QoS Dengan Queue Tree

Queue Tree memiliki kemampuan lebih canggih dari Simple Queue. Queue Tree akan membuat satu arah koneksi pada antrian HTB, setelah itu menambahkan antrian pada antarmuka yang ada secara terpisah. Namun sebelum menggunakan Queue Tree kita harus melakukan konfigurasi mangle terlebih dulu di firewall.

Tidak seperti Simple Queue yang menyediakan opsi target download dan upload, di Queue Tree tidak ada pilihan download dan upload. Koneksi upload dapat ditangkap pada antarmuka public dan koneksi download dapat ditangkap pada antarmuka private/local.

Sebelum versi 6, Queue Tree memungkinkan kita memiliki antrian ganda dalam satu antrian seperti memberi prioritas yang berbeda pada traffik global-in dan global-out, atau membatasi traffik download/upload per client pada satu antarmuka. Tapi sejak versi 6 parent global-in dan global-out sudah disatukan diganti dengan parent global saja dan kita masih tetap bisa membatasi traffik download/upload client pada satu antarmuka. Lihat kembali apa yang baru di versi 6.

Sebagai catatan, jika kita menerapkan 2 antrian yaitu Simple Queue dan Queue Tree pada satu HTB maka Simple Queue akan mendapatkan traffik yang pertama kali. Selain itu Queue Tree tidak memiliki urutan, semua traffik akan dilewati secara bersama-sama, tidak seperti Simple Queue yang memiliki aturan urutan yang sangat ketat

Di Queue Tree kita bisa memanfaatkan fitur PCQ (Per Connection Queue) untuk mengenali arah arus. Jika classifier yang digunakan adalah src-address pada private/local interface, maka aliran pcq akan menjadi koneksi upload. Begitu juga dengan dst-address akan menjadi koneksi download.

Bagaimana menggunakan Queue Tree di Mikrotik? Silahkan perhatikan gambar dibawah ini.

1. Pertama-tama lakukan konfigurasi firewall mangle.

• Tandai koneksi yang terjadi di interface private.

/ip firewall mangle add chain=forward action=mark-connection new-connection-mark=client-conn passthrough=yes in-interface=private

• Tandai paket download client.

/ip firewall mangle add chain=postrouting action=mark-packet new-packet-mark=down-client passthrough=yes dst-address=192.168.12.0/24 connection-mark=client-conn

• Tandai paket download client01. Lakukan juga untuk client02, client03, dst

/ip firewall mangle add chain=postrouting action=mark-packet new-packet-mark=down-client-01 passthrough=no dst-address=192.168.12.1 connection-mark=client-conn

• Tandai paket upload client

/ip firewall mangle add chain=prerouting action=mark-packet new-packet-mark=up-client passthrough=yes src-address=192.168.12.0/24 connection-mark=client-conn

• Tandai paket upload client0. Lakukan juga untuk client02, client03, dst

/ip firewall mangle add chain=prerouting action=mark-packet new-packet-mark=up-client-01 passthrough=no src-address=192.168.12.1 connection-mark=client-conn

2. Buat PCQ di Queue Type. 

Mikrotik versi 6.0 ke atas sudah tersedia pengaturan default pcq yang diberi nama pcq-download-default dan pcq-upload-default.

/queue type add name="pcq-upload-default" kind=pcq pcq-rate=0 pcq-limit=50 pcq-classifier=src-address pcq-total-limit=2000 pcq-burst-rate=0 pcq-burst-threshold=0 pcq-burst-time=10s pcq-src-address-mask=32 pcq-dst-address-mask=32 pcq-src-address6-mask=128 pcq-dst-address6-mask=128

/queue type add name="pcq-download-default" kind=pcq pcq-rate=0 pcq-limit=50 pcq-classifier=dst-address pcq-total-limit=2000 pcq-burst-rate=0 pcq-burst-threshold=0 pcq-burst-time=10s pcq-src-address-mask=32 pcq-dst-address-mask=32 pcq-src-address6-mask=128 pcq-dst-address6-mask=128 

3. Kemudian lakukan limitasi untuk masing-masing IP di Queue Tree.

• Parent antrian untuk koneksi download

/queue tree add name="down" parent=private packet-mark=down-client limit-at=1M queue=default priority=8 max-limit=1M burst-limit=0 burst-threshold=0 burst-time=0s

• Child antrian untuk koneksi download client01. Lakukan langkah yang sama untuk client02, client03, dst

/queue tree add name="down-01" parent=down packet-mark=down-client-01 limit-at=128k queue=pcq-download-default priority=8 max-limit=1M burst-limit=0 burst-threshold=0 burst-time=0s

• Parent antrian untuk koneksi upload

/queue tree add name="up" parent=public packet-mark=up-client limit-at=1M queue=pcq-upload-default priority=8 max-limit=1M burst-limit=0 burst-threshold=0 burst-time=0s

• Child antrian untuk koneksi upload client01. Lakukan langkah yang sama untuk client02, client03, dst

/queue tree add name="up-01" parent=up packet-mark=up-client-01 limit-at=128k queue=pcq-upload-default priority=8 max-limit=1M burst-limit=0 burst-threshold=0 burst-time=0s

Sekarang coba lakukan pengujian, seharusnya sekarang setiap client saling berbagi koneksi. Semoga berhasil...

Properti HTB

• parent (Name of, or none): menetapkan antrian ini sebagai child antrian dengan memilih antrian lainnya sebagai parent.
• priority (1..8) : digunakan untuk menentukan prioritas antara satu child antrian dengan child antrian lainnya. Setidaknya kita harus memiliki minimal dua child antrian dan prioritas ini tidak berlaku untuk parent antrian. Nilai 8 adalah prioritas terendah dan 1 adalah prioritas tertinggi. Child antrian dengan prioritas yang lebih tinggi memiliki kesempatan untuk mencapai nilai limit-at lebih dulu sebelum child antrian lainnya dengan prioritas lebih rendah. Begitu juga child antrian dengan prioritas lebih tinggi memiliki kesempatan untuk mencapai nilai max-limit sebelum child antrian dengan prioritas yang lebih rendah.
• queue (SOMETHING) : dipilih untuk menentukan jenis antrian download/upload. Jenis antrian dapat dibuat pada /queue type.
• limit-at (NUMBER) : normal bandwidth yang dijamin untuk target.
• max-limit (NUMBER) : maximal bandwidth yang diizinkan untuk dicapai target.
• burst-limit (NUMBER) : maximal bandwidth yang bisa dicapai target saat burst aktif.
• burst-time (TIME) : periode waktu dalam hitungan detik yang ditentukan berdasarkan nilai rata-rata bandwidth download/upload.
• burst-threshold (NUMBER) : batas burst, ketika rata-rata bandwidth dibawah ini maka burst diizinkan, sebaliknya jika tidak maka ditolak. Untuk burst yang lebih optimal, nilai ini harus diatas nilai limit-at dan dibawah nilai max-limit.

Apa itu Routing? Pengertian Routing dan jenis-jenis Routing 

 Routing digunakan untuk proses pengambilan sebuah paket dari sebuah alat dan mengirimkan melalui network ke alat lain disebuah network yang berbeda. Jika network Anda tidak memiliki router, maka jelas Anda tidak melakukan routing.

Untuk bisa melakukan routing paket, ada hal-hal yang harus diketahui :

• Alamat tujuan

• Router-router tetangga dari mana sebuah router bisa mempelajari tentang network remote

• Route yang mungkin ke semua network remote

• Route terbaik untuk setiap network remote

Router menyimpan routing table yang menggambarkan bagaimana menemukan network-network remote.

Jenis-jenis routing adalah :

• Routing statis

• Routing default

• Routing dinamis

Proses Routing IP

Proses routing IP dapat dijelaskan dengan menggunakan gambar berikut ini :

Default gateway dari host 172.16.10.2 (Host_A)  dikonfigurasi ke 172.16.10.1. Untuk dapat mengirimkan paket ini ke default gateway, harus diketahui dulu alamat hardware dari interface Ethernet 0 dari router (yang dikonfigurasi dengan alamat IP 172.16.10.1 tersebut). Mengapa demikian? Agar paket dapat diserahkan ke layer Data Link, lalu dienkapsulasi menjadi frame, dan dikirimkan ke interface router yang terhubung ke network 172.16.10.0. Host berkomunikasi hanya dengan alamat hardware pada LAN lokal. Penting untuk memahami bahwa Host_A, agar dapat berkomunikasi dengan Host_B, harus mengirimkan paket ke alamat MAC dari default gateway di jaringan lokal.

Routing Statis

Routing statis terjadi jika Admin secara manual menambahkan route-route di routing table dari setiap router.

Routing statis memiliki kentungan-keuntungan berikut:

• Tidak ada overhead (waktu pemrosesan) pada CPU router (router lebih murah dibandingkan dengan routeng dinamis)
• Tidak ada bandwidth yang digunakan di antara router.
• Routing statis menambah keamanan, karena administrator dapat memilih untuk mengisikan akses routing ke jaringan tertentu saja.

Routing statis memiliki kerugian-kerugian berikut:

• Administrasi harus benar-benar memahami internetwork dan bagaimana setiap router  dihubungkan untuk dapat mengkonfigurasikan router dengan benar.
• Jika sebuah network ditambahkan ke internetwork, Administrasi harus menambahkan sebuah route kesemua router—secara manual.
• Routing statis tidak sesuai untuk network-network yang besar karena menjaganya akan menjadi sebuah pekerjaan full-time sendiri.

Routing Default

Routing default digunakan untuk mengirimkan paket-paket secara manual menambahkan router ke sebuah network tujuan yang remote yang tidak ada di routing table, ke router hop berikutnya. Bisanya digunakan pada jaringan yg hanya memiliki satu jalur keluar.

Routing Dinamis

Routing dinamis  adalah ketika routing protocol digunakan untuk menemukan network dan melakukan update routing table pada router. Dan ini lebih mudah daripada menggunakan routing statis dan default, tapi ia akan membedakan Anda dalam hal proses-proses di CPU router dan penggunaan bandwidth dari link jaringan

Routed dan Routing Protocol

Protocol tidak lain deskripsi formal dari set atau rule-rule dan konversi yang menentukan bagaimana device-device dalam sebuah network bertukar informasi. Berikut dua tipe dasar protocol.

Routed protocol

Merupakan protokol-protokol yang dapat dirutekan oleh sebuah router. Routed protocol memungkinkan router untuk secara tepat menginterpretasikan logical network.  Contoh dari routed protocol : IP, IPX, AppleTalk, dan DECnet.

Routing protocol

Protokol-protokol ini digunakan untuk merawat routing table pada router-router. Contoh dari routing protocol diantaranya OSPF, RIP, BGP, IGRP, dan EIGRP

RIP            

Routing Information Protocol.  Distance vector protocol – merawat daftar jarak tempuh ke network-network lain berdasarkan jumlah hop, yakni jumlah router yang harus lalui oleh paket-paket untuk mencapai address tujuan. RIP dibatasi hanya sampai  15 hop. Broadcast di-update dalam setiap 30 detik untuk semua RIP router guna menjaga integritas. RIP cocok dimplementasikan untuk jaringan kecil.

OSPF         

Open  Shortest Path First. Link state protocol—menggunakan kecepatan jaringan berdasarkan metric untuk menetapkan path-path ke jaringan lainnya. Setiap router merawat map sederhana dari keseluruhan jaringan. Update-update dilakukan via multicast, dan dikirim. Jika terjadi perubahan konfigurasi. OSPF cocok untuk jaringan besar.

EIGRP       

Enhanced Interior Gateway Routing Protocol. Distance vector protocol—merawat satu set metric yang kompleks untuk jarak tempuh ke jaringan lainnya. EIGRP menggabungkan juga konsep link state protocol. Broadcast-broadcast di-update setiap 90 detik ke semua EIGRP router berdekatan. Setiap update hanya memasukkan perubahan jaringan. EIGRP sangat cocok untuk jaringan besar.

BGP         

Merupakan distance vector exterior gateway protocol yang bekerja secara cerdas untuk merawat path-path ke jaringan lainnya. Up date-update dikirim melalui koneksi TCP.

Administrasi Distance.

Administrative distance (disingkat AD) digunakan untuk mengukur apa yg disebut ke-dapat-dipercaya-an dari informasi routing yang diterima oleh sebuah router dari router tetangga. AD adalah sebuah bilangan integer 0 – 255, dimana 0 adalah yang paling dapat dipercaya dan 255 berarti tidak akan lalu lintas data yang akan melalui route ini.

Jika kedua router menerima dua update mengenai network remote yang sama, maka hal pertama yang dicek oleh router adalah AD. Jika satu dari route yang di-advertised (diumumkan oleh router lain) memiliki AD yang lebih rendah dari yang lain, maka route dengan AD terendah tersebut akan ditempatkan dirouting table.

Jika kedua route yang di-advertised memiliki AD yang sama, maka yang disebut metric dari routing protocol (misalnya jumlah hop atau bandwidth dari sambungan) akan digunakan untuk menemukan jalur terbaik ke network remote. Kalau masih sama kedua AD dan metric, maka digunakan load-balance (pengimbangan beban).

Tabel berikut memperlihatkan AD yang default yang digunakan oleh sebuah router Cisco untuk memutuskan route mana yang akan ditempuh menuju sebuah jaringan remote.

Sumber route	AD Default
Interface yang terhubung langsung	0
Route statis	1
EIGRP	90
IGRP	100
OSPF	110
RIP	120
External EIGRP	170
Tidak diketahui	255 (tdk pernah digunakan

Routing Protocol

Terdapat tiga klas routing protocol

Distance vector  Protocol distance-vector menemukan  jalur terbaik ke sebuah network remote dengan  menilai jarak. Route dengan jarak hop yang paling sedikit ke network yang dituju, akan ,menjadi route terbaik. Baik RIP dan IGRP adalah routing protocol jenis distance-vector. RIP dan IGRP mengirim semua routing table ke router-router yang terhubung secara lansung.

Link state  Atau disebut juga protocol shortest-path-first, setiap router akan menciptakan tiga buah table terpisah. Satu dari table ini akan mencatat perubahan dari network-network yang terhubung secara langsung, satu table lain menentukan topologi dari keseluruhan internetwork, dan table terakhir digunakan sebagai routing table. OSPF adalah sebuah routing protocol IP yang sepenuhnya link-state. Protocol link-state mengirim update-update yang berisi status dari link mereka sendiri ke semua router lain di network.

Hybrid  Protokol hybrid menggunakan aspek-aspek dari routing protokol jenis distance-vector dan routing protocol jenis link-state--sebagai contoh adalah EIGRP.

Routing Protocol  Jenis distance-Vector

Algoritma routing distance-vector mengirimkan isi routing tabel yg lengkap ke router router tetangga, yg kemudian menggabungkan entri-entri di routing tabel yang diterima tersebut dengan routing tabel yang mereka miliki, untuk melengkapi routing tabel router tersebut.

1. RIP

Routing Information Protocol (RIP) mengirim routing table yang lengkap ke semua interface yang aktif setiap 30 detik. RIP hanya menggunakan jumlah hop untuk menentukan  cara terbaik ke sebuah network remote,  tetapi RIP secara default memiliki sebuah nilai jumlah hop maksimum yg diizinkan, yaitu 15, berarti nilai 16 tidak terjangkau (unreachable). RIP bekerja baik pada jaringan kecil, tetapi RIP tidak efisien pada jaringan besar dengan link WAN atau jaringan yang menggunakan banyak router.

RIP v1 menggunakan clasfull routing, yang berarti semua alat di jaringan harus menggunkan subnet mask yang sama. Ini karena RIP v1 tidak mengirim update dengan informasi subnet mask di dalamnya. RIP v2 menyediakan sesuatu yang disebut prefix routing, dan bisa mengirim informasi subnet mask bersama dengan update-update dari route. Ini disebut classless routing

2. IGRP

Interior Gateway Routing Protocol (IGRP) adalah sebuah routing protocol jenis distance-vector milik cisco (cisco-proprietary). Artinya semua router anda harus router cisco untuk menggunakan IGRP dijaringan anda.

IGRP memiliki jumlah hop maksimum sebanyak 255, denga nilai default 100. Ini membantu kekurangan pada RIP.

3. EIGRP

Enhance Interior Gateway Routing Protocol (EIGRP) adalah sebuah routing protocol

distance-vector milik cisco (cisco-proprietary) yang sudah ditingkatkan, yang memberi suatu keunggulan dibanding IGRP.  Keduanya menggunakan konsep dari sebuah autonomous system untuk menggambarkan kumpulan dari router-router yang contiguous (berentetan, sebelah menyebelah) yang menjalankan routing protocol yang sama dan berbagi informasi routing. Tapi EIGRP memasukkan subnet mask kedalam update route-nya. Sehingga memungkinkan kita menggunakan VLSM dan melakukan perangkuman (summarization) . EIGRP mempunyai sebuah jumlah hop maksimum 255. Berikut fitur EIGRP yang jauh lebih baik dari IGRP

• Mendukung IP, IPX, dan AppleTalk melalui modul-modul yang bersifat protocol dependent
• Pencarian network tetangga yang dilakukan dengan efisien
• Komunikasi melalui Reliable Transport Protocol (RTP)
• Pemilihan jalur terbaik melalui Diffusing update Algoritma (DUAL)

Routing Protocol  Jenis link-state

Open Shortest Path First (OSPF) adalah sebuah protocol standar terbuka yg telah dimplementasikan oleh sejumlah vendor jaringan.  Jika Anda memiliki banyak router, dan tidak semuanya adalah cisco, maka Anda tidak dapat menggunakan EIGRP, jadi pilihan Anda tinggal RIP v1, RIP v2, atau OSPF. Jika itu adalah jaringan besar, maka pilihan Anda satu-satunya hanya OSPF atau sesuatu yg disebut route redistribution-sebuah layanan penerjemah antar-routing protocol.

OSPF bekerja dengan sebuah algoritma yang disebut algoritma Dijkstra. Pertama sebuah pohon jalur terpendek (shortest path tree) akan dibangun, dan kemudian routing table akan diisi dengan jalur-jalur terbaik yg dihasilkan dari pohon tesebut. OSPF hanya mendukung routing IP saja.

Implementasi HTB menggunakan Queue Tree pada RouterOS Mikrotik

 Kali ini saya akan menjelaskan bagaimana HTB bekerja di MikroTik. Implementasi HTB ini menggunakan Queue Tree. Sebagai gambaran awal , coba perhatikan gambar berikut ini :

Gambar diatas adalah simulasi contoh kasus penerapan HTB pada sebuah Warnet dengan Maksimal Bandwidth Download sebesar 384 kbps.
Pada HTB kita harus mengetahui beberapa istilah berikut:
Parent / Inner Queue

• Memiliki setidaknya satu “Child Queue”.
• Bertanggung jawab hanya untuk mendistribusikan trafik.

Child / Leaf Queue

• Tidak memiliki “Child Queue”
• Aktual trafik ada disini
• Tidak akan bisa menerima trafik yang lebih dari yang telah ditentukan pada Parent Queue-nya
• Semua “Child Queue” diperlakukan sama dalam HTB
• Berada pada level paling bawah dalam HTB

Pada gambar diatas , coba sebutkan mana saja parent dan child queue?..hehe
Rate Limit
Setiap queue pada HTB terdapat 2 rate limit :

• CIR – Committed Information Rate
  Pada MikroTik RouterOS dikenal sebagai limit-at atau sering disebut juga garansi bandwidth (trafik akan mencapai angka limit-at ini terlebih dahulu). CIR bekerja pada Parent Queue dan Child Queue
• MIR – Maximal Information Rate
  Pada MikroTik RouterOS dikenal sebagai max-limit, jika ada spare bandwidth yang masih tersedia dari Parent Queue maka akan bisa mencapai batas kecepatan maksimum.

Pada HTB, trafik akan mencapai angka limit-at pada semua Child Queue terlebih dahulu, lalu akan mencapai angka max-limit jika memungkinkan (masih ada spare bandwidth).

- MIR parent harus >= MIR Child Queue (MIR child tidak boleh melebihi MIR parent)

- CIR parent harus >= jumlah total dari semua CIR Child Queue (total CIR child tidak boleh melebihi MIR (max-limit) parent

- Tidak perlu menentukan CIR pada “main parent”

Priority

• Pengaturan priority hanya berjalan pada Child Queue
• angka 8 adalah nilai priority paling rendah
• angka 1 adalah nilai priority paling tinggi
• Priority trafik ini hanya bekerja jika ditentukan nilai limit-at dan max-limit (tidak boleh kosong atau Nol)
• Priority bekerja setelah nilai limit-at tercapai
• Queue dengan priority paling tinggi akan mencapai nilai limit-at dan max-limit lebih duluan.

OK. Sekarang kembali pada kasus diatas, pada gambar ada 2 parent yaitu :

1. ALL-DOWNLOAD (main parent) dengan Child PC-KLIEN-DOWNLOAD dan PC-BILLING-DOWNLOAD

2. PC-KLIEN-DOWNLOAD dengan Child PC-KLIEN-01 dan PC-KLIEN-02

Pada saat semua PC Klien (2 unit) dan PC Billing (1 unit) melakukan proses download maka masing-masing akan mendapatkan jatah bandwidth sesuai dengan nilai limit-at yang sudah ditentukan dan nilai max-limit tidak akan tercapai karena sudah tidak ada spare bandwidth ( 192 + 96 + 96 = 384 kbps )

Semua PC-KLIEN dan PC-BILLING melakukan aktifitas download

Queue Tree semua PC-KLIEN dan PC-BILLING download

Bagaimana jika hanya klien PC-KLIEN-01 (1 unit) saja yang sedang download? maka PC-KLIEN-01 akan mendapat jatah bandwidth 96 kbps + sisa bandwidth spare sehingga menjadi 96 kbps + 288 kbps = 384 kbps, PC-KLIEN-01 bisa mencapai max-limit yang sudah ditentukan

Hanya PC-KLIEN-01 yang sedang download

Queue Tree hanya PC-KLIEN-01 yang sedang download

Bagaimana jika PC-KLIEN-01 (1 unit) dan PC-BILLING (1 unit) saja yang sedang download? jika tidak ditentukan priority- nya maka masing2 akan mendapat jatah bandwidth sesuai nilai limit-at terlebih dulu lalu akan mendapatkan pembagian sisa bandwidth yang tersedia.

Hanya PC-KLIEN-01 dan PC-BILLING yang sedang download tanpa priority

jika priority-nya ditentukan maka yang mendapat priority tinggi akan mencoba mencapai nilai max-limit terlebih dahulu Pada contoh ini , saya kasi nilai priority 3 untuk PC-KLIEN-01 sementara PC-BILLING tetap menggunakan default priority 8 , maka PC-BILLING mendapat jatah bandwidth sesuai limit-at (192 kbps) dan PC-KLIEN-01 akan mendapat jatah bandwidth ( 96+96 = 192 kbps)

Hanya PC-KLIEN-01 dan PC-BILLING yang sedang download dengan priority

Queue Tree hanya PC-KLIEN-01 dan PC-BILLING yang sedang download dengan priority

Sampai disini dulu pembahasan saya mengenai HTB di MikroTik RouterOS, semoga bermanfaat.

DOWNLOAD WINBOX

Download Winbox Mikrotik - Apa itu Winbox? Berikut ini pengertian winbox. Winbox adalah sebuah utility yang digunakan untuk melakukan remote ke server mikrotik dalam mode GUI (Graphical User Interface). Jadi dengan ini anda tidak perlu repot-repot mengetikkan perintah-perintah Mikrotik, hanya tinggal klik saja. 

Jika Mikrotik diinstall pada PC, maka untuk mengkonfigurasi mikrotik dalam text mode melalui PC itu sendiri, sedangkan untuk mode GUI yang menggunakan winbox ini konfigurasi mikrotik melalui komputer client tentu saja dengan download winbox mikrotik dulu.

Mengkonfigurasi mikrotik melaui winbox ini lebih banyak digunakan karena selain penggunaannya yang mudah kita juga tidak harus menghapal perintah-perintah Mikrotik. Semua perintah itu sudah tersedia dalam bentuk Graphical Menu pada Winbox. Jadi tinggal pilih dan klik saja menu apa yang diinginkan. 

Fungsi Winbox

Fungsi utama winbox adalah untuk setting yang ada pada mikrotik, berarti tugas utama winbox adalah untuk menyetting atau mengatur mikrotik dengan GUI, atau tampilan dekstop 

fungsi winbox lebih rinci adalah

1. Setting mikrotik router

2. untuk setting bandwidth jaringan internet

3. untuk setting blokir sebuah situs

4. dan masih banyak yg lainnya.

Untuk mendapatkan winbox, anda bisa download Winbox atau bisa juga mendapatkan winbox dari mikrotik anda.

Caranya buka browser anda, tuliskan di address bar http://ipaddressrouter/winbox/winbox.exe 

Contoh : 

http://192.168.1.10/winbox/winbox.exe

atau Download Winbox Mikrotik disini.

Buka winbox nya maka akan muncul tampilan seperti ini :

Berikut ini adalah contoh tampilan Winbox :

FIREWALL DI MIKROTIK

Apa itu Firewall?

Firewall adalah perangkat yang berfungsi untuk memeriksa dan menentukan paket data yang dapat keluar atau masuk dari sebuah jaringan. Dengan kemampuan tersebut maka firewall berperan dalam melindungi jaringan dari serangan yang berasal dari jaringan luar (outside network). Firewall mengimplementasikan packet filtering dan dengan demikian menyediakan fungsi keamanan yang digunakan untuk mengelola aliran data ke, dari dan melalui router. Sebagai contoh, firewall difungsikan untuk melindungi jaringan lokal (LAN) dari kemungkinan serangan yang datang dari Internet. Selain untuk melindungi jaringan, firewall juga difungsikan untuk melindungi komputer user atau host (host firewall).

Firewall digunakan sebagai sarana untuk mencegah atau meminimalkan risiko keamanan yang melekat dalam menghubungkan ke jaringan lain. Firewall jika dikonfigurasi dengan benar akan memainkan peran penting dalam penyebaran jaringan yang efisien dan infrastrure yang aman . MikroTik RouterOS memiliki implementasi firewall yang sangat kuat dengan fitur termasuk:

• stateful packet inspection
• Layer-7 protocol detection
• peer-to-peer protocols filtering
• traffic classification by:
• source MAC address
• IP addresses (network or list) and address types (broadcast, local, multicast, unicast)
• port or port range
• IP protocols
• protocol options (ICMP type and code fields, TCP flags, IP options and MSS)
• interface the packet arrived from or left through
• internal flow and connection marks
• DSCP byte
• packet content
• rate at which packets arrive and sequence numbers
• packet size
• packet arrival time
• dll

Anda dapat mengakses Firewall Mikrotik via Winbox melalui menu IP --> Firewall

Chain pada Firewall Mikrotik

Firewall beroperasi dengan menggunakan aturan firewall. Setiap aturan terdiri dari dua bagian - matcher yang sesuai arus lalu lintas terhadap kondisi yang diberikan dan tindakan yang mendefinisikan apa yang harus dilakukan dengan paket yang cocok. Aturan firewall filtering dikelompokkan bersama dalam chain. Hal ini memungkinkan paket yang akan dicocokkan terhadap satu kriteria umum dalam satu chain, dan kemudian melewati untuk pengolahan terhadap beberapa kriteria umum lainnya untuk chain yang lain.

Misalnya paket harus cocok dengan alamat IP:port. Tentu saja, itu bisa dicapai dengan menambahkan beberapa rules dengan alamat IP:port yang sesuai menggunakan chain forward, tetapi cara yang lebih baik bisa menambahkan satu rule yang cocok dengan lalu lintas dari alamat IP tertentu, misalnya: filter firewall / ip add src-address = 1.1.1.2/32 jump-target = "mychain".

Ada tiga chain yang telah ditetapkan pada RouterOS Mikrotik :

1. Input - digunakan untuk memproses paket memasuki router melalui salah satu interface dengan alamat IP tujuan yang merupakan salah satu alamat router. Chain input berguna untuk membatasi akses konfigurasi terhadap Router Mikrotik.
2. Forward - digunakan untuk proses paket data yang melewati router.
3. Output - digunakan untuk proses paket data yang berasal dari router dan meninggalkan melalui salah satu interface.

Ketika memproses chain, rule yang diambil dari chain dalam daftar urutan akan dieksekusi dari atas ke bawah. Jika paket cocok dengan kriteria aturan tersebut, maka tindakan tertentu dilakukan di atasnya, dan tidak ada lagi aturan yang diproses dalam chain. Jika paket tidak cocok dengan salah satu rule dalam chain, maka paket itu akan diterima.

Connection State (Status paket data yang melalui router)

• Invalid : paket tidak dimiliki oleh koneksi apapun, tidak berguna.
• New : paket yang merupakan pembuka sebuah koneksi/paket pertama dari sebuah koneksi.
• Established : merupakan paket kelanjutan dari paket dengan status new.
• Related : paket pembuka sebuah koneksi baru, tetapi masih berhubungan denga koneksi sebelumnya.

Action Filter Firewall RouterOS Mikrotik

Pada konfigurasi firewall mikrotik ada beberapa pilihan Action, diantaranya :

• Accept : paket diterima dan tidak melanjutkan membaca baris berikutnya
• Drop : menolak paket secara diam-diam (tidak mengirimkan pesan penolakan ICMP) 
• Reject : menolak paket dan mengirimkan pesan penolakan ICMP
• Jump : melompat ke chain lain yang ditentukan oleh nilai parameter jump-target
• Tarpit : menolak, tetapi tetap menjaga TCP connection yang masuk (membalas dengan SYN/ACK untuk paket TCP SYN yang masuk)
• Passthrough : mengabaikan rule ini dan menuju ke rule selanjutnya
• log : menambahkan informasi paket data ke log

Contoh Pengunaan Firewall pada Router Mikrotik

Katakanlah jaringan pribadi kita adalah 192.168.0.0/24 dan publik (WAN) interface ether1. Kita akan mengatur firewall untuk memungkinkan koneksi ke router itu sendiri hanya dari jaringan lokal kita dan drop sisanya. Juga kita akan memungkinkan protokol ICMP pada interface apapun sehingga siapa pun dapat ping router kita dari internet. Berikut command nya :

/ip firewall filter
add chain=input connection-state=invalid action=drop \
 comment="Drop Invalid connections"  
add chain=input connection-state=established action=accept \
 comment="Allow Established connections"  
add chain=input protocol=icmp action=accept \
 comment="Allow ICMP" 
add chain=input src-address=192.168.0.0/24 action=accept \
 in-interface=!ether1 
add chain=input action=drop comment="Drop semuanya"  

Cukup sekian dulu belajar mikrotik tentang Dasar Firewall Mikrotik. Untuk penjelasan firewall mikrotik yang lebih mendalam akan dibahas pada artikel selanjutnya. Terima kasih, semoga artikel ini bermanfaat :)