Menjaga Keamanan Router Mikrotik


service-remote0Mikrotik merupakan perangkat yang sangat populer digunakan dalam layanan jaringan komputer, termasuk dalam membagi pemakaian koneksi internet. Selain mudah dalam konfigurasinya, router mikrotik memiliki fitur yang lengkap, disamping tersedianya layanan keamanan router mikrotik itu sendiri.

Walaupun memiliki berbagai jenis keamanan terhadap akses router mikrotik, adakalanya seorang admin jaringan sering mengabaikan sisi keamanan mikrotik sendiri, sehingga akan sangat riskan bila terjadi serangan dan akses dari orang yang tidak berhak, terlebih jika mikortik tersebut langsung terkoneksi ke internet dan memiliki ip publik. Serangan terhadap router mikrotik sebenarnya tidak semata-mata hanya berasal dari jaringan internet, namun bisa juga berasal dari jaringan lokal.

Untuk itu, marik kita bahas langkah pertama yang perlu dilakukan untuk melindungi router mikrotik kita dari orang yang tidak berhak. Sebelum kita melakukan pengamanan terhadap mikrotik, terlebih dahulu kita ketahui jenis-jenis layanan/service untuk mengakses mikrotik.

Layanan/Service Akses Mikrotik

Router Mikrotik memiliki beberapa service untuk memudahkan user dalam mengakses atau menggunakan fitur lainnya di router mikrotik. Secara default, service ini akan dijalankan oleh router terus menerus. Kita dapat menentukan jenis service mana yang dapat diaktifkan ataupun dinonaktifkan. Untuk melihat service yang dijalankan oleh mikrotik, dapat dilihat dari menu IP >> Services
service-remote

Ada beberapa service yang secara default dijalankan oleh router mikrotik. Berikut detail informasi service router MikroTik dan kegunaannya.

  • API : Application Programmable Interface, sebuah service yang mengijinkan user membuat custom software atau aplikasi yang berkomunikasi dengan router, misal untuk mengambil informasi didalam router, atau bahkan melakukan konfigurasi terhadap router. Menggunakan port 8728.
  • API-SSL : Memiliki fungsi yang sama sama seperti API, hanya saja untuk API SSL lebih secure karena dilengkapi dengan ssl certificate. API SSL ini berjalan dengan menggunakan port 8729.
  • FTP : Mikrotik menyediakan standart service FTP yang menggunakan port 20 dan 21. FTP biasa digunakan untuk upload atau download data router, misal file backup. Authorisasi FTP menggunakan user & password account router.
  • SSH : Merupakan salah satu cara remote router secara console dengan secure. Hampir sama seperti telnet, hanya saja bersifat lebih secure karena data yang ditrasmisikan oleh SSH dienskripsi. SSH MikroTik by default menggunakan port 22.
  • Telnet : Memiliki fungsi yang hampir sama dengan ssh hanya saja memiliki beberapa keterbatasan dan tingkat keamanan yang rendah. Biasa digunakan untuk remote router secara console. Service telnet MikroTik menggunakan port 23.
  • Winbox :  Service yang mengijinkan koneksi aplikasi winbox ke router. Tentu kita sudah tidak asing dengan aplikasi winbox yang biasa digunakan untuk meremote router secara grafik. Koneksi winbox menggunakan port 8291.
  • WWW : Selain remote console dan winbox, mikrotik juga menyediakan cara akses router via web-base dengan menggunakan browser. Port yang digunakan adalah standart port HTTP, yaitu port 80.
  • WWW-SSL : Sama seperti service WWW yang mengijinkan akses router menggunakan web-base, akan tetapi www-ssl ini lebih secure karena menggunakan certificae ssl untuk membangun koneksi antara router dengan client yang akan melakukan remote. By default menggunakan port 443.

Selanjutnya adalah pertanyaan bagi administrator jaringan, apakah kemudian semua service tersebut akan digunakan ? Terkadang admin jaringan tidak terlalu peduli, service tetap berjalan padahal tidak dibutuhkan, sehingga service ini bisa dimanfaatkan oleh orang yang tidak bertanggung jawab setiap saat. Pernahkah Anda membuka terminal router MikroTik kemudian muncul pemberitahuan “failure for user root from xx.xx.x.xxx via ssh” ? Error tersebut menginformasikan bahwa ada user yang mencoba mengakses router dengan menebak username dan password router.

Disable Service

Untuk meminimalisasi user mencoba mengakses router menggunakan service tertentu, administrator jaringan bisa mematikan service yang dirasa tidak digunakan. Misal kita hanya butuh memngakses router via winbox dan web-base, maka kita bisa matikan service selain dua service tadi.

Available From

Administrator jaringan bisa membatasi dari jaringan mana router bisa diakses pada service tertentu dengan menentukan parameter “Available From” pada setting service. dengan menentukan “Available From”, maka service hanya bisa diakses dari jaringan yang sudah ditentukan. Ketika ada yang mencoba mengakses router dari jaringan diluar allowed-address, secara otomatis akan ditolak oleh router. Parameter “Available From” bisa diisi dengan IP address ataupun network address.
service-remote2

Ubah Port 

Selain menentukan allowed address, administrator jaringan juga bisa mengubah port yang digunakan oleh service tertentu. Seseorang yang berkecimpung di dunia jaringan bisa menebak dengan mudah port default yang biasa digunakan oleh service – service tertentu.
service-remote3

Management User

Beberapa administrator kadang berpikir bahwa dengan memberi password saja sudah cukup. Kemudian men-share username dan password ke beberapa rekan teknisi, bahkan untuk teknisi yang hanya memiliki akses monitoring router juga diberikan hak akses admin. Hal ini tentu akan sangat riskan ketika router yang dihandle merupakan router penting. Berikut beberapa tips management user yang bijak.

1.   Group Policies

Teknisi yang hanya memiliki tanggung jawab monitoring jaringan tidak membutuhkan hak akses full terhadap router. Biasanya hak akses full hanya dimiliki oleh orang yang paling tahu terhadap kondisi dan konfigurasi router. Admin jaringan bisa membuat user sesuai dengan tanggung jawab kerja masing-masing dengan menentukan group dan policies pada setting user. Jika menggunakan Winbox, masuk ke menu System >> User >> Tab Group.
service-remote4

Ada beberapa opsi kebijakan yang akan diberikan untuk menentukan priviledge user. berikut detail opsi policy dan hak yang dimiliki : 

    • local : kebijakan yang mengijinkan user logi via local console (keyboard, monitor)
    • telnet : kebijakan yang mengijinkan use login secara remote via telnet
    • ssh : kebijakan yang mengijinkan user login secara remote via secure shell protocol
    • ftp : Kebijakan yang mengijinkan hak penuh login via FTP, termasuk transfer file dar/menuju router. User dengan kebijakan ini memiliki hak read, write, dan menghapus files.
    • reboot : Kebijakan yang mengijinkan user me-restart router.
    • read : Kebijakan yang mengijinkan untuk melihat Konfigurasi router. Semua command console yang tidak bersifat konfigurasi bisa diakses.
    • write : Kebijakan yang mengijinkan untuk melakukan konfigurasi router, kecuali user management. Policy ini tidak mengijinkan user untuk membaca konfigurasi router, user yang diberikan policy wirte ini juga disarankan juga diberikan policy read.
    • policy : Kebijakan yang meemberikan hak untuk management user. Should be used together with write policy. Allows also to see global variables created by other users (requires also ‘test’ policy).
    • test : Kebijakan yang memberikan hak untuk menjalankan ping, traceroute, bandwidth-test, wireless scan, sniffer, snooper dan test commands lainnya.
    • web : Kebijakan yang memberikan hak untuk remote router via WebBox
    • winbox : Kebijakan yang memberikan hak untuk remote router via  WinBox
    • password : Kebijakan yang memberikan hak untuk mengubah password
    • sensitive : Kebijakan yang memberikan hak untuk melihat informasi sensitif router, misal secret radius, authentication-key, dll.
    • api : Kebijakan yang memberikan hak untuk remote router via API.
    • sniff : Kebijakan yang memberikan hak untuk menggunakan tool packet sniffer.

2.    Allowed Address

“Allowed Address” digunakan untuk menentukan dari jaringan mana user tersebut boleh akses ke router. Misalkan admin jaringan memiliki kebijakan bahwa teknisi hanya boleh mengankses router melalui jaringan lokal, tidak boleh melalui jaringan public. pada kasus seperti ini, kita bisa menggunakan opsi “Allowed Address”.
service-remote5

Allowed address bisa dengan ip address atau network addresss. Jika kita isi dengan ip address, maka user hanya bisa login ketika menggunakan ip address tertentu, jika kita isi network address, user bisa digunakan pada segmen Ip address tertentu.

 

MikroTik Neighbor Discovery Protocol (MNDP)

Merupakan layer 2 broadcast domain yang mengijinkan perangkat yang support MNDP atau CDP untuk saling “menemukan”. Contoh paling sederhana ketika kita scan winbox untuk meremote router. Dengan melakukan scan, akan muncul informasi mac address, identity, dan ip address router. Sehingga pada saat MNDP ini berjalan, user yang berada dalam jaringan router bisa dengan mudah menemukan router, dan mengetahui beberapa informasi router. Pada router Mikrotik, router yang menjalankan MNDP bisa dilihat di menu IP >> Neighbors. Akan terlihat router yang sedang terkoneksi dan menjalankan MNDP.
service-remote6

Agar router tidak menampilkan informasi ketika ada user yang melakukan scan discovery protokol, administrator jaringan disarankan untuk men-disable discovery interface. Jika menggunakan Winbox, masuk ke menu IP >> Neighboor >> Tab Discovery Interfaces.
service-remote7

Misalnya kita disable ether3 pada setting discovery interfaces, maka router tidak dapat di scan atau “ditemukan” dari jaringan yang terkoneksi ke ether3.

Terima kasih

Sumber:
diadaptasi dari http://mikrotik.co.id/

Posted on 18/09/2014, in Mikrotik, NETWORKING and tagged , , , , . Bookmark the permalink. 1 Comment.

Berikan Komentar Anda

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s

%d bloggers like this: