Konfigurasi Firewall MikroTik untuk Keamanan Jaringan Dasar

Router yang terhubung langsung ke internet tanpa firewall yang benar sangat rentan terhadap percobaan akses ilegal, scanning, hingga brute force login. Berikut aturan firewall dasar yang sebaiknya diterapkan di setiap router MikroTik.

1. Blokir Akses Layanan Router dari Internet

Layanan seperti Winbox, SSH, dan Telnet sebaiknya tidak bisa diakses langsung dari interface WAN:

/ip firewall filter
add chain=input in-interface=ether1 protocol=tcp dst-port=8291,22,23 action=drop comment="Blokir akses management dari WAN"

2. Drop Paket Invalid

Paket yang statusnya invalid biasanya bagian dari serangan atau paket rusak, dan aman untuk langsung ditolak:

/ip firewall filter
add chain=input connection-state=invalid action=drop comment="Drop invalid"

3. Izinkan Trafik Established & Related

Supaya koneksi yang sudah berjalan (misalnya balasan dari request yang dibuat router sendiri) tidak ikut terblokir:

/ip firewall filter
add chain=input connection-state=established,related action=accept comment="Allow established/related"

4. Batasi Akses Management Hanya dari IP Tertentu

Jika router perlu diakses dari luar (misalnya oleh tim NOC), batasi hanya dari IP tertentu, bukan dibuka untuk semua:

/ip firewall filter
add chain=input src-address=203.0.113.100 protocol=tcp dst-port=8291 action=accept comment="Winbox dari IP NOC"
add chain=input protocol=tcp dst-port=8291 action=drop comment="Blokir Winbox selain IP NOC"

5. Terapkan Default Drop di Akhir Chain Input

Setelah semua rule accept yang dibutuhkan ditambahkan, tutup chain input dengan drop semua sisanya:

/ip firewall filter
add chain=input action=drop comment="Drop semua trafik input lainnya"

6. Aktifkan Address List untuk Blokir Otomatis

Untuk menangkal percobaan brute force berulang, gunakan address-list yang otomatis memblokir IP mencurigakan setelah beberapa kali gagal login, lalu drop semua trafik dari IP yang masuk daftar tersebut.

Catatan Penting

Urutan rule firewall di MikroTik sangat berpengaruh karena diproses dari atas ke bawah. Selalu uji setiap perubahan firewall lewat sesi yang tidak mudah terputus (misalnya lewat port LAN langsung), agar tidak terkunci dari router sendiri jika ada kesalahan konfigurasi.