WIKI TKJ

Mikrotik : NAT Masquerade agar Client Bisa Internet

Mikrotik : NAT Masquerade agar Client Bisa Internet

Tujuan

Materi ini membantu pembaca memahami dan mempraktikkan NAT masquerade di MikroTik supaya client LAN bisa mengakses internet memakai jalur WAN router.

Setelah IP address, DHCP Server, DNS, dan default gateway sudah benar, masih ada satu bagian penting: alamat IP private client LAN tidak bisa langsung berjalan di internet publik. NAT masquerade membantu router "mewakili" client LAN saat keluar ke internet.

Analogi gampangnya begini: client LAN seperti siswa di dalam lab yang punya nomor meja internal. Nomor meja itu jelas di dalam lab, tetapi orang luar sekolah tidak kenal nomor meja tersebut. Saat siswa mengirim paket ke luar, satpam gerbang memakai alamat sekolah sebagai alamat pengirim luar. Balasan dari luar datang ke alamat sekolah, lalu satpam mengantarkannya kembali ke meja siswa yang benar.

Di jaringan, satpam itu adalah router MikroTik. Nomor meja internal adalah IP private seperti `192.168.10.20`. Alamat sekolah yang dikenal internet adalah IP di interface WAN router.

Konteks nyata

NAT masquerade masih sangat sering dipakai di lab sekolah, rumah, kantor kecil, hotspot, dan jaringan pelanggan karena banyak perangkat memakai IP private di belakang satu koneksi internet.

Kebutuhan industri saat ini bukan cuma "bisa internet", tetapi juga bisa membaca alur masalah:

  • apakah client sudah punya IP, gateway, dan DNS
  • apakah router sendiri sudah bisa internet
  • apakah route keluar sudah ada
  • apakah NAT sudah benar mengarah ke interface WAN
  • apakah firewall tidak memblokir trafik forward

Jadi materi ini tidak hanya memberi command. Fokusnya adalah paham jalur paket dari client LAN ke internet, lalu tahu cara membuktikan titik yang bermasalah.

Gambaran topologi

Contoh topologi praktik: 

Internet/Modem ---- ether1-WAN MikroTik ether2-LAN ---- Switch ---- PC Siswa
                           |
                      NAT masquerade

Contoh rencana alamat:

  • WAN MikroTik: mendapat IP dari modem/ISP, misalnya `192.168.1.10/24` atau IP publik dari ISP
  • gateway WAN/modem: `192.168.1.1`
  • LAN MikroTik: `192.168.10.1/24`
  • client LAN: `192.168.10.10-192.168.10.254`
  • DNS client: `192.168.10.1`, `1.1.1.1`, atau DNS dari ISP

Pada contoh ini, client `192.168.10.20` tidak dikenal langsung oleh internet. Saat client membuka website, MikroTik akan mengubah alamat sumber paket menjadi alamat WAN router. Itulah peran NAT source NAT/masquerade.

Konsep singkat NAT masquerade

NAT adalah Network Address Translation. Di RouterOS, NAT IPv4 dipakai untuk mengubah alamat IP pada paket jaringan.

Ada dua jenis besar NAT yang sering ditemui:

  • `srcnat`: mengubah alamat sumber paket, biasanya untuk client LAN yang keluar ke internet
  • `dstnat`: mengubah alamat tujuan paket, biasanya untuk port forwarding dari internet ke server lokal

Materi ini fokus ke `srcnat` dengan action `masquerade`.

Kenapa memakai `masquerade`?

  • cocok untuk WAN yang IP-nya bisa berubah, misalnya DHCP Client dari modem/ISP
  • router otomatis memakai alamat IP pada interface keluar
  • sederhana untuk praktik awal lab TKJ

Kalau WAN memakai IP publik statis dan desainnya lebih serius, admin kadang memakai `src-nat to-addresses=...`. Namun untuk tahap dasar, `masquerade` lebih ramah dipahami.

Kebutuhan awal

Sebelum praktik, pastikan:

  • interface LAN sudah punya IP, misalnya `192.168.10.1/24`
  • client LAN sudah mendapat IP dari DHCP Server
  • default gateway client mengarah ke IP LAN MikroTik, misalnya `192.168.10.1`
  • DNS client sudah benar
  • interface WAN sudah terhubung ke modem/ISP
  • router MikroTik punya default route menuju internet
  • kamu tahu nama interface WAN, misalnya `ether1`, `ether1-WAN`, atau masuk ke interface list `WAN`

Kalau masih belajar, gunakan router praktik atau lab virtual. Jangan langsung ubah router produksi sekolah tanpa backup dan izin.

Alur paket sebelum dan sesudah NAT

Sebelum NAT: 

Client 192.168.10.20 -> Internet 1.1.1.1

Masalahnya, internet publik tidak merutekan balik alamat private `192.168.10.20`.

Sesudah NAT masquerade: 

Client 192.168.10.20 -> MikroTik -> Internet
Alamat sumber di luar terlihat sebagai IP WAN MikroTik

Saat balasan masuk, MikroTik membaca tabel koneksi dan mengembalikan paket ke client yang benar. RouterOS memakai connection tracking untuk mengingat hubungan paket-paket dalam satu koneksi.

Cara 1 - Cek koneksi router ke internet

Sebelum menyalahkan NAT, pastikan router sendiri bisa keluar.

Cek IP address: 

/ip address print

Cek route: 

/ip route print

Cari route tujuan `0.0.0.0/0` yang aktif. Itu adalah default route router ke luar jaringan.

Tes ping dari router: 

/ping 1.1.1.1
/ping google.com

Cara membaca:

  • ping `1.1.1.1` gagal: kemungkinan WAN, IP WAN, default route, modem, atau ISP bermasalah
  • ping `1.1.1.1` berhasil tetapi `google.com` gagal: kemungkinan DNS router bermasalah
  • dua-duanya berhasil: router sudah bisa internet, lanjut cek NAT dan client

Cara 2 - Membuat NAT masquerade via Winbox/WebFig

Langkah di Winbox atau WebFig:

  1. buka menu IP
  2. buka Firewall
  3. masuk tab NAT
  4. klik tombol tambah
  5. tab General:
    • Chain: `srcnat`
    • Out. Interface: pilih interface WAN, misalnya `ether1-WAN`
  6. tab Action:
    • Action: `masquerade`
  7. klik OK atau Apply

Jika router sudah memakai interface list, kamu bisa memakai Out. Interface List: WAN agar rule lebih rapi. Ini berguna saat nama interface berubah atau nanti ada lebih dari satu koneksi WAN.

Cara 3 - Membuat NAT masquerade via terminal

Contoh paling sederhana jika WAN adalah `ether1`: 

/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade comment="NAT LAN ke internet"

Jika interface sudah dinamai lebih jelas: 

/ip firewall nat add chain=srcnat out-interface=ether1-WAN action=masquerade comment="NAT LAN ke internet"

Jika memakai interface list `WAN`: 

/interface list add name=WAN
/interface list member add list=WAN interface=ether1-WAN
/ip firewall nat add chain=srcnat out-interface-list=WAN action=masquerade comment="NAT LAN ke internet"

Catatan: jangan asal menjalankan semua contoh sekaligus. Pilih salah satu yang sesuai dengan konfigurasi router kamu. Untuk lab awal, cukup satu rule NAT masquerade.

Cara 4 - Mengecek rule NAT

Lihat daftar rule NAT: 

/ip firewall nat print

Lihat statistik packet/byte pada rule: 

/ip firewall nat print stats

Saat client mencoba membuka internet, counter pada rule NAT harus bertambah. Counter yang bertambah menandakan ada trafik yang cocok dengan rule tersebut.

Kalau rule baru dibuat tetapi koneksi lama masih terasa aneh, kamu bisa menguji dengan koneksi baru, misalnya buka website lain atau restart koneksi client. Pada kondisi troubleshooting tertentu, connection tracking lama bisa membuat perubahan NAT belum langsung terasa sampai koneksi lama selesai.

Contoh praktik lab TKJ

Skenario:

  • `ether1-WAN` terhubung ke modem
  • `ether2-LAN` atau `bridge-LAN` melayani jaringan siswa
  • LAN memakai `192.168.10.0/24`
  • gateway LAN MikroTik adalah `192.168.10.1`
  • client sudah mendapat DHCP

Command inti: 

/ip address print
/ip route print
/ping 1.1.1.1
/ping google.com
/ip firewall nat add chain=srcnat out-interface=ether1-WAN action=masquerade comment="NAT LAN ke internet"
/ip firewall nat print stats

Jika interface WAN kamu masih bernama `ether1`, sesuaikan command: 

/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade comment="NAT LAN ke internet"

Verifikasi

Dari MikroTik: 

/ping 1.1.1.1
/ping google.com
/ip firewall nat print stats
/ip firewall connection print

Dari client: 

ping 192.168.10.1
ping 1.1.1.1
ping google.com

Buka browser dari client, lalu coba akses website ringan.

Cara membaca hasil:

  • client bisa ping gateway tetapi tidak bisa ping IP internet: cek route router, NAT, dan firewall forward
  • client bisa ping IP internet tetapi tidak bisa ping domain: cek DNS
  • router bisa internet tetapi client tidak bisa: cek NAT, gateway client, firewall, dan jalur LAN
  • counter NAT bertambah saat client tes: trafik sudah melewati rule NAT
  • counter NAT tidak bertambah: kemungkinan out-interface salah, trafik tidak sampai router, atau client memakai gateway berbeda

Troubleshooting singkat

Router belum bisa internet:

  • cek kabel/modem di sisi WAN
  • cek IP WAN dengan `/ip address print`
  • cek default route dengan `/ip route print`
  • jika WAN memakai DHCP Client, cek status DHCP Client
  • cek DNS router dengan `/ip dns print`

Client mendapat IP tetapi tidak bisa internet:

  • pastikan gateway client adalah IP LAN MikroTik
  • pastikan client bisa ping IP LAN MikroTik
  • cek rule NAT `srcnat` dengan `out-interface` atau `out-interface-list` yang benar
  • cek apakah ada firewall filter di chain `forward` yang memblokir client

NAT rule ada tetapi counter tidak naik:

  • pastikan client benar-benar mencoba akses internet
  • pastikan rule tidak disabled
  • pastikan interface WAN pada rule benar
  • pastikan tidak ada router lain yang menjadi gateway client
  • cek topologi fisik: kabel LAN masuk ke port/bridge yang benar

Bisa ping IP internet tetapi website tidak terbuka:

  • cek DNS client
  • cek DNS router
  • coba ping domain dari router dan client
  • pastikan DHCP Server membagikan DNS yang benar

Ada dua NAT rule mirip-mirip:

  • rapikan dokumentasi dulu sebelum menghapus
  • jangan hapus rule produksi tanpa memahami efeknya
  • di lab, gunakan komentar rule agar mudah dibaca

Catatan keamanan

NAT masquerade bukan pengganti firewall. NAT memang membuat client private tidak langsung terlihat dari internet, tetapi router tetap perlu firewall yang benar.

Praktik aman:

  • jangan membuka port dari internet ke LAN jika belum paham `dstnat`
  • batasi akses service router dari WAN
  • gunakan password admin yang kuat
  • beri komentar pada rule NAT agar mudah diaudit
  • backup atau export konfigurasi sebelum perubahan besar
  • jangan menganggap "sudah NAT" berarti jaringan otomatis aman

Untuk tahap ini, cukup fokus pada NAT keluar dari LAN ke internet. Port forwarding, firewall filter lanjutan, dan hardening router dibahas di materi berikutnya.

Kesimpulan

NAT masquerade adalah langkah penting agar client LAN dengan IP private bisa mengakses internet lewat MikroTik.

Ringkasnya:

  • IP private LAN tidak dirutekan langsung di internet publik
  • NAT masquerade membuat paket client keluar memakai alamat WAN router
  • rule dasar memakai `chain=srcnat`, `out-interface` WAN, dan `action=masquerade`
  • verifikasi dilakukan dari router, client, counter NAT, dan tabel koneksi
  • NAT membantu koneksi keluar, tetapi firewall tetap wajib dipahami untuk keamanan

Command inti: 

/ip firewall nat add chain=srcnat out-interface=ether1-WAN action=masquerade comment="NAT LAN ke internet"
/ip firewall nat print stats
/ip firewall connection print

Materi terkait

Referensi

Retrieved from "https://noctkj.net/index.php?title=Mikrotik_:_NAT_Masquerade_agar_Client_Bisa_Internet&oldid=1306"