Mengamankan MikroTik CHR yang punya IP publik

Langkah dasar mengamankan MikroTik CHR yang punya IP publik: ganti nama router, matikan service yang tidak dipakai, ganti port Winbox, tolak DNS dari internet, dan ganti user bawaan.

Code CLD-004Updated 7 Nov 2026

Sebelum mulai

Akses Winbox ke CHR dengan user bawaan dari PerwiraCloud.
Kerjakan sesuai urutan. Langkah yang mengubah cara login (ganti port dan ganti user) selalu dites dulu sebelum sesi lama ditutup, supaya kamu tidak terkunci di luar.

Kenapa perlu mengamankan MikroTik CHR

Begitu router punya IP publik, ia terlihat dari seluruh internet. Bot terus memindai port standar seperti 8291 (Winbox), 22 (SSH), dan 23 (Telnet), lalu mencoba login dengan user dan password umum. Router yang menjawab DNS dari luar juga bisa dipakai untuk serangan DNS amplification. Langkah di panduan ini menutup celah yang paling sering dipakai.

Tambahan yang disarankan

Kalau IP kantor atau rumahmu tetap, batasi Winbox hanya dari IP itu. Pastikan IP-nya benar, kalau salah kamu akan terkunci.

Terminal RouterOS

/ip service set winbox address=IP_KAMU/32

IP-mu tidak tetap? Akses Winbox lewat VPN ke CHR, lalu batasi Winbox hanya dari jaringan VPN, misalnya 10.10.10.0/24. Caranya ada di VPN server MikroTik CHR.
Rutin update RouterOS lewat System > Packages > Check For Updates.
Daftar pengamanan lanjutan ada di dokumentasi MikroTik: Securing your router.

Kalau belum berhasil

Tidak bisa login setelah ganti port: pastikan alamat di Winbox ditulis lengkap dengan port, misalnya IP_PUBLIK:4383. Kalau tetap gagal, hubungi support PerwiraCloud untuk akses konsol.
Tidak bisa login dengan user baru: cek group user sudah full dan password diketik benar. Login lagi dengan user lama yang belum dihapus, lalu perbaiki.
Client VPN tidak bisa memakai DNS setelah rule DNS dipasang: pastikan rule memakai in-interface=ether1 seperti di langkah 6, supaya yang ditolak hanya permintaan dari internet.

Steps

0 of 8 done

Tap the number on each step to check it off as you go. Your progress is saved on this device.

Ganti nama router (identity)
Nama yang jelas mencegah salah masuk router saat kamu mengelola beberapa CHR. Buka System > Identity, atau jalankan perintah di bawah.
Terminal RouterOS
```
/system identity set name=CHR-Produksi-01
```
Matikan service yang tidak dipakai
Setiap service yang menyala adalah pintu masuk. Buka IP > Services. Kalau kamu hanya memakai Winbox, matikan yang lain. Hapus ssh dari perintah kalau kamu masih butuh SSH.
Terminal RouterOS
```
/ip service disable telnet,ftp,www,www-ssl,ssh,api,api-ssl
```
Ganti port Winbox
Port bawaan 8291 paling sering dipindai bot. Ganti dengan angka lain yang hanya kamu tahu, misalnya 4383. Jangan tutup Winbox yang sedang terbuka sampai langkah berikutnya berhasil.
Terminal RouterOS
```
/ip service set winbox port=4383
```
Login ulang memakai port baru
Buka jendela Winbox baru. Di kolom Connect to, tulis IP publik CHR diikuti titik dua dan port baru, misalnya IP_PUBLIK:4383. Kalau berhasil masuk, sesi lama boleh ditutup.
Matikan neighbor discovery
Fitur ini membuat router mengumumkan nama, MAC, dan versinya ke jaringan sekitar. Di router ber-IP publik tidak diperlukan. Buka IP > Neighbors > Discovery Settings, lalu ubah Interface menjadi none.
Terminal RouterOS
```
/ip neighbor discovery-settings set discover-interface-list=none
```
Tolak permintaan DNS dari internet
Router yang menjawab DNS dari luar bisa disalahgunakan untuk serangan DNS amplification dan membebani CPU. Rule ini hanya menolak permintaan DNS dari internet (ether1), jadi client VPN dan LAN tetap aman. Setelah dibuat, pindahkan kedua rule ke urutan paling atas di IP > Firewall > Filter Rules.
Terminal RouterOS
```
/ip firewall filter add chain=input in-interface=ether1 protocol=udp dst-port=53 action=drop comment="Tolak DNS dari internet"
/ip firewall filter add chain=input in-interface=ether1 protocol=tcp dst-port=53 action=drop comment="Tolak DNS dari internet"
```
Buat user baru milikmu sendiri
Kredensial bawaan bisa saja tersimpan di tiket atau catatan orang lain. Buat user sendiri dengan grup full. Hindari nama umum seperti admin atau user, dan pakai password minimal 12 karakter campuran huruf besar, huruf kecil, angka, dan simbol.
Terminal RouterOS
```
/system user add name=NAMA_USER password=PASSWORD_KUAT group=full
```
Uji user baru, lalu hapus user bawaan
Logout, lalu login lagi memakai user baru. Kalau berhasil dan semua menu bisa dibuka, baru hapus user bawaan. Lihat namanya dulu dengan perintah print.
Terminal RouterOS
```
/system user print
/system user remove NAMA_USER_BAWAAN
```

Was this guide helpful?

Still stuck?

Chat with our team on WhatsApp. Your message already mentions code CLD-004.

Ask on WhatsApp

More VPS MikroTik CHR guides

CLD-001Masking speedtest dengan VPS MikroTik CHR CLD-003VPN Server MikroTik CHR untuk Windows, Linux, dan MikroTik CLD-005Tambah IP publik dan upgrade bandwidth di PerwiraCloud