BAB 4 PERANCANGAN DAN UJI COBA 4.1 Perancangan Prototype Jaringan Seperti yang telah dijelaskan pada bab sebelumya, solusi yang diberikan untuk menghadapi permasalahan yang ada pada jaringan BPPT adalah dengan menerapkan VPN melalui protokol IPSec. Namun dengan keterbatasan waktu, tempat, biaya, serta akses jaringan pada BPPT, maka penelitian hanya dilakukan hingga tahap pengujian melalui prototype. Prototype digambarkan sebagai 3 site yang masing-masing tergabung dalam area OSPF yang berbeda-beda. Berikut merupakan skema prototype yang dibangun untuk pengujian penelitian ini : Kantor Thamrin OSPF Area 1 Kantor Serpong OSPF Area 2 User1 Site 1 Site 2 User2 Internet Site 3 User3 Kantor Cabang OSPF Area 3 Gambar 4.1 Skema prototype 73
74 4.2 Hardware dan Software yang Digunakan Software GNS3 digunakan untuk mensimulasikan setiap router Cisco yang ada. Dengan menggunakan GNS3, router yang terdapat pada simulasi juga dapat terhubung dengan router asli. Berikut merupakan topologi jaringan pada GNS3 : Gambar 4.2 Topologi GNS3 Dalam penelitian ini digunakan tiga jenis router, yaitu router yang bertindak sebagai internet, router yang bertindak sebagai gateway (Site1, Site2, dan Site3) dari setiap kantor, dan router yang bertindak sebagai user (User1 dan User2). Router user diletakkan di belakang gateway pada kantor Thamrin dan Serpong. Sedangkan pada Site3, digunakan laptop untuk mewakili user (User3). Router yang digunakan pada penelitian ini adalah Cisco 7200, dan Mikrotik RB1100. Pada simulasi kantor Thamrin, Serpong dan internet, semua router yang
75 digunakan adalah router Cisco 7200 sedangkan pada simulasi kantor cabang menggunakan router Mikrotik RB1100 sebagai router gateway. Router internet disetting dengan static route yang menghubungkan router gateway setiap cabang. Jumlah router gateway yang digunakan ditetapkan dari jumlah jenis vendor router kantor cabang BPPT, yaitu kantor cabang Thamrin yang menggunakan router Cisco, kantor cabang Serpong yang menggunakan router HP, dan kantor cabang lainnya, seperti Surabaya, Lampung, Yogyakarta, dan Bali yang menggunakan router Mikrotik. Namun, dikarenakan adanya masalah teknis, router HP yang akan digunakan sebagai router gateway kantor Serpong digantikan dengan router Cisco 7200 pada penelitian ini. Pergantian router ini didasarkan pada spesifikasi yang dimiliki oleh router HP setara dengan router penggantinya yaitu router Cisco 7200, sebagai router gateway. 4.3 Konfigurasi dan Uji Coba 4.3.1 Alokasi IP Berikut merupakan daftar alokasi IP pada interface yang digunakan pada penelitian ini: Alokasi IP router kantor Thamrin - Cisco 7200 (Site1) Tabel 4.1 Alokasi IP Site1 Interface IP Address Subnet Mask Gateway Address Fast Ethernet 1/0 6.6.6.1 255.255.255.252 Fast Ethernet 1/1 192.168.1.1 255.255.255.0 6.6.6.2 Tunnel 1 10.0.1.1 255.255.255.252
76 Tunnel 3 10.0.3.1 255.255.255.252 Alokasi IP router kantor Serpong - Cisco 7200 (Site2) Tabel 4.2 Alokasi IP Site2 Interface IP Address Subnet Mask Gateway Address Fast Ethernet 1/0 7.7.7.1 255.255.255.252 Fast Ethernet 1/1 192.168.2.1 255.255.255.0 Tunnel 1 10.0.1.2 255.255.255.252 7.7.7.2 Tunnel 2 10.0.2.1 255.255.255.252 Alokasi IP router kantor Cabang - Mikrotik RB-1100 (Site3) Tabel 4.3 Alokasi IP Site3 Interface IP Address Subnet Mask Gateway Address Ethernet 5 8.8.8.1 255.255.255.252 Ethernet 4 192.168.3.1 255.255.255.0 Tunnel 2 10.0.2.2 255.255.255.252 8.8.8.2 Tunnel 3 10.0.3.2 255.255.255.252 Alokasi IP router internet - Cisco 7200 Tabel 4.4 Alokasi IP router internet Interface IP Address Subnet Mask Fast Ethernet 1/0 6.6.6.2 255.255.255.252
77 Fast Ethernet 1/1 7.7.7.2 255.255.255.252 Fast Ethernet 2/0 8.8.8.2 255.255.255.252 Alokasi IP user kantor Thamrin (User1) Tabel 4.5 Alokasi IP User1 Interface IP Address Subnet Mask Gateway Fast Ethernet 1/0 192.168.1.2 255.255.255.0 192.168.1.1 Alokasi IP user PC kantor Serpong (User2) Tabel 4.6 Alokasi IP User2 Interface IP Address Subnet Mask Gateway Fast Ethernet 1/0 192.168.2.2 255.255.255.0 192.168.2.1 Alokasi IP user PC kantor cabang (User3) Tabel 4.7 Alokasi IP User3 Interface IP Address Subnet Mask Gateway Ethernet port 1 192.168.3.2 255.255.255.0 192.168.3.1 4.3.2 Konfigurasi Interface dan Routing Router internet configure terminal interface fastethernet 1/0
78 ip address 6.6.6.2 255.255.255.252 no shutdown interface fastethernet 1/1 ip address 7.7.7.2 255.255.255.252 no shutdown interface fastethernet 2/0 ip address 8.8.8.2 255.255.255.252 no shutdown Router kantor Thamrin (Site1) configure terminal interface fastethernet 1/1 ip address 192.168.1.1 255.255.255.0 no shutdown interface fastethernet 1/0 ip address 6.6.6.1 255.255.255.252 no shutdown ip route 0.0.0.0 0.0.0.0 fastethernet 1/0 router ospf 1 network 192.168.1.0 0.0.0.255 area 1
79 Router kantor Serpong (Site2) configure terminal interface fastethernet 1/1 ip address 192.168.2.1 255.255.255.0 no shutdown interface fastethernet 1/0 ip address 7.7.7.1 255.255.255.252 no shutdown ip route 0.0.0.0 0.0.0.0 fastethernet 1/0 router ospf 1 network 192.168.2.0 0.0.0.255 area 2
80 Router kantor cabang (Site3) Gambar 4.3 Konfigurasi IP Router Site3 Gambar 4.4 Konfigurasi Default Gateway Router Site3
81 Gambar 4.5 Mengaktifkan Interface OSPF Gambar 4.6 Konfigurasi OSPF Area Router Site3
82 Gambar 4.7 Konfigurasi OSPF Network Router Site3 (1) Router user kantor Thamrin (User1) configure terminal interface fastethernet 1/0 ip address 192.168.1.2 255.255.255.0 no shutdown ip route 0.0.0.0 0.0.0.0 fastethernet 1/0 router ospf 1 network 192.168.1.0 0.0.0.255 area 1 Router user kantor Serpong (User2) configure terminal
83 interface fastethernet 1/0 ip address 192.168.2.2 255.255.255.0 no shutdown ip route 0.0.0.0 0.0.0.0 fastethernet 1/0 router ospf 1 network 192.168.2.0 0.0.0.255 area 2 4.3.3 Konfigurasi IPSec Untuk membangun koneksi VPN dengan menggunakan IPSec, setiap site harus memiliki konfigurasi parameter yang sesuai. Berikut merupakan parameter IPSec yang digunakan pada penelitian ini : Tabel 4.8 Parameter IPSec Authentication Encryption Hash Pre-Share AES SHA Diffie-Hellman Group 2 Encapsulation Mode ESP Transport
84 Router kantor Thamrin (Site1) o Menetapkan IKE Phase 1 crypto isakmp policy 50 authentication pre-share encryption aes 128 group 2 hash sha crypto isakmp key 0 ISAKAMP_KEY1 address 7.7.7.1 crypto isakmp key 0 ISAKAMP_KEY3 address 8.8.8.1 o Menetapkan IKE Phase 2 crypto ipsec transform-set VPN_SET1 esp-aes 128 esp-sha-hmac mode transport crypto ipsec transform-set VPN_SET3 esp-aes 128 esp-sha-hmac mode transport o Menetapkan Crypto Map dan interesting traffic crypto map VPN_MAP1 50 ipsec-isakm
85 set peer 7.7.7.1 match address TRAFFIC_LIST1 set transform-set VPN_SET1 crypto map VPN_MAP3 60 ipsec-isakm set peer 8.8.8.1 match address TRAFFIC_LIST3 set transform-set VPN_SET3 ip access-list extended TRAFFIC_LIST1 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 ip access-list extended TRAFFIC_LIST3 permit ip 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255 o Memasang Crypto Map pada interface Dikarenakan satu interface hanya dapat menampung satu crypto map, maka untuk sementara IPSec pada Site1 hanya akan dihubungkan dengan Site2 dengan tujuan untuk uji coba. Berikut merupakan konfigurasinya. interface fastethernet 1/0 crypto map VPN_MAP1
86 Router kantor Serpong (Site2) o Menetapkan IKE Phase 1 crypto isakmp policy 50 authentication pre-share encryption aes 128 group 2 hash sha crypto isakmp key 0 ISAKAMP_KEY1 address 6.6.6.1 crypto isakmp key 0 ISAKAMP_KEY2 address 8.8.8.1 o Menetapkan IKE Phase 2 crypto ipsec transform-set VPN_SET1 esp-aes 128 esp-sha-hmac mode transport crypto ipsec transform-set VPN_SET2 esp-aes 128 esp-sha-hmac mode transport
87 o Menetapkan VPN Map dan interesting traffic crypto map VPN_MAP1 50 ipsec-isakm set peer 6.6.6.1 match address TRAFFIC_LIST1 set transform-set VPN_SET1 crypto map VPN_MAP2 60 ipsec-isakm set peer 8.8.8.1 match address TRAFFIC_LIST2 set transform-set VPN_SET2 ip access-list extended TRAFFIC_LIST1 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255 ip access-list extended TRAFFIC_LIST2 permit ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255 o Memasang Crypto Map pada interface Dikarenakan satu interface hanya dapat menampung satu crypto map, maka untuk sementara IPSec pada Site2 hanya akan dihubungkan dengan Site1 dengan tujuan untuk uji coba. Berikut merupakan konfigurasinya.
88 interface fastethernet 1/0 crypto map VPN_MAP1 Router kantor cabang (Site3) o Menetapkan IKE Phase 1 Gambar 4.8 IPSec Peer untuk Site1
89 Gambar 4.9 IPSec Peer untuk Site2 o Menetapkan IKE Phase 2 Gambar 4.10 IPSec Proposal
90 o Menetapkan VPN Map dan interesting traffic Gambar 4.11 IPSec Policy untuk Site1 Gambar 4.12 IPSec Policy untuk Site2 4.3.4 Uji Coba IPSec Untuk melihat apakah konfigurasi IPSec dapat berjalan dengan baik dan aman, dilakukan dua jenis pengujian, yaitu uji konektivitas dan uji keamanan. Uji konektivitas dilakukan dengan melakukan ping dari user pada
91 site satu menuju user pada site lain, sedangkan uji keamanan dilakukan dengan menggunakan software packet sniffer wireshark. Namun, dikarenakan setiap interface hanya dapat menampung satu crypto map, maka uji coba dilakukan pada koneksi Site1 dengan Site2. Uji Konektivitas Uji konektivitas dilakukan untuk menjamin bahwa kedua site telah saling terhubung dengan baik dan dapat bertukar data. Uji coba dilakukan dengan melakukan ping dari router User1 dengan IP 192.168.1.2 menuju ke router User2 dengan IP 192.168.2.2. Berikut merupakan hasil dari ping yang dilakukan : Gambar 4.13 Ping User1 ke User2 (1) Dari hasil uji coba di atas, terlihat bahwa jaringan kantor Thamrin telah terhubung dengan jaringan kantor Serpong, namun koneksi tersebut tidak berjalan begitu lancar sehingga hanya 60% dari paket yang dikirim yang berhasil diterima oleh User2. Koneksi ini dapat berjalan tanpa router User1 maupun router Site1 memiliki alamat routing menuju User2 maupun Site2. Hal ini dapat dilihat pada gambar berikut :
92 Gambar 4.14 Routing Table User1 Gambar 4.15 Routing Table Site1 (1) Hal ini dapat terjadi, karena IPSec berhasil mengenkapsulasi paket yang ditujukan kepada User2 menjadi paket yang memiliki IP publik milik Site1 sebagai IP sumber dan IP publik milik Site2 menjadi IP tujuan, yaitu 6.6.6.1 dan 7.7.7.1. Dengan demikian, paket dikirimkan menuju router internet melalui default route yang kemudian dapat disampaikan ke Site2. Pada Site2, paket akan didekripsi sehingga IP sumber dan tujuan kembali menjadi sedia kala, yaitu 192.168.1.2 dan 192.168.2.2 yang kemudian dapat disampaikan ke User2 layaknya paket IP pada umumnya.
93 Uji Keamanan Uji keamanan dilakukan untuk menjamin koneksi antar site dapat berjalan dengan aman dan tidak dapat diakses oleh pihak yang tidak berwenang. Uji coba dilakukan dengan menggunakan software wireshark sebagai packet sniffer untuk mengambil paket yang dikirimkan melewati internet. Paket yang akan dicoba dikirimkan adalah paket telnet dari User1 menuju ke User2. Wireshark sebagai packet sniffer dapat membaca berbagai macam paket yang tidak terenkripsi dengan baik, salah satunya adalah paket telnet. Karena format telnet adalah plain text, maka bila tidak terenkripsi dengan menggunakan protokol lain, wireshark dapat membaca setiap data yang terdapat pada paket tersebut dengan menggunakan perintah follow TCP stream. Gambar 4.16 Telnet User1 ke User2
94 Gambar 4.17 Tampilan Wireshark (Telnet User 1 ke User2) Pada gambar 4.17 terlihat bahwa wireshark berhasil menangkap paket telnet, namun terbaca sebagai protokol ESP, bukan sebagai protokol telnet pada umumnya. Hal ini menunjukkan bahwa paket telah terenkripsi dengan baik. Selain itu, sumber dan tujuan paket juga terbaca sebagai alamat IP publik site, bukan IP privat. Protokol ESP tersebut pun tidak dapat terbaca dengan menggunakan perintah Follow TCP Stream, sehingga data tidak dapat diikuti. Dengan demikian, proses remote antar site dapat dijalankan secara privat.
95 4.3.5 Konfigurasi GRE Tunnel Berdasarkan hasil uji coba konektivitas dan keamanan yang telah dilakukan sebelumnya, komunikasi VPN dengan IPSec memiliki beberapa kelemahan, yaitu : - Hanya dapat melakukan satu koneksi pada satu interface fisikal. - Memiliki masalah konektivitas, dimana terdapat cukup banyak data yang gagal terkirim. - Pada routing table User1 dan Site1, terlihat bahwa tidak terciptanya dynamic routing antar site. Hal ini membuktikan bahwa paket protokol dynamic routing tidak dapat dikirimkan antar site. Dengan berbagai macam kekurangan tersebut, khususnya pada masalah konektivitas, IPSec menjadi kurang efektif bila dijalankan sendiri saja, perlu ditambahkan protokol lain yang dapat menutupi kekurangankekurangan tersebut. Salah satu solusi yang dapat digunakan adalah dengan mengkombinasikan IPSec dengan GRE Tunnel. GRE tunnel dapat digunakan sebagai interface virtual untuk menghubungkan site satu dengan site lainnya melewati jaringan internet. Selain itu, pada satu router, dapat menampung lebih dari satu interface tunnel, sehingga crypto map IPSec dapat diaplikasikan ke lebih dari satu tujuan. Dalam hal ini, tunnel GRE bertindak sebagai penyedia jalur menuju site lain dan IPSec bertindak sebagai penyedia layanan keamanan. Berikut merupakan ilustrasi pengaplikasian GRE Tunnel ke dalam topologi IPSec sebelumnya.
96 Gambar 4.18 Ilustrasi Tunnelling Berdasarkan ilustrasi tersebut, terlihat bahwa agar setiap site dapat terhubung sepenuhnya, perlu dibangun dua tunnel pada setiap gateway router. Tidak seperti IPSec sebelumnya, crypto map IPSec akan dipasangkan pada interface tunnel, sehingga satu site dapat terhubung ke lebih dari satu site lainnya walaupun hanya memiliki satu interface fisikal yang terhubung ke internet. Berikut merupakan konfigurasi tunnel GRE hingga penerapan IPSec kedalamnya.
97 Router kantor Thamrin (User1) o Membuat Interface Tunnel GRE interface tunnel 1 ip address 10.0.1.1 255.255.255.252 tunnel source 6.6.6.1 tunnel destination 7.7.7.1 tunnel mode gre ip ip ospf network broadcast ip mtu 1480 ip tcp adjust-mss 1400 load-interval 30 hold-queue 1024 in hold-queue 1024 out interface tunnel 3 ip address 10.0.3.2 255.255.255.252 tunnel source 6.6.6.1 tunnel destination 8.8.8.1 tunnel mode gre ip ip ospf network broadcast ip mtu 1480 ip tcp adjust-mss 1400 load-interval 30
98 hold-queue 1024 in hold-queue 1024 out o Memasukkan IP tunnel ke dalam dynamic routing router ospf 1 network 10.0.1.0 0.0.0.3 area 0 network 10.0.3.0 0.0.0.3 area 0 o Menonaktifktan Crypto Map yang telah terpasang sebelumnya interface fastethernet 1/0 no crypto map o Menetapkan profil IPSec crypto ipsec profile PROFIL_VPN1 set transform-set VPN_SET1 crypto ipsec profile PROFIL_VPN3 set transform-set VPN_SET3 o Memasang Profil IPSec ke Interface Tunnel GRE interface tunnel 1 tunnel protection ipsec profile PROFIL_VPN1
99 interface tunnel 3 tunnel protection ipsec profile PROFIL_VPN3 Router kantor Serpong (User2) o Membuat Interface Tunnel GRE interface tunnel 1 ip address 10.0.1.2 255.255.255.252 tunnel source 7.7.7.1 tunnel destination 6.6.6.1 tunnel mode gre ip ip ospf network broadcast ip mtu 1480 ip tcp adjust-mss 1400 load-interval 30 hold-queue 1024 in hold-queue 1024 out interface tunnel 2 ip address 10.0.3.1 255.255.255.252 tunnel source 7.7.7.1 tunnel destination 8.8.8.1
100 tunnel mode gre ip ip ospf network broadcast ip mtu 1480 ip tcp adjust-mss 1400 load-interval 30 hold-queue 1024 in hold-queue 1024 out o Memasukkan IP tunnel ke dalam dynamic routing router ospf 1 network 10.0.1.0 0.0.0.3 area 0 network 10.0.3.0 0.0.0.3 area 0 o Menonaktifktan Crypto Map yang telah terpasang sebelumnya interface fastethernet 1/0 no crypto map o Menetapkan profil IPSec crypto ipsec profile PROFIL_VPN1 set transform-set VPN_SET1 crypto ipsec profile PROFIL_VPN2
101 set transform-set VPN_SET2 o Memasang profil IPSec ke interface Tunnel GRE interface tunnel 1 tunnel protection ipsec profile PROFIL_VPN1 interface tunnel 2 tunnel protection ipsec profile PROFIL_VPN2 Router kantor cabang (Site3) o Membuat interface Tunnel GRE Gambar 4.19 Konfigurasi Interface Tunnel GRE
102 Gambar 4.20 Memberikan IP ke Tunnel GRE o Memasukkan IP tunnel ke dalam dynamic routing Gambar 4.21 Konfigurasi OSPF Network Router Site3 (2) 4.3.6 Uji Coba GRE + IPSec Untuk melihat apakah konfigurasi GRE dapat menutupi kelemahan IPSec yang telah dijelaskan sebelumnya, dilakukan dua jenis pengujian yang
103 sama dengan uji coba sebelumnya, yaitu uji konektivitas dengan melakukan ping dari user pada site satu menuju ke user pada site lainnya dan uji keamanan dilakukan dengan menggunakan software packet sniffer wireshark. Uji Konektivitas Uji konektivitas dilakukan dengan melakukan tiga kali ping, yaitu: - Dari router User1 menuju ke router User2 - Dari router User1 menuju ke router User3 - Dari router User3 menuju ke User2. Berikut merupakan hasil dari ping yang dilakukan : Gambar 4.22 Ping User1 ke User2 (2) ` Gambar 4.23 Ping User1 ke User3
104 Gambar 4.24 Ping User3 ke User2 Dari hasil uji coba di atas, terlihat setiap user dapat melakukan ping terhadap user yang berada di site lain tanpa ada paket yang hilang. Ini menunjukkan bahwa dengan bantuan interface tunnel GRE telah tercipta konektivitas yang baik antar setiap site. Dengan tunnel GRE, paket dynamic routing juga dapat dikirimkan ke site lain. Hal ini dapat dilihat pada routing table pada setiap router site terhubung dengan routing protocol OSPF seperti yang ditampilkan pada gambar 4.25, 4.26, dan 4.27.
105 Gambar 4.25 Routing Table Site1 (2) Gambar 4.26 Routing Table Site2
106 Gambar 4.27 Routing Table Site3 Dengan adanya dynamic routing, dapat tercipta jalur yang redundan, dimana bila salah satu tunnel mengalami down, koneksi IPSec masih dapat berlanjut melalui tunnel lainnya yang masih aktif. Pada percobaan berikut ini, tunnel1 pada router Site1 akan dinon-aktifkan (Gambar 4.28), sehingga Site1 tidak dapat terhubung secara langsung dengan Site2. Setelah tunnel1 down, router akan segera mengalihkan jalur menuju Site2 melalui tunnel3 yang menuju ke Site3. Routing table Site1 setelah tunnel1 down dapat dilihat pada gambar 4.29.
107 Gambar 4.28 Mematikan Tunnel1 pada Site1 Gambar 4.29 Routing Table Site1 (3) Untuk memastikan jalur redudansi ini, maka digunakan perintah traceroute dari User1 menuju User2 seperti yang dapat dilihat pada gambar berikut : Gambar 4.30 Traceroute User1 ke User2
108 Berdasarkan gambar 4.30, terlihat bahwa pada saat jalur utama Site1 (Tunnel1) mengalami down, Site1 menggunakan jalur alternatif yaitu 10.0.3.0 (Tunnel3) menuju Site3 yang kemudian dilanjutkan ke Site2 melalui 10.0.2.0 (Tunnel2) dan akhirnya mencapai User2 melalui 192.168.2.0 (Site2). Dengan demikian, terbukti bahwa redundansi link telah tercapai. Uji Keamanan Uji keamanan dilakukan dengan menggunakan software wireshark yang dijalankan pada router internet. Uji coba akan dilakukan dengan melakukan telnet dari PC User3 menuju ke router User1 dalam kondisi normal dan telnet dari PC User3 menuju ke router User2 dengan menggunakan jalur redundansi alternatif seperti pada uji coba konektivitas sebelumnya. Berikut merupakan percobaan telnet dari User3 ke User1. Gambar 4.31 Telnet User3 ke User1
109 Gambar 4.32 Tampilan Wireshark (Telnet User3 ke User1) Berikut merupakan percobaan telnet dari User3 ke User2, dengan jalur yang menuju ke User2 (tunnel2) mengalami down. Gambar 4.33 Menonaktifkan Tunnel2
110 Gambar 4.34 Telnet User3 ke User2 Gambar 4.35 Tampilan Wireshark (Telnet User3 ke User2) Berdasarkan dua uji coba di atas, terlihat bahwa paket telnet telah terenkripsi dengan baik dan tidak dapat terbaca oleh packet sniffer. Tidak hanya paket yang tidak terbaca, sumber dan tujuan pengiriman pun juga tersamarkan menjadi IP publik milik masing-masing site, sehingga IP privat yang bersifat internal tidak dapat terbaca.