WIKI TKJ

Cisco : Praktikum Uji ACL dan Diagnosa Paket yang Terbuang

ACL sudah kamu tulis di artikel pagi. Sekarang pertanyaannya berubah: apakah aturan itu benar-benar dibaca router, di pintu yang benar, pada arah yang benar? Halaman ini bukan lab menulis ACL, tapi lab membuktikan ACL bekerja, lalu sengaja merusaknya satu per satu untuk melihat gejala dan bukti yang ditinggalkan.

🎯 Tujuan

Setelah mengikuti lab ini, kamu bisa:

  • membuktikan ACL menempel di interface dan arah yang benar lewat perintah, bukan dugaan;
  • membedakan tiga kegagalan yang gejalanya sama: salah pintu, salah arah, dan aturan tertutup;
  • membaca counter sebagai bukti lapis mana yang membuang paket;
  • menjelaskan kenapa ACL di interface fisik tidak berlaku untuk subinterface;
  • memulihkan diri saat ACL di jalur login mengunci akses SSH.

📍 Konteks nyata

Bayangkan sekolah memasang pos satpam untuk menyaring tamu di pintu laboratorium. Daftar tamunya sudah rapi, lengkap dengan nama yang dilarang.

Tapi satpam itu ternyata berdiri di pintu kantin, bukan di pintu lab. Semua orang melihat "sudah ada pos", daftar tamu "sudah dipasang", dan laporan pun ditulis "sudah aman". Kenyataannya tidak ada satu pun tamu yang diperiksa.

  • 🔥 Kasus nyata: sebuah SMK ingin memblokir lab siswa agar tidak bisa membuka server nilai. Guru menempelkan ACL di G0/0, interface fisik router. Padahal kabel ke switch adalah trunk dan semua trafik lewat G0/0.10 serta G0/0.20. Selama tiga hari siswa tetap bisa membuka server, dan tim menuduh ACL "tidak berfungsi di Packet Tracer". Penyebab sebenarnya ketahuan dalam 30 detik: show ip interface g0/0.10 menjawab Inbound access list is not set.

🧠 Konsep singkat

🔹 Lima lapis yang harus dibuktikan berurutan

Satu ACL yang "tidak bekerja" bisa gagal di lima tempat berbeda. Periksa dari bawah ke atas, dan berhenti di lapis pertama yang gagal.

Lapis Pertanyaan Alat bukti
1. Jalur apakah interface dan subinterface benar-benar up? show ip interface brief
2. Penempatan ACL menempel di interface dan arah yang kamu maksud? show ip interface g0/0.10
3. Isi aturan baris yang kamu andalkan tidak tertutup baris di atasnya? show access-lists
4. Eksekusi counter baris itu naik saat kamu menguji? clear ip access-list counters lalu uji ulang
5. Jalur balik paket yang lolos masih punya jalan pulang? ping dua arah, tabel routing
  • 💡 Tips: kalau kamu melompat langsung ke lapis 5, kamu akan menghabiskan sejam memeriksa routing untuk masalah yang sebenarnya ada di lapis 2.

🔹 Tiga fakta yang menyelamatkan waktu diagnosis

  • Counter hanya menghitung baris yang dieksekusi. Penolakan otomatis di akhir daftar (implicit deny) tidak punya angka. Karena itu Cisco menyarankan menulis deny ip any any eksplisit saat mendiagnosis: hanya penolakan eksplisit yang bisa kamu hitung.
  • ACL kosong yang ditempel mengizinkan semua trafik. Interface dengan daftar kosong bersikap seperti tidak ada daftar. Jadi "sudah dipasang" belum berarti "sedang menyaring".
  • Satu interface hanya punya satu ACL per protokol per arah. Memasang ACL kedua menimpa yang pertama tanpa peringatan, bukan menggabungkannya.

🔹 Kenapa subinterface berbeda dari interface fisik

ACL menempel pada titik pemeriksaan, bukan pada kabel. Interface fisik G0/0 dan subinterface G0/0.10 adalah dua titik pemeriksaan yang berbeda.

Artinya sederhana: ACL di G0/0 tidak diwarisi oleh G0/0.10. Kalau trafik masuk lewat subinterface, ACL di interface fisik tidak pernah membaca satu paket pun.

  • 🧪 Uji cepat: show ip interface g0/0 dan show ip interface g0/0.10. Bandingkan baris Inbound access list. Kalau yang berisi hanya interface fisik sementara trafik lewat subinterface, kamu sudah menemukan penyebabnya.

🔹 Arah menentukan siapa yang diperiksa

ACL masuk (in) diperiksa sebelum router membaca tabel routing. ACL keluar (out) diperiksa setelah paket dirutekan, tepat sebelum dikirim.

Konsekuensi praktisnya: ACL in di interface siswa menyaring permintaan siswa. ACL out di interface yang sama menyaring balasan yang menuju siswa. Dua-duanya bisa membuat siswa "tidak bisa membuka server", tapi yang dibuang berbeda paket.

  • ⚠️ Hati-hati: gejala di layar siswa tidak bisa membedakan kedua kasus itu. Yang bisa membedakan hanya lokasi counter yang naik dan baris Inbound/Outbound access list di show ip interface.

🧩 Istilah penting

Istilah Arti singkat
Bukti berlapis memeriksa dari link, penempatan, aturan, counter, lalu jalur balik
Shadowed rule aturan yang tidak pernah dibaca karena didahului aturan yang cocok
Implicit deny penolakan otomatis di akhir daftar, tanpa angka counter
Access group perintah menempelkan ACL ke interface
Access class perintah menempelkan ACL ke jalur login (vty)
Sequence number nomor urut baris ACL bernama, jarak bawaan 10
Resequence menata ulang nomor urut agar ada celah untuk menyisipkan aturan
Established kata kunci yang cocok dengan balasan TCP ber-flag ACK atau RST
Fragment pecahan paket; hanya pecahan pertama membawa info port
Lockout terkunci di luar perangkat karena aturan login terlalu ketat
Baseline catatan hasil uji sebelum perubahan, sebagai pembanding

🔧 Praktik: Lab ACL dan Pembuktian Paket

Lab ini memakai alamat yang sama dengan artikel pagi, supaya kamu bisa melanjutkan. Bedanya, topologi dipindah ke trunk dengan dua subinterface. Alasannya bukan gaya-gayaan: justru di sinilah jebakan paling sering terjadi.

Perangkat Interface Alamat Peran
R1 G0/0.10 192.168.10.1/24 gateway VLAN 10, juga DHCP server
R1 G0/0.20 192.168.20.1/24 gateway VLAN 20
SW1 Fa0/1 trunk jalur ke router, allowed VLAN 10,20
PC-SISWA Fa0/2 192.168.10.10/24 siswa yang diuji
PC-GURU Fa0/3 192.168.10.20/24 pembanding, harus tetap bisa
Server-PT Fa0/4 192.168.20.10/24 layanan HTTP
PC-TAMU Fa0/5 DHCP klien untuk uji DHCP

🔹 Langkah 1: bangun jalur, bukan langsung menyaring

  1. Buat VLAN dan port access di SW1, lalu jadikan Fa0/1 sebagai trunk.
enable
configure terminal
vlan 10
 name SISWA
vlan 20
 name SERVER
exit
interface range fa0/2-3
 switchport mode access
 switchport access vlan 10
interface fa0/4
 switchport mode access
 switchport access vlan 20
interface fa0/5
 switchport mode access
 switchport access vlan 10
interface fa0/1
 switchport mode trunk
 switchport trunk allowed vlan 10,20
end
  1. Di R1, nyalakan interface fisik dan buat dua subinterface. Interface fisik tidak diberi alamat IP.
enable
configure terminal
interface g0/0
 no shutdown
interface g0/0.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0
interface g0/0.20
 encapsulation dot1Q 20
 ip address 192.168.20.1 255.255.255.0
end
  1. Nyalakan DHCP kecil di R1 untuk VLAN 10, agar uji implicit deny nanti punya korban.
configure terminal
ip dhcp excluded-address 192.168.10.1 192.168.10.99
ip dhcp pool VLAN10
 network 192.168.10.0 255.255.255.0
 default-router 192.168.10.1
 dns-server 192.168.20.10
end
  1. Nyalakan layanan HTTP di Server-PT, lalu set PC-TAMU ke DHCP.
  • 💡 Tips: jangan menulis satu aturan ACL pun sebelum langkah ini selesai dan terbukti. ACL yang ditumpuk di atas jalur yang belum jalan menghasilkan gejala campur aduk yang sulit dibaca.

🔹 Langkah 2: rekam baseline lima baris

Jalankan berurutan dan catat hasilnya di buku lab. Baseline ini yang nanti kamu bandingkan. 

show ip interface brief
show ip interface g0/0.10
show ip dhcp binding
show access-lists
show running-config | section interface

Dari PC-SISWA uji ping 192.168.20.10 dan buka http://192.168.20.10. Lakukan hal yang sama dari PC-GURU. Semua harus berhasil, dan baris Inbound access list harus berbunyi not set.

  • 📊 Angka penting: tanpa baseline, kamu tidak punya pembanding. "Tadi bisa" bukan bukti yang bisa ditunjukkan saat ujian praktik.

🔹 Langkah 3: pasang satu ACL yang benar

Skenario: semua siswa boleh membuka web server, tapi PC-SISWA tidak boleh menyentuh layanan lain di ruang server. Pasang di subinterface siswa, arah masuk. 

configure terminal
ip access-list extended LAB-SISWA
 remark 2026-10-29 uji ACL lab
 10 permit tcp 192.168.10.0 0.0.0.255 host 192.168.20.10 eq 80
 20 deny ip host 192.168.10.10 192.168.20.0 0.0.0.255
 30 permit ip any any
 exit
interface g0/0.10
 ip access-group LAB-SISWA in
end

Urutannya penting: baris 10 membuka web untuk semua siswa, baris 20 menutup sisa akses PC-SISWA ke ruang server, baris 30 menjaga trafik lain tetap jalan.

🔹 Langkah 4: uji dengan satu aksi satu bukti

clear ip access-list counters
  1. Dari PC-SISWA: ping 192.168.20.10 lalu buka web server.
  2. Dari PC-GURU: ping 192.168.20.10.
  3. Baca show access-lists LAB-SISWA dan cocokkan: baris 10 naik karena web, baris 20 naik karena ping siswa, baris 30 naik karena trafik guru.

Kalau ketiga angka itu sesuai, ACL-mu benar dan kamu punya bukti. Simpan tangkapan layarnya.

🔹 Uji A: ACL di interface fisik, trafik lewat subinterface

Yang diubah: pindahkan ACL ke G0/0 arah masuk, lalu hapus dari G0/0.10. 

configure terminal
interface g0/0.10
 no ip access-group LAB-SISWA in
interface g0/0
 ip access-group LAB-SISWA in
end
  • Gejala: siswa tetap bisa ping dan membuka apa pun ke ruang server. Tidak ada perubahan sama sekali.
  • Bukti: show ip interface g0/0.10 menampilkan Inbound access list is not set, sementara show ip interface g0/0 menampilkan nama ACL-mu. Counter semua baris tetap 0.
  • Arti: ACL sehat, hanya berdiri di pintu yang salah. Ini kegagalan lapis 2, bukan lapis 4.

🔹 Uji B: arah terbalik, gejala mirip, mekanisme beda

Yang diubah: pasang ACL yang sama di G0/0.10 tapi arah out. 

configure terminal
interface g0/0
 no ip access-group LAB-SISWA in
interface g0/0.10
 ip access-group LAB-SISWA out
end
  • Gejala: dari sisi siswa terlihat sama seperti "diblokir": ping gagal, web lambat lalu gagal.
  • Bukti: baris 20 tetap naik, tapi yang dihitung adalah paket balasan menuju siswa. Permintaan siswa sendiri lolos ke server.
  • Arti: kamu tidak memblokir siswa, kamu memblokir jawaban untuk siswa. Dua kebijakan yang sangat berbeda, gejala yang hampir identik.
  • ⚠️ Hati-hati: jangan pernah menyimpulkan "ACL berhasil" hanya dari sisi pengguna. Baca arah yang terpasang dan lokasi counter yang naik.

🔹 Uji C: aturan yang tidak pernah dibaca

Yang diubah: tambahkan permit ip any any di nomor 5, di atas aturan blokir. 

configure terminal
ip access-list extended LAB-SISWA
 5 permit ip any any
 exit
end
show access-lists LAB-SISWA
  • Gejala: siswa bebas kembali, seolah ACL hilang.
  • Bukti: baris 5 naik terus, baris 10 dan 20 berhenti di angka lama.
  • Arti: aturan di bawah baris serba-boleh tidak pernah dieksekusi. Ini shadowed rule, bukan bug.

Perbaikan yang rapi: hapus baris 5, lalu susun ulang nomor dengan ip access-list resequence LAB-SISWA 10 10 agar ada celah untuk menyisipkan aturan baru.

🔹 Uji D: wildcard ditulis sebagai subnet mask

Yang diubah: ganti baris 20 memakai 255.255.255.0. 

configure terminal
ip access-list extended LAB-SISWA
 no 20
 20 deny ip 192.168.10.0 255.255.255.0 192.168.20.0 0.0.0.255
 exit
end
  • Gejala: perintah diterima tanpa peringatan, tapi PC-SISWA kembali bebas.
  • Bukti: show access-lists menampilkan wildcard bits 255.255.255.0. Pola itu hanya cocok untuk alamat yang oktet terakhirnya 0, yaitu 192.168.10.0, yang bukan alamat PC mana pun.
  • Arti: wildcard 1 berarti bebas, 0 berarti wajib sama. Nilai yang benar adalah 0.0.0.255, hasil 255.255.255.255 dikurangi mask.

🔹 Uji E: implicit deny mematikan DHCP

Yang diubah: ganti isi ACL menjadi hanya web dan ping, tanpa aturan DHCP. 

configure terminal
ip access-list extended LAB-SISWA
 no 10
 no 20
 no 30
 10 permit tcp 192.168.10.0 0.0.0.255 host 192.168.20.10 eq 80
 20 permit icmp 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
 30 deny ip any any
 exit
end
  1. Di PC-TAMU jalankan ipconfig /release lalu ipconfig /renew.
  2. Amati: alamat tidak kembali, dan PC-TAMU berakhir dengan alamat 169.254.x.x.
  • Bukti: show ip dhcp binding tidak bertambah untuk MAC PC-TAMU, dan counter baris 30 melonjak tepat saat renew.
  • Arti: permintaan DHCP punya asal 0.0.0.0 dan tujuan siaran 255.255.255.255, port 68 ke 67. Aturan "izinkan 192.168.10.0" tidak pernah cocok dengan asal 0.0.0.0.

Perbaikannya satu baris: permit udp any eq 68 any eq 67 di atas baris penolak.

  • 📊 Angka penting: permit udp any eq bootpc any eq bootps sama artinya dengan port 68 ke 67. Arah port mengikuti arah paket, bukan arah layanan.

🔹 Uji F: balasan ikut dibuang di sisi server

Yang diubah: pasang ACL di interface server, hanya mengizinkan permintaan web masuk. 

configure terminal
ip access-list extended SERVER-IN
 10 permit tcp any host 192.168.20.10 eq 80
 20 deny ip any any
 exit
interface g0/0.20
 ip access-group SERVER-IN in
end
  • Gejala: browser berputar lama lalu gagal, padahal halaman web di server hidup dan tidak ada error di server.
  • Bukti: baris 10 naik (permintaan masuk), baris 20 juga naik (balasan dibuang). Balasan berasal dari port 80 menuju port acak di PC, jadi tujuan portnya bukan 80 dan tidak cocok baris 10.
  • Arti: ACL memeriksa header paket apa adanya. Balasan bukan permintaan, jadi aturan "tujuan port 80" tidak berlaku untuknya.

Dua perbaikan yang sah: tambahkan permit tcp host 192.168.20.10 eq 80 any, atau pakai permit tcp any any established untuk balasan TCP. Yang kedua lebih ringkas, tapi hanya untuk TCP.

🔹 Uji G: ACL kedua menimpa, bukan menambah

Yang diubah: pasang ACL lain di arah yang sama. 

configure terminal
ip access-list extended UJI-TIMPA
 10 permit icmp any any
 exit
interface g0/0.10
 ip access-group UJI-TIMPA in
end
show ip interface g0/0.10
  • Gejala: aturan web dan blokir tadi lenyap, siswa sekarang hanya bisa ping.
  • Bukti: show ip interface g0/0.10 hanya menyebut UJI-TIMPA. LAB-SISWA masih ada di konfigurasi, tapi tidak menempel di mana pun.
  • Arti: satu interface, satu ACL per protokol per arah. Menempelkan yang baru adalah mengganti, bukan menumpuk.
  • 💡 Tips: biasakan menaruh semua aturan dalam satu ACL bernama per interface. Kalau butuh logika berbeda, pakai subinterface atau interface lain, bukan ACL kedua di titik yang sama.

🔹 Uji H: mengunci diri sendiri lewat vty

Yang diubah: batasi SSH hanya dari subnet yang salah. Lakukan di lab, jangan di perangkat produksi. 

reload in 5
configure terminal
access-list 20 permit 192.168.30.0 0.0.0.255
access-list 20 deny any
line vty 0 4
 access-class 20 in
end
  • Gejala: sesi SSH yang sedang terbuka tetap hidup, tapi koneksi baru dari PC-SISWA langsung ditolak.
  • Bukti: counter baris deny any naik setiap kali kamu mencoba login. show running-config | section line vty menunjukkan access-class 20 in.
  • Arti: access-class mengatur siapa yang boleh masuk jalur login, berbeda dari access-group yang mengatur trafik lewat interface.

Penyelamat: perintah reload in 5 di awal. Kalau kamu terkunci, router akan restart sendiri dan konfigurasi yang belum disimpan hilang. Kalau berhasil, batalkan dengan reload cancel.

  • 🔥 Kasus nyata: sebuah kantor cabang memasang ACL vty hanya untuk subnet management lama. Setelah subnet diganti, tidak ada admin yang bisa SSH. Perangkat harus diambil alih lewat kabel console di ruang server, dan satu hari kerja hilang.

🔹 Uji I: ping dari router bukan bukti

Yang diubah: tidak ada. Ini uji cara berpikir.

Dengan siswa masih diblokir, jalankan dari R1: 

ping 192.168.20.10
  • Gejala: ping dari router berhasil, padahal siswa tetap tidak bisa.
  • Arti: paket yang dibuat router sendiri tidak melewati pemeriksaan ACL interface pada arah keluar di titik itu. Jadi keberhasilan ping dari router tidak membuktikan ACL gagal, dan kegagalannya juga tidak membuktikan ACL bekerja.
  • ⚠️ Hati-hati: banyak laporan "ACL rusak" sebenarnya berawal dari ping router yang dijadikan patokan. Uji selalu dari host yang memang menjadi sasaran kebijakan.

🔹 Uji J: log sebagai bukti tambahan

Yang diubah: tambahkan kata kunci log pada baris penolak, lalu ulangi satu ping dari PC-SISWA. 

configure terminal
ip access-list extended LAB-SISWA
 30 deny ip any any log
 exit
end
show logging
  • Bukti: di IOS asli, show logging menampilkan entri berisi nomor ACL, alamat asal, dan alamat tujuan.
  • Catatan Packet Tracer: kata kunci log biasanya diterima, tapi isi log sering tidak muncul di jendela syslog. Jangan simpulkan aturan gagal hanya karena log kosong di simulator.
  • ⚠️ Hati-hati: menyalakan log di semua baris membuat buffer penuh dan CPU naik. Nyalakan saat mendiagnosis, matikan setelah selesai.

🔹 Langkah 5: bongkar lab dan simpan

configure terminal
interface g0/0.10
 no ip access-group LAB-SISWA in
 no ip access-group UJI-TIMPA in
interface g0/0.20
 no ip access-group SERVER-IN in
line vty 0 4
 no access-class 20 in
exit
no ip access-list extended LAB-SISWA
no ip access-list extended UJI-TIMPA
no ip access-list extended SERVER-IN
no access-list 20
end
copy running-config startup-config

✅ Verifikasi

Perintah Yang dibuktikan
show ip interface g0/0.10 ACL mana yang menempel di subinterface, dan di arah mana
show access-lists urutan baris, wildcard, dan jumlah match per baris
show ip interface brief kondisi link, untuk memisahkan masalah ACL dari masalah kabel
show ip dhcp binding apakah klien benar-benar mendapat alamat
show logging jejak penolakan bila kata kunci log dipasang
show running-config | section access semua ACL dan access-group yang aktif

Tiga pertanyaan yang harus kamu jawab berurutan:

  1. Apakah ACL menempel di interface yang benar dan arah yang benar? Lihat baris Inbound dan Outbound access list.
  2. Apakah baris yang kamu andalkan angkanya naik? Kalau tidak, masalahnya urutan atau wildcard.
  3. Apakah paket yang lolos punya jalur balik? Kalau ya, ACL sudah selesai; sisanya urusan routing.
  • 🧪 Uji cepat: reset counter, lakukan tepat satu aksi, baca counter. Satu aksi satu bukti lebih mudah dibaca daripada sepuluh aksi sekaligus.

⚠️ Kesalahan umum & troubleshooting

Gejala Penyebab Perbaikan
ACL tidak berefek sama sekali, counter 0 ditempel di interface fisik, trafik lewat subinterface pindahkan ke subinterface yang dilalui
Siswa tetap bisa, padahal deny terpasang arah out, yang dibuang balasan ganti ke arah in di interface siswa
Semua trafik mati setelah ACL dipasang tidak ada permit, atau permit di bawah deny any susun ulang, tambahkan permit yang perlu
Baris blokir angka 0 terus tertutup permit ip any any di atasnya sisipkan nomor lebih kecil, atau resequence
Seluruh subnet tidak terblokir wildcard ditulis sebagai subnet mask hitung 255.255.255.255 minus mask
Klien DHCP dapat 169.254 implicit deny membuang port 68 ke 67 izinkan UDP 68 ke 67
Web menggantung, server sehat balasan dibuang ACL di sisi server izinkan source port 80 atau established
Aturan lama hilang setelah pasang ACL baru satu arah hanya satu ACL, yang baru menimpa gabungkan dalam satu ACL bernama
SSH mati untuk semua admin access-class mengizinkan subnet salah pulihkan via console, pakai reload in 5
Ping dari router sukses, user tetap gagal paket router tidak melewati ACL di titik itu uji dari host sasaran
Counter naik tapi user tetap gagal masalah ada di routing atau NAT, bukan ACL periksa tabel routing dan terjemahan alamat
Log penolakan kosong di simulator Packet Tracer tidak menampilkan syslog ACL uji di IOS asli atau andalkan counter

Beberapa catatan yang jarang dibahas:

  • ACL kosong mengizinkan semua. Interface dengan daftar kosong bersikap seperti tanpa daftar, jadi "sudah dipasang" bukan bukti.
  • Pecahan paket hanya membawa info port di bagian pertama. Aturan berbasis port tidak bisa menilai pecahan lanjutan.
  • Penolakan otomatis tidak dihitung. Hanya baris deny eksplisit yang punya angka, itu sebabnya Cisco menyarankan menuliskannya saat diagnosis.
  • Remark maksimal 100 karakter. Lebih dari itu terpotong, dan komentar panjang justru hilang di tengah kalimat.

🔐 Catatan keamanan & etika

  • ACL menyaring header, bukan isi. Ia tidak mengenali aplikasi dan tidak menggantikan firewall stateful.
  • Sebelum menyentuh jalur login, siapkan jalan pulang: kabel console, akun cadangan, atau reload in 5.
  • Uji perubahan di luar jam ujian. Memblokir lab saat CBT berjalan bisa membatalkan ujian, bukan hanya mengganggu.
  • Log ACL menyimpan alamat IP pengguna. Perlakukan sebagai data pribadi, jangan disebar di grup kelas.
  • Memblokir situs untuk siswa adalah kebijakan sekolah. Catat dasar dan masa berlakunya, dan jangan menyaring perangkat pribadi tanpa izin.
  • 💡 Tips: beri setiap ACL komentar berisi tanggal, pembuat, dan tujuannya. Enam bulan kemudian, komentar itu yang menjelaskan mengapa aturan aneh itu ada.

🏭 Dipakai di dunia kerja

  • Sekolah: lab siswa hanya boleh membuka portal ujian, sementara server nilai tertutup untuk layanan lain. Bukti counter dipakai saat audit internal, karena "katanya sudah diblokir" tidak cukup.
  • Kantor: printer dan file server dibatasi per divisi. Teknisi biasanya menemukan masalah dari satu keluhan "tidak bisa print", lalu membuktikan lewat counter baris mana yang menolak.
  • Rumah sakit: jaringan alat medis dipisah dari jaringan tamu, dan ACL dipasang dekat server agar perubahan kebijakan cukup di satu titik.
  • ISP dan warnet: ACL menolak alamat sumber palsu dari arah pelanggan. Kesalahan wildcard di sini bisa meloloskan spoofing tanpa terlihat.
  • Data center: tiap penyewa dibatasi ke subnetnya sendiri. Satu ACL yang salah tempat bisa membuat dua penyewa saling melihat.
  • Industri: jaringan mesin produksi dikunci dari ruang kontrol. Perubahan ACL di sini biasanya butuh jendela maintenance, karena salah arah bisa menghentikan lini produksi.

📌 Kesimpulan

ACL yang benar bukan yang tulisannya rapi, tapi yang bisa kamu buktikan: menempel di interface yang dilalui, di arah yang tepat, dengan baris yang benar-benar dieksekusi, dan counter yang naik saat diuji.

Kalau kamu hanya membawa satu kebiasaan dari lab ini, bawa ini: reset counter, lakukan satu aksi, baca angka. Dari situ kamu tahu lapis mana yang gagal, tanpa menebak.

Langkah berikutnya: buka halaman NAT dan PAT di Cisco. Di sana kamu akan melihat ACL dan penerjemahan alamat diperiksa berurutan, dan kesalahan urutan menghasilkan gejala yang mirip dengan lab ini.

🔗 Materi terkait

📚 Referensi

Retrieved from "https://noctkj.net/index.php?title=Cisco_:_Praktikum_Uji_ACL_dan_Diagnosa_Paket_yang_Terbuang&oldid=1652"