Site to Site Koneksi dengan GRE Tunnel (Mikrotik)

GRE Tunnel ?

GRE (Generic Routing Encapsulation) adalah sebuah jenis tunnelling protocol yang dikembangkan oleh Cisco System. Protokol ini dapat melakukan enkapsulasi berbagai protokol yang dibuat untuk kebutuhan link virtual point-to point. Dimana ketika terdapat link tunnel yang down, maka semua trafik yang melewatinya akan terkena drop/blackhole. Nah, untuk mengatasi hal ini di  RouterOS ditambahakan sebuah fitur 'keepalive' pada GRE Tunnel. Dengan GRE Tunnel ini akan ditambahakn sebanyak 24 byte di packet header (4-byte gre header + 20-byte IP header).

Pada contoh kali ini saya akan membuat interkoneksi site to site menggunakan GRE Tunnel, topologi sudah saya lampirkan diatas

1. Kita masuk ke sisi site A, kita buat interface GRE Tunnel.

GRE Tunnel Site A

Atur name profile dari interface GRE Tunnel, Local Address isikan ip public router site A. Untuk Remote Address isikan ip public router site B. Uncheck Allow Fast Path karena saya tidak ingin membebani resource cpu yg terlalu tinggi nantinya, fungsi dari Allow Fast Path yaitu meneruskan paket tanpa banyak pengolahan di sisi kernel. Kemudian kita juga bisa melakukan konfigurasi pada parameter 'Keepalive'. Pada parameter ini seperti yang telah sedikit disinggung diatas tadi bahwa ketika link dari tunnel ini putus maka router akan menjaga interface tunnel tetap dalam keadaan running atau dalam kata lain flag (R) pada interface tersebut tetap ada selama nilai interval yang ditentukan. Secara default nilai dari parameter 'Keepalive' ini adalah 10s (Time Interval), 10 retries (Pengulangan).

Selanjutnya masuk ke router site B kita atur sama dengan profile GRE Tunnel di router site B, yang membedakan hanya di bagian local address dan remote address.

GRE Tunnel Site B

2. Pastikan kedua interface running

Site A

Site B

3. Selanjutnya saya beri ip address di kedua interface GRE Tunnel ini, fungsi dari ip address ini akan menjadi gateway sebagai salah satu syarat routing, karena saya akan menghubungkan Network local di kedua site. Atur ip addreess di kedua router masing-masing site dengan prefix /32

Router Site A

 Untuk network di router site A diisi dengan ip interface GRE Tunnel di site B, begitupun juga di router site B.

Router Site B

 4. Selanjutnya kita buat routing di kedua router agar Network Local bisa saling terhubung

Routing router site A

Routing router site B

 5. Kita coba ping network local di kedua router

Hasil ping dari router site A ke network local site B

Hasil ping dari router site B ke network local site A

Kesimpulan :
GRE Tunnel adalah salah satu alternatif tunneling site to site, GRE Tunnel juga dapat dikombinasikan dengan ipsec agar lebih secure dalam encrypt data maupun packet, Selain itu GRE Tunnel juga dapat di koneksikan menggunakan DNS, apabila ip public bersifat dynamic dengan memanfaatkan fitur ip cloud mikrotik.

Implementasi SSTP Mikrotik Server dan Client tanpa Certificate

SSTP ? 
SSTP (Secure Socket Tunneling protocol) adalah salah satu jenis vpn yg ada di mikrotik.
Fitur ini berjalan di protocol TCP dan port 443 sama dengan port https. ketika di scan trafik sstp akan berjalan di port 443 sama dengan https hal ini menjadikan sstp susah untuk di filter blok, karena ketika menutup port 443 pastinya service https juga akan mati.

Seperti ini topologi yang terkonsep :

1. Pastikan di kedua router site sudah terkonfigurasi basic terkoneksi ke internet dan lan sudah diset.

2. Kita buat SSTP Server di site A terlebih dulu. Konfigurasi tersebut ada di menu ppp > SSTP Server > kita enable dan pastikan default profile : default-encryption.

Disini ada parameter Certificate, fungsinya sama dengan certificate di service https. Tidak suatu keharusan harus menggunakan certificate apabila di kedua router site adalah mikrotik. Kita akan implementasikan kedua nya. kita konfigurasi dulu tanpa certificate

3. Kita buat user autentikasi SSTP di menu Secret. Kita atur name dan password, untuk service kita atur ke sstp. Jangan lupa setting local address dan remote address fungsinya adalah sebagai ip yang akan digunakan dalam koneksi SSTP. Pastikan juga profile default-encryption. Untuk penggunaan lebih dari 1 user bisa buat secret lebih dari 1.

 

4. Kita pindah di site B selaku SSTP Client, Masuk ke tab ppp > SSTP Client > atur connect to ke ip publik site A, atur juga user dan password autentikasi sesuai di Site A. untuk sementara kita belum menggunakan certificate maka bisa di hilangkan dulu centang di Verify Server Address From Certificate.

5. Pastikan ada flag R sebagai tanda bahwa sstp sudah terhubung

6. Apabila sudah terhubung dan berniat menghubungkan kedua LAN Site A dan B maka perlu adanya static route dikedia sisi router baik server dan client. Kita atur static route di sisi client terlebih dulu di menu Ip > Route > buat baru atur Dst. address diisi network lan site A dan Gateway isikan ip dari SSTP Server.

static route di sisi client site B

Selanjutnya kita menuju di sisi server kita buat juga static route dst address ip lan dari site B dan Gateway isikan ip dari SSTP client.

static route di sisi server siteA

7. kita test dengan ping dari LAN site A menuju ke LAN site B atau sebaliknya

Dari lan client ke lan server

Dari router server ke lan client

Kesimpulan : kita bisa akses dari dua network lan berbeda untuk kepentingan berbagi resource atau sebagai remote saja. SSTP digunakan sebagai alternatif apabila PPTP di blok oleh ISP.

Sekian Catatan saya hari ini. Apabila ada kesalahan dan kekurangan silahkan  koreksinya pasti saya tampung.
Semoga bermanfaat.

Implementasi Sederhana QOS dengan Fitur Burst Mikrotik

Apa itu Burst ? Burst adalah salah satu metode limitasi bandwidth dengan cara kerja memberikan bandwidth secara lebih untuk pemakaian dibawah limitasi tertentu, ketika penggunaan sudah melebihi limitasi tsb. otomatis bandwidth akan turun sesuai max limit yg telah di tetapkan.

Di Mikrotik, Burst terdiri dari 3 parameter yaitu :
1. Burst Limit : Nilai besaran bandwidth burst yang akan di peroleh user.
2. Burst Threshold : Nilai sebagai pembanding penggunaan rata-rata apakah diatas threshold atau dibawahnya
3. Burst Time : Rentang waktu router untuk menghitung rata-rata pemakaian

Cara kerja dari burst yaitu pada saat client download, router akan melakukan perhitungan rata-rata penggunaan user dalam 16 detik terakhir (burst time). Jika hasil rata-rata masih kurang dari Burst Threshold maka client mendapatkan bonus sampai Burst Limit. Jika rata-rata sama atau lebih besar dari Burst Threshold maka client tidak boleh burst dan bandwidth akan dilimit sesuai Max Limit.

Sebagai contoh, client mempunyai max limit 2Mbps dan ditambah dengan konfigurasi burst limit 4Mbps, burst threshold 1M, burst time 32.  Rumus perhitungan rata-rata penggunaan Client dari burst adalah (jumlah 16 detik terakhir / burst time) = "Hasil". "Hasil" tersebut yang menjadi acuan apakah lebih besar atau lebih kecil dari Burst Threshold.

Trafik burst limit

 1. Pertama kita set Parameter burst nya

Keterangan :
Max Limit (512k) : total bandwidth pasti yang akan diberikan ke client.
Burst limit : total bonus bandwidth yang akan diberikan ke client, nilai burst limit harus selalu diatas atau lebih besar dari Max Limit, apabila dibawah Max Limit, burst limit tidak ada fungsinya.
Burst Threshold : nilai acuan rata-rata yang akan menentukan client mendapatkan jatah burst atau tidak. Sebagai contoh apabila rata-rata pemakaian client diatas nilai burst threshold (1 M) maka client akan mendapatkan bandwidth sesuai Max Limit (512k). Apabila rata-rata pemakaian client dibawah nilai burst threshold (1M) maka client akan mendapatkan bandwidth sesuai Burst Limit (2 M)
Burst Time : Rentang waktu yang digunakan router untuk menghitunh rata-rata pemakaian client, untuk rumus menghitung threshold baca lagi diatas.

2. Kita uji dengan pemakain diatas burst threshold, bisa diliat dari trafik pemakaian client yg semula mendapat jatah 2M ketika sudah menggunakan pemakaian diatas burst threshold bandwidth yg diterima turun menjadi 512k

burst trafik

Kesimpulan : burst limit sangat berguna ketika memanage jaringan QOS dengan efektifitas bandwidth yg sangat komplek, karena bandwidth yang diberikan ke client ketika pemakaian wajar bisa mendapatkan bandwidth lebih besar dengan memanfaatkan kekosongan bandwidth yg tidak digunakan client lain. sementara client dengan pemakaian konstan diatas rata-rata akan terkontrol dengan baik oleh max-limit yang telah di set tanpa menganggu koneksi client lain.

Demikian catatan saya hari ini, apabila masih ada kesalahan mohon bantuannya untuk koreksi. 
Sekian Semoga Bermanfaat

Pembahasan UKK TKJ Paket 2 SMK Negeri Takeran 2018/2019

Halo semuanya, kali ini saya akan membuat Pembahasan UKK TKJ Paket 2 SMK Negeri Takeran 2018/2019. Bagi teman-teman yang belum memiliki soal bisa unduh di disini

Dari soal yg saya baca ada 13 konfigurasi utama yg harus dilakukan. langsung saja...

1. Konfigurasi IP dan Internet Gateway

Untuk konfigurasi ini saya rasa bukan jadi masalah, saya rasa sudah pada bisa.

ETH 1 = menyesuaikan dari ISP
Gateway = menyesuaikan dari ISP
ETH 2 = 192.168.100.1/24 (cek kembali soalnya)
WLAN 1 = 192.168.200.1/24 (cek kembali soalnya)

Jangan lupa buat juga rule NAT masquerade agar teroneksi ke internet.

2. Konfigurasi Network Time Protocol (NTP)

Fungsinya adalah menyamakan waktu antar perangkat. Karna kita akan munggunakan NTP dari id.pool.ntp.org maka pastikan dulu Router telah terkoneksi dengan internet.

Selanjutnya pastikan time zone sesuai dengan daerah masing-masing.

 

 

3. Konfigurasi DHCP Server

Untuk membuat Konfigurasi ini letaknya ada di IP > DHCP Server > DHCP Setup.

Yang perlu diperhatikan adalah

Pastikan interface yang dibuat DHCP Server adalah eth 2.

Selanjutnya Pastikan networknya sesuai dengan subnet eth 2

Pastikan Gateway sesuai dengan subnet eth 2

Silahkan cek kembali soalnya, di soal kita disuruh membuat pool 2-100 saja jadi kita cukup sesuaikan dengan soal.

4. Konfigurasi Static DNS

Maksud dari fitur ini adalah mendefinisikan sebuah domain menuju alamat tertentu. dari soal diketahui kita harus mengalihkan http://www.mikrotik.com ke website http://bsnp-indonesia.org.

Letak dari Fitur ini ada di IP > DNS > Static

Isikan Name dengan = mikrotik.com, Address dengan 103.236.150.228, Kenapa harus 103.236.150.228 ? karena ketika diisi bsnp-indonesia.org, Ip yg didapat tidak sesuai dengan dns bsnp-indonesia.org, maka dari itu kita isi saja dengan ip dns bsnp secara manual.

5. Konfigurasi Blokir Ping ke Router

Cek kembali soalnya kita disuruh membuat sebuah rule untuk memblokir icmp (ping) ke router dari ip 192.168.100.2-192.168.100.50.

konfigurasinya terletak di IP > Firewall > Filter Rules. lalu buat sebuah rule sebagai berikut

Keterangan :
Chain = Input, kenapa harus input ? karena kita melakukan blokir terhadap koneksi icmp yang akan masuk ke dalam router kita.
Src address = Isikan dengan pool ip yang akan di blokir
Dst Address = Isikan dengan IP semua interface Router baik ethernet maupun wlan
Protocol = ICMP, kenapa ICMP ? karena proses ping menggunakan protocol icmp.
Action = Drop, kenapa Drop ? ya karena kita ingin blokir koneksi icmp tersebut.

oh, iya dikarenakan ada 3 interface yang dapat dihubungi maka buat 3 rule sesuaikan dengan dst. address tiap-tiap interface. Silahkan lakukan test dengan ping ke Router mikrotik masing-masing.

6. Konfigurasi Rule Logging

Untuk bagian ini saya masih belum paham dengan soalnya dikarenakan perintah sola yang kurang mendetail. Berhubngan dengan itu saya juga sempat konsultasi dengan guru TKJ saya dan ternyata sama soalnya agak kurang jelas. pertama kali saya baca soalnya, yang langsung saya pikirkan adalah mungkin kita disuruh melakukan pencatatan log yang berisi Log in dan log out user ke router, tetapi saya pikir-pikir log seperti ini setau saya sudah default tercatat dan terkonfigurasi sendiri oleh mikrotik. Maka dari itu, saya pikir ulang maksudnya mungkin kita disuruh melakukan pencatatan aktifitas proses di router. Kalo memang seperti itu maka konfigurasinya adalah sebagai berikut :

Buat sebuah rule di Filter Rules yang berisi seperti berikut :
chain = input
action = accept
log = yes
log-prefix = aktifitas (untuk penamaan log-prefix bisa dibuat beda, fungsi ini hanyalah sebagai penamaan pencatatan log saja)

Untuk pengecekan silahkan cek di LOG

7. Konfigurasi Filter Http dan Https

Maksud dari soal bagian ini adalah seluruh permintaan request network di filter dan hanya mengijinkan akses ke protocol http (80) dan https (443).

Konfigurasi terletak di IP > Firewall > Filter Rules

Keterangan :
Chain : forward
Protocol : tcp
Dst. port : [!] (not) 80,443 (kenapa harus di beri not karena kita buat pengecualian terhadap port 80 dan 443 agar tidak di drop oleh firewall)
In interface : eth 2 (interface yang berhubungan dengan client atau end user)
Out interface : eth 1 (interface yang menyediakan sumber koneksi internet)
Action : Drop

8. Konfigurasi Hotspot Wlan

Sebelum membuat Hotspot pastikan kita membuat Koneksi Wifi dengan mode AP-Bridge terlebih dahulu. Cek kembali soal untuk pengisian SSID.

Selanjutnya kita buat Hotspotnya, untuk konfigurasinya terletak di IP > Hotspot > Hotspot Setup.

Arahkan ke interface Wlan

Untuk Networknya pastikan sesuai dengan soal

Untuk pengisian pool silahkan cek kembali soalnya dan pastikan sesuai dengan perintah.

Untuk pengisian DNS name bisa bebas karena tidak ada soal yang mengharuskan menggunakan nama tertentu.

Terakhir isikan data login hotspotnya.

Selanjutnya tinggal tes saja dan pastikan portal hotspotnya muncul.

9. Konfigurasi WebProxy

Untuk mengaktifkan Fitur ini ada di IP > WebProxy. Untuk cache administratornya cek kembali soalnya.

Selanjutnya kita buat sebuah rule yang melakukan redirect koneksi menuju ke webproxy. Konfigurasi terletak di IP > Firewall > Nat.

Keterangan :
Chain : dstnat
Protocol : tcp
Dst. port : 80 (http)
In interface : wlan1
Action : Redirect
To Ports : 8080

10. Konfigurasi Blocking Site

Untuk bagian ini kita disuruh melakukan blokir site http://www.linux.or.id menggunakan web proxy. Letak konfigurasinya ada di IP > Web Proxy > access.

Keterangan :
Dst. Host = *linux.or.id
Action = deny

Lakukan pengetesan dengan mencoba akses ke site linux.or.id, dan pastikan muncul web page seperti ini :

11. Konfigurasi Blokir Ekstensi file

Untuk bagian ini kita disuruh melakukan blokir terhadap file yang memiliki ekstensi .mp3 dan .mkv menggunakan web proxy. Letak konfigurasinya ada di IP > Web Proxy > access.

Keterangan :
Path = *.mp4* *.mkv*
Action = deny

Lakukan Pengetesan dengan mencoba download file dengan ekstensi .mp4 dan .mkv, pastikan muncul web page seperti diatas.

12. Konfigurasi Blocking Content

Untuk bagian ini kita disuruh melakukan pemblokiran terhadap konten yang mngandung kata mikrotik. Untuk konfigurasi ini saya lebih merekomendasikan menggunakan firewall ketimbang webproxy karena lebih efektif dan mudah. Untuk konfigurasinya ada di IP > Firewall > Filter Rules.
Keterangan :
action = drop
chain = forward
content = mikrotik

Lakukan pengujian dengan melakukan akses ke konten mikrotik, atau bisa melakukan ping ke domain yang mengandung kata mikrotik.

13. Konfigurasi Pembatasan Waktu Internet

Sebenarnya kita bisa menggunakan scheduler juga dikarenakan di soal kita disuruh menggunakan firewall maka kita buat saja di firewall.Ada alasan mengapa harus menggunakan 2 rule, yaitu karena pada MikroTik fungsi waktu hanya berlaku dalam waktu 1 hari mulai 00:00:00 – 23:59:59. Maka dari itu saya membuat 2 rule yang dimana aturan tersebut adalah pemblokiran dari wlan1 ke ether1 pada pukul 19:00:00 – 23:59:59 dan 00:00:00 – 07:00:00.

Untuk konfigurasinya karena agak susah di screenshoot saya buat saja dengan cli, untuk penerapannya bisa di paste di terminal router melalui koneksi ssh atau langsung di terminal winbox.

/ip firewall filter
add action=drop chain=forward in-interface=wlan1 out-interface=ether1 time=19h-23h59m59s,sun,mon,tue,wed,thu,fri,sat
add action=drop chain=forward in-interface=wlan1 out-interface=ether1 time=0s-7h,sun,mon,tue,wed,thu,fri,sat

Lakukan pengamatan pada jam tersebut dan pastikan koneksi internet mati pada jam tersebut.

Sampai sini Pembahasan UKK TKJ Paket 2 SMK Negeri Takeran 2018/2019. Memang agak sedikit membingungkan Soal yang saya baca, Oh iya ini cuma pembahasan versi saya saja, jangan di jadikan kunci karena saya sendiri belum bisa menjamin 100% benar. sekali lagi ini cuma pembahasan versi saya, semuanya ada di tangan guru dan penguji bagaimana yang benarnya. saya cuma share saja apa yang saya bisa, apa yang saya ketahui, dan juga hanya sebagai catatan pribadi saya. apabila mungkin bisa membantu yang lain silahkan di terapkan.

Jika ada yang ingin ditanyakan silahkan tulis di kolom komentar, atau bisa langsung Kontak saya di Telegram atau Facebook.
Sekian Semoga Bermanfaat. Sukses untuk UKK nya khususnya para peserta didik SMKN Takeran Jurusan TKJ.
Terimakasih

Konfigurasi CA dan HTTPS Debian Server

 

Di tutorial ini akan mengajarkan bagaimana caranya web server yang kita buat dapat di akses melalui HTTPS, untuk itu kita memerlukan Sertifkat SSL yang sudah di validasi oleh CA (Certificate Authority).

Certificate Authority, adalah sebuah lembaga yang memiliki tugas memvalidasi sertifikat ssl, jadi alurnya kira-kira seperti ini misal web saya dapat diakses lewat https, pertama saya buat sertifikat SSL nya dulu. lalu sertifikat SSL tadi di kirim ke CA untuk di validasi, nah hasil validasinya nanti dikirim ke saya,  tinggal pasang aja sertifikat yg sudah tervalidasi tadi.

Berhubung ini cuma lokal kita gak perlu daftar ke lembaga CA yang ada di internet cukup kita sendiri yang akan bertindak sebagai Lembaga CAnya.

A. Konfigurasi CA

     

1. kita buat dulu folder untuk menampung sertifikatnya nanti, bebas mau di buat dimana. contoh saya buat di direktori /etc/apache2/ssl.

# mkdir /etc/apache2/ssl/cert
# mkdir /etc/apache2/ssl/cert/crt
# mkdir /etc/apache2/ssl/cert/csr
# mkdir /etc/apache2/ssl/cert/key

2. Kita copy openssl.cnf ke direktori CA kita.

# cp /etc/ssl/openssl.cnf /etc/apache2/ssl/cert

3. Kita edit dir dan certs di bagian CA_default di file openssl.cnf tadi. Atur ke direktori CA yg dibuat tadi.

4. Selanjutnya kita buat file index.txt, crlnumber, dan serial di direktori CA tadi. Jangan lupa isi crlnumber dan serial dengan angka 00

# touch index.txt crlnumber serial
# echo 00 > crlnumber
# echo 00 > serial

5. Selanjutnya kita buat key untuk sertifikat SSL CA kita.

# openssl genrsa -out key/CA.key

6. Lalu kita buat sertifikat CAnya.

# openssl req -new -config openssl.cnf -days 365 -x509 -key key/CA.key -out crt/CA.crt

Country Name (2 letter code) [AU]:ID
State or Province Name (full name) [Some-State]:Jawa Timur
Locality Name (eg, city) []:Magetan
Organization Name (eg, company) [Internet Widgits Pty Ltd]:lks
Organizational Unit Name (eg, section) []:lks

B. Konfigurasi Sertifikat SSL web kita

1. Kita buat key untuk Sertifikat ssl web kita.

# openssl genrsa -out key/lks.key

2. Kita buat sertifikat ssl nya.

# openssl req -new -key key/lks.key -out csr/lks.csr

Country Name (2 letter code) [AU]:ID
State or Province Name (full name) [Some-State]:Jawa Timur
Locality Name (eg, city) []:Magetan
Organization Name (eg, company) [Internet Widgits Pty Ltd]:lks
Organizational Unit Name (eg, section) []:lks
Common Name (e.g. server FQDN or YOUR name) []:lks.net
Email Address []:

 3. Tinggal kita validasikan sertifikat web kita ke CA tadi.

# openssl x509 -req -in csr/lks.csr -days 365 -CA crt/CA.crt -CAkey key/CA.key -set_serial 01 -out crt/lks.crt

 

C. Konfigurasi HTTPS

1. kita aktifkan dulu module ssl

# a2enmod ssl

2. tambahkan baris berikut di bagian bawah file default-ssl.conf

# cd /etc/apache2/sites-enabled/
# nano default-ssl.conf

SSLEngine On
SSLCertificateFile /etc/apache2/ssl/cert/crt/lks.crt
SSLCertificateKeyFile /etc/apache2/ssl/cert/key/lks.key
ServerName lks.net
DocumentRoot /var/www/html/

 

D. Import Sertifikat CA tadi ke browser client

1. Kirim file CA.crt yang beradi di direktori /cert/crt ke client. bisa menggunakan smaba, sftp, scp, atau ftp.
2. tinggal import di web browser client. contoh disini saya menggunakan firefox
3. tulis di url about:preferences#privacy
4. scroll ke paling bawah lalu tambahkan CA.crt tadi.

5. ceklis semua kolom
6. Tinggal test aja pastikan ada gembok hijau disamping kiri bar url.