaan alamatnya sejak awal.

Tips dan Best Practice NAT Mikrotik

Kumpulan kebiasaan berikut lahir dari kesalahan yang pernah saya buat sendiri ketika menata NAT Mikrotik di jaringan produksi. Menerapkannya sejak awal jauh lebih murah daripada memperbaiki jaringan yang sudah berjalan dengan ratusan pelanggan. Beberapa di antaranya terlihat sepele tetapi berdampak besar pada jangka panjang.

• Letakkan rule masquerade paling bawah pada chain srcnat, karena rule ini bersifat penangkap terakhir dan akan menelan trafik yang seharusnya dikecualikan.
• Selalu batasi out-interface atau out-interface-list supaya terjemahan alamat tidak bocor ke interface lain seperti tunnel dan bridge lokal.
• Hindari masquerade pada interface tunnel L2TP, WireGuard, atau EoIP kecuali Anda benar-benar berniat menyembunyikan alamat sisi lokal.
• Beri komentar pada setiap rule memakai parameter comment agar teknisi berikutnya tidak menghapus aturan penting karena tidak paham fungsinya.
• Batasi src-address ke blok lokal yang benar-benar Anda kelola, jangan biarkan rule menangkap seluruh alamat tanpa syarat.
• Simpan cadangan konfigurasi sebelum mengubah tabel firewall, karena satu rule NAT Mikrotik yang salah bisa memutus seluruh pelanggan dalam hitungan detik.

Menjaga Urutan Rule Tetap Rapi

Router membaca rule dari nomor 0 ke bawah dan berhenti pada kecocokan pertama untuk sebagian besar action. Urutan rule NAT Mikrotik yang berantakan membuat aturan di bawahnya mati suri tanpa pesan kesalahan apa pun. RouterOS tidak akan memberi peringatan, jadi disiplin urutan sepenuhnya menjadi tanggung jawab Anda.

Pola urutan yang saya pakai selalu sama: rule accept untuk pengecualian di paling atas, rule dstnat untuk layanan publik di tengah, lalu rule srcnat penangkap di paling bawah. Struktur tersebut mudah dibaca dan mudah orang lain lanjutkan. Memindahkan rule cukup memakai perintah move dengan nomor tujuan.

/ip firewall nat print
/ip firewall nat move numbers=5 destination=0
/ip firewall nat disable numbers=3
/ip firewall nat enable numbers=3

Nomor rule berubah setiap kali Anda memindahkan atau menghapus baris, jadi selalu jalankan print lebih dulu. Kebiasaan menebak nomor dari ingatan sering berakhir dengan rule yang salah pindah. Pada router produksi, kesalahan sekecil itu bisa memutus 200 pelanggan sekaligus.

Memantau Beban Tabel Koneksi

Tabel koneksi punya batas yang bergantung pada memori router, dan RouterOS menentukannya otomatis saat boot. Memantau angkanya secara berkala membuat Anda tahu kapan harus menaikkan kapasitas perangkat. Perintah berikut memperlihatkan konfigurasi dan pemakaian saat ini.

/ip firewall connection tracking print
/ip firewall connection tracking set tcp-established-timeout=6h
/ip firewall connection tracking set udp-stream-timeout=1m

Nilai bawaan tcp-established-timeout selama satu hari terlalu longgar untuk jaringan padat. Menurunkannya ke 6 jam sering memangkas jumlah entri aktif hingga sepertiga tanpa mengganggu pengguna sama sekali. Pemendekan udp-stream-timeout memberi efek serupa pada trafik streaming dan game. Ukur dulu kondisi normal jaringan Anda sebelum mengubah nilai apa pun.

Perhatikan pula pemakaian memori lewat menu resource. Router yang memakai lebih dari 70 persen RAM pada jam puncak sudah pantas Anda ganti atau bagi bebannya. Menunggu sampai router benar-benar kehabisan memori berarti menunggu keluhan pelanggan datang lebih dulu.

Troubleshooting Masalah NAT Mikrotik yang Umum

Gejala kerusakan NAT Mikrotik cenderung berulang dan mudah dikenali begitu Anda hafal polanya. Tiga masalah berikut mencakup lebih dari 80 persen tiket yang pernah saya tangani. Pendekatannya selalu sama: kumpulkan bukti dari counter dan tabel koneksi sebelum mengubah apa pun.

Internet Mati Padahal Rule Sudah Ada

Keluhan paling sering berbunyi seperti itu, dan penyebabnya jarang benar-benar pada rule. Periksa berurutan: rute default ada atau tidak, DNS pada klien terisi atau kosong, dan interface WAN memegang alamat atau tidak. Uji ping dari router ke 8.8.8.8 untuk memisahkan masalah uplink dari masalah terjemahan alamat.

Bila router bisa ping ke luar tetapi klien tidak bisa, barulah rule NAT Mikrotik menjadi tersangka. Cek apakah ada rule filter chain forward yang memblokir trafik lebih dulu, karena filter berjalan sebelum srcnat menyentuh paket. Cek juga apakah rule masquerade memakai interface yang benar, bukan ether1 padahal uplink sebenarnya lewat pppoe-out1.

Penyebab lain yang licin adalah blok alamat pada src-address yang tidak cocok dengan blok klien sesungguhnya. Rule dengan src-address 192.168.1.0/24 tidak akan pernah menyentuh klien 192.168.10.25. Kesalahan satu angka semacam ini sulit terlihat mata, tetapi counter rule akan langsung menunjukkannya sebagai nol.

Koneksi Melambat karena Tabel Koneksi Penuh

Gejalanya khas: internet terasa normal pagi hari lalu berat sekali pada malam hari, dan ping ke gateway ikut naik. Pemeriksaan tabel koneksi biasanya memperlihatkan angka yang mendekati batas maksimum. Router yang kehabisan slot akan membuang koneksi baru tanpa memberi tahu siapa pun. Bandingkan hasil /ip firewall connection print count-only dengan /system resource print untuk melihat hubungan antara jumlah sesi dan pemakaian memori.

Perangkat yang terinfeksi malware atau aplikasi torrent sering menjadi biang keroknya. Satu klien torrent sanggup membuka 2.000 sampai 5.000 sesi UDP sekaligus, jumlah yang setara dengan puluhan pengguna normal. Menemukan klien tersebut cukup dengan menyortir tabel koneksi berdasarkan alamat sumber, lalu membatasi jumlah koneksinya lewat firewall filter connection-limit.

Solusi jangka panjang mencakup pemendekan timeout, penambahan memori, atau pemecahan beban ke router kedua. Pilihan terakhir memang paling mahal, namun paling tuntas untuk jaringan yang terus tumbuh. Rencanakan sejak jumlah pelanggan menyentuh 60 persen kapasitas nyaman router Anda.

Memeriksa Counter Rule pada NAT Mikrotik

Counter adalah alat diagnosis paling jujur karena ia menghitung paket sungguhan, bukan asumsi. Reset counter, jalankan trafik uji dari klien, lalu baca ulang angkanya. Selisih angka menunjukkan persis rule mana yang menangkap trafik Anda.

/ip firewall nat reset-counters [find]
/ip firewall nat print stats
/ip firewall nat print stats interval=2

Opsi interval=2 membuat RouterOS menyegarkan tampilan setiap dua detik sehingga Anda bisa memantau secara langsung sambil menguji dari klien. Tekan Ctrl+C untuk berhenti. Metode ini jauh lebih cepat daripada menebak, terutama pada router dengan belasan rule yang saling menimpa.

Dokumentasi resmi menyediakan daftar lengkap parameter dan action yang tersedia pada tabel firewall. Rujuk dokumentasi resmi Mikrotik setiap kali Anda menemui parameter asing agar tidak salah menebak fungsinya. Kebiasaan memverifikasi jauh lebih aman daripada menyalin rule dari forum tanpa memahami maksudnya.

Pertanyaan yang Sering Diajukan tentang NAT Mikrotik

Apakah masquerade dan src-nat boleh dipakai bersamaan?

Boleh, selama keduanya menangani blok alamat atau interface yang berbeda. Konflik hanya terjadi ketika dua rule menangkap trafik yang sama, dan rule paling atas selalu menang. Pastikan setiap rule memiliki pembatas src-address atau out-interface yang jelas agar cakupannya tidak tumpang tindih.

Mengapa server lokal tidak bisa diakses dari dalam jaringan?

Penyebabnya adalah paket balasan yang kembali langsung ke klien tanpa melewati router. Tambahkan rule hairpin berupa srcnat masquerade dengan src-address blok lokal dan dst-address alamat server. Setelah rule tersebut aktif, akses dari dalam maupun luar akan sama-sama berhasil.

Berapa banyak klien yang sanggup ditangani NAT Mikrotik?

Batasnya bukan jumlah klien melainkan jumlah sesi aktif dan kapasitas memori router. RB750Gr3 nyaman melayani 30 sampai 60 klien rumahan, sementara CCR1009 sanggup menangani 200 pelanggan PPPoE dengan lega. Pantau tabel koneksi dan pemakaian RAM untuk menentukan batas nyata perangkat Anda.

Apakah fitur ini membuat jaringan otomatis aman?

Tidak, meski memang menyulitkan pemindai dari luar menjangkau perangkat internal. Perlindungan tersebut bersifat efek samping dan mudah runtuh oleh malware yang membuka koneksi dari dalam. Tetap pasang firewall filter yang benar dan batasi akses layanan administrasi router.

Kenapa aplikasi VoIP sering putus di belakang NAT Mikrotik?

Protokol SIP membawa alamat IP di dalam badan paket, bukan hanya di header, sehingga terjemahan alamat membuat informasinya tidak konsisten. RouterOS menyediakan helper SIP pada connection tracking untuk menambal masalah tersebut. Alternatif yang lebih stabil adalah memakai server VoIP yang mendukung STUN atau menyediakan alamat publik khusus.

Apakah IPv6 masih memerlukan terjemahan alamat?

Tidak, karena IPv6 menyediakan alamat yang jauh lebih dari cukup untuk setiap perangkat di dunia. Jaringan IPv6 mengembalikan prinsip end-to-end dan cukup mengandalkan firewall untuk membatasi akses masuk. Adopsi di Indonesia masih terbatas, jadi terjemahan alamat pada IPv4 akan tetap relevan bertahun-tahun ke depan.

Bagaimana cara memisahkan pelanggan ke beberapa IP publik?

Buat satu rule src-nat untuk setiap kelompok dengan src-address dan to-addresses berbeda. Misalnya blok 10.7.1.0/24 memakai alamat publik pertama sementara 10.7.2.0/24 memakai alamat kedua. Pastikan seluruh alamat publik tersebut benar-benar terpasang pada interface WAN router.

Perlukah menghapus rule masquerade jika memakai bridge mode?

Perlu, karena router dalam mode bridge tidak melakukan routing sehingga rule NAT Mikrotik kehilangan konteksnya. Rule yang tertinggal berpotensi menyamarkan trafik secara tidak sengaja dan mengacaukan pelacakan. Bersihkan tabel firewall setiap kali Anda mengubah peran perangkat secara mendasar.

Kesimpulan

Terjemahan alamat lahir dari keterbatasan jumlah alamat IPv4, lalu tumbuh menjadi fondasi yang menopang hampir semua jaringan lokal di Indonesia. Menguasai NAT Mikrotik berarti memahami dua arah kerja chain srcnat dan dstnat, memilih action yang tepat antara masquerade dan src-nat, serta menjaga urutan rule tetap masuk akal. Pemahaman tersebut mengubah troubleshooting dari tebak-tebakan menjadi pemeriksaan yang terarah.

Poin praktisnya sederhana: pakai masquerade ketika alamat publik Anda berubah-ubah, pakai src-nat ketika ISP memberi alamat tetap, dan selalu batasi interface keluar agar tidak ada trafik yang tersamarkan tanpa sengaja. Tambahkan rule accept untuk trafik antar segmen dan tunnel, lalu letakkan rule penangkap di posisi paling bawah. Kebiasaan kecil tersebut membuat NAT Mikrotik Anda tetap terbaca dan menghemat berjam-jam pemeriksaan di kemudian hari.

Langkah lanjutan yang layak Anda pelajari adalah membuka layanan tertentu ke internet lewat chain dstnat, karena keduanya berasal dari mesin yang sama. Setelah itu, dalami pengaturan bandwidth dan keamanan router agar jaringan Anda tidak hanya menyala tetapi juga stabil dan terkendali. Coba terapkan konfigurasi di atas pada satu router uji lebih dulu, ukur counter-nya, lalu bawa ke jaringan produksi dengan percaya diri.