Address List MikroTik: Cara Rapi Ngatur Sekumpulan Alamat IP

Firewall yang isinya dua puluh rule dengan alamat ditulis satu-satu itu bakal jadi mimpi buruk pas ada alamat yang berubah.

Address list mecahin itu. Satu rule nunjuk ke satu daftar, dan yang diubah cukup isinya.

Bikinnya

/ip firewall address-list
add list=admin address=103.10.20.30 comment="kantor pusat"
add list=admin address=103.10.20.31 comment="kantor cabang"
add list=admin address=192.168.88.0/24 comment="lan lokal"

Terus dipanggil di firewall:

/ip firewall filter
add chain=input src-address-list=admin action=accept place-before=0

Nambah kantor baru cukup nambah satu baris di daftar. Rule firewall-nya nggak perlu disentuh sama sekali.

Kasih comment, selalu

Ini kelihatan sepele tapi nyelametin banyak waktu.

Enam bulan kemudian, daftar berisi lima belas alamat tanpa keterangan itu nggak bisa dirawat. Nggak ada yang berani hapus, soalnya nggak ada yang tahu punya siapa.

Alamat tanpa comment biasanya berakhir dibiarin selamanya, dan itu justru yang bikin daftar izin akses jadi lubang.

Timeout otomatis

Address list bisa diisi otomatis oleh rule firewall, lengkap sama masa berlaku. Ini yang dipakai buat nangkis serangan tebak password:

/ip firewall filter
add chain=input protocol=tcp dst-port=22 connection-state=new \
    src-address-list=ssh-tahap3 action=drop comment="blokir 10 hari"

add chain=input protocol=tcp dst-port=22 connection-state=new \
    src-address-list=ssh-tahap2 action=add-src-to-address-list \
    address-list=ssh-tahap3 address-list-timeout=10d

add chain=input protocol=tcp dst-port=22 connection-state=new \
    src-address-list=ssh-tahap1 action=add-src-to-address-list \
    address-list=ssh-tahap2 address-list-timeout=1m

add chain=input protocol=tcp dst-port=22 connection-state=new \
    action=add-src-to-address-list address-list=ssh-tahap1 address-list-timeout=1m

Urutannya dibaca dari bawah ke atas. Percobaan pertama masuk tahap1, kalau nyoba lagi dalam semenit naik ke tahap2, terus tahap3, dan tahap3 diblokir sepuluh hari.

Yang salah ketik sekali nggak kena apa-apa. Yang nyoba terus-terusan kena sendiri.

Ngisi dari rentang

Kadang yang punya itu rentang, bukan daftar. "192.168.1.50 sampai 192.168.1.90".

Address list nerima bentuk rentang langsung:

add list=kasir address=192.168.1.50-192.168.1.90

Tapi kalau butuh bentuk CIDR-nya, misalnya buat dipakai di tempat lain, Rentang IP ke CIDR & Address List MikroTik ngubahnya sekalian ngasilin baris add yang tinggal tempel.

Ngecek isinya

/ip firewall address-list print where list=admin

Buat yang diisi otomatis, tambahin filter biar cuma lihat yang aktif:

/ip firewall address-list print where list=ssh-tahap3

Kalau daftarnya panjang banget dan nggak pernah dibersihin, itu tanda timeout-nya perlu disetel.

Yang perlu diinget

Address list itu bukan pengaman kalau alamatnya dipalsukan. Buat traffic masuk dari internet, pemalsuan alamat sumber susah dilakuin karena jawabannya nggak bakal balik. Tapi buat traffic di dalam LAN, alamat gampang diganti.

Jadi buat ngebatesin akses admin dari internet, address list itu efektif. Buat mastiin identitas di dalam jaringan sendiri, perlu yang lain.

Baca juga

• Firewall MikroTik: aturan mana yang benar-benar perlu
• 5 port yang jangan pernah dibuka ke internet
• Tabel routing kepanjangan