WIKI TKJ

Mikrotik : Praktikum Membuat User dan Group di RouterOS

Revision as of 16:04, 25 July 2026 by Maintenance script (talk | contribs) (Praktikum sore: membuat user dan group di RouterOS)
(diff) ← Older revision | Latest revision (diff) | Newer revision → (diff)

Mikrotik : Praktikum Membuat User dan Group di RouterOS

Di artikel sebelumnya Praktikum Cek Siapa yang Login, kita sudah belajar cara melihat siapa saja yang sedang login ke router, bagaimana cara memutus sesi mencurigakan, dan membaca log aktivitas user. Nah, sekarang saatnya kita naik level: membuat user dan group sendiri.

Kenapa perlu bisa bikin user? Coba bayangin:

  • Kamu punya router lab yang dipakai bareng 3 teman satu kelompok.
  • Semua pakai user admin dengan password yang sama. Kalau ada yang iseng ganti password, yang lain kunci semua.
  • Atau lebih parah: ada teman yang tidak sengaja menghapus konfigurasi karena punya akses penuh.
  • Di dunia kerja, admin jaringan tidak boleh bagi-bagi password admin ke semua orang. Setiap teknisi harus punya akun sendiri dengan hak akses sesuai tugasnya.

Jawabannya: buat user dan group dengan policy yang pas. Kayak bikin kartu akses: ada yang cuma bisa lihat (read-only), ada yang bisa ngubah konfigurasi (write), ada yang bisa ngatur user lain (full admin).

Tujuan pembelajaran

Setelah praktik ini, kamu diharapkan bisa:

  1. Memahami konsep user group dan policy di RouterOS.
  2. Membuat group kustom dengan policy tertentu.
  3. Membuat user baru dan menetapkan group-nya.
  4. Membatasi akses user hanya dari IP tertentu.
  5. Menguji login user yang baru dibuat.
  6. Troubleshooting jika user tidak bisa login atau akses terbatas.

Analogi: Kartu Akses Gedung

Bayangin router adalah gedung kantor dengan beberapa area:

  • Group "read" → kartu akses tamu: cuma bisa lihat-lihat saja, tidak bisa menyentuh apa pun.
  • Group "write" → kartu akses staf teknis: bisa masuk ruang server dan mengganti kabel, tapi tidak boleh ke ruang HRD (user management).
  • Group "full" → kartu kunci manajer: bisa ke semua ruangan, termasuk mengelola kartu akses orang lain.

Setiap kartu akses (user) punya nama dan password sendiri. Kalau ada masalah, kita tinggal tarik kartu orang itu tanpa ganggu yang lain.

Kebutuhan awal

Sebelum mulai, pastikan:

Langkah praktik

1. Cek group yang sudah ada

Sebelum membuat group baru, lihat dulu group bawaan RouterOS: 

/user group print

Hasilnya akan menunjukkan 3 group default: 

 0 name="read" policy=local,telnet,ssh,reboot,read,test,winbox,password,web,sniff,sensitive,api,romon,rest-api,!ftp,!write,!policy

 1 name="write" policy=local,telnet,ssh,reboot,read,write,test,winbox,password,web,sniff,sensitive,api,romon,rest-api,!ftp,!policy

 2 name="full" policy=local,telnet,ssh,ftp,reboot,read,write,policy,test,winbox,password,web,sniff,sensitive,api,romon,rest-api

Perhatikan tanda ! di depan policy — itu artinya policy tersebut tidak diizinkan untuk group itu. Misalnya group "read" memiliki !write dan !policy, berarti user di group read tidak bisa mengubah konfigurasi dan tidak bisa mengelola user.

2. Membuat group kustom

Group default mungkin terlalu longgar atau terlalu ketat. Mari buat group kita sendiri. Misalnya kita ingin group teknisi yang bisa:

  • Login via SSH, Winbox, dan WebFig.
  • Membaca dan menulis konfigurasi.
  • Reboot router.
  • Menjalankan ping dan traceroute (test).
  • Tidak boleh mengelola user lain (no policy).
  • Tidak boleh mengakses FTP.
/user group add name=teknisi policy=local,ssh,winbox,web,read,write,reboot,test,password

Kalau kamu juga mau mengizinkan akses via API untuk monitoring: 

/user group add name=monitoring policy=local,api,read,test,password

3. Membuat user baru

Setelah group siap, kita buat user.

Contoh 1: User "budi" untuk teknisi lab: 

/user add name=budi password=tkj2026 group=teknisi

Contoh 2: User "siti" yang cuma bisa lihat-lihat (read-only): 

/user add name=siti password=baca123 group=read

Contoh 3: User "monitor" yang hanya bisa akses dari IP tertentu (192.168.1.100) via API: 

/user add name=monitor password=apikey456 group=monitoring address=192.168.1.100/32

Properti address sangat berguna untuk keamanan. Dengan ini, user monitor hanya bisa login dari IP 192.168.1.100, tidak dari tempat lain.

4. Verifikasi user yang baru dibuat

Cek daftar user: 

/user print

Hasil: 

Flags: X - disabled
 #   NAME      GROUP        ADDRESS         LAST-LOGGED-IN
 0   admin     full         0.0.0.0/0       jul/24/2026 14:30:15
 1   budi      teknisi      0.0.0.0/0       
 2   siti      read         0.0.0.0/0       
 3   monitor   monitoring   192.168.1.100/32

Perhatikan bahwa user baru belum memiliki last-logged-in karena belum pernah login.

5. Mengubah password user

User bisa mengganti password sendiri selama group-nya punya policy password: 

/user password

Tapi kalau admin ingin mereset password user lain, bisa pakai: 

/user set [id] password=passwordbaru

Contoh mereset password budi: 

/user set numbers=1 password=rahasia2026

Atau bisa juga pakai perintah expire agar user diminta ganti password saat login berikutnya: 

/user expire-password numbers=1

6. Uji coba login

Sekarang coba login sebagai user baru.

Via SSH: 

ssh budi@192.168.1.1

Masukkan password tkj2026. Kalau berhasil, kamu akan masuk ke CLI dengan hak akses terbatas sesuai group teknisi.

Coba bedakan:

  • Sebagai budi (teknisi): coba perintah /ip address print → berhasil. Coba /user add → ditolak (no policy).
  • Sebagai siti (read): coba /ip address print → berhasil. Coba /ip address set → ditolak (no write).

7. Cek user yang sedang aktif

Ini materi dari artikel sebelumnya, tapi penting untuk verifikasi: 

/user active print

Kamu akan melihat sesi login dari user-user yang baru dibuat.

8. Menonaktifkan user

Kalau ada user yang tidak lagi dipakai atau dicurigai, jangan dihapus dulu — nonaktifkan saja: 

/user disable numbers=1

User yang dinonaktifkan tidak bisa login sampai di-enable kembali: 

/user enable numbers=1

Troubleshooting

User tidak bisa login

Penyebab 1: Password salah. Cek dengan login sebagai admin, lalu: 

/user print

Kalau perlu, reset password user tersebut.

Penyebab 2: User di-disable. 

/user print

Lihat kolom Flags. Kalau ada huruf X, berarti user di-disable: 

1 X  budi   teknisi   0.0.0.0/0

Enable dengan: /user enable numbers=1

Penyebab 3: IP address dibatasi. Cek properti address user. Kalau diisi IP tertentu, user hanya bisa login dari IP itu. Pastikan IP client sesuai.

Penyebab 4: Policy login tidak diizinkan. Misalnya user di group yang tidak punya policy ssh tapi mencoba login via SSH. Cek group user: 

/user group print

Pastikan group-nya punya policy ssh (atau winbox/web sesuai media login).

User bisa login tapi tidak bisa menjalankan perintah

Ini bukan error — ini memang fitur. Cek group user: 

/user print detail

Kalau user di group read, dia memang cuma bisa baca. Solusinya:

  • Ganti group user: /user set numbers=1 group=teknisi
  • Atau buat group baru dengan policy yang sesuai.

User lupa password

Login sebagai admin (atau user dengan policy), lalu reset password: 

/user set numbers=[nomor_user] password=passwordbaru

User bisa melihat konfigurasi sensitif

Policy sensitive mengontrol apakah user bisa melihat informasi sensitif (password di скрипт, dll). Untuk user biasa, sebaiknya policy sensitive tidak diberikan.

Buat group tanpa sensitive: 

/user group add name=teknisi-lite policy=local,ssh,winbox,web,read,write,reboot,test,password,!sensitive

Catatan keamanan

  1. Jangan membuat banyak user full.. User dengan group full punya akses ke semua pengaturan, termasuk menghapus user lain. Batasi jumlah user full seminimal mungkin.
  2. Gunakan properti address. Selalu batasi IP asal untuk user yang aksesnya dari jaringan internal. Jangan biarkan user bisa login dari internet kecuali benar-benar diperlukan.
  3. Password complexity. Di settings, kamu bisa mengatur panjang minimal password:
/user/set minimum-password-length=8 minimum-categories=3

Ini mewajibkan password minimal 8 karakter dengan minimal 3 kategori (huruf besar, huruf kecil, angka, simbol).

  1. Hapus user yang tidak dipakai. Kalau user sudah tidak aktif >30 hari, nonaktifkan atau hapus:
/user remove numbers=[nomor_user]
  1. Catat di log. Semua percobaan login (berhasil/gagal) tercatat di log. Rajinlah cek log seperti di artikel Mikrotik : Praktikum Cek Siapa yang Login (Active User dan Log).
  2. Jangan gunakan password yang sama untuk semua user. Kalau satu user bobol, yang lain ikut terancam.
  3. Kombinasikan dengan Firewall Filter. Batasi akses ke port management (SSH 22, Winbox 8291, WebFig 80/443) dari WAN. Lihat Mikrotik : Firewall Filter Dasar.

Kesimpulan

Membuat user dan group di RouterOS adalah praktik administrasi dasar yang sangat penting, apalagi kalau router dipakai barengan atau sudah masuk ke lingkungan kerja. Dengan user management yang rapi:

  • Setiap orang punya akun sendiri → mudah dilacak siapa melakukan apa.
  • Hak akses sesuai tugas → tidak ada yang iseng menghapus konfigurasi orang lain.
  • Keamanan lebih terjaga → user yang tidak lagi dipakai bisa dinonaktifkan tanpa mengganggu yang lain.

Ini juga membuka jalan ke fitur administrasi yang lebih canggih seperti RADIUS server, SSH key authentication, dan monitoring user via API.

Materi terkait

Referensi

Retrieved from "https://noctkj.net/index.php?title=Mikrotik_:_Praktikum_Membuat_User_dan_Group_di_RouterOS&oldid=1363"