Lepas NAT IP publik di MikroTik

Cara melepas NAT IP publik PerwiraMedia supaya MikroTik melihat IP asli pengakses dari internet. Berguna untuk aturan firewall, VPN server, dan log yang butuh IP asli.

Sebelum mulai

• VPN IP publik PerwiraMedia sudah tersambung di MikroTik. Lihat pasang IP publik di MikroTik.
• Catat nama interface tunnel VPN dan IP gateway IP publik dari detail layanan.
• Siapkan firewall dulu. Setelah NAT dilepas, router langsung terekspos ke internet.

Kenapa perlu lepas NAT IP publik

Secara bawaan, IP publik dari PerwiraMedia dipasang dengan NAT supaya pemasangan mudah. Akibatnya, semua koneksi dari internet terlihat datang dari IP gateway, bukan dari IP asli pengakses. Contoh: IP publik 41.216.180.15 dengan gateway 41.216.180.1. Saat perangkat dengan IP 21.213.31.25 mengakses MikroTik, yang tercatat adalah 41.216.180.1.

Setelah NAT dilepas, IP asli pengakses terbaca. Ini dibutuhkan untuk aturan firewall per IP, autentikasi VPN, atau pencatatan log. Karena koneksi tidak lagi datang dari gateway, balasannya harus dipaksa kembali lewat tunnel. Itu tugas mangle dan routing table di langkah 3 dan 4.

Amankan router

Setelah NAT dilepas, siapa pun bisa mencoba mengakses router lewat IP publik. Buka hanya port yang diperlukan dan batasi akses manajemen. Langkah dasarnya sama dengan mengamankan MikroTik CHR.

Kalau belum berhasil

• IP yang terbaca masih IP gateway: NAT di sisi PerwiraMedia belum dilepas. Hubungi CS.
• Setelah NAT dilepas, akses dari luar tidak bisa: cek rule mangle dan route bertanda PUBLIK sudah aktif, dan nama interface tunnel di semua perintah sudah benar.
• Penjelasan srcnat dan masquerade ada di dokumentasi NAT MikroTik.

Ketuk nomor di tiap langkah untuk menandainya selesai. Progresmu tersimpan di perangkat ini.

1. 1

   Cek rule NAT lama

   Buka IP > Firewall > NAT. Kalau sudah ada rule NAT lama yang dibuat untuk IP publik ini, matikan atau hapus dulu supaya tidak bentrok dengan rule baru.

2. 2

   Pasang NAT keluar lewat tunnel

   Ganti INTERFACE_TUNNEL dengan nama interface VPN IP publik.

   Terminal RouterOSSalin

   /ip firewall nat add chain=srcnat out-interface=INTERFACE_TUNNEL action=masquerade

3. 3

   Tandai koneksi yang masuk lewat tunnel

   Koneksi yang masuk lewat tunnel ditandai IPPUBLIK. Balasannya, dari router sendiri maupun dari perangkat LAN, diberi routing mark PUBLIK.

   Terminal RouterOSSalin

   /ip firewall mangle add chain=prerouting in-interface=INTERFACE_TUNNEL action=mark-connection new-connection-mark=IPPUBLIK passthrough=no
   /ip firewall mangle add chain=output connection-mark=IPPUBLIK action=mark-routing new-routing-mark=PUBLIK passthrough=no
   /ip firewall mangle add chain=prerouting connection-mark=IPPUBLIK action=mark-routing new-routing-mark=PUBLIK passthrough=no

4. 4

   Buat routing untuk balasan

   Baris /routing table hanya untuk RouterOS v7. Di RouterOS v6, lewati baris itu dan ganti routing-table=PUBLIK menjadi routing-mark=PUBLIK. Ganti GATEWAY_IP_PUBLIK dengan IP gateway dari detail layanan, dan ether1 dengan interface ISP kalau berbeda.

   Terminal RouterOSSalin

   /routing table add name=PUBLIK fib
   /ip route add gateway=INTERFACE_TUNNEL routing-table=PUBLIK distance=1
   /ip route add dst-address=GATEWAY_IP_PUBLIK/32 gateway=ether1 distance=1

5. 5

   Minta CS melepas NAT

   Setelah konfigurasi di atas siap, hubungi CS PerwiraMedia dan minta NAT IP publikmu dilepas. Tim teknis akan mengarahkan IP publik langsung ke router tanpa NAT.

6. 6

   Tes dari luar jaringan

   Akses router dari jaringan luar, lalu cek di Log atau IP > Firewall > Connections. Alamat sumber yang terbaca harus IP asli pengakses, bukan IP gateway.