LAB 7 Mikrotik (Manajemen MAC Server)

Pada lab sebelumnya yaitu LAB 5 dan LAB 6   kita membahas user yang diamankan baik pada lab 5 membahas bahwa port winbox yang dirubah ataupun ip tertentu yang bisa masuk dan pada lab 6 dibahas user diseting supaya bisa masuk ke winbox hanya pada ip tertentu, ternyata cara ini ada kelemahanya yaitu ketika pada winbox kita conect menggunakan mac address (layer 2) kondisi tersebut tidak berlaku, kondisi tersebut hanya berlaku jika kita conect menggunakan ip address:

Gambar 1. User yang diblokir Bisa Berhasil Jika Menggunakan IP

pada gambar diatas jelas terlihat pada system-user yang diijinkan untuk masuk winbox adalah ip address 192.168.88.253, sedangkan ip kita 192.168.88.254, sehingga ketika user coba akan masuk ke winbox menggunakan IP Address maka user tersebut ditolak dengan pesan “Error : Wrong username and password”, berarti konfigurasi tersebut sukses, akan tetapi akan menjadi gagal manakala kita mencoba akses winbox menggunakan MAC Address (allowed address jadi tidak berfungsi):

Gambar 2. User yang diblokir tetap login jika menggunakan mac

jika kita melihat gambar diatas jelas bahwa mac address membuat user yang ip nya tidak dikehendaki masih tetap bisa membuka winbox, hal ini terjadi karena mac address berada di layer 2 sedangkan ip di layer 3, sehingga mac address masih tetap bisa digunakan walaupun bukan ip yang dikehendaki. untuk mengatasinya bisa menggunakan manajemen mac server yang langkah-langkahnya sebagai berkut:

1. klik tool – kemudian klik  MAC Server:

Gambar 3. Konfigurasi MAC Server

1. muncul menu mac server, kemudian klik tab winbox interface, pilih all kemudian disable (x):

Gambar 4. Disable Mac Server Winbox

1. jika  kita menginginkan yang bisa menggunakan mac server adalah pc admin yang terhubung dengan ether4, maka caranya adalah:

Gambar 5. Mengijinkan Ether4 Menggunakan MAC Server

1. hasilnya adalah untuk semua interface yang akan menggunakan mac server didisable kecuali pada ether4 diberi ijin untuk menggunakan mac server:

Gambar 6. Menambahkan MAC Server untuk ether4

1. pengujian login menggunakan mac server pada ether2 dan hasilnya gagal:

Gambar 7. Login Gagal Menggunakan MAC Server di ether2

1. pengujian jika menggunakan mac address dan pc terhubung dengan ether4 ternyata berhasil:

Gambar 8. Login Berhasil Pada Ether 4 Menggunakan MAC

Demikianlah manajemen mac server, sehingga bisa lebih mengamankan lagi konfigurasi pada service dan user.

 

===Practice Make Better===

 

 

 

LAB 6 Mikrotik : Manajemen Group (Read, Write, Full) dan Manajemen User (Membuat User, Password, Allowed User)

Akses ke mikrotik seperti yang dijelaskan pada LAB 1 Mikrotik, membutuhkan user untuk bisa mengkasesnya, sebenarnya user tersebut perlu dikelola seperti hak aksesnya (manajemen groupnya) maupun password pada user sampai hanya alamat tertentu yang boleh mengkasesnya demi alasan keamanan. berikut akan kita bahas manajemen user untuk menentukan hak akses apa saja yang diijinkan:

1. Manajemen Group
   didalam group terdapat 3 hak yang utama yaitu, full,write dan read:
   

Gambar 1. Hak Akses Mikrotik (Group)

a. full merupakan hak akses group yang memungkinkan semua akses ke router, tidak hanya membaca dan menulis tetapi juga bisa membuat user untuk masuk system, hak akses ini merupakan hak akses tertinggi yang bisanya digunakan oleh administrator:

Gambar 2 Hak Akses Group Full

b. write hak akses dibawah full yang diijinkan untuk melakukan perubahan konfigurasi akan tetapi tidak diijinkan untuk membuat user atau merubah policy yang ada pada router:

Gambar 3. Hak Akses Pada Write

c. Read mempunyai hak akses hanya untuk monitoring saja dan tidak bisa melakukan perubahan:

Gambar 4. Hak Akses Pada Read

Sebenarnya hak akses atau grup itu bisa dirubah sesuai keinginan atau kebutuhan, misal kita akan membuat hak akses other yang mempunyai fungsi seperti write akan tetapi tidak diijinkan akses winbox dan webfig maka konfigurasinya adalah:

a. klik system-user-group-pilih write-kemudian klik copy:

Gambar 5. Mengcopy Hak Akses dari write

b. setelah jadi ganti namanya menjadi other dan hilangkan centang pada winbox dan webfig (yang berwarna biru adalah yang dirubah), kemudian klik ok:

Gambar 6. Membuat hak akses (group) Other

c. group other sudah selesai, sekarang hak akses group ada empat:

Gambar 7. Penambahan Group Berhasil

2. Manajemen User

jika diatas dibahas mengenai group, maka untuk menggunakan group tersebut haruslah dibuat user, apabila kita hendak membuat user dengan hak akses adalah bisa melakukan perubahan total maka pilihlah full, apabila menginginkan user bisa melakukan perubahan tidak semuanya maka pilihlah write dan apabila menginginkan user hanya bisa monitoring saja maka pilihlah read, akan tetapi jika kita punya keinginan sendiri terhadap hak akses tersebut maka buatlah group nya adalah other (group yang kita buat sendiri), dalam hal ini kita akan membuat user dengan nama coba dan passwordnya adalah 123 sedangkan groupnya adalah write, maka langkah-langkahnya adalah:

a. buka system-user-klik add (+):

Gambar 8. Menambahkan User

b. rubah nama user adalah coba dan group adalah write sedangkan password adalah 123 (yang dirubah yang berwarna biru), kemudian klik ok:

Gambar 9 . Menambahkan user coba

c. user tersebut sudah aktif, berikutnya tinggal pengujian, caranya buka winbox, masukan username adalah coba dan password adalah 123:

Gambar 10. Pengujian User Coba

d. berhasil masuk winbox pada header bar akan terlihat kita masuk menggunakan user coba dan pada menu user kita tidak bisa melakukan penambahan user karena group write tidak diijinkan melakukan hal tersebut:

Gambar 11. Pengujian User Coba

untuk lebih mengamankan kita bisa seting supaya hanya ip tertentu atau dalam range tertentu yang bisa akses, misal menginginkan range berarti apabila kita memiliki ip 192.168.88.0/29 maka yang diijinkan adalah ip 192.168.88.1 s.d. 192.168.88.6 (192.168.88.0 adalah network dan 192.168.88.7 adalah broadcast), jika hanya menginginkan 1 ip saja misal 192.168.88.2 maka berikut caranya:

a. pastikan anda login sebagai group full karena hanya group full yang mempunya hak akses untuk melakukan perubahan pada user  dengan cara klik system-user kemudian dobel klik pada user coba, kemudian isikan ip yang diperbolehkan untuk menggunakan user coba (dalam hal ini 192.168.88.2) :

Gambar 12 . Allowed Address User

b. untuk pengujian kita uji coba jika user menggunakan ip 192.168.88.2 dan ternyata bisa masuk ke winbox, bisa kita lihat dari log nya:

Gambar 13. User 192.168.88.2 bisa akses winbox

c. jika klien/user berubah ip nya misalkan 192.168.88.30 maka akan gagal masuk ke winbox, bisa dilihat dari log nya

Gambar 14. User dengan ip 192.168.88.30 tidak bisa akses winbox

Demikianlah management group, user dan allowed address pada user, akan tetapi kondisi ini masih bisa ditembus dengan cara untuk masuk ke winbox bukan menggunakan ip address akan tetapi menggunakan mac address, maka kita perlu mengatur penggunaan mac address ini yang akan dibahas di lab selanjutnya.

 

===Practice Make Better===

 

LAB 5 Mikrotik: Manajemen Service di Mikrotik (Mengaktifkan Service atau Merubah Port Service (Security Service))

Didalam mikrotik terdapat beberapa service yang port nya diatur dalam kondisi bawaan pabrik seperti web yang berada di port 80, ftp yang berada di port 21. nah terkadang dalam rangka kemanan kita perlu disable beberapa service yang sekiranya kurang aman seperti telnet, atau kita hendak mengganti port service tersebut sesuai keinginan kita atau bahkan kita menghendaki hanya mengijinkan ip pc kita sebagai admin untuk bisa mengaksesnya. Dalam skenario kali ini kita hendak mengaktifkan service winbox, web dan ssh saja selainnya hendak kita disable, kemudian kita akan merubah semua port dari service yang aktif dan hanya mengijinkan ip yang kita tentukan untuk bisa mengaksesnya, berikut langkah-langkahnya:

1.Mematikan service yang tidak dikehendaki, berikut caranya:
a. buka ip-service:

Gambar1. IP Service

b. setelah menu service terbuka disable service sesuai skenario yaitu selain web, winbox dan ssh dengan cara pilih service yang hendak di disable kemudian klik tanda silang (x)/disable:

Gambar2. Disable Service

2. Rubah Port dan set ip pc admin pada service web (www)
a. rubah port web dan set ip admin untuk bisa akses web (webfix), dengan cara dobel klik service www kemudian rubah port dari 80 misal ke 82, lalu berikan ip yang diijinkan yaitu 192.168.1.73, kemudian klik ok:

 

Gambar3. Merubah port web dan set ip pc admin

b. cek ip address pc admin (seharusnya 192.168.1.73):

Gambar4. IP Address pc admin

c. Uji coba membuka webfix dengan ip router yaitu 192.168.1.64 dengan port default (80):

Gambar5. Webfix tidak bisa dibuka dengan port 80

d. uji coba membuka webfix dengan port yang sudah dirubah yaitu 82:

Gambar6. Webfix bisa dibuka dengan port 82 (Yang sudah dirubah)

e. membuka webfix dengan ip selain 192.168.1.73 dan port 82:

Gambar7. PC Admin dirubah selain ip 192.168.1.73

Gambar8. Pengujian webfix yang gagal karena dibuka menggunakan ip selain 192.168.1.73

3. Rubah Port dan set ip pc admin pada service ssh:

a. buka kembali ip-service dan dobel klik pada service ssh dan isikan ip pc admin (asumsinya ip pc admin 192.168.1.73) dan ganti port ssh dari 22 menjadi 222, kemudian klik ok:

Gambar9. merubah port dan set ip pada service ssh

b. pengujian akses ssh menggunakan ip 192.168.1.70 dan port 22 (default):

Gambar 10. akses ssh ditolak karena tidak mengguanakn ip dan port yang sesuai

c. pengujian akses ssh menggunakan ip 192.168.1.73 (pc admin)  dan port 22 (default):

Gambar11. Akses ssh dari ip pc admin dengan port default ditolak

d. pengujian akses ssh menggunakan ip pc admin 192.168.1.73 dan port 222 (port yang dirubah):

Gambar12.Akses ssh berhasil dari ip 192.168.1.73 dan port 222

4. rubah port dan set ip pc admin 192.168.1.73 pada winbox:

a. buka kembali ip-service kemudian klik service winbox, kemudian rubah port dari port 8291 menjadi 8888 dan set ip pc admin yaitu 192.168.1.73, kemudian klik ok:

Gambar13. rubah port winbox dari 8291 menjadi 8888 dan set ip pc admin 192.168.1.73

b. pengujian dengan ip selain pc admin (192.168.1.70) dengan port default 8291:

Gambar14. Akses winbox eror dengan ip 192.168.1.70 dan port default

c. pengujian dengan ip pc admin dengan port default 8291:

Gambar15. Akses winbox ditolak dengan IP PC admin 192.168.1.73 dan port default 8291

d. pengujian dengan ip pc admin (192.168.1.73) dan port 8888 (yang dirubah):

Gambar16. Akses winbox berhasil dengan ip 192.168.1.73 (IP PC Admin) dan port 8888

untuk perubahan port pada winbox masih bisa ditembus dengan mengganti conect to dari ip menggunakan mac address:

Gambar17. Akses winbox bisa ditembus menggunakan mac address

untuk mengatasi masalah diatas (gambar 17) bisa ditanggulangi dengan manajemen  mac server yang akan dibahas pada lab selanjutnya. Selamat mencoba.

++++Practice Make Better++++

KONFIGURASI UKK PAKET 1 MIKROTIK WEB PROXY TAHUN 2014/2015

Konfigurasi UKK Paket 1 tahun 2014/2015 mengenai routerboard mikrotik yang diset sebagai router gateway, DHCP server, DNS Server, Transparent Web Proxy dan blokir Situs.

untuk soal bisa anda klik disini

sedangkan konfigurasi bisa anda DOWNLOAD disini

sedangkan video konfigurasi rb 750 untuk web proxy dibawah ini:

 

 

sedangkan konfigurasi wifi ap router bisa anda DOWNLOAD disini

sedangkan video konfigurasi Wifi AP Router WA 5110 G dibawah ini:

===PRACTICE MAKE BETTER===

VIDEO KONFIGURASI MIKROTIK UKK TKJ PAKET 2 TAHUN 2014/2015

KONFIGURASI HOTSPOT MIKROTIK (UKK TKJ PAKET 2 TAHUN 2014/2015)

Uji Kompetensi Keahlian TKJ Tahun 2014/2015 telah tiba, dimulai dari 3 paket soal yang diterbitkan oleh BSNP:

Paket1 = Konfigurasi Mikrotik untuk router gateway, dns server, web proxy dan blokir situs

Paket2 = Konfigurasi Mikrotik untuk router gateway, hostpot, blokir situs

Paket3 = Konfigurasi Linux untuk router gateway, proxy dan blokir situs.

berikut ini saya sampaikan konfigurasi ukk paket 2:

KONFIGURASI INTERFACE

interface ethernet set ether3-slave-local master-port=none

interface ethernet set ether4-slave-local master-port=none

interface ethernet set ether5-slave-local master-port=none

REMOVE DHCP CLIENT

ip dhcp-client remove ether1-gateway

KONFIGURASI HOSTNAME MIKROTIK

system identity set name=namapeserta

KONFIGURASI ETHER1

ip address add address=192.168.50.1/27 interface=ether2ip address add address=192.168.10.15/27 interface=ether1

ip address add address=192.168.15.1/27 interface=ether3

KONFIGURASI ROUTE/GATEWAY

ip route add gateway=192.168.10.1

KONFIGURASI DNS

ip dns set servers=180.131.144.144,180.131.145.145

KONFIGURASI ROUTING (NAT)

ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade

PENGECEKAN IP ADDRESS, IP ROUTE, IP DNS, NAT

ip address print

ip route print

ip dns print

ip firewall nat print

PENGUJIAN IP ADDRESS, IP PUBLIK, DOMAIN

ping 192.168.10.1

ping 8.8.8.8

ping www.google.com

KONFIGURASI DHCP SERVER

Hapus dhcp server default dengan cara:

ip dhcp-server remove default

Konfigurasi dhcp server dengan cara:

ip dhcp-server setup

Muncul:

dhcp server interface: ether2

dhcp address space: 192.168.50.0/27

gateway for dhcp network: 192.168.50.1

addresses to give out: 192.168.50.2-192.168.50.30

dns servers: 180.131.144.144,180.131.145.145

lease time: 3d

Muncul:

dhcp server interface: ether3

dhcp address space: 192.168.15.0/27

gateway for dhcp network: 192.168.15.1

addresses to give out: 192.168.15.2-192.168.15.30

dns servers: 180.131.144.144,180.131.145.145

lease time: 3d

catatan: dari proses satu ke proses yang lain menekan enter

REMOVE IP DEFAULT 192.168.88.1

ip address print

ip address remove numbers=0

DISABLE-ENABLE INTERFACE PADA NETWORK AND SHARING CENTER

CEK IP BARU

PENGUJIAN INTERNET

Ketikan speedtest.cbn.net.id

KONFIGURASI HOTSPOT

KONFIGURASI USER PROFILE:

ip hotspot user profile add name=256k shared-users=25 rate-limit=256k/256k transparent-proxy=no

ip hotspot user profile add name=512k shared-users=25 rate-limit=512k/512k transparent-proxy=no

KONFIGURASI USER:

ip hotspot user add name=user1 password=12345678 profile=256k

ip hotspot user add name=user2 password=12345678 profile=512k

KONFIGURASI HOTSPOT SETUP

KONFIGURASI ETHER3:

hotspot interface: ether3

local address of network: 192.168.15.1/27

masquerade network: yes

address pool of network: 192.168.15.2-192.168.15.30

select certificate: none

ip address of smtp server: 0.0.0.0

dns servers: 180.131.144.144,180.131.145.145

dns name: ukk10.lan

KONFIGURASI ETHER2:

hotspot interface: ether2

local address of network: 192.168.50.1/27

masquerade network: yes

address pool of network: 192.168.50.2-192.168.50.30

select certificate: none

ip address of smtp server: 0.0.0.0

dns servers: 180.131.144.144,180.131.145.145

dns name: ukk10.lan

setelah proses ini maka router akan disconect, loginlah dulu di web browser baru bisa conect kembali dengan router.

Dari gambar diatas kita tahu setelah login maka bandwidth terlimit 512k (0,52Mbps)

 BLOKIR SITUS WWW.YOUTUBE.COM DAN WWW.FACEBOOK.COM

ip firewall mangle add chain=forward src-address=0.0.0.0/0  content=youtube.com action=mark-packet new-packet-mark=blokir

ip firewall mangle add chain=forward src-address=0.0.0.0/0 content=facebook.com action=mark-packet new-packet-mark=blokir

ip firewall filter add chain=forward packet-mark=blokir action=drop

KONFIGURASI USER LOGIN WINBOX

user set admin password=12345678

MERUBAH TAMPILAN LOGIN

ip hotspot profile set html-directory=hotspotVery number=hsprof1

ip hotspot profile set html-directory=hotspotVery number=hsprof2

 

SELENGKAPNYA BISA DIUNDUH DISINI

 

 

====SELAMAT MENGERJAKAN====

BLOKIR SITUS TERTENTU PADA JAM TERTENTU (SCHEDULE) DI MIKROTIK

Jika kita menginginkan blokir situs misalnya facebook.com, tapi kita menginginkan pada jam-jam tertentu bisa digunakan maka lakukanlah langkah-langkah berikut:

1. Buat dahulu blokir situs menggunakan mangle rule (seperti pada postingan sebelumnya)
2. Pastikan blokir situs via mangle rule tersebut sudah berjalan
3. Buka winbox-new terminal
4. copy script2 berikut dan paste saja di new terminal dalam winbox tadi
5. Buat disable firewall dan mengijinkan situs bisa diakses, script-nya:

/system script add name=”fb-allow” policy=write,read,policy,test source={/ip firewall filter set [/ip firewall filter find packet-mark=”blok”] disabled=yes

Blokir Situs/Website Menggunakan Mangle Rule Mikrotik (via console atau winbox)

                               

. Kita Mau blokir facebook :
/ip firewall mangle add src-address=10.1.1.0/24 chain=forward content=facebook action=mark-packet new-packet-mark=blok

· Kita Mau blok Porno-porno / yang berbau seks :
/ip firewall mangle add src-address=10.1.1.0/24 chain=forward content=porn action=mark-packet  new-packet-mark=blok

/ip firewall mangle add src-address=10.1.1.0/24 chain=forward content=seks action=mark-packet new-packet-mark=blok

/ip firewall mangle add src-address=10.1.1.0/24 chain=forward content=sex action=mark-packet new-packet-mark=blok

(src-address=adalah ip dalam jaringan kita jika ether 2 kita menggunakan jaringan 192.168.10.1 berarti nanti src-address diisi=192.168.10.0/24)

List tersebut kita masih bisa tambah sesuai dengan keinginan kita, jika tidak ingin mengetik bisa copy paste list diatas ke terminal mikrotik.

setelah langkah tersebut sudah selesai, setelah itu kita buat untuk action drop
dari yang telah kita buat di atas, dengan cara :

/ip firewall filter add chain=forward packet-mark=blok action=drop

SELENGKAPNYA DOWNLOAD DISINI

===PRACTICE MAKE BETTER===

BLOKIR KLIEN HOTSPOT DI MIKROTIK

-BUKA WINBOX

-SEBELUM KITA BLOKIR KLIEN, MUNGKIN ADA BAIKNYA KITA PERLU MELIHAT PENGGUNAAN BANDWIDTH /AKTIFITAS KLIEN CARANYA:

KLIK QUEUES

KITA LIHAT USER VERY DIATAS MEMAKAI BANDWIDTH SAMPAI MAKSIMAL YAITU 89 KBPS,MAKA KITA BLOKIR USER VERY YANG IP NYA 192.168.200.5,CARANYA

-KLIK IP-HOTSPOT-PILIH TAB HOST-DOBEL KLIK USER YANG DIPILIH

-KLIK TOMBOL MAKE BINDING

-MUNCUL DIBAWAH,PADA TYPE PILIH BLOCKED

-KLIK OK

-HASILNYA

-USER TERSEBUT TERSISIHKAN/TERBLOKIR

-JIKA MENGINGINKAN USER TERSEBUT TERHUBUNG KEMBALI TINGGAL PILIH TYPE YANG TADINYA BLOCKED MENJADI REGULAR

DEMIKIAN CARA BLOKIR USER DAN MENGEMBALIKANYA KEMBALI.SELAMAT MENCOBA TAPI JANGAN DIGUNAKAN UNTUK BLOKIR BANYAK ORANG SUPAYA BISA GUNAKAN BANDWIDTH SENDIRIAN ITU KATA BANG RHOMA NAMANYA “TERLALU”.SEMOGA BERMANFAAT

 lihat selengkapnya download disini

===PRACTICE MAKE BETTER===

Blokir ip tertentu dan mac address tertentu supaya tidak bisa menggunakan internet dan browsing website

jika kita menghendaki supaya klien yang terkoneksi tidak bisa browsing karena kita blokir simak langkah-langkahnya:

Blokir ip tertentu dan mac address tertentu supaya tidak bisa menggunakan internet brosing website

Blokir ip

-buka winbox

-klik ip-firewall-pilih tab filter rules-klik tanda plus merah

-isi seperti berikut

-pilih tab action rubah seperti berikut

klik ok muncul

Blokir mac

-buka winbox

-misal kita gunakan ip yang hendak diblokir 192.168.100.6 untuk mengetahui mac-nya bisa klik ip-arp

-dobel klik ip tersebut, kemudian blok mac adressnya dan klik kanan-copy

-buka ip-firewall-pilih tab filter rules-klik tanda plus merah isikan seperti berikut

-pilih tab advance paste mac tadi seperti berikut

-pilih tab action isi seperti berikut

-klik tombol coment

-isi seperti berikut :

klik ok,klik ok,muncul

Demikian cara blokir ip dan mac tertentu.selamat mencoba semoga bermanfaat.

lebih lengkap bisa download disini

===PRACTICE MAKE BETTER===

Seting Keamanan jaringan di mikrotik

selain membuat router kita juga harus mengamankanya dari serangan pihak luar

jika di linux kita kenal dengan iptables,mari kita coba sedikit mengamankan mikrotik kita…beberapa tips untuk mengamankan adalah sebagai berikut:

-rubah user dan password mikrotik:

caranya: download disini

ijinkan hanya ip dan port tertentu yang boleh terkoneksi ke mikrotik

caranya: download disini

bersambung….