View source for Cisco : ACL Dasar (Standar dan Extended)

'''ACL''' (Access Control List) adalah daftar aturan yang dibaca router dari atas ke bawah untuk memutuskan satu hal: paket ini boleh lewat atau tidak. Kalau kamu pernah ditanya "bagaimana caranya blokir lab siswa supaya tidak bisa buka server nilai", jawabannya hampir selalu ACL. Halaman ini membahas dua jenis yang paling sering dipakai, ACL standar dan ACL extended, lengkap dengan cara memasang di interface yang benar dan cara membuktikan aturannya benar-benar jalan lewat counter.

== 🎯 Tujuan ==
Setelah membaca dan praktik di halaman ini, kamu bisa:
* menjelaskan beda ACL standar dan ACL extended, serta kapan memakai masing-masing;
* menulis wildcard mask dengan benar tanpa tertukar dengan subnet mask;
* memasang ACL di interface dan arah yang tepat, lalu membuktikannya lewat counter;
* membaca gejala "aturan sudah ditulis tapi tidak berefek" dan menemukan penyebabnya;
* melindungi akses management router lewat ACL di jalur vty.

== 📍 Konteks nyata ==
Bayangkan pos satpam di pintu masuk sekolah yang memegang satu lembar daftar tamu. Daftar itu dibaca dari baris paling atas. Begitu ada baris yang cocok dengan orang di depan pintu, satpam langsung memutuskan: izinkan atau tolak. Baris di bawahnya tidak dibaca lagi.

Kalau nama seseorang tidak ada di daftar sama sekali, dia tidak masuk. Bukan karena ada baris "larang semua orang", tapi karena daftarnya sudah habis. Itulah yang di Cisco disebut implicit deny.

Router bekerja persis begitu. Kamu menulis daftar, memasangnya di satu pintu (interface), lalu memilih arah baca: dari luar masuk (in) atau dari dalam keluar (out).

* 🔥 '''Kasus nyata:''' di sebuah SMK, guru jaringan menambahkan baris blokir di posisi paling bawah daftar, setelah baris "izinkan semua". Selama dua minggu siswa tetap bisa membuka situs yang seharusnya diblokir, dan semua orang menyalahkan browser serta DNS. Setelah counter di <code>show access-lists</code> dibuka, baris blokir itu tertulis 0 match, artinya tidak pernah dibaca sekali pun.

== 🧠 Konsep singkat ==
=== 🔹 Tiga aturan dasar yang menentukan semuanya ===
Sebelum menghafal perintah, pegang dulu tiga aturan ini. Sembilan dari sepuluh masalah ACL lahir dari salah satu dari ketiganya.
* '''Urutan menentukan hasil.''' Aturan pertama yang cocok langsung dipakai, sisanya dilewati.
* '''Tidak tertulis berarti ditolak.''' Di akhir setiap ACL IP ada <code>deny ip any any</code> tersembunyi.
* '''ACL harus dipasang.''' Menulis daftar saja tidak mengubah apa pun sampai kamu menempelkannya ke interface.

=== 🔹 Dua keluarga ACL ===
Perbedaan intinya sederhana: ACL standar hanya bisa melihat '''alamat asal'''. ACL extended bisa melihat asal, tujuan, protokol, dan nomor port sekaligus.

{| class="wikitable"
! Aspek !! Standar !! Extended !! Catatan
|-
| Yang diperiksa || alamat asal || asal, tujuan, protokol, port || extended jauh lebih presisi
|-
| Rentang nomor || 1–99, 1300–1999 || 100–199, 2000–2699 || 1300/2000 disebut rentang diperluas
|-
| Tempat pemasangan || dekat tujuan || dekat sumber || agar paket yang pasti ditolak tidak jalan jauh
|-
| Contoh pemakaian || batasi siapa yang boleh masuk ke satu LAN || izinkan HTTP ke server, tolak sisanya || keduanya sering dipakai bersama
|}

Kalau kamu hanya ingin menjawab "siapa yang boleh lewat", ACL standar cukup. Kalau pertanyaannya "siapa, ke mana, lewat aplikasi apa", kamu butuh extended.

=== 🔹 Wildcard mask bukan subnet mask ===
Ini jebakan nomor satu bagi siswa. Subnet mask menunjukkan bagian '''jaringan'''. Wildcard mask menunjukkan bagian yang '''boleh berubah'''.

Cara membacanya: angka <code>0</code> berarti bit itu wajib sama, angka <code>1</code> berarti bit itu bebas. Karena itu wildcard disebut juga inverse mask, dan nilainya bisa dihitung dengan <code>255.255.255.255</code> dikurangi subnet mask.

{| class="wikitable"
! Ditulis !! Artinya !! Cakupan
|-
| <code>192.168.10.0 0.0.0.255</code> || tiga oktet pertama wajib sama || 256 alamat, 192.168.10.1 sampai .255
|-
| <code>192.168.10.0 0.0.0.3</code> || hanya 2 bit terakhir bebas || 4 alamat, .0 sampai .3
|-
| <code>host 192.168.10.10</code> || satu alamat pasti || 1 alamat, sama dengan wildcard 0.0.0.0
|-
| <code>any</code> || semua alamat || sama dengan 0.0.0.0 255.255.255.255
|}

* ⚠️ '''Hati-hati:''' menulis <code>192.168.10.0 255.255.255.0</code> tidak error, tapi artinya "oktet terakhir wajib 0". Praktis hanya alamat .0 yang cocok, jadi seluruh LAN kamu ditolak dan counter aturan tampak aneh.

=== 🔹 Arah in dan out dilihat dari sudut router ===
Arah selalu dihitung dari dalam router, bukan dari sudut PC. Ini yang sering membuat ACL dipasang terbalik.

{| class="wikitable"
! Arah !! Kapan diperiksa !! Dipakai untuk
|-
| <code>in</code> || paket baru masuk interface, sebelum tabel routing dibaca || menolak lebih awal, hemat jalur
|-
| <code>out</code> || paket sudah dirutekan, tepat sebelum keluar interface || menyaring berdasarkan tujuan akhir
|}

Contoh kalimat yang membingungkan tapi benar: ACL <code>in</code> di interface LAN menyaring paket yang '''dari''' PC menuju router. ACL <code>out</code> di interface yang sama menyaring paket yang '''menuju''' PC.

=== 🔹 Aturan penempatan yang disarankan Cisco ===
ACL extended sebaiknya dipasang sedekat mungkin dengan sumber. Alasannya murah: paket yang pasti ditolak tidak perlu menyeberangi jaringan dulu.

ACL standar sebaiknya dipasang sedekat mungkin dengan tujuan. Alasannya teknis: karena hanya melihat alamat asal, kalau dipasang di dekat sumber ia akan memblokir alamat itu ke '''semua''' tujuan, bukan hanya tujuan yang kamu maksud.

* 💡 '''Tips:''' hafalkan pola "extended ke sumber, standar ke tujuan". Dua aturan ini menyelesaikan sebagian besar kebingungan penempatan.

=== 🔹 Kenapa nomor bisa jadi masalah ===
ACL bernomor dianggap satu kesatuan. Perintah <code>no access-list 101 deny icmp any any</code> tidak menghapus satu baris, tapi menghapus '''seluruh''' ACL 101 dari router. Dokumentasi Cisco menyebut perilaku ini eksplisit.

Solusinya: pakai ACL bernama (<code>ip access-list extended NAMA</code>) yang punya nomor urut (sequence number). Dengan nomor urut, kamu bisa menghapus atau menyisipkan satu baris saja tanpa menyentuh yang lain.

* 📊 '''Angka penting:''' nomor urut otomatis bertambah 10 (10, 20, 30, dan seterusnya). Jarak 10 itu sengaja disisakan agar kamu bisa menyisipkan aturan di antaranya, misalnya nomor 15.

== 🧩 Istilah penting ==
{| class="wikitable"
! Istilah !! Arti singkat
|-
| ACE || satu baris aturan di dalam ACL
|-
| Implicit deny || penolakan otomatis di akhir daftar untuk paket yang tidak cocok
|-
| Wildcard mask || pola bit yang boleh berubah; kebalikan subnet mask
|-
| <code>access-group</code> || perintah menempelkan ACL ke interface
|-
| <code>access-class</code> || perintah menempelkan ACL ke jalur login (vty), bukan ke interface
|-
| Match counter || penghitung berapa paket yang kena satu baris aturan
|-
| Sequence number || nomor urut baris pada ACL bernama
|-
| Shadowed rule || aturan yang tidak pernah terbaca karena tertutup aturan di atasnya
|-
| <code>established</code> || kata kunci yang cocok dengan balasan TCP yang membawa flag ACK atau RST
|-
| VTY || jalur login remote ke router (SSH/Telnet)
|}

== 🔧 Praktik: ACL Standar dan Extended di Packet Tracer ==
Lab ini memakai satu router dan dua jaringan: ruang siswa dan ruang server. Tujuannya bukan sekadar "berhasil memblokir", tapi bisa '''menunjukkan bukti''' bahwa blokirnya bekerja di tempat yang benar.

{| class="wikitable"
! Perangkat !! Interface !! Alamat
|-
| R1 || G0/0 || 192.168.10.1/24
|-
| R1 || G0/1 || 192.168.20.1/24
|-
| PC-SISWA || Fa0 || 192.168.10.10/24, gateway 192.168.10.1
|-
| PC-GURU || Fa0 || 192.168.10.20/24, gateway 192.168.10.1
|-
| Server-PT || Fa0 || 192.168.20.10/24, gateway 192.168.20.1
|}

=== 🔹 Langkah 1: bangun baseline sebelum menyaring ===
# Susun topologi di atas, nyalakan semua perangkat, dan tunggu lampu link hijau.
# Beri alamat pada kedua interface router, lalu pastikan port aktif.
<syntaxhighlight lang="text">
enable
configure terminal
interface g0/0
 ip address 192.168.10.1 255.255.255.0
 no shutdown
interface g0/1
 ip address 192.168.20.1 255.255.255.0
 no shutdown
end
</syntaxhighlight>
# Nyalakan layanan HTTP di Server-PT, lalu dari PC-SISWA uji dua hal: <code>ping 192.168.20.10</code> dan buka <code>http://192.168.20.10</code> di tab Web Browser.
# Catat hasil baseline. Semua harus berhasil sebelum kamu menambah aturan apa pun.

* 💡 '''Tips:''' baseline yang tercatat rapi membuat perubahan berikutnya mudah dibuktikan. Tanpa baseline, kamu tidak tahu apakah kegagalan berasal dari ACL atau dari langkah sebelumnya.

=== 🔹 Langkah 2: ACL standar untuk satu host ===
Skenario: PC-SISWA tidak boleh menyentuh ruang server, PC-GURU tetap boleh. Karena ACL standar hanya melihat asal, pasang di interface dekat tujuan, yaitu G0/1 arah keluar.

<syntaxhighlight lang="text">
configure terminal
access-list 10 deny host 192.168.10.10
access-list 10 permit any
interface g0/1
 ip access-group 10 out
end
</syntaxhighlight>

Uji dari PC-SISWA: ping gagal, browser gagal. Uji dari PC-GURU: keduanya berhasil. Kalau begitu, ACL bekerja.

Sekarang pindahkan ACL yang sama ke tempat yang salah untuk melihat efeknya. Hapus dari G0/1, pasang di G0/0 arah masuk.

<syntaxhighlight lang="text">
configure terminal
interface g0/1
 no ip access-group 10 out
interface g0/0
 ip access-group 10 in
end
</syntaxhighlight>

PC-SISWA sekarang kehilangan akses ke '''semua''' tujuan, termasuk ke gateway sendiri. Inilah alasan aturan penempatan tadi ada. Kembalikan ke G0/1 setelah kamu melihat gejalanya.

=== 🔹 Langkah 3: ACL extended untuk satu layanan ===
Sekarang skenarionya naik: siswa boleh membuka web server, tapi tidak boleh ping atau memakai layanan lain ke ruang server. Sisa trafik lainnya tetap bebas.

<syntaxhighlight lang="text">
configure terminal
access-list 100 permit tcp 192.168.10.0 0.0.0.255 host 192.168.20.10 eq 80
access-list 100 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
access-list 100 permit ip any any
interface g0/0
 ip access-group 100 in
end
</syntaxhighlight>

Uji dari PC-SISWA: halaman web terbuka, tapi <code>ping 192.168.20.10</code> gagal. Uji dari PC-GURU: ping tetap berhasil, karena aturan hanya menyebut subnet siswa.

* 📊 '''Angka penting:''' port 80 ditulis dengan kata kunci <code>eq 80</code> atau <code>eq www</code>. Operator lain yang tersedia: <code>gt</code>, <code>lt</code>, <code>neq</code>, dan <code>range</code> untuk rentang port.

=== 🔹 Langkah 4: buktikan lewat counter, bukan perasaan ===
Ini langkah yang paling sering dilewatkan siswa, padahal paling berguna saat ujian praktik maupun saat kerja.

<syntaxhighlight lang="text">
show access-lists
show ip interface g0/0
clear ip access-list counters
</syntaxhighlight>

Setiap baris punya angka match. Aturan yang angkanya nol saat kamu yakin seharusnya kena berarti tidak pernah dieksekusi. Perintah <code>clear ip access-list counters</code> mereset hitungan agar uji berikutnya bersih.

* 🧪 '''Uji cepat:''' buka web dari PC-SISWA, lalu jalankan <code>show access-lists</code>. Baris <code>permit tcp ... eq 80</code> harus naik. Kalau yang naik justru baris <code>deny ip</code>, urutan aturanmu terbalik.

=== 🔹 Langkah 5: ACL bernama dan penyuntingan aman ===
Ulangi aturan langkah 3 memakai nama. Perhatikan nomor urut yang muncul sendiri.

<syntaxhighlight lang="text">
configure terminal
ip access-list extended LAB-SISWA
 10 permit tcp 192.168.10.0 0.0.0.255 host 192.168.20.10 eq 80
 20 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
 30 permit ip any any
 exit
interface g0/0
 no ip access-group 100 in
 ip access-group LAB-SISWA in
end
</syntaxhighlight>

Sekarang coba dua cara menghapus. Pertama hapus satu baris dari ACL bernama, lalu lihat isinya masih lengkap.

<syntaxhighlight lang="text">
configure terminal
ip access-list extended LAB-SISWA
 no 20
 exit
end
show access-lists LAB-SISWA
</syntaxhighlight>

Bandingkan dengan <code>no access-list 100</code>. Perintah itu menghapus seluruh daftar sekaligus. Inilah alasan tim jaringan di industri hampir selalu memakai ACL bernama.

* ⚠️ '''Hati-hati:''' menghapus baris <code>deny</code> di tengah berarti semua trafik ke ruang server kembali diizinkan oleh baris <code>permit ip any any</code> di bawahnya. Selalu baca ulang daftar setelah menyunting.

=== 🔹 Langkah 6: lindungi jalur login dengan access-class ===
ACL juga bisa membatasi siapa yang boleh SSH ke router. Perintahnya beda: <code>access-class</code>, bukan <code>access-group</code>.

<syntaxhighlight lang="text">
configure terminal
access-list 20 permit 192.168.10.0 0.0.0.255
access-list 20 deny any
line vty 0 4
 access-class 20 in
end
</syntaxhighlight>

* 🔥 '''Kasus nyata:''' sebuah kantor cabang memasang ACL vty yang hanya mengizinkan subnet management lama. Setelah subnet dipindah, tidak ada satu pun admin yang bisa SSH, dan perangkat harus diambil alih lewat console di ruang server. Sediakan jalur cadangan sebelum mengunci pintu.

=== 🔹 Langkah 7: rapikan dan simpan ===
# Hapus ACL uji bila lab selesai: <code>no ip access-group 100 in</code> di interface, lalu <code>no access-list 100</code>.
# Untuk ACL bernama: <code>no ip access-list extended LAB-SISWA</code>.
# Simpan konfigurasi dengan <code>copy running-config startup-config</code>.

== ✅ Verifikasi ==
Jalankan empat perintah ini setelah setiap perubahan. Masing-masing menjawab pertanyaan berbeda.

{| class="wikitable"
! Perintah !! Yang dibuktikan
|-
| <code>show access-lists</code> || isi aturan, urutan, dan jumlah match per baris
|-
| <code>show ip interface g0/0</code> || ACL mana yang menempel, di arah mana
|-
| <code>show running-config &#124; include access</code> || semua ACL dan access-group yang aktif
|-
| <code>show ip interface brief</code> || kondisi interface, untuk memisahkan masalah ACL dari masalah link
|}

Tiga pertanyaan yang harus kamu jawab berurutan saat uji:
* Apakah aturan yang benar-benar dieksekusi angkanya naik? Kalau tidak, masalahnya di urutan atau di penempatan.
* Apakah ACL menempel di interface dan arah yang kamu maksud? Cek baris <code>Inbound access list</code> dan <code>Outbound access list</code>.
* Apakah paket memang sampai ke router? Kalau interface <code>down</code>, ACL bukan tersangka utama.

* 🧪 '''Uji cepat:''' reset counter, lakukan satu aksi saja (satu ping atau satu buka halaman), lalu baca counter. Satu aksi satu bukti jauh lebih mudah dibaca daripada sepuluh aksi sekaligus.

== ⚠️ Kesalahan umum & troubleshooting ==
{| class="wikitable"
! Gejala !! Penyebab !! Perbaikan
|-
| Semua trafik mati setelah ACL dipasang || tidak ada baris permit, implicit deny menutup sisanya || tambahkan permit yang diperlukan di akhir
|-
| Aturan blokir tidak berefek, counter 0 || aturan tertutup permit di atasnya || pindahkan blokir ke atas, atau pakai nomor urut kecil
|-
| Seluruh LAN ditolak || wildcard ditulis sebagai subnet mask || hitung ulang dengan 255.255.255.255 minus mask
|-
| Host yang diblokir tetap bisa ke tujuan lain || ACL standar dipasang dekat sumber || pindahkan ke interface dekat tujuan
|-
| Web jalan, tapi DNS dan ping mati || extended terlalu sempit, tidak ada permit lain || tambahkan permit untuk layanan yang masih dibutuhkan
|-
| Situs tidak terbuka padahal aturan izin port 443 ada || ACL di WAN arah in menolak paket balasan || izinkan <code>established</code> atau pindahkan ACL ke sisi LAN
|-
| Semua ACL hilang setelah hapus satu baris || memakai <code>no access-list</code> pada ACL bernomor || pakai ACL bernama dengan nomor urut
|-
| Klien tidak dapat alamat IP || DHCP ditolak implicit deny || izinkan UDP 68 ke 67, karena asal paket 0.0.0.0
|-
| SSH ke router mati total || ACL vty hanya mengizinkan subnet yang salah || perbaiki lewat console, siapkan jalur cadangan
|-
| Counter naik tapi user tetap tidak bisa akses || ACL bukan satu-satunya lapis, bisa jadi routing atau NAT || periksa tabel routing dan terjemahan alamat
|}

Beberapa catatan tambahan yang jarang tertulis di buku:
* '''Paket buatan router sendiri tidak disaring ACL interface keluar.''' Kalau <code>ping</code> dari router tetap berhasil padahal PC diblokir, itu normal.
* '''Satu interface hanya punya satu ACL per protokol per arah.''' Memasang ACL kedua menimpa yang pertama, bukan menambah.
* '''Pecahan paket hanya membawa info port di bagian pertama.''' Aturan berbasis port tidak bisa menilai pecahan lanjutan, jadi hasilnya bisa berbeda dari dugaan.
* '''Kata kunci <code>established</code> hanya untuk TCP.''' Ia mencocokkan paket dengan flag ACK atau RST, dan bukan pengganti firewall stateful.

* ⚠️ '''Hati-hati:''' mengaktifkan <code>log</code> di setiap baris terlihat rapi, tapi membanjiri buffer log dan membebani CPU. Nyalakan sementara saat mendiagnosis, lalu matikan.

== 🔐 Catatan keamanan & etika ==
ACL adalah alat penyaring, bukan tembok. Beberapa hal yang perlu kamu pegang:
* ACL hanya menyaring berdasarkan header. Ia tidak memeriksa isi paket, tidak mendeteksi serangan, dan tidak mengenal aplikasi.
* ACL tanpa state mudah ditembus dengan memalsukan alamat asal. Untuk perlindungan serius, ACL dipasang bersama firewall stateful dan otentikasi.
* Pasang penolakan alamat privat di sisi WAN agar paket dengan asal 10.x, 172.16.x, atau 192.168.x dari internet tidak masuk. Ini praktik anti-spoofing yang murah.
* Memblokir situs untuk siswa adalah kebijakan sekolah, bukan hak istimewa admin. Catat alasannya, dan jangan menyaring perangkat pribadi tanpa izin.
* Log ACL berisi alamat IP pengguna. Perlakukan sebagai data pribadi: jangan dibagikan di grup kelas atau media sosial.

* 💡 '''Tips:''' tulis komentar di setiap ACL (<code>remark</code>) berisi tanggal, nama pembuat, dan tujuannya. Enam bulan kemudian, komentar itu yang menyelamatkanmu.

== 🏭 Dipakai di dunia kerja ==
* '''Sekolah:''' lab siswa dipisah dari server nilai. ACL extended mengizinkan hanya HTTP ke server ujian, sehingga siswa tidak bisa mengutak-atik file lewat layanan lain.
* '''Kantor:''' printer dan file server hanya boleh diakses divisi tertentu. ACL standar di interface dekat server jadi pilihan paling sederhana dan cepat dirawat.
* '''Rumah sakit:''' jaringan alat medis dipisah dari jaringan tamu. ACL memastikan perangkat pasien tidak bisa membuka port management alat.
* '''ISP dan penyedia layanan:''' ACL dipakai menolak lalu lintas dengan alamat sumber palsu, termasuk alamat privat yang datang dari arah pelanggan.
* '''Data center:''' rak pelanggan dibatasi agar hanya bisa berkomunikasi dengan subnet miliknya sendiri, mencegah satu penyewa mengganggu penyewa lain.
* '''Industri dan pabrik:''' jaringan mesin produksi dikunci agar hanya bisa diakses dari ruang kontrol, karena perubahan tak terduga di jaringan itu bisa menghentikan lini produksi.

== 📌 Kesimpulan ==
ACL itu daftar yang dibaca berurutan, dengan penolakan otomatis di ujungnya, dan baru bekerja setelah dipasang di interface. ACL standar menyaring berdasarkan asal dan dipasang dekat tujuan; ACL extended menyaring asal, tujuan, protokol, dan port, lalu dipasang dekat sumber.

Kalau kamu hanya mengingat satu kebiasaan dari halaman ini, ingat ini: setelah menulis aturan, buka counter. Angka match adalah satu-satunya bukti bahwa aturanmu benar-benar dibaca router, bukan sekadar tersimpan rapi di konfigurasi.

Langkah berikutnya: buka halaman NAT dan PAT di Cisco. Di sana kamu akan melihat ACL dan penerjemahan alamat bekerja berdampingan, dan urutan pemeriksaannya sering menjadi sumber kebingungan baru yang menarik untuk dibongkar.

== 🔗 Materi terkait ==
* [[Cisco : Dasar CLI Cisco IOS (Mode dan Konfigurasi Awal)]] — prasyarat: paham mode dan cara menyimpan konfigurasi.
* [[Cisco : Konfigurasi VLAN di Switch Cisco]] — dasar memisahkan jaringan sebelum disaring.
* [[Cisco : Trunk dan Inter-VLAN Routing (Router-on-a-Stick)]] — supaya kamu tahu paket antar-VLAN lewat jalur mana.
* [[Cisco : Routing Statis di Cisco]] — ACL menyaring, routing mengarahkan; keduanya sering tertukar saat diagnosa.
* [[Cisco : DHCP Server di Cisco IOS]] — contoh nyata ACL yang lupa mengizinkan DHCP.
* [[Mikrotik : Firewall Filter Dasar]] — padanan konsep di RouterOS, enak dibandingkan setelah paham ACL.

== 📚 Referensi ==
* Cisco, ''Configure IP Access Lists'' (Document ID 23602), https://www.cisco.com/c/en/us/support/docs/security/ios-firewall/23602-confaccesslists.html
* Cisco, ''IP Access Lists'' pada Cisco IOS Security Configuration Guide.
* RFC 792, ''Internet Control Message Protocol''.
* RFC 1918, ''Address Allocation for Private Internets''.

[[Category:TKJ]]
[[Category:Jaringan]]
[[Category:Cisco]]
[[Category:Packet Tracer]]