View source for Mikrotik : VPN IPsec Dasar

Kalau dua kantor harus terhubung seperti satu jaringan, tapi jalurnya lewat internet umum, IPsec adalah salah satu cara paling tua dan paling banyak dipakai. Materi ini membahas konsepnya dulu, lalu praktik site-to-site dengan RouterOS.

== 🎯 Tujuan ==

Setelah membaca dan mempraktikkan materi ini, kamu diharapkan bisa:

* Menjelaskan **kenapa** dua lokasi butuh tunnel, bukan sekadar buka port ke internet.
* Membedakan **peer**, **identity**, **proposal**, dan **policy** — empat hal yang paling sering tertukar.
* Membangun tunnel **IPsec site-to-site IKEv2** memakai pre-shared key di dua router MikroTik.
* Membaca status tunnel: `active-peers`, `policy`, `installed-sa`, dan `statistics`.
* Membedakan gejala "phase 1 gagal" dan "phase 2 gagal" saat troubleshooting.

💡 '''Tips:''' kuasai dulu urutan berpikirnya — *lawan bicara siapa → bukti identitasnya apa → algoritma apa yang disepakati → trafik mana yang masuk tunnel*. Kalau urutan ini hafal, konfigurasi IPsec jadi tidak terasa rumit.

== 📍 Konteks nyata ==

Bayangkan kamu mengirim dokumen rahasia antar kantor. Kalau dokumen ditaruh di atas meja terbuka dan dititipkan lewat kurir biasa, siapa pun di jalan bisa membaca isinya.

IPsec bekerja seperti **kurir bersegel**: dokumen asli dimasukkan ke amplop terkunci, lalu amplop itu diberi alamat baru. Kurir di jalan hanya melihat amplop dan alamat barunya — bukan isi surat, bukan alamat asli kantor.

🔥 '''Kasus nyata:''' sebuah SMK punya gedung utama dan blok workshop terpisah jalan. Aplikasi absensi di blok workshop harus membaca database siswa di server gedung utama. Solusi awalnya: port MySQL `3306` dibuka ke internet dan dibatasi "hanya IP sekolah". Dua minggu kemudian log server dipenuhi ribuan percobaan login dari IP asing — IP sekolah mudah dipalsukan dan berubah-ubah. Kepala sekolah meminta data siswa tidak lagi bisa dijangkau langsung dari internet. Solusinya IPsec site-to-site: port `3306` ditutup total, aplikasi tetap jalan karena trafiknya masuk lewat tunnel yang terenkripsi.

Yang perlu dipahami: IPsec **bukan** pengganti login aplikasi. IPsec hanya memastikan "paket ini benar datang dari router lawan dan tidak bisa dibaca di jalan". Hak akses user tetap diatur di aplikasi.

== 🧠 Konsep singkat ==

IPsec adalah kumpulan protokol, bukan satu protokol tunggal. Tiga bagian besarnya:

* **IKE** — negosiasi kunci dan autentikasi kedua router.
* **ESP** — yang benar-benar mengenkripsi dan mengautentikasi data.
* **AH** — hanya autentikasi, tanpa enkripsi. Jarang dipakai karena tidak menyembunyikan isi.

Untuk tunnel antar jaringan, yang kita pakai hampir selalu **IKE + ESP mode tunnel**.

=== 🔹 Dua fase yang wajib dibedakan ===

IPsec membangun tunnel dalam dua tahap. Ini penting karena 80% troubleshooting berhenti di "fase berapa yang gagal".

| Fase | Nama | Tugas | Yang harus cocok di kedua sisi |
|---|---|---|---|
| 1 | IKE SA | Autentikasi kedua router, sepakati algoritma | Metode auth, PSK/kunci, DH group, enkripsi, hash, exchange mode |
| 2 | IPsec SA | Buat terowongan untuk data | Protokol (ESP), mode tunnel, PFS group, lifetime, selector alamat |

📊 '''Angka penting:''' default di RouterOS — profile `lifetime=1d`, `dpd-interval=8s`, `dpd-maximum-failures=4`; proposal `lifetime=30m`, `pfs-group=modp1024`. Default bukan berarti salah, tapi harus **sama** di kedua sisi kalau ingin tunnel stabil.

Kalau fase 1 gagal, `active-peers` akan kosong. Kalau fase 1 berhasil tapi fase 2 gagal, peer muncul dengan `ph2-total=0` dan policy berstatus `no-phase2`.

=== 🔹 Empat bahan wajib, satu per satu ===

Pemula sering mengisi menu IPsec secara acak. Padahal urutannya logis:

# **Proposal** — daftar bahasa yang sama-sama bisa dipakai (enkripsi, hash, lifetime).
# **Profile** — aturan negosiasi fase 1 (DH group, enkripsi, hash, DPD).
# **Peer** — alamat lawan bicara. Ini "rumah tujuan", bukan isi paketnya.
# **Identity** — bukti identitas lawan (PSK atau sertifikat) yang terikat ke peer.
# **Policy** — daftar trafik yang WAJIB masuk tunnel: dari subnet mana ke subnet mana.

Analogi sederhananya: *peer* adalah alamat gudang tujuan, *identity* adalah cap dan tanda tangan yang dikenali, *proposal* adalah daftar bahasa yang disepakati, dan *policy* adalah manifes barang apa saja yang boleh dikirim lewat jalur khusus.

⚠️ '''Hati-hati:''' satu policy hanya berlaku **satu arah**. Kalau kamu hanya membuat policy `A → B`, paket dari A bisa masuk tunnel, tapi balasannya dari B tidak. Gejalanya khas: ping dari A terlihat "request timeout", padahal di B terlihat request masuk.

=== 🔹 Kenapa butuh NAT bypass ===

Ini jebakan nomor satu setelah policy satu arah. Urutan pemrosesan paket keluar di RouterOS: NAT (`srcnat`) diproses **sebelum** paket dienkripsi IPsec.

Artinya, kalau aturan `masquerade` mengenai trafik antar-LAN, alamat sumber asli `10.1.203.10` berubah jadi IP WAN publik. Policy IPsec yang mencari `10.1.203.0/24` tidak lagi cocok, dan paket keluar tanpa enkripsi — atau dibuang.

Solusinya satu aturan pendek: **kecualikan** trafik antar-LAN dari NAT, letakkan di atas aturan masquerade.

=== 🔹 Tunnel mode vs transport mode ===

* **Tunnel mode** membungkus seluruh paket IP asli dengan header IP baru. Inilah yang dipakai untuk menghubungkan dua jaringan.
* **Transport mode** hanya melindungi payload, header IP asli tetap terlihat. Cocok untuk host-ke-host, bukan network-ke-network.

📊 '''Angka penting:''' untuk site-to-site, pastikan `tunnel=yes` di policy. Kalau lupa, IPsec akan menolak memproses paket yang alamat asalnya bukan alamat peer itu sendiri.

== 🧩 Istilah penting ==

* **IPsec** — rangkaian protokol untuk mengamankan paket IP (IKE, ESP, AH).
* **IKE** — Internet Key Exchange, protokol negosiasi kunci dan autentikasi.
* **IKEv2** — versi kedua IKE, lebih ringkas dan lebih tahan terhadap perubahan jaringan. Di RouterOS: `exchange-mode=ike2`.
* **SA (Security Association)** — "kontrak" satu arah antara dua peer. Satu tunnel punya beberapa SA.
* **ESP** — Encapsulating Security Payload, bagian yang mengenkripsi data.
* **PSK** — Pre-Shared Key, password panjang yang sama di kedua sisi.
* **NAT-T** — NAT Traversal, membungkus ESP ke dalam UDP `4500` agar bisa melewati NAT.
* **DPD** — Dead Peer Detection, pendeteksi lawan yang sudah tidak hidup.
* **PFS** — Perfect Forward Secrecy. Kunci baru per fase 2, sehingga bocornya satu kunci tidak membuka semua sesi lama.
* **Traffic selector** — pasangan `src-address`/`dst-address` di policy, penentu trafik mana yang masuk tunnel.

== 🔧 Praktik: IPsec site-to-site IKEv2 ==

Lab ini memakai dua router dan rentang alamat dokumentasi (RFC 5737) supaya aman dan tidak bentrok dengan jaringan asli.

| Perangkat | WAN | LAN |
|---|---|---|
| Kantor A | `192.0.2.10/24` | `10.1.203.0/24` |
| Kantor B | `198.51.100.10/24` | `10.1.102.0/24` |

Router A memakai gateway `192.0.2.1`, router B memakai `198.51.100.1`. Keduanya sudah bisa saling ping ke IP WAN.

=== 🔹 Langkah 1: pastikan waktu dan koneksi dasar ===

IPsec sangat sensitif terhadap selisih waktu. Dokumentasi MikroTik menyebut eksplisit: kalau kedua ujung tidak sinkron waktu, tunnel akan putus dan harus dibangun ulang.

<syntaxhighlight lang="text">
/system ntp client
set enabled=yes servers=pool.ntp.org
/system ntp client print
</syntaxhighlight>

Pastikan status `synced=yes`. Lalu uji dasar:

<syntaxhighlight lang="text">
/ping 198.51.100.10 count=3
</syntaxhighlight>

💡 '''Tips:''' jangan lanjut kalau ping WAN belum stabil. IPsec tidak akan pernah "menyembuhkan" routing yang belum benar.

=== 🔹 Langkah 2: buat proposal dan profile ===

Di **Kantor A**:

<syntaxhighlight lang="text">
/ip ipsec profile
add name=profil-psk dh-group=modp2048 enc-algorithm=aes-256 \
    hash-algorithm=sha256 lifetime=1d

/ip ipsec proposal
add name=prop-aes256 enc-algorithms=aes-256-cbc auth-algorithms=sha256 \
    lifetime=30m pfs-group=modp2048
</syntaxhighlight>

Di **Kantor B**, isi persis sama. Nama boleh berbeda, **isinya** yang harus cocok.

📊 '''Angka penting:''' `modp2048` (DH group 14) adalah titik seimbang antara keamanan dan beban CPU. Group 19 (ECP 256) lebih cepat dan disarankan dokumentasi untuk perangkat modern; group 2 (1024-bit) sebaiknya ditinggalkan.

=== 🔹 Langkah 3: daftarkan peer ===

Di **Kantor A**:

<syntaxhighlight lang="text">
/ip ipsec peer
add name=peer-ke-b address=198.51.100.10 exchange-mode=ike2 profile=profil-psk
</syntaxhighlight>

Di **Kantor B**:

<syntaxhighlight lang="text">
/ip ipsec peer
add name=peer-ke-a address=192.0.2.10 exchange-mode=ike2 profile=profil-psk
</syntaxhighlight>

`address` adalah alamat lawan yang dipakai saat negosiasi fase 1. Kalau lawan punya IP dinamis, kamu perlu pendekatan lain (bukan cakupan materi ini).

=== 🔹 Langkah 4: isi identity (PSK) ===

Di **Kantor A**:

<syntaxhighlight lang="text">
/ip ipsec identity
add peer=peer-ke-b auth-method=pre-shared-key secret="GantiDenganKunciPanjang32Karakter"
</syntaxhighlight>

Di **Kantor B**, `peer=peer-ke-a` dengan `secret` yang **sama persis**.

⚠️ '''Hati-hati:''' PSK harus identik karakter per karakter. Spasi di ujung, huruf besar-kecil, atau tanda kutip yang ikut tersimpan adalah penyebab umum fase 1 gagal. Dokumentasi MikroTik juga mengingatkan PSK rentan terhadap serangan *offline* — untuk produksi, sertifikat digital lebih disarankan.

=== 🔹 Langkah 5: buat policy dua arah ===

Di **Kantor A**:

<syntaxhighlight lang="text">
/ip ipsec policy
add peer=peer-ke-b src-address=10.1.203.0/24 dst-address=10.1.102.0/24 \
    proposal=prop-aes256 tunnel=yes action=encrypt level=require \
    comment="A ke B"

add peer=peer-ke-b src-address=10.1.102.0/24 dst-address=10.1.203.0/24 \
    proposal=prop-aes256 tunnel=yes action=encrypt level=require \
    comment="B ke A"
</syntaxhighlight>

Buat dua policy yang sama di **Kantor B**, dengan `peer=peer-ke-a`.

Policy dibaca **dari atas ke bawah** seperti firewall. Taruh policy yang paling spesifik di atas. Jangan hapus entri default bertanda `*` dengan `template=yes` — itu bukan policy trafik, itu template sistem.

=== 🔹 Langkah 6: kecualikan trafik tunnel dari NAT ===

Di **Kantor A**:

<syntaxhighlight lang="text">
/ip firewall nat
add chain=srcnat action=accept place-before=0 \
    src-address=10.1.203.0/24 dst-address=10.1.102.0/24 \
    comment="bypass NAT untuk trafik tunnel"
</syntaxhighlight>

Di **Kantor B**, tukar arah `src-address`/`dst-address`-nya.

🧪 '''Uji cepat:''' `/ip firewall nat print` — aturan bypass harus berada **di atas** aturan `masquerade`. Kalau di bawah, paket sudah terlanjur di-NAT dan tunnel tidak akan pernah membawa data.

=== 🔹 Langkah 7: izinkan IKE dan ESP di firewall ===

<syntaxhighlight lang="text">
/ip firewall filter
add chain=input action=accept protocol=udp dst-port=500,4500 \
    src-address=198.51.100.10 comment="IKE + NAT-T dari Kantor B"
add chain=input action=accept protocol=ipsec-esp \
    src-address=198.51.100.10 comment="ESP dari Kantor B"
</syntaxhighlight>

Di Kantor B, `src-address` diganti `192.0.2.10`.

📊 '''Angka penting:''' UDP `500` untuk negosiasi IKE, UDP `4500` untuk ESP yang dibungkus NAT-T, dan protokol IP `50` untuk ESP polos. Membuka `500` saja sering cukup untuk fase 1, tetapi data tetap gagal kalau ESP diblok.

=== 🔹 Langkah 8: uji tunnel dan trafik ===

<syntaxhighlight lang="text">
/ip ipsec active-peers print
/ip ipsec policy print
/ip ipsec installed-sa print
/ip ipsec statistics print
</syntaxhighlight>

Yang dicari:

* `active-peers` menampilkan state `established` dengan `ph2-total` minimal 2.
* `policy print` memberi flag `A` (active) dan `ph2-state=established`.
* `installed-sa` berisi entri ESP dengan `state=mature`.

Uji trafik nyata:

<syntaxhighlight lang="text">
/ping 10.1.102.1 src-address=10.1.203.1 count=5
</syntaxhighlight>

Tanpa `src-address`, ping dari router bisa memakai alamat WAN dan tidak cocok dengan policy — hasilnya "gagal" padahal tunnel sehat.

=== 🔹 Langkah 9: versi Winbox ===

Kalau lebih nyaman memakai GUI:

# Buka **IP → IPsec → Profiles**, buat `profil-psk`.
# Masuk **Proposals**, buat `prop-aes256`.
# Masuk **Peers**, isi `Address`, pilih `Exchange Mode = ike2`, pilih profile.
# Masuk **Identities**, pilih peer, `Auth Method = pre-shared key`, isi secret.
# Masuk **Policies**, tambahkan dua entri berlawanan arah, centang `Tunnel`.
# Buka **IP → Firewall → NAT**, taruh rule `accept` di atas masquerade.
# Buka **IP → Firewall → Filter**, izinkan UDP `500,4500` dan `ipsec-esp`.
# Cek tab **Active Peers** dan **Installed SA**.

=== 🔹 Langkah 10: bersih-bersih lab ===

Setelah selesai, hapus agar tidak mengganggu praktik berikutnya:

<syntaxhighlight lang="text">
/ip ipsec active-peers kill-connections
/ip ipsec policy remove [find comment~"ke B"]
/ip ipsec policy remove [find comment~"ke A"]
/ip ipsec identity remove [find peer=peer-ke-b]
/ip ipsec peer remove [find name=peer-ke-b]
/ip firewall nat remove [find comment~"bypass NAT"]
/ip firewall filter remove [find comment~"Kantor B"]
</syntaxhighlight>

Lakukan hal yang sama di router B, lalu simpan konfigurasi bersih dengan `/export file=lab-ipsec-bersih`.

== 🏭 Dipakai di dunia kerja ==

* **Sekolah:** dua gedung terpisah jalan, server absensi/CBT hanya boleh diakses dari lab internal — IPsec menghilangkan kebutuhan membuka port database ke internet.
* **Kantor cabang:** aplikasi ERP di kantor pusat dibuka dari cabang tanpa VPN publik berbayar; tunnel menjaga data gaji dan pelanggan tetap tertutup di jalur internet biasa.
* **Industri/manufaktur:** data mesin dan PLC di plant dikirim ke server monitoring pusat, sementara akses vendor luar dibatasi hanya ke subnet tertentu lewat policy.
* **ISP dan NOC:** perangkat pelanggan korporat dipantau dari jaringan internal operator tanpa mengekspos alamat manajemen ke internet.
* **Klinik dan rumah sakit:** rekam medis elektronik harus tetap di jaringan internal, sementara cabang tetap bisa mengisi data pasien — IPsec membantu memenuhi tuntutan kerahasiaan data.
* **Kantor pemerintahan/desa:** layanan publik di kecamatan terhubung ke server kabupaten, dengan trafik yang bisa diaudit dan dienkripsi.

== ✅ Verifikasi ==

Jalankan berurutan, jangan langsung ke ping:

| Pemeriksaan | Perintah | Hasil yang diharapkan |
|---|---|---|
| Fase 1 hidup | `/ip ipsec active-peers print` | `state=established`, `uptime` bertambah |
| Fase 2 hidup | `/ip ipsec policy print` | flag `A`, `ph2-state=established` |
| SA terpasang | `/ip ipsec installed-sa print` | ada entri ESP `state=mature` |
| Ada error? | `/ip ipsec statistics print` | `in-no-policies` dan `in-template-mismatches` tidak naik |
| Trafik nyata | `/ping 10.1.102.1 src-address=10.1.203.1` | reply konsisten, 0% loss |
| NAT tidak menelan | `/ip firewall nat print stats` | counter rule bypass bertambah |

🧪 '''Uji cepat:''' reset statistik dulu (`/ip ipsec statistics reset`), lalu ping 5 paket, lalu lihat lagi. Kalau `in-no-policies` naik, masalahnya di selector policy, bukan di enkripsi.

== ⚠️ Kesalahan umum & troubleshooting ==

| Gejala | Kemungkinan penyebab | Perbaikan |
|---|---|---|
| `active-peers` kosong | PSK beda, proposal beda, UDP 500 diblok | Samakan secret dan algoritma; cek firewall input |
| Peer `established` tapi `ph2-total=0` | Policy tidak cocok, PFS group beda, `tunnel=no` | Samakan `src/dst`, `pfs-group`, set `tunnel=yes` |
| Ping satu arah timeout | Policy balik belum dibuat | Tambah policy arah sebaliknya di kedua router |
| Tunnel aktif, client tetap gagal | `masquerade` menelan trafik sebelum IPsec | Tambah rule `action=accept` di atas masquerade |
| `in-no-policies` terus naik | SA masuk tapi tidak ada policy yang cocok | Periksa `sa-src-address`/`sa-dst-address` dan selector |
| `in-template-mismatches` naik | Template policy tidak cocok (biasanya mode-config) | Cek `policy-template-group` dan `generate-policy` |
| Tunnel putus tiap beberapa jam | Waktu tidak sinkron | Aktifkan NTP client di kedua sisi |
| Fase 1 gagal saat di belakang NAT | `my-id` mengirim IP privat, lawan mengharapkan IP publik | Set `my-id` dan `remote-id` eksplisit |
| Throughput kecil, ping besar gagal | MTU/fragmentasi | Turunkan MTU tunnel atau pakai MSS clamp |

⚠️ '''Hati-hati:''' kalau muncul `policy` dengan flag `I` (invalid), biasanya ada dua policy dengan `src-address`/`dst-address` yang sama. Hapus duplikatnya, jangan menambah policy baru di atasnya.

== 🔐 Catatan keamanan & etika ==

* **PSK hanya untuk lab.** Dokumentasi MikroTik menyatakan PSK rentan terhadap serangan *offline*; untuk produksi gunakan sertifikat digital.
* **Batasi sumber IKE.** Jangan biarkan UDP `500/4500` terbuka dari seluruh internet. Batasi `src-address` ke IP peer yang dikenal.
* **Jangan pakai PSK pendek.** Minimal 32 karakter acak. PSK pendek bisa dipecahkan dari capture handshake.
* **IPsec bukan kontrol akses user.** Tunnel memberi akses jaringan, bukan hak aplikasi. Tetap pakai login, role, dan audit di aplikasinya.
* **Perhatikan data pribadi.** Trafik yang lewat tunnel tetap berisi data siswa/pasien. Enkripsi melindungi di jalan, bukan dari admin yang punya akses sah.
* **Etika praktik.** Semua pengujian dilakukan di lab sendiri atau perangkat yang kamu miliki izin. Memindai atau mencoba membangun tunnel ke perangkat orang lain adalah pelanggaran.

== 📌 Kesimpulan ==

IPsec terasa rumit karena empat menu harus saling nyambung: peer, identity, proposal, dan policy. Kalau urutannya dipahami, konfigurasinya justru pendek.

Tiga hal yang paling menentukan berhasil tidaknya tunnel:

* **Dua policy berlawanan arah**, karena satu policy hanya satu arah.
* **NAT bypass di atas masquerade**, karena NAT diproses sebelum enkripsi.
* **Waktu yang sinkron**, karena IPsec sangat sensitif terhadap selisih jam.

Langkah berikutnya: coba buat satu tunnel yang sengaja dirusak — ganti PSK di satu sisi, atau hapus satu policy — lalu baca sendiri gejala di `active-peers` dan `policy`. Kemampuan membaca gejala inilah yang membedakan orang yang "hafal command" dengan orang yang benar-benar paham.

== 🔗 Materi terkait ==

* [[Mikrotik : VPN WireGuard Site-to-Site]] — alternatif VPN modern yang lebih ringan untuk kasus serupa.
* [[Mikrotik : Praktikum Uji WireGuard Site-to-Site]] — contoh pola uji dan fault injection yang bisa diadaptasi untuk IPsec.
* [[Mikrotik : Firewall Filter Dasar]] — dasar mengizinkan UDP `500/4500` dan `ipsec-esp` dengan aman.
* [[Mikrotik : NAT Masquerade agar Client Bisa Internet]] — memahami urutan NAT sebelum menambah bypass.
* [[Mikrotik : Static Route Dasar]] — routing antar-LAN yang harus beres sebelum tunnel dibangun.
* [[Mikrotik : Tabel Routing dan Manajemen Rute di RouterOS v7]] — membaca tabel rute saat trafik tunnel tidak kembali.
* [[Mikrotik : Praktikum Cek Firewall Filter dengan Counter dan Log]] — memantau paket IKE/ESP yang jatuh di firewall.

== 📚 Referensi ==

* MikroTik RouterOS Documentation — IPsec: https://help.mikrotik.com/docs/spaces/ROS/pages/11993097/IPsec
* MikroTik RouterOS Manual — IPsec: https://manual.mikrotik.com/docs/virtual-private-networks/ipsec/
* IETF RFC 4301 — Security Architecture for IP
* IETF RFC 4303 — Encapsulating Security Payload (ESP)
* IETF RFC 7296 — Internet Key Exchange Protocol Version 2 (IKEv2)
* IETF RFC 5737 — IPv4 Address Blocks Reserved for Documentation

[[Category:TKJ]]
[[Category:Jaringan]]
[[Category:Mikrotik]]