VPN IP publik MikroTik putus: penyebab dan solusinya

Cari penyebab VPN IP publik MikroTik putus dari log, perbaiki lima penyebab yang paling sering, lalu pasang watchdog supaya tunnel menyambung sendiri. Berlaku untuk L2TP, SSTP, dan WireGuard.

Ketuk nomor di tiap langkah untuk menandainya selesai. Progresmu tersimpan di perangkat ini.

1. 1

   Nyalakan log detail

   Jalankan sesuai protokol yang kamu pakai, tunggu sampai VPN putus lagi, lalu cocokkan pesannya dengan daftar Arti pesan di log di atas.

   Terminal RouterOSSalin

   /system logging add topics=ppp,debug action=memory
   /system logging add topics=l2tp,debug action=memory
   /system logging add topics=sstp,debug action=memory
   /log print where topics~"ppp" or topics~"l2tp" or topics~"sstp"

2. 2

   Cek internet dan jalur ke server

   Ping ke 8.8.8.8 gagal: internet router yang bermasalah, VPN belum perlu diubah. Ping ke 8.8.8.8 jalan tapi ke server VPN gagal: jalur ke server yang bermasalah, lanjut ke langkah 5.

   Terminal RouterOSSalin

   /ping 8.8.8.8 count=5
   /ping 192.0.2.1 count=5

3. 3

   Cek akun

   Ini penyebab paling sering. Satu akun hanya boleh dipakai satu router, jadi matikan client di perangkat lain. Salin ulang user dan password dari detail layanan dan pastikan layanan belum kedaluwarsa. Untuk SSTP, izinkan semua metode autentikasi dengan perintah di bawah. Untuk L2TP yang naik lalu langsung session closed, samakan use-ipsec dengan server.

   Terminal RouterOSSalin

   /interface sstp-client set sstp-vpn authentication=mschap2,mschap1,chap,pap

4. 4

   Aktifkan keepalive

   Router di belakang NAT atau CGNAT (IP bersama dari ISP) kehilangan sesi kalau lama tidak ada trafik. Di WireGuard, persistent-keepalive bawaannya 0 (mati), dan ini penyebab putus paling umum di belakang CGNAT. Nilai bawaan keepalive-timeout bisa beda antar versi RouterOS, cek dengan /help di routermu.

   Terminal RouterOSSalin

   /interface l2tp-client set l2tp-vpn keepalive-timeout=30
   /interface sstp-client set sstp-vpn keepalive-timeout=30
   /interface wireguard peers set [find interface=wg-perwira] persistent-keepalive=25s

5. 5

   Pastikan jalur ke server VPN tidak lewat tunnel

   Kalau default route mengarah ke tunnel, paket ke server VPN ikut masuk tunnel. Gejalanya VPN nyala sebentar lalu putus lagi. Cek route ke IP server VPN. Kalau belum ada, tambahkan lewat gateway ISP. Kalau pakai load balance, kunci trafik ke server VPN di satu jalur, lihat panduan IP publik di jalur load balance.

   Terminal RouterOSSalin

   /ip route print where dst-address=192.0.2.1/32
   /ip route add dst-address=192.0.2.1/32 gateway=GATEWAY_ISP

6. 6

   Cek jam router

   Jam yang salah memicu error sertifikat di SSTP dan penolakan handshake di WireGuard. Router tanpa jam hardware, seperti CHR atau VM, paling rawan. Ganti 203.0.113.123 dengan server NTP yang kamu pakai. Baris v6 dan v7 berbeda, jalankan yang sesuai.

   Terminal RouterOSSalin

   /system clock print
   # RouterOS v6
   /system ntp client set enabled=yes primary-ntp=203.0.113.123
   # RouterOS v7
   /system ntp client set enabled=yes
   /system ntp client servers add address=203.0.113.123

7. 7

   Cek MTU dan firewall

   Gejalanya: ping kecil lolos, tapi web atau Winbox lambat lalu gagal. Kalau ping di bawah gagal, turunkan MTU: max-mtu=1400 di L2TP client atau mtu=1380 di interface WireGuard, lalu tes lagi. Pastikan juga firewall input tidak memblokir port UDP WireGuard (bawaan 51820).

   Terminal RouterOSSalin

   /ping 192.0.2.1 size=1400 do-not-fragment count=5

8. 8

   Pasang watchdog supaya menyambung sendiri

   Script ini ping server VPN tiap 2 menit dan me-restart interface kalau gagal. Pakai scheduler, karena down-script Netwatch hanya jalan sekali saat status berubah dan tidak mengulang kalau tunnel tetap mati. Untuk SSTP, ganti l2tp-client jadi sstp-client. Untuk WireGuard, ganti dua baris disable dan enable jadi /interface wireguard disable wg-perwira dan /interface wireguard enable wg-perwira. Sesuaikan nama interface. Tunnel terputus beberapa detik tiap script memicu, jadi pasang saat jam sepi.

   TerminalSalin

   /system script add name=vpn-watch source={
     :if ([/ping 192.0.2.1 count=4 interval=1] = 0) do={
       /interface l2tp-client disable [find name="l2tp-vpn"]
       :delay 5s
       /interface l2tp-client enable [find name="l2tp-vpn"]
       :log warning "vpn-watch: l2tp-vpn di-restart"
     }
   }
   /system scheduler add name=vpn-watch interval=2m on-event=vpn-watch