Mikrotik : VLAN Dasar

VLAN adalah cara membagi satu jaringan fisik menjadi beberapa jaringan kecil yang terpisah secara Layer 2. Di lab TKJ, bayangkan satu rak jaringan dipakai ramai-ramai: ada komputer guru, komputer siswa, WiFi tamu, dan perangkat server. Kalau semuanya dicampur di satu LAN, broadcast ramai, keamanan lebih longgar, dan troubleshooting jadi seperti mencari kabel salah di rak yang berantakan.

Dengan VLAN, satu switch atau MikroTik bisa dibuat seperti punya beberapa jalur kendaraan terpisah. Kabel fisiknya bisa sama, tetapi paketnya diberi tanda atau tag supaya masuk ke jalur yang benar.

Tujuan Pembelajaran

Setelah mengikuti materi ini, kamu diharapkan bisa:

memahami fungsi VLAN di jaringan sekolah, lab, kantor, dan usaha kecil;
membedakan port access dan port trunk;
memahami istilah VLAN ID, tagged, untagged, PVID, dan bridge VLAN filtering;
membuat contoh VLAN dasar di MikroTik RouterOS;
mengecek apakah VLAN sudah berjalan sesuai jalurnya;
menghindari kesalahan umum yang bisa membuat akses router terputus.

Kapan VLAN Dibutuhkan?

VLAN sering dipakai di industri karena jaringan sekarang jarang cuma berisi satu jenis perangkat. Contoh kebutuhan nyata:

jaringan guru dipisah dari jaringan siswa;
WiFi tamu dipisah dari jaringan internal;
kamera CCTV dipisah dari komputer kantor;
server atau perangkat manajemen punya jalur khusus;
satu kabel trunk membawa beberapa jaringan antar-switch atau dari router ke switch manageable.

Analogi gampangnya: VLAN itu seperti jalur di area sekolah. Satu gerbang bisa dipakai masuk, tetapi jalur guru, siswa, tamu, dan kendaraan servis bisa dipisah supaya tidak saling mengganggu.

Istilah Penting

Sebelum praktik, pahami dulu istilah ini.

VLAN ID: Nomor identitas VLAN. Umumnya memakai angka 2 sampai 4094. Dokumentasi MikroTik mencatat VLAN ID 0, 1, dan 4095 punya penggunaan khusus, jadi untuk praktik umum sebaiknya jangan dipakai.

Tagged: Paket keluar atau masuk dengan label VLAN. Biasanya dipakai di port trunk, yaitu port yang membawa beberapa VLAN sekaligus.

Untagged: Paket keluar tanpa label VLAN. Biasanya dipakai di port access untuk PC, laptop, printer, atau perangkat biasa yang tidak mengerti VLAN.

PVID: VLAN ID yang diberikan otomatis ke paket untagged saat masuk dari port access. Misalnya ether2 diberi PVID 20, maka perangkat biasa di ether2 dianggap masuk VLAN 20.

Trunk port: Port yang membawa beberapa VLAN dengan tag. Contohnya port dari MikroTik ke switch manageable.

Access port: Port untuk perangkat biasa. Biasanya hanya membawa satu VLAN dan paket ke perangkat dibuat untagged.

Topologi Praktik

Contoh lab sederhana:

ether1 = trunk ke switch manageable;
ether2 = access VLAN 20 untuk jaringan siswa;
ether3 = access VLAN 30 untuk jaringan guru;
bridge1 = bridge utama untuk switching VLAN;
VLAN 20 = 192.168.20.0/24;
VLAN 30 = 192.168.30.0/24.

Skema sederhananya:

Switch manageable / router lain
          |
       ether1 (trunk: VLAN 20, VLAN 30)
          |
       MikroTik bridge1
       |             |
 ether2 access    ether3 access
 VLAN 20 siswa    VLAN 30 guru

Kebutuhan Awal

Sebelum mulai, pastikan:

kamu sudah paham konfigurasi IP address dasar di MikroTik;
kamu sudah paham bridge LAN dasar;
akses ke router aman, idealnya lewat port yang tidak sedang kamu ubah atau lewat console;
konfigurasi penting sudah di-backup atau diexport;
kamu tahu port mana yang dipakai untuk akses manajemen router.

Catatan penting: jangan terburu-buru mengaktifkan vlan-filtering=yes. Kalau tabel VLAN atau akses manajemen belum benar, kamu bisa terkunci dari router.

Langkah Praktik via Terminal

Contoh berikut memakai bridge VLAN filtering. Sesuaikan nama interface dengan kondisi router kamu.

1. Buat bridge

/interface bridge
add name=bridge1 protocol-mode=rstp vlan-filtering=no

Untuk awal, vlan-filtering sengaja dibuat no dulu agar konfigurasi bisa disiapkan tanpa langsung memutus akses.

2. Masukkan port ke bridge

/interface bridge port
add bridge=bridge1 interface=ether1
add bridge=bridge1 interface=ether2 pvid=20
add bridge=bridge1 interface=ether3 pvid=30

Penjelasannya:

ether1 tidak diberi PVID khusus karena akan dipakai sebagai trunk;
ether2 diberi PVID 20 untuk jaringan siswa;
ether3 diberi PVID 30 untuk jaringan guru.

3. Buat tabel VLAN bridge

/interface bridge vlan
add bridge=bridge1 tagged=ether1 untagged=ether2 vlan-ids=20
add bridge=bridge1 tagged=ether1 untagged=ether3 vlan-ids=30

Di sini ether1 menjadi trunk untuk VLAN 20 dan VLAN 30. Ether2 hanya menerima VLAN 20 sebagai untagged. Ether3 hanya menerima VLAN 30 sebagai untagged.

Jangan membuat satu baris seperti ini untuk access port:

/interface bridge vlan
add bridge=bridge1 tagged=ether1 untagged=ether2,ether3 vlan-ids=20,30

Konfigurasi seperti itu berisiko membuat VLAN 20 dan VLAN 30 bocor ke port access yang salah. Untuk pemula, pisahkan entry per VLAN supaya lebih jelas.

4. Buat interface VLAN untuk gateway

Kalau MikroTik ini juga menjadi gateway untuk tiap VLAN, buat interface VLAN di atas bridge.

/interface vlan
add name=vlan20-siswa interface=bridge1 vlan-id=20
add name=vlan30-guru interface=bridge1 vlan-id=30

5. Beri IP gateway tiap VLAN

/ip address
add address=192.168.20.1/24 interface=vlan20-siswa comment="Gateway VLAN 20 siswa"
add address=192.168.30.1/24 interface=vlan30-guru comment="Gateway VLAN 30 guru"

Setelah ini, kamu bisa menambahkan DHCP Server terpisah untuk tiap VLAN jika dibutuhkan.

6. Aktifkan VLAN filtering

Aktifkan setelah yakin port, PVID, dan tabel VLAN sudah benar.

/interface bridge
set bridge1 vlan-filtering=yes

Kalau sedang praktik jarak jauh, langkah ini paling berisiko. Pastikan kamu punya jalur masuk cadangan.

Verifikasi

Gunakan beberapa pengecekan berikut.

Cek bridge dan port

/interface bridge print
/interface bridge port print
/interface bridge vlan print

Pastikan:

bridge1 sudah vlan-filtering=yes;
ether2 punya PVID 20;
ether3 punya PVID 30;
VLAN 20 tagged ke ether1 dan untagged ke ether2;
VLAN 30 tagged ke ether1 dan untagged ke ether3.

Cek interface VLAN dan IP

/interface vlan print
/ip address print

Pastikan vlan20-siswa dan vlan30-guru muncul, lalu IP gateway sudah menempel di interface yang benar.

Uji dari client

Dari PC di ether2:

ping 192.168.20.1

Dari PC di ether3:

ping 192.168.30.1

Kalau DHCP belum dibuat, set IP manual dulu di PC sesuai VLAN masing-masing.

Troubleshooting

Client tidak bisa ping gateway

Cek lagi:

kabel client masuk ke port yang benar;
PVID port access sudah sesuai;
entry /interface bridge vlan sudah benar;
IP gateway ditempel di interface VLAN, bukan salah interface;
VLAN filtering sudah aktif setelah konfigurasi lengkap.

Setelah mengaktifkan VLAN filtering, router tidak bisa diakses

Kemungkinan akses manajemen belum ikut diizinkan. Solusi aman:

masuk lewat console/MAC Winbox jika masih bisa;
gunakan port cadangan yang tidak masuk bridge;
cek apakah bridge atau VLAN manajemen sudah ditambahkan sebagai tagged/untagged yang benar;
untuk lab, matikan sementara vlan-filtering lalu susun ulang konfigurasi.

VLAN antar-port seperti bocor

Cek apakah kamu membuat satu entry VLAN dengan banyak VLAN ID sekaligus pada access port. Untuk access port, lebih aman pisahkan entry per VLAN seperti contoh di atas.

Trunk ke switch lain tidak jalan

Cek dua sisi:

port MikroTik sudah tagged untuk VLAN yang dibawa;
port switch pasangan juga trunk/tagged untuk VLAN yang sama;
VLAN ID sama di kedua perangkat;
tidak ada mismatch antara VLAN 20 di MikroTik dan VLAN lain di switch.

Catatan Keamanan

VLAN membantu memisahkan jaringan, tetapi bukan pengganti firewall. Kalau MikroTik menjadi gateway antar-VLAN, routing antar-VLAN bisa terjadi. Untuk membatasi siswa agar tidak mengakses jaringan guru atau server, tetap buat aturan firewall filter di chain forward.

Untuk jaringan produksi, pisahkan juga VLAN manajemen. Jangan sembarang membuka akses Winbox/SSH dari semua VLAN.

Kesimpulan

VLAN membuat jaringan lebih rapi, aman, dan mudah dikembangkan. Di MikroTik, konsep kuncinya adalah memahami mana port trunk, mana port access, VLAN mana yang tagged, VLAN mana yang untagged, dan PVID apa yang diberikan ke port access.

Kalau dianalogikan dengan lab sekolah, VLAN seperti memberi jalur dan label yang jelas: siswa lewat jalur siswa, guru lewat jalur guru, tamu lewat jalur tamu. Satu bangunan bisa sama, tetapi arusnya tidak dicampur sembarangan.