WIKI TKJ

Cisco : Praktikum Uji NAT dan PAT serta Diagnosa Terjemahan Alamat

Artikel pagi sudah mengajarkan cara memasang NAT. Artikel ini mengajarkan cara membuktikan NAT benar-benar bekerja, dan cara menemukan lapis mana yang gagal saat internet tetap mati.

Bedanya penting. Konfigurasi NAT yang benar hanya berarti router mau menerjemahkan. Paket baru benar-benar sampai kalau jalur, label, peserta, terjemahan, dan balikannya semuanya sehat.

🎯 Tujuan

Setelah menyelesaikan lab ini, kamu diharapkan bisa:

  • membuktikan terjemahan NAT benar-benar terjadi, bukan hanya "konfigurasinya ada";
  • membaca show ip nat statistics dan show ip nat translations sebagai alat diagnosa, bukan sekadar pajangan;
  • memakai model lima lapis bukti untuk berhenti di lapis yang benar, bukan menebak;
  • membedakan tiga kegagalan yang gejalanya mirip: label salah, peserta tidak cocok, dan rute hilang;
  • menjelaskan kenapa entri NAT bisa "hantu" selama 24 jam dan bagaimana membersihkannya dengan benar.

📍 Konteks nyata

Bayangkan resepsionis gedung yang mencatat setiap tamu di buku besar. Buku itu berguna, tapi bukan bukti tamu sudah sampai ke ruangan yang dituju.

Buku bisa terisi walau liftnya mati. Buku juga bisa kosong walau tamu sudah menunggu di lobi, karena resepsionisnya tidak tahu harus mencatat siapa.

Tabel terjemahan NAT adalah buku tamu, bukan CCTV. Ia mencatat bahwa alamat sudah diterjemahkan, tapi tidak menjamin paket sampai, tidak menjamin balasannya kembali, dan tidak menjamin layanan di ujung sana hidup.

Karena itu lab ini tidak berhenti di "entri muncul". Setiap uji di sini punya dua bukti: bukti di router, dan bukti di layar client.

🔥 Kasus nyata: Sebuah SMK memasang NAT untuk 30 PC lab dengan perintah ip nat inside source list 1 interface g0/0. Kata overload tidak ikut diketik, karena admin mengira "interface" sudah otomatis berarti berbagi.

  • Akibatnya: PC pertama yang membuka browser memakai seluruh IP publik untuk dirinya sendiri, 29 PC lain diam total.
  • Besoknya: masih mati, karena entri TCP bawaan bertahan 24 jam.
  • Dua hari dihabiskan menuduh ISP, padahal jawabannya dua kata yang hilang di satu baris.

🧠 Konsep singkat

NAT punya banyak bagian yang bisa gagal, dan semuanya menghasilkan gejala yang sama di mata pengguna: "internet mati". Supaya tidak menebak, kita pakai urutan pemeriksaan tetap.

🔹 Lima lapis bukti NAT

Periksa dari lapis 1 ke lapis 5. Berhenti di lapis pertama yang gagal. Melompat ke lapis 4 saat lapis 1 bermasalah hanya menambah waktu.

Lapis Pertanyaan Bukti
1. Jalur & label Interface inside/outside sudah dikenali router? Baris Inside interfaces: di statistik
2. Peserta Alamat client cocok dengan ACL NAT? Hits naik, Misses tidak
3. Terjemahan Entri benar-benar terbentuk? Baris di show ip nat translations
4. Balasan Jawaban bisa kembali ke alamat asli? Kolom outside terisi, ping balik hidup
5. Layanan Server/port yang dituju benar-benar hidup? Halaman terbuka, counter ACL interface

Aturan mainnya satu: satu perubahan, satu bukti. Ubah dua hal sekaligus, dan kamu tidak akan tahu mana yang memperbaiki.

🔹 Tabel terjemahan adalah buku tamu, bukan CCTV

Ini kesalahpahaman yang paling mahal. Entri NAT hanya mencatat pasangan alamat yang sudah diterjemahkan.

  • Entri ada, paket mati: sangat mungkin. Rute tujuan hilang, atau ACL interface membuang paket setelah NAT.
  • Entri tidak ada, paket tetap jalan: juga mungkin, kalau paket tidak melewati router NAT sama sekali.
  • Entri statis muncul tanpa trafik: normal. Entri statis lahir dari konfigurasi, bukan dari paket.

Karena itu, sebelum menyimpulkan apa pun, tanyakan dulu: entri ini lahir dari trafik atau dari konfigurasi?

🔹 Urutan operasi menentukan siapa yang salah lebih dulu

Dokumentasi Cisco (NAT Order of Operation) menyatakan urutan yang berbeda untuk dua arah:

  • Inside ke outside: cek ACL input → routing → NAT → ACL output → antrean keluar.
  • Outside ke inside: cek ACL input → NAT → routing → ACL output → antrean keluar.

Artinya sederhana tapi sering dilupakan:

  1. Arah keluar, rute diperiksa sebelum NAT. Tidak ada rute, tidak ada terjemahan sama sekali.
  2. Arah masuk, alamat diterjemahkan sebelum dirutekan. Router wajib punya rute ke alamat asli di dalam.

📊 Angka penting: pada contoh resmi Cisco, sebuah entri statis tetap terlihat di tabel terjemahan walau paketnya dibuang karena tidak ada rute. Debug NAT tidak menampilkan satu baris pun. Ini bukti keras bahwa "entri ada" bukan berarti "paket lewat".

🔹 Membaca statistik sebagai pohon keputusan

show ip nat statistics menjawab pertanyaan paling awal dengan cepat. Perhatikan empat baris ini: 

Total active translations: 2 (1 static, 1 dynamic; 2 extended)
Outside interfaces: GigabitEthernet0/0
Inside interfaces: GigabitEthernet0/1
Hits: 18  Misses: 0
Yang terlihat Artinya Langkah berikutnya
Inside interfaces: kosong Label ip nat inside belum ada Perbaiki label dulu, jangan lanjut
Label ada, Hits: 0, Misses naik Paket datang tapi tidak cocok ACL NAT Periksa isi dan wildcard ACL
Hits naik, tabel kosong Curiga cache/entri lama, atau paket tak pernah keluar Periksa rute dan arah keluar
Tabel penuh, satu IP saja PAT bekerja, atau justru overload lupa dipasang Cek kolom port dan show run

Hits menghitung paket yang benar-benar diterjemahkan. Misses mencatat paket yang singgah di NAT tapi tidak cocok aturan mana pun.

🔹 Kenapa entri "hantu" bertahan lama

Entri NAT punya masa hidup, dan nilai bawaannya panjang. Ini yang membuat tabel terlihat penuh padahal penggunanya sudah menutup browser sejak pagi.

📊 Angka penting: timeout bawaan IOS — TCP 86.400 detik (24 jam), tapi turun jadi 60 detik kalau router melihat FIN atau RST; TCP yang baru SYN tanpa lanjutan 60 detik; UDP non-DNS 300 detik; DNS 60 detik; ICMP 60 detik.

Jadi kalau koneksi ditutup tidak rapi (kabel dicabut, laptop yang tiba-tiba tidur, WiFi putus), router tidak melihat FIN. Entri tetap dihitung aktif sampai 24 jam.

⚠️ Hati-hati: entri yang menempel bisa menutupi aturan baru. Kamu mengubah ACL, tapi PC yang sudah punya entri lama tetap memakai terjemahan lama. Uji selalu dari client yang bersih, atau bersihkan dulu tabelnya.

🧩 Istilah penting

  • Inside local — alamat asli PC di LAN, misalnya 192.168.10.10.
  • Inside global — alamat publik yang mewakili PC itu di internet.
  • Overload — kata kunci IOS untuk PAT; banyak host berbagi satu alamat lewat nomor port.
  • Translasi statis — pemetaan permanen dari konfigurasi; muncul tanpa menunggu trafik.
  • Translasi dinamis — entri yang lahir dari trafik dan hilang setelah timeout.
  • Extended translation — entri yang menyertakan protokol dan port, ciri khas PAT.
  • Hits — jumlah paket yang berhasil diterjemahkan.
  • Misses — jumlah paket yang tidak cocok dengan aturan NAT mana pun.
  • Hairpin — client dari dalam menembak alamat publik router sendiri; sering gagal di NAT klasik.
  • NVI — ip nat enable; mode NAT modern tanpa label inside/outside, mendukung hairpin.
  • Fault injection — sengaja merusak satu hal kecil untuk melihat bukti mana yang berubah.

🔧 Praktik: lab bukti NAT dan PAT

Lab ini melanjutkan alamat dari artikel pagi, tapi menambah satu PC lagi supaya PAT bisa dibuktikan. Semua alamat memakai rentang dokumentasi RFC 5737.

🔹 Topologi dan alamat

PC-SISWA1, PC-SISWA2, dan Server-PT di switch 2960 → R1 (2911) → ISP (2911) → PC-INTERNET.

Perangkat Interface Alamat
R1 G0/1 (LAN) 192.168.10.1/24, ip nat inside
R1 G0/0 (WAN) 203.0.113.2/30, ip nat outside
ISP G0/0 dan G0/1 203.0.113.1/30 dan 198.51.100.1/24
PC-SISWA1 / SISWA2 / Server Fa0 .10 / .11 / .100

PC-INTERNET memakai 198.51.100.20/24 dengan gateway 198.51.100.1. Tiga client di LAN memakai gateway 192.168.10.1.

🔹 Langkah 1: bangun jalur dan baseline

Jangan pasang NAT dulu. Buktikan dulu masalahnya memang alamat, bukan kabel.

  1. Beri alamat semua interface, lalu no shutdown.
  2. Di R1: ip route 0.0.0.0 0.0.0.0 203.0.113.1.
  3. Di ISP: cukup rute ke 203.0.113.0/30 (connected). Jangan tambahkan rute ke 192.168.10.0/24 — ISP tidak boleh tahu alamat dalam.
  4. Dari PC-SISWA1: ping 203.0.113.1 harus berhasil.
  5. Dari PC-SISWA1: ping 198.51.100.20 harus gagal.

Kegagalan langkah 5 adalah titik nol lab ini. Tanpa catatan baseline, kamu tidak akan bisa membedakan "NAT belum jalan" dari "jaringan memang belum siap".

🧪 Uji cepat: show ip interface brief di R1. Semua interface harus up/up. Satu administratively down membatalkan seluruh lab.

🔹 Langkah 2: pasang NAT overload

access-list 1 permit 192.168.10.0 0.0.0.255
ip nat inside source list 1 interface g0/0 overload
interface g0/1
 ip nat inside
interface g0/0
 ip nat outside

Perhatikan kata overload. Tanpa kata itu, IOS melakukan pemetaan satu-ke-satu: satu alamat publik untuk satu host, dan host kedua harus menunggu host pertama selesai.

🔹 Langkah 3: rekam bukti dasar

Buka browser di PC-SISWA1 ke http://198.51.100.20 (atau ping), lalu di R1: 

show ip nat translations
show ip nat statistics

Yang harus terlihat: satu baris dengan Inside local 192.168.10.10 dan Inside global 203.0.113.2:xxxxx — ada nomor port di kedua sisi. Itu tanda extended translation alias PAT.

Lalu buka browser di PC-SISWA2. Sekarang harus ada dua baris dengan inside global yang sama tapi port berbeda. Itulah bukti PAT, dan bukti itu tidak bisa dipalsukan oleh konfigurasi yang salah.

📊 Angka penting: satu alamat IP punya 65.535 nomor port, dan sebagian sudah dipakai layanan sistem. Realistis hanya beberapa ribu sesi bersamaan per alamat.

🔹 Langkah 4: uji A — label inside hilang

Hapus label di interface LAN, lalu ulangi akses dari PC-SISWA1. 

interface g0/1
 no ip nat inside
  • Gejala: ping ke gateway tetap lancar, ping ke 198.51.100.20 mati total, tidak ada pesan error apa pun.
  • Bukti: baris Inside interfaces: kosong, Hits: 0.
  • Arti: router tidak pernah memeriksa paket itu untuk diterjemahkan.

⚠️ Hati-hati: interface yang lupa dilabeli tetap up/up dan tetap bisa di-ping. Satu-satunya bukti ada di statistik, bukan di lampu indikator.

🔹 Langkah 5: uji B — label tertukar

Sekarang pasang label terbalik: LAN jadi outside, WAN jadi inside.

  • Gejala: semua client mati, tapi ping dari router ke internet tetap berhasil.
  • Bukti: baris Outside interfaces: berisi GigabitEthernet0/1, tabel terjemahan kosong.
  • Arti: trafik yang lahir dari router sendiri tidak pernah melewati NAT, jadi ping router selalu menipu.

🧪 Uji cepat: setiap kali menguji NAT, uji dari client, jangan dari router. Ping router tidak membuktikan apa pun tentang NAT.

🔹 Langkah 6: uji C — ACL peserta terlalu sempit

Kembalikan label dengan benar, lalu ubah ACL menjadi hanya satu host: 

no access-list 1
access-list 1 permit host 192.168.10.10
clear ip nat translation *
  • Gejala: PC-SISWA1 normal, PC-SISWA2 mati. Ini kegagalan sebagian, bukan total.
  • Bukti: Misses naik setiap PC-SISWA2 mencoba, Hits hanya naik untuk SISWA1.
  • Arti: ACL NAT adalah daftar peserta, bukan firewall. Yang tidak cocok tidak diblokir, hanya tidak diterjemahkan.

⚠️ Hati-hati: ACL NAT tidak memblokir trafik. Kalau kamu ingin menolak, itu tugas ip access-group di interface, bukan ACL milik NAT.

🔹 Langkah 7: uji D — lupa overload

Ini kesalahan paling mahal di lapangan, dan paling mudah dibuktikan. 

no ip nat inside source list 1 interface g0/0 overload
ip nat inside source list 1 interface g0/0
clear ip nat translation *
  1. Dari PC-SISWA1, buka satu situs sampai halaman tampil.
  2. Dari PC-SISWA2, coba situs yang sama.
  • Gejala: SISWA1 lancar, SISWA2 mati. Kalau SISWA1 berhenti, SISWA2 baru bisa — itu pun setelah entri lama hilang.
  • Bukti: tabel hanya berisi satu baris, dan tidak ada nomor port di kolom inside global.
  • Arti: pemetaan satu-ke-satu. Satu alamat publik terkunci untuk satu host.

📊 Angka penting: karena entri TCP bawaan bertahan 24 jam, kesalahan ini bisa membuat lab "mati sehari penuh" walau paginya hanya satu PC yang sempat browsing.

🔥 Kasus nyata: Warnet kecil dengan satu IP publik mengalami hal yang sama setelah router direset dan aturan NAT dipasang ulang.

  • Yang dicoba pemilik: menambah bandwidth dua kali, mengganti router, dan menuduh ISP membatasi koneksi.
  • Penyebab asli: aturan NAT tanpa overload.
  • Bukti yang membongkarnya: satu layar show ip nat translations berisi satu baris tanpa port.

🔹 Langkah 8: uji E — rute hilang, terjemahan tidak pernah lahir

Kembalikan overload, lalu hapus rute default di R1. 

no ip route 0.0.0.0 0.0.0.0 203.0.113.1
clear ip nat translation *
  • Gejala: semua client mati, termasuk yang tadi lancar.
  • Bukti: tabel terjemahan kosong, dan debug ip nat tidak menampilkan satu baris pun.
  • Arti: arah inside ke outside memeriksa routing lebih dulu. Tanpa rute, paket dibuang sebelum NAT sempat berpikir.

Yang menarik: kalau kamu punya aturan port forwarding statis, entri itu tetap terlihat di tabel walau tidak ada trafik yang lewat. Inilah contoh nyata "entri ada, paket mati".

⚠️ Hati-hati: urutan ini berlawanan untuk arah masuk. Pada trafik outside ke inside, NAT dikerjakan dulu, baru routing. Karena itu router wajib punya rute ke alamat asli di dalam, atau balasan akan dibuang setelah diterjemahkan.

🔹 Langkah 9: uji F — port forwarding vs layanan mati

Pasang kembali rute, lalu buat aturan port forwarding untuk server. 

ip route 0.0.0.0 0.0.0.0 203.0.113.1
ip nat inside source static tcp 192.168.10.100 80 203.0.113.2 80

Perhatikan tabel terjemahan: entri muncul sebelum ada trafik. Itu ciri statis, dan itu normal.

Sekarang matikan layanan HTTP di Server-PT, lalu buka http://203.0.113.2 dari PC-INTERNET.

  • Gejala: halaman gagal dimuat, padahal aturan NAT terlihat sempurna.
  • Bukti: entri statis tetap ada, tapi tidak ada sesi TCP yang selesai; di server, port 80 tidak mendengarkan.
  • Arti: NAT hanya memindahkan pintu. Kalau ruangan di balik pintu gelap, tamu tetap tidak bisa masuk.

💡 Tips: bedakan dua kemungkinan ini dengan cepat — cek dari dalam dulu (http://192.168.10.100). Kalau dari dalam berhasil dan dari luar gagal, masalahnya di NAT. Kalau dari dalam juga gagal, masalahnya di server.

🔹 Langkah 10: uji G — hairpin dari dalam

Masih dengan aturan yang sama, buka http://203.0.113.2 dari PC-SISWA1.

  • Gejala: gagal dari dalam, berhasil dari PC-INTERNET.
  • Bukti: tidak ada entri baru untuk PC-SISWA1 saat menembak alamat publik router sendiri.
  • Arti: paket harus masuk dan keluar di sisi yang sama; NAT klasik IOS tidak selalu mendukungnya.

Ini bukan bug lab dan bukan salah konfigurasi. Solusi yang bersih: DNS split — nama domain yang sama diarahkan ke IP lokal saat diakses dari dalam. Alternatif teknis: aktifkan NVI dengan ip nat enable di kedua interface.

🔹 Langkah 11: uji H — entri lama menutupi aturan baru

Ini uji yang paling sering menyelamatkan waktu di lapangan.

  1. Dari PC-SISWA1, buka situs sampai halaman tampil, lalu tutup browsernya.
  2. Ubah ACL NAT menjadi hanya permit host 192.168.10.11.
  3. Dari PC-SISWA1, buka situs lagi.
  • Gejala: SISWA1 masih bisa browsing walau aturannya sudah tidak mengizinkan.
  • Bukti: baris lamanya masih ada di tabel dengan sisa waktu besar.
  • Arti: entri yang sudah terbentuk tidak diperiksa ulang terhadap ACL setiap paket.

Perbaikannya: 

clear ip nat translation *
show ip nat translations

⚠️ Hati-hati: clear ip nat translation * hanya menghapus entri dinamis. Entri statis tetap ada karena berasal dari konfigurasi. Untuk menghapusnya, hapus aturannya: no ip nat inside source static tcp 192.168.10.100 80 203.0.113.2 80.

🔹 Langkah 12: uji I — membaca sisa waktu dan debug

show ip nat translations verbose
debug ip nat
! tunggu 30 detik, lakukan satu ping dari client
undebug all

verbose menampilkan sisa waktu tiap entri — cara paling jujur membuktikan entri benar-benar kedaluwarsa, bukan "hilang misterius".

debug ip nat menampilkan baris terjemahan saat paket lewat, biasanya berbentuk s=192.168.10.10->203.0.113.2. Nyalakan maksimal 30 detik. Di router produksi, debug yang dibiarkan menyala bisa menaikkan CPU.

🧪 Uji cepat: kalau debug ip nat tidak mengeluarkan apa pun sementara ping client gagal, curigai routing lebih dulu, bukan NAT. Debug NAT hanya berbicara setelah paket layak diterjemahkan.

🔹 Lembar hasil uji

Isi tabel ini saat praktik. Guru bisa memeriksa pemahaman dari kolom "arti", bukan dari konfigurasi yang bisa disalin.

Uji Yang diubah Bukti kunci
A no ip nat inside di G0/1 Inside interfaces: kosong, Hits: 0
B label inside/outside tertukar label muncul di sisi yang salah, tabel kosong
C ACL hanya satu host Misses naik, satu client hidup
D overload dihapus satu baris tanpa port, host kedua mati
E rute default dihapus tabel kosong, debug senyap
F layanan HTTP dimatikan entri statis ada, halaman gagal
G akses lewat IP publik dari dalam gagal dari dalam, sukses dari luar
H ACL diubah tanpa clear entri lama masih dipakai
I verbose dan debug sisa waktu terlihat, baris terjemahan muncul

🔹 Versi Packet Tracer dan batasannya

Beberapa hal perlu kamu tahu sebelum menyalahkan alat:

  • show ip nat translations dan show ip nat statistics biasanya tersedia dan cukup untuk seluruh lab ini.
  • show ip nat translations verbose dan debug ip nat tergantung versi Packet Tracer. Kalau tidak ada, pakai clear lalu hitung ulang baris sebagai bukti.
  • Uji hairpin sering tidak bisa disimpulkan di simulator, karena perilakunya bergantung platform. Catat sebagai "tidak dapat diuji", bukan "gagal".
  • GUI Packet Tracer tidak punya kolom port untuk port forwarding. Selalu tulis aturan itu lewat CLI.

💡 Tips: sebelum uji apa pun, jalankan clear ip nat translation * dan catat angka Hits. Tanpa titik nol, semua angka setelahnya hanya tebakan.

🏭 Dipakai di dunia kerja

  • Sekolah: ujian berbasis komputer dengan 40 PC dan satu IP publik. Admin harus memantau jumlah sesi dan Hits, karena kehabisan port membuat sebagian siswa gagal login sementara yang lain lancar — keluhan yang mudah salah diarahkan ke WiFi.
  • Kantor cabang: WAN memakai DHCP dari ISP, jadi aturan NAT harus menunjuk nama interface. Setiap modem restart, IP publik berubah, dan aturan yang menulis IP manual langsung mati.
  • Warnet dan hotspot: puluhan perangkat berbagi satu alamat. Tanpa overload, hanya satu pelanggan yang bisa internet — dan pemilik biasanya lebih dulu mengganti router daripada membaca tabel terjemahan.
  • Rumah sakit dan klinik: port forwarding untuk aplikasi rekam medis harus dibatasi sumbernya. Membuka port ke seluruh internet adalah temuan audit, bukan kemudahan.
  • Industri: HMI dan PLC tidak diekspos lewat port forwarding. Yang dipakai VPN, lalu NAT internal antar segmen mesin; verifikasi selalu dari dua arah.
  • Cloud dan virtualisasi: NAT gateway punya konsep yang sama, ditambah log per koneksi. Insinyur cloud membaca log itu dengan urutan lapis yang sama seperti lab ini.

✅ Verifikasi

Jalankan berurutan. Setiap perintah menjawab satu pertanyaan, dan urutannya tidak boleh ditukar.

Perintah Pertanyaan yang dijawab
show ip interface brief Interface hidup dan alamatnya benar?
show ip nat statistics Label inside/outside terdaftar? Ada Hits?
show ip nat translations Terjemahan terbentuk, dan ada portnya?
show ip route Ada rute keluar, dan rute balik ke host dalam?
  • Bukti PAT bekerja: dua client berbeda, satu inside global, port berbeda.
  • Bukti port forwarding bekerja: entri statis ada tanpa trafik, dan halaman terbuka dari PC-INTERNET.
  • Bukti ACL tepat: Hits naik hanya untuk alamat yang kamu izinkan.

🧪 Uji cepat: ping 8.8.8.8 berhasil tapi nama domain gagal? Itu DNS, bukan NAT. Jangan bongkar NAT untuk masalah yang bukan NAT.

⚠️ Kesalahan umum & troubleshooting

Gejala Penyebab paling sering
Semua client mati, gateway lancar ip nat inside belum dipasang di interface LAN
Tabel kosong padahal ada trafik Label inside/outside tertukar, atau rute tujuan hilang
Satu client hidup, sisanya mati ACL NAT terlalu sempit, atau overload lupa dipasang
Terjemahan terbentuk, balasan tidak sampai Tidak ada rute ke inside local, atau ACL interface membuang
Aturan baru tidak berefek Entri lama masih menempel; clear ip nat translation *
Port forwarding "tidak jalan" Layanan di server mati, atau port yang diuji berbeda
Berhasil dari luar, gagal dari dalam Hairpin; pakai DNS split atau NVI
Ping dari router sukses, client mati Trafik router tidak melewati NAT; uji dari client
Sebagian user gagal saat jam sibuk Port PAT habis; tambah alamat publik atau batasi sesi
Entri statis hilang setelah reboot Konfigurasi belum disimpan; copy run start

🔥 Kasus nyata: Sebuah kantor distributor memasang port forwarding kamera pengawas supaya bisa dipantau dari rumah. Dari luar berjalan sempurna.

  • Masalahnya: karyawan di kantor tidak bisa membuka kamera yang sama dari LAN, dan dua unit NVR sempat diganti.
  • Penyebabnya hairpin: permintaan dari dalam menembak alamat publik router sendiri.
  • Perbaikannya bukan mengganti perangkat, tapi mengarahkan karyawan ke 192.168.10.100 lewat DNS split.

🔐 Catatan keamanan & etika

NAT menyembunyikan alamat, bukan melindungi layanan. Begitu ada port forwarding, pintunya benar-benar terbuka untuk seluruh internet.

  • Setiap aturan port forwarding sebaiknya dibatasi sumbernya lewat ACL, bukan dibiarkan terbuka.
  • Jangan pernah membuka port manajemen (22, 23, 3389, 8291) ke internet hanya karena "biar bisa dari rumah". Pakai VPN.
  • Catat setiap aturan: layanan, pemilik, tanggal, dan siapa yang menyetujui. Aturan "sementara" adalah yang paling sering lupa dihapus.
  • Saat praktik di lab sekolah, bersihkan aturan uji setelah selesai. Port yang terbuka karena lab yang tidak dibersihkan adalah temuan audit yang nyata.
  • Log dan tabel terjemahan memuat jejak aktivitas orang. Perlakukan sebagai data sensitif, jangan dibagikan bebas.

📌 Kesimpulan

NAT yang benar bukan yang konfigurasinya panjang, tapi yang bisa kamu buktikan. Model lima lapis — jalur dan label, peserta, terjemahan, balasan, layanan — membuat diagnosis berhenti di tempat yang tepat.

Tiga fakta yang paling sering menyelamatkan waktu: tabel terjemahan bukan bukti paket sampai, rute diperiksa sebelum NAT pada arah keluar, dan tanpa overload satu alamat publik hanya melayani satu host.

Langkah berikutnya: pelajari Spanning Tree Protocol, karena setelah jalur dan alamat beres, gangguan berikutnya biasanya datang dari loop di lapisan dua.

🔗 Materi terkait

📚 Referensi

  • Cisco, Understand the NAT Order of Operation (Document ID 6209) — urutan routing dan translasi pada kedua arah, termasuk contoh entri statis yang tidak dipakai karena tidak ada rute.
  • Cisco, Configure Network Address Translation (Document ID 13772) — static NAT, dynamic NAT, overload, dan port redirection.
  • Cisco, NAT: Local and Global Definitions (Document ID 4606) — definisi inside/outside local dan global.
  • Cisco, IP Addressing: NAT Configuration Guide — ip nat translation timeout, clear ip nat translation, dan show ip nat statistics.
  • Cisco Community, "ip nat translation timeout" command — timeout TCP 24 jam, penurunan ke 60 detik setelah FIN/RST, UDP 5 menit, DNS 1 menit.
  • RFC 3022 — Traditional IP Network Address Translator (Traditional NAT).
  • RFC 5737 — IPv4 Address Blocks Reserved for Documentation.
Retrieved from "https://noctkj.net/index.php?title=Cisco_:_Praktikum_Uji_NAT_dan_PAT_serta_Diagnosa_Terjemahan_Alamat&oldid=1659"