Port Forwarding MikroTik RouterOS v7: Buka Server ke Internet

Baca jugaMengamankan Router MikroTik: Firewall Filter dan Manajemen AksesTutorial MikroTik→

Membuka satu port ke internet di MikroTik bukan pekerjaan satu baris perintah. Paket yang sudah diterjemahkan NAT tetap berhenti di rantai forward kalau firewall tidak mengizinkannya, dan aturan yang paling rapi pun tidak akan pernah tersentuh dari luar kalau koneksi Anda duduk di belakang CGNAT milik ISP.

Contoh yang dipakai: router dengan WAN di ether1, LAN bridge 192.168.88.0/24, server web di 192.168.88.20 port 80, dan port publik 8080. Alamat aksesnya http://IP-publik:8080.

Tiga hal menentukan hasilnya: alamat IPv4 publik yang benar-benar sampai ke router, IP server yang tidak berubah, dan izin di chain forward. Kalau satu saja tidak terpenuhi, gejalanya sama, yaitu koneksi dari luar timeout.

Cek Alamat WAN dan Status CGNAT

Buka terminal RouterOS, lihat alamat di interface WAN dan alamat yang dilihat internet.

/ip address print
/ip cloud print

Nilai public-address adalah alamat yang dilihat internet. Bandingkan dengan alamat di ether1 atau pppoe-out1; kalau berbeda dan alamat WAN masuk rentang di bawah, port forwarding tidak akan bekerja.

Alamat 100.64.x.x menandakan ISP memakai NAT bersama. Pilihannya: minta IP publik statis, pasang VPN seperti WireGuard, atau tunnel keluar seperti Cloudflare Tunnel. Port forwarding di sisi Anda tidak menembus NAT operator.

Satukan Interface WAN dan LAN dalam List

Aturan yang menyebut in-interface-list=WAN lebih tahan perubahan. Kalau ISP memakai PPPoE, nama interface-nya pppoe-out1, bukan ether1. Urutan membangun bridge, IP address, dan NAT untuk router yang baru direset ada di konfigurasi dasar RouterOS v7.

/interface list
add name=WAN
add name=LAN

/interface list member
add interface=ether1 list=WAN
add interface=pppoe-out1 list=WAN
add interface=bridge list=LAN

Hanya satu yang aktif biasanya, dan mendaftarkan keduanya tidak merusak apa pun.

Langkah 1: Kunci IP Server

Lease dinamis kedaluwarsa, dan saat server mendapat alamat baru, aturan dst-nat menunjuk perangkat yang salah. Kunci lewat lease statis.

/ip dhcp-server lease
add address=192.168.88.20 mac-address=AA:BB:CC:DD:EE:01 server=dhcp-lan comment="server web"

Kalau IP server diatur manual, pastikan alamatnya di luar pool DHCP. Dua perangkat dengan alamat sama lebih sulit dilacak daripada port tertutup.

Langkah 2: Tulis Aturan dst-nat

/ip firewall nat
add chain=dstnat action=dst-nat protocol=tcp dst-port=8080 in-interface-list=WAN to-addresses=192.168.88.20 to-ports=80 comment="web publik 8080 ke 80"

Arti tiap parameter:

Urutan rule penting: taruh aturan spesifik ini di atas dstnat yang bersifat umum. dst-port menerima daftar dan rentang, misalnya 80,443,8000-8010, tetapi setiap port baru adalah permukaan serangan baru.

Langkah 3: Izinkan di Rantai Forward

Ini bagian yang paling sering terlupa. NAT hanya mengubah alamat, keputusan lolos atau tidak tetap di filter.

/ip firewall filter
add chain=forward action=accept protocol=tcp dst-address=192.168.88.20 dst-port=80 connection-nat-state=dstnat comment="izinkan hasil dst-nat ke server web"

Aturan ini harus berada di atas drop terakhir. Kalau router memakai pola firewall dasar seperti pada panduan firewall MikroTik, sisipkan accept ini sebelum baris drop.

Bentuk longgar cukup memakai connection-nat-state=dstnat tanpa alamat tujuan, tetapi bentuk di atas lebih baik karena hanya membuka satu server dan satu port.

Langkah 4: Uji dari Luar, Bukan dari LAN

Menguji dari komputer yang masih terhubung WiFi kantor sering menyesatkan. Matikan WiFi ponsel, pakai data seluler, lalu buka http://IP-publik:8080. Dari server lain di internet, cukup satu perintah.

curl -I http://IP-publik:8080

Sesudah ada percobaan masuk, periksa di router.

/ip firewall connection print where dst-address~"192.168.88.20"
/tool torch interface=ether1

Connection kosong berarti paket tidak sampai: periksa jalur WAN, CGNAT, atau aturan NAT yang tidak kena. Kalau connection muncul tetapi browser gagal, masalahnya di server, misalnya layanan hanya mendengarkan di 127.0.0.1.

Hairpin NAT: Domain yang Sama dari Dalam Kantor

Karyawan yang mengetik nama domain publik dari dalam kantor akan gagal, karena server membalas langsung ke peminta dan alamat balasannya tidak cocok. Tambahkan satu aturan source NAT.

/ip firewall nat
add chain=srcnat action=masquerade protocol=tcp src-address=192.168.88.0/24 dst-address=192.168.88.20 dst-port=80 out-interface=bridge comment="hairpin NAT"

Kuncinya out-interface=bridge, interface LAN tempat server berada. Tanpa aturan ini, akses dari luar normal, akses dari dalam lewat domain gagal, dan gejalanya sering dilaporkan sebagai DNS rusak padahal bukan.

Batasi Sumber dan Kurangi Permukaan Serangan

Port terbuka akan dipindai dalam hitungan jam. Langkah yang masuk akal untuk router kantor:

1. Batasi sumber dengan address list. Buat /ip firewall address-list add list=admin-remote address=X.X.X.X, lalu tambahkan src-address-list=admin-remote pada aturan dst-nat.
2. Jangan membuka Winbox 8291, SSH 22, atau WebFig ke internet. Kelola router lewat VPN WireGuard.
3. Tempatkan server di VLAN sendiri supaya penyusup tidak otomatis satu segmen dengan komputer staf. Dasarnya ada di penjelasan VLAN untuk kantor.
4. Aktifkan log=yes pada aturan accept saat pengujian, lalu matikan lagi setelah selesai agar log tidak membanjir.
5. Perbarui RouterOS dan layanan di server, karena yang menentukan kerusakan adalah versi perangkat lunak di balik port terbuka.

Kalau IP Publik Anda Dinamis

IP dinamis tidak menghalangi port forwarding selama alamatnya publik. Nyalakan DDNS bawaan MikroTik.

/ip cloud set ddns-enabled=yes
/ip cloud print

Nama yang muncul berbentuk nomor seri perangkat ditambah .sn.mynetname.net, dengan TTL 60 detik. Nama ini tidak membuka port apa pun. Kalau status menampilkan peringatan router di belakang NAT, berarti ada perangkat lain di depan yang juga harus meneruskan port, atau Anda memang berada di CGNAT.

Masalah yang Sering Muncul

Untuk mengakses router sendiri, VPN lebih tepat karena tidak ada port yang terbuka permanen. Port forwarding cocok untuk layanan yang harus dijangkau publik, dan sebaiknya dibatasi sumbernya.