Topologi Jaringan — Instansi Contoh

Router: MikroTik RB1100x4 · RouterOS 6.49.18 · Serial SN-XXXX · Software ID SWID-XXXX · Sumber: config-contoh.rsc
Internet / WAN Router Switch VLAN 1 Management VLAN 20 LAN VLAN 30 VIP Bridge LAN (native) VLAN 121 Client
INTERNET / ISP Gateway 203.0.113.209 · DNS 8.8.8.8 ether1-WAN — Uplink Internet 203.0.113.210/29 + 203.0.113.211/29 Router MikroTik RB1100x4 "Instansi Contoh" · IP manajemen 172.16.11.254 Bridge Management (ether3,4,8-11) · Bridge LAN (ether12,13) · DHCP ×5 · NAT/DNAT QoS queue-tree 190M · Zoom prioritas (UDP 8801-8810, 19302-19309) · Firewall anti port-scanner PPTP Tunnel → 198.51.100.10 (user: ganti-xxxx) · link backup/alternatif Trunk VLAN 1 · 20 · 30 trunk ether12·13 VLAN 121 Switch PoE - AP ether3 · trunk VLAN 1,20,30 Switch Lt Dasar ether4 · trunk VLAN 1,20,30 VLAN 1 · Management 172.16.8.0/22 · GW 172.16.11.254 Controller UniFi · 172.16.10.174 13 Access Point UniFi (static) Server SIPP .23 · gateway .9.22 NAS bankdata · 172.16.8.223 CCTV NVR · 172.16.10.250–.253 DHCP dhcp2 · pool 8.50–10.249 Bridge Mgmt: ether3,4,8-11 VLAN 20 · LAN 192.168.24.0/22 · GW 192.168.24.1 PC / client pegawai DHCP dhcp LAN · pool 24.2–27.254 VLAN ID 20 WINS 172.16.8.223 Domain: WORKGROUP VLAN 30 · VIP 192.168.30.0/24 · GW 192.168.30.1 DHCP dhcp VIP · pool 30.2–.254 VLAN ID 30 Berbagi trunk ether3/ether4 Domain: WORKGROUP Bridge LAN (native) 192.168.40.0/24 · GW 192.168.40.1 ether12 · ether13 DHCP dhcp1 · pool 40.2–.254 Tanpa VLAN (native untagged) Domain: WORKGROUP VLAN 121 · Client 172.16.12.0/22 · GW 172.16.12.1 DHCP dhcp3 · pool 12.3–15.254 VLAN ID 121 · di atas Bridge Mgmt Domain: WORKGROUP

Layanan Manajemen Router

LayananStatusPortCatatan
WinBoxAktif8292Port default diubah dari 8291
Web (www)Aktif8431Port default diubah dari 80
SSHNonaktif—Remote SSH lewat DNAT 2277-2777 ke server
TelnetNonaktif— 
FTPNonaktif— 
API / API-SSLNonaktif— 
DNSAktif53allow-remote-requests = yes · forwarder 172.16.11.254, 8.8.8.8, 1.1.1.1

Koneksi Internet & Tunnel

ItemNilai
IP WAN utama203.0.113.210/29 (gateway 203.0.113.209)
IP WAN tambahan203.0.113.211/29
DNS ISP8.8.8.8 · 8.8.4.4
PPTP Tunnelconnect-to 198.51.100.10 · user ganti-xxxx
NATMasquerade out ether1-WAN + per-subnet
Deteksi internetinterface list: all

QoS — Queue Tree (total kapasitas internet 190M)

QueueParentMax LimitPriorityFungsi
TOTAL_DOWNLOADglobal190M—Batasan total download
TOTAL_UPLOADglobal190M—Batasan total upload
ZOOM_PRIORITY_DNTOTAL_DOWNLOAD—1Traffic Zoom (pcq-download-default) didahulukan
ZOOM_PRIORITY_UPTOTAL_UPLOAD—1Traffic Zoom (pcq-upload-default) didahulukan
Marking Zoom (mangle): UDP port 8801-8810 & 19302-19309 → packet-mark zoom_pkt

Firewall

FiturKeterangan
Anti DDoSDrop source 198.51.100.32 (aktif di raw; aturan di filter masih disabled)
Deteksi port scannerNMAP FIN, SYN/FIN, SYN/RST, FIN/PSH/URG, ALL/ALL, NULL → address-list "port scanners" (2 minggu) → drop
Port 5678Accept TCP di chain input — aturan dobel (duplikat)
Blokir kontenReject isi "user.dat" (icmp-network-unreachable)
Monitoring aplikasi instansiTLS host *.contoh.go.id → address-list CONTOH · log akses ke CONTOH_SERVER
SchedulerClearContohAccess, ClearContohUser, ClearContohLogs — bersihkan address-list berkala

Port-Forward (DNAT) ke Server Internal — aktif

Port PublikProtoIP TujuanPort TujuanKeterangan
80TCP172.16.9.2280pojokbertanya http
443TCP172.16.9.22443pojokbertanya https
3389TCP172.16.8.2233389pojokbertanya RDP
81TCP172.16.8.4443pojokbertanya back
82TCP172.16.8.6443pojokbertanya back
8888TCP172.16.8.680xen
83TCP172.16.8.218006pv1 (Proxmox?)
2277TCP172.16.8.232222sipp ssh
2377TCP172.16.9.222277sipp ssh s3
2477TCP172.16.8.322sipp ssh s8
2577TCP172.16.8.722sipp ssh s7
2677TCP172.16.8.1122sipp ssh port2
2777TCP172.16.8.1022sippbackup ssh port2
1194UDP172.16.8.231194OpenVPN
554TCP172.16.10.253554rstv keseketaritan (CCTV)
553TCP172.16.10.251554rstv gedungbaru (CCTV)
552TCP172.16.10.250554rstv baru (CCTV)
81TCP172.16.10.2538000CCTV WEB Lama
82TCP172.16.10.2508000CCTV 32 baru
83TCP172.16.10.2518000CCTV WEB Project
8293TCP172.16.11.2548292WinBox remote router
8294TCP172.16.11.2548431Web remote router
1111TCP172.16.10.174443Controller UniFi (dst 198.51.100.47)
semua port—172.16.8.2 / .3 / .4—VM1, VM2, VM3 (seluruh port)
DNAT internal tambahan: 172.16.8.8:443 → 172.16.9.22:443. DNAT nonaktif: SIPP 1777, FTP 7721, ssa 17771, rstv aco, stagging, pdl, openvpn tcp, CCTV web baru, DNAT router instansi (192.0.2.113).

DNS Static (nama internal)

NamaIP
contoh.go.id192.0.2.38 (publik)
sipeta.apps.contoh.go.id172.16.8.23
gateway.contoh.go.id172.16.9.22
e-asep.apps.contoh.go.id172.16.9.22
bankdatanew / bankdata2172.16.8.223

Temuan & Saran

MasalahDetailSaran
Konflik port DNAT Port publik 81, 82, 83 dipakai dua aturan aktif sekaligus: pojokbertanya/pv1 (172.16.8.x) DAN CCTV (172.16.10.250-253). Aturan pertama dalam daftar yang menang, jadi forward CCTV 81/82/83 kemungkinan tidak berfungsi. Pisahkan port publik untuk CCTV (mis. 8801/8802/8803) lalu sesuaikan akses kamera.
Aturan ganda port 5678 Dua baris accept dst-port 5678 identik. Hapus salah satu (baris 152/153 di .rsc).
Pool DHCP tak terpakai dhcp_pool5 (172.16.1.1–11.253) didefinisikan tapi tidak dipakai server DHCP mana pun. Hapus atau gunakan — hindari kebingungan.
Anti-DDoS setengah aktif Aturan drop 198.51.100.32 di chain filter disabled; hanya aturan di raw yang aktif. Aktifkan di filter juga agar IP di chain lain ikut diblokir, atau hapus yang mati.
Masquerade redundan Ada masquerade catch-all (chain srcnat tanpa filter) + 4 masquerade per-subnet + yang disabled. Satu aturan masquerade cukup; rapikan sisanya.
RouterOS EOL RouterOS 6.49.18 sudah akhir masa dukungan (EOL). Upgrade ke RouterOS 7 (RB1100x4 didukung). Backup dulu.
AP di subnet manajemen Semua Access Point (172.16.8.x / .9.x / .10.x) berada di VLAN manajemen 172.16.8.0/22 yang sama dengan server & CCTV. Jika klien Wi-Fi dijembatani (bridge) ke AP, mereka masuk ke VLAN manajemen. Pisahkan ke VLAN client (VLAN 121) atau SSID terisolasi.
Kredensial bocor Password PPTP ganti-xxxx & user ganti-xxxx terbaca di export. Ganti password PPTP segera; jangan bagikan file .rsc mentah.
Catatan keamanan: file export memuat password PPTP ganti-xxxx (teks polos, baris 17) dan login ganti-xxxx — segera ganti.
Perangkat fisik tidak digambar: Switch Lt Dasar 02 (ether5) tidak membawa VLAN/IP sehingga diabaikan; ether8-11 langsung ke Bridge Management; address-list local berisi 192.168.61.0/24 & tunnel 10.10.10.0/30.
RouterOS 6.49.18 sudah EOL — pertimbangkan upgrade ke RouterOS 7 (RB1100x4 didukung hingga v7) untuk keamanan & performa.