WIKI TKJ

Mikrotik : Praktikum Cek NAT Masquerade dengan Counter dan Torch

Mikrotik : Praktikum Cek NAT Masquerade dengan Counter dan Torch

Tujuan

Materi ini membantu kamu mengecek apakah NAT masquerade yang sudah dibuat benar-benar dilewati trafik client.

Artikel pagi sebelumnya sudah membahas cara membuat NAT masquerade agar client LAN bisa internet. Nah, artikel ini adalah praktik pendukungnya: setelah rule NAT ada, bagaimana cara membuktikan bahwa paket client memang lewat rule itu?

Analogi gampangnya begini. NAT masquerade itu seperti satpam gerbang sekolah yang mewakili siswa saat keluar ke jalan raya. Membuat rule NAT berarti memasang pos satpam. Mengecek counter dan Torch berarti melihat buku tamu dan CCTV gerbang: apakah benar ada kendaraan siswa yang lewat gerbang itu, dari arah mana, dan menuju ke mana.

Konteks nyata

Di lab TKJ, sering terjadi kasus seperti ini:

  • rule NAT sudah dibuat, tetapi client tetap tidak bisa internet
  • router bisa ping internet, tetapi PC siswa tidak bisa
  • NAT rule ada, tetapi ternyata dipasang ke interface yang salah
  • client memakai gateway router lain
  • DNS bermasalah, lalu dikira NAT bermasalah

Di dunia kerja, admin jaringan tidak cukup hanya bilang "sudah saya setting". Admin harus bisa menunjukkan bukti: counter bertambah, koneksi muncul, dan trafik terlihat di interface yang benar.

Karena itu, praktik ini fokus pada cara membaca tanda-tanda sederhana di RouterOS.

Kebutuhan awal

Sebelum mulai, pastikan:

  • sudah ada artikel/praktik NAT masquerade sebelumnya
  • client LAN sudah mendapat IP, gateway, dan DNS
  • router MikroTik sudah punya koneksi ke internet
  • kamu tahu nama interface LAN dan WAN, misalnya `bridge-LAN` dan `ether1-WAN`
  • kamu punya akses Winbox/WebFig atau terminal RouterOS

Contoh topologi yang dipakai: 

Internet/Modem ---- ether1-WAN MikroTik bridge-LAN ---- PC Siswa
                           |
                    NAT masquerade

Contoh alamat:

  • IP LAN router: `192.168.10.1/24`
  • IP client: `192.168.10.20`
  • interface WAN: `ether1-WAN`
  • interface LAN: `bridge-LAN`

Sesuaikan nama interface dengan router kamu. Jangan menyalin nama interface secara membabi buta.

Gambaran alur pengecekan

Urutan pengecekan yang rapi:

  1. pastikan router bisa internet
  2. pastikan client bisa sampai ke router
  3. cek rule NAT dan counter
  4. buat trafik baru dari client
  5. lihat connection tracking
  6. lihat Torch pada interface WAN atau LAN
  7. simpulkan letak masalah

Urutan ini penting. Kalau langsung membuka Torch tanpa memastikan gateway dan DNS, kamu bisa bingung sendiri karena gejalanya mirip-mirip.

Langkah 1 - Cek internet dari router

Dari terminal MikroTik: 

/ping 1.1.1.1
/ping google.com

Cara membaca:

  • `1.1.1.1` berhasil, `google.com` berhasil: router bisa internet dan DNS router normal
  • `1.1.1.1` berhasil, `google.com` gagal: jalur internet ada, DNS bermasalah
  • dua-duanya gagal: cek WAN, route, modem, atau ISP dulu

Jangan lanjut menyalahkan NAT kalau router sendiri belum bisa keluar.

Langkah 2 - Cek koneksi client ke gateway

Dari PC client, coba: 

ping 192.168.10.1
ping 1.1.1.1
ping google.com

Cara membaca cepat:

  • gagal ping `192.168.10.1`: masalah ada di LAN, IP client, kabel, WiFi, bridge, atau firewall lokal
  • berhasil ping gateway, gagal ping `1.1.1.1`: cek NAT, route router, dan firewall forward
  • berhasil ping `1.1.1.1`, gagal ping domain: cek DNS client atau DNS yang dibagikan DHCP Server

Untuk Windows, kamu juga bisa cek gateway dengan: 

ipconfig

Untuk Linux: 

ip route

Pastikan default gateway client mengarah ke IP LAN MikroTik.

Langkah 3 - Cek rule NAT

Lihat rule NAT: 

/ip firewall nat print

Rule dasar yang dicari kira-kira seperti ini: 

chain=srcnat out-interface=ether1-WAN action=masquerade

Atau jika memakai interface list: 

chain=srcnat out-interface-list=WAN action=masquerade

Yang perlu diperhatikan:

  • chain harus `srcnat`
  • action harus `masquerade`
  • out-interface harus mengarah ke WAN, bukan LAN
  • rule tidak boleh disabled
  • rule jangan tertutup rule lain yang lebih atas dan lebih spesifik

Anggap rule NAT seperti gerbang keluar. Kalau gerbangnya diarahkan ke halaman belakang, kendaraan tidak akan sampai jalan raya.

Langkah 4 - Cek counter NAT

Gunakan: 

/ip firewall nat print stats

Lalu dari client, buat trafik baru: 

ping 1.1.1.1

Atau buka website dari browser.

Lihat lagi: 

/ip firewall nat print stats

Jika counter packet/byte bertambah, berarti ada trafik yang cocok dengan rule NAT tersebut.

Contoh alur kerja yang enak: 

/ip firewall nat print stats

Dari client, jalankan ping atau buka website. 

/ip firewall nat print stats

Kalau counter tidak naik sama sekali, jangan panik. Itu justru petunjuk penting bahwa trafik client belum menyentuh rule NAT tersebut.

Langkah 5 - Cek connection tracking

RouterOS memakai connection tracking untuk mengingat koneksi yang lewat firewall dan NAT. NAT bergantung pada informasi ini supaya paket balasan bisa dikembalikan ke client yang benar.

Cek koneksi yang sedang aktif: 

/ip firewall connection print

Agar lebih mudah dibaca, kamu bisa memfilter alamat client: 

/ip firewall connection print where src-address~"192.168.10.20"

Kalau client sedang ping atau membuka web, biasanya akan muncul koneksi dari IP client ke alamat tujuan luar.

Yang perlu dipahami:

  • connection tracking bukan daftar perangkat
  • isinya koneksi yang sedang atau baru saja aktif
  • koneksi lama bisa hilang setelah timeout
  • hasilnya lebih mudah terlihat saat client sedang aktif membuka trafik

Langkah 6 - Pakai Torch untuk melihat trafik

Torch adalah alat monitoring real-time di RouterOS untuk melihat aliran trafik pada interface.

Via Winbox:

  1. buka menu Tools
  2. pilih Torch
  3. pilih interface, misalnya `ether1-WAN` atau `bridge-LAN`
  4. klik Start
  5. dari client, lakukan ping atau buka website
  6. lihat source address, destination address, protocol, dan rate

Via terminal, contoh: 

/tool torch interface=bridge-LAN src-address=192.168.10.20

Untuk melihat sisi WAN: 

/tool torch interface=ether1-WAN

Cara membaca sederhana:

  • di LAN, kamu mungkin melihat source `192.168.10.20`
  • di WAN setelah NAT, trafik keluar biasanya terlihat memakai alamat WAN router
  • kalau di LAN ada trafik tetapi di WAN tidak ada, cek route, firewall forward, dan NAT
  • kalau di WAN ada trafik tetapi client tetap gagal, cek balasan dari internet, DNS, atau firewall

Torch itu seperti melihat kendaraan lewat CCTV. Counter memberi angka total, Torch membantu melihat arah dan jenis trafik secara langsung.

Langkah 7 - Tes dengan urutan yang bersih

Agar hasil tidak rancu, lakukan praktik seperti ini:

  1. tutup dulu aplikasi yang banyak memakai internet di client
  2. buka terminal atau command prompt client
  3. jalankan ping ke `1.1.1.1`
  4. lihat counter NAT
  5. lihat connection tracking
  6. jalankan Torch di LAN
  7. jalankan Torch di WAN
  8. setelah itu baru tes browser dan DNS

Dengan cara ini, trafik yang muncul tidak terlalu ramai sehingga lebih mudah dipahami siswa.

Contoh skenario hasil

Skenario A: counter NAT naik dan client bisa internet

Artinya konfigurasi dasar NAT sudah bekerja. Lanjutkan dokumentasi dan beri komentar rule agar mudah diaudit.

Skenario B: router bisa internet, client tidak bisa, counter NAT tidak naik

Kemungkinan:

  • gateway client bukan MikroTik
  • client tidak sampai ke router
  • out-interface pada NAT salah
  • rule NAT disabled
  • trafik client diblokir firewall sebelum kena NAT

Skenario C: counter NAT naik, ping IP internet berhasil, domain gagal

NAT kemungkinan sudah bekerja. Fokus cek DNS:

  • DNS client
  • DNS yang dibagikan DHCP Server
  • pengaturan `/ip dns`
  • apakah router mengizinkan request DNS dari LAN jika client memakai router sebagai DNS

Skenario D: Torch LAN ramai, Torch WAN sepi

Trafik masuk ke router dari LAN, tetapi tidak keluar ke WAN. Cek:

  • default route router
  • firewall forward
  • rule NAT
  • interface WAN yang dipilih

Skenario E: Torch WAN ada trafik, tetapi internet tetap terasa gagal

Cek apakah ada paket balasan. Bisa juga masalah ada di DNS, MTU, gateway ISP, atau firewall sisi luar. Untuk lab awal, mulai dari ping IP dan domain dulu.

Troubleshooting

NAT counter tetap nol:

  • pastikan client membuat trafik baru
  • pastikan client memakai gateway MikroTik
  • pastikan rule NAT tidak disabled
  • pastikan `out-interface` mengarah ke WAN
  • pastikan rule berada di posisi yang masuk akal
  • cek apakah client berada di subnet LAN yang benar

Connection tracking tidak menampilkan IP client:

  • ulangi tes saat client sedang aktif
  • pastikan alamat client benar
  • jangan salah menulis filter `src-address`
  • cek apakah trafik client melewati router tersebut

Torch tidak menunjukkan trafik yang dicari:

  • pastikan memilih interface yang benar
  • coba cek dari sisi LAN dulu
  • coba cek dari sisi WAN
  • kurangi aplikasi client yang sedang memakai internet agar tidak terlalu ramai
  • jangan lupa klik Start jika memakai Winbox

Client bisa internet, tetapi beberapa website lambat:

  • cek DNS
  • cek kualitas link WAN
  • cek penggunaan bandwidth client lain
  • cek apakah ada queue atau firewall tambahan
  • untuk kasus lanjut, baru pelajari MTU, MSS, dan packet sniffer

Catatan keamanan

Gunakan Torch dan connection tracking untuk troubleshooting seperlunya. Jangan sembarang memamerkan alamat IP, tujuan akses, atau pola trafik pengguna karena itu termasuk informasi jaringan yang sensitif.

Praktik aman:

  • lakukan di lab atau jaringan yang kamu punya izin
  • jangan mengubah rule firewall produksi hanya untuk coba-coba
  • jangan menghapus rule NAT lama sebelum paham fungsinya
  • beri komentar pada rule NAT
  • backup/export konfigurasi sebelum perubahan besar
  • kalau troubleshooting di jaringan sekolah/kantor, catat waktu dan perubahan yang dilakukan

Ingat juga: NAT bukan pengganti firewall. NAT membantu client keluar memakai alamat WAN router, tetapi keamanan router tetap bergantung pada firewall, service management, password, dan kebiasaan admin.

Kesimpulan

Mengecek NAT masquerade tidak cukup hanya melihat rule-nya ada. Kamu perlu membuktikan trafik benar-benar lewat.

Ringkasnya:

  • `ping` membantu mengecek jalur dasar
  • `print stats` menunjukkan counter rule NAT
  • connection tracking menunjukkan koneksi aktif yang diingat router
  • Torch membantu melihat trafik secara real-time di interface
  • counter tidak naik berarti trafik belum cocok dengan rule NAT
  • counter naik tetapi domain gagal biasanya mengarah ke masalah DNS

Command inti: 

/ip firewall nat print stats
/ip firewall connection print
/ip firewall connection print where src-address~"192.168.10.20"
/tool torch interface=bridge-LAN src-address=192.168.10.20
/tool torch interface=ether1-WAN

Kalau kamu sudah bisa membaca counter dan Torch, kamu tidak cuma "setting NAT", tetapi mulai berpikir seperti teknisi jaringan: lihat jalur, cari bukti, lalu simpulkan masalahnya.

Materi terkait

Referensi

Retrieved from "https://noctkj.net/index.php?title=Mikrotik_:_Praktikum_Cek_NAT_Masquerade_dengan_Counter_dan_Torch&oldid=1309"