Cara Setting VLAN di Mikrotik untuk Memisahkan Jaringan

Satu switch fisik yang harus melayani beberapa jaringan sekaligus sudah menjadi pemandangan biasa di kantor kecil maupun di jaringan RT-RW Net. VLAN Mikrotik hadir sebagai jawaban ketika Anda hanya memiliki satu router dan beberapa helai kabel, tetapi wajib memisahkan jaringan staff, jaringan tamu, dan jaringan kamera pengawas supaya tidak saling mengganggu. Teknologi ini memecah satu perangkat menjadi banyak jaringan logis tanpa Anda perlu membeli switch tambahan untuk tiap segmen.

Saya sendiri memakai fitur ini setiap hari untuk memisahkan jaringan manajemen dari trafik pelanggan di beberapa titik distribusi. Dulu, sebelum memakai pemisahan logis, saya sempat menarik tiga kabel UTP paralel ke satu tiang hanya demi memisahkan trafik kamera dari trafik pelanggan. Setelah beralih ke pemisahan berbasis tag, satu kabel saja sudah cukup dan biaya material turun drastis.

Artikel ini membahas tuntas mulai dari konsep tagging 802.1Q, perbedaan port access dan trunk, konfigurasi bridge VLAN filtering yang MikroTik rekomendasikan pada RouterOS versi baru, sampai firewall antar segmen dan troubleshooting. Saya juga akan menandai dengan tegas bagian mana yang berisiko membuat Anda terkunci dari router, karena kesalahan pada langkah itu bisa memaksa Anda datang ke lokasi hanya untuk menekan tombol reset. Seluruh contoh perintah VLAN Mikrotik di bawah sudah saya uji langsung pada perangkat produksi.

Pengertian VLAN Mikrotik dan Masalah yang Dipecahkannya

VLAN atau Virtual Local Area Network adalah jaringan lokal virtual yang membagi satu perangkat switch fisik menjadi beberapa jaringan logis yang saling terisolasi. Perangkat yang berada pada VLAN berbeda tidak dapat saling berkomunikasi secara langsung meskipun kabelnya menancap pada switch yang sama. Praktisnya, satu switch delapan port bisa Anda ubah menjadi tiga switch terpisah tanpa menambah perangkat keras apa pun. Pada konteks RouterOS, kemampuan itu kita sebut VLAN Mikrotik karena router sekaligus berperan sebagai switch dan gerbang antar segmen.

Persoalan yang fitur ini atasi sangat konkret. Bayangkan sebuah kantor dengan dua puluh komputer staff, satu access point untuk tamu, dan delapan kamera CCTV. Tanpa pemisahan, seluruh perangkat itu berada pada satu jaringan datar sehingga tamu yang iseng bisa melihat folder sharing komputer bagian keuangan, dan lonjakan trafik rekaman kamera langsung menekan kecepatan kerja karyawan.

Dengan penerapan VLAN Mikrotik, ketiga kelompok tadi menempati alamat jaringan yang berbeda dan lalu lintasnya terpisah rapi. Router tetap menjadi satu-satunya pintu penghubung, sehingga Anda punya titik kontrol tunggal untuk menentukan siapa boleh menjangkau siapa. Kontrol semacam ini mustahil Anda dapatkan pada jaringan datar tanpa menambah router atau switch fisik baru.

Kenapa Satu Switch Fisik Bisa Melayani Banyak Jaringan

Kuncinya ada pada label kecil yang router sisipkan ke dalam setiap frame Ethernet. Label tersebut memberi tahu switch dan router bahwa frame ini milik jaringan nomor sekian, bukan milik jaringan tetangga. Switch lalu memperlakukan frame bertanda berbeda seolah-olah datang dari kabel yang benar-benar berbeda.

Proses pelabelan itu bekerja pada lapisan kedua model referensi jaringan, tepatnya di layer data link. Anda bisa membaca ulang posisi lapisan tersebut pada pembahasan tujuh lapisan model OSI supaya gambaran alurnya makin jelas. Pemahaman lapisan ini penting karena banyak kesalahan konfigurasi muncul akibat pengguna mencampuradukkan urusan layer 2 dengan urusan routing di layer 3.

Router Mikrotik sendiri memperlakukan tiap jaringan logis sebagai antarmuka virtual yang berdiri sendiri. Antarmuka virtual itu bisa Anda beri alamat IP, DHCP server, queue bandwidth, bahkan aturan firewall sendiri. Alhasil satu kotak router berperan seperti beberapa router kecil yang berbagi satu prosesor.

Istilah Dasar dalam VLAN Mikrotik yang Perlu Anda Kenali

Sebelum menyentuh terminal, kenali dulu empat istilah yang akan terus muncul. Pertama, VLAN ID yaitu nomor identitas jaringan logis, rentangnya 1 sampai 4094. Kedua, tagged yang berarti frame membawa label VLAN, biasanya menempati jalur antar perangkat jaringan.

Ketiga, untagged yang berarti frame polos tanpa label, menempati port yang menghadap laptop, printer, atau kamera. Keempat, PVID alias Port VLAN ID, yakni nomor VLAN yang router lekatkan otomatis pada frame polos yang masuk lewat port tersebut. Empat istilah ini menjadi fondasi seluruh konfigurasi VLAN Mikrotik yang akan kita bahas.

Banyak teknisi pemula tersandung karena mengira tagged dan untagged adalah pengaturan pada VLAN, padahal keduanya adalah pengaturan pada port. Satu port yang sama bisa untagged untuk VLAN 10 sekaligus tagged untuk VLAN 20 dan VLAN 30. Kombinasi semacam itu justru sering muncul ketika Anda menyambungkan access point yang menyiarkan dua SSID berbeda.

Cara Kerja Tagging 802.1Q pada VLAN Mikrotik

Setiap frame Ethernet normal terdiri atas alamat MAC tujuan, alamat MAC asal, tipe protokol, lalu data. Standar IEEE 802.1Q menyisipkan empat byte tambahan tepat setelah alamat MAC asal, dan empat byte itulah yang membawa identitas jaringan logis. Dua byte pertama menandakan bahwa frame ini bertanda, sedangkan dua byte berikutnya memuat prioritas dan nomor VLAN ID.

Penyisipan tag membuat ukuran frame bertambah dari 1518 byte menjadi 1522 byte. Perangkat lama yang tidak paham standar ini akan menganggap frame tersebut rusak dan membuangnya, itulah sebabnya switch murah tanpa dukungan 802.1Q sering merusak rancangan yang sudah rapi. Sebelum membeli perangkat baru, pastikan lembar spesifikasinya menyebut dukungan VLAN 802.1Q secara eksplisit.

Router membaca tag itu lalu mengarahkan frame ke antarmuka virtual yang sesuai. Frame bertanda 10 masuk ke antarmuka vlan10, frame bertanda 20 masuk ke vlan20, dan seterusnya. Dari titik itu, seluruh mekanisme routing, NAT, serta firewall berjalan persis seperti pada antarmuka fisik biasa. Kesederhanaan model tersebut membuat VLAN Mikrotik mudah berpadu dengan fitur lain yang sudah Anda kuasai.

Struktur VLAN ID 1 sampai 4094

Nomor VLAN ID memakai 12 bit sehingga secara teori tersedia 4096 kombinasi, yaitu 0 sampai 4095. Nomor 0 melayani frame yang hanya membawa informasi prioritas tanpa identitas jaringan, sedangkan standar menyimpan nomor 4095 untuk keperluan internal. Rentang yang benar-benar bisa Anda pakai karena itu adalah 1 hingga 4094.

Nomor 1 secara tradisional menjadi VLAN bawaan pada hampir semua merek switch. Sebaiknya Anda tidak memakai nomor tersebut untuk data produksi karena banyak perangkat mengirim trafik protokol manajemen di sana secara diam-diam. Praktik yang lebih aman adalah membiarkan VLAN 1 kosong dan memulai penomoran dari 10 ke atas.

Jumlah 4094 terdengar sangat banyak, tetapi kapasitas nyata sebuah perangkat jauh lebih kecil. Switch chip pada seri CRS3xx misalnya mendukung ribuan entri, sementara perangkat kecil seperti hEX hanya nyaman menangani puluhan segmen sebelum bebannya pindah ke prosesor. Pertimbangkan batas praktis ini sejak tahap perencanaan VLAN Mikrotik agar tidak kecewa di tengah jalan.

Perbedaan Port Access dan Port Trunk

Port access, yang dalam istilah RouterOS berperan sebagai port untagged, adalah port yang menghadap perangkat akhir. Laptop, printer, kamera, dan set-top box tidak mengerti tag sehingga port ini harus mengirim frame polos. Router menempelkan tag saat frame masuk memakai nilai PVID, lalu melepas tag itu kembali saat frame keluar.

Port trunk atau port tagged menghubungkan perangkat jaringan dengan perangkat jaringan lain. Satu kabel trunk sanggup membawa puluhan jaringan logis sekaligus karena setiap frame membawa identitasnya masing-masing. Jalur inilah yang membuat Anda cukup menarik satu kabel ke lantai dua meskipun di sana ada tiga segmen berbeda. Menentukan port mana yang menjadi access dan mana yang menjadi trunk adalah keputusan paling mendasar dalam rancangan VLAN Mikrotik.

Broadcast Domain Terpisah pada VLAN Mikrotik

Broadcast domain adalah wilayah tempat sebuah pesan siaran menyebar ke seluruh anggotanya. Permintaan ARP, penawaran DHCP, dan pengumuman NetBIOS semuanya memakai siaran. Pada jaringan datar berisi dua ratus perangkat, siaran semacam itu bisa memakan porsi bandwidth yang mengganggu, terutama di jalur nirkabel.

Pemisahan segmen memotong wilayah siaran menjadi beberapa bagian kecil. Siaran dari jaringan tamu berhenti di batas jaringan tamu dan tidak pernah sampai ke komputer keuangan. Hasilnya bukan hanya jaringan yang lebih senyap, melainkan juga lebih aman karena teknik penyadapan yang mengandalkan ARP spoofing kehilangan jangkauannya.

Efek ini terasa nyata pada jaringan hotspot padat. Di salah satu lokasi yang saya kelola, satu segmen berisi 180 perangkat tamu sempat membuat latensi melonjak ke angka ratusan milidetik hanya karena badai siaran. Setelah saya pecah menjadi empat segmen dengan VLAN Mikrotik, latensi kembali normal di bawah 10 milidetik tanpa menambah perangkat sama sekali.

Kelebihan dan Kekurangan VLAN Mikrotik

Setiap teknologi punya harga yang harus Anda bayar, dan fitur ini bukan pengecualian. Keuntungannya jelas dari sisi biaya, keamanan, dan fleksibilitas. Kerugiannya muncul dari sisi kerumitan operasional serta ketergantungan pada dukungan perangkat.

Kelebihan VLAN Mikrotik di Lapangan

Penghematan biaya adalah alasan paling sering saya dengar dari rekan teknisi. Membeli satu router lengkap untuk tiap segmen jelas mahal, sedangkan menambah satu antarmuka virtual sama sekali tidak berbiaya. Untuk kantor dengan lima segmen, selisih biayanya bisa mencapai belasan juta rupiah.

Fleksibilitas menjadi keunggulan kedua yang sangat terasa saat kantor melakukan penataan ulang ruangan. Memindahkan sebuah komputer dari segmen staff ke segmen manajemen cukup dengan mengubah nilai PVID pada port terkait. Anda tidak perlu naik plafon atau menarik kabel baru hanya karena satu meja bergeser ruangan.

Keamanan melengkapi dua keunggulan sebelumnya. Segmentasi membuat sebuah komputer yang terinfeksi ransomware hanya bisa menjangkau tetangga satu segmennya, bukan seluruh kantor. Lapisan pertahanan tambahan semacam ini sangat berharga di kantor yang datanya sensitif.

Kekurangan yang Harus Anda Terima

Kerumitan adalah harga utama yang harus Anda bayar. Siapa saja yang bisa mencolokkan kabel mampu membereskan jaringan datar, sedangkan jaringan bersegmen menuntut orang yang paham konsep tagged dan untagged. Ketika teknisi utama sedang cuti, jaringan bersegmen yang tidak terdokumentasi bisa menjadi mimpi buruk.

Ketergantungan pada perangkat menjadi masalah kedua. Switch murah tanpa manajemen akan membuang frame bertanda atau, lebih buruk lagi, meneruskannya ke semua port sehingga isolasi gagal total. Sebelum menerapkan VLAN Mikrotik pada jaringan yang sudah berjalan, inventarisasi dulu semua switch dan access point yang berada di jalur trunk.

Risiko terkunci menjadi masalah ketiga yang paling sering saya temui. Mengaktifkan vlan-filtering pada bridge yang belum lengkap tabel VLAN-nya akan langsung memutus akses Winbox Anda. Bahaya ini nyata sehingga saya membahas mitigasinya secara khusus pada bagian konfigurasi nanti.

Persiapan Sebelum Konfigurasi

Persiapan yang matang memangkas separuh waktu pengerjaan. Saya biasanya menghabiskan tiga puluh menit di atas kertas sebelum menyentuh terminal, dan waktu itu selalu terbayar. Rencana yang jelas juga memudahkan teknisi lain memahami jaringan Anda enam bulan kemudian.

Mulailah dengan mendata semua perangkat yang tersambung beserta port fisik yang dipakainya. Catat pula merek dan tipe switch di setiap lantai, lengkap dengan informasi apakah perangkat itu mendukung 802.1Q. Data sederhana ini akan menjadi peta saat Anda menentukan port mana yang menjadi trunk dan port mana yang menjadi access. Tanpa peta tersebut, penerapan VLAN Mikrotik berubah menjadi tebak-tebakan yang melelahkan.

Siapkan juga jalur akses cadangan sebelum mengubah apa pun. Kabel konsol, koneksi tunnel VPN, atau sekadar satu port ethernet yang sengaja Anda biarkan di luar bridge sudah cukup menyelamatkan Anda dari perjalanan darurat ke lokasi. Jalur cadangan ini bukan kemewahan, melainkan asuransi murah untuk pekerjaan berisiko.

Perencanaan Penomoran VLAN Mikrotik

Penomoran yang konsisten membuat jaringan mudah dibaca bertahun-tahun kemudian. Saya terbiasa memakai kelipatan sepuluh untuk fungsi utama, lalu menyisakan ruang di antaranya untuk kebutuhan mendadak. Skema semacam ini menghindarkan Anda dari nomor acak yang tidak bermakna apa pun.

Selaraskan nomor segmen dengan oktet ketiga alamat IP supaya mudah Anda ingat. VLAN 10 memakai 192.168.10.0/24, VLAN 20 memakai 192.168.20.0/24, dan seterusnya. Kalau Anda masih ragu menentukan ukuran blok alamat, tinjau kembali dasar perhitungan subnetting dan pembagian kelas alamat IP sebelum menetapkan angka final.

Memeriksa Dukungan Hardware dan Versi RouterOS

Tidak semua perangkat memproses tag di dalam switch chip. Seri CRS3xx, CRS5xx, dan CCR2116 menangani bridge VLAN filtering langsung di perangkat keras sehingga tidak membebani prosesor. Perangkat kelas kecil seperti hEX RB750Gr3 atau hAP ac2 memindahkan pekerjaan itu ke prosesor sehingga throughput bisa turun signifikan pada trafik padat.

Periksa dukungan tersebut lewat tanda H pada keluaran /interface bridge port print. Huruf H menandakan port berjalan dengan hardware offload aktif, dan hilangnya huruf itu setelah Anda menyalakan filtering menjadi petunjuk bahwa prosesor kini menanggung bebannya. Rincian dukungan per seri tersedia pada dokumentasi resmi MikroTik yang selalu diperbarui.

Pastikan pula RouterOS Anda minimal versi 6.41 karena mekanisme bridge VLAN filtering baru diperkenalkan sejak rilis tersebut. Versi di bawah itu masih memakai menu /interface ethernet switch yang berbeda total dan tidak kompatibel. Kalau perangkat Anda masih tertinggal, naikkan dulu versi RouterOS sampai tuntas sebelum melangkah lebih jauh.

Konfigurasi VLAN Mikrotik Langkah demi Langkah

Bagian ini memakai contoh nyata sebuah kantor dengan empat segmen sesuai tabel penomoran di atas. Port ether1 saya pakai sebagai jalur internet, ether2 sampai ether4 sebagai port access, dan ether5 sebagai trunk menuju switch lantai dua. Sesuaikan nama antarmuka dengan perangkat Anda karena penamaan berbeda antar seri.

Urutan pengerjaan sengaja saya susun agar langkah paling berbahaya berada di akhir. Selama vlan-filtering masih bernilai no, seluruh perubahan bersifat aman dan tidak memutus akses Anda. Disiplin pada urutan ini menyelamatkan banyak teknisi dari kunjungan darurat tengah malam.

Saya sarankan Anda mengerjakan seluruh langkah lewat terminal, bukan lewat klik di Winbox. Terminal memungkinkan Anda menyalin seluruh perintah, menyimpannya sebagai catatan, lalu mengulanginya di perangkat lain dalam hitungan detik. Catatan semacam itu juga menjadi dokumentasi yang jauh lebih akurat daripada tangkapan layar. Simpan skrip VLAN Mikrotik Anda di satu berkas teks supaya mudah Anda sesuaikan untuk lokasi berikutnya.

Langkah 1 Membuat Bridge Utama

Bridge berfungsi sebagai switch virtual tempat semua port berkumpul. Buat satu bridge saja untuk seluruh segmen, jangan membuat bridge terpisah per segmen karena justru mempersulit pengelolaan. Nonaktifkan protokol spanning tree bila topologi Anda sederhana dan tidak memiliki jalur ganda. Pembahasan mendalam soal cara kerja bridge di RouterOS membantu Anda memahami peran switch virtual ini lebih utuh.

/interface bridge
add name=bridge1 protocol-mode=none vlan-filtering=no comment="Bridge utama semua VLAN"

/interface bridge port
add bridge=bridge1 interface=ether2 comment="Access staff"
add bridge=bridge1 interface=ether3 comment="Access tamu"
add bridge=bridge1 interface=ether4 comment="Access cctv"
add bridge=bridge1 interface=ether5 comment="Trunk ke switch lantai 2"

Perhatikan bahwa saya menuliskan vlan-filtering=no secara eksplisit. Penulisan itu memang nilai bawaan, namun menegaskannya membantu Anda mengingat bahwa saklar pengaman masih tertutup. Bridge pada tahap ini berperilaku persis seperti switch biasa tanpa pemisahan apa pun.

Langkah 2 Membuat Interface VLAN di Atas Bridge

Antarmuka virtual inilah yang nanti membawa alamat IP tiap segmen. Buat antarmuka tersebut di atas bridge1, bukan di atas port fisik, karena bridge sudah mewakili seluruh port. Penamaan yang deskriptif akan sangat membantu ketika daftar antarmuka Anda mulai panjang.

/interface vlan
add name=vlan10-staff vlan-id=10 interface=bridge1
add name=vlan20-tamu  vlan-id=20 interface=bridge1
add name=vlan30-cctv  vlan-id=30 interface=bridge1
add name=vlan99-mgmt  vlan-id=99 interface=bridge1

Membuat antarmuka virtual di atas bridge memiliki konsekuensi penting: bridge1 sendiri harus terdaftar sebagai anggota tagged pada tabel VLAN nanti. Banyak orang melewatkan detail ini lalu bingung kenapa router tidak menjawab ping dari segmen mana pun. Ingat baik-baik poin tersebut karena inilah kesalahan nomor satu pada penerapan VLAN Mikrotik.

Langkah 3 Memberi IP Address pada Tiap VLAN

Setiap segmen membutuhkan gateway agar perangkat di dalamnya bisa keluar. Alamat gateway saya letakkan pada oktet terakhir bernilai 1 supaya seragam dan mudah Anda ingat. Konsistensi kecil semacam ini mempercepat troubleshooting ketika jaringan Anda sudah berisi belasan segmen.

/ip address
add address=192.168.10.1/24 interface=vlan10-staff
add address=192.168.20.1/24 interface=vlan20-tamu
add address=192.168.30.1/24 interface=vlan30-cctv
add address=10.99.99.1/24   interface=vlan99-mgmt

Setelah perintah di atas berjalan, router sudah memiliki empat kaki di empat jaringan berbeda. Routing antar segmen otomatis aktif karena router mengenal keempat jaringan itu sebagai jaringan terhubung langsung. Pembatasan komunikasi antar segmen nanti kita atur lewat firewall, bukan lewat penghapusan rute. Perlu Anda ingat, VLAN Mikrotik memisahkan lalu lintas di layer 2 sedangkan router justru menyatukannya kembali di layer 3.

Langkah 4 Menyiapkan IP Pool dan DHCP Server

Perangkat tamu dan laptop karyawan tentu enggan Anda konfigurasi satu per satu. Layanan DHCP menjawab kebutuhan itu dengan membagikan alamat otomatis pada tiap segmen. Buat pool terlebih dahulu, baru kemudian layanan dan definisi jaringannya.

/ip pool
add name=pool-staff ranges=192.168.10.100-192.168.10.200
add name=pool-tamu  ranges=192.168.20.100-192.168.20.250
add name=pool-cctv  ranges=192.168.30.100-192.168.30.150

/ip dhcp-server
add name=dhcp-staff interface=vlan10-staff address-pool=pool-staff lease-time=8h disabled=no
add name=dhcp-tamu  interface=vlan20-tamu  address-pool=pool-tamu  lease-time=2h disabled=no
add name=dhcp-cctv  interface=vlan30-cctv  address-pool=pool-cctv  lease-time=1d disabled=no

/ip dhcp-server network
add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1,1.1.1.1
add address=192.168.20.0/24 gateway=192.168.20.1 dns-server=192.168.20.1,1.1.1.1
add address=192.168.30.0/24 gateway=192.168.30.1 dns-server=192.168.30.1

Perhatikan perbedaan lease-time pada tiap segmen. Jaringan tamu saya beri masa pinjam pendek karena perangkatnya datang dan pergi, sedangkan kamera CCTV mendapat masa pinjam panjang karena alamatnya sebaiknya stabil. Segmen manajemen sengaja tidak saya beri DHCP supaya admin selalu memakai alamat statis.

Kalau Anda baru pertama kali menata layanan alamat otomatis, tinjau kembali panduan pengaturan DHCP server di RouterOS yang membahas layanan tersebut dari nol. Dasar itu tetap berlaku, hanya saja di sini antarmukanya berupa antarmuka virtual, bukan port fisik. Pemahaman tersebut mempermudah Anda menyusun VLAN Mikrotik dengan banyak segmen sekaligus.

Langkah 5 Menentukan PVID pada Bridge Port

Nilai PVID memberi tahu router ke segmen mana frame polos harus router masukkan. Port yang menghadap laptop staff mendapat PVID 10, port tamu mendapat 20, dan port kamera mendapat 30. Jalur trunk ether5 saya biarkan pada nilai bawaan karena semua frame di sana sudah bertanda.

/interface bridge port
set [find interface=ether2] pvid=10 frame-types=admit-only-untagged-and-priority-tagged
set [find interface=ether3] pvid=20 frame-types=admit-only-untagged-and-priority-tagged
set [find interface=ether4] pvid=30 frame-types=admit-only-untagged-and-priority-tagged
set [find interface=ether5] frame-types=admit-only-vlan-tagged

Parameter frame-types memperketat aturan main tiap port. Nilai admit-only-untagged-and-priority-tagged membuat port access menolak frame bertanda, sehingga tamu nakal tidak bisa menyuntikkan tag palsu untuk melompat ke segmen lain. Jalur trunk memakai admit-only-vlan-tagged supaya frame polos tidak nyasar masuk.

Langkah 6 Mengisi Tabel Bridge VLAN

Tabel inilah jantung seluruh rancangan. Setiap baris menjelaskan siapa saja anggota tagged dan siapa saja anggota untagged untuk sebuah nomor VLAN. Kelalaian mengisi tabel ini adalah penyebab utama admin terkunci setelah menyalakan filtering. Periksa ulang tiap baris sebelum melanjutkan karena di sinilah keberhasilan VLAN Mikrotik benar-benar bergantung.

/interface bridge vlan
add bridge=bridge1 vlan-ids=10 tagged=bridge1,ether5 untagged=ether2
add bridge=bridge1 vlan-ids=20 tagged=bridge1,ether5 untagged=ether3
add bridge=bridge1 vlan-ids=30 tagged=bridge1,ether5 untagged=ether4
add bridge=bridge1 vlan-ids=99 tagged=bridge1,ether5

Kata bridge1 pada kolom tagged bukan salah ketik. Penulisan itu memberi tahu router bahwa antarmuka virtual milik router sendiri ikut menjadi anggota segmen tersebut. Tanpa baris itu, router kehilangan kaki di segmen bersangkutan dan Anda tidak akan bisa melakukan ping ke gateway mana pun.

VLAN 99 sengaja tidak memiliki anggota untagged karena segmen manajemen hanya saya akses lewat jalur trunk. Admin yang ingin masuk cukup mengonfigurasi antarmuka virtual bernomor 99 di laptopnya. Pendekatan ini membuat segmen manajemen tidak terlihat oleh pengguna biasa yang mencolok kabel sembarangan.

Langkah 7 Mengaktifkan VLAN Filtering dengan Aman

Peringatan keras: perintah pada langkah ini berpotensi memutus akses Anda ke router seketika. Begitu filtering menyala, seluruh port langsung tunduk pada tabel VLAN yang baru saja Anda isi. Satu port yang terlewat, satu nilai PVID yang salah, atau lupa memasukkan bridge1 ke kolom tagged akan membuat sesi Winbox Anda mati total dan hanya bisa pulih lewat akses fisik.

Lindungi diri Anda dengan penjadwal pembatal otomatis sebelum menekan tombol bahaya itu. Penjadwal berikut akan mematikan kembali filtering setelah lima menit bila Anda tidak sempat membatalkannya. Bila semuanya berjalan lancar, hapus penjadwal tersebut secara manual dan pekerjaan Anda selesai.

/system scheduler
add name=rollback-vlan interval=5m on-event="/interface bridge set bridge1 vlan-filtering=no"

/interface bridge
set bridge1 vlan-filtering=yes

Setelah akses Anda terbukti tetap hidup dan seluruh segmen berfungsi, bersihkan penjadwal pengaman tadi. Lupa menghapusnya akan membuat pemisahan segmen mati sendiri lima menit kemudian dan menimbulkan gangguan misterius. Saya pernah mengalaminya, dan mencari penyebabnya memakan waktu dua jam.

/system scheduler remove [find name=rollback-vlan]
/interface bridge print detail
/interface bridge vlan print

Langkah 8 Mengatur Trunk ke Switch atau Access Point

Jalur trunk hanya berguna bila perangkat di seberangnya memahami tag yang sama. Switch manageable merek apa pun harus Anda konfigurasi agar port uplink-nya menjadi tagged untuk VLAN 10, 20, 30, dan 99. Access point yang menyiarkan SSID tamu dan SSID staff juga perlu memetakan tiap SSID ke nomor segmen yang sesuai.

Bila perangkat di seberang adalah Mikrotik lain, konfigurasinya cermin dari router pusat. Buat bridge, daftarkan port uplink sebagai tagged, lalu tentukan PVID pada port-port yang menghadap pengguna. Contoh berikut memperlihatkan sisi switch untuk topologi VLAN Mikrotik yang sama.

/interface bridge
add name=bridge1 protocol-mode=none vlan-filtering=no

/interface bridge port
add bridge=bridge1 interface=ether1 frame-types=admit-only-vlan-tagged
add bridge=bridge1 interface=ether2 pvid=10 frame-types=admit-only-untagged-and-priority-tagged
add bridge=bridge1 interface=ether3 pvid=20 frame-types=admit-only-untagged-and-priority-tagged

/interface bridge vlan
add bridge=bridge1 vlan-ids=10 tagged=ether1 untagged=ether2
add bridge=bridge1 vlan-ids=20 tagged=ether1 untagged=ether3

/interface bridge set bridge1 vlan-filtering=yes

Perhatikan bahwa pada perangkat switch tersebut saya tidak memasukkan bridge1 ke kolom tagged. Alasannya sederhana: switch itu tidak punya antarmuka virtual dengan alamat IP di segmen tadi, sehingga router tidak perlu ikut menjadi anggota. Kalau nanti Anda ingin mengelola switch lewat segmen manajemen, tambahkan barisnya sendiri dengan pola yang sama seperti router pusat.

Firewall Antar Segmen agar VLAN Mikrotik Benar-benar Terpisah

Pemisahan di layer 2 saja belum cukup. Router yang memiliki kaki di semua segmen otomatis meneruskan trafik antar segmen kecuali Anda melarangnya. Banyak teknisi terkejut menemukan laptop tamu bisa membuka antarmuka web NVR padahal keduanya berada pada nomor VLAN berbeda. Rancangan VLAN Mikrotik baru layak Anda sebut selesai setelah firewall antar segmen ikut Anda susun.

Solusinya berada pada chain forward di firewall. Susun aturan dengan pola izinkan dulu yang perlu, lalu tolak sisanya. Pola ini lebih aman daripada menambal satu per satu jalur yang ingin Anda blokir.

/interface list
add name=SEGMEN-LOKAL

/interface list member
add list=SEGMEN-LOKAL interface=vlan10-staff
add list=SEGMEN-LOKAL interface=vlan20-tamu
add list=SEGMEN-LOKAL interface=vlan30-cctv

/ip firewall filter
add chain=forward action=accept connection-state=established,related,untracked comment="Izinkan koneksi berjalan"
add chain=forward action=drop connection-state=invalid comment="Buang paket invalid"
add chain=forward action=accept in-interface=vlan10-staff out-interface=vlan30-cctv comment="Staff boleh lihat CCTV"
add chain=forward action=drop in-interface-list=SEGMEN-LOKAL out-interface-list=SEGMEN-LOKAL comment="Tolak sisa trafik antar segmen"

Urutan aturan sangat menentukan hasil akhir. Baris penerimaan koneksi berjalan wajib berada paling atas supaya balasan dari CCTV ke komputer staff tidak ikut terbuang. Baris penolakan menyeluruh berada paling bawah sebagai jaring pengaman terakhir.

Lindungi pula router itu sendiri lewat chain input. Segmen tamu tidak perlu menjangkau port Winbox, SSH, maupun antarmuka web router. Batasi akses manajemen hanya dari segmen 99 supaya permukaan serangan mengecil drastis.

/ip firewall filter
add chain=input action=accept connection-state=established,related
add chain=input action=accept in-interface=vlan99-mgmt comment="Akses admin dari segmen manajemen"
add chain=input action=accept in-interface-list=SEGMEN-LOKAL protocol=udp dst-port=53 comment="Izinkan DNS"
add chain=input action=accept in-interface-list=SEGMEN-LOKAL protocol=udp dst-port=67-68 comment="Izinkan DHCP"
add chain=input action=drop in-interface-list=SEGMEN-LOKAL comment="Tolak sisa akses ke router"

Studi Kasus Penerapan VLAN Mikrotik

Teori akan terasa jauh lebih hidup lewat contoh yang benar-benar berjalan. Dua kasus berikut saya ambil dari pekerjaan nyata, satu di lingkungan kantor dan satu di jaringan RT-RW Net. Angka-angkanya saya sesuaikan sedikit demi menjaga privasi klien, namun polanya persis sama.

Kantor dengan Segmen Staff, Tamu, dan CCTV

Klien pertama adalah kantor notaris dua lantai dengan 24 komputer, 12 kamera, dan satu access point untuk tamu. Perangkat intinya hanya satu buah RB4011 dan dua switch manageable murah di tiap lantai. Sebelum penataan, seluruh perangkat berbagi satu jaringan 192.168.1.0/24 yang sudah nyaris penuh.

Masalah utamanya bukan kehabisan alamat, melainkan rekaman kamera yang membanjiri jaringan setiap kali staf memutar ulang video. Perekaman 12 kamera beresolusi 2 megapiksel menyedot sekitar 48 Mbps secara terus-menerus di jaringan yang sama dengan komputer kerja. Setelah saya pindahkan kamera ke segmen 30 dengan VLAN Mikrotik dan membatasi aksesnya lewat firewall, keluhan lambat langsung hilang.

Segmen tamu mendapat perlakuan paling ketat karena pengunjung datang silih berganti. Access point menyiarkan SSID tamu yang mengarah ke nomor 20, dan firewall memblokir seluruh jalur menuju segmen lain. Tamu tetap bisa berselancar dengan nyaman, sementara data kantor aman di segmen yang tidak terlihat oleh mereka.

RT-RW Net yang Memisahkan Manajemen dari Pelanggan

Kasus kedua berasal dari jaringan RT-RW Net berisi sekitar 140 pelanggan dengan sembilan titik distribusi. Setiap titik berisi satu router kecil, satu switch, dan beberapa access point sektoral. Sebelum penataan, semua perangkat manajemen memakai alamat yang sama dengan pelanggan sehingga siapa pun bisa membuka halaman login perangkat.

Penerapan VLAN Mikrotik memisahkan trafik pelanggan pada nomor 100 dan trafik manajemen pada nomor 99. Semua router, switch, dan access point saya beri alamat 10.99.99.x yang hanya bisa operator akses dari kantor. Pelanggan yang memindai jaringan kini tidak menemukan satu pun antarmuka perangkat, dan percobaan login liar berhenti total.

Pemisahan tersebut juga mempermudah pemantauan karena trafik manajemen tidak lagi bercampur dengan trafik pelanggan. Kalau Anda sedang menata jaringan sejenis, bacaan tentang membangun RT-RW Net dari nol memberi kerangka yang cocok Anda gabungkan dengan segmentasi ini. Kombinasi keduanya menghasilkan jaringan yang rapi sejak hari pertama.

Tips dan Best Practice VLAN Mikrotik

Pengalaman menangani puluhan lokasi meninggalkan beberapa aturan tidak tertulis. Aturan ini sederhana, tetapi mengabaikannya hampir selalu berujung pada pekerjaan ulang. Terapkan sejak awal supaya jaringan Anda tumbuh dengan sehat, terutama bila VLAN Mikrotik akan Anda pakai di banyak titik sekaligus.

• Rencanakan penomoran sejak hari pertama. Menambah segmen baru pada skema yang rapi hanya butuh lima menit, sedangkan merombak skema acak bisa memakan satu hari penuh.
• Jangan memakai VLAN 1 untuk data produksi. Nomor tersebut menjadi bawaan hampir semua vendor dan sering membawa trafik protokol tersembunyi.
• Aktifkan vlan-filtering paling akhir. Selesaikan seluruh tabel, PVID, dan frame-types lebih dulu, baru nyalakan saklarnya.
• Pasang penjadwal pembatal otomatis. Lima menit penjadwal jauh lebih murah daripada dua jam perjalanan menuju lokasi.
• Perhatikan dukungan hardware offload per seri. Seri CRS3xx menangani filtering di switch chip, sedangkan perangkat kecil memakai prosesor.
• Beri komentar pada setiap baris konfigurasi. Kolom comment adalah dokumentasi termurah yang selalu ikut ke mana pun backup Anda pergi.
• Simpan backup sebelum dan sesudah perubahan. Berkas backup sebelum perubahan menjadi jalan pulang tercepat ketika rancangan baru ternyata bermasalah.

Satu tips tambahan yang sering saya bagikan: uji rancangan Anda di laboratorium kecil sebelum menyentuh jaringan produksi. Dua unit hEX bekas seharga tak sampai satu juta rupiah sudah cukup untuk mensimulasikan trunk dan access. Latihan setengah hari di meja jauh lebih nyaman ketimbang bereksperimen saat kantor sedang sibuk.

Biasakan pula memberi nama antarmuka yang menjelaskan fungsinya, bukan sekadar vlan10. Nama seperti vlan10-staff atau vlan100-pelanggan membuat siapa pun langsung paham perannya. Kebiasaan kecil ini terasa manfaatnya ketika Anda membuka konfigurasi lama setelah setahun tidak menyentuhnya.

Troubleshooting Masalah Umum VLAN Mikrotik

Gangguan pada jaringan bersegmen umumnya berulang pada pola yang sama. Tiga masalah berikut mencakup sekitar sembilan puluh persen tiket yang pernah saya tangani. Kenali gejalanya supaya Anda tidak membongkar konfigurasi VLAN Mikrotik yang sebenarnya sudah benar.

Terkunci dari Router Setelah Mengaktifkan vlan-filtering

Gejalanya sangat khas: Winbox terputus tepat sesaat setelah Anda menekan Enter. Penyebab tersering adalah bridge1 yang belum masuk kolom tagged, atau port tempat laptop Anda menancap belum memiliki nilai PVID yang benar. Router sebenarnya sehat, hanya saja frame dari laptop Anda kini router buang karena tidak cocok dengan tabel.

Pemulihan paling cepat memanfaatkan penemuan berbasis MAC address. Winbox pada tab Neighbors masih bisa melihat router meskipun lapisan IP sudah terputus, karena penemuan itu bekerja di layer 2. Masuklah lewat MAC address, lalu matikan kembali filtering dan perbaiki tabelnya.

/interface bridge set bridge1 vlan-filtering=no
/interface bridge vlan print
/interface bridge port print

Bila jalur MAC juga tertutup, kabel konsol atau tombol reset menjadi pilihan terakhir. Karena itulah saya selalu menyarankan penjadwal pembatal otomatis sebelum menyalakan filtering pada perangkat yang berada jauh dari kantor. Kebiasaan itu sudah menyelamatkan saya berkali-kali pada tower yang butuh dua jam perjalanan.

Perangkat Tidak Mendapat Alamat IP

Laptop yang terus menampilkan alamat 169.254.x.x menandakan permintaan DHCP tidak sampai ke server. Periksa dulu apakah nilai PVID pada port tersebut sudah sesuai dengan nomor segmen yang Anda inginkan. Kesalahan mengetik angka pada satu port sudah cukup membuat perangkat nyasar ke segmen yang tidak punya layanan DHCP.

Selanjutnya pastikan layanan DHCP memang menempel pada antarmuka virtual, bukan pada bridge1. Kesalahan ini sering terjadi karena teknisi menyalin konfigurasi lama yang masih memakai bridge sebagai antarmuka. Perintah berikut membantu Anda memeriksa ketiga hal itu sekaligus.

/ip dhcp-server print detail
/ip dhcp-server lease print
/interface bridge port print where interface=ether3
/log print where topics~"dhcp"

Jangan lupa memeriksa entri /ip dhcp-server network juga. Layanan tanpa definisi jaringan tetap membagikan alamat, namun tanpa gateway dan DNS sehingga perangkat terlihat tersambung padahal tidak bisa berselancar. Gejala setengah jalan seperti itu sering membuat teknisi mencari masalah di tempat yang salah.

Segmen Tidak Tembus ke Switch karena Port Belum Tagged

Perangkat di lantai dua tidak mendapat apa-apa sementara perangkat di lantai satu baik-baik saja. Pola tersebut hampir selalu menunjuk pada jalur trunk yang belum lengkap. Port uplink di salah satu sisi biasanya belum terdaftar sebagai anggota tagged untuk nomor segmen yang bersangkutan.

Periksa kedua sisi kabel, bukan hanya sisi router. Switch di seberang punya tabelnya sendiri, dan tabel itu harus memuat nomor segmen yang sama persis. Perintah pemeriksaan berikut menampilkan siapa saja yang benar-benar terlihat pada tiap nomor VLAN.

/interface bridge vlan print detail
/interface bridge host print where vid=20
/interface ethernet monitor ether5 once

Keluaran bridge host memperlihatkan MAC address yang terpelajar pada nomor segmen tertentu. Kalau daftar itu kosong padahal ada perangkat aktif di seberang, berarti frame bertanda memang tidak pernah sampai. Curigai switch tanpa manajemen yang mungkin terselip di tengah jalur, karena perangkat semacam itu diam-diam membuang tag.

FAQ Seputar VLAN Mikrotik

Apakah semua router Mikrotik mendukung VLAN Mikrotik?

Ya, seluruh perangkat yang menjalankan RouterOS mendukung fitur ini, termasuk seri paling kecil sekalipun. Perbedaannya terletak pada apakah pemrosesan berjalan di switch chip atau di prosesor. Perangkat tanpa dukungan offload tetap berfungsi, hanya saja throughput maksimalnya lebih rendah pada trafik padat.

Berapa jumlah segmen maksimal dalam satu router?

Secara standar Anda bisa memakai nomor 1 sampai 4094, namun kapasitas perangkat menentukan batas praktisnya. Router kelas menengah seperti RB4011 nyaman menangani puluhan segmen, sedangkan seri CRS3xx sanggup jauh lebih banyak. Pertimbangkan juga beban DHCP dan firewall yang ikut bertambah seiring jumlah segmen.

Apa bedanya bridge VLAN filtering dengan menu ethernet switch?

Bridge VLAN filtering adalah metode terbaru yang MikroTik rekomendasikan sejak RouterOS 6.41 dan berlaku seragam di semua perangkat. Menu /interface ethernet switch merupakan cara lama yang parameter serta dukungannya berbeda-beda antar seri. Untuk konfigurasi baru, pakailah metode bridge karena dokumentasi dan dukungan komunitasnya jauh lebih kaya.

Kenapa saya terkunci setelah menyalakan vlan-filtering?

Penyebab paling umum adalah bridge belum terdaftar sebagai anggota tagged pada tabel VLAN. Tanpa keanggotaan itu, router kehilangan kaki di segmen tempat Anda berada sehingga akses IP langsung mati. Masuk lewat MAC address di Winbox, matikan filtering, lalu perbaiki kolom tagged sebelum mencoba lagi.

Apakah VLAN Mikrotik bisa berjalan bersama hotspot dan PPPoE?

Bisa, dan kombinasi itu justru sangat umum di jaringan RT-RW Net. Anda cukup menjalankan server hotspot atau server PPPoE di atas antarmuka virtual, bukan di atas port fisik. Pola ini memungkinkan satu kabel membawa segmen hotspot, segmen PPPoE, dan segmen manajemen sekaligus.

Apakah perlu switch manageable untuk menerapkan segmentasi ini?

Perlu, bila segmen harus melewati switch menuju perangkat lain. Switch tanpa manajemen umumnya membuang atau mengacaukan frame bertanda sehingga isolasi gagal. Kalau seluruh perangkat menancap langsung ke router, Anda tidak membutuhkan switch tambahan sama sekali.

Bagaimana cara mengelola access point dengan dua SSID berbeda?

Buat dua SSID pada access point, lalu petakan masing-masing ke nomor segmen yang berbeda, dan hubungkan port uplink-nya sebagai trunk. Perangkat Mikrotik yang berperan sebagai access point cukup menambahkan antarmuka virtual pada bridge lalu memetakannya ke masing-masing SSID. Rincian parameter tiap seri nirkabel tersedia pada basis pengetahuan MikroTik.

Apakah segmentasi ini menurunkan kecepatan jaringan?

Pada perangkat dengan dukungan offload, penurunannya praktis tidak terasa karena switch chip yang bekerja. Perangkat tanpa offload memindahkan pekerjaan ke prosesor sehingga throughput bisa turun cukup terasa pada trafik mendekati gigabit. Pantau beban CPU lewat /system resource print setelah penerapan untuk memastikan perangkat masih lapang.

Kesimpulan

Segmentasi jaringan berbasis tag mengubah satu perangkat sederhana menjadi beberapa jaringan yang benar-benar terpisah. VLAN Mikrotik memberi Anda penghematan biaya, keamanan antar segmen, dan fleksibilitas yang tidak mungkin Anda peroleh dari jaringan datar. Harga yang harus Anda bayar berupa kerumitan konfigurasi serta kewajiban memastikan seluruh perangkat di jalur trunk memahami standar 802.1Q.

Kunci keberhasilan terletak pada urutan pengerjaan yang disiplin: rencanakan penomoran, buat bridge dan antarmuka virtual, isi alamat serta layanan DHCP, tentukan PVID, lengkapi tabel bridge vlan, dan baru nyalakan filtering paling akhir. Jangan pernah menyalakan saklar itu tanpa jaring pengaman, apalagi pada perangkat yang berada jauh dari jangkauan tangan Anda. Penjadwal pembatal lima menit adalah kebiasaan murah yang menyelamatkan banyak akhir pekan.

Mulailah dari topologi kecil dengan dua atau tiga segmen, pastikan semuanya berjalan mulus, baru kembangkan sesuai kebutuhan. Setelah pola dasarnya melekat, menambah segmen baru hanya membutuhkan beberapa baris perintah. Rancangan VLAN Mikrotik yang rapi sejak awal akan terus membayar dirinya sendiri setiap kali jaringan Anda tumbuh.