Lab 6.13 Firewall Mangle
Agustus 26, 2021Halo, jadi ada pertemuan kali ini saya akan menjelaskan tentang bagaimana cara mengkonfigurasi firewall mangle, simak baik-baik yaa materinya!
Mangle adalah cara untuk menandai atau marking suatu paket data tertentu, penandaan atau marking ini berguna agar paket data tersebut mudah dikenali, tanda tersebut dapat diterapkan di fitur mikrotik lainnya seperti Routing, NAT dan Queue. Marking hanya bisa dilakukan di router yang sama.Untuk jenis-jenis marking sendiri terdapat 3 macam yaitu connection-mark, packet-mark dan router-mark.
Connection Mark
Marking jenis ini digunakan untuk menandai 1 koneksi baik request paket pertama yang keluar dari client maupun response paket dari web server.
Packet Mark
Packet mark adalah jenis marking yang digunakan untuk menandai setiap paket yang melewati router, marking ini juga menandai traffic request dan response
Route Mark
Route mark digunakan untuk memilih jalur routing, kita dapat memilih jalur mana yang ingin dilalui paket menggunakan marking ini.
Konfigurasi Connection Mark
# Connection Mark (Marking HTTP)
1. Langkah yang pertama lakukan konfigurasi connection-mark untuk menandakan paket yang berjalan pada web yang menggunakan HTTPS, dengan perintah berikut. Untuk konfigurasinya kalian bisa menggunakan perintah ip firewall mangle add chain=prerouting src-address=28.28.28.2 protocol=tcp dst-port=80 in-interface=ether2 action=mark-connection new-connection-mark=mark-client-http-nd
Chain prerouting digunakan untuk melakukan marking paket yang akan keluar atau melalui router
src-address adalah sumber berasalnya paket tersebut
protocol tcp dan dst-protocol 80 berfungsi untuk melakukan marking pada web yang menggunakan HTTP
in-interface yang digunakan adalah tempat masuknya paket yang berasal dari client
action mark-connection untuk menandai koneksi
new-connection-mark digunakan untuk menamai paket tersebut
2. Langkah selanjutnya lakukan pengujian dengan membuka salah satu website di browser menggunakan port 80, disini saya mengakses website http://kartolo.sby.datautama.net.id/
3. Kemudian kembali ke winbox, serta lakukan pengecekan pada GUI firewall > mangle dan dapat kita lihat bahwa terjadi perubahan pada bagian packets, yaitu semakin bertambah
# Connection Mark (Marking Content)
1. Setelah kita melakukan connection-mark untuk menandakan marking berdasarkan http, selanjutnya kita lakukan connection-mark untuk marking berdasarkan content. Untuk konfigurasinya hampir sama seperti yang pertama, namun disini kita tambahkan fitur content yang kita isi dengan sesuai dengan extensi, extensi yang digunakan disini diisi sesuai dengan kontennya, karena disini saya akan mendownload file iso maka extensinya adalah .iso. Untuk konfigurasinya kalian bisa menggunakan perintah ip firewall mangle add chain=prerouting src-address=28.28.28.2 protocol=tcp content=.iso dst-port=80 in-interface=ether2 action=mark-connection new-connection-mark=mark-client-http-nd
Chain prerouting digunakan untuk melakukan marking paket yang akan keluar atau melalui router
src-address adalah sumber berasalnya paket tersebut
protocol tcp dan dst-protocol 80 berfungsi untuk melakukan marking pada web yang menggunakan HTTP
action digunakan untuk menambahkan suatu extensi kontennya
in-interface yang digunakan adalah tempat masuknya paket yang berasal dari client
action mark-connection untuk menandai koneksi
new-connection-mark digunakan untuk menamai paket tersebut
2. Selanjutnya disini kita lakukan pengujian dengan mendownload salah satu file iso yang kalian inginkan, disini saya akan mendownload file debian yang berada di website yang sama dengan yang awal yaitu http://kartolo.sby.datautama.net.id/
3. Kemudian kita lihat pada bagian firewall > mangle dapat terlihat bahwa pada paket yang sudah kita tandai akan terus bertambah ketika kita melakukan proses pengunduhan pada file iso
4. Setelah itu disini kita aktifkan fitur passthrough yang berfungsi untuk menentukan apakah paket data akan diteruskan ke rule berikutnya atau tidak. Jika kita ceklis maka paket akan diteruskan, begitu juga sebaliknya, jika kita unceklis maka paket tidak akan diteruskan. Disini kita ceklis saja
Konfigurasi Packet Mark
# Konfigurasi Packet Mark All Traffic (IP Network)
1. Langkah yang pertama disini kita lakukan konfigurasi packet mark untuk memisahkan antara traffic upload dan download, untuk perintah konfigurasinya kalian bisa gunakan :
ip firewall mangle add chain=prerouting src-address=28.28.28.0/24 in-interface=ether2 action=mark-connection new-connection-mark=all-client-connect passthrough=yes
ip firewall mangle add chain=prerouting in-interface=ether1 connection-mark=all-client-connect action=mark-packet new-packet-mark=all-client-download passthrough=no
ip firewall mangle add chain=prerouting in-interface=ether2 connection-mark=all-client-connect action-mark-packet new-packet-mark=all-client-upload passthrough=no
2. Kemudian kalian akses sesuatu menggunakan koneksi internet dan dapat kita lihat pada GUI menu Firewall > Mangle menu packetsnya lama-lama menjadi bertambah
# Konfigurasi Packet Mark Untuk masing-masing client (IP Address)
1. Langkah awal kalian konfigurasi packet-mark untuk memisahkan traffic download dan upload untuk masing-masing client, berikut merupakan konfigurasi packet-mark untuk client-01, untuk konfigurasinya kalian bisa menggunakan perintah
Konfigurasi Routing Mark
1. Langkah yang pertama sebelum kita melakukan konfigurasi Routing Mark disini kita akan membuat 2 ISP, dikarenakan saya memakai virtual, setelah kalian membuat 2 ISP kalian sambungkan pada router yang nantinya dihubungkan ke client.
Router 1 ISP
- Konfigurasi ip address sesuai dengan topologi yang ada diatas, untuk ether1 terhubung dengan internet dan untuk ether2 terhubung langsung dengan router-client. Untuk konfigurasinya kalian gunakan perintah
ip address add address=192.168.43.28/24 interface=ether1
ip address add address=28.28.28.1/24 interface=ether2
Kemudian kita cek menggunakan perintah ip address print dan dapat dilihat bahwa kita berhasil melakukan konfigurasi ip address pada kedua interface
- Selanjutnya kita lakukan konfigurasi ip dns, untuk ip dns disini kita pakai ip gateway dari internet yaitu 192.168.43.1 kemudian jangan lupa untuk mengaktifkan allow remote requests. Untuk konfigurasinya gunakan perintah ip dns set servers=192.168.43.1 allow-remote-requests=yes selanjutnya kalian bisa cek menggunakan perintah ip dns print
- Setelah itu kalian konfigurasi ip route untuk menambahkan gateway sebagai jembatan untuk menuju ke internet, untuk konfigurasinya gunakan perintah ip route add gateway=192.168.43.1. Kemudian jika kalian mau mengeceknya bisa menggunakan perintah ip route print
- Kemudian supaya isp 1 mendapatkan ip address jangan lupa untuk melakukan konfigurasi ip firewall nat, dengan menggunakan perintah ip firewall nat add chain=scrnat out-interface=ether1 action=masquerade, untuk out-interface pastikan bahwa interface tersebut menggunakan interface yang mengarah ke internet
- Selanjutnya kalian lakukan pengecekan apakah router telah terhubung dengan internet atau belum, untuk melakukan pengecekannya kalian gunakan perintah ping google.com jika hasilnya reply seperti gambar dibawah ini maka artinya router sudah terhubung ke internet
Router 2 ISP
- Konfigurasi ip address sesuai dengan topologi yang ada diatas, untuk ether1 terhubung dengan internet dan untuk ether2 terhubung langsung dengan router-client. Untuk konfigurasinya kalian gunakan perintah
ip address add address=192.168.43.20/24 interface=ether1
ip address add address=20.20.20.1/24 interface=ether2
Kemudian kita cek menggunakan perintah ip address print dan dapat dilihat bahwa kita berhasil melakukan konfigurasi ip address pada kedua interface
- Selanjutnya kita lakukan konfigurasi ip dns, untuk ip dns disini kita pakai ip gateway dari internet yaitu 192.168.43.1 kemudian jangan lupa untuk mengaktifkan allow remote requests. Untuk konfigurasinya gunakan perintah ip dns set servers=192.168.43.1 allow-remote-requests=yes selanjutnya kalian bisa cek menggunakan perintah ip dns print
- Setelah itu kalian konfigurasi ip route untuk menambahkan gateway sebagai jembatan untuk menuju ke internet, untuk konfigurasinya gunakan perintah ip route add gateway=192.168.43.1. Kemudian jika kalian mau mengeceknya bisa menggunakan perintah ip route print
- Kemudian supaya isp 1 mendapatkan ip address jangan lupa untuk melakukan konfigurasi ip firewall nat, dengan menggunakan perintah ip firewall nat add chain=scrnat out-interface=ether1 action=masquerade, untuk out-interface pastikan bahwa interface tersebut menggunakan interface yang mengarah ke internet
- Selanjutnya kalian lakukan pengecekan apakah router telah terhubung dengan internet atau belum, untuk melakukan pengecekannya kalian gunakan perintah ping google.com jika hasilnya reply seperti gambar dibawah ini maka artinya router sudah terhubung ke internet
Router Client
- Konfigurasi ip address untuk ether1 terhubung dengan ISP 1, ether2 terhubung dengan ISP 2 dan untuk ether3 terhubung langsung dengan router-client. Untuk konfigurasinya kalian gunakan perintah
ip address add address=28.28.28.2/24 interface=ether1
ip address add address=20.20.20.2/24 interface=ether2
ip address add address=192.168.1.1/24 interface=ether3
Kemudian kita cek menggunakan perintah ip address print dan dapat dilihat bahwa kita berhasil melakukan konfigurasi ip address pada ketiga interface
- Selanjutnya kita lakukan konfigurasi ip dns, untuk ip dns disini kita pakai ip gateway dari isp 1 dan isp 2 kemudian jangan lupa untuk mengaktifkan allow remote requests. Untuk konfigurasinya gunakan perintah ip dns set servers=28.28.28.1,20.20.20.1 allow-remote-requests=yes selanjutnya kalian bisa cek menggunakan perintah ip dns print
- Setelahnya kita konfigurasi ip route disini saya akan memakai ip isp 1 yaitu 28.28.28.1 untuk perintahnya gunakan ip route add gateway=28.28.28.1 distance=1 kemudian gunakan perintah ip route print untuk melakukan pengecekan
- Kemudian supaya router-client terhubung dengan internet kita lakukan konfigurasi ip firewall nat dengan menggunakan 2 interface yang terhubung ke isp 1 dan isp 2
ip firewall nat add chain=scrnat out-interface=ether1 action=masquerade
ip firewall nat add chain=scrnat out-interface=ether2 action=masquerade,
- Selanjutnya kalian lakukan pengecekan apakah router telah terhubung dengan internet atau belum, untuk melakukan pengecekannya kalian gunakan perintah ping google.com jika hasilnya reply seperti gambar dibawah ini maka artinya router sudah terhubung ke internet
2. Langkah selanjutnya jika router-client sudah dapat terhubung dengan internet lakukan download dan import file yang berisi daftar ip local supaya router dapat mengetahui ip mana saja yang berupa ip local untuk mendownload filenya kalian bisa menggunakan perintah :
/tool fetch url="http://ixp.mikrotik.co.id/download/nice.rsc" mode=http
sementara untuk mengimport filenya kalian gunakan perintah :
import file-name=nice.rsc
3. Setelah itu kalian cek pada table address-list yang mana akan menampilkan beberapa daftar ip local yang ada di indonesia
w
2. Kemudian konfigurasi ip route dan arahkan routing-mark dengan yang sudah kita tentukan sebelumnya dengan menggunakan gatewa masing-masing
0 Post a Comment