View source for Cisco : NAT dan PAT Dasar

Kalau kamu pernah membuka menu NAT di router dan merasa isinya angka semua, tenang. Inti NAT sebenarnya cuma satu kalimat: '''ganti alamat asli paket saat keluar, lalu kembalikan saat jawaban masuk'''.

Tanpa NAT, 40 PC di lab sekolah yang memakai alamat privat tidak akan pernah bisa bicara dengan internet, karena alamat privat memang tidak boleh muncul di jalur publik. NAT yang membuat semuanya tampak berasal dari satu alamat publik sekolah.

== 🎯 Tujuan ==
Setelah membaca artikel ini, kamu diharapkan bisa:

* menjelaskan beda '''NAT''' dan '''PAT''' tanpa harus menghafal istilah asing;
* menyebut empat istilah alamat NAT (inside local, inside global, outside local, outside global) dan menempatkannya dengan benar;
* memasang NAT overload di router Cisco supaya satu alamat publik bisa dipakai banyak PC;
* membuka satu layanan internal ke internet lewat port forwarding, dan tahu risikonya;
* mendiagnosis gejala "IP sudah dapat, gateway bisa di-ping, internet tetap mati" dari tabel terjemahan NAT.

== 📍 Konteks nyata ==
Bayangkan sebuah gedung kantor dengan satu nomor telepon resepsionis. Semua surat keluar dikirim dengan alamat gedung, bukan alamat ruangan masing-masing karyawan.

Saat balasan datang, resepsionis membaca nama penerima di amplop, lalu meneruskannya ke ruangan yang benar. Karyawan tidak perlu punya nomor sendiri, dan dunia luar tidak perlu tahu ada berapa ruangan di dalam.

NAT bekerja persis seperti resepsionis itu. '''Alamat publik router = nomor telepon gedung''', '''alamat privat PC = nomor ruangan''', dan '''tabel terjemahan NAT = buku catatan resepsionis''' yang mencatat siapa sedang menerima kiriman apa.

* '''Kalau buku catatan hilang''' (entri NAT kedaluwarsa), balasan datang tapi tidak ada yang tahu harus dikirim ke ruangan mana.
* '''Kalau resepsionis tidak tahu gedungnya sendiri''' (interface belum ditandai <code>ip nat inside</code>), surat tidak pernah sampai ke meja resepsionis.
* '''Kalau satu nomor dipakai 200 orang sekaligus''' (PAT kehabisan port), sebagian orang tidak kebagian "saluran" dan koneksinya gagal.

🔥 '''Kasus nyata:''' Lab komputer sebuah SMK punya 40 PC dengan alamat <code>192.168.10.0/24</code> dan satu IP publik dari ISP. Guru memasang <code>ip nat inside source list 1 interface g0/0 overload</code>, tapi lupa menandai interface LAN sebagai <code>ip nat inside</code>. Hasilnya: semua PC dapat IP, bisa ping gateway, bahkan bisa buka halaman login router, tapi tidak ada satu pun yang bisa membuka internet. Dua hari dihabiskan untuk mengganti kabel dan menukar modem, padahal penyebabnya satu baris perintah yang belum diketik. Ketahuan dalam 10 detik setelah menjalankan <code>show ip nat statistics</code> dan membaca baris <code>Inside interfaces:</code> yang kosong.

== 🧠 Konsep singkat ==
NAT di Cisco IOS punya tiga rasa yang berbeda, dan ketiganya sering tertukar saat praktik.

=== 🔹 Empat istilah alamat yang wajib hafal ===
Cisco memakai empat nama untuk dua sisi jaringan. Hafalkan arahnya, bukan istilahnya.

{|
! Istilah !! Arti sederhana
|-
| '''Inside local''' || Alamat asli perangkat di dalam (contoh: <code>192.168.10.10</code>)
|-
| '''Inside global''' || Alamat yang dilihat dunia luar untuk perangkat itu (contoh: <code>203.0.113.2</code>)
|-
| '''Outside local''' || Alamat perangkat luar, seperti yang dilihat dari dalam
|-
| '''Outside global''' || Alamat asli perangkat luar di internet
|}

Pada NAT biasa (tanpa terjemahan alamat luar), '''outside local = outside global''', jadi kolomnya sering tampil kosong atau sama. Jangan panik — itu normal.

📊 '''Angka penting:''' di lab sehari-hari, kamu hanya akan bermain dengan dua kolom: <code>Inside global</code> (IP publik) dan <code>Inside local</code> (IP PC). Dua kolom lain baru terisi saat kamu memakai NAT untuk jaringan yang alamatnya bertabrakan.

=== 🔹 Static, dynamic, dan overload ===
Tiga gaya ini bukan tingkat kesulitan, tapi tiga tujuan yang berbeda.

{|
! Gaya !! Sifat !! Cocok untuk
|-
| '''Static NAT''' || Satu PC dipetakan permanen ke satu IP publik || Server yang harus bisa dihubungi dari luar
|-
| '''Dynamic NAT''' || PC dapat IP publik dari pool, hanya saat aktif || Kantor dengan IP publik lebih banyak dari kebutuhan
|-
| '''Overload (PAT)''' || Semua PC berbagi satu IP publik, dibedakan nomor port || Internet sehari-hari: sekolah, warnet, kantor
|}

'''Static NAT''' membuat entri di tabel terjemahan sejak router menyala, tanpa perlu ada trafik dulu. Konsekuensinya: koneksi boleh dimulai dari luar maupun dari dalam.

'''Dynamic NAT''' baru membuat entri saat PC mengirim paket pertama, dan entri itu dihapus setelah tidak ada aktivitas. Alamatnya kembali ke pool dan bisa dipakai PC lain.

'''Overload''' — sering disebut '''PAT''' (Port Address Translation) — adalah yang paling sering dipakai. Semua perangkat berbagi satu alamat publik, dan router membedakan mereka lewat nomor port.

=== 🔹 PAT: bagaimana satu IP dipakai ratusan siswa ===
Setiap koneksi TCP punya empat penanda: IP asal, port asal, IP tujuan, port tujuan. Nah, PAT mengganti '''port asal''' untuk setiap sesi.

Jadi kalau PC-A membuka YouTube, router mencatat <code>192.168.10.10:51000 → 203.0.113.2:40001</code>. PC-B yang juga membuka YouTube dapat port berbeda, misalnya <code>40002</code>. Balasan ke port <code>40002</code> otomatis dikembalikan ke PC-B.

Analogi paling dekat: satu nomor telepon kantor dengan banyak '''ekstensi'''. Dunia luar menelepon nomor yang sama, tapi ekstensi memastikan sambungan masuk ke meja yang tepat.

📊 '''Angka penting:''' satu alamat IP hanya punya '''65.535''' nomor port. Setelah dipotong port sistem dan port yang dipakai layanan router, realistis hanya beberapa ribu sesi bersamaan per alamat. Satu tab browser modern bisa membuka 6–30 koneksi, jadi 200 siswa dengan banyak tab bukan beban yang ringan untuk satu IP.

⚠️ '''Hati-hati:''' kalau port habis, gejalanya bukan "internet mati total", tapi '''sebagian''' pengguna gagal konek sementara yang lain lancar. Ini yang bikin diagnosisnya sering melenceng ke arah kabel atau WiFi.

=== 🔹 Urutan operasi: routing dulu, baru NAT ===
Ini bagian yang paling sering membuat siswa salah paham, dan sengaja saya taruh di konsep, bukan di troubleshooting.

Menurut dokumentasi Cisco, pada arah '''inside ke outside''', router memeriksa tabel routing '''lebih dulu''', baru menerjemahkan alamat. Artinya: kalau tidak ada rute menuju tujuan, paket sudah dibuang sebelum NAT sempat bekerja.

Pada arah '''outside ke inside''', urutannya terbalik: alamat diterjemahkan dulu, lalu paket dirutekan ke alamat asli di dalam. Karena itu router '''wajib punya rute ke jaringan inside local'''.

* '''Arah keluar:''' rute ke internet dulu, NAT kemudian.
* '''Arah masuk:''' NAT dulu, rute ke PC/server kemudian.
* '''Kesimpulan praktis:''' NAT bukan pengganti routing. Dua-duanya harus benar.

=== 🔹 Port forwarding: membuka satu pintu, bukan seluruh gedung ===
Kadang server di dalam harus bisa diakses dari luar, misalnya server CBT atau kamera IP. Kamu tidak mau membuka seluruh LAN, cukup satu layanan.

Perintahnya memakai static NAT dengan tambahan protokol dan port:

<syntaxhighlight lang="text">
ip nat inside source static tcp 192.168.10.100 80 203.0.113.2 80
</syntaxhighlight>

Bacanya: "paket TCP yang datang ke <code>203.0.113.2:80</code> diteruskan ke <code>192.168.10.100:80</code>". Kalau port dalam berbeda, misalnya server jalan di 8080, kamu bisa menerjemahkan port sekaligus: <code>... 8080 203.0.113.2 80</code>.

💡 '''Tips:''' tulis aturan port forwarding dengan komentar di konfigurasi, misalnya <code>! CBT server, dibuka hanya untuk IP sekolah pusat</code>. Enam bulan kemudian, kamu sendiri yang akan berterima kasih.

🔥 '''Kasus nyata:''' Sebuah kantor distributor memakai NAT overload ke IP publik dari modem ISP yang memberi alamat lewat DHCP. Suatu pagi modem restart dan IP publik berubah, tapi aturan port forwarding untuk aplikasi absensi masih menunjuk IP lama. Karyawan di cabang tidak bisa absen selama dua hari, dan tiket sempat dilempar ke ISP. Perbaikannya: port forwarding diarahkan ke nama interface (<code>interface g0/0</code>), bukan IP yang ditulis manual — dan IP publik untuk layanan publik memang sebaiknya statis.

== 🧩 Istilah penting ==
* '''NAT''' — Network Address Translation; penerjemahan alamat IP (dan kadang port) saat paket melewati router.
* '''PAT''' — Port Address Translation; NAT yang juga menerjemahkan nomor port, sehingga banyak perangkat berbagi satu IP. Di Cisco disebut <code>overload</code>.
* '''Inside''' — sisi jaringan milikmu (LAN sekolah). '''Outside''' — sisi jaringan di luar kendalimu (internet/ISP).
* '''Inside local''' — alamat asli di LAN. '''Inside global''' — alamat publik yang mewakilinya.
* '''NAT pool''' — kumpulan alamat publik yang bisa dipinjamkan ke host di dalam.
* '''Overload''' — kata kunci di IOS yang mengaktifkan pemakaian port bersama.
* '''Translasi statis''' — pemetaan permanen satu-ke-satu; entri muncul tanpa menunggu trafik.
* '''Translasi dinamis''' — entri dibuat saat ada trafik, lalu kedaluwarsa dan alamatnya kembali ke pool.
* '''Port forwarding''' — translasi statis berbasis port; satu pintu masuk menuju satu layanan di dalam.
* '''Hairpin NAT''' — kondisi ketika client dari dalam menembak IP publik router sendiri; sering gagal di IOS klasik.
* '''Time out translasi''' — masa hidup entri NAT sebelum dihapus kalau tidak ada aktivitas.
* '''NVI''' — <code>ip nat enable</code>; mode NAT modern yang tidak butuh label inside/outside dan mendukung hairpin.

== 🔧 Praktik: NAT Overload dan Port Forwarding di Packet Tracer ==
Lab ini memakai alamat dokumentasi (RFC 5737) supaya tidak bentrok dengan jaringan nyata.

Topologi: '''PC-SISWA''' dan '''Server-PT''' di switch 2960 → '''R1''' (2911) → '''ISP''' (2911) → '''PC-INTERNET'''.

{|
! Perangkat !! Interface !! Alamat
|-
| R1 || G0/1 (LAN) || <code>192.168.10.1/24</code>, <code>ip nat inside</code>
|-
| R1 || G0/0 (WAN) || <code>203.0.113.2/30</code>, <code>ip nat outside</code>
|-
| ISP || G0/0 / G0/1 || <code>203.0.113.1/30</code> / <code>198.51.100.1/24</code>
|-
| PC-SISWA / Server / PC-INTERNET || Fa0 || <code>.10</code> / <code>.100</code> / <code>198.51.100.20</code>
|}

=== 🔹 Langkah 1: bangun jalur dulu, jangan langsung NAT ===
NAT tidak akan menolong kalau jalurnya belum ada (ingat urutan operasi di atas).

# Beri alamat pada semua interface, lalu <code>no shutdown</code>.
# Di R1 tambahkan rute default: <code>ip route 0.0.0.0 0.0.0.0 203.0.113.1</code>.
# Di ISP tambahkan rute balik ke jaringan dalam? '''Tidak perlu''' — ISP tidak boleh tahu <code>192.168.10.0/24</code>. Itu justru inti NAT.
# Uji baseline: dari PC-SISWA, <code>ping 203.0.113.1</code> harus berhasil, <code>ping 198.51.100.20</code> harus '''gagal'''.

Kegagalan di langkah 4 adalah bukti bahwa masalahnya memang alamat privat, bukan kabel. Catat hasil ini sebelum NAT dipasang.

🧪 '''Uji cepat:''' <code>show ip interface brief</code> di R1 — semua interface yang dipakai harus <code>up/up</code>. Satu <code>administratively down</code> membatalkan seluruh lab.

=== 🔹 Langkah 2: tandai inside dan outside ===
Ini langkah yang paling sering terlupa, dan paling mahal akibatnya.

<syntaxhighlight lang="text">
interface g0/1
 ip nat inside
interface g0/0
 ip nat outside
</syntaxhighlight>

Tanpa dua label ini, router tidak akan pernah memeriksa paket untuk diterjemahkan. Konfigurasi <code>ip nat inside source ...</code> boleh lengkap, tapi hasilnya nol.

⚠️ '''Hati-hati:''' interface yang salah label tetap <code>up/up</code> dan tetap bisa di-ping. Tidak ada pesan error apa pun. Satu-satunya bukti adalah <code>show ip nat statistics</code> yang menampilkan daftar interface kosong.

=== 🔹 Langkah 3: tentukan siapa yang boleh diterjemahkan ===
NAT memakai ACL sebagai '''penyaring peserta''', bukan sebagai firewall.

<syntaxhighlight lang="text">
access-list 1 permit 192.168.10.0 0.0.0.255
</syntaxhighlight>

Hanya paket dari alamat yang cocok yang akan diterjemahkan. Alamat lain tetap lewat apa adanya — dan karena privat, biasanya langsung mati di internet.

⚠️ '''Hati-hati:''' <code>access-list 1 deny ...</code> di sini '''tidak memblokir''' trafik. Paket yang tidak cocok hanya tidak diterjemahkan. Kalau kamu ingin memblokir, itu tugas ACL di interface (<code>ip access-group</code>) atau firewall, bukan ACL milik NAT.

=== 🔹 Langkah 4: aktifkan overload ===
Ada dua bentuk, pilih sesuai kondisi link WAN.

<syntaxhighlight lang="text">
! Bentuk A: WAN dengan IP statis
ip nat inside source list 1 interface g0/0 overload

! Bentuk B: WAN dengan pool alamat publik
ip nat pool PUBLIK 203.0.113.4 203.0.113.6 netmask 255.255.255.248
ip nat inside source list 1 pool PUBLIK overload
</syntaxhighlight>

Bentuk A paling praktis dan aman untuk IP yang berubah-ubah (DHCP dari ISP), karena router membaca alamat interface saat itu juga. Bentuk B dipakai kalau kamu punya beberapa alamat publik dan ingin membaginya.

📊 '''Angka penting:''' durasi default entri translasi di IOS: TCP '''86.400 detik (24 jam)''', UDP '''300 detik (5 menit)''', ICMP '''60 detik'''. Karena itu <code>show ip nat translations</code> bisa tetap penuh walau user sudah menutup browser.

=== 🔹 Langkah 5: buktikan dengan tabel terjemahan ===
Sekarang ulangi ping yang tadi gagal, lalu periksa buktinya.

<syntaxhighlight lang="text">
show ip nat translations
show ip nat statistics
</syntaxhighlight>

Yang kamu cari di tabel: kolom <code>Inside local</code> berisi <code>192.168.10.10</code>, dan <code>Inside global</code> berisi <code>203.0.113.2</code>. Kalau baris ini muncul, terjemahan benar-benar terjadi.

Di statistik, periksa dua hal: <code>Inside interfaces:</code> harus berisi <code>GigabitEthernet0/1</code>, dan angka <code>Hits</code> harus naik setiap kali kamu mengulang ping.

🧪 '''Uji cepat:''' <code>show ip nat translations verbose</code> menampilkan sisa waktu (timeout) tiap entri. Cocok untuk membuktikan entri memang kedaluwarsa, bukan "hilang misterius".

=== 🔹 Langkah 6: tambah port forwarding untuk server ===
Nyalakan layanan HTTP di Server-PT (tab Services → HTTP → On), lalu buat aturannya.

<syntaxhighlight lang="text">
ip nat inside source static tcp 192.168.10.100 80 203.0.113.2 80
</syntaxhighlight>

Entri ini akan langsung muncul di tabel terjemahan '''tanpa perlu trafik''', karena sifatnya statis. Itu ciri khas yang membedakannya dari overload.

📊 '''Angka penting:''' satu aturan port forwarding hanya membuka '''satu pasangan protokol+port'''. Membuka 80 tidak otomatis membuka 443. Kalau situsmu HTTPS, kamu perlu aturan kedua untuk port 443.

=== 🔹 Langkah 7: uji dari luar dan dari dalam ===
Uji selalu dari dua arah, karena hasilnya bisa berbeda.

# Dari PC-INTERNET: buka <code>http://203.0.113.2</code> → harus tampil halaman server.
# Dari PC-SISWA: buka <code>http://203.0.113.2</code> → sering '''gagal''', dan itu bukan bug lab.
# Dari PC-SISWA: buka <code>http://192.168.10.100</code> → harus berhasil.

Kegagalan nomor 2 disebut masalah '''hairpin''': paket dari dalam menuju IP publik router sendiri harus masuk dan keluar di sisi yang sama, dan NAT klasik IOS tidak selalu mendukungnya.

💡 '''Tips:''' solusi paling bersih bukan memaksa hairpin, tapi memakai '''DNS split''' — nama domain yang sama di-resolve ke IP lokal saat diakses dari dalam. Solusi teknis lain: aktifkan NVI dengan <code>ip nat enable</code> di kedua interface.

=== 🔹 Langkah 8: simpan, lalu bersihkan ===
<syntaxhighlight lang="text">
copy running-config startup-config
! setelah lab selesai:
clear ip nat translation *
no ip nat inside source static tcp 192.168.10.100 80 203.0.113.2 80
</syntaxhighlight>

<code>clear ip nat translation *</code> menghapus entri dinamis saja; entri statis tetap ada karena berasal dari konfigurasi. Ini penting saat kamu mengubah aturan dan ingin memastikan tidak ada sisa terjemahan lama yang menempel.

=== 🔹 Versi GUI Packet Tracer ===
Kalau kamu lebih nyaman memakai tab Config:

# Klik R1 → tab '''Config''' → '''INTERFACE''' → pilih G0/1 → centang '''NAT: Inside'''.
# Ulangi untuk G0/0 dengan '''NAT: Outside'''.
# Masuk ke '''Config → GLOBAL → NAT''', isi daftar ACL dan alamat pool di sana.
# Untuk port forwarding, GUI Packet Tracer sering tidak punya kolom port; tulis lewat CLI.

⚠️ '''Hati-hati:''' beberapa versi Packet Tracer menyembunyikan menu NAT saat perangkat belum punya modul yang sesuai. Kalau menunya tidak muncul, jangan buang waktu — pakai CLI.

== 🏭 Dipakai di dunia kerja ==
* '''Sekolah:''' satu IP publik untuk 40–200 PC lab. NAT overload adalah alasan seluruh lab bisa internet tanpa membeli satu IP per komputer, dan alasan admin harus memantau jumlah sesi saat ujian berbasis komputer.
* '''Kantor cabang:''' WAN memakai DHCP dari ISP, jadi aturan NAT harus mengarah ke nama interface, bukan IP yang ditulis manual. Salah di sini berarti seluruh cabang offline setiap modem restart.
* '''Warnet dan hotspot:''' ratusan perangkat berbagi satu alamat. Kehabisan port membuat sebagian pelanggan gagal konek, dan keluhan "WiFi lambat" sering sebenarnya masalah NAT.
* '''Rumah sakit dan klinik:''' aplikasi rekam medis hanya boleh diakses dari jaringan tertentu. Port forwarding saja tidak cukup; biasanya ditambah ACL sumber atau VPN.
* '''Industri:''' HMI dan PLC di lantai produksi tidak boleh diekspos langsung ke internet. Yang dipakai adalah VPN, lalu NAT internal antar segmen mesin.
* '''Cloud dan virtualisasi:''' setiap VPC/VNet punya NAT gateway dengan konsep yang sama — satu alamat keluar untuk banyak instance, dan log NAT dipakai untuk audit.

== ✅ Verifikasi ==
Jalankan berurutan, jangan lompat. Setiap perintah menjawab satu pertanyaan berbeda.

{|
! Perintah !! Pertanyaan yang dijawab
|-
| <code>show ip interface brief</code> || Interface hidup dan alamatnya benar?
|-
| <code>show ip nat statistics</code> || Interface inside/outside sudah terdaftar? Ada hit?
|-
| <code>show ip nat translations</code> || Terjemahan benar-benar terbentuk?
|-
| <code>show ip route</code> || Ada rute ke tujuan (arah keluar) dan ke host dalam (arah masuk)?
|}

* '''Bukti overload bekerja:''' ada entri dinamis dengan port berbeda untuk dua PC berbeda, walau <code>Inside global</code>-nya sama.
* '''Bukti port forwarding bekerja:''' ada entri statis muncul tanpa trafik, dan halaman server terbuka dari PC-INTERNET.
* '''Bukti ACL NAT tepat:''' jumlah <code>Hits</code> naik hanya untuk alamat yang kamu izinkan.

🧪 '''Uji cepat:''' <code>debug ip nat</code> menampilkan baris terjemahan real-time. Nyalakan maksimal 30 detik lalu <code>undebug all</code> — debug di router produksi bisa membuat CPU melonjak.

🧪 '''Uji cepat:''' dari PC, <code>ping 8.8.8.8</code> berhasil tapi <code>ping google.com</code> gagal? Itu masalah DNS, bukan NAT. Jangan bongkar NAT untuk masalah yang bukan NAT.

== ⚠️ Kesalahan umum & troubleshooting ==
{|
! Gejala !! Penyebab paling sering
|-
| Semua PC tidak bisa internet, gateway lancar || <code>ip nat inside</code> belum dipasang di interface LAN
|-
| Tabel translasi kosong padahal ada trafik || Interface NAT tertukar (WAN ditandai inside)
|-
| Translasi terbentuk tapi balasan tidak sampai || Tidak ada rute balik ke inside local, atau ACL di interface memblokir
|-
| Sebagian user gagal konek, lainnya normal || Port PAT habis; tambah alamat publik atau batasi sesi
|-
| Server bisa diakses dari luar, tapi tidak dari dalam || Hairpin NAT; pakai DNS split atau NVI
|-
| Port forwarding "tidak jalan" padahal aturan ada || Layanan di server mati, atau firewall host memblokir port
|-
| Aturan baru tidak berefek || Masih ada entri lama; <code>clear ip nat translation *</code>
|-
| Ping dari router ke internet sukses, client tetap mati || Trafik yang lahir dari router tidak melewati NAT; uji selalu dari client
|}

🔥 '''Kasus nyata:''' Sebuah warnet di depan SMK memakai satu IP publik untuk 30 PC dan 40 ponsel pelanggan. Saat jam ramai, 6–8 perangkat gagal memuat halaman sementara yang lain normal, dan siswa mengira WiFi "pilih kasih". Penyebabnya port PAT habis karena banyak tab browser dan aplikasi chat yang membuka koneksi bersamaan. Solusinya bukan mengganti router, tapi menambah satu alamat publik ke pool dan menurunkan timeout translasi UDP.

🔥 '''Kasus nyata:''' Sebuah SMK membuka port 3389 (Remote Desktop) ke internet supaya guru bisa mengakses server nilai dari rumah. Dalam hitungan hari, log server penuh percobaan login dari alamat asing, dan CPU server naik terus. Port forwarding tanpa pembatas sumber sama dengan menaruh pintu belakang gedung tanpa kunci. Perbaikannya: tutup port itu, ganti dengan VPN, dan batasi akses per alamat.

== 🔐 Catatan keamanan & etika ==
NAT '''bukan firewall'''. NAT hanya menyembunyikan alamat, dan itu pun bukan jaminan: begitu ada port forwarding, pintunya benar-benar terbuka untuk seluruh internet.

* Terjemahan arah keluar menyaring "siapa yang boleh keluar" lewat ACL NAT, tapi ACL itu '''tidak memblokir''' apa pun. Blokir tetap tugas ACL interface atau firewall.
* Setiap aturan port forwarding sebaiknya dibatasi sumbernya. Idealnya hanya dari IP kantor pusat atau lewat VPN.
* Jangan pernah membuka port manajemen (22, 23, 3389, 8291) ke internet tanpa pembatas. Ini kesalahan paling sering di lab sekolah.
* Catat setiap aturan port forwarding beserta pemilik layanan dan tanggal pemasangan. Aturan "sementara" adalah yang paling sering lupa dihapus.
* Log NAT bisa dipakai untuk audit siapa mengakses apa, tapi juga menyimpan jejak aktivitas orang. Perlakukan sebagai data sensitif, jangan dibagikan bebas.
* Saat praktik di lab sekolah, selalu kembalikan konfigurasi seperti semula dan hapus aturan uji. Port yang terbuka karena lab yang lupa dibersihkan adalah temuan audit yang nyata.

== 📌 Kesimpulan ==
NAT adalah resepsionis gedung: satu alamat dikenal dunia luar, banyak ruangan di dalam. '''Overload (PAT)''' yang membuat satu IP publik cukup untuk seluruh lab, dengan nomor port sebagai ekstensi.

Tiga hal yang paling menentukan berhasil atau tidaknya: label <code>ip nat inside</code>/<code>outside</code> terpasang benar, rute menuju tujuan ada sebelum NAT bekerja, dan ACL NAT berisi alamat yang tepat. Kalau salah satu hilang, gejalanya selalu sama — "IP dapat, internet tidak".

Langkah berikutnya: pelajari '''ACL dan port forwarding yang dibatasi sumber''', karena NAT hanya memindahkan pintu, sedangkan siapa yang boleh lewat tetap ditentukan ACL.

== 🔗 Materi terkait ==
* [[Cisco : ACL Dasar (Standar dan Extended)]] — penentu siapa yang boleh lewat, pelengkap wajib NAT.
* [[Cisco : Praktikum Uji ACL dan Diagnosa Paket yang Terbuang]] — cara membuktikan aturan benar-benar dibaca router.
* [[Cisco : Routing Statis di Cisco]] — rute yang harus ada sebelum NAT bekerja.
* [[Cisco : DHCP Server di Cisco IOS]] — biasanya satu lab dengan NAT: alamat dari DHCP, keluar lewat NAT.
* [[Cisco : Trunk dan Inter-VLAN Routing (Router-on-a-Stick)]] — kalau LAN-mu terbagi VLAN, interface inside-nya subinterface.
* [[Mikrotik : NAT Masquerade agar Client Bisa Internet]] — konsep yang sama di RouterOS, berguna untuk membandingkan istilah.

== 📚 Referensi ==
* Cisco, ''Configure Network Address Translation'' (Document ID 13772) — contoh static NAT, dynamic NAT, overload, dan port redirection.
* Cisco, ''Understand the NAT Order of Operation'' (Document ID 6209) — urutan routing vs translasi pada kedua arah.
* Cisco, ''NAT: Local and Global Definitions'' (Document ID 4606) — definisi inside/outside local dan global.
* Cisco, ''Verify NAT Operation and Basic NAT Troubleshooting'' (Document ID 221481) — membaca <code>show ip nat translations</code> dan statistik.
* RFC 3022 — ''Traditional IP Network Address Translator (Traditional NAT)''.
* RFC 1918 — ''Address Allocation for Private Internets''.