WIKI TKJ

Mikrotik : Praktikum Mengamankan Layanan RouterOS

Mikrotik : Praktikum Mengamankan Layanan RouterOS adalah panduan praktis untuk memeriksa, menonaktifkan, dan membatasi akses ke layanan bawaan RouterOS. Artikel ini adalah pendamping dari seri User Management.

Tujuan

Setelah membaca artikel ini, siswa diharapkan mampu untuk:

  • Memeriksa layanan apa saja yang sedang berjalan di RouterOS
  • Menonaktifkan layanan yang tidak diperlukan
  • Membatasi akses ke layanan administrasi hanya dari jaringan lokal (LAN)
  • Mengganti port bawaan layanan tertentu
  • Memahami prinsip least privilege pada layanan router

Kenapa Layanan RouterOS Perlu Diamankan?

Bayangkan RouterOS sebagai sebuah rumah yang punya beberapa pintu (layanan). Secara bawaan, pabrik membuka semua pintu — SSH, Telnet, FTP, WebFig (HTTP/HTTPS), API, Winbox — dan semuanya bisa diakses dari mana saja, termasuk dari luar.

Dalam situasi lab atau jaringan rumahan, ini mungkin tidak langsung berbahaya. Tapi kalau router terhubung ke internet (langsung dengan IP publik), pintu yang tidak dikunci akan menjadi sasaran empuk peretas. Skenarionya mirip seperti meninggalkan semua pintu rumah terbuka lebar di malam hari.

Tujuan service hardening (pengerasan layanan) adalah:

  • Menutup pintu yang tidak dipakai
  • Memberi kunci tambahan pada pintu yang memang harus dibuka
  • Memastikan hanya orang yang berhak yang bisa masuk

Kebutuhan Awal

  • Router atau VM dengan RouterOS (CHR/v7) yang sudah direset atau sudah memiliki konfigurasi dasar
  • Akses ke router via:
** Terminal (SSH atau langsung) — cara paling cepat dan lengkap
** Winbox (GUI) — alternatif visual
** WebFig — bisa dipakai kalau WebFig masih aktif
  • Salah satu user admin (bisa user `admin` atau user kustom yang sudah dibuat di artikel sebelumnya)
  • Konflik: jangan lakukan di router produksi yang melayani banyak pengguna tanpa izin atasan

Langkah Praktik

1. Cek Layanan yang Berjalan

Langkah pertama adalah menginventarisasi semua layanan yang aktif.

Via Terminal: 

/ip service print

Output akan menunjukkan daftar layanan seperti ini: 

Flags: X - disabled, I - invalid
 #   NAME     PORT  PROTO  ADDRESS       CERTIFICATE  VRF    MAX-SESSIONS
 0   telnet   23    tcp                                             20
 1   ftp      21    tcp                                             20
 2   ssh      22    tcp                                             20
 3   www      80    tcp                                             20
 4  X www-ssl 443   tcp                                 none         20
 5   api      8728  tcp                                             20
 6   api-ssl  8729  tcp                                 none         20
 7   winbox   8291  tcp                                             20

Layanan yang memiliki flag X di depan artinya sudah disabled (dinonaktifkan).

Via Winbox:

  1. Buka menu IP → Services
  2. Akan muncul tabel semua layanan dengan status (centang = aktif, silang = mati)
  3. Dari sini kamu bisa langsung cek status dan konfigurasi

2. Matikan Layanan yang Tidak Dipakai

Tidak semua layanan diperlukan. Di lab TKJ atau jaringan kantor kecil, biasanya cukup:

  • ssh — akses remote via terminal
  • winbox — akses GUI
  • www-ssl — akses WebFig via HTTPS

Layanan yang aman dimatikan di sebagian besar skenario:

  • telnet — tidak aman, semua data dikirim plain text (termasuk password)
  • ftp — tidak aman, password dan data dikirim tanpa enkripsi. Gunakan SCP/SFTP via SSH sebagai gantinya
  • www (HTTP plain) — rentan intersepsi. Gunakan www-ssl (HTTPS) saja
  • api — hanya diperlukan kalau ada aplikasi eksternal (misal: Dude, Mikhmon, sistem billing)
  • api-ssl — versi aman dari API. Hanya aktifkan kalau ada aplikasi yang benar-benar membutuhkannya

Via Terminal — Matikan Telnet: 

/ip service disable telnet

Via Terminal — Matikan FTP: 

/ip service disable ftp

Via Terminal — Matikan HTTP (www) biar cuma HTTPS yang aktif: 

/ip service disable www

Via Winbox:

  1. Menu IP → Services
  2. Klik dua kali layanan yang ingin dimatikan
  3. Hilangkan centang Enabled atau klik kanan lalu pilih Disable

3. Batasi Akses ke Layanan dari LAN Saja

Setelah menonaktifkan layanan yang tidak perlu, langkah selanjutnya adalah membatasi dari mana saja layanan administrasi bisa diakses. Prinsipnya: layanan admin hanya bisa diakses dari jaringan LAN (dalam), bukan dari WAN (internet).

Via Terminal — Batasi SSH hanya dari LAN: 

/ip service set ssh address=192.168.88.0/24

Ganti `192.168.88.0/24` dengan subnet LAN kamu.

Via Terminal — Batasi Winbox hanya dari LAN: 

/ip service set winbox address=192.168.88.0/24

Via Terminal — Batasi WebFig HTTPS hanya dari LAN: 

/ip service set www-ssl address=192.168.88.0/24

Via Winbox:

  1. Menu IP → Services
  2. Klik dua kali layanan (misal: SSH)
  3. Pada field Available From, isi dengan prefix jaringan LAN, misal: 192.168.88.0/24
  4. Klik OK

Kalau mau membatasi ke satu alamat IP tertentu (misal IP laptop admin): /ip service set ssh address=192.168.88.10/32

Catatan penting: Pastikan IP kamu sendiri termasuk dalam rentang yang diizinkan. Kalau tidak, kamu akan terkunci dari router dan harus akses via MAC Telnet atau reset fisik.

4. Ganti Port Bawaan (Opsional)

Mengganti port bawaan layanan adalah teknik security by obscurity (keamanan dengan menyembunyikan). Ini tidak menggantikan firewall, tapi bisa mengurangi jumlah serangan bot otomatis yang memindai port standar.

Via Terminal — Ganti Port SSH dari 22 ke 2222: 

/ip service set ssh port=2222

Via Winbox:

  1. Menu IP → Services
  2. Klik dua kali layanan SSH
  3. Ubah field Port menjadi port baru
  4. Klik OK

Peringatan: Kalau kamu mengganti port, jangan lupa memberitahu tim atau mencatat port barunya. Client SSH sekarang harus pakai ssh -p 2222 admin@192.168.88.1 atau set port di Winbox/putty.

5. Matikan Fitur Web Server yang Tidak Diperlukan

RouterOS punya web server internal dengan beberapa fitur: WebFig, halaman login, graph, REST API, SCEP, dan ACME. Masing-masing bisa dimatikan secara terpisah.

Via Terminal — Lihat status web server saat ini: 

/ip service print web

atau 

/ip service print secure

Via Terminal — Matikan WebFig HTTP saja (biarkan HTTPS): 

/ip service set www disabled=yes

Via Terminal — Matikan halaman utama (index) di HTTPS agar pengguna tidak melihat login page dari luar: 

/ip service set www-ssl address=192.168.88.0/24

6. Verifikasi

Setelah melakukan perubahan, lakukan pengecekan:

(a) Cek status layanan 

/ip service print where !disabled

Lihat hanya layanan yang aktif saja dan pastikan sesuai dengan yang diharapkan.

(b) Coba akses dari luar LAN Dari komputer yang tidak berada di subnet LAN (misal pakai tethering HP), coba akses:

  • SSH ke IP router — harus ditolak / timeout
  • Login Winbox — harus gagal
  • Buka `http://[ip-router]/` — harus tidak bisa

Kalau semua akses dari luar LAN gagal, berarti pembatasan sudah berjalan.

(c) Coba akses dari dalam LAN Pastikan akses dari komputer dalam LAN masih berfungsi normal:

  • Login Winbox berhasil
  • SSH lancar (kalau port diganti, pakai port baru)

Troubleshooting

"Saya terkunci dari router!"

Penyebab: Kamu membatasi akses layanan tapi IP kamu sendiri tidak termasuk dalam rentang yang diizinkan.

Solusi darurat:

  1. Gunakan MAC Telnet untuk akses langsung: Tools → MAC Telnet di Winbox (kalau sudah terhubung di jaringan yang sama)
  2. Atau reset router secara fisik: tahan tombol reset, colok power, lepas tombol setelah LED berkedip
  3. Kalau akses via MAC Telnet: login, lalu perbaiki rule /ip service set ssh address=0.0.0.0/0 (atau set ke subnet LAN yang benar)

"Service tidak bisa di-disable"

Beberapa layanan seperti winbox dan ssh mungkin sudah terlanjur penting. RouterOS tetap mengizinkan disable, tapi pastikan kamu masih punya cara alternatif untuk akses (misal: akses lokal via terminal/keyboard+monitor).

"Setelah matiin www-ssl, WebFig HTTPS jadi error"

Jangan matikan www-ssl kalau kamu andalkan WebFig remote. Alternatif: set address restriction saja agar hanya bisa diakses dari LAN.

"Client Winbox dari LAN tetap tidak bisa akses"

Cek: 

/ip service print where name=winbox

Pastikan field Address tidak kosong atau berisi subnet yang benar. Set ke address=0.0.0.0/0 untuk mengizinkan semua, atau subnet LAN kamu.

Catatan Keamanan

  • Jangan terlalu percaya pada perubahan port saja. Bot otomatis bisa memindai ribuan port. Gunakan pembatasan alamat IP (address restriction) sebagai lapisan pertahanan utama.
  • Jangan mematikan layanan yang masih dipakai. Inventaris dulu siapa saja yang bergantung pada layanan tersebut sebelum menonaktifkannya.
  • Akses dari WAN ke layanan administrasi sebaiknya ditolak di firewall, bukan hanya di IP Services. Pengaturan di IP Services hanya memblokir di level aplikasi, bukan di level jaringan. Untuk proteksi lebih baik, kombinasikan dengan firewall filter di chain input.
  • Catat perubahan yang kamu buat. Di lingkungan tim, perubahan konfigurasi layanan bisa membingungkan anggota tim lain.
  • Untuk lingkungan produksi, buat sesi backup dulu sebelum melakukan hardening: 
    /export file=sebelum-hardening

Kesimpulan

Mengamankan layanan RouterOS adalah langkah dasar tapi krusial dalam mengelola router. Dengan menonaktifkan layanan yang tidak perlu, membatasi akses dari LAN, dan mengganti port bawaan, kamu sudah mengurangi permukaan serangan router secara signifikan. Prinsipnya sederhana: semakin sedikit pintu yang terbuka, semakin sedikit celah yang bisa dimanfaatkan penyusup.

Materi terkait

Referensi

Retrieved from "https://noctkj.net/index.php?title=Mikrotik_:_Praktikum_Mengamankan_Layanan_RouterOS&oldid=1367"