Cara Mengamankan Mikrotik Router

Mikrotik router sebagai salah satu infrastuktur utama memang  sudah seharusnya lebih diperhatikan dari sisi kemanan dibanding komponen yang lain. Biasanya Router menjadi penghubung antara jaringan lokal dengan internet. Serangan akan banyak terjadi ke router  entah hanya sekedar iseng atau memang berniat jahat untuk merusak jaringan.

Dalam panduan singkat ini akan saya berikan tip sederhana meningkatkan kemanan Mikrotik Router dengan perintah Terminal. Anda bisa saja menggunakan perintah lewat WInbox dengan menyesuaikan perintahnya. Misalkan perintah untuk mengupdate package bisa dengan masuk ke Menu System->Package lalu tekan tombol check for update. Namun demikian saya tetap menyarankan gunakan terminal agar anda semakin mahir dengan Mikrotik. Berikut ini ad 8 tip yang bisa langsung anda praktekan untuk mengamankan mikrotik anda.

Mengupdate OS Mikrotik

Untuk update ini saya beri contoh di Mikrotik versi 6.x, untuk versi sebelumnya perintahnya tinggal disesuaikan.

[admin@Router] > system package update check-for-updates
          channel: current
  current-version: 6.32.3
   latest-version: 6.33.3
           status: New version is available
[admin@Router Atas] > system package update download 
          channel: current
  current-version: 6.32.3
   latest-version: 6.33.3
           status: Downloaded 91% (16.8MiB)
[admin@Router] > system reboot

Tujuan utama mengupdate software mikrotik adalah untuk meningkatkan keamanan, memperbaiki bug ataupun menambah fitur baru tanpa harus ganti hardware. Namun yang perlu diperhatikan anda harus melihat Rilis note /Changelog updatenya untuk memastikan bahwa setelah update tidak ada konfigurasi yang justru malah tidak kompatibel.

Mematikan paket software yang tidak dipakai

Mikrotik punya banyak paket yang bisa dilihat dengan perintah /system package print  Sebagai contoh kita akan mematikan paket mpls

/system package disable mpls 
/system reboot 

Untuk mendisable package harus mereboot system. Untuk pemakai kantoran atau warnet banyak packet yang tidak di pakai. Paket yang
sering dipakai hanya system,dhcp, security,ppp, advanced tool dan hotspot Sisanya tidak dipakai sama sekali, Konsultasikan ke Tech support ISP anda jika anda ragu.

Melakukan Backup Konfigurasi

Mikrotik mengenal dua backup konfigurasi. Yang pertama berupa file binary dan yang kedua adalah script konfigurasi. Cara pertama sangat bermanfaat jika anda mereset mikrotik dan merestore dengan file konfigurasi yang telah anda backup tadi. Cara yang kedua berisi file script yang berisi seluruh perintah konfigurasi mikrotik. Backup cara kedua sangat bermanfaat jika anda ingin menganalisa konfigurasi mikrotik.

Backup binary

[admin@Router] > /system backup save                
Saving system configuration
Configuration backup saved

Filenya bisa di lihat di menu file dengan nama nama_router-yyyymmdd-hhmm.backupJika anda mereset mikrotik anda, langkah untuk merestorenya tinggal buka winbox masuk ke menu file lalu klik nama file tersebut dan klik restore.

Mengexport script Konfigurasi Mikrotik

export compact file=backup-skrip

Filenya akan tersimpan dengan nama backup-skrip.src silahkan download file ini dari menu File Winbox untuk dianalisa script konfigurasinya. Teknik ini sangat bermanfaat jika BUKAN ANDA yang menseting router tersebut namun sekarang andalah yang harus mengelolanya.

Mematikan Interface yang tidak terpakai

Interface ini biasanya adalah port Ethernet yang tidak terpakai. Misalkan anda memakai Mikrotik RB450 dengan 5 Port. Sementara itu anda hanya
memakai port 1, 2 dan 3. Maka matikan port keempat dan kelimanya. Alasan utamanya untuk memastikan bahwa jika ada cracker yang bisa mengakses secara fisik ke Routernya tidak dengan mudah mencolokan kabel ke port tersebut. Misalkan saya ingin mendisable ether4 dan ether5 maka perintahnya

[admin@Router] > interface disable ether4 
[admin@Router] > interface disable ether5

Jika anda belum yakin port mana yang tidak dipakai, cari saja port yang tidak ada tanda R(Running) saat memberi perintah interface print

Mematikan Neighbourhood Discovery

Fitur ini memudahkan kita menemukan Server Mikrotik dari Winbox. Saat kita buka Winbox, biasanya dibagian bawah Winbox langsung terdeteksi router Mikrotik yang ada di jaringan tersebut. Fitur ini sangat bermanfaat bagi admin jaringan terutama ISP yang memonitor banyak Mikrotik. Namun, fitur tidak aman karena Cracker pun dengan mudah mendapatkan calon korbannya. Dalam contoh ini ada 3 interface yaitu WAN, WIFI dan LAN. Maka perintah mematikanya adalah :

ip neighbor discovery set WAN discover=no
ip neghbor discovery set WIFI discover=no
ip neghbor discovery set LAN discover=no

Memonitor Log

Untuk memonitor log, caranya cukup mudah. Cukup beri perintah /log print  Hal yang perlu diperhatikan adalah masalah Clock Mikrotik. Biasanya mikrotik yang baru pertama diseting akan menunjukan tanggal 1 Januari 1970. Ini sangat berbahaya karena anda tidak akan tahu tanggal dan jam berapa insiden keamanan terjadi. Solusinya gunakan NTP agar jam mikrotik selalu menunjukan waktu saat ini. Panduannya bisa anda baca di artikel saya yang lain dengan judul Setting Waktu Mikrotik dengan NTP Client.

Contoh tampilan Log dari Mikrotik

22:05:28 dhcp,info dhcp-public deassigned 192.168.1.5 from 5C:93:A2:A6:CB:65
22:05:28 dhcp,info dhcp-public assigned 192.168.1.6 to 5C:93:A2:A6:CB:65
22:08:17 system,error,critical login failure for user admin from 192.168.9 via winbox
22:08:17 system,error,critical login failure for user admin from 72.10.203.1 via ssh

Usahakan sering menganalisa Log dan melihat potensi keamanan yang terjadi. Contohnya, lihat pada log diatas ternyata ada yang berusaha login dari ip 192.168.1.9 dan ada yang berusaha meremote lewat ssh dari ip 72.10.203.1. Biasanya baris ini akan berwarna merah. Dengan melihat hal di atas anda bisa melakukan tindakan misalkan memblokir IP tersebut, mematikan service ssh atau mengganti port ssh nya, penjelasannya bisa anda baca di point selanjutnya.

Mematikan service yang tidak perlu

Mikrotik bisa diakses dengan berbagai cara semisal http, winbox, ssh, telnet, FTP dan sebagainya. Yang paling sering dipakai adalah akses Winbox dan SSH menggunakan Putty.Maka saya rekomendasikan matikan seluruh service yang tidak terpakai.

Untuk melihat seluruh service yang ada gunakan perintah /ip service print Berikut ini cara mematikan service telnet dan ftp di mikrotik

ip service disable telnet
ip service disable ftp 

Disisi lain, serangan brute force login sering juga menimpa SSH di port 22. Walaupun SSH terkenal aman, namun alahkah baiknya jika port SSH juga kita ganti portnya  misal kita ganti ke port 22222,  perintahnya:

 ip service set ssh port=2222

Untuk lebih meningkatkan keamanan jaringan, kita juga bisa membuat agar SSH hanya bisa diakses lewat jaringan lokal. Kita asumsikan ip jaringan lokal adalah 192.168.1.0/24 Maka perintahnya

 ip service set ssh address=192.168.1.0/24

Jika anda ingin Mikrotik  hanya bisa diakses oleh  dengan SSH  terbatas pada satu IP  misalkan  ip 192.168.1.200. Maka perintahnya

ip service set ssh address=192.168.1.200

Intinya tinggal kombinasikan antara mematikan, mengganti port atau membatasi limit akses ke Router Mikrotik. Silahkan sesuaikan
dengan kondisi di lapangan.

Membatasi limit akses User ke Router

Mikrotik punya 3 tingkatan user yaitu full, write dan read. Kadang, kita butuh pegawai yang selalu memonitor kondisi mikrotik seperti OP Warnet
atau bagian Costumer support. Pegawai ini hanya ditugasi memonitor, tidak bisa mengubah konfigurasi sedikitpun. Maka alangkah baiknya anda membuat user sendiri dengan akses READ. Sebagai contoh

 /user  add name=pegawai password=pegawai group=read address=192.168.1.1

Pegawai tersebut bisa login ke monitor dari ip 192.168.1.1 untuk memonitor kondisi mikrotik. Sebenarnya masih banyak tip keamanan yang lain namun tips ini insyaAllah cukup  untuk jaringan kantor dan warnet. Jangan lupa carilah sumber lain untuk meningkatkan kemanan jaringan anda, apa yang saya sampaikan disini hanya DASAR DASARnya saja. Semoga tip ini bermanfaat, selamat mencoba!