20 Cara Mengamankan Router Mikrotik dari Serangan

1. Buat pengguna sendiri, nonaktifkan admin bawaan

Buka System lalu Users. Tambahkan pengguna baru dengan nama yang bukan admin, beri grup full, dan kata sandi acak minimal 16 karakter yang langsung dicatat di pengelola sandi. Masuk kembali memakai akun baru itu, pastikan berhasil, lalu nonaktifkan pengguna admin.

Menonaktifkan berbeda dari mengganti kata sandi. Nama pengguna admin sudah diketahui semua orang, dan itu memotong separuh pekerjaan siapa pun yang mencoba masuk. Dengan nama yang tidak umum, percobaan otomatis akan gagal bahkan sebelum menyentuh kata sandi.

2. Matikan layanan yang tidak dipakai

Buka IP lalu Services. Nonaktifkan telnet, ftp, api, api-ssl, dan www kalau tidak dipakai. Setiap layanan yang menyala adalah satu pintu tambahan yang harus dijaga, dan sebagian besar jaringan tidak pernah memakai lima layanan itu sama sekali.

Untuk yang tetap dipakai — biasanya winbox dan ssh — isi kolom Available From dengan rentang alamat yang diizinkan. Kolom itu adalah pembatasan paling sederhana dan paling sering dibiarkan kosong.

3. Ganti port administrasi

Masih di IP lalu Services, ubah port winbox dari 8291 ke nomor lain di rentang tinggi. Ini bukan pengamanan sesungguhnya — port apa pun bisa ditemukan dengan pemindaian — tapi menghilangkan hampir seluruh percobaan otomatis yang hanya menyasar port bawaan.

Yang menjadi pengamanan sesungguhnya adalah pembatasan sumber di langkah berikutnya. Mengganti port tanpa membatasi sumber hanya memindahkan pintu, bukan menguncinya.

4. Buat address-list untuk akses administrasi

Buka IP lalu Firewall lalu tab Address Lists. Buat daftar bernama admin-akses, dan isi dengan alamat yang boleh mengelola router: jaringan lokal Anda, dan alamat IP publik tetap Anda kalau ada.

Kalau Anda tidak punya alamat publik tetap, jangan mengisi daftar ini dengan rentang lebar. Solusi yang benar adalah menyiapkan VPN ke router, lalu memasukkan rentang alamat VPN ke dalam daftar. Dengan begitu akses administrasi hanya mungkin setelah Anda masuk VPN terlebih dahulu.

5. Susun chain input dan ubah kebijakannya jadi drop

Ini langkah paling berdampak dan paling berisiko mengunci diri sendiri. Nyalakan Safe Mode dulu. Lalu di IP lalu Firewall tab Filter Rules, susun aturan chain input dengan urutan berikut.

• Terima koneksi dengan Connection State established dan related. Ini yang membuat lalu lintas balasan tetap lewat tanpa diperiksa berulang.
• Buang koneksi dengan Connection State invalid.
• Terima ICMP dengan batas laju yang wajar. Jangan diblokir total — itu mematikan deteksi ukuran paket dan menyebabkan gejala aneh pada situs tertentu.
• Terima trafik dari Src. Address List admin-akses.
• Terima trafik dari antarmuka jaringan lokal bila memang diperlukan, misalnya untuk DNS dan DHCP.
• Terakhir, ubah kebijakan bawaan chain input menjadi drop. Setelah ini, semua yang tidak disebutkan di atas otomatis dibuang.

6. Tambahkan aturan RAW

Aturan RAW diproses sebelum connection tracking, jadi paket yang dibuang di sini tidak pernah membebani tabel koneksi. Ini yang menjaga router saat ada banjir paket, dan sekaligus mencegah tabel koneksi penuh yang gejalanya sering disalahartikan sebagai bandwidth habis.

Buka IP lalu Firewall tab Raw. Buang paket dari alamat yang tidak semestinya muncul di internet — rentang privat yang datang dari antarmuka WAN, alamat multicast yang tidak dipakai, dan alamat yang jelas dipalsukan. Buat address-list berisi rentang tersebut supaya aturannya ringkas dan mudah ditinjau.

7. Pasang penangkal percobaan login berulang

Pola yang umum: alamat yang gagal masuk beberapa kali dalam waktu singkat dimasukkan otomatis ke daftar terlarang dengan masa kedaluwarsa. Ini dikerjakan dengan rangkaian aturan pada chain input yang memakai Action add-src-to-address-list secara bertingkat.

Susun tiga tingkat: percobaan pertama masuk daftar tahap satu selama satu menit, percobaan berikutnya dari alamat yang sudah ada di tahap satu masuk tahap dua selama sepuluh menit, dan seterusnya sampai daftar terlarang selama beberapa hari. Lalu satu aturan di paling atas yang membuang seluruh trafik dari daftar terlarang.

Pastikan address-list admin-akses diperiksa lebih dulu daripada aturan ini, supaya kesalahan mengetik kata sandi dari kantor sendiri tidak membuat Anda ikut terblokir.

8. Batasi laju koneksi baru

Selain percobaan login, ada pemindaian yang membuka banyak koneksi sekaligus. Batasi jumlah koneksi baru per alamat sumber dengan aturan yang memakai Connection Limit atau pembatasan laju pada chain input dan forward.

Angkanya perlu disesuaikan dengan pola pemakaian Anda. Terlalu ketat akan mengganggu pengguna yang sah, terutama yang memakai aplikasi dengan banyak koneksi paralel. Mulai dari angka longgar, lalu perketat sambil memantau.

9. Matikan penemuan perangkat di sisi WAN

Buka IP lalu Neighbors lalu Discovery Settings, dan keluarkan antarmuka WAN dari daftar. Kalau tidak, router Anda mengumumkan keberadaan dan versinya ke jaringan ISP, dan itu informasi yang tidak perlu dibagikan.

Lakukan hal yang sama untuk MAC server: buka Tools lalu MAC Server, dan batasi MAC Telnet Server serta MAC WinBox Server hanya pada antarmuka lokal. Akses lewat MAC tidak melewati firewall IP, jadi kalau dibiarkan terbuka di sisi WAN, seluruh aturan yang sudah Anda susun bisa dilewati.

10. Delapan langkah pelengkap

Sepuluh langkah pertama sudah menutup sebagian besar risiko. Delapan berikut melengkapinya, dan semuanya cepat dikerjakan.

• Matikan Bandwidth Test server di Tools lalu BTest Server kalau tidak sedang dipakai untuk pengukuran.
• Matikan allow-remote-requests di IP lalu DNS kalau router tidak memang bertugas melayani DNS dari luar. Kalau dinyalakan, pastikan chain input sudah drop.
• Aktifkan DNS over HTTPS dengan sertifikat root yang diimpor, supaya jawaban DNS tidak mudah dipalsukan di jalan.
• Sinkronkan waktu ke NTP di System lalu NTP Client. Log dengan waktu salah tidak berguna saat sedang mencari penyebab masalah.
• Aktifkan pencatatan untuk percobaan login gagal, dan kirim salinan log ke luar router kalau memungkinkan.
• Tinjau seluruh aturan NAT dan buang port forwarding warisan yang mengarah ke perangkat yang sudah tidak ada. Ini sumber celah nomor satu dalam jangka panjang.
• Pisahkan jaringan tamu dari jaringan internal, dan uji dari perangkat tamu bahwa komputer kerja benar-benar tidak bisa dijangkau.
• Pasang backup terjadwal di System lalu Scheduler, kirim salinannya ke luar router, dan uji pemulihannya sekali. Backup yang belum pernah diuji bukan backup.

Yang bisa dan tidak bisa dicapai

Tidak mau ribet?

Dua puluh langkah ini bisa dikerjakan sendiri, dan justru itu yang kami harapkan — sebagian besar isinya tidak sulit, hanya jarang dijelaskan berurutan. Yang menuntut kehati-hatian adalah langkah kelima dan ketujuh, karena keduanya bisa mengunci akses Anda sendiri kalau urutannya salah.

Kalau Anda lebih tenang bila dikerjakan orang yang biasa, pekerjaan ini kami tangani remote dalam tiga sampai empat jam, disertai laporan temuan: apa yang terbuka sebelumnya, apa yang sudah ditutup, dan risiko mana yang sengaja dibiarkan karena memang dibutuhkan.