WIKI TKJ

Mikrotik : Praktikum Cek Siapa yang Login (Active User dan Log)

Mikrotik : Praktikum Cek Siapa yang Login (Active User dan Log) adalah materi pendamping seri manajemen pengguna RouterOS. Artikel ini membahas cara mengecek user yang sedang aktif, membaca log aktivitas login/logout, dan mengamankan sesi administrasi router.

Tujuan

Setelah mempelajari artikel ini, siswa diharapkan mampu:

  • Mengecek daftar user yang sedang login ke router MikroTik
  • Membaca detail sesi: username, group, via apa, dari IP mana, sejak kapan
  • Memutus sesi user lain yang mencurigakan
  • Membaca log aktivitas user (login/logout/gagal login)
  • Mengenali indikasi akses tidak sah pada router

Konteks Nyata

Kebayang gak kalau router kamu dipake bareng sama tim lain — terus tiba-tiba ada yang ngubah konfigurasi padahal kamu yang lagi bertanggung jawab? Atau pas lagi maintenance, kamu nemu ada login dari IP yang gak dikenal?

Nah, di sinilah kamu perlu tahu cara ngecek siapa aja yang lagi ngakses router. Ini bukan cuma buat kepo-in temen, tapi bagian dari security awareness dasar. Di industri, admin jaringan selalu punya kewajiban untuk memantau akses ke perangkat jaringan yang dia kelola.

Ibaratnya begini: router itu kayak pos satpam utama yang ngatur lalu lintas jaringan. Kalau ada orang asing masuk ke pos satpam tanpa izin dan mulai pencet-pencet tombol, kamu harus tahu — dan artikel ini ngajarin caranya.

Analogi: Papan Absen Satpam

Bayangin pos satpam punya papan absen digital. Setiap satpam yang masuk shift nulis nama, jam, dan dari pintu mana dia masuk. Kalau kamu mau tahu siapa yang jaga sekarang, tinggal lihat papan absen itu.

Di RouterOS, papan absen itu namanya /user active. Di situ tercatat semua user yang sedang login, lewat apa (Winbox/SSH/WebFig), dari IP mana, dan sudah berapa lama. Kalau ada nama yang gak dikenal, kamu bisa langsung minta dia keluar.

Log aktivitas user itu kayak buku tamu yang mencatat semua kejadian: siapa masuk jam berapa, siapa keluar jam berapa, siapa yang salah masukin password, dan siapa yang mengubah konfigurasi. Ini penting banget buat audit dan investigasi.

Kebutuhan Awal

Sebelum praktik, pastikan:

Langkah Praktik

1. Mengecek User yang Sedang Login

Buka terminal atau Winbox → System → Users → tab Active Sessions. Kalau di terminal: 

/user active print

Contoh hasil: 

Flags: R - radius
 #   NAME       GROUP   ADDRESS            VIA      WHEN
 0   admin      full    192.168.1.10       winbox   jul/24/2026 15:30:42
 1   teknisi    write   192.168.1.20       ssh      jul/24/2026 15:45:18
 2   admin      full    10.0.0.5           web      jul/24/2026 15:50:01

Bacanya gini:

  • Kolom NAME — username siapa yang login
  • GROUP — group/level akses user (full = superadmin, write = bisa edit, read = cuma lihat)
  • ADDRESS — IP asal user login. Dari jaringan lokal (192.168.x.x) atau dari luar?
  • VIA — lewat apa dia login. Winbox? SSH? WebFig?
  • WHEN — sejak kapan dia mulai sesi ini

Kalau kamu lihat ada user admin login dari IP yang gak kamu kenal (misalnya 10.0.0.5 padahal IP LAN kamu cuma 192.168.1.0/24), itu tanda bahaya.

2. Membaca Detail Sesi User

Untuk info lebih detail satu sesi: 

/user active print detail

Ini akan menampilkan alamat MAC juga jika login via Winbox, plus informasi tambahan seperti waktu idle.

3. Memutus Sesi User Lain

Kalau kamu nemu sesi mencurigakan atau user yang lupa logout, kamu bisa putus paksa sesinya.

Pertama, catat nomor index sesi dari hasil print di atas (angka #). Misalnya sesi index 2 (admin via web dari 10.0.0.5): 

/user active request-logout numbers=2

Atau kalau mau pilih berdasarkan username: 

/user active request-logout numbers=[find where name="admin" and address="10.0.0.5"]

⚠️ Peringatan: Jangan asal putus sesi user lain kalau gak yakin! Bisa jadi itu admin senior yang lagi maintenance dari jarak jauh. Pastikan dulu.

Di Winbox, caranya: System → Users → Active Sessions → klik kanan sesi → Request Logout.

4. Membaca Log Aktivitas User

Setiap kali user login, logout, atau gagal login, RouterOS mencatatnya di log dengan topic system,info,account. Cara bacanya: 

/log print where topics~"account"

Atau biar lebih mudah dibaca: 

/log print where topics~"system" and message~"log"

Contoh hasil: 

jul/24/2026 08:15:22  system,info,account  user admin logged in from 192.168.1.10 via winbox
jul/24/2026 09:30:05  system,info,account  user admin logged out from 192.168.1.10 via winbox
jul/24/2026 10:00:00  system,info,account  user admin logged in from 192.168.1.10 via ssh
jul/24/2026 14:20:33  system,info,account  user admin logged in from 10.0.0.5 via web
jul/24/2026 14:21:00  system,info,account  user unknown failed to log in from 203.0.113.5 via ssh
jul/24/2026 14:21:03  system,info,account  user unknown failed to log in from 203.0.113.5 via ssh
jul/24/2026 14:21:06  system,info,account  user unknown failed to log in from 203.0.113.5 via ssh

Nah, dari log ini kamu bisa lihat:

  • Ada user admin yang login dari dua IP berbeda — satu IP lokal (192.168.1.10), satu IP asing (10.0.0.5)
  • Ada percobaan login gagal dari IP 203.0.113.5 sebanyak 3 kali — ini indikasi brute-force attack!
  • Kalau ini terjadi di router produksi, langsung blokir IP tersebut di firewall.

5. Mengecek Riwayat Terakhir Login User

Untuk melihat kapan terakhir seorang user login: 

/user print

Contoh: 

Flags: X - disabled
 #   NAME      GROUP   ADDRESS        LAST-LOGGED-IN
 0   admin     full    0.0.0.0/0      jul/24/2026 15:30:42
 1   teknisi   write   192.168.1.0/24 jul/24/2026 15:45:18
 2   operator  read    192.168.1.0/24 dec/31/2025 00:00:00

Bacanya:

  • Kolom ADDRESS — Network/range IP yang diizinkan untuk login user ini. Kalau 0.0.0.0/0, artinya user bisa login dari mana aja.
  • Kolom LAST-LOGGED-IN — Kapan terakhir user ini berhasil login. Kalau sudah lama (bulan/tahun lalu), mungkin user itu udah gak aktif dan perlu dihapus.

Kalau ada user yang IP address-nya 0.0.0.0/0 tapi seharusnya cuma dipake dari jaringan lokal, ini celah keamanan.

Verifikasi

Setelah melakukan langkah-langkah di atas, verifikasi bahwa:

  1. Kamu bisa melihat daftar user yang sedang login di router kamu — dan bisa menjelaskan setiap sesi yang tampil
  2. Kamu bisa memutus sesi user lain (coba buka dua sesi Winbox/SSH, lalu putus salah satu dari sesi lainnya)
  3. Log aktivitas user menampilkan informasi login/logout/gagal login dengan benar
  4. Kamu bisa membedakan mana sesi normal dan mana yang mencurigakan

Tes cepat: buka terminal baru lewat SSH, lalu di terminal Winbox jalankan /user active print. Pastikan sesi SSH baru itu muncul di daftar.

Troubleshooting

Tidak bisa melihat active user

  • Kemungkinan: user kamu gak punya hak policy atau read yang cukup. Minimal jadi member group read.
  • Cek group kamu di /user print.
  • Solusi: minta admin menambahkan hak read dan policy ke group kamu.

Ada user mencurigakan

  • Jangan panik. Catat dulu: IP asal, username, via, dan waktu login.
  • Putus sesinya dengan /user active request-logout.
  • Segera ganti password user yang diretas.
  • Blokir IP asal di firewall — lihat Mikrotik : Address List Dasar untuk cara blacklist otomatis.
  • Kalau curiga ada backdoor, backup konfigurasi dulu, lalu reset router.

Log activity kosong

  • Cek apakah topic logging account sudah diaktifkan: /system logging print
  • Pastikan ada baris dengan topics=account atau topics=system.
  • Kalau belum ada, tambahkan: /system logging add topics=system,info,action=memory

Sesi user tidak muncul padahal dia lagi login

  • Mungkin user login dari metode yang gak tercatat sebagai session — misalnya via API yang readonly tanpa session tracking.
  • Coba cek dari sisi lain: login ke router dari Winbox, pasti muncul.

Catatan Keamanan

  • ⚠️ Jangan asal putus sesi orang lain — apalagi kalau kamu di lingkungan produksi. Bisa menyebabkan konflik atau kehilangan akses remote.
  • 🔐 Gunakan login dari IP terbatas — untuk user admin, set address ke IP admin room atau jaringan internal, bukan 0.0.0.0/0. Caranya: /user set admin address=192.168.1.0/24
  • 🚫 Jangan memakai password default. Ganti password admin segera setelah reset atau instalasi baru.
  • 📋 Catat sesi mencurigakan sebelum memutusnya — screenshoot atau catat IP/waktu buat laporan.
  • 🔒 Gunakan group yang tepat: jangan kasih semua user group full. Buat group read-only untuk teknisi junior, write untuk teknisi senior, dan full cuma untuk admin utama. Lihat bagian Materi terkait untuk artikel user group.
  • ⏰ Perhatikan inactivity-timeout — atur agar user yang lupa logout otomatis diputus setelah 10-15 menit tidak aktif: /user set [find] inactivity-timeout=15m inactivity-policy=logout

Kesimpulan

Mengecek siapa yang login ke router itu keterampilan dasar yang wajib dimiliki oleh siapapun yang mengelola jaringan. Dengan /user active print kamu bisa memonitor sesi aktif secara real-time, dan dengan /log print kamu bisa merekam jejak aktivitas untuk audit.

Kombinasi antara monitoring aktif (cek sesi sekarang) dan logging (rekam jejak) membuat router kamu gak lagi jadi kotak hitam — kamu tahu persis siapa melakukan apa dan dari mana.

Kalau kamu lancar materi ini, lanjut ke seri User Management yang lebih lengkap untuk mengatur siapa aja yang boleh akses router dan dengan hak apa.

Materi terkait

Referensi

Retrieved from "https://noctkj.net/index.php?title=Mikrotik_:_Praktikum_Cek_Siapa_yang_Login_(Active_User_dan_Log)&oldid=1361"