View source for Linux : Firewall Dasar dengan nftables

= Linux : Firewall Dasar dengan nftables =

== Tujuan ==
Setelah praktik ini, kamu diharapkan bisa:
* memahami fungsi firewall di server Linux;
* membaca aturan dasar `nftables`;
* membuat aturan firewall sederhana untuk server SSH/Web;
* mengecek apakah aturan sudah aktif tanpa asal tebak;
* tahu risiko paling umum supaya tidak mengunci diri sendiri dari server.

== Konteks nyata ==
Di dunia kerja, server jarang dibiarkan terbuka semua port-nya. Server web biasanya cukup menerima trafik tertentu, misalnya SSH untuk admin, HTTP untuk website, dan HTTPS untuk website aman. Port lain yang tidak dipakai sebaiknya ditutup.

Di Linux modern, `nftables` adalah framework firewall yang menggantikan keluarga lama seperti `iptables`, `ip6tables`, `arptables`, dan `ebtables`. Banyak distro baru tetap menyediakan perintah `iptables`, tapi di belakang layar sering sudah memakai backend nftables. Jadi, belajar nftables itu relevan untuk admin Linux, cloud server, VPS, router Linux, sampai lab cybersecurity defensif.

== Analogi sederhana ==
Bayangkan server seperti ruang server di sekolah.

* Alamat IP itu seperti alamat gedung.
* Port itu seperti pintu ruangan: pintu SSH, pintu web, pintu database, dan seterusnya.
* Firewall itu seperti satpam di gerbang.
* Rule firewall itu seperti daftar tamu: siapa boleh lewat, lewat pintu mana, dan kapan harus ditolak.

Kalau semua pintu dibiarkan terbuka, orang yang tidak perlu masuk bisa ikut mencoba. Kalau semua pintu ditutup, admin sendiri bisa terkunci di luar. Jadi firewall yang baik bukan asal blokir semuanya, tapi membuka jalur yang memang dibutuhkan.

== Kebutuhan awal ==
Praktik ini cocok untuk Debian/Ubuntu server di lab.

Kamu butuh:
* akses `sudo` atau root;
* koneksi terminal ke server;
* tahu port SSH yang sedang dipakai, biasanya `22`;
* akses console VM atau snapshot kalau sedang belajar di mesin virtual;
* jangan jalankan di server produksi sebelum paham dampaknya.

Kalau server kamu memakai SSH port custom, ganti angka `22` di contoh menjadi port SSH yang benar. Kalau salah, kamu bisa terkunci dari server.

== Konsep penting nftables ==
Struktur nftables biasanya begini:

* `table`: wadah besar untuk aturan, seperti map besar di pos satpam.
* `chain`: jalur pemeriksaan, misalnya trafik masuk ke server.
* `rule`: aturan spesifik, misalnya izinkan SSH atau tolak paket lain.
* `policy`: keputusan default kalau tidak ada rule yang cocok.

Untuk server biasa, chain yang paling sering dilihat adalah:
* `input`: trafik yang masuk ke server ini;
* `forward`: trafik yang lewat melalui server, biasanya router;
* `output`: trafik yang keluar dari server.

== Langkah praktik ==

=== 1. Cek service yang sedang terbuka ===
Sebelum bikin firewall, lihat dulu pintu mana yang sedang terbuka.

<syntaxhighlight lang="bash">
sudo ss -tulpen
</syntaxhighlight>

Perhatikan kolom `Local Address:Port`. Misalnya ada `:22`, `:80`, dan `:443`, berarti server menerima SSH, HTTP, dan HTTPS.

=== 2. Install nftables ===
Di Debian/Ubuntu:

<syntaxhighlight lang="bash">
sudo apt update
sudo apt install nftables
</syntaxhighlight>

Cek versi dan aturan yang sedang aktif:

<syntaxhighlight lang="bash">
sudo nft --version
sudo nft list ruleset
</syntaxhighlight>

Kalau output `list ruleset` kosong, artinya belum ada aturan nftables yang aktif.

=== 3. Buat konfigurasi dasar ===
Buka file konfigurasi:

<syntaxhighlight lang="bash">
sudo nano /etc/nftables.conf
</syntaxhighlight>

Isi contoh berikut cocok untuk server lab yang menerima SSH, HTTP, dan HTTPS:

<syntaxhighlight lang="bash">
#!/usr/sbin/nft -f

flush ruleset

table inet filter {
    chain input {
        type filter hook input priority 0; policy drop;

        iif "lo" accept
        ct state established,related accept

        ip protocol icmp accept
        meta l4proto ipv6-icmp accept

        tcp dport 22 accept
        tcp dport { 80, 443 } accept
    }

    chain forward {
        type filter hook forward priority 0; policy drop;
    }

    chain output {
        type filter hook output priority 0; policy accept;
    }
}
</syntaxhighlight>

Penjelasan singkat:
* `flush ruleset` membersihkan aturan lama sebelum aturan baru dipasang;
* `table inet` bisa menangani IPv4 dan IPv6 dalam satu tempat;
* `policy drop` berarti trafik masuk ditolak kecuali ada izin khusus;
* `iif "lo" accept` mengizinkan komunikasi lokal di dalam server;
* `ct state established,related accept` mengizinkan balasan dari koneksi yang sudah sah;
* `icmp` dan `ipv6-icmp` membantu ping dan fungsi jaringan dasar;
* `tcp dport 22 accept` membuka SSH;
* `tcp dport { 80, 443 } accept` membuka HTTP dan HTTPS.

=== 4. Tes syntax dulu ===
Jangan langsung menyalakan firewall kalau file masih salah. Tes dulu:

<syntaxhighlight lang="bash">
sudo nft -c -f /etc/nftables.conf
</syntaxhighlight>

Kalau tidak ada error, syntax-nya aman untuk diterapkan.

=== 5. Terapkan aturan ===
Aktifkan aturan dari file:

<syntaxhighlight lang="bash">
sudo nft -f /etc/nftables.conf
</syntaxhighlight>

Lalu aktifkan service agar aturan dimuat saat boot:

<syntaxhighlight lang="bash">
sudo systemctl enable --now nftables
</syntaxhighlight>

Kalau kamu sedang remote SSH, jangan tutup terminal lama dulu. Buka terminal baru, lalu coba login SSH lagi. Kalau terminal baru berhasil masuk, berarti rule SSH tidak memutus akses admin.

== Verifikasi ==
Cek status service:

<syntaxhighlight lang="bash">
systemctl status nftables --no-pager
</syntaxhighlight>

Cek ruleset yang sedang aktif:

<syntaxhighlight lang="bash">
sudo nft list ruleset
</syntaxhighlight>

Dari komputer lain di jaringan lab, kamu bisa cek port yang memang boleh terbuka:

<syntaxhighlight lang="bash">
nmap -Pn -p 22,80,443 IP_SERVER
</syntaxhighlight>

Hasil yang sehat untuk contoh ini:
* port SSH terbuka jika memang dipakai admin;
* port 80/443 terbuka jika server menjalankan web;
* port lain tidak ikut terbuka tanpa alasan.

== Troubleshooting ==

=== SSH tiba-tiba tidak bisa masuk ===
Kemungkinan port SSH di rule salah. Kalau punya console VM, login dari console lalu cek:

<syntaxhighlight lang="bash">
sudo ss -tulpen | grep ssh
sudo nft list ruleset
</syntaxhighlight>

Jika SSH ternyata berjalan di port custom, ubah rule `tcp dport 22 accept` menjadi port yang benar.

=== Website tidak bisa diakses ===
Pastikan web server benar-benar listen di port 80/443:

<syntaxhighlight lang="bash">
sudo ss -tulpen | grep -E ':80|:443'
</syntaxhighlight>

Kalau service web aktif tapi tetap tidak bisa diakses, cek apakah rule HTTP/HTTPS ada di `nft list ruleset`.

=== Error saat menjalankan nft -f ===
Biasanya karena typo, kurung kurawal kurang, atau nama interface salah. Jalankan:

<syntaxhighlight lang="bash">
sudo nft -c -f /etc/nftables.conf
</syntaxhighlight>

Perbaiki error sesuai baris yang ditunjukkan.

=== Rule terasa bentrok dengan UFW atau firewalld ===
Sebaiknya jangan mengelola firewall dari dua alat sekaligus tanpa paham betul. Pilih salah satu pendekatan. Kalau memakai UFW, kelola dari UFW. Kalau memakai firewalld, kelola dari firewalld. Kalau ingin belajar nftables langsung, pastikan layanan firewall lain tidak sedang menimpa aturanmu.

== Catatan keamanan ==
* Praktikkan dulu di VM lab, bukan langsung di server penting.
* Simpan akses console atau snapshot sebelum mengubah firewall.
* Buka hanya port yang memang dibutuhkan.
* Jangan menutup ICMP secara asal, karena ICMP membantu diagnosa jaringan dan IPv6 butuh ICMPv6 untuk fungsi penting.
* Jangan campur banyak firewall manager kalau belum paham urutan dan dampaknya.
* Firewall bukan pengganti update sistem, konfigurasi SSH aman, password kuat, dan monitoring log.

== Kesimpulan ==
`nftables` adalah firewall modern di Linux. Cara berpikirnya sederhana: tentukan pintu mana yang boleh dibuka, tulis rule dengan rapi, tes syntax, aktifkan, lalu verifikasi dari sisi server dan sisi klien.

Untuk siswa TKJ, nftables bagus dipelajari karena menghubungkan konsep jaringan, server, keamanan, dan troubleshooting. Di industri, skill seperti ini sering dipakai saat mengamankan VPS, server sekolah, router Linux, lab cloud, dan layanan web internal.

== Sumber belajar lanjutan ==
* [https://www.netfilter.org/projects/nftables/index.html netfilter.org - The nftables project]
* [https://wiki.nftables.org/wiki-nftables/index.php/Quick_reference-nftables_in_10_minutes nftables wiki - Quick reference]
* [https://documentation.ubuntu.com/security/security-features/network/firewall/nftables/ Ubuntu Security Documentation - nftables]
* [https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/7/html/security_guide/chap-getting_started_with_nftables Red Hat Docs - Getting started with nftables]

[[Category:TKJ]]
[[Category:Linux]]
[[Category:Server]]
[[Category:Jaringan]]
[[Category:Cyber Security]]