certified network associate ( mtcna ) modul 6...
TRANSCRIPT
Certified Network Associate ( MTCNA )
Modul 6
Firewall
Firewall
• Sebuah layanan keamanan jaringan yang melindungi jaringan Internal dari jaringan Eksternal. Contoh : Internet
• Berposisi ditengah – tengah antara jaringan lokal dan jaringan publik
• Selain mencegah serangan, firewall mengontrol koneksi data menuju, melewati, dan keluar dari router
• Firewall di RouterOS di atur dalam tabel Filter dan NAT
Firewall di MikroTik
• Filter rules
• NAT ( srcnat dan dstnat )
• Mangle
• Address List
• Layer 7 Protocol
• Service Ports
• Connections ( Hanya melakukan monitoring )
Firewall Filter
Ada 3 default chain ( Rantai ) :
• INPUT ( Paket menuju Router )
• OUTPUT ( Paket keluar dari Router)
• FORWARD ( Paket yang melawati Router )
Firewall Filter Action
• Setiap rule memiliki action, jika cocok maka ACCEPT.
• Jika tidak, maka ada di DROP atau REJECT.
• DROP Dibuang secara diam – diam ( Tak ada pemberitahuan )
• REJECT Ditolak dengan pesan ICMP Reject
• Atau Jump/return ke rule yang ditetapkan oleh user
Filter Actions
Pilih IP Firewall New Firewall Rule ( + ) Action
Filter Chains
Sebaiknya, pada setiap rule kalian berikan Komentar ( comment ) untuk meningkatkan Kemudahan dalam membaca.
Chain: Input
• Melindungi router itu sendiri
• Dari jaringan public ( Internet ) dan jaringan lokal
Chain: Input
• Buat rule chain Input, dengan action ACCEPT pada interface bridge untuk laptop kalian
( src. Address = 192.168.XY.200 )
• Buat rule chain Input, dengan action DROP pada interface bridge yang terhubung dengan yang lainnya.
Chain: Input
• Ubah IP Address laptop kalian ke 192.168.XY.199, DNS dan Gateway ke 192.168.XY.1
• Putuskan koneksi dari Router
• Coba koneksi ke Router ( Tidak Bisa )
• Coba koneksi ke Internet ( Tidak Bisa )
Chain: Input
• Laptop anda menggunakan router untuk melakukan resolving nama domain
• Connect ke router menggunakan MAC Winbox
• Tambahkan rule baru, chain Input accept ke interface bridge untuk mengizinkan DNS request ( Port: 53/udp )
• Taruh diatas rule Drop yang sebelumnya kita buat
• Connect ke Internet ( Bisa )
Chain: Input
• Ubah IP Address laptop anda ke dinamik ( DHCP )
• Connect ke Router
• Hapus atau disable rules yang kalian buat tadi
Chain: Forward
• Berisi rules yang mengontrol paket data yang akan melewati router
• Forward mengontrol traffic data antara client dan Internet, serta antara client dan client
Chain: Forward
• Secara default, traffic antara client- client yang terhubung ke router diizinkan
• Traffic antara client dan Internet secara default tidak dibatasi
Chain: Forward
• Tambahkan filter rule Drop Forward untuk port http (80/tcp)
• Saat mendefinisikan Port tujuan, Protocol harus kalian definisikan juga
Chain: Forward
• Coba buka web www.mikrotik.com ( Tidak Bisa )
• Coba buka WebFig di http://192.168.XY.1 ( Bisa )
• WebFig router bisa diakses karena traffic ini menuju router ( Input ), bukan melewati router ( Forward )
Port yang Sering Digunakan
Address List
• Address list mengizikan untuk membuat Action untuk banyak IP sekaligus
• Sangat mungkin untuk menambahkan IP ke address list secara otomatis
• IP bisa ditambahkan secara permanen atau hanya dalam batasan waktu tertentu
• Address list bisa berisi 1 IP Address, IP Range bahkan seluruh subnet
Address List
IP Firewall Address List New Address List (+)
Address List
• Selain mendefinisikan address di General tab, pindah ke tab Advanced dan pilih address list ( Src. Dan Dst. Sesuai dengan rule )
IP Firewall New Firewall Rule Advanced
Address List
• Firewall action bisa digunakan untuk menambahkan address ke address list secara otomatis
• Permanen atau sementara
IP Firewall New Firewall Rule (+) Action
Address List
• Buat address list yang berisi IP yang diziinkan, jangan lupa tambahkan IP laptop kalian
• Tambahkan Input accept filter rule pada interface bridge untuk Port Winbox saat koneksi dari address yang terdapat di dalam address list yang diizinkan
• Tambahkan Input drop filter rule untuk orang lain saat koneksi ke Winbox
Firewall Log
• Setiap rule firewall bisa di log saat rule tersebut cocok
• Bisa ditambahkan keterangan spesifik untuk memudahkan pencarian record nanti
Firewall Log
IP → Firewall → Edit Firewall Rule → Action
Firewall Log
• Aktifkan Logging pada kedua rule firewall yang kita buat di Address List LAB
• Connect ke Winbox dengan IP yang diizinkan
• Disconnect dan ganti IP yang tidak terdaftar di IP yang diizinkan
• Coba connect router dengan winbox
• Ganti IP ke awal dan observasi entri log
NAT
• Network Address Translation ( NAT ) adalah metode yang memodifikasi asal atau tujuan dari suatu paket IP Address
• Ada 2 tipe NAT yaitu Source NAT dan Destination NAT
NAT
• NAT biasanya digunakan untuk menyediakan akses ke jaringan eksternal dari client yang menggunakan private IP (src-nat)
• Mengizinkan akses dari jaringan eksternal ke sumber daya ( contoh: web server ) yang ada di jaringan lokal (dst-nat)
NAT
NAT
NAT
• Chain srcnat dan dstnat digunakan untuk menjalankan firewall NAT menurut fungsinya
• Sama dengan filter, bekerja dengan prisip If-Then
• Dibaca dari atas table
Dst NAT
Dst NAT
Redirect
• Tipe spesial dari dstnat
• Action ini akan mengalihkan (Redirect) paket ke router sendiri
• Salah satu contoh penerapannya adalah membangun transparent proxy ( contoh : HTTP Proxy, DNS )
Redirect
Redirect
• Buat rule dstnat redirect untuk mengirim semua request dengan port tujuan HTTP (80/tcp) ke router dengan port 80
• Coba buka web www.mikrotik.com atau website lain yang menggunakan protokol HTTP
• Jika sudah, hapus atau disable rule itu
Src NAT
Masquerade adalah salah satu tipe spesial dari srcnat
Src NAT
• Srcnat action src-nat memiliki arti menulis ulang asal IP address atau port asal
• Contoh: sebuah perusahaan memiliki network 192.168.1.0/24 untuk jaringan lokal mereka. Perusahaan itu menggunakan ISP untuk Internet mereka dengan IP public yang berbeda network LAN. Agar terhubung, network engineer bisa menggunakan srcnat
NAT Helpers
• Beberapa protokol membutuhkan apa yang disebut NAT Helpers untuk bekerja dengan baik di jaringan NAT’d
Connections
• New – Paket membuka koneksi baru
• Established – Paket telah dimiliki oleh koneksi yang ada
• Related – Paket membuka koneksi baru namun masih memiliki relasi dengan koneksi yang ada
• Invalid – Paket tidak dimiliki oleh semua koneksi yang ada ( mengambang di jaringan )
Connections
Connection Tracking
• Memanage informasi tentang semua koneksi yang aktif
• Telah diaktifkan pada NAT dan filter
• Connection state tidak sama dengan TCP state
Connection Tracking
FastTrack
• Metode untuk “mempercepat” aliran paket yang melewati router
• Koneksi establised atau related bisa di tandai sebagai fasttrack connection
• Bypass firewall, connection tracking, simple queue dan fitur lainnya
• Saat ini hanya support protokol TCP dan UDP
FastTrack
Sumber : http://wiki.mikrotik.com/wiki/Manual:Wiki/Fasttrack
Tentang Penulis
• Nama : Joshua Renaldo
• TTL : Jakarta, 5 Juli 1998
• Umur : 17 Tahun
• MTCNA ( 7 April 2016 )
• Email : [email protected]