BAB 4 PERANCANGAN DAN UJI COBA. untuk menghadapi permasalahan yang ada pada jaringan BPPT adalah dengan

Transkripsi

1 BAB 4 PERANCANGAN DAN UJI COBA 4.1 Perancangan Prototype Jaringan Seperti yang telah dijelaskan pada bab sebelumya, solusi yang diberikan untuk menghadapi permasalahan yang ada pada jaringan BPPT adalah dengan menerapkan VPN melalui protokol IPSec. Namun dengan keterbatasan waktu, tempat, biaya, serta akses jaringan pada BPPT, maka penelitian hanya dilakukan hingga tahap pengujian melalui prototype. Prototype digambarkan sebagai 3 site yang masing-masing tergabung dalam area OSPF yang berbeda-beda. Berikut merupakan skema prototype yang dibangun untuk pengujian penelitian ini : Kantor Thamrin OSPF Area 1 Kantor Serpong OSPF Area 2 User1 Site 1 Site 2 User2 Internet Site 3 User3 Kantor Cabang OSPF Area 3 Gambar 4.1 Skema prototype 73

2 Hardware dan Software yang Digunakan Software GNS3 digunakan untuk mensimulasikan setiap router Cisco yang ada. Dengan menggunakan GNS3, router yang terdapat pada simulasi juga dapat terhubung dengan router asli. Berikut merupakan topologi jaringan pada GNS3 : Gambar 4.2 Topologi GNS3 Dalam penelitian ini digunakan tiga jenis router, yaitu router yang bertindak sebagai internet, router yang bertindak sebagai gateway (Site1, Site2, dan Site3) dari setiap kantor, dan router yang bertindak sebagai user (User1 dan User2). Router user diletakkan di belakang gateway pada kantor Thamrin dan Serpong. Sedangkan pada Site3, digunakan laptop untuk mewakili user (User3). Router yang digunakan pada penelitian ini adalah Cisco 7200, dan Mikrotik RB1100. Pada simulasi kantor Thamrin, Serpong dan internet, semua router yang

3 75 digunakan adalah router Cisco 7200 sedangkan pada simulasi kantor cabang menggunakan router Mikrotik RB1100 sebagai router gateway. Router internet disetting dengan static route yang menghubungkan router gateway setiap cabang. Jumlah router gateway yang digunakan ditetapkan dari jumlah jenis vendor router kantor cabang BPPT, yaitu kantor cabang Thamrin yang menggunakan router Cisco, kantor cabang Serpong yang menggunakan router HP, dan kantor cabang lainnya, seperti Surabaya, Lampung, Yogyakarta, dan Bali yang menggunakan router Mikrotik. Namun, dikarenakan adanya masalah teknis, router HP yang akan digunakan sebagai router gateway kantor Serpong digantikan dengan router Cisco 7200 pada penelitian ini. Pergantian router ini didasarkan pada spesifikasi yang dimiliki oleh router HP setara dengan router penggantinya yaitu router Cisco 7200, sebagai router gateway. 4.3 Konfigurasi dan Uji Coba Alokasi IP Berikut merupakan daftar alokasi IP pada interface yang digunakan pada penelitian ini: Alokasi IP router kantor Thamrin - Cisco 7200 (Site1) Tabel 4.1 Alokasi IP Site1 Interface IP Address Subnet Mask Gateway Address Fast Ethernet 1/ Fast Ethernet 1/ Tunnel

4 76 Tunnel Alokasi IP router kantor Serpong - Cisco 7200 (Site2) Tabel 4.2 Alokasi IP Site2 Interface IP Address Subnet Mask Gateway Address Fast Ethernet 1/ Fast Ethernet 1/ Tunnel Tunnel Alokasi IP router kantor Cabang - Mikrotik RB-1100 (Site3) Tabel 4.3 Alokasi IP Site3 Interface IP Address Subnet Mask Gateway Address Ethernet Ethernet Tunnel Tunnel Alokasi IP router internet - Cisco 7200 Tabel 4.4 Alokasi IP router internet Interface IP Address Subnet Mask Fast Ethernet 1/

5 77 Fast Ethernet 1/ Fast Ethernet 2/ Alokasi IP user kantor Thamrin (User1) Tabel 4.5 Alokasi IP User1 Interface IP Address Subnet Mask Gateway Fast Ethernet 1/ Alokasi IP user PC kantor Serpong (User2) Tabel 4.6 Alokasi IP User2 Interface IP Address Subnet Mask Gateway Fast Ethernet 1/ Alokasi IP user PC kantor cabang (User3) Tabel 4.7 Alokasi IP User3 Interface IP Address Subnet Mask Gateway Ethernet port Konfigurasi Interface dan Routing Router internet configure terminal interface fastethernet 1/0

6 78 ip address no shutdown interface fastethernet 1/1 ip address no shutdown interface fastethernet 2/0 ip address no shutdown Router kantor Thamrin (Site1) configure terminal interface fastethernet 1/1 ip address no shutdown interface fastethernet 1/0 ip address no shutdown ip route fastethernet 1/0 router ospf 1 network area 1

7 79 Router kantor Serpong (Site2) configure terminal interface fastethernet 1/1 ip address no shutdown interface fastethernet 1/0 ip address no shutdown ip route fastethernet 1/0 router ospf 1 network area 2

8 80 Router kantor cabang (Site3) Gambar 4.3 Konfigurasi IP Router Site3 Gambar 4.4 Konfigurasi Default Gateway Router Site3

9 81 Gambar 4.5 Mengaktifkan Interface OSPF Gambar 4.6 Konfigurasi OSPF Area Router Site3

10 82 Gambar 4.7 Konfigurasi OSPF Network Router Site3 (1) Router user kantor Thamrin (User1) configure terminal interface fastethernet 1/0 ip address no shutdown ip route fastethernet 1/0 router ospf 1 network area 1 Router user kantor Serpong (User2) configure terminal

11 83 interface fastethernet 1/0 ip address no shutdown ip route fastethernet 1/0 router ospf 1 network area Konfigurasi IPSec Untuk membangun koneksi VPN dengan menggunakan IPSec, setiap site harus memiliki konfigurasi parameter yang sesuai. Berikut merupakan parameter IPSec yang digunakan pada penelitian ini : Tabel 4.8 Parameter IPSec Authentication Encryption Hash Pre-Share AES SHA Diffie-Hellman Group 2 Encapsulation Mode ESP Transport

12 84 Router kantor Thamrin (Site1) o Menetapkan IKE Phase 1 crypto isakmp policy 50 authentication pre-share encryption aes 128 group 2 hash sha crypto isakmp key 0 ISAKAMP_KEY1 address crypto isakmp key 0 ISAKAMP_KEY3 address o Menetapkan IKE Phase 2 crypto ipsec transform-set VPN_SET1 esp-aes 128 esp-sha-hmac mode transport crypto ipsec transform-set VPN_SET3 esp-aes 128 esp-sha-hmac mode transport o Menetapkan Crypto Map dan interesting traffic crypto map VPN_MAP1 50 ipsec-isakm

13 85 set peer match address TRAFFIC_LIST1 set transform-set VPN_SET1 crypto map VPN_MAP3 60 ipsec-isakm set peer match address TRAFFIC_LIST3 set transform-set VPN_SET3 ip access-list extended TRAFFIC_LIST1 permit ip ip access-list extended TRAFFIC_LIST3 permit ip o Memasang Crypto Map pada interface Dikarenakan satu interface hanya dapat menampung satu crypto map, maka untuk sementara IPSec pada Site1 hanya akan dihubungkan dengan Site2 dengan tujuan untuk uji coba. Berikut merupakan konfigurasinya. interface fastethernet 1/0 crypto map VPN_MAP1

14 86 Router kantor Serpong (Site2) o Menetapkan IKE Phase 1 crypto isakmp policy 50 authentication pre-share encryption aes 128 group 2 hash sha crypto isakmp key 0 ISAKAMP_KEY1 address crypto isakmp key 0 ISAKAMP_KEY2 address o Menetapkan IKE Phase 2 crypto ipsec transform-set VPN_SET1 esp-aes 128 esp-sha-hmac mode transport crypto ipsec transform-set VPN_SET2 esp-aes 128 esp-sha-hmac mode transport

15 87 o Menetapkan VPN Map dan interesting traffic crypto map VPN_MAP1 50 ipsec-isakm set peer match address TRAFFIC_LIST1 set transform-set VPN_SET1 crypto map VPN_MAP2 60 ipsec-isakm set peer match address TRAFFIC_LIST2 set transform-set VPN_SET2 ip access-list extended TRAFFIC_LIST1 permit ip ip access-list extended TRAFFIC_LIST2 permit ip o Memasang Crypto Map pada interface Dikarenakan satu interface hanya dapat menampung satu crypto map, maka untuk sementara IPSec pada Site2 hanya akan dihubungkan dengan Site1 dengan tujuan untuk uji coba. Berikut merupakan konfigurasinya.

16 88 interface fastethernet 1/0 crypto map VPN_MAP1 Router kantor cabang (Site3) o Menetapkan IKE Phase 1 Gambar 4.8 IPSec Peer untuk Site1

17 89 Gambar 4.9 IPSec Peer untuk Site2 o Menetapkan IKE Phase 2 Gambar 4.10 IPSec Proposal

18 90 o Menetapkan VPN Map dan interesting traffic Gambar 4.11 IPSec Policy untuk Site1 Gambar 4.12 IPSec Policy untuk Site Uji Coba IPSec Untuk melihat apakah konfigurasi IPSec dapat berjalan dengan baik dan aman, dilakukan dua jenis pengujian, yaitu uji konektivitas dan uji keamanan. Uji konektivitas dilakukan dengan melakukan ping dari user pada

19 91 site satu menuju user pada site lain, sedangkan uji keamanan dilakukan dengan menggunakan software packet sniffer wireshark. Namun, dikarenakan setiap interface hanya dapat menampung satu crypto map, maka uji coba dilakukan pada koneksi Site1 dengan Site2. Uji Konektivitas Uji konektivitas dilakukan untuk menjamin bahwa kedua site telah saling terhubung dengan baik dan dapat bertukar data. Uji coba dilakukan dengan melakukan ping dari router User1 dengan IP menuju ke router User2 dengan IP Berikut merupakan hasil dari ping yang dilakukan : Gambar 4.13 Ping User1 ke User2 (1) Dari hasil uji coba di atas, terlihat bahwa jaringan kantor Thamrin telah terhubung dengan jaringan kantor Serpong, namun koneksi tersebut tidak berjalan begitu lancar sehingga hanya 60% dari paket yang dikirim yang berhasil diterima oleh User2. Koneksi ini dapat berjalan tanpa router User1 maupun router Site1 memiliki alamat routing menuju User2 maupun Site2. Hal ini dapat dilihat pada gambar berikut :

20 92 Gambar 4.14 Routing Table User1 Gambar 4.15 Routing Table Site1 (1) Hal ini dapat terjadi, karena IPSec berhasil mengenkapsulasi paket yang ditujukan kepada User2 menjadi paket yang memiliki IP publik milik Site1 sebagai IP sumber dan IP publik milik Site2 menjadi IP tujuan, yaitu dan Dengan demikian, paket dikirimkan menuju router internet melalui default route yang kemudian dapat disampaikan ke Site2. Pada Site2, paket akan didekripsi sehingga IP sumber dan tujuan kembali menjadi sedia kala, yaitu dan yang kemudian dapat disampaikan ke User2 layaknya paket IP pada umumnya.

21 93 Uji Keamanan Uji keamanan dilakukan untuk menjamin koneksi antar site dapat berjalan dengan aman dan tidak dapat diakses oleh pihak yang tidak berwenang. Uji coba dilakukan dengan menggunakan software wireshark sebagai packet sniffer untuk mengambil paket yang dikirimkan melewati internet. Paket yang akan dicoba dikirimkan adalah paket telnet dari User1 menuju ke User2. Wireshark sebagai packet sniffer dapat membaca berbagai macam paket yang tidak terenkripsi dengan baik, salah satunya adalah paket telnet. Karena format telnet adalah plain text, maka bila tidak terenkripsi dengan menggunakan protokol lain, wireshark dapat membaca setiap data yang terdapat pada paket tersebut dengan menggunakan perintah follow TCP stream. Gambar 4.16 Telnet User1 ke User2

22 94 Gambar 4.17 Tampilan Wireshark (Telnet User 1 ke User2) Pada gambar 4.17 terlihat bahwa wireshark berhasil menangkap paket telnet, namun terbaca sebagai protokol ESP, bukan sebagai protokol telnet pada umumnya. Hal ini menunjukkan bahwa paket telah terenkripsi dengan baik. Selain itu, sumber dan tujuan paket juga terbaca sebagai alamat IP publik site, bukan IP privat. Protokol ESP tersebut pun tidak dapat terbaca dengan menggunakan perintah Follow TCP Stream, sehingga data tidak dapat diikuti. Dengan demikian, proses remote antar site dapat dijalankan secara privat.

23 Konfigurasi GRE Tunnel Berdasarkan hasil uji coba konektivitas dan keamanan yang telah dilakukan sebelumnya, komunikasi VPN dengan IPSec memiliki beberapa kelemahan, yaitu : - Hanya dapat melakukan satu koneksi pada satu interface fisikal. - Memiliki masalah konektivitas, dimana terdapat cukup banyak data yang gagal terkirim. - Pada routing table User1 dan Site1, terlihat bahwa tidak terciptanya dynamic routing antar site. Hal ini membuktikan bahwa paket protokol dynamic routing tidak dapat dikirimkan antar site. Dengan berbagai macam kekurangan tersebut, khususnya pada masalah konektivitas, IPSec menjadi kurang efektif bila dijalankan sendiri saja, perlu ditambahkan protokol lain yang dapat menutupi kekurangankekurangan tersebut. Salah satu solusi yang dapat digunakan adalah dengan mengkombinasikan IPSec dengan GRE Tunnel. GRE tunnel dapat digunakan sebagai interface virtual untuk menghubungkan site satu dengan site lainnya melewati jaringan internet. Selain itu, pada satu router, dapat menampung lebih dari satu interface tunnel, sehingga crypto map IPSec dapat diaplikasikan ke lebih dari satu tujuan. Dalam hal ini, tunnel GRE bertindak sebagai penyedia jalur menuju site lain dan IPSec bertindak sebagai penyedia layanan keamanan. Berikut merupakan ilustrasi pengaplikasian GRE Tunnel ke dalam topologi IPSec sebelumnya.

24 96 Gambar 4.18 Ilustrasi Tunnelling Berdasarkan ilustrasi tersebut, terlihat bahwa agar setiap site dapat terhubung sepenuhnya, perlu dibangun dua tunnel pada setiap gateway router. Tidak seperti IPSec sebelumnya, crypto map IPSec akan dipasangkan pada interface tunnel, sehingga satu site dapat terhubung ke lebih dari satu site lainnya walaupun hanya memiliki satu interface fisikal yang terhubung ke internet. Berikut merupakan konfigurasi tunnel GRE hingga penerapan IPSec kedalamnya.

25 97 Router kantor Thamrin (User1) o Membuat Interface Tunnel GRE interface tunnel 1 ip address tunnel source tunnel destination tunnel mode gre ip ip ospf network broadcast ip mtu 1480 ip tcp adjust-mss 1400 load-interval 30 hold-queue 1024 in hold-queue 1024 out interface tunnel 3 ip address tunnel source tunnel destination tunnel mode gre ip ip ospf network broadcast ip mtu 1480 ip tcp adjust-mss 1400 load-interval 30

26 98 hold-queue 1024 in hold-queue 1024 out o Memasukkan IP tunnel ke dalam dynamic routing router ospf 1 network area 0 network area 0 o Menonaktifktan Crypto Map yang telah terpasang sebelumnya interface fastethernet 1/0 no crypto map o Menetapkan profil IPSec crypto ipsec profile PROFIL_VPN1 set transform-set VPN_SET1 crypto ipsec profile PROFIL_VPN3 set transform-set VPN_SET3 o Memasang Profil IPSec ke Interface Tunnel GRE interface tunnel 1 tunnel protection ipsec profile PROFIL_VPN1

27 99 interface tunnel 3 tunnel protection ipsec profile PROFIL_VPN3 Router kantor Serpong (User2) o Membuat Interface Tunnel GRE interface tunnel 1 ip address tunnel source tunnel destination tunnel mode gre ip ip ospf network broadcast ip mtu 1480 ip tcp adjust-mss 1400 load-interval 30 hold-queue 1024 in hold-queue 1024 out interface tunnel 2 ip address tunnel source tunnel destination

28 100 tunnel mode gre ip ip ospf network broadcast ip mtu 1480 ip tcp adjust-mss 1400 load-interval 30 hold-queue 1024 in hold-queue 1024 out o Memasukkan IP tunnel ke dalam dynamic routing router ospf 1 network area 0 network area 0 o Menonaktifktan Crypto Map yang telah terpasang sebelumnya interface fastethernet 1/0 no crypto map o Menetapkan profil IPSec crypto ipsec profile PROFIL_VPN1 set transform-set VPN_SET1 crypto ipsec profile PROFIL_VPN2

29 101 set transform-set VPN_SET2 o Memasang profil IPSec ke interface Tunnel GRE interface tunnel 1 tunnel protection ipsec profile PROFIL_VPN1 interface tunnel 2 tunnel protection ipsec profile PROFIL_VPN2 Router kantor cabang (Site3) o Membuat interface Tunnel GRE Gambar 4.19 Konfigurasi Interface Tunnel GRE

30 102 Gambar 4.20 Memberikan IP ke Tunnel GRE o Memasukkan IP tunnel ke dalam dynamic routing Gambar 4.21 Konfigurasi OSPF Network Router Site3 (2) Uji Coba GRE + IPSec Untuk melihat apakah konfigurasi GRE dapat menutupi kelemahan IPSec yang telah dijelaskan sebelumnya, dilakukan dua jenis pengujian yang

31 103 sama dengan uji coba sebelumnya, yaitu uji konektivitas dengan melakukan ping dari user pada site satu menuju ke user pada site lainnya dan uji keamanan dilakukan dengan menggunakan software packet sniffer wireshark. Uji Konektivitas Uji konektivitas dilakukan dengan melakukan tiga kali ping, yaitu: - Dari router User1 menuju ke router User2 - Dari router User1 menuju ke router User3 - Dari router User3 menuju ke User2. Berikut merupakan hasil dari ping yang dilakukan : Gambar 4.22 Ping User1 ke User2 (2) ` Gambar 4.23 Ping User1 ke User3

32 104 Gambar 4.24 Ping User3 ke User2 Dari hasil uji coba di atas, terlihat setiap user dapat melakukan ping terhadap user yang berada di site lain tanpa ada paket yang hilang. Ini menunjukkan bahwa dengan bantuan interface tunnel GRE telah tercipta konektivitas yang baik antar setiap site. Dengan tunnel GRE, paket dynamic routing juga dapat dikirimkan ke site lain. Hal ini dapat dilihat pada routing table pada setiap router site terhubung dengan routing protocol OSPF seperti yang ditampilkan pada gambar 4.25, 4.26, dan 4.27.

33 105 Gambar 4.25 Routing Table Site1 (2) Gambar 4.26 Routing Table Site2

34 106 Gambar 4.27 Routing Table Site3 Dengan adanya dynamic routing, dapat tercipta jalur yang redundan, dimana bila salah satu tunnel mengalami down, koneksi IPSec masih dapat berlanjut melalui tunnel lainnya yang masih aktif. Pada percobaan berikut ini, tunnel1 pada router Site1 akan dinon-aktifkan (Gambar 4.28), sehingga Site1 tidak dapat terhubung secara langsung dengan Site2. Setelah tunnel1 down, router akan segera mengalihkan jalur menuju Site2 melalui tunnel3 yang menuju ke Site3. Routing table Site1 setelah tunnel1 down dapat dilihat pada gambar 4.29.

35 107 Gambar 4.28 Mematikan Tunnel1 pada Site1 Gambar 4.29 Routing Table Site1 (3) Untuk memastikan jalur redudansi ini, maka digunakan perintah traceroute dari User1 menuju User2 seperti yang dapat dilihat pada gambar berikut : Gambar 4.30 Traceroute User1 ke User2

36 108 Berdasarkan gambar 4.30, terlihat bahwa pada saat jalur utama Site1 (Tunnel1) mengalami down, Site1 menggunakan jalur alternatif yaitu (Tunnel3) menuju Site3 yang kemudian dilanjutkan ke Site2 melalui (Tunnel2) dan akhirnya mencapai User2 melalui (Site2). Dengan demikian, terbukti bahwa redundansi link telah tercapai. Uji Keamanan Uji keamanan dilakukan dengan menggunakan software wireshark yang dijalankan pada router internet. Uji coba akan dilakukan dengan melakukan telnet dari PC User3 menuju ke router User1 dalam kondisi normal dan telnet dari PC User3 menuju ke router User2 dengan menggunakan jalur redundansi alternatif seperti pada uji coba konektivitas sebelumnya. Berikut merupakan percobaan telnet dari User3 ke User1. Gambar 4.31 Telnet User3 ke User1

37 109 Gambar 4.32 Tampilan Wireshark (Telnet User3 ke User1) Berikut merupakan percobaan telnet dari User3 ke User2, dengan jalur yang menuju ke User2 (tunnel2) mengalami down. Gambar 4.33 Menonaktifkan Tunnel2

38 110 Gambar 4.34 Telnet User3 ke User2 Gambar 4.35 Tampilan Wireshark (Telnet User3 ke User2) Berdasarkan dua uji coba di atas, terlihat bahwa paket telnet telah terenkripsi dengan baik dan tidak dapat terbaca oleh packet sniffer. Tidak hanya paket yang tidak terbaca, sumber dan tujuan pengiriman pun juga tersamarkan menjadi IP publik milik masing-masing site, sehingga IP privat yang bersifat internal tidak dapat terbaca.