View source for Mikrotik : Praktikum Membuat User dan Group di RouterOS

'''Mikrotik : Praktikum Membuat User dan Group di RouterOS'''

Di artikel sebelumnya [[Mikrotik : Praktikum Cek Siapa yang Login (Active User dan Log)|Praktikum Cek Siapa yang Login]], kita sudah belajar cara melihat siapa saja yang sedang login ke router, bagaimana cara memutus sesi mencurigakan, dan membaca log aktivitas user. Nah, sekarang saatnya kita naik level: '''membuat user dan group sendiri'''.

Kenapa perlu bisa bikin user? Coba bayangin:

* Kamu punya router lab yang dipakai bareng 3 teman satu kelompok.
* Semua pakai user '''admin''' dengan password yang sama. Kalau ada yang iseng ganti password, yang lain kunci semua.
* Atau lebih parah: ada teman yang tidak sengaja menghapus konfigurasi karena punya akses penuh.
* Di dunia kerja, admin jaringan tidak boleh bagi-bagi password admin ke semua orang. Setiap teknisi harus punya akun sendiri dengan hak akses sesuai tugasnya.

Jawabannya: '''buat user dan group dengan policy yang pas'''. Kayak bikin kartu akses: ada yang cuma bisa lihat (read-only), ada yang bisa ngubah konfigurasi (write), ada yang bisa ngatur user lain (full admin).

== Tujuan pembelajaran ==

Setelah praktik ini, kamu diharapkan bisa:
# Memahami konsep '''user group''' dan '''policy''' di RouterOS.
# Membuat group kustom dengan policy tertentu.
# Membuat user baru dan menetapkan group-nya.
# Membatasi akses user hanya dari IP tertentu.
# Menguji login user yang baru dibuat.
# Troubleshooting jika user tidak bisa login atau akses terbatas.

== Analogi: Kartu Akses Gedung ==

Bayangin router adalah '''gedung kantor''' dengan beberapa area:

* '''Group "read"''' → kartu akses tamu: cuma bisa lihat-lihat saja, tidak bisa menyentuh apa pun.
* '''Group "write"''' → kartu akses staf teknis: bisa masuk ruang server dan mengganti kabel, tapi tidak boleh ke ruang HRD (user management).
* '''Group "full"''' → kartu kunci manajer: bisa ke semua ruangan, termasuk mengelola kartu akses orang lain.

Setiap kartu akses ('''user''') punya nama dan password sendiri. Kalau ada masalah, kita tinggal tarik kartu orang itu tanpa ganggu yang lain.

== Kebutuhan awal ==

Sebelum mulai, pastikan:
* Kamu punya akses ke router MikroTik (bisa lewat Winbox, WebFig, atau SSH/terminal).
* Kamu login sebagai user yang punya hak '''policy''' (minimal group '''full''').
* Router sudah terkonfigurasi dengan interface dan IP dasar (lihat [[Mikrotik : Memberikan IP Address pada Interface]]).
* Paham cara login via terminal/SSH (lihat [[Mikrotik : DHCP Client untuk Interface WAN]] atau artikel SSH).

== Langkah praktik ==

=== 1. Cek group yang sudah ada ===

Sebelum membuat group baru, lihat dulu group bawaan RouterOS:

<pre>
/user group print
</pre>

Hasilnya akan menunjukkan 3 group default:

<pre>
 0 name="read" policy=local,telnet,ssh,reboot,read,test,winbox,password,web,sniff,sensitive,api,romon,rest-api,!ftp,!write,!policy

 1 name="write" policy=local,telnet,ssh,reboot,read,write,test,winbox,password,web,sniff,sensitive,api,romon,rest-api,!ftp,!policy

 2 name="full" policy=local,telnet,ssh,ftp,reboot,read,write,policy,test,winbox,password,web,sniff,sensitive,api,romon,rest-api
</pre>

Perhatikan tanda '''!''' di depan policy — itu artinya policy tersebut '''tidak''' diizinkan untuk group itu. Misalnya group "read" memiliki '''!write''' dan '''!policy''', berarti user di group read tidak bisa mengubah konfigurasi dan tidak bisa mengelola user.

=== 2. Membuat group kustom ===

Group default mungkin terlalu longgar atau terlalu ketat. Mari buat group kita sendiri. Misalnya kita ingin group '''teknisi''' yang bisa:

* Login via SSH, Winbox, dan WebFig.
* Membaca dan menulis konfigurasi.
* Reboot router.
* Menjalankan ping dan traceroute (test).
* '''Tidak''' boleh mengelola user lain (no policy).
* '''Tidak''' boleh mengakses FTP.

<pre>
/user group add name=teknisi policy=local,ssh,winbox,web,read,write,reboot,test,password
</pre>

Kalau kamu juga mau mengizinkan akses via API untuk monitoring:

<pre>
/user group add name=monitoring policy=local,api,read,test,password
</pre>

=== 3. Membuat user baru ===

Setelah group siap, kita buat user.

'''Contoh 1:''' User "budi" untuk teknisi lab:

<pre>
/user add name=budi password=tkj2026 group=teknisi
</pre>

'''Contoh 2:''' User "siti" yang cuma bisa lihat-lihat (read-only):

<pre>
/user add name=siti password=baca123 group=read
</pre>

'''Contoh 3:''' User "monitor" yang hanya bisa akses dari IP tertentu (192.168.1.100) via API:

<pre>
/user add name=monitor password=apikey456 group=monitoring address=192.168.1.100/32
</pre>

Properti '''address''' sangat berguna untuk keamanan. Dengan ini, user monitor hanya bisa login dari IP 192.168.1.100, tidak dari tempat lain.

=== 4. Verifikasi user yang baru dibuat ===

Cek daftar user:

<pre>
/user print
</pre>

Hasil:

<pre>
Flags: X - disabled
 #   NAME      GROUP        ADDRESS         LAST-LOGGED-IN
 0   admin     full         0.0.0.0/0       jul/24/2026 14:30:15
 1   budi      teknisi      0.0.0.0/0       
 2   siti      read         0.0.0.0/0       
 3   monitor   monitoring   192.168.1.100/32
</pre>

Perhatikan bahwa user baru belum memiliki ''last-logged-in'' karena belum pernah login.

=== 5. Mengubah password user ===

User bisa mengganti password sendiri selama group-nya punya policy '''password''':

<pre>
/user password
</pre>

Tapi kalau admin ingin mereset password user lain, bisa pakai:

<pre>
/user set [id] password=passwordbaru
</pre>

Contoh mereset password budi:

<pre>
/user set numbers=1 password=rahasia2026
</pre>

Atau bisa juga pakai perintah expire agar user diminta ganti password saat login berikutnya:

<pre>
/user expire-password numbers=1
</pre>

=== 6. Uji coba login ===

Sekarang coba login sebagai user baru.

'''Via SSH:'''

<pre>
ssh budi@192.168.1.1
</pre>

Masukkan password '''tkj2026'''. Kalau berhasil, kamu akan masuk ke CLI dengan hak akses terbatas sesuai group '''teknisi'''.

Coba bedakan:
* Sebagai budi (teknisi): coba perintah <code>/ip address print</code> → berhasil. Coba <code>/user add</code> → ditolak (no policy).
* Sebagai siti (read): coba <code>/ip address print</code> → berhasil. Coba <code>/ip address set</code> → ditolak (no write).

=== 7. Cek user yang sedang aktif ===

Ini materi dari artikel sebelumnya, tapi penting untuk verifikasi:

<pre>
/user active print
</pre>

Kamu akan melihat sesi login dari user-user yang baru dibuat.

=== 8. Menonaktifkan user ===

Kalau ada user yang tidak lagi dipakai atau dicurigai, jangan dihapus dulu — nonaktifkan saja:

<pre>
/user disable numbers=1
</pre>

User yang dinonaktifkan tidak bisa login sampai di-enable kembali:

<pre>
/user enable numbers=1
</pre>

== Troubleshooting ==

=== User tidak bisa login ===

'''Penyebab 1:''' Password salah.
Cek dengan login sebagai admin, lalu:
<pre>
/user print
</pre>
Kalau perlu, reset password user tersebut.

'''Penyebab 2:''' User di-disable.
<pre>
/user print
</pre>
Lihat kolom '''Flags'''. Kalau ada huruf '''X''', berarti user di-disable:
<pre>
1 X  budi   teknisi   0.0.0.0/0
</pre>
Enable dengan: <code>/user enable numbers=1</code>

'''Penyebab 3:''' IP address dibatasi.
Cek properti '''address''' user. Kalau diisi IP tertentu, user hanya bisa login dari IP itu. Pastikan IP client sesuai.

'''Penyebab 4:''' Policy login tidak diizinkan.
Misalnya user di group yang tidak punya policy '''ssh''' tapi mencoba login via SSH. Cek group user:
<pre>
/user group print
</pre>
Pastikan group-nya punya policy '''ssh''' (atau '''winbox'''/'''web''' sesuai media login).

=== User bisa login tapi tidak bisa menjalankan perintah ===

Ini bukan error — ini memang fitur. Cek group user:
<pre>
/user print detail
</pre>
Kalau user di group '''read''', dia memang cuma bisa baca. Solusinya:
* Ganti group user: <code>/user set numbers=1 group=teknisi</code>
* Atau buat group baru dengan policy yang sesuai.

=== User lupa password ===

Login sebagai admin (atau user dengan policy), lalu reset password:
<pre>
/user set numbers=[nomor_user] password=passwordbaru
</pre>

=== User bisa melihat konfigurasi sensitif ===

Policy '''sensitive''' mengontrol apakah user bisa melihat informasi sensitif (password di скрипт, dll). Untuk user biasa, sebaiknya policy '''sensitive''' tidak diberikan.

Buat group tanpa sensitive:
<pre>
/user group add name=teknisi-lite policy=local,ssh,winbox,web,read,write,reboot,test,password,!sensitive
</pre>

== Catatan keamanan ==

# '''Jangan membuat banyak user full.'''. User dengan group '''full''' punya akses ke semua pengaturan, termasuk menghapus user lain. Batasi jumlah user full seminimal mungkin.
# '''Gunakan properti address'''. Selalu batasi IP asal untuk user yang aksesnya dari jaringan internal. Jangan biarkan user bisa login dari internet kecuali benar-benar diperlukan.
# '''Password complexity'''. Di settings, kamu bisa mengatur panjang minimal password:
<pre>
/user/set minimum-password-length=8 minimum-categories=3
</pre>
Ini mewajibkan password minimal 8 karakter dengan minimal 3 kategori (huruf besar, huruf kecil, angka, simbol).
# '''Hapus user yang tidak dipakai'''. Kalau user sudah tidak aktif >30 hari, nonaktifkan atau hapus:
<pre>
/user remove numbers=[nomor_user]
</pre>
# '''Catat di log'''. Semua percobaan login (berhasil/gagal) tercatat di log. Rajinlah cek log seperti di artikel [[Mikrotik : Praktikum Cek Siapa yang Login (Active User dan Log)]].
# '''Jangan gunakan password yang sama untuk semua user'''. Kalau satu user bobol, yang lain ikut terancam.
# '''Kombinasikan dengan Firewall Filter'''. Batasi akses ke port management (SSH 22, Winbox 8291, WebFig 80/443) dari WAN. Lihat [[Mikrotik : Firewall Filter Dasar]].

== Kesimpulan ==

Membuat user dan group di RouterOS adalah praktik administrasi dasar yang sangat penting, apalagi kalau router dipakai barengan atau sudah masuk ke lingkungan kerja. Dengan user management yang rapi:

* Setiap orang punya akun sendiri → mudah dilacak siapa melakukan apa.
* Hak akses sesuai tugas → tidak ada yang iseng menghapus konfigurasi orang lain.
* Keamanan lebih terjaga → user yang tidak lagi dipakai bisa dinonaktifkan tanpa mengganggu yang lain.

Ini juga membuka jalan ke fitur administrasi yang lebih canggih seperti RADIUS server, SSH key authentication, dan monitoring user via API.

== Materi terkait ==

* [[Mikrotik : Praktikum Cek Siapa yang Login (Active User dan Log)]] — pendamping praktik: cek user yang sedang aktif dan log login.
* [[Mikrotik : Firewall Filter Dasar]] — membatasi akses management dari WAN dengan firewall.
* [[Mikrotik : Address List Dasar]] — memblokir IP mencurigakan secara otomatis.
* [[Mikrotik : Backup dan Export Konfigurasi]] — backup sebelum mengubah konfigurasi user.
* [[Mikrotik : Praktikum Restore Backup dan Import Export]] — restore jika terjadi kesalahan.
* [[Mikrotik : DHCP Client untuk Interface WAN]] — cara akses SSH/Internet ke router.

== Referensi ==

* MikroTik RouterOS Documentation — User: https://help.mikrotik.com/docs/display/ROS/User
* MikroTik RouterOS Documentation — User Group: https://help.mikrotik.com/docs/display/ROS/User+Group
* MikroTik RouterOS Documentation — Management tools: https://help.mikrotik.com/docs/display/ROS/Management+tools
* MikroTik RouterOS Documentation — SSH: https://help.mikrotik.com/docs/display/ROS/SSH
* MikroTik Wiki — First Time Configuration: https://wiki.mikrotik.com/wiki/Manual:First_Time_Configuration

[[Category:TKJ]]
[[Category:Jaringan]]
[[Category:Mikrotik]]
[[Category:Cyber Security]]