Apa Itu Vlan (Virtual Local Area Network)

PENGANTAR

Pemanfaatan teknologi jaringan komputer sebagai media komunikasi data hingga
saat ini semakin meningkat. Kebutuhan atas penggunaan bersama resources yang
ada dalam jaringan baik software maupun hardware telah mengakibatkan timbulnya
berbagai pengembangan teknologi jaringan itu sendiri. Seiring dengan semakin
tingginya tingkat kebutuhan dan semakin banyaknya pengguna jaringan yang
menginginkan suatu bentuk jaringan yang dapat memberikan hasil maksimal baik
dari segi efisiensi maupun peningkatan keamanan jaringan itu sendiri.
Berlandaskan pada keinginan-keinginan tersebut, maka upaya-upaya penyempurnaan
terus dilakukan oleh berbagai pihak. Dengan memanfaatkan berbagai tekhnik
khususnya teknik subnetting dan penggunaan hardware yang lebih baik
(antara lain switch) maka muncullah konsep Virtual Local Area Network (VLAN)
yang diharapkan dapat memberikan hasil yang lebih baik dibanding
Local area Network (LAN).

PENGERTIAN

VLAN merupakan suatu model jaringan yang tidak terbatas pada lokasi fisik
seperti LAN , hal ini mengakibatkan suatu network dapat dikonfigurasi secara
virtual tanpa harus menuruti lokasi fisik peralatan. Penggunaan VLAN akan
membuat pengaturan jaringan menjadi sangat fleksibel dimana dapat dibuat
segmen yang bergantung pada organisasi atau departemen, tanpa bergantung pada
lokasi workstation seperti pada gambar dibawah ini

Gambar Jaringan VLAN

BAGAIMANA VLAN BEKERJA

VLAN diklasifikasikan berdasarkan metode (tipe) yang digunakan untuk
mengklasifikasikannya, baik menggunakan port, MAC addresses dsb. Semua
informasi yang mengandung penandaan/pengalamatan suatu vlan (tagging)
di simpan dalam suatu database (tabel), jika penandaannya berdasarkan
port yang digunakan maka database harus mengindikasikan port-port yang
digunakan oleh VLAN. Untuk mengaturnya maka biasanya digunakan
switch/bridge yang manageable atau yang bisa di atur. Switch/bridge
inilah yang bertanggung jawab menyimpan semua informasi dan konfigurasi
suatu VLAN dan dipastikan semua switch/bridge memiliki informasi yang sama.
Switch akan menentukan kemana data-data akan diteruskan dan sebagainya.
atau dapat pula digunakan suatu software pengalamatan (bridging software)
yang berfungsi mencatat/menandai suatu VLAN beserta workstation yang
didalamnya.untuk menghubungkan antar VLAN dibutuhkan router.

TIPE TIPE VLAN

Keanggotaan dalam suatu VLAN dapat di klasifikasikan berdasarkan port
yang di gunakan , MAC address, tipe protokol.

1. Berdasarkan Port

Keanggotaan pada suatu VLAN dapat di dasarkan pada port yang di gunakan oleh
VLAN tersebut. Sebagai contoh, pada bridge/switch dengan 4 port, port 1, 2,
dan 4 merupakan VLAN 1 sedang port 3 dimiliki oleh VLAN 2, lihat tabel:

Tabel port dan VLAN

Port 1 2 3 4
VLAN 2 2 1 2

Kelemahannya adalah user tidak bisa untuk berpindah pindah, apabila harus
berpindah maka Network administrator harus mengkonfigurasikan ulang.

2. Berdasarkan MAC Address

Keanggotaan suatu VLAN didasarkan pada MAC address dari setiap workstation
/komputer yang dimiliki oleh user. Switch mendeteksi/mencatat semua MAC
address yang dimiliki oleh setiap Virtual LAN. MAC address merupakan suatu
bagian yang dimiliki oleh NIC (Network Interface Card) di setiap workstation.
Kelebihannya apabila user berpindah pindah maka dia akan tetap terkonfigurasi
sebagai anggota dari VLAN tersebut.Sedangkan kekurangannya bahwa setiap mesin
harus di konfigurasikan secara manual , dan untuk jaringan yang memiliki
ratusan workstation maka tipe ini kurang efissien untuk dilakukan.

Tabel MAC address dan VLAN

MAC address 132516617738 272389579355 536666337777 24444125556
VLAN 1 2 2 1

3. Berdasarkan tipe protokol yang digunakan
Keanggotaan VLAN juga bisa berdasarkan protocol yang digunakan, lihat tabel

Tabel Protokol dan VLAN

Protokol IP IPX
VLAN 1 2

4. Berdasarkan Alamat Subnet IP
Subnet IP address pada suatu jaringan juga dapat digunakan untuk mengklasifikasi
suatu VLAN

Tabel IP Subnet dan VLAN

IP subnet 22.3.24 46.20.45
VLAN 1 2

Konfigurasi ini tidak berhubungan dengan routing pada jaringan dan juga tidak
mempermasalahkan funggsi router.IP address digunakan untuk memetakan keanggotaan
VLAN.Keuntungannya seorang user tidak perlu mengkonfigurasikan ulang alamatnya
di jaringan apabila berpindah tempat, hanya saja karena bekerja di layer yang lebih
tinggi maka akan sedikit lebih lambat untuk meneruskan paket di banding
menggunakan MAC addresses.

5. Berdasarkan aplikasi atau kombinasi lain
Sangat dimungkinkan untuk menentukan suatu VLAN berdasarkan aplikasi yang
dijalankan, atau kombinasi dari semua tipe di atas untuk diterapkan pada suatu
jaringan. Misalkan: aplikasi FTP (file transfer protocol) hanya bias digunakan
oleh VLAN 1 dan Telnet hanya bisa digunakan pada VLAN 2.

PERBEDAAN MENDASAR ANTARA LAN DAN VLAN

Perbedaan yang sangat jelas dari model jaringan Local Area Network dengan
Virtual Local Area Network adalah bahwa bentuk jaringan dengan model Local
Area Network sangat bergantung pada letak/fisik dari workstation, serta
penggunaan hub dan repeater sebagai perangkat jaringan yang memiliki beberapa
kelemahan. Sedangkan yang menjadi salah satu kelebihan dari model jaringan
dengan VLAN adalah bahwa tiap-tiap workstation/user yang tergabung dalam
satu VLAN/bagian (organisasi, kelompok dsb) dapat tetap saling berhubungan
walaupun terpisah secara fisik. Atau lebih jelas lagi akan dapat kita
lihat perbedaan LAN dan VLAN pada gambar dibawah ini.

Gambar konfigurasi LAN

[hub]-[1]-[1]-[1] <– lan 1/di lantai 1
|
[x]–[hub]-[2]-[2]-[2] <– lan 2/di lantai 2
|
[hub]-[3]-[3]-[3] <– lan 3/di lantai 3

Gambar konfigurasi VLAN

Terlihat jelas VLAN telah merubah batasan fisik yang selama ini tidak dapat
diatasi oleh LAN. Keuntungan inilah yang diharapkan dapat memberikan
kemudahan-kemudahan baik secara teknis dan operasional.

PERBANDINGAN VLAN DAN LAN

A.Perbandingan Tingkat Keamanan

Penggunaan LAN telah memungkinkan semua komputer yang terhubung dalam jaringan
dapat bertukar data atau dengan kata lain berhubungan. Kerjasama ini semakin
berkembang dari hanya pertukaran data hingga penggunaan peralatan secara bersama
(resource sharing atau disebut juga hardware sharing).10 LAN memungkinkan data
tersebar secara broadcast keseluruh jaringan, hal ini akan mengakibatkan mudahnya
pengguna yang tidak dikenal (unauthorized user) untuk dapat mengakses semua
bagian dari broadcast. Semakin besar broadcast, maka semakin besar akses yang
didapat, kecuali hub yang dipakai diberi fungsi kontrol keamanan.

VLAN yang merupakan hasil konfigurasi switch menyebabkan setiap port switch
diterapkan menjadi milik suatu VLAN. Oleh karena berada dalam satu segmen,
port-port yang bernaung dibawah suatu VLAN dapat saling berkomunikasi langsung.
Sedangkan port-port yang berada di luar VLAN tersebut atau berada dalam
naungan VLAN lain, tidak dapat saling berkomunikasi langsung karena VLAN tidak
meneruskan broadcast.

VLAN yang memiliki kemampuan untuk memberikan keuntungan tambahan dalam
hal keamanan jaringan tidak menyediakan pembagian/penggunaan media/data
dalam suatu jaringan secara keseluruhan. Switch pada jaringan menciptakan
batas-batas yang hanya dapat digunakan oleh komputer yang termasuk dalam
VLAN tersebut. Hal ini mengakibatkan administrator dapat dengan mudah
mensegmentasi pengguna, terutama dalam hal penggunaan media/data yang
bersifat rahasia (sensitive information) kepada seluruh pengguna jaringan
yang tergabung secara fisik.

Keamanan yang diberikan oleh VLAN meskipun lebih baik dari LAN,belum menjamin
keamanan jaringan secara keseluruhan dan juga belum dapat dianggap cukup
untuk menanggulangi seluruh masalah keamanan .VLAN masih sangat memerlukan
berbagai tambahan untuk meningkatkan keamanan jaringan itu sendiri seperti
firewall, pembatasan pengguna secara akses perindividu, intrusion detection,
pengendalian jumlah dan besarnya broadcast domain, enkripsi jaringan, dsb.

Dukungan Tingkat keamanan yang lebih baik dari LAN inilah yang dapat
dijadikan suatu nilai tambah dari penggunaan VLAN sebagai sistem jaringan.
Salah satu kelebihan yang diberikan oleh penggunaan VLAN adalah kontrol
administrasi secara terpusat, artinya aplikasi dari manajemen VLAN dapat
dikonfigurasikan, diatur dan diawasi secara terpusat, pengendalian broadcast
jaringan, rencana perpindahan, penambahan, perubahan dan pengaturan akses
khusus ke dalam jaringan serta mendapatkan media/data yang memiliki fungsi
penting dalam perencanaan dan administrasi di dalam grup tersebut semuanya
dapat dilakukan secara terpusat. Dengan adanya pengontrolan manajemen
secara terpusat maka administrator jaringan juga dapat mengelompokkan
grup-grup VLAN secara spesifik berdasarkan pengguna dan port dari switch
yang digunakan, mengatur tingkat keamanan, mengambil dan menyebar data
melewati jalur yang ada, mengkonfigurasi komunikasi yang melewati switch,
dan memonitor lalu lintas data serta penggunaan bandwidth dari VLAN saat
melalui tempat-tempat yang rawan di dalam jaringan.

B.Perbandingan Tingkat Efisiensi

Untuk dapat mengetahui perbandingan tingkat efisiensinya maka perlu di
ketahui kelebihan yang diberikan oleh VLAN itu sendiri diantaranya:

•Meningkatkan Performa Jaringan
LAN yang menggunakan hub dan repeater untuk menghubungkan peralatan
komputer satu dengan lain yang bekerja dilapisan physical memiliki
kelemahan, peralatan ini hanya meneruskan sinyal tanpa memiliki
pengetahuan mengenai alamat-alamat yang dituju. Peralatan ini juga
hanya memiliki satu domain collision sehingga bila salah satu port
sibuk maka port-port yang lain harus menunggu. Walaupun peralatan
dihubungkan ke port-port yang berlainan dari hub.

Protokol ethernet atau IEEE 802.3 (biasa digunakan pada LAN) menggunakan
mekanisme yang disebut Carrier Sense Multiple Accsess Collision Detection
(CSMA/CD) yaitu suatu cara dimana peralatan memeriksa jaringan terlebih
dahulu apakah ada pengiriman data oleh pihak lain. Jika tidak ada
pengiriman data oleh pihak lain yang dideteksi, baru pengiriman data dilakukan.
Bila terdapat dua data yang dikirimkan dalam waktu bersamaan,
maka terjadilah tabrakan (collision) data pada jaringan. Oleh sebab itu
jaringan ethernet dipakai hanya untuk transmisi half duplex, yaitu pada
suatu saat hanya dapat mengirim atau menerima saja.

Berbeda dari hub yang digunakan pada jaringan ethernet (LAN), switch yang
bekerja pada lapisan datalink memiliki keunggulan dimana setiap port
didalam switch memiliki domain collision sendiri-sendiri. Oleh sebab
itu sebab itu switch sering disebut juga multiport bridge. Switch
mempunyai tabel penterjemah pusat yang memiliki daftar penterjemah untuk
semua port. Switch menciptakan jalur yang aman dari port pengirim dan
port penerima sehingga jika dua host sedang berkomunikasi lewat jalur
tersebut, mereka tidak mengganggu segmen lainnya. Jadi jika satu port
sibuk, port-port lainnya tetap dapat berfungsi.

Switch memungkinkan transmisi full-duplex untuk hubungan ke port dimana
pengiriman dan penerimaan dapat dilakukan bersamaan dengan penggunakan
jalur tersebut diatas. Persyaratan untuk dapat mengadakan hubungan
full-duplex adalah hanya satu komputer atau server saja yang dapat dihubungkan
ke satu port dari switch. Komputer tersebut harus memiliki network card
yang mampu mengadakan hubungan full-duflex, serta collision detection
dan loopback harus disable.

Switch pula yang memungkinkan terjadinya segmentasi pada jaringan atau
dengan kata lain switch-lah yang membentuk VLAN.Dengan adanya segmentasi
yang membatasi jalur broadcast akan mengakibatkan suatu VLAN tidak dapat
menerima dan mengirimkan jalur broadcast ke VLAN lainnya. Hal ini secara
nyata akan mengurangi penggunaan jalur broadcast secara keseluruhan,
mengurangi penggunaan bandwidth bagi pengguna, mengurangi kemungkinan
terjadinya broadcast storms (badai siaran) yang dapat menyebabkan
kemacetan total di jaringan komputer.

Administrator jaringan dapat dengan mudah mengontrol ukuran dari jalur
broadcast dengan cara mengurangi besarnya broadcast secara keseluruhan,
membatasi jumlah port switch yang digunakan dalam satu VLAN serta jumlah
pengguna yang tergabung dalam suatu VLAN.

•Terlepas dari Topologi Secara Fisik

Jika jumlah server dan workstation berjumlah banyak dan berada di lantai
dan gedung yang berlainan, serta dengan para personel yang juga tersebar
di berbagai tempat, maka akan lebih sulit bagi administrator jaringan
yang menggunakan sistem LAN untuk mengaturnya, dikarenakan akan banyak
sekali diperlukan peralatan untuk menghubungkannya. Belum lagi apabila
terjadi perubahan stuktur organisasi yang artinya akan terjadi banyak
perubahan letak personil akibat hal tersebut.

Permasalahan juga timbul dengan jaringan yang penggunanya tersebar di
berbagai tempat artinya tidak terletak dalam satu lokasi tertentu secara
fisik. LAN yang dapat didefinisikan sebagai network atau jaringan sejumlah
sistem komputer yang lokasinya terbatas secara fisik, misalnya dalam satu
gedung, satu komplek, dan bahkan ada yang menentukan LAN berdasarkan jaraknya
sangat sulit untuk dapat mengatasi masalah ini.

Sedangkan VLAN yang memberikan kebebasan terhadap batasan lokasi secara
fisik dengan mengijinkan workgroup yang terpisah lokasinya atau berlainan
gedung, atau tersebar untuk dapat terhubung secara logik ke jaringan
meskipun hanya satu pengguna. Jika infrastuktur secara fisik telah
terinstalasi, maka hal ini tidak menjadi masalah untuk menambah port
bagi VLAN yang baru jika organisasi atau departemen diperluas dan tiap
bagian dipindah. Hal ini memberikan kemudahan dalam hal pemindahan personel,
dan tidak terlalu sulit untuk memindahkan pralatan yang ada
serta konfigurasinya dari satu tempat ke tempat lain.Untuk para pengguna
yang terletak berlainan lokasi maka administrator jaringan hanya perlu
menkofigurasikannya saja dalam satu port yang tergabung dalam satu VLAN
yang dialokasikan untuk bagiannya sehingga pengguna tersebut dapat bekerja
dalam bidangnya tanpa memikirkan apakah ia harus dalam ruangan yang sama
dengan rekan-rekannya.

Hal ini juga mengurangi biaya yang dikeluarkan untuk membangun suatu
jaringan baru apabila terjadi restrukturisasi pada suatu perusahaan,
karena pada LAN semakin banyak terjadi perpindahan makin banyak pula
kebutuhan akan pengkabelan ulang, hampir keseluruhan perpindahan dan
perubahan membutuhkan konfigurasi ulang hub dan router.

VLAN memberikan mekanisme secara efektif untuk mengontrol perubahan ini
serta mengurangi banyak biaya untuk kebutuhan akan mengkonfigurasi ulang
hub dan router. Pengguna VLAN dapat tetap berbagi dalam satu network
address yang sama apabila ia tetap terhubung dalam satu swith port yang
sama meskipun tidak dalam satu lokasi. Permasalahan dalam hal perubahan
lokasi dapat diselesaikan dengan membuat komputer pengguna tergabung
kedalam port pada VLAN tersebut dan mengkonfigurasikan switch pada VLAN
tersebut.

•Mengembangkan Manajemen Jaringan

VLAN memberikan kemudahan, fleksibilitas, serta sedikitnya biaya yang
dikeluarkan untuk membangunnya. VLAN membuat jaringan yang besar lebih
mudah untuk diatur manajemennya karena VLAN mampu untuk melakukan
konfigurasi secara terpusat terhadap peralatan yang ada pada lokasi
yang terpisah. Dengan kemampuan VLAN untuk melakukan konfigurasi
secara terpusat, maka sangat menguntungkan bagi pengembangan manajemen
jaringan.

Dengan keunggulan yang diberikan oleh VLAN maka ada baiknya bagi
setiap pengguna LAN untuk mulai beralih ke VLAN. VLAN yang merupakan
pengembangan dari teknologi LAN ini tidak terlalu banyak melakukan
perubahan, tetapi telah dapat memberikan berbagai tambahan pelayanan
pada teknologi jaringan.

Source : dedenthea.wordpress.com

Read More...

Kenali “Lubang Tikus” Jaringan Wireless

Data yang lalu-lalang di media terbuka tentu sangatlah rentan keamanannya. Itulah kenyataan yang dihadapi oleh teknologi Wireless LAN, Anda harus mengetahui dan menyiasatinya dengan cermat.

Keamanan jaringan merupakan salah satu topik yang tidak ada habisnya dibahas dan dibicarakan. Meski demikian, sering dan banyaknya masalah keamanan dibahas, masih banyak saja celah keamanan yang menarik untuk dibicarakan. Hal ini dikarenakan celah-celah keamanan terus dan terus ditemukan. Ada saja celah-celah baru yang dapat digunakan oleh para hacker untuk sekadar melihat-lihat konfigurasi jaringan Anda, mengubahnya sedikit, sampai mengacaukan dan melumpuhkan jaringan Anda. Intinya, sebuah jaringan komunikasi data, terlebih lagi yang terhubung ke Internet, pasti tidak akan luput dari celah-celah keamanan yang menganga.

Kalau jaringan yang menggunakan media kabel saja sudah terdapat begitu banyak celah yang ada di dalamnya, bagaimana dengan jaringan yang menggunakan media alam terbuka sebagai perantara datanya seperti wireless misalnya. Jaringan wireless memang terkenal sangat lemah dalam hal keamanannya. Tidak hanya karena proses komunikasinya datanya lalu-lalang di udara bebas, namun banyak juga proses di dalamnya yang harus diperhatikan karena cukup rentan dan terbentang banyak celah.

Mengapa Keamanan Jaringan Wireless Begitu Rentan?
Secara garis besar, celah pada jaringan wireless terbentang di atas empat layer di mana keempat layer tersebut sebenarnya merupakan proses dari terjadinya komunikasi data pada media wireless. Jadi sebenarnya, pada setiap layer proses komunikasi melalui media wireless terdapat celah-celah yang menunggu untuk dimasuki. Maka itu, keamanan jaringan wireless menjadi begitu lemah dan perlu dicermati dengan ekstra teliti. Layer-layer beserta kelemahannya tersebut adalah sebagai berikut:

Physical Layer
Seperti Anda ketahui, Physical layer (layer fisik) dari komunikasi data akan banyak berbicara seputar media pembawa data itu sendiri. Di dalam sistem komunikasi data wireless, yang menjadi media perantaranya tidak lain adalah udara bebas. Di dalam udara bebas tersebut, data Anda yang berwujud sinyal-sinyal radio dalam frekuensi tertentu lalu-lalang dengan bebasnya. Anda tentu sudah bisa membayangkan bagaimana rentannya keamanan data Anda tersebut karena lalu-lalang di alam bebas. Siapa saja mungkin bisa menangkapnya, menyadapnya, bahkan langsung membacanya tanpa sepengetahuan Anda?

Jika hanya untuk penggunaan pribadi yang sekadar iseng-iseng saja, disadap atau dibaca oleh orang lain tentu tidak akan terlalu berbahaya meskipun agak menjengkelkan juga. Namun, bagaimana jika kelemahan-kelemahan ini terdapat pada jaringan wireless perusahaan Anda yang di dalamnya terdapat berbagai transaksi bisnis, proyek-proyek perusahaan, info-info rahasia, rahasia keuangan, dan banyak lagi informasi sensitif di dalamnya. Tentu penyadapan tidak dapat ditoleransi lagi kalau Anda tidak mau perusahaan Anda menjadi bulan-bulanan orang.

Network Layer
Network layer (layer jaringan) biasanya akan banyak berbicara seputar perangkat-perangkat yang memiliki kemampuan untuk menciptakan sebuah jaringan komunikasi yang disertai juga dengan sistem pengalamatannya. Pada jaringan komunikasi wireless, perangkat yang biasa digunakan sering disebut dengan istilah Access Point atau disingkat AP. Sistem pengalamatan IP tentu akan banyak Anda temukan pada perangkat ini. Karena melayani komunikasi menggunakan media bebas yang terbuka, maka AP-AP tersebut juga dapat dikatakan sebagai perangkat yang terbuka bebas.

Perangkat jaringan yang tidak diverifikasi dan dikontrol dengan baik akan dapat menjadi sebuah pintu masuk bagi para pengacau. Mulai dari hanya sekadar dilihat-lihat isinya, diubah sedikit-sedikit, sampai dibajak penuh pun sangat mungkin dialami oleh sebuah AP. Untuk itu, Anda perlu memperhatikan juga keamanan AP-AP pada jaringan wireless Anda. Selain itu, komunikasi antar-AP juga harus Anda cermati dan perhatikan keamanannya.

User Layer
Selain keamanan perangkat jaringan yang perlu diperhatikan, Anda juga perlu memperhatikan dan mencermati siapa-siapa saja yang mengakses jaringan wireless Anda. Jaringan wireless memang menggunakan media publik untuk lalu-lintas datanya, namun jika jaringan Anda bukan merupakan jaringan publik yang dapat diakses oleh siapa saja, tentu harus ada batasan-batasan pengaksesnya. Tidak sulit bagi para pengguna yang tidak berhak untuk dapat mengakses sebuah jaringan wireless. Jika sembarangan pengguna dapat menggunakan jaringan Anda, tentu hal ini akan sangat merugikan para pengguna lain yang memang berhak.

Sebuah jaringan wireless yang baik harus memiliki kepastian bahwa hanya para pengguna yang dikenal, yang dipercaya, dan yang memang berhak yang dapat mengakses jaringan tersebut. Perangkat-perangkat jaringan yang biasa bergabung dalam jaringan wireless tersebut juga harus dapat di-track dan dimonitor dengan benar, karena hal ini akan sangat berguna untuk kepentingan monitoring, accounting, untuk mengetahui tren-tren yang terjadi dalam jaringan Anda, dan banyak lagi.

Application Layer
Jaringan yang menggunakan media kabel saja dapat membuka celah-celah yang ada pada aplikasi dengan cukup lebar, apalagi jaringan wireless yang memang rentan di seluruh layer-nya. Aplikasi-aplikasi bisnis yang penggunaannya lalu-lalang melalui media wireless tentu sangat rentan keamanannya, baik sekadar disusupi maupun di DoS (Denial of Service). Untuk itu, jaringan wireless yang baik harus juga dapat melindungi aplikasi-aplikasi yang berjalan di dalamnya agar tidak dengan mudah dikacaukan.

Bagaimana Sebenarnya Penyusup Dapat Bermain-main dalam Jaringan Wireless?
Melihat kelemahan-kelemahan pada setiap layer di atas, tentu Anda dapat membayangkan begitu banyaknya jalan untuk dapat menyusup ke dalam jaringan wireless Anda. Tidak hanya dari satu layer saja, melainkan keempat layer tersebut di atas dapat menjadi sebuah jalan untuk mengacaukan jaringan Anda. Mengatur, memantau, dan mengamankan jaringan wireless menjadi berlipat-lipat kesulitannya dibandingkan dengan media wire.

Untuk itu, seharusnyalah Anda mengenali celah-celah apa saja yang ada pada jaringan wireless pada umumnya. Lebih baik lagi jika Anda mengenali kelemahannya mulai dari layer yang paling bawah sampai dengan layer aplikasinya. Berikut ini adalah beberapa celah yang sangat umum terdapat di dalam sebuah jaringan wireless mulai dari layer yang paling bawah:

Physical Layer

* Bleeding Coverage Area

Seperti Anda ketahui, sinyal radio yang dipancarkan oleh AP berpropagasi dalam berbentuk tiga dimensi, memiliki panjang jangkauan, lebar jangkauan, dan tinggi jangkauan. Sinyal radio cukup sulit untuk diketahui dan diprediksi area-area mana saja yang dapat dijangkaunya. Melihat hal ini, sangatlah mungkin bagi sebuah jaringan wireless untuk dapat melebarkan jangkauannya di luar dari batasan-batasan fisik yang Anda butuhkan.

Misalnya, Anda memasang sebuah AP di ruangan kantor Anda untuk meng-cover seluruh ruangan kantor, namun kenyataannya kantor tetangga yang berada tepat di sebelah Anda juga masih dapat menggunakan jaringan wireless Anda ini. Inilah yang disebut dengan bleeding coverage area.

Dengan adanya coverage area yang tidak diinginkan ini, resource-resource sensitif perusahaan Anda akan sangat berpotensial untuk dieksploitasi oleh orang-orang luar dengan perangkat wireless-nya. Bahkan ada juga beberapa orang yang dengan sengaja mencari-cari bleeding coverage area ini untuk digunakan dan dieksploitasi. Apa yang dilakukan oleh orang-orang ini sering disebut dengan istilah war driving.

* AP External Pengacau

Para pengguna yang memiliki perangkat wireless di PC, notebook, PDA, ponsel, dan banyak lagi, memiliki kemungkinan untuk berasosiasi dengan AP manapun selama AP tersebut memang meng-cover lokasi di mana perangkat tersebut berada dan juga memberikan izin. Jika Anda berada di kantor, tentunya harus terkoneksi ke dalam jaringan wireless yang dipancarkan oleh AP yang telah ditentukan oleh kantor Anda tersebut.

Namun, apa jadinya jika ada sebuah AP milik orang lain yang area coverage-nya juga menjangkau perangkat Anda. Kemudian perangkat Anda tersebut tanpa atau dengan Anda sadari berasosiasi dengan external AP tersebut. Apa yang akan terjadi? Tentunya Anda akan terkoneksi ke dalam jaringan external tersebut yang Anda tidak ketahui ada apa di balik jaringan tersebut.

Dari segi keamanan, hal ini sangat berbahaya karena mungkin tanpa Anda sadari Anda memberikan data sensitif, misalnya password-password otentikasi yang sebenarnya harus Anda ketikkan di dalam jaringan wireless yang sesungguhnya. Atau mungkin saja ketika sudah terkoneksi ke dalam jaringan wireless external tersebut, perangkat Anda akan segera dieksploitasi dan data Anda dicuri. Atau mungkin juga jaringan tersebut memberikan koneksi Internet untuk Anda gunakan, namun dengan dilengkapi packet sniffer dan penyadap-penyadap canggih lainnya sehingga semua transaksi Internet Anda dapat diketahui oleh mereka.

Jika sudah berada dalam kondisi ini, Anda sudah dapat dikatakan sebagai korban pencurian yang tanpa disadari Anda masuk sendiri ke dalam sarang pencuri. Atau mungkin juga jaringan tersebut memberikan koneksi Internet untuk Anda gunakan, namun dengan dilengkapi packet sniffer dan penyadap-penyadap canggih lainnya sehingga semua transaksi internet Anda dapat diketahui oleh mereka. Selain itu, adanya AP external yang area coverage-nya masuk ke dalam area Anda tentu juga dapat menyebabkan interferensi terhadap sinyal-sinyal komunikasi jaringan Anda. Interferensi ini tentu akan sangat mempengaruhi performa dan kelangsungan jaringan wirelss Anda ini.

Network Layer

* Rogue AP

“Rogue AP”, maksud dari kata ini adalah ditujukan untuk AP-AP yang tidak diketahui atau tidak terdaftar keberadaannya oleh para administrator sebuah jaringan wireless. Atau mungkin bisa juga disebut dengan istilah AP liar. AP-AP liar ini sangat berbahaya sekali bagi keamanan jaringan wireless Anda karena AP-AP ini memang tidak pernah diinginkan keberadaannya.

Selain mengganggu keamanan, tentu juga bisa mengganggu sinyal-sinyal pembawa data pada frekuensi tertentu. Biasanya keberadaan AP liar cukup sulit untuk dicegah karena ketidakpastian area yang dijangkau oleh sebuah jaringan wireless, apalagi untuk yang berskala besar. Secara umum, ada dua sumber yang dapat membuat rogue AP muncul di dalam jaringan wireless Anda:

1. Karyawan Bandel
Untuk alasan memudahkan pekerjaannya atau untuk penggunaan pribadi, seringkali terjadi di mana seorang karyawan diam-diam memasang sebuah AP untuk dapat terkoneksi ke dalam jaringan internal. Sehingga ia bisa mendapatkan koneksi ke dalam jaringan dari mana saja di sekitarnya. Kebanyakan AP yang digunakan oleh perorangan ini merupakan AP kelas konsumer di mana fitur-fitur sekuritinya tidak lengkap atau bahkan tidak ada. Bisa juga jika memang ada, tidak di-setting dengan benar atau tidak sesuai dengan standar karena ketidaktahuannya. Padahal seluruh AP sudah diamankan oleh para administrator dengan standar-standar yang berlaku di perusahaan tersebut.

Dengan adanya AP “bandel” ini, maka terbukalah sebuah gerbang di mana orang-orang dari luar dapat masuk ke dalam jaringan Anda dengan mudahnya. Mereka memiliki hak akses dan kemampuan yang sama dalam memanfaatkan sumber-sumber di dalam jaringan. Hal ini tentunya sangat gawat, bukan?

2. Hacker
Selain karyawan, para hacker yang dengan sengaja meninggalkan perangkat AP nya di dalam jaringan kantor Anda juga bisa terjadi. Jika di kantor Anda memang disediakan port-port ethernet yang dapat digunakan untuk umum, maka ini juga perlu diwaspadai karena mungkin saja para hacker diam-diam menancapkan AP-nya dan kemudian menyembunyikannya, sehingga ia masih dapat mengakses jaringan wireless Anda meskipun secara fisik ia sudah meninggalkan ruangan Anda.

* Fake AP

Fake AP atau arti secara harafiahnya AP palsu, merupakan sebuah teknik pencurian hak akses oleh sebuah AP untuk dapat tergabung ke dalam sebuah jaringan wireless dan ikut melayani para penggunanya. Tidak hanya melayani penggunanya, AP-AP lain juga mungkin akan berasosiasi dengan AP ini. Hal ini disebabkan karena mungkin pemilik AP palsu tersebut berhasil mendapatkan SSID dari jaringan wireless tersebut dan menggunakan AP-nya untuk mem-broadcast SSID itu. Sehingga pengguna akan melihat SSID yang sama baik dari AP yang sebenarnya maupun dari AP yang palsu.

Jika pengguna tersebut tergabung dalam jaringan AP yang palsu, maka datanya akan dengan mudah dapat dicuri.

Lebih parahnya lagi, jika AP ini juga memiliki kemampuan memalsukan alamat MAC dari sebuah AP sebenarnya yang ada di dalam jaringan tersebut. Dengan MAC yang disamakan dengan MAC dari AP sebenarnya, AP palsu akan dikenal sebagai AP yang memang telah diotorisasi di dalam jaringan tersebut. Akibatnya AP palsu tersebut dapat juga berasosiasi dengan AP-AP lain dan diperlakukan seperti halnya AP yang sebenarnya.

Ini akan sangat berbahaya karena informasi login, otentikasi, dan banyak lagi dapat diambil oleh pengguna AP palsu ini. Bahkan jika bisa berasosiasi dengan AP lainnya, lebih banyak lagi yang dapat dilakukan.

* Jaringan Wireless Ad-Hoc

Jaringan wireless yang menggunakan standar 802.11, memiliki fitur yang memungkinkan para klien di dalamnya dapat saling berkomunikasi satu sama lain dengan metode peer-to-peer langsung melalui perangkat wireless mereka. Fitur yang satu ini sering disebut dengan istilah Ad-Hoc.

Dalam topologi Ad-Hoc ini, masing-masing laptop, PDA, atau perangkat berkemampuan wireless lainnya dapat bertindak sebagai sebuah node yang independen dan membentuk sebuah jaringan sendiri, terlepas dari apa yang telah disediakan oleh AP di sekitarnya.

Dapat Anda bayangkan, jaringan wireless Ad-Hoc ini tentu akan dapat menimbulkan kekacauan bagi jaringan wireless yang sebenarnya. Dengan membentuk sebuah jaringan sendiri di luar dari jaringan wireless dari AP yang ada, tentu ada beberapa masalah yang akan ditimbulkannya. Pertama, jaringan Ad-Hoc ini mungkin akan menggunakan bandwidth frekuensi yang terbatas yang juga digunakan oleh jaringan wireless sesungguhnya. Jadi, antara jaringan Ad-Hoc dengan jaringan wireless sesungguhnya harus saling berbagi bandwidth frekuensi. Tentu ini cukup mengganggu kelangsungan jaringan wireless yang sesungguhnya.

Masalah lain yang dapat ditimbulkan dengan adanya jaringan Ad-Hoc ini adalah keamanan jaringan utama yang menjadi terbuka. Jaringan wireless Ad-Hoc ini dapat dijadikan gateway bagi para penyusup untuk masuk ke dalam jaringan utamanya. Hal ini disebabkan karena jaringan ini sangat sulit untuk diatur secara terpusat. Memantau propagasi sinyal radionya juga hampir mustahil. Jaringan Ad-Hoc menjadi mudah sekali untuk dimasuki dan dikacaukan karena kesulitan memonitornya ini. Terlebih lagi para hacker dapat dengan mudah masuk ke dalam jaringan utamanya dengan cara melakukan hacking terhadap perangkat yang tergabung dalam jaringan Ad-Hoc tersebut dan kemudian melakukan bridging ke jaringan utamanya. Jalan menuju jaringan utama menjadi terbuka lebar.

User Layer

* Login yang bocor

Ketika sebuah jaringan wireless akan digunakan sebagai media untuk membawa data bisnis yang kritis, adalah sangat penting untuk membatasi hanya pengguna-pengguna yang valid saja yang dapat melakukan login ke dalamnya. Jika sembarang pengguna dapat masuk ke dalam jaringan dan mengakses sumber-sumber di dalamnya, maka data bisnis Anda tidak akan lagi aman.

Yang penting untuk diperhatikan dalam menjaga keamanan pada layer ini adalah menjaga agar para pengguna yang tidak berhak tidak masuk ke dalam jaringan wireless ini agar tidak mengganggu keamanan data dan juga performa jaringan wireless Anda. Untuk itu, proses otentikasi mutlak dilakukan dan dijaga keamanannya dengan baik agar account-account dan key-key untuk melakukan login tidak bocor ke tangan yang tidak berhak.

* Man in the middle attack

Selain mencegah agar hanya yang berhak saja yang dapat masuk, keamanan pada layer ini juga bisa terancam dengan adanya hacker yang melakukan Man in the middle attack (MiM attack). MiM attack adalah serangan dari hacker yang secara diam-diam menempatkan diri di tengah-tengah proses komunikasi antara pengguna dengan jaringan wireless yang sesungguhnya. MiM attack ini juga mengandalkan Fake AP sebagai salah satu perantaranya.

Jadi, pertama-tama pengguna akan masuk ke dalam jebakan AP palsu yang dapat tergabung dengan jaringan utama karena memiliki SSID dan MAC address yang diotorisasi. Kemudian setelah penggunanya berhasil terkoneksi dengan AP palsu tersebut, maka proses otentikasi akan segera dilakukan. Karena sistem otentikasi bersifat rahasia dan hanya dimiliki oleh jaringan yang sesungguhnya, maka AP palsu tersebut diprogram untuk membuat semacam tunnel untuk menyambungkan langsung antara pengguna dengan jaringan wireless yang sesungguhnya. Dengan demikian, otentikasi akan berjalan dengan seperti biasanya, namun dengan bantuan perantara yang tak kasat mata.

Perantara ini tentunya tidak akan menyia-nyiakan kesempatan ini untuk mencuri key-key dan pernak-pernik otentikasi yang didapatnya. Pernak-pernik otentikasi seperti username dan password ini dapat dengan mudah dilihatnya karena memang prosesnya benar-benar melalui perantaraan jaringan wireless sang hacker. Setelah mendapatkannya, maka sang hacker kini dapat dengan leluasa tergabung dalam jaringan tersebut di mana saja karena ia telah mendapatkan hak akses yang sebenarnya miliki orang lain. Selain pernak-pernik otentikasi, sang hacker tersebut juga dapat menyadap setiap komunikasi yang dilakukan oleh si pengguna.

Application Layer

* Denial of Service (DoS)

DoS terbilang cukup mudah untuk dilakukan terhadap sebuah jaringan wireless. Baik secara sengaja maupun tidak sengaja, tanpa disadari atau tidak, DoS sering sekali menimpa jaringan wireless. Mulai dari yang disengaja seperti seorang hacker melakukan pengiriman paket data besar-besaran ke sebuah titik melalui jaringan wireless Anda, sampai dengan kejadian-kejadian yang tidak disengaja dan terkadan tidak terpikir sama sekali.

Misalnya, ada seorang karyawan yang membawa telepon wireless-nya yang juga menggunakan frekuensi 2,4 GHz, maka telepon ini tentu akan mengacaukan sinyal-sinyal jaringan wireless Anda yang juga bekerja di frekuensi 2,4 GHz. Sehingga jaringan tersebut mogok bekerja karena interferensi ini. Akhirnya komunikasi dengan server dan perangkat-perangkat dalam jaringan wireless menjadi terganggu juga.

Bagaimana Pencegahannya Jika Memang Tidak Bisa Dihilangkan Seluruhnya?
Dengan begitu luasnya jalan menuju ke jaringan wireless pribadi Anda ter bentang, hampir tidak mungkin untuk menutupi semuanya sampai benar-benar aman seratus persen. Tetapi, tentu Anda tidak ingin hanya diam saja melihat para pengacau mengobrak-abrik jaringan Anda bukan. Untuk itu, beberapa metode pengamanan berikut ini adalah yang paling umum digunakan untuk sedikit memperkuat pertahanan jaringan wireless Anda:

Physical Layer

* Bleeding Coverage Area

Langkah pertama untuk membuat pertahanan keamanan jaringan wireless Anda adalah dengan mengatur coverage area dari AP-AP yang Anda gunakan. Anda tidak dapat mengatur panjang, lebar dan jauh jangkauannya dengan sangat presisi, namun dengan lebih mempersempit coverage area-nya menjadi ke suatu arah tertentu mungkin akan lebih aman.

Membatasi coverage area hanya menuju ke arah tertentu, di mana para penggunanya banyak beraktivitas dapat dilakukan dengan menggunakan AP yang memiliki karakteristik pancaran sektoral, atau dengan kata lain hanya memancarkan ke satu arah tertentu. Kebanyakan AP yang umum digunakan memiliki karakteristik pancaran Omni, di mana sinyal-sinyal komunikasi dipancarkan 360 derajat.

* AP External Pengacau

AP-AP pengacau yang menyerang jaringan wireless Anda tentu merupakan ancaman serius. Sinyal menjadi terganggu dan kemungkinan para pengguna l pengacau menjadi besar kemungkinannya. Untuk mencegah terjadinya gangguan sinyal, satu cara yang umum adalah dengan menggunakan sistem pengaturan kanal-kanal frekuensi secara dinamik pada AP. Dengan sistem ini terjadinya interferensi dapat lebih di tekan meski tidak dapat dihindari sama sekali.

Untuk mencegah kesalahan para pengguna dalam melakukan asosiasi adalah dengan membuat SSID yang benar-benar spesifik. Misalnya, sebuah kata yang mudah diingat oleh semua orang di kantor Anda cukup tepat untuk dijadikan SSID. Selain itu, sistem otentikasi juga harus diberikan pada saat pengguna ingin bergabung dengan SSID tersebut. Jika ingin lebih aman lagi, kelompokkan pengguna-penggunanya dalam VLAN-VLAN yang lebih spesifik. Semua ini mungkin akan dapat meminimalisasi kemungkinan AP external pengacau dapat mengacak-acak jaringan wireless Anda.

Network Layer

* Rogue AP dan Fake AP

Rogue AP dan Fake AP yang dapat memperpanjang jaringan wireless Anda ke mana-mana tanpa izin ini biasanya dapat dicegah dengan menggunakan bantuan sistem sertifikasi X.509 yang kebanyakan dilengkapi pada AP-AP kelas atas.

Dengan sistem sertifikasi ini, sebuah AP akan melalui proses otentikasi terlebih dulu sebelum bergabung dengan jaringan wireless. AP yang tidak memiliki otentikasi yang sama tidak akan dapat tergabung dalam wireless switch atau perangkat wireless lainnya dan akan dilaporkan sebagai Rogue AP atau Fake AP.

* Jaringan Wireless Ad-Hoc

Adanya jaringan Ad-Hoc juga merupakan celah yang sangat berbahaya bagi jaringan wireless pribadi Anda. Untuk itu, melakukan monitoring terhadap jaringan wireless Anda amat penting untuk dilakukan. Terutama jika Anda memiliki sistem monitoring yang dapat melakukan pemberitahuan jika ada perangkat wireless yang terkonfigurasi dalam mode Ad-Hoc. Beberapa perangkat wireless kelas mungkin akan memberikan fasilitas ini.

User Layer

* Login yang Bocor

Sistem login untuk pengguna yang ingin masuk ke dalam jaringan wireless sebenarnya merupakan pertahanan pertama yang dilakukan dalam layer user. Bisakah Anda bayangkan bagaimana jika level ini tidak diamankan. Tentu siapa saja dapat masuk dan bermain-main di dalamnya, bahkan mengacau.

Untuk memilih pengguna-pengguna yang dipercaya untuk masuk ke dalam jaringan ini, ada beberapa metode pengamanan yang biasa digunakan seperti Authentikasi Web, 802.1X dan Address filtering. Dengan salah satu atau bahkan ketiga sistem ini dipasang dalam jaringan wireless Anda, maka pengguna yang dapat masuk ke dalam jaringan Anda akan lebih terseleksi.

* Man in the Middle Attack

Salah satu metode yang dapat mematahkan serangan “orang tengah” ini adalah dengan menggunakan enkripsi saat komunikasi dijalin. Baik saat membangun jalinan komunikasi maupun saat transfer data, enkripsi menjadi sebuah benteng yang cukup kokoh. Dengan adanya enkripsi pada proses otentikasi hingga proses pengiriman data, “orang tengah” ini tidak akan mudah membaca apa yang lalu lalang dalam media wireless ini. Sistem enkripsi yang banyak digunakan adalah TKIP untuk MAC layer enkripsi dan IPSec untuk IP layer enkripsi.

Application Layer

* Denial of Service (DoS)

DoS pada jaringan wireless terkadang dapat disebabkan oleh ketidaktahuan para penggunanya. Seperti menempatkan microwave oven, cordless telepon, perangkat bluetooth, dan banyak lagi perangkat yang menggunakan sinyal elektormagnet pada coverage area jaringan wireless Anda.

Langkah pertama untuk menanggulangi DoS adalah dengan membuat sistem monitoring yang baik yang dapat menangkap dan mendeteksi interferensi, jamming, sampai AP-AP lain yang berada di sekitar jaringan wireless Anda. Jika memang memungkinkan, gunakan perangkat yang mampu melakukan pengaturan karakteristik frekuensi radio secara dinamis untuk dapat secara otomatis menghindari interferensi. Selain itu lengkapi pula perangkat-perangkat jaringan Anda dengan Access List dan filter jika memang memungkinkan. Dengan demikian, DoS terhadap jaringan Anda mungkin dapat diminimalisasi.

Nyaman tetapi Harus Waspada
Jaringan wireless memang sangat nyaman untuk digunakan. Semua pasti setuju dengan pendapat ini. Namun ketika mengetahui begitu banyak celah dan kelemahan di dalamnya, tentu banyak orang yang akan mengubah persetujuannya ini. Kerja keras untuk menciptakan keamanan yang baik bagi jaringan wireless Anda mutlak harus dilakukan jika memang mau aman. Tetapi kerja keras ini tentu tidak dirasakan sebagai suatu kenyamanan bagi sebagian orang. Memang pada kenyataannya, kenyamanan selalu berbanding terbalik dengan keamanan pada dunia jaringan wireless.

Tetapi jika memang jaringan wireless Anda amat berarti bagi kemudahan dan kelancaran bisnis Anda, mengapa Anda tidak tingkatkan sedikit kewaspadaan untuk menciptakan keamanan yang lebih baik. Kerja keras Anda tentu akan terbayar dengan nikmatnya berkomunikasi data tanpa kabel.

source : www.forummikrotik.com
Author : Anton Ellyas Priyambodo (antzon.wordpress.com)
Read More...

Membuat POE Sendiri

Siapkan "tools" berikut

1. Kabel LAN, bebas mau berapa meter/centi

2. Adaptor (Akang recomended dari AP-nya)

3. AP (Access Point) Apa aja terserah

4. Selotip Listrik (warna item)

5. Gunting

6. Crimping Tool (jika perlu)

7. Cutter

8. Jika untuk "Out Door" ambil plastik es atau sejenisnya!

Langkah-langkah :

1. Kabel LAN di belah sehingga ada 3 bagian, yang blm dipasang RJ-nya boleh pasang duluan boleh belakangan!!

2. Kupas selongsong RJ-45 lalu telanjangi kabel berikut ini :
(a). Yang ada Ujung RJ-45, Oren Putih, Oren, Hijau Putih, Hijau
(b). Yang Kabel tengah2, Kupas semua kabelnya

3. Potong kabel Adaptor sehingga ada 2 bagian :
(a). Yang menuju ke AP
(b). Yang menuju ke Colokan listrik (adaptor-nya)

4. Gabungkan kabel LAN sesuai berikut ini : (a). RJ-45 yang menuju ke AP
Hijau Putih --- Hijau Putih
Hijau -- Hijau
Oren Putih -- Oren Putih
Oren -- Oren

(b). RJ-45 yang menuju Switch
Hijau Putih --- Hijau Putih
Hijau -- Hijau
Oren Putih -- Oren Putih
Oren -- Oren
(c). Kabel Lan tengah2

Biru & Biru Putih (gandeng) -- Kabel Adaptor
Coklat & Coklat Putih (gandeng) -- Kabel Adaptor
Catatan : Untuk yang ini kabel adaptor jangan ketuker untuk yang buat AP yang ada colokan power ke AP!! Yang ke colokan listrik ya Adaptornya!!

5. Bungkus rapih dengan Selotip listrik, untuk Outdorr bungkus dengan plastik!

6. Siap di tes.......

7. Hasilnya ......

source : www.forummikrotik.com

Read More...

NAT Aplikasi

Dasar konfigurasi NAT
- "hides/Menyembunyikan" private LAN "di belakang" satu alamat
- Memberikan IP Publik ke server lokal
- Membuat 1:1 pemetaan alamat pada jaringan

Contoh sumber NAT (Masquerading)
Jika kamu ingin "menyembunyikan 'pribadi LAN 192.168.0.0/24" di belakang "10.5.8.109 satu alamat yang diberikan oleh ISP, anda seharusnya menggunakan sumber jaringan alamat translation (masquerading) fitur dari Mikrotik router. Masquerading yang akan mengubah sumber alamat IP dan port dari paket adalah melalui itu.

Untuk menggunakan masquerading, sumber aturan NAT dengan tindakan masquerade"harus ditambahkan pada konfigurasi firewall:

/ ip firewall nat add chain = dstnat dst-address = 10.5.8.200 action = dst-nat \
to-addresses = 192.168.0.109

Semua koneksi keluar dari jaringan 192.168.0.0/24 akan memiliki sumber 10.5.8.109 alamat dari router dan sumber di atas port 1024. Tidak ada akses dari internet akan dibuat ke alamat local jika Anda ingin agar koneksi ke server pada jaringan lokal, Anda harus menggunakan tujuan Network AddressTranslation (NAT)

Contoh Tujuan NAT
Jika anda ingin link Publik 10.5.8.200 alamat IP lokal 192.168.0.109 satu, Anda harus menggunakan fitur terjemahan alamat tujuan dari Mikrotik router. Juga jika Anda ingin membolehkan lokal untuk berbicara dengan server di luar dengan IP Publik Anda harus sumber alamat translation, juga

Untuk antarmuka addPublic Ip:
/ ip address add address = 10.5.8.200/32 interface = Publik

Tambahkan aturan yang memungkinkan akses ke server internal dari jaringan eksternal:
/ ip firewall nat add chain = dstnat dst-address = 10.5.8.200 action = dst-nat \ to address = 192.168.0.109

Tambahkan aturan internal yang memungkinkan untuk berbicara dengan server router yang memiliki jaringan sumber 10.5.8.200 ke alamat:
/ ip firewall nat add chain = srcnat src-address = 192.168.0.109 action = src-nat \
ke-alamat = 10.5.8.200

Contoh 1:1 pemetaan
Jika anda ingin link Publick IP subnet 11.11.11.0/24 ke lokal 2.2.2.0/24 satu, Anda harus menggunakan alamat tujuan dan sumber terjemahan alamat terjemahan fitur dengan tindakan = netmap.
Contoh:
/ ip firewall nat add chain = dstnat dst-address = 11.11.11.1-11.11.11.254 \
action = netmap ke alamat =-2.2.2.1-2.2.2.254

/ ip firewall nat add chain = srcnat src-address = 2.2.2.1-2.2.2.254 \

action = netmap ke alamat =-11.11.11.1-11.11.11.254

Source : www.forummikrotik.com

Read More...

NAT ( Network Address Translation)

Aktivitas
Network Address Translation (NAT) adalah sebuah router yang menggantikan fasilitas sumber dan (atau) alamat IP tujuan dari paket IP karena melewati jalur router. Hal ini paling sering digunakan untuk mengaktifkan beberapa host di jaringan pribadi untuk mengakses internet dengan menggunakan satu alamat IP publik.

Spesifikasi
Paket yang diperlukan: sistem
Lisensi yang diperlukan: level1 (jumlah terbatas pada aturan 1), Level3
Standar dan teknologi: IP, RFC1631, RFC2663
Penggunaan hardware: increase with the count of rules


NAT ada 2 jenis yaitu:
1. Sumber(source) NAT atau srcnat. Jenis NAT dilakukan pada paket yang berasal dari natted jaringan. Router A NAT akan mengganti sumber alamat IP dari sebuah paket dengan alamat IP baru publik karena perjalanan melalui router. A setiap operasi diterapkan ke paket balasan dalam arah lainnya.
2. Tujuan(destination) NAT atau dstnat. Jenis ini dilakukan pada paket yang ditujukan ke natted jaringan. Hal ini umumnya digunakan untuk membuat host di jaringan pribadi untuk dapat diakses dari Internet. router A NAT melakukan dstnat menggantikan alamat IP tujuan dari sebuah paket IP karena perjalanan melalui router terhadap jaringan pribadi.

NAT Drawbacks(menarik mundur)
Host di balik NAT- enabled router tidak benar end-to-end connectivity. Ada beberapa protokol internet mungkin tidak bekerja dengan skenario NAT. Pelayanan yang membutuhkan inisiasi dari koneksi TCP dari dalam atau luar jaringan status protokol seperti UDP, dapat terganggu. Terlebih lagi, beberapa protokol yang tetap bertentangan dengan NAT,

Redirect dan Masquerade
Redirect dan masquerade adalah bentuk khusus tujuan NAT dan sumber NAT, masing-masing. Redirect adalah diutamakan dengan ke tujuan NAT biasa dengan cara yang sama seperti yang masquerade diutamakan ke sumber masquerade NAT adalah bentuk khusus sumber NAT tanpa perlu menentukan ke alamat - alamat keluar antarmuka yang digunakan secara otomatis. Yang sama adalah redirect - ia adalah satu bentuk tujuan NAT ke mana-alamat yang tidak digunakan - masuk antarmuka digunakan sebagai ganti alamat. Perlu diketahui bahwa to-port adalah makna penuh untuk redirect aturan – ini adalah port layanan pada router yag akan menangani permintaannya (contoh:webproxy)

Ketika paketnya adalah dst-natted (tidak perduli - action=nat atau action=redirect), dst alamat berubah. Informasi tentang terjemahan alamat (termasuk alamat asli dst) disimpan dalam tabel router internal. Transparan proxy web bekerja pada router (bila permintaan mendapatkan web redirect ke port proxy pada router) dapat mengakses informasi ini dari table internal dan mendapatkan alamat web server dari alamat IP header (dst karena alamat IP dari paket yang sebelumnya adalah alamat web server telah berubah ke alamat server proxy). Mulai dari HTTP/1.1 ada khusus di header permintaan HTTP yang berisi alamat web server, jadi server proxy dapat menggunakannya, dst, bukan alamat IP paket, jika tidak ada semacam header (HTTP versi lama pada klien), proxy server dapat tidak menentukan alamat web server dan karena itu tidak dapat bekerja.

Ini berarti, adalah mustahil untuk benar transparan reditrect dari lalu lintas HTTP ke beberapa router lainnya box transparan-proxy. Hanya dengan cara yang benar adalah dengan menambahkan transparan proxy di router itu sendiri, dan konfigurasikan agar Anda "real" proxy adalah orang parent-proxy. Dalam situasi ini Anda "real" proxy tidak harus transparan lagi, sebagai proxy pada router akan transparan dan akan meneruskan permintaan proxy-style (menurut standar; permintaan ini mencakup semua informasi yang diperlukan tentang web server) to "real" proxy.

Keterangan Properti
action (accept | add-dst-to-address-list | add-src-to-address-list | dst-nat | jump | log | masquerade |
netmap | passthrough | redirect | return | same | src-nat; default: accept) - untuk melakukan tindakan jika paket sesuai dengan aturan

• accept - menerima paket. Tidak ada tindakan yang diambil, yaitu paket yang lulus dan tidak lagi melalui aturan-aturan yang diterapkan
• add-dst-to-address-list - menambahkan tujuan dari sebuah alamat IP paket ke alamat yang ditentukan daftar oleh daftar alamat-parameter
• add-src-to-address-list - menambahkan sumber alamat IP dari sebuah paket ke alamat yang ditentukan oleh daftar daftar alamat-parameter
• dst-nat - menggantikan alamat tujuan dari sebuah paket ke IP ditentukan oleh nilai-nilai to-address dan parameter ke-port
• jump - melompat ke rantai yang ditentukan oleh nilai yang melompat-sasaran parameter
• log - masing-masing sesuai dengan tindakan ini akan menambah sebuah pesan masuk ke sistem
• masquerade - menggantikan sumber alamat IP secara otomatis ke salah satu paket ditentukan oleh fasilitas routing alamat IP
• netmap - membuat statis 1:1 pemetaan sekumpulan alamat IP yang lain. Sering digunakan untuk mendistribusikan publik host ke alamat IP pribadi pada jaringan
• passthrough - mengabaikan aturan ini pergi ke yang berikutnya atau berlanjut ke rules yg berada dibawahnya
• redirect - tujuan menggantikan alamat IP dari sebuah paket ke salah satu router lokal alamat
• return - melewati kontrol kembali ke tempat dari rantai melompat terjadi
• same - memberikan tertentu klien yang sama sumber / tujuan dari alamat IP yang disediakan untuk berbagai masing-masing sambungan. Hal ini paling sering digunakan untuk layanan yang mengharapkan klien alamat yang sama untuk beberapa sambungan dari klien yang sama
• src-nat - menggantikan sumber alamat IP dari sebuah paket ke ditentukan oleh nilai-nilai ke-alamat dan parameter ke-port

addres-list (name) - menetapkan nama untuk mengumpulkan daftar alamat alamat IP dari aturan yang action = add-dst-to-address-list atau action = add-src-to-address-list tindakan. Daftar alamat inikemudian digunakan untuk paket yang cocok

address-list-timeout (time; standar: 00:00:00) - interval waktu setelah alamat yang akan
dihapus dari daftar alamat-alamat yang ditentukan oleh daftar parameter. Digunakan bersama-sama dengan
tambah-dst-to-address-list-src atau menambahkan ke daftar alamat-tindakan
• 00:00:00 - meninggalkan alamat di daftar alamat selamanya

chain (dstnat | srcnatname) - menentukan rantai untuk meletakkan aturan tertentu ke dalam. Karena lalu lintas yang berbeda dimasukan melalui berbagai rantai, selalu berhati-hati dalam memilih yang tepat untuk rantai baru aturan. Jika input tidak sesuai dengan nama yang sudah ditetapkan rantai, rantai baru akan dibuat
• dstnat - aturan yang ditempatkan di rantai ini diterapkan sebelum routing. Aturan-aturan yang menggantikan tujuan alamat IP paket harus ditempatkan di sana
• srcnat - aturan yang ditempatkan di rantai ini akan diterapkan setelah routing. Aturan-aturan yang menggantikan sumber alamat IP paket harus ditempatkan di sana,

comment (teks) - Berikan komentar untuk memerintah. Komentar dapat digunakan untuk mengidentifikasi bentuk peraturan skrip

connection-byte (integerinteger) - sesuai paket yang diberikan hanya jika jumlah byte telah ditransfer melalui sambungan tertentu
• 0 - berarti infinity, exempli Gratia: sambungan-byte = 2000000-0 berarti jika sesuai aturan
lebih dari 2MB yang ditransfer melalui sambungan relevan

connection-limit (integernetmask) - membatasi jumlah koneksi per alamat atau alamat blok (cocok jika ditentukan jumlah sambungan telah ditetapkan)

connection-mark (name) - sesuai paket ditandai melalui fasilitas ngoyakkan dengan sambungan
menandai

connection-type (ftp | GRE | h323 | irc | mms | PPTP | quake3 | TFTP) - sesuai dari paket-paket yang terkait sambungan berdasarkan informasi dari pelacakan koneksi penolongpun. A relevan sambungan penolong harus diaktifkan di / ip firewall service-port

conten (teks) - teks harus berisi paket agar sesuai dengan aturan

dscp (integer: 0 .. 63) –DSCP (ex-KL) IP kepala bidang nilai

dst-address (alamat IP addressnetmaskIP addressIP) - menentukan rentang alamat IP adalah paket yg diperuntukkan untuk. Perlu diketahui bahwa konsol mengkonversi memasukkan alamat / netmask nilai jaringan ke alamat yang valid,
i.e.: 1.1.1.1/24 dikonvert ke 1.1.1.0/24

dst-address-list (name) - sesuai alamat tujuan dari paket yang ditetapkan pengguna terhadap daftar alamat dst-address-type (unicast | lokal | broadcast | multicast) - sesuai tujuan alamat jenis IP paket, salah satu:
• unicast - alamat IP yang digunakan untuk satu titik ke titik lainnya transmisi. Hanya ada satu
satu pengirim dan penerima dalam hal ini
• local - sesuai alamat yang ditugaskan ke router dari interface
• broadcast - IP paket akan dikirim dari satu titik ke semua titik dalam IP subnetwork
• multicast - jenis alamat IP yang bertanggung jawab untuk transmisi atau lebih dari satu poin ke satu set lainnya

dst-limit (integertimeintegerdst-address | dst-port | src-addresstime) - membatasi paket per detik
(pps) menilai pada tujuan per IP atau per port tujuan dasar. Yang bertentangan dengan batas cocok, setiap alamat IP tujuan / tujuan pelabuhan itu sendiri batas. Pilihannya adalah sebagai berikut (dalam urutan tampilan):
• count - maksimum rata-rata harga paket, diukur dalam paket per detik (pps), kecuali jika diikuti oleh waktu opsi
• time - menentukan interval waktu yang lebih dari paket menilai diukur
• burst - jumlah paket yang cocok dengan yang di burst
• modus - yang penggolong (-s) menilai paket untuk membatasi
• expire - Interval setelah menentukan alamat IP yang direkam / port akan dihapus

dst-port (integer: 0 .. 65535integer: 0 .. 65535) - tujuan nomor port atau range

fragmen (ya | tidak) - apakah paket adalah fragmen dari sebuah paket IP. Memulai paket (i.e., pertama fragmen) tidak dihitung. Catatan yang sambungan pelacakan diaktifkan, tidak akan ada fragmen karena sistem akan secara otomatis assembles setiap paket

hotspot (multiple choice: auth | from-client | http | lokal dst | to-client) - cocok paket diterima
dari klien terhadap berbagai kondisi Hotspot. Semua nilai-nilai dapat negated
• auth - benar, jika paket yang berasal dari authenticted HotSpotclient
• from-client - benar, jika paket yang datang dari klien Hotspot
• http - benar, jika Hotspot klien mengirimkan sebuah paket ke alamat dan port sebelumnya terdeteksi sebagai server proxy (proxy teknik Universal) atau jika tujuan port 80 dan transparan
proxying diaktifkan bagi klien
• local-dst - benar, jika paket memiliki tujuan lokal alamat IP
• to-client - benar, jika paket yang akan dikirim ke klien

ICMP-option (integerinteger) - cocok ICMP Jenis: Kode bidang

in-bridge-port (name) - interface sebenarnya paket telah dimasukkan melalui router (jika Bridged, ini kekayaan sesuai dengan sebenarnya jembatan pelabuhan, sedangkan di-interface jembatan itu sendiri)

in-interface (nama) - antarmuka paket yang telah dimasukkan melalui router (jika antarmuka adalah Bridged, maka akan muncul paket yang akan datang dari jembatan antarmuka sendiri)

ingress-priority (integer: 0 .. 63) - masuk (diterima) prioritas paket, jika diatur (0 lainnya).
Prioritas mungkin berasal dari salah satu atau VLAN WMM prioritas

IPv4-option (any | loose-source-routing | no-record-route | no-router-alert | no-source-routing |
no-timestamp | none | record-route | router-alert | strict-source-routing | timestamp) - match ipv4
header option
• any - paket cocok dengan setidaknya salah satu pilihan IPv4
• loose-source-routing - paket cocok dengan sumber loose routing pilihan. Pilihan ini digunakan untuk rute internet datagram berdasarkan informasi yang diberikan oleh sumber
• no- record-route - tidak cocok dengan paket dengan catatan rute pilihan. Pilihan ini digunakan untuk rute yang internet datagram berdasarkan informasi yang diberikan oleh sumber
• no-router-alert- tidak cocok dengan paket router mengubah pilihan
• no-source-routing - tidak cocok dengan paket sumber routing pilihan
• no- timestamp - tidak cocok dengan paket waktu opsi
• record-route - paket cocok dengan catatan rute pilihan
• router-alert - paket cocok dengan router mengubah pilihan
• strict-source-routing - paket cocok dengan ketat sumber routing pilihan
• timestamp sesuai dengan paket

jump-target (dstnat | srcnatname) - nama target untuk melompat ke rantai, jika action= jump

layer7-protokol (name) - Layer 7 menyaring nama sebagaimana ditetapkan dalam / ip firewall layer7-protokol menu. Perhatian: ini matcher kebutuhan daya tinggi computer

limit (integertimeinteger) - membatasi paket cocok untuk menilai suatu batas. Berguna untuk mengurangi jumlah dari log pesan
• count - maksimum rata-rata harga paket, diukur dalam paket per detik (pps), kecuali jika diikuti oleh waktu opsi
• time - menentukan interval waktu yang lebih dari paket menilai diukur
• burst - jumlah paket yang cocok dengan yang di burst

log-prefix (teks) - semua pesan log akan ditulis ke berisi awalan ditentukan di sini. Digunakan dalam bersama-sama dengan action =log

nth (integerinteger: 0 .. 15integer) - cocok Nth paket tertentu yang diterima oleh aturan. Satu dari 16 counter tersedia dapat digunakan untuk menghitung paket-paket
• every - cocok setiap tanggal 1 setiap paket. Misalnya, jika setiap = 1 maka setiap aturan yang cocok 2. paket
• counter - menentukan yang digunakan. A counter akan menambahkan setiap kali berisi aturan nth cocok cocok
• packet - cocok diberikan pada paket nomor. Nilai dengan jelas alasan harus antara 0
dan setiap. Jika opsi ini digunakan untuk suatu counter, maka harus ada sekurang-kurangnya setiap 1 peraturan dengan opsi ini, yang meliputi semua nilai antara 0 dan setiap inclusively.

out-bridge-port (name) - antarmuka yang sebenarnya adalah paket meninggalkan router melalui (jika Bridged, ini kekayaan sesuai dengan sebenarnya jembatan pelabuhan, sementara out-interface - jembatan itu sendiri)

out-interface (name) - interface adalah paket meninggalkan router melalui (jika antarmuka adalah Bridged, maka paket akan muncul untuk meninggalkan jembatan melalui antarmuka sendiri)

paket-mark (teks) - sesuai paket ditandai melalui fasilitas ngoyakkan dengan paket tandai paket-size (integer: 0 .. 65535integer: 0 .. 65535) - sesuai paket yang ditentukan atau ukuran berbagai ukuran dalam byte
• min - menetapkan batas yang lebih rendah dari berbagai ukuran atau berdasarkan nilai
• max - menetapkan batas atas dari berbagai ukuran

port (port) - jika ada yang cocok (sumber atau tujuan) port ditentukan sesuai dengan daftar port atau port rentang (dicatat bahwa protokol harus masih dapat dipilih, seperti biasa untuk src dan dst-port-port matchers) Protocol (ddp | EGP | encap | ggp | GRE | hmp | ICMP | idrp-cmtp | igmp | ipencap | ipip | ipsec-ah | ipsec-esp | iso-tp4 | ospf | pup | rdp | rspf | st | tcp | udp | vmtp | xns-IDP | xtpinteger) - cocok protokol IP tertentu ditentukan oleh protokol nama atau nomor. Anda harus menetapkan pengaturan ini jika Anda ingin menentukan port

PSD (integertimeintegerinteger) - berupaya untuk mendeteksi dan UDP TCP scans. Hal ini disarankan untuk menetapkan
menurunkan berat ke pelabuhan dengan angka tinggi untuk mengurangi frekuensi palsu positif, seperti dari pasif mode FTP transfer
• WeightThreshold - total berat terbaru TCP / UDP paket dengan tujuan pelabuhan
yang berasal dari host yang sama untuk diperlakukan sebagai port scan urutan
• DelayThreshold - menunda untuk paket dengan tujuan yang berbeda yang datang dari pelabuhan yang sama
tuan rumah harus dirawat sebaik mungkin port scan subsequence
• LowPortWeight - berat yang paket dengan privilege (<= 1024) tujuan pelabuhan • HighPortWeight - berat paket dengan non-priviliged tujuan pelabuhan random (integer) - sesuai dengan paket yang diberikan secara acak propability routing-mark (name) - sesuai paket ditandai dengan merusak fasilitas routing mark same-not-by-dst (yes | no) - untuk menentukan apakah account atau tidak untuk mencapai tujuan IP alamat yang baru ketika memilih sumber alamat IP untuk paket cocok dengan aturan oleh ation= sama src-address (alamat IP addressnetmaskIP addressIP) - menentukan rentang alamat IP adalah paket berasal dari. Perlu diketahui bahwa konsol mengkonversi memasukkan alamat / netmask nilai yang valid untuk jaringan alamat, yaitu: 1.1.1.1/24 dikonvert ke 1.1.1.0/24 src-address-list (nama) - sesuai alamat sumber dari paket terhadap pengguna ditetapkan daftar alamat src-address-type (unicast | lokal | broadcast | multicast) - sesuai jenis sumber alamat IP paket, salah satu: • unicast - alamat IP yang digunakan untuk satu titik ke titik lainnya transmisi. Hanya ada satu satu pengirim dan penerima dalam hal ini • local - sesuai alamat yang ditugaskan ke router dari interface • broadcast - IP paket akan dikirim dari satu titik ke semua titik dalam IP subnetwork • multicast - jenis alamat IP yang bertanggung jawab untuk transmisi atau lebih dari satu poin ke satu set lainnya Registred lainnya merek dagang dan merek dagang yang disebutkan di sini adalah properti dari masing-masing pemilik. • src-mac-address (MAC address) - sumber alamat MAC src-port (integer: 0 .. 65535integer: 0 .. 65535) - Nomor port sumber atau jangkauan • tcp-MSS (integer: 0 .. 65.535) - TCP MSS sesuai nilai IP paket • time (timetime sat | Jumat | thu | Rabu | Selasa | Senin | Minggu) - memungkinkan untuk membuat penyaring berdasarkan paket ' tiba waktu dan tanggal, atau untuk paket lokal yang dihasilkan, waktu dan tanggal keberangkatan • to-address (alamat addressIP; default: 0.0.0.0) - alamat atau kisaran alamat untuk menggantikan asli alamat IP dari sebuah paket dengan • to-port (integer: 0 .. 65535integer: 0 .. 65535) - port atau jangkauan port untuk menggantikan port asli dengan sebuah IP bersama paket

Source : www.forummikrotik.com

Read More...

NAT ( Network Address Translation)

Aktivitas 
Network Address Translation (NAT) adalah sebuah router yang menggantikan fasilitas sumber dan (atau) alamat IP tujuan dari paket IP karena melewati jalur router. Hal ini paling sering digunakan untuk mengaktifkan beberapa host di jaringan pribadi untuk mengakses internet dengan menggunakan satu alamat IP publik. 

Spesifikasi 
Paket yang diperlukan: sistem 
Lisensi yang diperlukan: level1 (jumlah terbatas pada aturan 1), Level3 
Standar dan teknologi: IP, RFC1631, RFC2663 
Penggunaan hardware: increase with the count of rules


NAT ada 2 jenis yaitu: 
1. Sumber(source) NAT atau srcnat. Jenis NAT dilakukan pada paket yang berasal dari natted jaringan. Router A NAT akan mengganti sumber alamat IP dari sebuah paket dengan alamat IP baru publik karena perjalanan melalui router. A setiap operasi diterapkan ke paket balasan dalam arah lainnya. 
2. Tujuan(destination) NAT atau dstnat. Jenis ini dilakukan pada paket yang ditujukan ke natted jaringan. Hal ini umumnya digunakan untuk membuat host di jaringan pribadi untuk dapat diakses dari Internet. router A NAT melakukan dstnat menggantikan alamat IP tujuan dari sebuah paket IP karena perjalanan melalui router terhadap jaringan pribadi. 

NAT Drawbacks(menarik mundur) 
Host di balik NAT- enabled router tidak benar end-to-end connectivity. Ada beberapa protokol internet mungkin tidak bekerja dengan skenario NAT. Pelayanan yang membutuhkan inisiasi dari koneksi TCP dari dalam atau luar jaringan status protokol seperti UDP, dapat terganggu. Terlebih lagi, beberapa protokol yang tetap bertentangan dengan NAT, 

Redirect dan Masquerade 
Redirect dan masquerade adalah bentuk khusus tujuan NAT dan sumber NAT, masing-masing. Redirect adalah diutamakan dengan ke tujuan NAT biasa dengan cara yang sama seperti yang masquerade diutamakan ke sumber masquerade NAT adalah bentuk khusus sumber NAT tanpa perlu menentukan ke alamat - alamat keluar antarmuka yang digunakan secara otomatis. Yang sama adalah redirect - ia adalah satu bentuk tujuan NAT ke mana-alamat yang tidak digunakan - masuk antarmuka digunakan sebagai ganti alamat. Perlu diketahui bahwa to-port adalah makna penuh untuk redirect aturan – ini adalah port layanan pada router yag akan menangani permintaannya (contoh:webproxy) 

Ketika paketnya adalah dst-natted (tidak perduli - action=nat atau action=redirect), dst alamat berubah. Informasi tentang terjemahan alamat (termasuk alamat asli dst) disimpan dalam tabel router internal. Transparan proxy web bekerja pada router (bila permintaan mendapatkan web redirect ke port proxy pada router) dapat mengakses informasi ini dari table internal dan mendapatkan alamat web server dari alamat IP header (dst karena alamat IP dari paket yang sebelumnya adalah alamat web server telah berubah ke alamat server proxy). Mulai dari HTTP/1.1 ada khusus di header permintaan HTTP yang berisi alamat web server, jadi server proxy dapat menggunakannya, dst, bukan alamat IP paket, jika tidak ada semacam header (HTTP versi lama pada klien), proxy server dapat tidak menentukan alamat web server dan karena itu tidak dapat bekerja. 

Ini berarti, adalah mustahil untuk benar transparan reditrect dari lalu lintas HTTP ke beberapa router lainnya box transparan-proxy. Hanya dengan cara yang benar adalah dengan menambahkan transparan proxy di router itu sendiri, dan konfigurasikan agar Anda "real" proxy adalah orang parent-proxy. Dalam situasi ini Anda "real" proxy tidak harus transparan lagi, sebagai proxy pada router akan transparan dan akan meneruskan permintaan proxy-style (menurut standar; permintaan ini mencakup semua informasi yang diperlukan tentang web server) to "real" proxy. 

Keterangan Properti 
action (accept | add-dst-to-address-list | add-src-to-address-list | dst-nat | jump | log | masquerade | 
netmap | passthrough | redirect | return | same | src-nat; default: accept) - untuk melakukan tindakan jika paket sesuai dengan aturan 

• accept - menerima paket. Tidak ada tindakan yang diambil, yaitu paket yang lulus dan tidak lagi melalui aturan-aturan yang diterapkan 
• add-dst-to-address-list - menambahkan tujuan dari sebuah alamat IP paket ke alamat yang ditentukan daftar oleh daftar alamat-parameter 
• add-src-to-address-list - menambahkan sumber alamat IP dari sebuah paket ke alamat yang ditentukan oleh daftar daftar alamat-parameter 
• dst-nat - menggantikan alamat tujuan dari sebuah paket ke IP ditentukan oleh nilai-nilai to-address dan parameter ke-port 
• jump - melompat ke rantai yang ditentukan oleh nilai yang melompat-sasaran parameter 
• log - masing-masing sesuai dengan tindakan ini akan menambah sebuah pesan masuk ke sistem 
• masquerade - menggantikan sumber alamat IP secara otomatis ke salah satu paket ditentukan oleh fasilitas routing alamat IP 
• netmap - membuat statis 1:1 pemetaan sekumpulan alamat IP yang lain. Sering digunakan untuk mendistribusikan publik host ke alamat IP pribadi pada jaringan 
• passthrough - mengabaikan aturan ini pergi ke yang berikutnya atau berlanjut ke rules yg berada dibawahnya
• redirect - tujuan menggantikan alamat IP dari sebuah paket ke salah satu router lokal alamat 
• return - melewati kontrol kembali ke tempat dari rantai melompat terjadi 
• same - memberikan tertentu klien yang sama sumber / tujuan dari alamat IP yang disediakan untuk berbagai masing-masing sambungan. Hal ini paling sering digunakan untuk layanan yang mengharapkan klien alamat yang sama untuk beberapa sambungan dari klien yang sama 
• src-nat - menggantikan sumber alamat IP dari sebuah paket ke ditentukan oleh nilai-nilai ke-alamat dan parameter ke-port 

addres-list (name) - menetapkan nama untuk mengumpulkan daftar alamat alamat IP dari aturan yang action = add-dst-to-address-list atau action = add-src-to-address-list tindakan. Daftar alamat inikemudian digunakan untuk paket yang cocok 

address-list-timeout (time; standar: 00:00:00) - interval waktu setelah alamat yang akan 
dihapus dari daftar alamat-alamat yang ditentukan oleh daftar parameter. Digunakan bersama-sama dengan 
tambah-dst-to-address-list-src atau menambahkan ke daftar alamat-tindakan 
• 00:00:00 - meninggalkan alamat di daftar alamat selamanya 

chain (dstnat | srcnatname) - menentukan rantai untuk meletakkan aturan tertentu ke dalam. Karena lalu lintas yang berbeda dimasukan melalui berbagai rantai, selalu berhati-hati dalam memilih yang tepat untuk rantai baru aturan. Jika input tidak sesuai dengan nama yang sudah ditetapkan rantai, rantai baru akan dibuat 
• dstnat - aturan yang ditempatkan di rantai ini diterapkan sebelum routing. Aturan-aturan yang menggantikan tujuan alamat IP paket harus ditempatkan di sana 
• srcnat - aturan yang ditempatkan di rantai ini akan diterapkan setelah routing. Aturan-aturan yang menggantikan sumber alamat IP paket harus ditempatkan di sana, 

comment (teks) - Berikan komentar untuk memerintah. Komentar dapat digunakan untuk mengidentifikasi bentuk peraturan skrip 

connection-byte (integerinteger) - sesuai paket yang diberikan hanya jika jumlah byte telah ditransfer melalui sambungan tertentu 
• 0 - berarti infinity, exempli Gratia: sambungan-byte = 2000000-0 berarti jika sesuai aturan 
lebih dari 2MB yang ditransfer melalui sambungan relevan 

connection-limit (integernetmask) - membatasi jumlah koneksi per alamat atau alamat blok (cocok jika ditentukan jumlah sambungan telah ditetapkan) 

connection-mark (name) - sesuai paket ditandai melalui fasilitas ngoyakkan dengan sambungan 
menandai 

connection-type (ftp | GRE | h323 | irc | mms | PPTP | quake3 | TFTP) - sesuai dari paket-paket yang terkait sambungan berdasarkan informasi dari pelacakan koneksi penolongpun. A relevan sambungan penolong harus diaktifkan di / ip firewall service-port

conten (teks) - teks harus berisi paket agar sesuai dengan aturan

dscp (integer: 0 .. 63) –DSCP (ex-KL) IP kepala bidang nilai

dst-address (alamat IP addressnetmaskIP addressIP) - menentukan rentang alamat IP adalah paket yg diperuntukkan untuk. Perlu diketahui bahwa konsol mengkonversi memasukkan alamat / netmask nilai jaringan ke alamat yang valid, 
i.e.: 1.1.1.1/24 dikonvert ke 1.1.1.0/24 

dst-address-list (name) - sesuai alamat tujuan dari paket yang ditetapkan pengguna terhadap daftar alamat dst-address-type (unicast | lokal | broadcast | multicast) - sesuai tujuan alamat jenis IP paket, salah satu: 
• unicast - alamat IP yang digunakan untuk satu titik ke titik lainnya transmisi. Hanya ada satu 
satu pengirim dan penerima dalam hal ini 
• local - sesuai alamat yang ditugaskan ke router dari interface 
• broadcast - IP paket akan dikirim dari satu titik ke semua titik dalam IP subnetwork 
• multicast - jenis alamat IP yang bertanggung jawab untuk transmisi atau lebih dari satu poin ke satu set lainnya 

dst-limit (integertimeintegerdst-address | dst-port | src-addresstime) - membatasi paket per detik 
(pps) menilai pada tujuan per IP atau per port tujuan dasar. Yang bertentangan dengan batas cocok, setiap alamat IP tujuan / tujuan pelabuhan itu sendiri batas. Pilihannya adalah sebagai berikut (dalam urutan tampilan): 
• count - maksimum rata-rata harga paket, diukur dalam paket per detik (pps), kecuali jika diikuti oleh waktu opsi 
• time - menentukan interval waktu yang lebih dari paket menilai diukur 
• burst - jumlah paket yang cocok dengan yang di burst 
• modus - yang penggolong (-s) menilai paket untuk membatasi 
• expire - Interval setelah menentukan alamat IP yang direkam / port akan dihapus 

dst-port (integer: 0 .. 65535integer: 0 .. 65535) - tujuan nomor port atau range 

fragmen (ya | tidak) - apakah paket adalah fragmen dari sebuah paket IP. Memulai paket (i.e., pertama fragmen) tidak dihitung. Catatan yang sambungan pelacakan diaktifkan, tidak akan ada fragmen karena sistem akan secara otomatis assembles setiap paket 

hotspot (multiple choice: auth | from-client | http | lokal dst | to-client) - cocok paket diterima 
dari klien terhadap berbagai kondisi Hotspot. Semua nilai-nilai dapat negated 
• auth - benar, jika paket yang berasal dari authenticted HotSpotclient 
• from-client - benar, jika paket yang datang dari klien Hotspot 
• http - benar, jika Hotspot klien mengirimkan sebuah paket ke alamat dan port sebelumnya terdeteksi sebagai server proxy (proxy teknik Universal) atau jika tujuan port 80 dan transparan 
proxying diaktifkan bagi klien 
• local-dst - benar, jika paket memiliki tujuan lokal alamat IP 
• to-client - benar, jika paket yang akan dikirim ke klien 

ICMP-option (integerinteger) - cocok ICMP Jenis: Kode bidang 

in-bridge-port (name) - interface sebenarnya paket telah dimasukkan melalui router (jika Bridged, ini kekayaan sesuai dengan sebenarnya jembatan pelabuhan, sedangkan di-interface jembatan itu sendiri) 

in-interface (nama) - antarmuka paket yang telah dimasukkan melalui router (jika antarmuka adalah Bridged, maka akan muncul paket yang akan datang dari jembatan antarmuka sendiri) 

ingress-priority (integer: 0 .. 63) - masuk (diterima) prioritas paket, jika diatur (0 lainnya). 
Prioritas mungkin berasal dari salah satu atau VLAN WMM prioritas 

IPv4-option (any | loose-source-routing | no-record-route | no-router-alert | no-source-routing | 
no-timestamp | none | record-route | router-alert | strict-source-routing | timestamp) - match ipv4 
header option
• any - paket cocok dengan setidaknya salah satu pilihan IPv4 
• loose-source-routing - paket cocok dengan sumber loose routing pilihan. Pilihan ini digunakan untuk rute internet datagram berdasarkan informasi yang diberikan oleh sumber 
• no- record-route - tidak cocok dengan paket dengan catatan rute pilihan. Pilihan ini digunakan untuk rute yang internet datagram berdasarkan informasi yang diberikan oleh sumber 
• no-router-alert- tidak cocok dengan paket router mengubah pilihan 
• no-source-routing - tidak cocok dengan paket sumber routing pilihan 
• no- timestamp - tidak cocok dengan paket waktu opsi 
• record-route - paket cocok dengan catatan rute pilihan 
• router-alert - paket cocok dengan router mengubah pilihan 
• strict-source-routing - paket cocok dengan ketat sumber routing pilihan 
• timestamp sesuai dengan paket

jump-target (dstnat | srcnatname) - nama target untuk melompat ke rantai, jika action= jump 

layer7-protokol (name) - Layer 7 menyaring nama sebagaimana ditetapkan dalam / ip firewall layer7-protokol menu. Perhatian: ini matcher kebutuhan daya tinggi computer

limit (integertimeinteger) - membatasi paket cocok untuk menilai suatu batas. Berguna untuk mengurangi jumlah dari log pesan 
• count - maksimum rata-rata harga paket, diukur dalam paket per detik (pps), kecuali jika diikuti oleh waktu opsi 
• time - menentukan interval waktu yang lebih dari paket menilai diukur 
• burst - jumlah paket yang cocok dengan yang di burst 

log-prefix (teks) - semua pesan log akan ditulis ke berisi awalan ditentukan di sini. Digunakan dalam bersama-sama dengan action =log 

nth (integerinteger: 0 .. 15integer) - cocok Nth paket tertentu yang diterima oleh aturan. Satu dari 16 counter tersedia dapat digunakan untuk menghitung paket-paket 
• every - cocok setiap tanggal 1 setiap paket. Misalnya, jika setiap = 1 maka setiap aturan yang cocok 2. paket 
• counter - menentukan yang digunakan. A counter akan menambahkan setiap kali berisi aturan nth cocok cocok 
• packet - cocok diberikan pada paket nomor. Nilai dengan jelas alasan harus antara 0 
dan setiap. Jika opsi ini digunakan untuk suatu counter, maka harus ada sekurang-kurangnya setiap 1 peraturan dengan opsi ini, yang meliputi semua nilai antara 0 dan setiap inclusively. 

out-bridge-port (name) - antarmuka yang sebenarnya adalah paket meninggalkan router melalui (jika Bridged, ini kekayaan sesuai dengan sebenarnya jembatan pelabuhan, sementara out-interface - jembatan itu sendiri) 

out-interface (name) - interface adalah paket meninggalkan router melalui (jika antarmuka adalah Bridged, maka paket akan muncul untuk meninggalkan jembatan melalui antarmuka sendiri) 

paket-mark (teks) - sesuai paket ditandai melalui fasilitas ngoyakkan dengan paket tandai paket-size (integer: 0 .. 65535integer: 0 .. 65535) - sesuai paket yang ditentukan atau ukuran berbagai ukuran dalam byte 
• min - menetapkan batas yang lebih rendah dari berbagai ukuran atau berdasarkan nilai 
• max - menetapkan batas atas dari berbagai ukuran 

port (port) - jika ada yang cocok (sumber atau tujuan) port ditentukan sesuai dengan daftar port atau port rentang (dicatat bahwa protokol harus masih dapat dipilih, seperti biasa untuk src dan dst-port-port matchers) Protocol (ddp | EGP | encap | ggp | GRE | hmp | ICMP | idrp-cmtp | igmp | ipencap | ipip | ipsec-ah | ipsec-esp | iso-tp4 | ospf | pup | rdp | rspf | st | tcp | udp | vmtp | xns-IDP | xtpinteger) - cocok protokol IP tertentu ditentukan oleh protokol nama atau nomor. Anda harus menetapkan pengaturan ini jika Anda ingin menentukan port 

PSD (integertimeintegerinteger) - berupaya untuk mendeteksi dan UDP TCP scans. Hal ini disarankan untuk menetapkan 
menurunkan berat ke pelabuhan dengan angka tinggi untuk mengurangi frekuensi palsu positif, seperti dari pasif mode FTP transfer 
• WeightThreshold - total berat terbaru TCP / UDP paket dengan tujuan pelabuhan 
yang berasal dari host yang sama untuk diperlakukan sebagai port scan urutan 
• DelayThreshold - menunda untuk paket dengan tujuan yang berbeda yang datang dari pelabuhan yang sama 
tuan rumah harus dirawat sebaik mungkin port scan subsequence 
• LowPortWeight - berat yang paket dengan privilege (<= 1024) tujuan pelabuhan 
• HighPortWeight - berat paket dengan non-priviliged tujuan pelabuhan 

random (integer) - sesuai dengan paket yang diberikan secara acak propability 

routing-mark (name) - sesuai paket ditandai dengan merusak fasilitas routing mark 

same-not-by-dst (yes | no) - untuk menentukan apakah account atau tidak untuk mencapai tujuan IP alamat yang baru ketika memilih sumber alamat IP untuk paket cocok dengan aturan oleh ation= sama 

src-address (alamat IP addressnetmaskIP addressIP) - menentukan rentang alamat IP adalah paket berasal dari. Perlu diketahui bahwa konsol mengkonversi memasukkan alamat / netmask nilai yang valid untuk jaringan alamat, yaitu: 1.1.1.1/24 dikonvert ke 1.1.1.0/24 

src-address-list (nama) - sesuai alamat sumber dari paket terhadap pengguna ditetapkan daftar alamat 

src-address-type (unicast | lokal | broadcast | multicast) - sesuai jenis sumber alamat IP 
paket, salah satu: 
• unicast - alamat IP yang digunakan untuk satu titik ke titik lainnya transmisi. Hanya ada satu 
satu pengirim dan penerima dalam hal ini 
• local - sesuai alamat yang ditugaskan ke router dari interface 
• broadcast - IP paket akan dikirim dari satu titik ke semua titik dalam IP subnetwork 
• multicast - jenis alamat IP yang bertanggung jawab untuk transmisi atau lebih dari satu poin ke satu set lainnya Registred lainnya merek dagang dan merek dagang yang disebutkan di sini adalah properti dari masing-masing pemilik. 
• src-mac-address (MAC address) - sumber alamat MAC src-port (integer: 0 .. 65535integer: 0 .. 65535) - Nomor port sumber atau jangkauan 
• tcp-MSS (integer: 0 .. 65.535) - TCP MSS sesuai nilai IP paket 
• time (timetime sat | Jumat | thu | Rabu | Selasa | Senin | Minggu) - memungkinkan untuk membuat penyaring berdasarkan paket ' tiba waktu dan tanggal, atau untuk paket lokal yang dihasilkan, waktu dan tanggal keberangkatan 
• to-address (alamat addressIP; default: 0.0.0.0) - alamat atau kisaran alamat untuk menggantikan asli alamat IP dari sebuah paket dengan 
• to-port (integer: 0 .. 65535integer: 0 .. 65535) - port atau jangkauan port untuk menggantikan port asli dengan sebuah IP bersama paket

Source : www.forummikrotik.com

Read More...