Latest revision as of 09:01, 28 October 2026

Mikrotik : NAT Masquerade agar Client Bisa Internet

Tujuan

Materi ini membantu pembaca memahami dan mempraktikkan NAT masquerade di MikroTik supaya client LAN bisa mengakses internet memakai jalur WAN router.

Setelah IP address, DHCP Server, DNS, dan default gateway sudah benar, masih ada satu bagian penting: alamat IP private client LAN tidak bisa langsung berjalan di internet publik. NAT masquerade membantu router "mewakili" client LAN saat keluar ke internet.

Analogi gampangnya begini: client LAN seperti siswa di dalam lab yang punya nomor meja internal. Nomor meja itu jelas di dalam lab, tetapi orang luar sekolah tidak kenal nomor meja tersebut. Saat siswa mengirim paket ke luar, satpam gerbang memakai alamat sekolah sebagai alamat pengirim luar. Balasan dari luar datang ke alamat sekolah, lalu satpam mengantarkannya kembali ke meja siswa yang benar.

Di jaringan, satpam itu adalah router MikroTik. Nomor meja internal adalah IP private seperti 192.168.10.20. Alamat sekolah yang dikenal internet adalah IP di interface WAN router.

Konteks nyata

NAT masquerade masih sangat sering dipakai di lab sekolah, rumah, kantor kecil, hotspot, dan jaringan pelanggan karena banyak perangkat memakai IP private di belakang satu koneksi internet.

Kebutuhan industri saat ini bukan cuma "bisa internet", tetapi juga bisa membaca alur masalah:

apakah client sudah punya IP, gateway, dan DNS
apakah router sendiri sudah bisa internet
apakah route keluar sudah ada
apakah NAT sudah benar mengarah ke interface WAN
apakah firewall tidak memblokir trafik forward

Jadi materi ini tidak hanya memberi command. Fokusnya adalah paham jalur paket dari client LAN ke internet, lalu tahu cara membuktikan titik yang bermasalah.

Gambaran topologi

Contoh topologi praktik:

Internet/Modem ---- ether1-WAN MikroTik ether2-LAN ---- Switch ---- PC Siswa
                           |
                      NAT masquerade

Contoh rencana alamat:

WAN MikroTik: mendapat IP dari modem/ISP, misalnya 192.168.1.10/24 atau IP publik dari ISP
gateway WAN/modem: 192.168.1.1
LAN MikroTik: 192.168.10.1/24
client LAN: 192.168.10.10-192.168.10.254
DNS client: 192.168.10.1, 1.1.1.1, atau DNS dari ISP

Pada contoh ini, client 192.168.10.20 tidak dikenal langsung oleh internet. Saat client membuka website, MikroTik akan mengubah alamat sumber paket menjadi alamat WAN router. Itulah peran NAT source NAT/masquerade.

Konsep singkat NAT masquerade

NAT adalah Network Address Translation. Di RouterOS, NAT IPv4 dipakai untuk mengubah alamat IP pada paket jaringan.

Ada dua jenis besar NAT yang sering ditemui:

srcnat: mengubah alamat sumber paket, biasanya untuk client LAN yang keluar ke internet
dstnat: mengubah alamat tujuan paket, biasanya untuk port forwarding dari internet ke server lokal

Materi ini fokus ke srcnat dengan action masquerade.

Kenapa memakai masquerade?

cocok untuk WAN yang IP-nya bisa berubah, misalnya DHCP Client dari modem/ISP
router otomatis memakai alamat IP pada interface keluar
sederhana untuk praktik awal lab TKJ

Kalau WAN memakai IP publik statis dan desainnya lebih serius, admin kadang memakai src-nat to-addresses=.... Namun untuk tahap dasar, masquerade lebih ramah dipahami.

Kebutuhan awal

Sebelum praktik, pastikan:

interface LAN sudah punya IP, misalnya 192.168.10.1/24
client LAN sudah mendapat IP dari DHCP Server
default gateway client mengarah ke IP LAN MikroTik, misalnya 192.168.10.1
DNS client sudah benar
interface WAN sudah terhubung ke modem/ISP
router MikroTik punya default route menuju internet
kamu tahu nama interface WAN, misalnya ether1, ether1-WAN, atau masuk ke interface list WAN

Kalau masih belajar, gunakan router praktik atau lab virtual. Jangan langsung ubah router produksi sekolah tanpa backup dan izin.

Alur paket sebelum dan sesudah NAT

Sebelum NAT:

Client 192.168.10.20 -> Internet 1.1.1.1

Masalahnya, internet publik tidak merutekan balik alamat private 192.168.10.20.

Sesudah NAT masquerade:

Client 192.168.10.20 -> MikroTik -> Internet
Alamat sumber di luar terlihat sebagai IP WAN MikroTik

Saat balasan masuk, MikroTik membaca tabel koneksi dan mengembalikan paket ke client yang benar. RouterOS memakai connection tracking untuk mengingat hubungan paket-paket dalam satu koneksi.

Cara 1 - Cek koneksi router ke internet

Sebelum menyalahkan NAT, pastikan router sendiri bisa keluar.

Cek IP address:

/ip address print

Cek route:

/ip route print

Cari route tujuan 0.0.0.0/0 yang aktif. Itu adalah default route router ke luar jaringan.

Tes ping dari router:

/ping 1.1.1.1
/ping google.com

Cara membaca:

ping 1.1.1.1 gagal: kemungkinan WAN, IP WAN, default route, modem, atau ISP bermasalah
ping 1.1.1.1 berhasil tetapi google.com gagal: kemungkinan DNS router bermasalah
dua-duanya berhasil: router sudah bisa internet, lanjut cek NAT dan client

Cara 2 - Membuat NAT masquerade via Winbox/WebFig

Langkah di Winbox atau WebFig:

buka menu IP
buka Firewall
masuk tab NAT
klik tombol tambah
tab General:
- Chain: srcnat
- Out. Interface: pilih interface WAN, misalnya ether1-WAN
tab Action:
- Action: masquerade
klik OK atau Apply

Jika router sudah memakai interface list, kamu bisa memakai Out. Interface List: WAN agar rule lebih rapi. Ini berguna saat nama interface berubah atau nanti ada lebih dari satu koneksi WAN.

Cara 3 - Membuat NAT masquerade via terminal

Contoh paling sederhana jika WAN adalah ether1:

/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade comment="NAT LAN ke internet"

Jika interface sudah dinamai lebih jelas:

/ip firewall nat add chain=srcnat out-interface=ether1-WAN action=masquerade comment="NAT LAN ke internet"

Jika memakai interface list WAN:

/interface list add name=WAN
/interface list member add list=WAN interface=ether1-WAN
/ip firewall nat add chain=srcnat out-interface-list=WAN action=masquerade comment="NAT LAN ke internet"

Catatan: jangan asal menjalankan semua contoh sekaligus. Pilih salah satu yang sesuai dengan konfigurasi router kamu. Untuk lab awal, cukup satu rule NAT masquerade.

Cara 4 - Mengecek rule NAT

Lihat daftar rule NAT:

/ip firewall nat print

Lihat statistik packet/byte pada rule:

/ip firewall nat print stats

Saat client mencoba membuka internet, counter pada rule NAT harus bertambah. Counter yang bertambah menandakan ada trafik yang cocok dengan rule tersebut.

Kalau rule baru dibuat tetapi koneksi lama masih terasa aneh, kamu bisa menguji dengan koneksi baru, misalnya buka website lain atau restart koneksi client. Pada kondisi troubleshooting tertentu, connection tracking lama bisa membuat perubahan NAT belum langsung terasa sampai koneksi lama selesai.

Contoh praktik lab TKJ

Skenario:

ether1-WAN terhubung ke modem
ether2-LAN atau bridge-LAN melayani jaringan siswa
LAN memakai 192.168.10.0/24
gateway LAN MikroTik adalah 192.168.10.1
client sudah mendapat DHCP

Command inti:

/ip address print
/ip route print
/ping 1.1.1.1
/ping google.com
/ip firewall nat add chain=srcnat out-interface=ether1-WAN action=masquerade comment="NAT LAN ke internet"
/ip firewall nat print stats

Jika interface WAN kamu masih bernama ether1, sesuaikan command:

/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade comment="NAT LAN ke internet"

Verifikasi

Dari MikroTik:

/ping 1.1.1.1
/ping google.com
/ip firewall nat print stats
/ip firewall connection print

Dari client:

ping 192.168.10.1
ping 1.1.1.1
ping google.com

Buka browser dari client, lalu coba akses website ringan.

Cara membaca hasil:

client bisa ping gateway tetapi tidak bisa ping IP internet: cek route router, NAT, dan firewall forward
client bisa ping IP internet tetapi tidak bisa ping domain: cek DNS
router bisa internet tetapi client tidak bisa: cek NAT, gateway client, firewall, dan jalur LAN
counter NAT bertambah saat client tes: trafik sudah melewati rule NAT
counter NAT tidak bertambah: kemungkinan out-interface salah, trafik tidak sampai router, atau client memakai gateway berbeda

Troubleshooting singkat

Router belum bisa internet:

cek kabel/modem di sisi WAN
cek IP WAN dengan /ip address print
cek default route dengan /ip route print
jika WAN memakai DHCP Client, cek status DHCP Client
cek DNS router dengan /ip dns print

Client mendapat IP tetapi tidak bisa internet:

pastikan gateway client adalah IP LAN MikroTik
pastikan client bisa ping IP LAN MikroTik
cek rule NAT srcnat dengan out-interface atau out-interface-list yang benar
cek apakah ada firewall filter di chain forward yang memblokir client

NAT rule ada tetapi counter tidak naik:

pastikan client benar-benar mencoba akses internet
pastikan rule tidak disabled
pastikan interface WAN pada rule benar
pastikan tidak ada router lain yang menjadi gateway client
cek topologi fisik: kabel LAN masuk ke port/bridge yang benar

Bisa ping IP internet tetapi website tidak terbuka:

cek DNS client
cek DNS router
coba ping domain dari router dan client
pastikan DHCP Server membagikan DNS yang benar

Ada dua NAT rule mirip-mirip:

rapikan dokumentasi dulu sebelum menghapus
jangan hapus rule produksi tanpa memahami efeknya
di lab, gunakan komentar rule agar mudah dibaca

Catatan keamanan

NAT masquerade bukan pengganti firewall. NAT memang membuat client private tidak langsung terlihat dari internet, tetapi router tetap perlu firewall yang benar.

Praktik aman:

jangan membuka port dari internet ke LAN jika belum paham dstnat
batasi akses service router dari WAN
gunakan password admin yang kuat
beri komentar pada rule NAT agar mudah diaudit
backup atau export konfigurasi sebelum perubahan besar
jangan menganggap "sudah NAT" berarti jaringan otomatis aman

Untuk tahap ini, cukup fokus pada NAT keluar dari LAN ke internet. Port forwarding, firewall filter lanjutan, dan hardening router dibahas di materi berikutnya.

Kesimpulan

NAT masquerade adalah langkah penting agar client LAN dengan IP private bisa mengakses internet lewat MikroTik.

Ringkasnya:

IP private LAN tidak dirutekan langsung di internet publik
NAT masquerade membuat paket client keluar memakai alamat WAN router
rule dasar memakai chain=srcnat, out-interface WAN, dan action=masquerade
verifikasi dilakukan dari router, client, counter NAT, dan tabel koneksi
NAT membantu koneksi keluar, tetapi firewall tetap wajib dipahami untuk keamanan