Certified Network Associate ( MTCNA ) Modul 6 Firewall
Firewall Sebuah layanan keamanan jaringan yang melindungi jaringan Internal dari jaringan Eksternal. Contoh : Internet Berposisi ditengah tengah antara jaringan lokal dan jaringan publik Selain mencegah serangan, firewall mengontrol koneksi data menuju, melewati, dan keluar dari router Firewall di RouterOS di atur dalam tabel Filter dan NAT
Firewall di MikroTik Filter rules NAT ( srcnat dan dstnat ) Mangle Address List Layer 7 Protocol Service Ports Connections ( Hanya melakukan monitoring )
Firewall Filter Ada 3 default chain ( Rantai ) : INPUT ( Paket menuju Router ) OUTPUT ( Paket keluar dari Router) FORWARD ( Paket yang melawati Router )
Firewall Filter Action Setiap rule memiliki action, jika cocok maka ACCEPT. Jika tidak, maka ada di DROP atau REJECT. DROP Dibuang secara diam diam ( Tak ada pemberitahuan ) REJECT Ditolak dengan pesan ICMP Reject Atau Jump/return ke rule yang ditetapkan oleh user
Filter Actions Pilih IP Firewall New Firewall Rule ( + ) Action
Filter Chains Sebaiknya, pada setiap rule kalian berikan Komentar ( comment ) untuk meningkatkan Kemudahan dalam membaca.
Chain: Input Melindungi router itu sendiri Dari jaringan public ( Internet ) dan jaringan lokal
Chain: Input Buat rule chain Input, dengan action ACCEPT pada interface bridge untuk laptop kalian ( src. Address = 192.168.XY.200 ) Buat rule chain Input, dengan action DROP pada interface bridge yang terhubung dengan yang lainnya.
Chain: Input Ubah IP Address laptop kalian ke 192.168.XY.199, DNS dan Gateway ke 192.168.XY.1 Putuskan koneksi dari Router Coba koneksi ke Router ( Tidak Bisa ) Coba koneksi ke Internet ( Tidak Bisa )
Chain: Input Laptop anda menggunakan router untuk melakukan resolving nama domain Connect ke router menggunakan MAC Winbox Tambahkan rule baru, chain Input accept ke interface bridge untuk mengizinkan DNS request ( Port: 53/udp ) Taruh diatas rule Drop yang sebelumnya kita buat Connect ke Internet ( Bisa )
Chain: Input Ubah IP Address laptop anda ke dinamik ( DHCP ) Connect ke Router Hapus atau disable rules yang kalian buat tadi
Chain: Forward Berisi rules yang mengontrol paket data yang akan melewati router Forward mengontrol traffic data antara client dan Internet, serta antara client dan client
Chain: Forward Secara default, traffic antara client- client yang terhubung ke router diizinkan Traffic antara client dan Internet secara default tidak dibatasi
Chain: Forward Tambahkan filter rule Drop Forward untuk port http (80/tcp) Saat mendefinisikan Port tujuan, Protocol harus kalian definisikan juga
Chain: Forward Coba buka web www.mikrotik.com ( Tidak Bisa ) Coba buka WebFig di http://192.168.xy.1 ( Bisa ) WebFig router bisa diakses karena traffic ini menuju router ( Input ), bukan melewati router ( Forward )
Port yang Sering Digunakan
Address List Address list mengizikan untuk membuat Action untuk banyak IP sekaligus Sangat mungkin untuk menambahkan IP ke address list secara otomatis IP bisa ditambahkan secara permanen atau hanya dalam batasan waktu tertentu Address list bisa berisi 1 IP Address, IP Range bahkan seluruh subnet
Address List IP Firewall Address List New Address List (+)
Address List Selain mendefinisikan address di General tab, pindah ke tab Advanced dan pilih address list ( Src. Dan Dst. Sesuai dengan rule ) IP Firewall New Firewall Rule Advanced
Address List Firewall action bisa digunakan untuk menambahkan address ke address list secara otomatis Permanen atau sementara IP Firewall New Firewall Rule (+) Action
Address List Buat address list yang berisi IP yang diziinkan, jangan lupa tambahkan IP laptop kalian Tambahkan Input accept filter rule pada interface bridge untuk Port Winbox saat koneksi dari address yang terdapat di dalam address list yang diizinkan Tambahkan Input drop filter rule untuk orang lain saat koneksi ke Winbox
Firewall Log Setiap rule firewall bisa di log saat rule tersebut cocok Bisa ditambahkan keterangan spesifik untuk memudahkan pencarian record nanti
Firewall Log IP Firewall Edit Firewall Rule Action
Firewall Log Aktifkan Logging pada kedua rule firewall yang kita buat di Address List LAB Connect ke Winbox dengan IP yang diizinkan Disconnect dan ganti IP yang tidak terdaftar di IP yang diizinkan Coba connect router dengan winbox Ganti IP ke awal dan observasi entri log
NAT Network Address Translation ( NAT ) adalah metode yang memodifikasi asal atau tujuan dari suatu paket IP Address Ada 2 tipe NAT yaitu Source NAT dan Destination NAT
NAT NAT biasanya digunakan untuk menyediakan akses ke jaringan eksternal dari client yang menggunakan private IP (src-nat) Mengizinkan akses dari jaringan eksternal ke sumber daya ( contoh: web server ) yang ada di jaringan lokal (dst-nat)
NAT
NAT
NAT Chain srcnat dan dstnat digunakan untuk menjalankan firewall NAT menurut fungsinya Sama dengan filter, bekerja dengan prisip If- Then Dibaca dari atas table
Dst NAT
Dst NAT
Redirect Tipe spesial dari dstnat Action ini akan mengalihkan (Redirect) paket ke router sendiri Salah satu contoh penerapannya adalah membangun transparent proxy ( contoh : HTTP Proxy, DNS )
Redirect
Redirect Buat rule dstnat redirect untuk mengirim semua request dengan port tujuan HTTP (80/tcp) ke router dengan port 80 Coba buka web www.mikrotik.com atau website lain yang menggunakan protokol HTTP Jika sudah, hapus atau disable rule itu
Src NAT Masquerade adalah salah satu tipe spesial dari srcnat
Src NAT Srcnat action src-nat memiliki arti menulis ulang asal IP address atau port asal Contoh: sebuah perusahaan memiliki network 192.168.1.0/24 untuk jaringan lokal mereka. Perusahaan itu menggunakan ISP untuk Internet mereka dengan IP public yang berbeda network LAN. Agar terhubung, network engineer bisa menggunakan srcnat
NAT Helpers Beberapa protokol membutuhkan apa yang disebut NAT Helpers untuk bekerja dengan baik di jaringan NAT d
Connections New Paket membuka koneksi baru Established Paket telah dimiliki oleh koneksi yang ada Related Paket membuka koneksi baru namun masih memiliki relasi dengan koneksi yang ada Invalid Paket tidak dimiliki oleh semua koneksi yang ada ( mengambang di jaringan )
Connections
Connection Tracking Memanage informasi tentang semua koneksi yang aktif Telah diaktifkan pada NAT dan filter Connection state tidak sama dengan TCP state
Connection Tracking
FastTrack Metode untuk mempercepat aliran paket yang melewati router Koneksi establised atau related bisa di tandai sebagai fasttrack connection Bypass firewall, connection tracking, simple queue dan fitur lainnya Saat ini hanya support protokol TCP dan UDP
FastTrack Sumber : http://wiki.mikrotik.com/wiki/manual:wiki/fasttrack
Tentang Penulis Nama : Joshua Renaldo TTL : Jakarta, 5 Juli 1998 Umur : 17 Tahun MTCNA ( 7 April 2016 ) Email : renaldoj06@gmail.com