WIKI TKJ

Mikrotik : Firewall Mangle Dasar: Difference between revisions

← Older edit
Maintenance script (talk | contribs)
98 edits
VisualWikitext
m Protected "Mikrotik : Firewall Mangle Dasar": Artikel editorial WIKI TKJ ([Edit=Allow only administrators] (indefinite) [Move=Allow only administrators] (indefinite))
Gaya Editorial v2: ikon heading, callout, + bagian Dipakai di dunia kerja
 
Line 1: Line 1:
= Mikrotik : Firewall Mangle Dasar =
= Mikrotik : Firewall Mangle Dasar =


== Tujuan ==
== 🎯 Tujuan ==


Setelah mengikuti materi ini, kamu diharapkan bisa:
Setelah mengikuti materi ini, kamu diharapkan bisa:
Line 12: Line 12:
* melakukan verifikasi dan mengenali masalah umum pada mangle.
* melakukan verifikasi dan mengenali masalah umum pada mangle.


== Konteks nyata ==
== 📍 Konteks nyata ==


Bayangkan paket data itu seperti paket kiriman di gudang ekspedisi. Di gudang ada dua petugas yang tugasnya berbeda:
Bayangkan paket data itu seperti paket kiriman di gudang ekspedisi. Di gudang ada dua petugas yang tugasnya berbeda:


* '''satpam gerbang''' memutuskan paket boleh masuk atau harus ditolak;
* 🔹 '''satpam gerbang''' memutuskan paket boleh masuk atau harus ditolak;
* '''petugas label''' menempelkan stiker warna pada paket supaya bagian lain tahu paket ini harus diperlakukan khusus.
* 🔹 '''petugas label''' menempelkan stiker warna pada paket supaya bagian lain tahu paket ini harus diperlakukan khusus.


Di MikroTik, "satpam gerbang" itu adalah '''firewall filter''' yang kita pelajari di materi [[Mikrotik : Firewall Filter Dasar]]. Sedangkan "petugas label" adalah '''firewall mangle'''. Mangle tidak menolak paket; tugasnya menandai paket agar fitur lain seperti queue, NAT, atau routing bisa memperlakukannya secara khusus.
Di MikroTik, "satpam gerbang" itu adalah '''firewall filter''' yang kita pelajari di materi [[Mikrotik : Firewall Filter Dasar]]. Sedangkan "petugas label" adalah '''firewall mangle'''. Mangle tidak menolak paket; tugasnya menandai paket agar fitur lain seperti queue, NAT, atau routing bisa memperlakukannya secara khusus.


Kenapa perlu menandai? Karena di jaringan nyata tidak semua trafik sama. Di lab sekolah, trafik presensi guru bisa jadi lebih penting daripada trafik streaming siswa. Di kantor, panggilan meeting online biasanya lebih penting daripada download file besar. Dengan mangle, kita bisa "memberi label" lebih dulu, lalu label itu dipakai untuk mengatur prioritas atau jalur.
🔥 '''Kasus nyata:''' Di sebuah SMK, ujian berbasis komputer berjalan serentak untuk 3 kelas. Tiba-tiba beberapa siswa gagal menyimpan jawaban karena koneksi ke server ujian ikut tersendat — penyebabnya 5 siswa lain membuka streaming video di jam yang sama. Tidak ada yang salah dengan kabel atau ISP; masalahnya router memperlakukan semua trafik sama rata. Setelah trafik ujian ditandai dan diprioritaskan (pakai mangle + queue), ujian berjalan lancar meski streaming tetap dibatasi, bukan diblokir.


Di industri, mangle dipakai untuk banyak hal: membedakan trafik lokal dan internet, menandai trafik pengguna tertentu sebelum masuk Queue Tree, memaksa trafik tertentu lewat jalur cadangan, sampai memperbaiki masalah MSS pada koneksi VPN/PPPoE.
💡 '''Tips:''' sebelum menyentuh mangle, pastikan kamu sudah paham [[Mikrotik : Firewall Filter Dasar]]. Mangle itu "penanda", bukan "penolak" — kalau niatmu memblokir, yang kamu butuhkan filter.


== Konsep singkat ==
== 🧠 Konsep singkat ==


Menurut dokumentasi resmi MikroTik, mangle adalah semacam ''marker'' (penanda) yang menandai paket untuk diproses lebih lanjut. Banyak fasilitas RouterOS memakai mark ini, misalnya Queue Tree, NAT, dan routing. Mark tersebut hanya hidup '''di dalam router''' dan tidak ikut terkirim ke jaringan lain — jadi client tidak melihat label apa pun.
Menurut dokumentasi resmi MikroTik, mangle adalah semacam ''marker'' (penanda) yang menandai paket untuk diproses lebih lanjut. Banyak fasilitas RouterOS memakai mark ini, misalnya Queue Tree, NAT, dan routing.
 
📊 '''Angka penting:''' mark tersebut hanya hidup '''di dalam router''' dan tidak ikut terkirim ke jaringan lain — jadi client tidak melihat label apa pun.


Selain menandai, mangle juga bisa memodifikasi beberapa field di header IP, misalnya TOS/DSCP (penanda prioritas) dan TTL (batas umur paket).
Selain menandai, mangle juga bisa memodifikasi beberapa field di header IP, misalnya TOS/DSCP (penanda prioritas) dan TTL (batas umur paket).
Line 36: Line 38:
# '''Mengubah field header''' — mengubah MSS, TTL, DSCP, atau membersihkan flag ''Don't Fragment''.
# '''Mengubah field header''' — mengubah MSS, TTL, DSCP, atau membersihkan flag ''Don't Fragment''.


== Istilah penting ==
== 🧩 Istilah penting ==


* '''mangle''' — fasilitas firewall RouterOS untuk menandai dan memodifikasi paket.
* '''mangle''' — fasilitas firewall RouterOS untuk menandai dan memodifikasi paket.
Line 47: Line 49:
* '''FastTrack''' — jalur cepat di firewall yang membuat trafik terlewat lebih ringan, tetapi juga melewati sebagian pemrosesan lain.
* '''FastTrack''' — jalur cepat di firewall yang membuat trafik terlewat lebih ringan, tetapi juga melewati sebagian pemrosesan lain.


== Lima chain mangle ==
== 🔗 Lima chain mangle ==


Firewall mangle memiliki lima chain bawaan yang tidak bisa dihapus. Analoginya, ini lima pos berbeda di sepanjang perjalanan paket:
Firewall mangle memiliki lima chain bawaan yang tidak bisa dihapus. Analoginya, ini lima pos berbeda di sepanjang perjalanan paket:
Line 59: Line 61:
Untuk materi dasar, urutan berpikirnya sederhana: kalau mau menandai trafik yang berasal dari client, mulai dari `prerouting`. Kalau mau menandai trafik yang menuju client (arah download), hati-hati soal interface mana yang dipakai, karena arah paketnya berbeda.
Untuk materi dasar, urutan berpikirnya sederhana: kalau mau menandai trafik yang berasal dari client, mulai dari `prerouting`. Kalau mau menandai trafik yang menuju client (arah download), hati-hati soal interface mana yang dipakai, karena arah paketnya berbeda.


== Action penting di mangle ==
== 🔧 Action penting di mangle ==


Beberapa action yang paling sering dipakai:
Beberapa action yang paling sering dipakai:
Line 71: Line 73:
* '''passthrough''' — kalau `no`, paket berhenti di rule itu dan tidak diperiksa rule berikutnya.
* '''passthrough''' — kalau `no`, paket berhenti di rule itu dan tidak diperiksa rule berikutnya.


Catatan penting: jumlah penanda paket (packet mark) ada batasnya. Dokumentasi MikroTik menyebut maksimum sekitar 4096 mark unik. Kalau lewat batas, akan muncul error `bad new packet mark`.
📊 '''Angka penting:''' jumlah penanda paket (packet mark) ada batasnya. Dokumentasi MikroTik menyebut maksimum sekitar 4096 mark unik. Kalau lewat batas, akan muncul error `bad new packet mark`.


== Jurus hemat: mark connection dulu, baru mark packet ==
== 💡 Jurus hemat: mark connection dulu, baru mark packet ==


Memeriksa header tiap paket itu pekerjaan yang relatif berat. Supaya lebih hemat, kita tandai dulu '''koneksinya sekali''', lalu pakai mark koneksi itu untuk menandai paket-paket berikutnya. Contoh pola dari dokumentasi MikroTik:
Memeriksa header tiap paket itu pekerjaan yang relatif berat. Supaya lebih hemat, kita tandai dulu '''koneksinya sekali''', lalu pakai mark koneksi itu untuk menandai paket-paket berikutnya. Contoh pola dari dokumentasi MikroTik:
Line 85: Line 87:
Rule pertama menandai koneksi baru dari satu host. Rule kedua menandai paket berdasarkan mark koneksi itu. Pola dua langkah ini adalah pola standar mangle yang sebaiknya kamu biasakan.
Rule pertama menandai koneksi baru dari satu host. Rule kedua menandai paket berdasarkan mark koneksi itu. Pola dua langkah ini adalah pola standar mangle yang sebaiknya kamu biasakan.


== Praktik: menandai trafik client siswa ==
== 🔧 Praktik: menandai trafik client siswa ==


Skenario: client siswa memakai subnet `192.168.20.0/24` di `bridge-LAN`, dan kita mau menandai paket mereka supaya nanti bisa dipakai Queue Tree.
Skenario: client siswa memakai subnet `192.168.20.0/24` di `bridge-LAN`, dan kita mau menandai paket mereka supaya nanti bisa dipakai Queue Tree.


=== Arah upload (client ke internet) ===
=== 🔹 Arah upload (client ke internet) ===


<syntaxhighlight lang="text">
<syntaxhighlight lang="text">
Line 100: Line 102:
</syntaxhighlight>
</syntaxhighlight>


=== Arah download (internet ke client) ===
=== 🔹 Arah download (internet ke client) ===


<syntaxhighlight lang="text">
<syntaxhighlight lang="text">
Line 111: Line 113:
</syntaxhighlight>
</syntaxhighlight>


Kalau konfigurasi kamu memakai nama interface yang berbeda, misalnya `ether1` untuk WAN dan `bridge1` untuk LAN, sesuaikan bagian `in-interface` dengan kondisi lab kamu.
⚠️ '''Hati-hati:''' kalau konfigurasi lab kamu memakai nama interface yang berbeda (misalnya `ether1` untuk WAN dan `bridge1` untuk LAN), sesuaikan bagian `in-interface` dengan kondisi nyata. Salah nama interface = counter mangle tidak pernah bergerak.


=== Lewat Winbox/WebFig ===
=== 🔹 Lewat Winbox/WebFig ===


# Buka menu '''IP''' → '''Firewall''' → tab '''Mangle'''.
# Buka menu '''IP''' → '''Firewall''' → tab '''Mangle'''.
Line 122: Line 124:
# Isi kolom '''Comment''' supaya rule mudah diingat. Kebiasaan memberi komentar ini sangat membantu saat rule sudah banyak.
# Isi kolom '''Comment''' supaya rule mudah diingat. Kebiasaan memberi komentar ini sangat membantu saat rule sudah banyak.


== Memakai mark di Queue Tree ==
== 🔧 Memakai mark di Queue Tree ==


Setelah paket punya mark, Queue Tree bisa memakai mark itu sebagai dasar pembatasan:
Setelah paket punya mark, Queue Tree bisa memakai mark itu sebagai dasar pembatasan:
Line 134: Line 136:
Di sini mangle dan Queue Tree bekerja berpasangan: mangle menentukan '''paket mana''' yang masuk hitungan, sedangkan Queue Tree menentukan '''seberapa besar''' jatahnya.
Di sini mangle dan Queue Tree bekerja berpasangan: mangle menentukan '''paket mana''' yang masuk hitungan, sedangkan Queue Tree menentukan '''seberapa besar''' jatahnya.


== Verifikasi ==
== 🏭 Dipakai di dunia kerja ==
 
* 🔹 '''Sekolah / lab komputer''' — memisahkan trafik ujian berbasis komputer dari trafik hiburan siswa, supaya server ujian tetap responsif saat jam sibuk.
* 🔹 '''Kantor''' — memprioritaskan panggilan rapat online (Zoom/Teams) di atas unduhan file besar, supaya rapat tidak putus-putus.
* 🔹 '''Warnet / ISP kecil''' — menandai trafik per pelanggan sebelum dibatasi, sehingga penjualan paket bandwidth bisa diukur dan adil.
* 🔹 '''Jaringan dengan dua jalur internet''' — menandai trafik tertentu agar dilewatkan ke jalur cadangan (policy routing) saat link utama penuh atau putus.
* 🔹 '''VPN / PPPoE''' — memperbaiki MSS pada koneksi terowongan supaya transfer file dan email tidak tersendat.
 
💡 '''Tips:''' skill mangle hampir selalu muncul di kebutuhan kerja teknisi jaringan. Ini bukan sekadar materi ujian — ini alat harian untuk "mengatur siapa dapat apa" di jaringan.
 
== ✅ Verifikasi ==


Setelah rule dibuat, jangan langsung percaya. Cek dulu:
Setelah rule dibuat, jangan langsung percaya. Cek dulu:
Line 149: Line 161:
* setelah mark muncul, counter Queue Tree juga mulai bergerak.
* setelah mark muncul, counter Queue Tree juga mulai bergerak.


Kalau counter mangle diam saja, berarti rule belum cocok dengan trafik — bukan berarti fitur queue-nya rusak.
🧪 '''Uji cepat:''' kalau counter mangle diam saja, berarti rule belum cocok dengan trafik — bukan berarti fitur queue-nya rusak.


== Mangle vs firewall filter ==
== ⚠️ Kesalahan umum & troubleshooting ==


Keduanya sama-sama ada di menu firewall dan memakai chain yang mirip, tetapi tugasnya berbeda:
=== 🔹 Rule mangle dibuat, tapi mark tidak muncul ===
 
* '''Firewall filter''' — memutuskan paket '''boleh lewat atau ditolak''' (`accept`, `drop`, `reject`).
* '''Firewall mangle''' — memberi '''label atau mengubah field''' paket, lalu diteruskan ke fitur lain.
 
Jadi mangle bukan pengganti filter. Kalau butuh memblokir trafik, pakai filter. Kalau butuh menandai untuk queue, routing, atau modifikasi header, pakai mangle.
 
== Kesalahan umum dan troubleshooting ==
 
=== Rule mangle dibuat, tapi mark tidak muncul ===
 
Cek beberapa hal:


* apakah rule benar-benar cocok dengan trafik yang diuji (interface, alamat, protokol);
* apakah rule benar-benar cocok dengan trafik yang diuji (interface, alamat, protokol);
Line 171: Line 172:
* apakah counter rule bertambah atau tetap nol.
* apakah counter rule bertambah atau tetap nol.


=== Queue Tree tidak jalan padahal mark sudah ada ===
=== 🔹 Queue Tree tidak jalan padahal mark sudah ada ===
 
Cek urutan dan penamaan:


* `packet-mark` di Queue Tree harus sama persis dengan `new-packet-mark` di mangle;
* `packet-mark` di Queue Tree harus sama persis dengan `new-packet-mark` di mangle;
Line 179: Line 178:
* periksa apakah trafik yang dimaksud justru ter-FastTrack.
* periksa apakah trafik yang dimaksud justru ter-FastTrack.


=== FastTrack membuat mangle/queue terlewati ===
=== 🔹 FastTrack membuat mangle/queue terlewati ===


Ini penyebab klasik yang sering bikin bingung. Trafik yang sudah masuk '''FastTrack''' tidak melewati pemrosesan mangle. Jadi kalau ada rule FastTrack di firewall filter (dan konfigurasi default MikroTik biasanya ada), trafik yang butuh mangle atau Queue Tree bisa "melompat" melewatinya. Untuk lab, kamu bisa menonaktifkan sementara rule FastTrack saat menguji, lalu mencatat dan mengembalikannya. Di produksi, pilih trafik mana yang tetap cepat dan trafik mana yang perlu ditandai.
Ini penyebab klasik yang sering bikin bingung. Trafik yang sudah masuk '''FastTrack''' tidak melewati pemrosesan mangle. Jadi kalau ada rule FastTrack di firewall filter (dan konfigurasi default MikroTik biasanya ada), trafik yang butuh mangle atau Queue Tree bisa "melompat" melewatinya.


=== CPU router naik setelah menambah mangle ===
⚠️ '''Hati-hati:''' untuk lab, kamu bisa menonaktifkan sementara rule FastTrack saat menguji, lalu mengembalikannya. Di produksi, pilih dengan sadar trafik mana yang tetap cepat dan trafik mana yang perlu ditandai.


Mangle memeriksa paket satu per satu, jadi jumlah rule-nya berpengaruh. Biasakan:
=== 🔹 CPU router naik setelah menambah mangle ===


* tandai koneksi dulu (mark-connection), baru pakai mark koneksi itu untuk mark-packet;
* tandai koneksi dulu (mark-connection), baru pakai mark koneksi itu untuk mark-packet;
Line 192: Line 191:
* rapikan dan beri komentar supaya mudah diaudit.
* rapikan dan beri komentar supaya mudah diaudit.


=== mark-routing tidak jalan ===
=== 🔹 mark-routing tidak jalan ===


Di RouterOS v7, `mark-routing` membutuhkan tabel routing tujuan yang sudah dibuat lebih dulu. Pastikan tabelnya ada, lalu periksa kembali apakah paket benar-benar masuk ke tabel yang dituju.
Di RouterOS v7, `mark-routing` membutuhkan tabel routing tujuan yang sudah dibuat lebih dulu. Pastikan tabelnya ada, lalu periksa kembali apakah paket benar-benar masuk ke tabel yang dituju.


== Catatan keamanan dan etika ==
== 🔐 Catatan keamanan & etika ==


Mangle tidak memblokir apa pun. Kalau tujuanmu mengamankan jaringan, tetap andalkan firewall filter dan hardening layanan.
Mangle tidak memblokir apa pun. Kalau tujuanmu mengamankan jaringan, tetap andalkan firewall filter dan hardening layanan.
Line 204: Line 203:
Satukan kebiasaan baik: beri komentar pada setiap rule, dokumentasikan skenario yang sedang diuji, dan uji dengan trafik yang memang kamu siapkan.
Satukan kebiasaan baik: beri komentar pada setiap rule, dokumentasikan skenario yang sedang diuji, dan uji dengan trafik yang memang kamu siapkan.


== Kesimpulan ==
== 📌 Kesimpulan ==
 
Firewall mangle adalah "petugas label" di MikroTik. Ia menandai koneksi dan paket supaya fitur lain — terutama Queue Tree dan policy routing — bisa memperlakukan trafik secara khusus.


Firewall mangle adalah "petugas label" di MikroTik. Ia menandai koneksi dan paket supaya fitur lain — terutama Queue Tree dan policy routing — bisa memperlakukan trafik secara khusus. Kunci memahaminya ada tiga: pilih '''chain''' yang tepat, gunakan pola '''mark-connection lalu mark-packet''', dan selalu '''verifikasi lewat counter'''.
Kunci memahaminya ada tiga: pilih '''chain''' yang tepat, gunakan pola '''mark-connection lalu mark-packet''', dan selalu '''verifikasi lewat counter'''.


Setelah mangle dasar ini, langkah berikutnya yang paling nyambung adalah membangun '''Queue Tree''' di atas mark yang sudah kita buat, lalu belajar '''policy routing''' untuk memilih jalur internet. Kombinasi mangle, queue, dan routing inilah yang membentuk dasar bandwidth management dan traffic engineering di jaringan nyata.
Setelah mangle dasar ini, langkah berikutnya yang paling nyambung adalah membangun '''Queue Tree''' di atas mark yang sudah kita buat, lalu belajar '''policy routing''' untuk memilih jalur internet. Kombinasi mangle, queue, dan routing inilah yang membentuk dasar bandwidth management dan traffic engineering di jaringan nyata.


== Materi terkait ==
== 🔗 Materi terkait ==


* [[Mikrotik : Queue Sederhana untuk Bandwidth Management]]
* [[Mikrotik : Queue Sederhana untuk Bandwidth Management]]
Line 220: Line 221:
* [[Category:Mikrotik|Kumpulan materi MikroTik]]
* [[Category:Mikrotik|Kumpulan materi MikroTik]]


== Referensi ==
== 📚 Referensi ==


* [https://help.mikrotik.com/docs/spaces/ROS/pages/48660587/Mangle MikroTik RouterOS Documentation - Mangle]
* [https://help.mikrotik.com/docs/spaces/ROS/pages/48660587/Mangle MikroTik RouterOS Documentation - Mangle]

Latest revision as of 11:23, 11 October 2026

Mikrotik : Firewall Mangle Dasar

🎯 Tujuan

Setelah mengikuti materi ini, kamu diharapkan bisa:

  • memahami apa itu firewall mangle dan bedanya dengan firewall filter;
  • mengenali lima chain mangle dan kapan masing-masing dipakai;
  • memahami action penting seperti `mark-connection`, `mark-packet`, dan `mark-routing`;
  • mempraktikkan penandaan trafik client lewat Winbox/WebFig dan terminal;
  • menghubungkan mangle dengan Queue Tree dan policy routing;
  • melakukan verifikasi dan mengenali masalah umum pada mangle.

📍 Konteks nyata

Bayangkan paket data itu seperti paket kiriman di gudang ekspedisi. Di gudang ada dua petugas yang tugasnya berbeda:

  • 🔹 satpam gerbang memutuskan paket boleh masuk atau harus ditolak;
  • 🔹 petugas label menempelkan stiker warna pada paket supaya bagian lain tahu paket ini harus diperlakukan khusus.

Di MikroTik, "satpam gerbang" itu adalah firewall filter yang kita pelajari di materi Mikrotik : Firewall Filter Dasar. Sedangkan "petugas label" adalah firewall mangle. Mangle tidak menolak paket; tugasnya menandai paket agar fitur lain seperti queue, NAT, atau routing bisa memperlakukannya secara khusus.

🔥 Kasus nyata: Di sebuah SMK, ujian berbasis komputer berjalan serentak untuk 3 kelas. Tiba-tiba beberapa siswa gagal menyimpan jawaban karena koneksi ke server ujian ikut tersendat — penyebabnya 5 siswa lain membuka streaming video di jam yang sama. Tidak ada yang salah dengan kabel atau ISP; masalahnya router memperlakukan semua trafik sama rata. Setelah trafik ujian ditandai dan diprioritaskan (pakai mangle + queue), ujian berjalan lancar meski streaming tetap dibatasi, bukan diblokir.

💡 Tips: sebelum menyentuh mangle, pastikan kamu sudah paham Mikrotik : Firewall Filter Dasar. Mangle itu "penanda", bukan "penolak" — kalau niatmu memblokir, yang kamu butuhkan filter.

🧠 Konsep singkat

Menurut dokumentasi resmi MikroTik, mangle adalah semacam marker (penanda) yang menandai paket untuk diproses lebih lanjut. Banyak fasilitas RouterOS memakai mark ini, misalnya Queue Tree, NAT, dan routing.

📊 Angka penting: mark tersebut hanya hidup di dalam router dan tidak ikut terkirim ke jaringan lain — jadi client tidak melihat label apa pun.

Selain menandai, mangle juga bisa memodifikasi beberapa field di header IP, misalnya TOS/DSCP (penanda prioritas) dan TTL (batas umur paket).

Jadi ada dua kelompok besar pekerjaan mangle:

  1. Menandai — memberi mark pada koneksi (`mark-connection`), pada paket (`mark-packet`), atau untuk keperluan routing (`mark-routing`).
  2. Mengubah field header — mengubah MSS, TTL, DSCP, atau membersihkan flag Don't Fragment.

🧩 Istilah penting

  • mangle — fasilitas firewall RouterOS untuk menandai dan memodifikasi paket.
  • connection mark — mark yang menempel pada sebuah koneksi, bukan per paket.
  • packet mark — mark yang menempel pada paket, dipakai Queue Tree.
  • routing mark — mark untuk memilih tabel routing lain (policy routing).
  • passthrough — apakah paket lanjut diperiksa ke rule berikutnya (`yes`) atau berhenti (`no`).
  • DSCP — Differentiated Services Code Point, penanda prioritas di header IP.
  • MSS — Maximum Segment Size, ukuran maksimal data dalam satu segmen TCP.
  • FastTrack — jalur cepat di firewall yang membuat trafik terlewat lebih ringan, tetapi juga melewati sebagian pemrosesan lain.

🔗 Lima chain mangle

Firewall mangle memiliki lima chain bawaan yang tidak bisa dihapus. Analoginya, ini lima pos berbeda di sepanjang perjalanan paket:

  • prerouting — paket baru tiba di interface, sebelum router memutuskan mau dikemanakan. Paling sering dipakai untuk menandai koneksi dari client.
  • input — paket yang tujuannya router itu sendiri (misalnya akses Winbox atau ping ke router).
  • forward — paket yang hanya lewat router, dari satu jaringan ke jaringan lain.
  • output — paket yang dibuat oleh router sendiri, misalnya ping dari router.
  • postrouting — paket tepat sebelum keluar dari interface, setelah keputusan routing.

Untuk materi dasar, urutan berpikirnya sederhana: kalau mau menandai trafik yang berasal dari client, mulai dari `prerouting`. Kalau mau menandai trafik yang menuju client (arah download), hati-hati soal interface mana yang dipakai, karena arah paketnya berbeda.

🔧 Action penting di mangle

Beberapa action yang paling sering dipakai:

  • mark-connection — menempelkan mark pada seluruh koneksi yang cocok dengan rule. Biasanya dipasang sekali saat `connection-state=new`.
  • mark-packet — menempelkan mark pada paket yang cocok. Ini yang dipakai oleh Queue Tree.
  • mark-routing — memberi mark untuk keperluan policy routing. Di RouterOS v7, tabel routing tujuan harus dibuat dulu sebelum mark ini dipakai.
  • change-mss — mengubah nilai MSS paket. Berguna untuk link VPN atau PPPoE yang PMTUD-nya bermasalah, sehingga transfer FTP/HTTP/email bisa tersendat.
  • change-ttl, change-dscp, set-priority — mengubah TTL, menandai prioritas DSCP, atau menetapkan prioritas VLAN/WMM.
  • route — memaksa paket ke gateway tertentu, hanya berlaku di chain `prerouting`.
  • passthrough — kalau `no`, paket berhenti di rule itu dan tidak diperiksa rule berikutnya.

📊 Angka penting: jumlah penanda paket (packet mark) ada batasnya. Dokumentasi MikroTik menyebut maksimum sekitar 4096 mark unik. Kalau lewat batas, akan muncul error `bad new packet mark`.

💡 Jurus hemat: mark connection dulu, baru mark packet

Memeriksa header tiap paket itu pekerjaan yang relatif berat. Supaya lebih hemat, kita tandai dulu koneksinya sekali, lalu pakai mark koneksi itu untuk menandai paket-paket berikutnya. Contoh pola dari dokumentasi MikroTik: 

/ip firewall mangle
add chain=forward in-interface=local src-address=192.168.88.123 connection-state=new action=mark-connection new-connection-mark=client_conn
add chain=forward connection-mark=client_conn action=mark-packet new-packet-mark=client_p

Rule pertama menandai koneksi baru dari satu host. Rule kedua menandai paket berdasarkan mark koneksi itu. Pola dua langkah ini adalah pola standar mangle yang sebaiknya kamu biasakan.

🔧 Praktik: menandai trafik client siswa

Skenario: client siswa memakai subnet `192.168.20.0/24` di `bridge-LAN`, dan kita mau menandai paket mereka supaya nanti bisa dipakai Queue Tree.

🔹 Arah upload (client ke internet)

/ip firewall mangle
add chain=prerouting in-interface=bridge-LAN src-address=192.168.20.0/24 \
    connection-state=new action=mark-connection new-connection-mark=conn-siswa-ul \
    comment="Tandai koneksi siswa (upload)"
add chain=prerouting connection-mark=conn-siswa-ul action=mark-packet \
    new-packet-mark=pkt-siswa-ul passthrough=no comment="Tandai paket siswa (upload)"

🔹 Arah download (internet ke client)

/ip firewall mangle
add chain=prerouting in-interface=ether1-WAN dst-address=192.168.20.0/24 \
    connection-state=new action=mark-connection new-connection-mark=conn-siswa-dl \
    comment="Tandai koneksi siswa (download)"
add chain=prerouting connection-mark=conn-siswa-dl action=mark-packet \
    new-packet-mark=pkt-siswa-dl passthrough=no comment="Tandai paket siswa (download)"

⚠️ Hati-hati: kalau konfigurasi lab kamu memakai nama interface yang berbeda (misalnya `ether1` untuk WAN dan `bridge1` untuk LAN), sesuaikan bagian `in-interface` dengan kondisi nyata. Salah nama interface = counter mangle tidak pernah bergerak.

🔹 Lewat Winbox/WebFig

  1. Buka menu IP → Firewall → tab Mangle.
  2. Klik tombol + untuk menambah rule baru.
  3. Tab General: pilih Chain (`prerouting`), isi In. Interface, Src. Address atau Dst. Address, dan Connection State = `new`.
  4. Tab Action: pilih mark-connection lalu isi New Connection Mark.
  5. Tambahkan rule kedua untuk mark-packet dan isi New Packet Mark.
  6. Isi kolom Comment supaya rule mudah diingat. Kebiasaan memberi komentar ini sangat membantu saat rule sudah banyak.

🔧 Memakai mark di Queue Tree

Setelah paket punya mark, Queue Tree bisa memakai mark itu sebagai dasar pembatasan: 

/queue tree
add name=siswa-download parent=ether1-WAN packet-mark=pkt-siswa-dl max-limit=20M
add name=siswa-upload parent=bridge-LAN packet-mark=pkt-siswa-ul max-limit=5M

Di sini mangle dan Queue Tree bekerja berpasangan: mangle menentukan paket mana yang masuk hitungan, sedangkan Queue Tree menentukan seberapa besar jatahnya.

🏭 Dipakai di dunia kerja

  • 🔹 Sekolah / lab komputer — memisahkan trafik ujian berbasis komputer dari trafik hiburan siswa, supaya server ujian tetap responsif saat jam sibuk.
  • 🔹 Kantor — memprioritaskan panggilan rapat online (Zoom/Teams) di atas unduhan file besar, supaya rapat tidak putus-putus.
  • 🔹 Warnet / ISP kecil — menandai trafik per pelanggan sebelum dibatasi, sehingga penjualan paket bandwidth bisa diukur dan adil.
  • 🔹 Jaringan dengan dua jalur internet — menandai trafik tertentu agar dilewatkan ke jalur cadangan (policy routing) saat link utama penuh atau putus.
  • 🔹 VPN / PPPoE — memperbaiki MSS pada koneksi terowongan supaya transfer file dan email tidak tersendat.

💡 Tips: skill mangle hampir selalu muncul di kebutuhan kerja teknisi jaringan. Ini bukan sekadar materi ujian — ini alat harian untuk "mengatur siapa dapat apa" di jaringan.

✅ Verifikasi

Setelah rule dibuat, jangan langsung percaya. Cek dulu: 

/ip firewall mangle print stats
/ip firewall connection print where connection-mark~"siswa"

Yang perlu kamu perhatikan:

  • angka packet dan bytes pada rule mangle bertambah saat ada trafik client;
  • daftar connection menampilkan connection mark yang kita buat;
  • setelah mark muncul, counter Queue Tree juga mulai bergerak.

🧪 Uji cepat: kalau counter mangle diam saja, berarti rule belum cocok dengan trafik — bukan berarti fitur queue-nya rusak.

⚠️ Kesalahan umum & troubleshooting

🔹 Rule mangle dibuat, tapi mark tidak muncul

  • apakah rule benar-benar cocok dengan trafik yang diuji (interface, alamat, protokol);
  • apakah arah paket sesuai chain yang dipakai;
  • apakah trafik diuji benar-benar melewati router MikroTik ini;
  • apakah counter rule bertambah atau tetap nol.

🔹 Queue Tree tidak jalan padahal mark sudah ada

  • `packet-mark` di Queue Tree harus sama persis dengan `new-packet-mark` di mangle;
  • pastikan rule `mark-packet` benar-benar jalan (bukan kena `passthrough=no` sebelum sempat menandai);
  • periksa apakah trafik yang dimaksud justru ter-FastTrack.

🔹 FastTrack membuat mangle/queue terlewati

Ini penyebab klasik yang sering bikin bingung. Trafik yang sudah masuk FastTrack tidak melewati pemrosesan mangle. Jadi kalau ada rule FastTrack di firewall filter (dan konfigurasi default MikroTik biasanya ada), trafik yang butuh mangle atau Queue Tree bisa "melompat" melewatinya.

⚠️ Hati-hati: untuk lab, kamu bisa menonaktifkan sementara rule FastTrack saat menguji, lalu mengembalikannya. Di produksi, pilih dengan sadar trafik mana yang tetap cepat dan trafik mana yang perlu ditandai.

🔹 CPU router naik setelah menambah mangle

  • tandai koneksi dulu (mark-connection), baru pakai mark koneksi itu untuk mark-packet;
  • gunakan address-list untuk daftar alamat yang panjang, jangan menulis banyak rule mirip;
  • letakkan rule yang paling sering cocok di atas;
  • rapikan dan beri komentar supaya mudah diaudit.

🔹 mark-routing tidak jalan

Di RouterOS v7, `mark-routing` membutuhkan tabel routing tujuan yang sudah dibuat lebih dulu. Pastikan tabelnya ada, lalu periksa kembali apakah paket benar-benar masuk ke tabel yang dituju.

🔐 Catatan keamanan & etika

Mangle tidak memblokir apa pun. Kalau tujuanmu mengamankan jaringan, tetap andalkan firewall filter dan hardening layanan.

Karena mangle bisa menandai dan bahkan mengintip trafik (ada action `sniff-pc` dan `sniff-tzsp` untuk meneruskan paket ke alat analisis), jangan pernah memakainya untuk mengintip trafik pengguna tanpa alasan operasional yang jelas dan tanpa izin pihak berwenang. Untuk latihan di sekolah, cukup berlatih di lab sendiri dengan trafik yang kamu kuasai.

Satukan kebiasaan baik: beri komentar pada setiap rule, dokumentasikan skenario yang sedang diuji, dan uji dengan trafik yang memang kamu siapkan.

📌 Kesimpulan

Firewall mangle adalah "petugas label" di MikroTik. Ia menandai koneksi dan paket supaya fitur lain — terutama Queue Tree dan policy routing — bisa memperlakukan trafik secara khusus.

Kunci memahaminya ada tiga: pilih chain yang tepat, gunakan pola mark-connection lalu mark-packet, dan selalu verifikasi lewat counter.

Setelah mangle dasar ini, langkah berikutnya yang paling nyambung adalah membangun Queue Tree di atas mark yang sudah kita buat, lalu belajar policy routing untuk memilih jalur internet. Kombinasi mangle, queue, dan routing inilah yang membentuk dasar bandwidth management dan traffic engineering di jaringan nyata.

🔗 Materi terkait

📚 Referensi

Retrieved from "https://noctkj.net/index.php?title=Mikrotik_:_Firewall_Mangle_Dasar&oldid=1393"