Mikrotik : Praktikum Cek VLAN dengan Bridge VLAN Table

Artikel ini adalah praktikum pendamping untuk materi Mikrotik : VLAN Dasar. Kalau materi pagi membahas konsep VLAN, VLAN ID, trunk, access port, PVID, dan bridge VLAN filtering, maka praktik sore ini fokus ke cara mengecek apakah VLAN di lab benar-benar jalan.

Bayangkan jaringan sekolah seperti gedung dengan beberapa ruangan. VLAN itu seperti membagi jalur kendaraan di area sekolah: jalur siswa, jalur guru, dan jalur tamu boleh lewat gerbang yang sama, tetapi tetap punya rambu dan tujuan masing-masing. Bridge VLAN Table adalah papan petunjuk di gerbang itu. Dari sini kita bisa melihat VLAN mana yang boleh lewat port mana, port mana yang tagged, dan port mana yang untagged.

Tujuan praktikum

Setelah mengikuti praktik ini, kamu diharapkan bisa:

mengecek status bridge VLAN filtering di MikroTik;
membaca tabel VLAN pada bridge;
membedakan port tagged dan untagged saat verifikasi;
mengecek PVID pada port access;
menguji client VLAN dengan ping dan DHCP lease;
menemukan penyebab umum VLAN tidak jalan di lab.

Kapan praktik ini dipakai?

Praktik ini cocok dipakai setelah kamu membuat VLAN di bridge MikroTik, misalnya:

VLAN 20 untuk jaringan siswa;
VLAN 30 untuk jaringan guru;
ether2 sebagai trunk ke switch managed;
ether3 sebagai access port VLAN 20;
ether4 sebagai access port VLAN 30.

Di dunia kerja, pengecekan seperti ini penting karena masalah VLAN sering kelihatan seperti masalah IP biasa. Client tidak dapat IP, tidak bisa ping gateway, atau jaringan antar-ruangan terasa bercampur. Padahal akar masalahnya bisa saja ada di tagging VLAN, PVID, atau port yang belum masuk tabel VLAN.

Kebutuhan awal

Sebelum mulai, siapkan:

MikroTik RouterOS v7 atau v6 yang mendukung bridge VLAN filtering;
akses Winbox, WebFig, atau terminal;
konfigurasi dasar bridge dan VLAN sudah dibuat;
minimal satu client untuk uji VLAN siswa/guru;
catatan topologi sederhana: port mana trunk, port mana access, VLAN ID berapa.

Contoh topologi lab:

Internet/Router lain
        |
     MikroTik
        |
  bridge-lan
   |      |      |
ether2  ether3  ether4
trunk   siswa   guru
        VLAN20  VLAN30

Langkah 1: cek bridge VLAN filtering

Pertama, pastikan bridge VLAN filtering aktif. Tanpa ini, tabel VLAN di bridge tidak benar-benar menjadi aturan lalu lintas VLAN.

Di terminal MikroTik:

/interface bridge print detail

Cari bridge yang dipakai, misalnya `bridge-lan`, lalu perhatikan bagian:

vlan-filtering=yes

Kalau masih `vlan-filtering=no`, VLAN belum difilter oleh bridge. Di lab, aktifkan hanya setelah konfigurasi port dan VLAN table sudah siap, karena salah konfigurasi bisa membuat akses ke router terputus.

Contoh mengaktifkan:

/interface bridge set bridge-lan vlan-filtering=yes

Langkah 2: cek port bridge dan PVID

PVID dipakai untuk port access. Ibarat siswa masuk lewat gerbang khusus, kalau paket datang tanpa label VLAN dari laptop siswa, MikroTik akan memberi label sesuai PVID port tersebut.

Cek port bridge:

/interface bridge port print detail

Contoh yang umum:

/interface bridge port
set [find interface=ether3] pvid=20
set [find interface=ether4] pvid=30

Yang perlu dicek:

port trunk biasanya tidak memakai PVID utama untuk client biasa;
port access siswa harus punya `pvid=20`;
port access guru harus punya `pvid=30`;
interface yang menjadi port bridge harus benar-benar masuk ke bridge yang sama.

Langkah 3: baca Bridge VLAN Table

Sekarang cek tabel VLAN:

/interface bridge vlan print detail

Contoh hasil yang diharapkan:

bridge=bridge-lan vlan-ids=20 tagged=bridge-lan,ether2 untagged=ether3
bridge=bridge-lan vlan-ids=30 tagged=bridge-lan,ether2 untagged=ether4

Cara membacanya:

`vlan-ids=20` berarti aturan ini untuk VLAN 20;
`tagged=ether2` berarti ether2 membawa VLAN 20 dalam bentuk tagged, cocok untuk trunk ke switch managed;
`untagged=ether3` berarti client biasa di ether3 tidak perlu mengerti tag VLAN;
`tagged=bridge-lan` sering diperlukan jika ada interface VLAN di atas bridge untuk gateway VLAN tersebut.

Analogi sederhananya: trunk itu jalan besar yang membawa banyak jalur dengan label. Access port itu pintu ruangan biasa; perangkat di dalam ruangan tidak perlu tahu labelnya, yang penting masuk ke ruangan yang benar.

Langkah 4: cek interface VLAN gateway

Kalau MikroTik menjadi gateway untuk tiap VLAN, biasanya ada interface VLAN di atas bridge.

Cek interface VLAN:

/interface vlan print detail

Contoh:

/interface vlan
add name=vlan20-siswa interface=bridge-lan vlan-id=20
add name=vlan30-guru interface=bridge-lan vlan-id=30

Lalu cek IP gateway:

/ip address print

Contoh:

192.168.20.1/24 interface=vlan20-siswa
192.168.30.1/24 interface=vlan30-guru

Kalau interface VLAN dibuat di interface fisik yang salah, misalnya langsung di `ether3` padahal desainnya memakai bridge VLAN filtering, hasilnya bisa membingungkan. Untuk lab bridge VLAN filtering, jadikan `bridge-lan` sebagai induk interface VLAN.

Langkah 5: uji client VLAN

Hubungkan laptop ke port access VLAN 20, misalnya ether3. Jika DHCP sudah disiapkan, cek apakah laptop mendapat IP dari subnet VLAN 20.

Di MikroTik:

/ip dhcp-server lease print

Lalu uji ping dari router ke client atau dari client ke gateway:

/ping 192.168.20.1

Dari laptop siswa, gateway yang benar seharusnya IP VLAN 20, misalnya:

192.168.20.1

Pindahkan laptop ke port VLAN 30 jika ingin menguji jaringan guru. IP client seharusnya berubah ke subnet VLAN 30.

Verifikasi cepat

Gunakan checklist ini sebelum menyimpulkan VLAN berhasil:

Hal yang dicek	Hasil yang diharapkan
`vlan-filtering` pada bridge	`yes`
PVID port access siswa	`20`
PVID port access guru	`30`
VLAN 20 di Bridge VLAN Table	trunk tagged, port siswa untagged
VLAN 30 di Bridge VLAN Table	trunk tagged, port guru untagged
Interface VLAN gateway	dibuat di atas bridge
IP client siswa	masuk subnet VLAN siswa
IP client guru	masuk subnet VLAN guru

Troubleshooting umum

Client tidak mendapat IP DHCP

Kemungkinan penyebab:

port access belum punya PVID yang benar;
port access belum masuk `untagged` pada VLAN yang sesuai;
DHCP server belum berjalan di interface VLAN yang benar;
kabel masuk ke port yang berbeda dari topologi;
trunk ke switch managed belum mengizinkan VLAN tersebut.

Cek cepat:

/interface bridge port print detail
/interface bridge vlan print detail
/ip dhcp-server print detail
/ip dhcp-server lease print

Client mendapat IP, tapi tidak bisa ping gateway

Kemungkinan penyebab:

IP gateway dipasang di interface yang salah;
interface VLAN belum dibuat di atas `bridge-lan`;
firewall filter memblokir trafik dari VLAN tersebut;
subnet atau gateway di DHCP network salah.

Cek:

/interface vlan print detail
/ip address print
/ip dhcp-server network print
/ip firewall filter print stats

VLAN antar port tercampur

Kalau client siswa bisa masuk ke jaringan guru tanpa aturan routing/firewall yang jelas, cek:

apakah `vlan-filtering` belum aktif;
apakah port access masuk ke VLAN table yang salah;
apakah ada bridge lain yang menggabungkan port tanpa filter;
apakah switch managed di bawah MikroTik masih memakai VLAN default di semua port.

Akses Winbox ke router hilang setelah VLAN filtering aktif

Ini sering terjadi saat lab. Penyebabnya biasanya port admin belum dimasukkan ke VLAN manajemen atau PVID-nya salah.

Langkah aman:

siapkan akses cadangan lewat MAC Winbox atau port khusus sebelum mengaktifkan VLAN filtering;
jangan mengaktifkan VLAN filtering dari jarak jauh kalau belum yakin;
kalau terkunci di lab fisik, colok ke port yang memang disiapkan untuk manajemen;
gunakan reset konfigurasi hanya sebagai jalan terakhir.

Catatan keamanan

VLAN membantu memisahkan jaringan, tetapi VLAN bukan pengganti firewall. Setelah VLAN siswa dan guru terpisah, tetap buat aturan firewall jika ingin membatasi akses antar-VLAN.

Contohnya, jaringan siswa mungkin boleh akses internet, tetapi tidak boleh akses perangkat administrasi sekolah. Di lingkungan industri, pemisahan seperti ini biasa dipakai untuk mengurangi risiko ketika satu segmen jaringan bermasalah.

Hati-hati juga dengan trunk port. Port trunk sebaiknya hanya menuju switch atau perangkat jaringan yang memang dipercaya. Jangan menjadikan port meja siswa sebagai trunk, karena itu seperti memberi kunci banyak ruangan ke orang yang tidak membutuhkannya.

Kesimpulan

Bridge VLAN Table adalah tempat utama untuk mengecek apakah VLAN pada bridge MikroTik sudah diarahkan ke port yang benar. Saat troubleshooting, jangan langsung menyalahkan DHCP atau internet. Cek dulu jalur VLAN-nya: bridge, PVID, tagged/untagged, interface VLAN gateway, lalu baru uji IP client.

Kalau alurnya rapi, VLAN tidak lagi terasa seperti hafalan command. Ia menjadi peta jalur jaringan: siapa lewat mana, membawa label apa, dan sampai ke ruangan mana.