VPN Server MikroTik CHR untuk Windows, Linux, dan MikroTik

Jadikan VPS sebagai VPN server MikroTik CHR dengan L2TP/IPsec, lalu sambungkan dari Windows, Linux, atau router MikroTik. Perangkat yang tersambung keluar ke internet memakai IP publik CHR.

Kode CLD-003Diperbarui 7 Nov 2026

Sebelum mulai

VPS MikroTik CHR dengan IP publik dari PerwiraCloud dan akses Winbox.
Kunci IPsec (pre-shared key). Contoh di panduan ini memakai r4hasia, ganti dengan kunci milikmu sendiri.
Amankan CHR dulu sebelum membuka VPN ke internet. Lihat mengamankan MikroTik CHR.
Perintah di sini jalan di RouterOS v6 maupun v7. Bagian yang berbeda sudah diberi catatan di langkahnya.

Urutan langkah

Langkah 1 sampai 5 dikerjakan di CHR dan wajib. Setelah itu, kerjakan bagian sesuai perangkat yang mau disambungkan:

Windows: langkah 6 dan 7.
Linux (Ubuntu atau Debian dengan desktop): langkah 8 sampai 12.
Router MikroTik: langkah 13 sampai 18.

Cara kerja VPN server MikroTik CHR

CHR menjalankan server L2TP dengan enkripsi IPsec. Setiap perangkat yang tersambung mendapat IP dari pool 10.10.10.2 sampai 10.10.10.254, sedangkan CHR memakai 10.10.10.1. NAT di CHR membuat perangkat yang tersambung bisa keluar ke internet dengan IP publik CHR. Detail opsi L2TP ada di dokumentasi MikroTik.

Kalau belum berhasil

Windows gagal tersambung dengan error 809: Windows yang berada di belakang NAT butuh satu pengaturan registry. Buka Command Prompt sebagai Administrator, jalankan perintah di bawah, lalu restart Windows.

Shell

reg add HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 2 /f

Tersambung tapi tidak bisa internet: cek NAT di CHR (langkah 5). Pastikan out-interface sesuai interface internet CHR, biasanya ether1.
Username atau password ditolak: cek PPP secret di langkah 4. Service harus l2tp dan profile PROFILE-CLIENT.
Di router MikroTik, akses antar jaringan lokal putus setelah mangle aktif: mangle menandai semua trafik dari IP lokal, termasuk yang menuju jaringan lokal lain. Tambahkan pengecualian dst-address-list untuk jaringan lokal, seperti daftar private-lokal di panduan masking speedtest.

Langkah-langkah

0 dari 18 selesai

Ketuk nomor di tiap langkah untuk menandainya selesai. Progresmu tersimpan di perangkat ini.

Buat IP pool untuk client VPN
Pool ini menjadi sumber IP untuk setiap perangkat yang tersambung ke VPN.
Terminal RouterOS
```
/ip pool add name=VPN-CLIENT ranges=10.10.10.2-10.10.10.254 comment=POOL-VPN
```
Buat PPP profile
Profile mengatur IP sisi CHR (10.10.10.1) dan mengambil IP client dari pool tadi.
Terminal RouterOS
```
/ppp profile add name=PROFILE-CLIENT local-address=10.10.10.1 remote-address=VPN-CLIENT comment=CLIENT-PPP
```
Aktifkan server L2TP dengan IPsec
Ganti r4hasia dengan kunci IPsec milikmu. Kunci yang sama nanti diisi di setiap perangkat client. Opsi use-ipsec=yes wajib, tanpa itu IPsec tidak aktif walaupun kuncinya sudah diisi.
Terminal RouterOS
```
/interface l2tp-server server set enabled=yes use-ipsec=yes ipsec-secret=r4hasia
```

Buat akun VPN untuk tiap perangkat

Satu akun untuk satu perangkat. Contoh ini membuat tiga akun: windows, linux, dan mikrotik. Ganti password-nya dengan yang kuat.

Membuat user secret VPN L2TP client di MikroTik CHR

Terminal RouterOS

/ppp secret add name=windows password=windows service=l2tp profile=PROFILE-CLIENT comment=WINDOWS-CLIENT
/ppp secret add name=linux password=linux service=l2tp profile=PROFILE-CLIENT comment=LINUX-CLIENT
/ppp secret add name=mikrotik password=mikrotik service=l2tp profile=PROFILE-CLIENT comment=MIKROTIK-CLIENT

Pasang NAT di CHR

NAT ini membuat trafik dari VPN keluar ke internet dengan IP publik CHR. ether1 adalah interface internet CHR.

Membuat firewall NAT untuk VPN client di MikroTik CHR

Terminal RouterOS

/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade comment=NAT-UTAMA
/ip firewall nat add chain=srcnat out-interface=all-ppp action=masquerade comment=NAT-PPP

Windows: buat koneksi VPN
Buka Settings > Network & Internet > VPN > Add VPN. Isi Server name or address dengan IP publik CHR. VPN type pilih L2TP/IPsec with pre-shared key, Pre-shared key diisi kunci IPsec dari langkah 3, lalu isi username dan password dari langkah 4.
Windows: tes koneksi
Klik Connect. Setelah tersambung, buka situs pengecek IP seperti whatismyipaddress.com. IP yang tampil harus IP publik CHR. Kalau muncul error 809, lihat bagian Kalau belum berhasil.
Linux: pasang paket L2TP
Untuk Ubuntu atau Debian yang memakai NetworkManager.
Terminal
```
sudo apt install -y strongswan xl2tpd network-manager-l2tp network-manager-l2tp-gnome
```
Linux: restart NetworkManager
Supaya pilihan VPN L2TP muncul di pengaturan jaringan.
Terminal
```
sudo systemctl restart NetworkManager
```
Linux: tambah koneksi VPN L2TP
Buka Settings > Network, klik tanda + di bagian VPN, pilih Layer 2 Tunneling Protocol (L2TP). Isi Gateway dengan IP publik CHR, lalu username dan password dari langkah 4.
Linux: isi pengaturan IPsec
Klik IPsec Settings, centang Enable IPsec tunnel to L2TP host, lalu isi Pre-shared key dengan kunci IPsec dari langkah 3. Simpan, lalu nyalakan VPN-nya.
Linux: tes koneksi
Buka situs pengecek IP. IP yang tampil harus IP publik CHR.
MikroTik: buat L2TP client ke CHR
Kerjakan di router MikroTik lokal. Ganti IP_PUBLIK_CHR dengan IP publik CHR, dan r4hasia dengan kunci IPsec yang sama.
Terminal RouterOS
```
/interface l2tp-client add name=CHR connect-to=IP_PUBLIK_CHR user=mikrotik password=mikrotik use-ipsec=yes ipsec-secret=r4hasia disabled=no comment=VPN-dari-CHR
```
MikroTik: pastikan status connected
Interface CHR harus berstatus connected dan router mendapat IP dari pool CHR, misalnya 10.10.10.4.
Terminal RouterOS
```
/interface l2tp-client monitor CHR once
```
MikroTik: tandai trafik lokal dengan mangle
Ganti IP_LOKAL dengan subnet LAN, misalnya 192.168.88.0/24. Baris /routing table hanya untuk RouterOS v7. Di RouterOS v6, lewati baris itu.
Terminal RouterOS
```
/routing table add name=ke-CHR fib comment=tables-chr
/ip firewall mangle add chain=prerouting src-address=IP_LOKAL action=mark-routing new-routing-mark=ke-CHR passthrough=no comment=MANGLE-keCHR
```
MikroTik: NAT ke tunnel CHR
Trafik yang keluar lewat tunnel diterjemahkan ke IP tunnel. Ganti CHR kalau nama interface L2TP client-mu berbeda.
Terminal RouterOS
```
/ip firewall nat add chain=srcnat out-interface=CHR action=masquerade comment=NAT-keCHR
```
MikroTik: arahkan trafik bertanda ke CHR
Route default khusus untuk trafik bertanda ke-CHR. Untuk RouterOS v6, ganti routing-table=ke-CHR menjadi routing-mark=ke-CHR.
Terminal RouterOS
```
/ip route add dst-address=0.0.0.0/0 gateway=CHR routing-table=ke-CHR comment=ROUTING-keCHR
```
MikroTik: tes dari perangkat di LAN
Dari komputer di LAN, buka situs pengecek IP. IP yang tampil harus IP publik CHR. Untuk melihat jalurnya, jalankan traceroute atau WinMTR. Setelah router, hop berikutnya harus IP tunnel CHR (10.10.10.1).