Penggunaan Custom Chain Pada Firewall MikroTik
Content
Penggunaan Custom Chain pada Firewall MikroTik Pada RouterOS MikroTik terdapat sebuah fitur yang disebut dengan ' Firewall'. Firewall'. Fitur ini biasanya banyak NAT ), ), dan juga untuk menandai digunakan untuk melakukan filtering akses (Filter Rule), Rule), Forwarding ( NAT koneksi maupun paket dari trafik data yang meleati router !Mangle ! Mangle". ". Supaya fungsi dari fitur fireall i ni dapat berjalan dengan baik, kita harus menambahkan rule#rule yang sesuai. Terdapat Terdapat sebuah parameter utama pada rule di fitur fireall ini yaitu 'Chain ' Chain'. '. Parameter ini memiliki kegunaan untuk menetukan jenis trafik yang akan di#manage pada fitur fireall dan setiap fungsi pada fireall seperti Filter Rule, Rule, NAT, NAT, Mangle memiliki Mangle memiliki opsi $hain yang berbeda. Pengisian parameter $hain pada dasarnya menga$u pada skema ' Traffic Flow ' dari Router. %adi kita harus manage menggunakan fireall. $hain bisa mengenali terlebih dahulu jenis trafik yang akan kita manage menggunakan dianaloginkan sebagai tempat admin men$egat sebuah trafik, kemudian melakukan fire alling sesuai kebutuhan.
FILTER RULES
Filter rule biasanya digunakan untuk melakukan kebijakan boleh atau tidaknya sebuah trafik ada dalam Rules terdapat & ma$am $hain jaringan, identik dengan a$$ept a$$ept atau drop. Pada menu Firewall Filter Rules terdapat yang tersedia. hain tersebut antara lain adalah Forward , Input , Output . (dapun fungsi dari masing# masing $hain tersebut adalah sebagai berikut) →
# Forward ) Forward ) *igunakan untuk memproses trafik paket data yang hanya meleati router. router. Misalnya trafik dari jaringan publi$ ke lo$al atau sebaliknya dari jaringan lo$al ke publi$, $ontoh kasus seperti pada saat kita melakukan brosing. Trafik Trafik laptop brosing ke internet dapat dimanage oleh fireall dengan menggunakan $hain forard. # Input ) Input ) *igunakan untuk memproses trafik paket data yang masuk ke dalam router melalui interfa$e yang ada di router dan memiliki tujuan +P (ddress berupa ip yang terdapat pada router. router. %enis trafik ini bisa berasal dari jaringan publi$ maupun dari dari jaringan lokal dengan tujuan router itu sendiri. ontoh) Mengakses router menggunakan inbo, ebfig, telnet baik dari Publi$ maupun -o$al. # Output ) Output )
*igunakan untuk memproses trafik paket data yang keluar dari router. *engan kata lain merupakan kebalikan dari '+nput'. %adi trafik yang berasal dari dalam router itu sendiri dengan tujuan jaringan Publi$ maupun jaringan -o$al.Misal dari ne terminal inbo, kita ping ke ip google. Maka trafik ini bisa ditangkap di$hain output.
NAT (Network Address Translation)
Pada menu Firewall NAT terdapat ma$am opsi $hain yang tersedia, yaitu dst-nat dan src-nat . *an fungsi dari /(T sendiri adalah untuk melakukan pengubahan Source Address maupun Destination Address. 0emudian fungsi dari masing#masing $hain tersebut adalah sebagai berikut) →
# dstnat ) Memiliki fungsi untuk mengubah destination address pada sebuah paket data. 1iasa digunakan untuk membuat host dalam jaringan lokal dapat diakses dari luar jaringan !internet" dengan $ara /(T akan mengganti alamat +P tujuan paket dengan alamat + P lokal. %adi kesimpulan fungsi dari $hain ini adalah untuk mengubah2mengganti +P (ddress tujuan pada sebuah paket data. # srcnat ) Memiliki fungsi untuk mengubah sour$e address dari sebuah paket data. Sebagai $ontoh kasus fungsi dari $hain ini banyak digunakan ketika kita melakukan akses ebsite dari jaringan -(/. Se$ara aturan untuk +P (ddress lo$al tidak diperbolehkan untuk masuk ke jaringan 3(/, maka diperlukan konfigurasi 'sr$nat' ini. Sehingga +P (ddress lokal akan disembunyikan dan diganti dengan +P (ddress publi$ yang terpasang pada router.
MANGLE
Pada menu Firewall Mangle terdapat 4 ma$am pilihan untuk $hain, yaitu Forward , Input , Output , Prerouting, dan Postrouting. Mangle sendiri memiliki fungsi untuk menandai sebuah koneksi atau paket data, yang meleati route, masuk ke router, ataupun yang keluar dari router. Pada implementasinya Mangle sering dikombinasikan dengan fitur lain seperti Management Bandwith, Routing policy , dll. (dapun fungsi dari masing#masing $hain yang ada pada mangle adalah sebagai berikut) →
# Forward, Input, Output ) 5ntuk penjelasan mengenai Forard, +nput, dan Output sebenarnya tidak jauh berbeda dengan apa yang telah diuraikan pada Filter rules diatas. /amun pada Mangle, semua jenis trafik paket data forard, input, dan output bisa ditandai berdasarkan koneksi atau paket atau paket data. # Prerouting ) Merupakan sebuah koneksi yang akan masuk kedalam router dan meleati router. 1erbeda dengan input yang mana hanya akan menangkap trafik yang masuk ke router. Trafik yang meleat router dan trafik yang masuk kedalam router dapat ditangkap di $hain prerouting. # Postrouting ) 0ebalikan dari prerouting, postrouting merupakan koneksi yang akan keluar dari router, baik untuk trafik yang meleati router ataupun yang keluar dari router.
CUSTM C!AIN /ah, selain jenis $hain yang telah diuraikan diatas, sebenarnya ada jenis $hain yang lain dimana kita bisa menambahkan atau menentukan sendiri nama dari $hain tersebut selain dari forard, input, output dll. /ama $hain tersebut dapat kita tentukan sendiri, namun pada prinsipnya tetap mnega$u pada $hain utama yang tersedia di Fireall. 1iasanya $ustom $hain digunakan untuk menghemat resour$e router dan mempermudah admin jaringan dalam memba$a rule fireall. 1y default router akan memba$a rule fireall se$ara berurutan sesuai nomor urut rule fireall. /amun dengan fitur jump ini, admin jaringan dapat menentukan pemba$aan rule fireall yang lebih efisien. 5ntuk membuat custom chain tersebut kita memerlukan sebuah 'A"tion' yaitu #u$%. %ump sendiri berfungsi untuk melompat ke $hain lain yang telah didefiniskan pada paramater jump-target . Sehingga kita bisa menempatkan rule dari custom chain yang telah kita buat pada urutan paling baah. +ni
add add add add add
$hain96irus $hain96irus $hain96irus $hain96irus $hain96irus
proto$ol9t$p proto$ol9t$p proto$ol9t$p proto$ol9t$p proto$ol9t$p
dst#port9:==>= dst#port9:&4; dst#port9:@&== dst#port9@&@4 dst#port9?;;=?
a$tion9drop a$tion9drop a$tion9drop a$tion9drop a$tion9drop
0emudian apabila kita telah selesai mengisikan parameter#parameter diatas maka akan tampil pada list fireall filter sebagai berikut.
%ika kita melihat list tersebut, letak rule jump berada pada urutan nomer !sedangkan $hain 6irus berada pada urutan paling baah. /ah, ketika ada trafik paket data akan yang meleati router !forard" maka akan diperiksa dengan rule#rule fireall filter. *an saat proses pemeriksaan sampai di rule nomer , maka akan di#jump !lompat" ke $hain 6irus diurutan nomor >. (pabila paket data tersebut mengandung 6irus dengan protokol dan port yang telah didefinisikan pada rule $hain 6irus maka paket data tersebut akan di drop. /amun, apabila tidak mengandung 6irus, maka pe meriksaan akan dikembalikan ke atas dengan melanjutkan pemeriksaan di rule berikutnya.
FILTER RULES
Filter rule biasanya digunakan untuk melakukan kebijakan boleh atau tidaknya sebuah trafik ada dalam Rules terdapat & ma$am $hain jaringan, identik dengan a$$ept a$$ept atau drop. Pada menu Firewall Filter Rules terdapat yang tersedia. hain tersebut antara lain adalah Forward , Input , Output . (dapun fungsi dari masing# masing $hain tersebut adalah sebagai berikut) →
# Forward ) Forward ) *igunakan untuk memproses trafik paket data yang hanya meleati router. router. Misalnya trafik dari jaringan publi$ ke lo$al atau sebaliknya dari jaringan lo$al ke publi$, $ontoh kasus seperti pada saat kita melakukan brosing. Trafik Trafik laptop brosing ke internet dapat dimanage oleh fireall dengan menggunakan $hain forard. # Input ) Input ) *igunakan untuk memproses trafik paket data yang masuk ke dalam router melalui interfa$e yang ada di router dan memiliki tujuan +P (ddress berupa ip yang terdapat pada router. router. %enis trafik ini bisa berasal dari jaringan publi$ maupun dari dari jaringan lokal dengan tujuan router itu sendiri. ontoh) Mengakses router menggunakan inbo, ebfig, telnet baik dari Publi$ maupun -o$al. # Output ) Output )
*igunakan untuk memproses trafik paket data yang keluar dari router. *engan kata lain merupakan kebalikan dari '+nput'. %adi trafik yang berasal dari dalam router itu sendiri dengan tujuan jaringan Publi$ maupun jaringan -o$al.Misal dari ne terminal inbo, kita ping ke ip google. Maka trafik ini bisa ditangkap di$hain output.
NAT (Network Address Translation)
Pada menu Firewall NAT terdapat ma$am opsi $hain yang tersedia, yaitu dst-nat dan src-nat . *an fungsi dari /(T sendiri adalah untuk melakukan pengubahan Source Address maupun Destination Address. 0emudian fungsi dari masing#masing $hain tersebut adalah sebagai berikut) →
# dstnat ) Memiliki fungsi untuk mengubah destination address pada sebuah paket data. 1iasa digunakan untuk membuat host dalam jaringan lokal dapat diakses dari luar jaringan !internet" dengan $ara /(T akan mengganti alamat +P tujuan paket dengan alamat + P lokal. %adi kesimpulan fungsi dari $hain ini adalah untuk mengubah2mengganti +P (ddress tujuan pada sebuah paket data. # srcnat ) Memiliki fungsi untuk mengubah sour$e address dari sebuah paket data. Sebagai $ontoh kasus fungsi dari $hain ini banyak digunakan ketika kita melakukan akses ebsite dari jaringan -(/. Se$ara aturan untuk +P (ddress lo$al tidak diperbolehkan untuk masuk ke jaringan 3(/, maka diperlukan konfigurasi 'sr$nat' ini. Sehingga +P (ddress lokal akan disembunyikan dan diganti dengan +P (ddress publi$ yang terpasang pada router.
MANGLE
Pada menu Firewall Mangle terdapat 4 ma$am pilihan untuk $hain, yaitu Forward , Input , Output , Prerouting, dan Postrouting. Mangle sendiri memiliki fungsi untuk menandai sebuah koneksi atau paket data, yang meleati route, masuk ke router, ataupun yang keluar dari router. Pada implementasinya Mangle sering dikombinasikan dengan fitur lain seperti Management Bandwith, Routing policy , dll. (dapun fungsi dari masing#masing $hain yang ada pada mangle adalah sebagai berikut) →
# Forward, Input, Output ) 5ntuk penjelasan mengenai Forard, +nput, dan Output sebenarnya tidak jauh berbeda dengan apa yang telah diuraikan pada Filter rules diatas. /amun pada Mangle, semua jenis trafik paket data forard, input, dan output bisa ditandai berdasarkan koneksi atau paket atau paket data. # Prerouting ) Merupakan sebuah koneksi yang akan masuk kedalam router dan meleati router. 1erbeda dengan input yang mana hanya akan menangkap trafik yang masuk ke router. Trafik yang meleat router dan trafik yang masuk kedalam router dapat ditangkap di $hain prerouting. # Postrouting ) 0ebalikan dari prerouting, postrouting merupakan koneksi yang akan keluar dari router, baik untuk trafik yang meleati router ataupun yang keluar dari router.
CUSTM C!AIN /ah, selain jenis $hain yang telah diuraikan diatas, sebenarnya ada jenis $hain yang lain dimana kita bisa menambahkan atau menentukan sendiri nama dari $hain tersebut selain dari forard, input, output dll. /ama $hain tersebut dapat kita tentukan sendiri, namun pada prinsipnya tetap mnega$u pada $hain utama yang tersedia di Fireall. 1iasanya $ustom $hain digunakan untuk menghemat resour$e router dan mempermudah admin jaringan dalam memba$a rule fireall. 1y default router akan memba$a rule fireall se$ara berurutan sesuai nomor urut rule fireall. /amun dengan fitur jump ini, admin jaringan dapat menentukan pemba$aan rule fireall yang lebih efisien. 5ntuk membuat custom chain tersebut kita memerlukan sebuah 'A"tion' yaitu #u$%. %ump sendiri berfungsi untuk melompat ke $hain lain yang telah didefiniskan pada paramater jump-target . Sehingga kita bisa menempatkan rule dari custom chain yang telah kita buat pada urutan paling baah. +ni
add add add add add
$hain96irus $hain96irus $hain96irus $hain96irus $hain96irus
proto$ol9t$p proto$ol9t$p proto$ol9t$p proto$ol9t$p proto$ol9t$p
dst#port9:==>= dst#port9:&4; dst#port9:@&== dst#port9@&@4 dst#port9?;;=?
a$tion9drop a$tion9drop a$tion9drop a$tion9drop a$tion9drop
0emudian apabila kita telah selesai mengisikan parameter#parameter diatas maka akan tampil pada list fireall filter sebagai berikut.
%ika kita melihat list tersebut, letak rule jump berada pada urutan nomer !sedangkan $hain 6irus berada pada urutan paling baah. /ah, ketika ada trafik paket data akan yang meleati router !forard" maka akan diperiksa dengan rule#rule fireall filter. *an saat proses pemeriksaan sampai di rule nomer , maka akan di#jump !lompat" ke $hain 6irus diurutan nomor >. (pabila paket data tersebut mengandung 6irus dengan protokol dan port yang telah didefinisikan pada rule $hain 6irus maka paket data tersebut akan di drop. /amun, apabila tidak mengandung 6irus, maka pe meriksaan akan dikembalikan ke atas dengan melanjutkan pemeriksaan di rule berikutnya.
