IP Publik vs CGNAT: Solusi Remote Jaringan Tanpa IP Publik

Banyak teknisi menghabiskan berjam-jam mengutak-atik aturan dst-nat, membuka port di firewall, bahkan mengganti perangkat, padahal akar masalahnya jauh lebih sederhana: sambungan internet mereka tidak pernah memegang IP publik Mikrotik yang bisa dihubungi langsung dari luar. Operator menempatkan router pelanggan di belakang CGNAT, sehingga alamat yang menempel di interface WAN sebenarnya masih alamat privat milik jaringan operator. Selama kondisi itu bertahan, sekeras apa pun Anda mencoba, port forwarding tidak akan pernah berhasil. Pesan itu perlu saya tegaskan di awal supaya Anda tidak membuang waktu pada jalur yang memang buntu.

Saya menulis panduan ini dari pengalaman mengoperasikan jaringan RT-RW Net dan ISP kecil yang menangani ratusan pelanggan PPPoE. Dalam setahun terakhir, keluhan “CCTV tidak bisa dilihat dari luar” dan “Winbox tidak connect kalau di luar rumah” menempati urutan teratas tiket dukungan. Sembilan dari sepuluh kasus berujung pada satu penyebab yang sama, yaitu ketiadaan IP publik Mikrotik akibat CGNAT di sisi operator. Sisanya baru benar-benar salah konfigurasi firewall.

Artikel ini membahas beda IP publik Mikrotik dan IP privat, alasan operator memakai CGNAT, cara memastikan sambungan Anda terkena CGNAT atau tidak, dampaknya terhadap layanan yang Anda jalankan di rumah, lalu solusi praktis satu per satu lengkap dengan perintah RouterOS yang benar-benar bisa dijalankan. Semua contoh alamat memakai blok dokumentasi netral seperti 203.0.113.7 dan example.com, jadi Anda tinggal mengganti dengan milik sendiri.

Pengertian IP Publik, IP Privat, dan CGNAT

Sebelum memilih solusi, Anda perlu memahami tiga istilah yang sering tertukar di lapangan. Ketiganya menentukan apakah Anda bisa menjangkau perangkat di rumah atau di kantor dari internet. Salah memahami satu saja membuat seluruh rencana remote akses berantakan, terutama ketika Anda mengira sudah memegang IP publik Mikrotik padahal belum.

Definisi IP Publik Mikrotik dan IP Privat

IP publik Mikrotik adalah alamat IP yang menempel pada interface WAN router dan berlaku global di internet, sehingga perangkat mana pun di dunia dapat menghubunginya secara langsung. Alamat semacam ini unik; tidak ada dua router di internet yang memegang alamat yang sama pada saat bersamaan. Contoh netral sepanjang artikel ini adalah 203.0.113.7. Dengan IP publik Mikrotik semacam itu, Anda tinggal membuat aturan dst-nat dan layanan di dalam LAN langsung terbuka dari luar.

IP privat berlaku sebaliknya. RFC 1918 mematok rentangnya pada 10.0.0.0/8, 172.16.0.0/12, dan 192.168.0.0/16, lalu router internet global menolak meneruskan alamat tersebut. Jaringan lokal Anda memakai rentang itu supaya perangkat bisa saling bicara tanpa menghabiskan jatah alamat global. Kalau Anda ingin menyegarkan dasar pengalamatan, silakan baca ulang pembahasan kelas dan fungsi IP address yang sudah saya tulis sebelumnya.

Perbedaan praktisnya begini. Router yang memegang alamat global bisa menerima koneksi masuk; router yang hanya memegang alamat privat hanya bisa memulai koneksi keluar. Analogi paling gampang adalah nomor telepon: IP publik Mikrotik setara nomor langsung, sedangkan alamat privat setara nomor ekstensi kantor yang selalu memerlukan bantuan resepsionis.

Mengapa Operator Beralih ke CGNAT

CGNAT adalah singkatan dari Carrier Grade NAT, yaitu NAT berskala operator yang membuat ratusan hingga ribuan pelanggan berbagi satu atau beberapa alamat global. Operator memakainya karena persediaan IPv4 memang sudah habis. Otoritas pengalokasian regional menyatakan kehabisan blok bebas sejak pertengahan dekade lalu, sehingga menambah pelanggan baru berarti menambah alamat yang tidak lagi tersedia di pasar dengan harga wajar.

Hitungan bisnisnya jelas. Satu alamat global di pasar sekunder sekarang dihargai puluhan dolar, sementara satu pelanggan rumahan membayar langganan bulanan yang jauh lebih kecil. Alhasil operator memilih menaruh perangkat CGNAT di sisi agregasi, lalu memakai satu alamat global untuk melayani 200 sampai 1.000 pelanggan sekaligus. Keputusan itu masuk akal secara ekonomi, meskipun menyusahkan pengguna teknis seperti kita.

Perlu Anda catat, CGNAT tidak selalu berarti operator pelit. Sebagian besar pelanggan rumahan memang hanya membuka YouTube, media sosial, dan aplikasi pesan, dan semua itu berjalan mulus di belakang CGNAT. Masalah baru muncul ketika Anda ingin menjalankan server, merekam CCTV, atau membuka VPN dari rumah. Di titik itulah kebutuhan akan IP publik Mikrotik menjadi nyata.

Cara Kerja CGNAT dan Rentang 100.64.0.0/10

CGNAT bekerja dengan menambahkan satu lapisan NAT di atas NAT yang sudah Anda jalankan sendiri di router. Kondisi ini biasa disebut double NAT, dan itulah yang mematikan semua upaya port forwarding. Bagian berikut menguraikan alurnya agar Anda paham persis di mana paket masuk berhenti ketika router tidak memegang IP publik Mikrotik.

Alur Paket dari LAN Menuju Internet Tanpa IP Publik Mikrotik

Perjalanan paket dimulai dari laptop Anda dengan alamat 192.168.88.20. Router Mikrotik melakukan masquerade, mengganti alamat sumber menjadi alamat WAN yang, pada sambungan CGNAT, ternyata masih privat, misalnya 100.64.10.5. Paket lalu masuk ke perangkat CGNAT operator, yang mengganti alamat sumber sekali lagi menjadi alamat global bersama seperti 203.0.113.7 dengan nomor port yang unik per sesi.

Sampai di sini semuanya lancar karena koneksi berasal dari dalam. Masalah muncul pada arah sebaliknya. Ketika seseorang dari internet mengetuk 203.0.113.7 pada port 8080, perangkat CGNAT tidak punya catatan sesi yang cocok, sebab tidak ada koneksi keluar yang pernah memakai port itu. Perangkat operator pun membuang paket itu, jauh sebelum menyentuh router Anda.

Kesimpulannya keras tetapi jujur: router tidak pernah menjalankan aturan dst-nat Anda karena paketnya memang tidak pernah tiba. Anda bisa menulis seratus baris aturan firewall paling rapi sedunia dan hasilnya tetap nol. Satu-satunya jalan keluar adalah membuat koneksi berasal dari dalam, yaitu lewat tunnel keluar menuju titik yang punya alamat global.

Rentang Khusus 100.64.0.0/10

IETF mencadangkan blok 100.64.0.0/10 lewat RFC 6598 khusus untuk shared address space alias ruang alamat bersama antara operator dan pelanggan. Rentangnya membentang dari 100.64.0.0 sampai 100.127.255.255 dan menyediakan sekitar 4,1 juta alamat. Operator memakai blok ini supaya tidak bentrok dengan RFC 1918 yang umum berjalan di jaringan lokal pelanggan.

Melihat 100.64.10.5 menempel di interface WAN merupakan bukti paling kuat bahwa Anda berada di belakang CGNAT. Tidak perlu berdebat dengan siapa pun, cukup tunjukkan angka itu. Sayangnya, sebagian operator justru memakai 10.0.0.0/8 atau 172.16.0.0/12 untuk keperluan yang sama, jadi ketiadaan 100.64 belum tentu berarti Anda memegang IP publik Mikrotik.

Karena itu, cara pengecekan yang saya jelaskan di bagian berikutnya membandingkan dua sumber sekaligus. Satu angka saja bisa menipu, dua angka yang dibandingkan hampir tidak pernah salah. Metode ini sudah saya pakai untuk memverifikasi puluhan sambungan pelanggan sebelum menjanjikan layanan remote apa pun.

Cara Memastikan Sambungan Anda Terkena CGNAT

Pemeriksaan ini hanya butuh dua menit dan bisa Anda lakukan lewat Winbox atau terminal SSH. Prinsipnya membandingkan catatan alamat di router dengan laporan alamat dari dunia luar. Kalau keduanya berbeda, ada NAT tambahan di jalur, dan itu berarti sambungan Anda tidak memiliki IP publik Mikrotik yang sesungguhnya.

Membandingkan IP Interface dengan Layanan Pengecek

Langkah pertama, lihat alamat yang menempel pada interface WAN router Anda. Perintah berikut menampilkan seluruh alamat beserta interface-nya, termasuk alamat dinamis hasil DHCP client atau PPPoE client.

/ip address print
/ip address print detail where dynamic=yes
/ppp active print

Langkah kedua, minta router menanyakan alamat dirinya kepada layanan pengecek di internet. RouterOS menyediakan /tool fetch yang sanggup mengambil isi halaman dan menampilkannya langsung di terminal. Jalankan perintah berikut, lalu bandingkan hasilnya dengan alamat di langkah pertama.

/tool fetch url="https://api.ipify.org" mode=https output=user
/tool fetch url="https://api.ipify.org" mode=https dst-path=cek-ip.txt
/file print where name=cek-ip.txt

Kalau versi RouterOS Anda menolak parameter output=user, pakai varian kedua yang menyimpan hasil ke file lalu membacanya lewat menu Files. Kedua cara sama sahihnya. Yang penting Anda memperoleh dua angka untuk dibandingkan, bukan satu.

Membaca Hasil: Kapan Anda Benar-Benar Punya IP Publik Mikrotik

Aturan pembacaannya sederhana dan bisa Anda hafalkan. Bila alamat di interface sama persis dengan alamat yang dilaporkan layanan pengecek, misalnya keduanya 203.0.113.7, berarti router Anda memegang IP publik Mikrotik yang sesungguhnya dan port forwarding akan bekerja. Bila alamat di interface berbeda dan masuk rentang privat atau 100.64, berarti Anda berada di belakang CGNAT.

Baris terakhir tabel butuh perhatian khusus. Alamat 192.168.x.x di interface WAN belum tentu ulah operator; sering kali modem bawaan masih berjalan pada mode router sehingga Mikrotik Anda menjadi klien di belakangnya. Ubah modem ke mode bridge, ulangi pemeriksaan, dan lihat apakah angkanya berubah. Baru setelah itu Anda boleh menyimpulkan operator yang memasang CGNAT.

Satu catatan tambahan dari lapangan: lakukan pengecekan pada jam sibuk dan jam sepi. Beberapa operator memberikan alamat global pada awal koneksi lalu memindahkan pelanggan ke kolam CGNAT saat trafik padat. Perilaku semacam itu jarang, tetapi pernah saya temui pada dua sambungan wireless regional.

Kelebihan dan Kekurangan IP Publik Mikrotik dibanding CGNAT

Setiap pilihan punya konsekuensi biaya dan keamanan. Memahami keduanya membantu Anda menjelaskan kepada atasan atau pelanggan mengapa IP publik Mikrotik pantas menelan biaya tambahan. Bagian ini merangkum perbandingannya dalam bentuk tabel dan daftar dampak nyata.

Tabel Perbandingan IP Publik Statis, Dinamis, dan CGNAT

Kolom terakhir sering terlupakan. Karena ratusan pelanggan berbagi satu alamat global, satu orang yang melakukan aktivitas mencurigakan bisa menyeret alamat tersebut ke daftar hitam. Akibatnya Anda ikut kena captcha berulang di layanan tertentu, padahal Anda tidak melakukan apa-apa. Pemegang IP publik Mikrotik sendiri tidak menghadapi risiko itu.

Dampak CGNAT yang Paling Sering Dikeluhkan

Berikut daftar dampak yang paling sering muncul di tiket dukungan saya, mulai dari yang paling banyak keluhannya:

• Port forwarding tidak berfungsi. Aturan dst-nat sudah benar, counter paketnya tetap nol karena perangkat operator membuang paketnya lebih dulu.
• CCTV dan NVR tidak bisa diakses dari luar. Aplikasi ponsel hanya jalan saat terhubung WiFi rumah, lalu gagal begitu berpindah ke data seluler.
• VPN server di rumah tidak pernah menyahut. Layanan L2TP, PPTP, SSTP, maupun WireGuard yang Anda pasang di router tidak pernah menerima paket inisiasi.
• Game hosting bermasalah. Konsol melaporkan NAT Type Strict, matchmaking lambat, dan Anda tidak pernah bisa menjadi host lobi.
• Remote Winbox dan SSH gagal. Teknisi harus datang ke lokasi hanya untuk mengubah satu baris konfigurasi.
• Layanan self-hosted mati dari luar. NAS, mesin absensi, dan server aplikasi internal hanya hidup di jaringan lokal.

Perlu saya ulangi sekali lagi karena poin ini menentukan arah seluruh pekerjaan Anda: apabila sambungan terkena CGNAT, port forwarding tidak akan pernah berhasil sekeras apa pun Anda mencoba. Membaca ulang panduan port forwarding di RouterOS tetap berguna, namun teknik itu hanya berlaku ketika router benar-benar memegang IP publik Mikrotik. Solusinya harus lewat tunnel, tanpa pengecualian.

Persiapan Sebelum Mengejar IP Publik Mikrotik

Persiapan yang rapi menghemat waktu Anda. Sebelum menghubungi operator atau menyewa VPS, kumpulkan dulu bukti dan tentukan kebutuhan sebenarnya. Banyak kasus ternyata cukup diselesaikan dengan tunnel murah, bukan dengan berlangganan IP publik Mikrotik yang mahal.

Siapkan tiga hal berikut. Pertama, hasil perbandingan alamat interface dan alamat dari layanan pengecek, lengkap dengan tangkapan layar. Kedua, daftar layanan yang ingin Anda buka beserta port dan protokolnya, misalnya RTSP 554 untuk NVR dan 8291 untuk Winbox. Ketiga, perkiraan trafik yang akan melewati jalur remote, sebab tunnel mengonsumsi bandwidth VPS.

Pastikan pula RouterOS Anda sudah versi 7 apabila berencana memakai WireGuard, karena fitur tersebut belum ada di versi 6. Naikkan versinya lebih dulu dengan urutan yang benar supaya router tidak kehilangan lisensi maupun konfigurasi. Setelah semua siap, barulah Anda melangkah ke solusi.

Solusi Lengkap Mengatasi Ketiadaan IP Publik Mikrotik

Ada lima jalur yang terbukti bekerja di lapangan, dari yang paling mahal sampai yang paling hemat. Urutan penyajiannya sengaja saya susun dari yang paling sederhana secara teknis menuju yang paling murah secara biaya. Pilih satu yang paling cocok dengan anggaran dan kemampuan Anda.

Berlangganan IP Publik Statis ke Operator

Jalur paling lurus tentu meminta IP publik Mikrotik langsung kepada operator. Hubungi layanan pelanggan, sebutkan istilah “IP publik statis” atau “static public IP”, dan tanyakan biaya tambahannya per bulan. Sebagian besar operator di Indonesia menyediakan opsi ini untuk paket bisnis, dengan biaya berkisar puluhan hingga ratusan ribu rupiah per bulan tergantung wilayah dan jenis layanan.

Sesudah operator mengaktifkannya, alamat global akan menempel langsung di interface WAN Mikrotik atau diberikan lewat PPPoE. Verifikasi ulang dengan perintah yang sama seperti sebelumnya, lalu buat aturan dst-nat untuk layanan yang Anda butuhkan. Contoh berikut membuka NVR di 192.168.88.10 melalui port 8554 dari luar.

/ip firewall nat
add chain=dstnat in-interface=ether1 protocol=tcp dst-port=8554 \
    action=dst-nat to-addresses=192.168.88.10 to-ports=554 comment="NVR RTSP"
add chain=dstnat in-interface=ether1 protocol=tcp dst-port=8291 \
    action=dst-nat to-addresses=192.168.88.1 comment="Winbox teknisi"
print stats where chain=dstnat

Perhatikan baris print stats pada contoh di atas. Counter paket dan byte pada aturan itu menjadi alat diagnosis paling jujur; kalau angkanya tetap nol setelah Anda mencoba dari luar, paket memang tidak pernah tiba. Kelebihan jalur ini adalah kesederhanaan, sedangkan kekurangannya jelas pada biaya bulanan yang berulang.

Membangun Tunnel VPN Keluar lalu Dst-NAT Balik

Konsep inilah yang menyelamatkan mayoritas kasus CGNAT. Router di lokasi membuka koneksi keluar menuju server yang memegang alamat global, misalnya CHR di VPS. Karena koneksi berasal dari dalam, perangkat CGNAT operator dengan senang hati mengizinkannya. Setelah tunnel berdiri, server tersebut menjadi wajah publik jaringan Anda sekaligus pengganti IP publik Mikrotik yang tidak diberikan operator.

Selanjutnya server melakukan dst-nat ke arah tunnel, meneruskan permintaan dari internet menuju perangkat di LAN Anda. Dari sudut pandang pengunjung, mereka menghubungi 203.0.113.7 milik VPS; dari sudut pandang NVR, permintaan datang dari alamat tunnel. Skema ini memberi Anda semua manfaat IP publik Mikrotik tanpa perlu membelinya dari operator.

Dua protokol yang paling saya andalkan adalah WireGuard dan L2TP over IPsec. Keduanya tersedia gratis di RouterOS dan berjalan stabil selama berbulan-bulan. Bagian berikutnya membahas keduanya secara terpisah lengkap dengan perintah.

Memakai WireGuard ke VPS

WireGuard menjadi favorit saya sejak RouterOS 7 rilis karena ringan, cepat, dan hemat CPU pada perangkat kelas hAP. Router hEX RB750Gr3 sanggup melewatkan sekitar 250 Mbps lewat WireGuard, jauh di atas kemampuan L2TP terenkripsi pada perangkat yang sama. Mulailah dengan membuat interface dan membaca kunci publiknya.

/interface wireguard
add name=wg-vps listen-port=13231 mtu=1420 comment="Tunnel ke VPS"
print detail
/ip address add address=10.20.30.2/30 interface=wg-vps

Salin nilai public-key yang muncul, lalu daftarkan sisi VPS sebagai peer. Alamat 203.0.113.7 pada contoh berikut mewakili alamat global VPS Anda, sedangkan allowed-address menentukan trafik apa saja yang boleh masuk tunnel. Parameter persistent-keepalive wajib Anda isi supaya sesi NAT di sisi operator tidak putus saat jaringan sepi.

/interface wireguard peers
add interface=wg-vps public-key="KUNCI-PUBLIK-VPS-ANDA=" \
    endpoint-address=203.0.113.7 endpoint-port=13231 \
    allowed-address=10.20.30.0/30,10.20.30.1/32 persistent-keepalive=25s
print detail
/ping 10.20.30.1 count=5

Begitu ping ke 10.20.30.1 menjawab, tunnel Anda hidup. Detail pembuatan kunci di sisi server serta contoh topologi antar cabang sudah saya bahas panjang lebar di tutorial WireGuard antar router. Referensi resmi parameternya tersedia pada dokumentasi RouterOS di help.mikrotik.com apabila Anda ingin menggali opsi lanjutan.

L2TP over IPsec sebagai Alternatif WireGuard

Sebagian router lama masih berjalan di RouterOS 6 dan tidak mengenal WireGuard. Untuk kasus itu, L2TP over IPsec tetap menjadi pilihan yang solid dan sudah teruji bertahun-tahun. Kelebihannya, hampir semua perangkat mendukungnya, termasuk ponsel dan laptop tanpa aplikasi tambahan.

/interface l2tp-client
add name=l2tp-vps connect-to=203.0.113.7 user=router-cabang1 \
    password=RahasiaKuat123 profile=default-encryption \
    use-ipsec=yes ipsec-secret=PreSharedKeyAnda \
    add-default-route=no disabled=no
print detail
monitor l2tp-vps once

Parameter add-default-route=no penting sekali. Tanpa itu, seluruh trafik internet pelanggan ikut masuk tunnel dan VPS Anda langsung tercekik. Kekurangan L2TP terletak pada beban CPU enkripsi; perangkat kecil seperti hAP lite biasanya mentok di kisaran 15 sampai 25 Mbps. Langkah lengkapnya bisa Anda ikuti pada konfigurasi VPN L2TP over IPsec.

Layanan Tunnel Pihak Ketiga

Bagi Anda yang enggan mengurus VPS, tersedia layanan tunnel siap pakai. Model kerjanya sama: agen kecil berjalan di sisi Anda, membuka koneksi keluar, lalu penyedia memberi subdomain publik yang berperan sebagai pengganti IP publik Mikrotik dan meneruskan trafik ke perangkat lokal. Sebagian penyedia menawarkan paket gratis dengan kuota kecil dan subdomain acak.

Keunggulannya jelas pada kemudahan; Anda bisa selesai dalam sepuluh menit tanpa menyentuh firewall. Kelemahannya juga jelas. Trafik Anda melewati infrastruktur pihak lain, subdomain gratis berganti setiap restart, dan kuota bulanan cepat habis kalau Anda melewatkan video CCTV. Untuk kebutuhan sementara atau demo ke pelanggan, jalur ini sangat membantu.

Saya biasanya memakainya hanya sebagai jalur cadangan darurat. Ketika tunnel utama tumbang dan saya sedang di luar kota, layanan pihak ketiga menyelamatkan akses ke router. Untuk produksi jangka panjang, VPS milik sendiri tetap lebih terkendali dan lebih murah per bulannya.

Dynamic DNS dan IP Cloud Bawaan Mikrotik

Solusi ini khusus untuk Anda yang sudah memegang IP publik Mikrotik tetapi sifatnya dinamis. Alamat berganti setiap kali koneksi terputus, sehingga Anda kesulitan menyimpan bookmark. Mikrotik menyediakan fitur IP Cloud yang secara gratis memetakan alamat WAN router ke sebuah nama domain berakhiran sn.mynetname.net.

/ip cloud
set ddns-enabled=yes update-time=yes
print
force-update
/ip cloud print detail

Setelah beberapa detik, perintah print menampilkan dns-name, public-address, dan status. Nilai status yang benar adalah updated, dan daftar lengkap statusnya tersaji pada basis pengetahuan resmi Mikrotik. Bila router Anda berada di belakang CGNAT, kolom public-address justru menampilkan alamat global milik operator, bukan milik Anda, sehingga nama domain itu tidak akan mengarah ke router Anda. Fitur ini menyelesaikan masalah alamat berubah, bukan masalah CGNAT.

Alternatif lain memakai penyedia DDNS eksternal dengan pembaruan lewat /tool fetch yang dijadwalkan scheduler. Contoh berikut memanggil URL pembaruan milik penyedia Anda setiap sepuluh menit. Ganti example.com dengan alamat endpoint penyedia yang Anda pakai.

/system scheduler
add name=update-ddns interval=10m on-event="/tool fetch \
    url=\"https://example.com/nic/update?hostname=rumah.example.com\" \
    mode=https keep-result=no"
print

Tabel Perbandingan Biaya dan Kerumitan Tiap Solusi

Angka biaya di atas merupakan kisaran yang saya temui pada 2025 dan 2026 untuk VPS kelas 1 vCPU dengan RAM 1 GB di penyedia lokal. Trafik tunnel CCTV satu kamera resolusi 2 MP dengan bitrate 2 Mbps menghabiskan sekitar 650 GB per bulan bila streaming terus-menerus, jadi periksa kuota bandwidth VPS sebelum memutuskan. Praktisnya, aktifkan streaming hanya saat dibutuhkan agar kuota tetap aman.

Studi Kasus Penerapan IP Publik Mikrotik dan Tunnel

Dua kasus berikut benar-benar saya kerjakan, dengan angka dan perangkat yang nyata. Nama pelanggan serta alamat asli saya samarkan memakai contoh netral. Semoga keduanya membantu Anda memilih pendekatan yang paling pas.

Rumah dengan CCTV yang Perlu Dipantau dari Luar

Pemilik rumah memasang NVR delapan kanal dengan empat kamera aktif dan ingin memantaunya dari kantor. Sambungannya memakai layanan fiber rumahan dengan alamat WAN 100.64.10.5, jadi CGNAT sudah pasti. Pemilik sempat membayar teknisi lain yang tiga kali mengubah aturan dst-nat tanpa hasil, dan kegagalan itu wajar karena rumah tersebut memang tidak pernah memiliki IP publik Mikrotik.

Solusinya saya bangun dengan VPS termurah seharga sekitar Rp35.000 per bulan yang menjalankan CHR berlisensi free. Router hAP ac2 di rumah membuka WireGuard menuju VPS, memakai alamat tunnel 10.20.30.2/30 di sisi rumah dan 10.20.30.1/30 di sisi VPS. Berikutnya saya tambahkan route di CHR agar subnet rumah bisa dijangkau, lalu satu aturan dst-nat untuk port RTSP.

/ip route
add dst-address=192.168.88.0/24 gateway=10.20.30.2 comment="LAN rumah via tunnel"
print where dst-address=192.168.88.0/24
/ip firewall nat
add chain=dstnat in-interface=ether1 protocol=tcp dst-port=8554 \
    action=dst-nat to-addresses=192.168.88.10 to-ports=554
add chain=srcnat dst-address=192.168.88.0/24 out-interface=wg-vps action=masquerade

Hasilnya, aplikasi ponsel cukup diarahkan ke 203.0.113.7 port 8554 dan gambar langsung muncul dari jaringan seluler mana pun. Latensi tambahan akibat tunnel hanya sekitar 12 ms karena VPS berada di Jakarta. Total waktu pengerjaan 45 menit, dan pemilik rumah tidak perlu lagi menawar apa pun kepada operator.

Studi Kasus RT-RW Net dengan 140 Pelanggan

Pengelola RT-RW Net memakai satu sambungan induk yang ternyata juga terkena CGNAT. Kendalanya berlapis: dia butuh remote ke router utama, butuh menjalankan sistem billing berbasis RADIUS di VPS, sekaligus butuh akses ke tiga router distribusi di menara berbeda. Membeli IP publik Mikrotik untuk setiap titik jelas tidak masuk akal secara biaya.

Rancangannya memakai satu CHR di VPS sebagai pusat, lalu keempat router membuka WireGuard menuju CHR tersebut. Setiap router memperoleh alamat tunnel berurutan mulai 10.20.30.2 hingga 10.20.30.5, dan CHR memegang 10.20.30.1. Dengan pola tersebut, seluruh router saling terlihat, sementara server RADIUS di VPS bisa mengirim paket Change of Authorization ke setiap NAS tanpa hambatan.

Untuk pelanggan yang meminta layanan CCTV, pengelola menjual paket tambahan senilai Rp25.000 per bulan yang memberi satu port dst-nat di CHR. Skema itu menutup biaya VPS sekaligus menghasilkan margin. Kalau Anda sedang merintis hal serupa, mulailah dari panduan membangun RT-RW Net dari nol supaya fondasi jaringannya benar sejak awal.

Tips dan Best Practice Mengelola IP Publik Mikrotik

Setelah jalur remote Anda hidup, pekerjaan belum selesai. IP publik Mikrotik maupun tunnel sama-sama membuka pintu masuk baru yang wajib Anda jaga. Berikut kebiasaan yang saya terapkan pada setiap instalasi.

Pertama, jangan pernah membuka Winbox pada port 8291 default ke internet luas. Ganti portnya, batasi sumber koneksi lewat address-list, dan matikan layanan yang tidak Anda pakai. Kedua, aktifkan persistent-keepalive pada setiap peer WireGuard supaya sesi NAT di sisi operator tidak dibersihkan saat idle. Ketiga, beri komentar pada semua aturan firewall agar teknisi berikutnya tidak menebak-nebak.

• Batasi akses manajemen hanya dari alamat tunnel, bukan dari internet terbuka.
• Pakai kunci dan kata sandi panjang; peer WireGuard tanpa firewall tetap berisiko.
• Dokumentasikan pemetaan port dalam satu tabel sederhana, misalnya 8554 untuk NVR dan 8443 untuk NAS.
• Pantau counter aturan dst-nat secara berkala untuk mendeteksi pemindaian dari luar.
• Jadwalkan backup konfigurasi otomatis sebelum mengubah apa pun pada jalur remote.
• Catat MTU tunnel; nilai 1420 aman untuk WireGuard di atas koneksi PPPoE.

Praktik pengamanan router secara menyeluruh sudah saya rangkum di cara remote router dengan aman, dan saya sarankan Anda menerapkannya sebelum membuka layanan apa pun ke publik. Satu router yang jebol bisa menyeret seluruh jaringan pelanggan. Investasi waktu sejam untuk pengamanan jauh lebih murah dibanding memulihkan reputasi setelah insiden.

Troubleshooting Masalah IP Publik Mikrotik dan Tunnel

Tiga masalah berikut menyumbang mayoritas tiket yang saya tangani terkait remote akses. Masing-masing punya gejala khas dan langkah pemeriksaan yang berbeda, baik pada jaringan ber-IP publik Mikrotik maupun pada jaringan yang mengandalkan tunnel. Kenali polanya, maka waktu perbaikan Anda turun drastis.

Port Forwarding Sudah Benar tapi Tetap Tidak Bisa Diakses

Gejalanya, aturan dst-nat tampak sempurna namun layanan tetap tidak terbuka dari luar. Periksa dulu counter aturan tersebut memakai /ip firewall nat print stats. Bila counter tetap nol setelah Anda mencoba mengakses dari jaringan seluler, paket memang tidak pernah sampai ke router, dan penyebab paling mungkin adalah CGNAT.

Bila counter bergerak tetapi koneksi tetap gagal, masalahnya bergeser ke sisi lain. Pastikan perangkat tujuan memakai gateway yang benar mengarah ke Mikrotik, bukan ke modem lain. Periksa juga firewall di perangkat tujuan; banyak NVR menolak koneksi dari subnet asing secara bawaan. Terakhir, cek chain forward pada firewall router Anda supaya trafik hasil dst-nat tidak ikut terblokir.

Satu jebakan klasik lagi adalah pengujian dari dalam jaringan sendiri. Mengetik alamat global dari laptop yang berada di LAN sering gagal karena hairpin NAT belum dibuat. Selalu uji dari koneksi luar, misalnya data seluler, sebelum menyimpulkan konfigurasi Anda salah.

IP Cloud Menampilkan Alamat tapi Koneksi Tetap Gagal

Kondisi ini paling membingungkan pemula. Menu /ip cloud menampilkan nama domain rapi dan status updated, tetapi Winbox tetap gagal terhubung. Penjelasannya sederhana: IP Cloud melaporkan alamat sebagaimana server Mikrotik melihatnya, dan pada sambungan CGNAT alamat itu milik gerbang operator, bukan milik router Anda.

Buktikan dengan membandingkan public-address pada hasil /ip cloud print terhadap alamat di /ip address print. Perbedaan angka di antara keduanya mengonfirmasi keberadaan NAT tambahan. Fitur IP Cloud tetap berguna, namun hanya untuk menjaga nama domain agar mengikuti IP publik Mikrotik yang berubah-ubah.

Kalau nilai public-address justru kosong atau statusnya error, periksa apakah router bisa menjangkau internet dan apakah port UDP 15252 keluar tidak diblokir. Jalankan /ip cloud force-update lalu tunggu sekitar sepuluh detik. Perubahan status biasanya muncul segera setelah itu.

Tunnel Jalan tapi Perangkat Lokal Tidak Terjangkau

Gejalanya, ping antar alamat tunnel lancar, misalnya 10.20.30.1 dan 10.20.30.2 saling menjawab, tetapi 192.168.88.10 tidak tersentuh dari sisi VPS. Penyebabnya hampir selalu satu, yakni route menuju subnet LAN belum Anda tambahkan di sisi seberang. Tunnel hanya menghubungkan dua alamat titik ke titik; router tidak otomatis tahu jalan menuju jaringan di baliknya.

Perbaikannya cukup satu baris di sisi VPS, ditambah penyesuaian allowed-address pada peer WireGuard supaya subnet tersebut diizinkan melintas. Jalankan pemeriksaan berikut secara berurutan untuk memastikan jalurnya benar.

/ip route print where gateway=10.20.30.2
/ip route add dst-address=192.168.88.0/24 gateway=10.20.30.2
/interface wireguard peers print detail
/tool traceroute 192.168.88.10 count=3

Bila traceroute berhenti di alamat tunnel, berarti route sudah benar tetapi paket balik tidak menemukan jalan pulang. Tambahkan aturan srcnat masquerade ke arah interface tunnel seperti pada studi kasus sebelumnya, atau tambahkan route balik di router lokasi. Salah satu dari dua cara itu selalu menyelesaikan masalah.

FAQ Seputar IP Publik Mikrotik

Apakah IP Publik Mikrotik Wajib untuk Port Forwarding?

Ya, port forwarding hanya berfungsi ketika router memegang alamat global yang sanggup menerima koneksi masuk dari internet. Tanpa itu, paket masuk berhenti di perangkat CGNAT operator dan router Anda tidak pernah menjalankan aturan dst-nat. Solusi penggantinya adalah tunnel keluar ke server yang punya alamat global.

Bagaimana Cara Meminta IP Publik Mikrotik ke Operator?

Hubungi layanan pelanggan operator dan sebutkan permintaan “IP publik statis” beserta alasan penggunaannya, misalnya kebutuhan monitoring CCTV atau server kantor. Sebagian operator hanya menyediakan opsi tersebut pada paket bisnis, jadi siapkan kemungkinan upgrade layanan. Mintalah konfirmasi tertulis mengenai biaya bulanan sebelum menyetujui.

Apakah IP Cloud Bisa Menggantikan IP Publik Mikrotik?

Tidak bisa. IP Cloud hanya memetakan nama domain ke alamat global sebagaimana server Mikrotik melihatnya, sehingga fitur ini mengatasi masalah alamat yang berubah-ubah, bukan masalah CGNAT. Pada sambungan CGNAT, nama domain tersebut mengarah ke gerbang operator dan tidak akan pernah sampai ke router Anda.

Berapa Biaya VPS yang Layak untuk Tunnel?

VPS dengan 1 vCPU, RAM 1 GB, dan bandwidth minimal 1 TB per bulan sudah cukup untuk melayani beberapa tunnel sekaligus, dan harganya berkisar Rp30.000 hingga Rp80.000 per bulan di penyedia lokal. Pilih lokasi data center terdekat agar latensi tetap rendah. CHR Mikrotik berlisensi free sanggup melewatkan 1 Mbps per interface, sedangkan lisensi P1 melepas batas itu.

Mana yang Lebih Baik, WireGuard atau L2TP over IPsec?

WireGuard unggul dalam kecepatan dan efisiensi CPU, sehingga cocok untuk trafik besar seperti streaming CCTV. L2TP over IPsec lebih kompatibel karena tersedia di RouterOS 6 dan didukung langsung oleh ponsel maupun laptop tanpa aplikasi tambahan. Pilih WireGuard bila semua perangkat sudah RouterOS 7.

Apakah CGNAT Memperlambat Koneksi Internet?

Secara kecepatan unduh dan unggah, dampaknya biasanya tidak terasa karena perangkat CGNAT operator dirancang untuk kapasitas besar. Yang terpengaruh adalah aplikasi peer-to-peer, konferensi video, dan game yang membutuhkan koneksi masuk langsung. Gejala umumnya berupa NAT Type Strict dan kegagalan menjadi host permainan.

Bisakah Satu IP Publik Mikrotik Melayani Banyak Perangkat?

Bisa, selama setiap perangkat memakai nomor port luar yang berbeda. Misalnya port 8554 menuju NVR, port 8443 menuju NAS, dan port 8291 menuju Winbox router. Satu IP publik Mikrotik sanggup melayani puluhan layanan sekaligus melalui pemetaan port yang tertata rapi.

Apakah IPv6 Menyelesaikan Masalah CGNAT?

Secara konsep ya, karena IPv6 menyediakan alamat global untuk setiap perangkat tanpa perlu NAT. Kendalanya, dukungan operator di Indonesia masih terbatas dan banyak perangkat CCTV atau NAS belum sepenuhnya siap. Bila operator Anda sudah menyediakan IPv6, mengaktifkannya patut dicoba sebagai pelengkap, bukan pengganti tunnel.

Kesimpulan

Perbedaan antara IP publik Mikrotik dan CGNAT menentukan hampir semua kemungkinan remote akses pada jaringan Anda. Bandingkan alamat di /ip address print dengan alamat yang dilaporkan layanan pengecek, lalu perhatikan rentang privat dan blok 100.64.0.0/10. Dua angka itu memberi Anda jawaban dalam hitungan menit, jauh lebih cepat dibanding menebak-nebak lewat aturan firewall.

Sekali lagi, kalau sambungan Anda berada di belakang CGNAT, port forwarding tidak akan pernah berhasil sekeras apa pun Anda mencoba, dan jalan keluarnya harus lewat tunnel. Berlangganan IP publik Mikrotik ke operator merupakan cara paling lurus bila anggaran memungkinkan. Membangun WireGuard atau L2TP menuju VPS memberi hasil setara dengan biaya jauh lebih ringan, sekaligus memberi Anda kendali penuh atas jalur remote.

Mulailah dari kebutuhan yang paling mendesak, misalnya satu kamera atau satu router yang harus terjangkau. Bangun tunnelnya, uji dari jaringan seluler, dokumentasikan pemetaan portnya, lalu kembangkan bertahap. Dengan pola kerja seperti itu, ketiadaan IP publik Mikrotik dari operator berhenti menjadi penghalang dan berubah menjadi sekadar detail teknis yang sudah Anda kuasai.