Maintenance script: Protected "Mikrotik : Praktikum Mengamankan Layanan RouterOS": Proteksi artikel editorial WIKI TKJ ([Edit=Allow only administrators] (indefinite) [Move=Allow only administrators] (indefinite))

2026-07-26T09:04:50Z

Protected "Mikrotik : Praktikum Mengamankan Layanan RouterOS": Proteksi artikel editorial WIKI TKJ ([Edit=Allow only administrators] (indefinite) [Move=Allow only administrators] (indefinite))

← Older revision	Revision as of 16:04, 26 July 2026
(No difference)

Maintenance script: Publikasi sore: praktikum mengamankan layanan RouterOS

2026-07-26T09:04:04Z

Publikasi sore: praktikum mengamankan layanan RouterOS

New page

'''Mikrotik : Praktikum Mengamankan Layanan RouterOS''' adalah panduan praktis untuk memeriksa, menonaktifkan, dan membatasi akses ke layanan bawaan RouterOS. Artikel ini adalah pendamping dari seri User Management.

== Tujuan ==
Setelah membaca artikel ini, siswa diharapkan mampu untuk:
* Memeriksa layanan apa saja yang sedang berjalan di RouterOS
* Menonaktifkan layanan yang tidak diperlukan
* Membatasi akses ke layanan administrasi hanya dari jaringan lokal (LAN)
* Mengganti port bawaan layanan tertentu
* Memahami prinsip ''least privilege'' pada layanan router

== Kenapa Layanan RouterOS Perlu Diamankan? ==

Bayangkan RouterOS sebagai sebuah '''rumah''' yang punya beberapa '''pintu''' (layanan). Secara bawaan, pabrik membuka semua pintu — SSH, Telnet, FTP, WebFig (HTTP/HTTPS), API, Winbox — dan semuanya bisa diakses dari mana saja, termasuk dari luar.

Dalam situasi lab atau jaringan rumahan, ini mungkin tidak langsung berbahaya. Tapi kalau router terhubung ke internet (langsung dengan IP publik), pintu yang tidak dikunci akan menjadi sasaran empuk peretas. Skenarionya mirip seperti meninggalkan semua pintu rumah terbuka lebar di malam hari.

Tujuan '''service hardening''' (pengerasan layanan) adalah:
* Menutup pintu yang tidak dipakai
* Memberi kunci tambahan pada pintu yang memang harus dibuka
* Memastikan hanya orang yang berhak yang bisa masuk

== Kebutuhan Awal ==
* Router atau VM dengan RouterOS (CHR/v7) yang sudah direset atau sudah memiliki konfigurasi dasar
* Akses ke router via:
** Terminal (SSH atau langsung) — cara paling cepat dan lengkap
** Winbox (GUI) — alternatif visual
** WebFig — bisa dipakai kalau WebFig masih aktif
* Salah satu user admin (bisa user `admin` atau user kustom yang sudah dibuat di artikel sebelumnya)
* Konflik: jangan lakukan di router produksi yang melayani banyak pengguna tanpa izin atasan

== Langkah Praktik ==

=== 1. Cek Layanan yang Berjalan ===
Langkah pertama adalah menginventarisasi semua layanan yang aktif.

'''Via Terminal:'''
<pre>/ip service print</pre>

Output akan menunjukkan daftar layanan seperti ini:
<pre>Flags: X - disabled, I - invalid
# NAME PORT PROTO ADDRESS CERTIFICATE VRF MAX-SESSIONS
0 telnet 23 tcp 20
1 ftp 21 tcp 20
2 ssh 22 tcp 20
3 www 80 tcp 20
4 X www-ssl 443 tcp none 20
5 api 8728 tcp 20
6 api-ssl 8729 tcp none 20
7 winbox 8291 tcp 20
</pre>

Layanan yang memiliki flag '''X''' di depan artinya sudah '''disabled''' (dinonaktifkan).

'''Via Winbox:'''
# Buka menu '''IP → Services'''
# Akan muncul tabel semua layanan dengan status (centang = aktif, silang = mati)
# Dari sini kamu bisa langsung cek status dan konfigurasi

=== 2. Matikan Layanan yang Tidak Dipakai ===
Tidak semua layanan diperlukan. Di lab TKJ atau jaringan kantor kecil, biasanya cukup:
* '''ssh''' — akses remote via terminal
* '''winbox''' — akses GUI
* '''www-ssl''' — akses WebFig via HTTPS

Layanan yang '''aman dimatikan''' di sebagian besar skenario:
* '''telnet''' — tidak aman, semua data dikirim plain text (termasuk password)
* '''ftp''' — tidak aman, password dan data dikirim tanpa enkripsi. Gunakan SCP/SFTP via SSH sebagai gantinya
* '''www''' (HTTP plain) — rentan intersepsi. Gunakan '''www-ssl''' (HTTPS) saja
* '''api''' — hanya diperlukan kalau ada aplikasi eksternal (misal: Dude, Mikhmon, sistem billing)
* '''api-ssl''' — versi aman dari API. Hanya aktifkan kalau ada aplikasi yang benar-benar membutuhkannya

'''Via Terminal — Matikan Telnet:'''
<pre>/ip service disable telnet</pre>

'''Via Terminal — Matikan FTP:'''
<pre>/ip service disable ftp</pre>

'''Via Terminal — Matikan HTTP (www) biar cuma HTTPS yang aktif:'''
<pre>/ip service disable www</pre>

'''Via Winbox:'''
# Menu '''IP → Services'''
# Klik dua kali layanan yang ingin dimatikan
# Hilangkan centang '''Enabled''' atau klik kanan lalu pilih '''Disable'''

=== 3. Batasi Akses ke Layanan dari LAN Saja ===
Setelah menonaktifkan layanan yang tidak perlu, langkah selanjutnya adalah membatasi dari mana saja layanan administrasi bisa diakses. Prinsipnya: '''layanan admin hanya bisa diakses dari jaringan LAN (dalam)''', bukan dari WAN (internet).

'''Via Terminal — Batasi SSH hanya dari LAN:'''
<pre>/ip service set ssh address=192.168.88.0/24</pre>
Ganti `192.168.88.0/24` dengan subnet LAN kamu.

'''Via Terminal — Batasi Winbox hanya dari LAN:'''
<pre>/ip service set winbox address=192.168.88.0/24</pre>

'''Via Terminal — Batasi WebFig HTTPS hanya dari LAN:'''
<pre>/ip service set www-ssl address=192.168.88.0/24</pre>

'''Via Winbox:'''
# Menu '''IP → Services'''
# Klik dua kali layanan (misal: SSH)
# Pada field '''Available From''', isi dengan prefix jaringan LAN, misal: '''192.168.88.0/24'''
# Klik OK

Kalau mau membatasi ke satu alamat IP tertentu (misal IP laptop admin): <code>/ip service set ssh address=192.168.88.10/32</code>

<blockquote>'''Catatan penting:''' Pastikan IP kamu sendiri termasuk dalam rentang yang diizinkan. Kalau tidak, kamu akan terkunci dari router dan harus akses via MAC Telnet atau reset fisik.</blockquote>

=== 4. Ganti Port Bawaan (Opsional) ===
Mengganti port bawaan layanan adalah teknik ''security by obscurity'' (keamanan dengan menyembunyikan). Ini tidak menggantikan firewall, tapi bisa mengurangi jumlah serangan bot otomatis yang memindai port standar.

'''Via Terminal — Ganti Port SSH dari 22 ke 2222:'''
<pre>/ip service set ssh port=2222</pre>

'''Via Winbox:'''
# Menu '''IP → Services'''
# Klik dua kali layanan SSH
# Ubah field '''Port''' menjadi port baru
# Klik OK

<blockquote>'''Peringatan:''' Kalau kamu mengganti port, jangan lupa memberitahu tim atau mencatat port barunya. Client SSH sekarang harus pakai <code>ssh -p 2222 admin@192.168.88.1</code> atau set port di Winbox/putty.</blockquote>

=== 5. Matikan Fitur Web Server yang Tidak Diperlukan ===
RouterOS punya web server internal dengan beberapa fitur: WebFig, halaman login, graph, REST API, SCEP, dan ACME. Masing-masing bisa dimatikan secara terpisah.

'''Via Terminal — Lihat status web server saat ini:'''
<pre>/ip service print web</pre>
atau
<pre>/ip service print secure</pre>

'''Via Terminal — Matikan WebFig HTTP saja (biarkan HTTPS):'''
<pre>/ip service set www disabled=yes</pre>

'''Via Terminal — Matikan halaman utama (index) di HTTPS agar pengguna tidak melihat login page dari luar:'''
<pre>/ip service set www-ssl address=192.168.88.0/24</pre>

=== 6. Verifikasi ===
Setelah melakukan perubahan, lakukan pengecekan:

'''(a) Cek status layanan'''
<pre>/ip service print where !disabled</pre>
Lihat hanya layanan yang aktif saja dan pastikan sesuai dengan yang diharapkan.

'''(b) Coba akses dari luar LAN'''
Dari komputer yang tidak berada di subnet LAN (misal pakai tethering HP), coba akses:
* SSH ke IP router — harus ditolak / timeout
* Login Winbox — harus gagal
* Buka `http://[ip-router]/` — harus tidak bisa

Kalau semua akses dari luar LAN gagal, berarti pembatasan sudah berjalan.

'''(c) Coba akses dari dalam LAN'''
Pastikan akses dari komputer dalam LAN masih berfungsi normal:
* Login Winbox berhasil
* SSH lancar (kalau port diganti, pakai port baru)

== Troubleshooting ==

=== "Saya terkunci dari router!" ===
'''Penyebab:''' Kamu membatasi akses layanan tapi IP kamu sendiri tidak termasuk dalam rentang yang diizinkan.

'''Solusi darurat:'''
# Gunakan MAC Telnet untuk akses langsung: Tools → '''MAC Telnet''' di Winbox (kalau sudah terhubung di jaringan yang sama)
# Atau reset router secara fisik: tahan tombol reset, colok power, lepas tombol setelah LED berkedip
# Kalau akses via MAC Telnet: login, lalu perbaiki rule <code>/ip service set ssh address=0.0.0.0/0</code> (atau set ke subnet LAN yang benar)

=== "Service tidak bisa di-disable" ===
Beberapa layanan seperti '''winbox''' dan '''ssh''' mungkin sudah terlanjur penting. RouterOS tetap mengizinkan disable, tapi pastikan kamu masih punya cara alternatif untuk akses (misal: akses lokal via terminal/keyboard+monitor).

=== "Setelah matiin www-ssl, WebFig HTTPS jadi error" ===
Jangan matikan www-ssl kalau kamu andalkan WebFig remote. Alternatif: set address restriction saja agar hanya bisa diakses dari LAN.

=== "Client Winbox dari LAN tetap tidak bisa akses" ===
Cek:
<pre>/ip service print where name=winbox</pre>
Pastikan field '''Address''' tidak kosong atau berisi subnet yang benar. Set ke <code>address=0.0.0.0/0</code> untuk mengizinkan semua, atau subnet LAN kamu.

== Catatan Keamanan ==
* '''Jangan terlalu percaya pada perubahan port saja.''' Bot otomatis bisa memindai ribuan port. Gunakan pembatasan alamat IP (address restriction) sebagai lapisan pertahanan utama.
* '''Jangan mematikan layanan yang masih dipakai.''' Inventaris dulu siapa saja yang bergantung pada layanan tersebut sebelum menonaktifkannya.
* '''Akses dari WAN ke layanan administrasi sebaiknya ditolak di firewall, bukan hanya di IP Services.''' Pengaturan di IP Services hanya memblokir di level aplikasi, bukan di level jaringan. Untuk proteksi lebih baik, kombinasikan dengan firewall filter di chain input.
* '''Catat perubahan yang kamu buat.''' Di lingkungan tim, perubahan konfigurasi layanan bisa membingungkan anggota tim lain.
* '''Untuk lingkungan produksi, buat sesi backup dulu''' sebelum melakukan hardening: <pre>/export file=sebelum-hardening</pre>

== Kesimpulan ==
Mengamankan layanan RouterOS adalah langkah dasar tapi krusial dalam mengelola router. Dengan menonaktifkan layanan yang tidak perlu, membatasi akses dari LAN, dan mengganti port bawaan, kamu sudah mengurangi permukaan serangan router secara signifikan. Prinsipnya sederhana: '''semakin sedikit pintu yang terbuka, semakin sedikit celah yang bisa dimanfaatkan penyusup.'''

== Materi terkait ==
* [[Mikrotik : Firewall Filter Dasar]] — proteksi tambahan dengan firewall untuk memblokir akses ke layanan dari WAN
* [[Mikrotik : Praktikum Cek Firewall Filter dengan Counter dan Log]] — cara memverifikasi aturan firewall yang melindungi layanan
* [[Mikrotik : Praktikum Membuat User dan Group di RouterOS]] — mengelola siapa yang bisa login ke layanan yang masih aktif
* [[Mikrotik : Praktikum Cek Siapa yang Login (Active User dan Log)]] — memonitor siapa yang sedang menggunakan layanan router
* [[Mikrotik : Backup dan Export Konfigurasi]] — backup konfigurasi sebelum melakukan hardening
* [[Category:Mikrotik]] — lihat semua artikel MikroTik
* [[Category:Cyber Security]] — topik keamanan jaringan lainnya

== Referensi ==
* MikroTik RouterOS Documentation — Services. <code>https://help.mikrotik.com/docs/display/ROS/Services</code>. Diakses Juli 2026.
* MikroTik RouterOS Documentation — Building Advanced Firewall. <code>https://help.mikrotik.com/docs/display/ROS/Building+Advanced+Firewall</code>. Diakses Juli 2026.
* MikroTik RouterOS Documentation — User. <code>https://help.mikrotik.com/docs/display/ROS/User</code>. Diakses Juli 2026.

[[Category:TKJ]]
[[Category:Jaringan]]
[[Category:Mikrotik]]
[[Category:Cyber Security]]

Mikrotik : Praktikum Mengamankan Layanan RouterOS - Revision history

Maintenance script: Protected "Mikrotik : Praktikum Mengamankan Layanan RouterOS": Proteksi artikel editorial WIKI TKJ ([Edit=Allow only administrators] (indefinite) [Move=Allow only administrators] (indefinite))

Maintenance script: Publikasi sore: praktikum mengamankan layanan RouterOS