Di rumah ada lima puluh perangkat yang tersambung WiFi. Dari ISP Anda cuma dapat satu alamat IP publik. Tapi semuanya bisa internetan bersamaan.
Pertanyaan itu jarang ditanyakan orang, padahal jawabannya menjelaskan banyak hal yang nanti bikin repot — mulai dari port forwarding yang gagal sampai SSH yang mati sendiri kalau ditinggal.
Alamat privat memang tidak dikenal internet
Alamat seperti 192.168.1.5, 10.0.0.20, dan 172.16.3.1 sengaja dicadangkan untuk dipakai di jaringan sendiri. Router mana pun di internet akan membuang paket yang tujuannya alamat semacam itu.
Jadi paket dari laptop Anda nggak mungkin sampai ke mana-mana apa adanya. Harus ada yang menukarnya.
Yang ditukar bukan cuma alamat, tapi juga port
Waktu paket keluar, router mengganti alamat sumbernya dari alamat privat Anda menjadi alamat publik miliknya. Sampai di situ gampang.
Yang jadi soal: kalau lima puluh perangkat sama-sama keluar sebagai satu alamat, balasannya nanti dikembalikan ke siapa?
Jawabannya nomor port. Router juga mengganti nomor port sumbernya dengan angka yang dia pilih sendiri, lalu mencatat pasangan itu di sebuah tabel:
| Dari dalam | Keluar sebagai |
|---|---|
| 192.168.1.5 port 51234 | 103.20.x.x port 40001 |
| 192.168.1.9 port 51234 | 103.20.x.x port 40002 |
Balasan yang datang ke port 40001 dikembalikan ke 192.168.1.5. Yang ke 40002 ke 192.168.1.9. Dua perangkat boleh memakai nomor port yang sama di dalam, karena di luar mereka sudah dibedakan.
Itu sebabnya cara ini kadang disebut NAT overload atau PAT — yang membedakan port, bukan alamat.
Tabel itu punya batas dan punya umur
Dua akibat yang sering muncul di lapangan, dan dua-duanya bersumber dari sini.
Sesi yang diam terlalu lama diputus. Entri di tabel dihapus kalau nggak ada lalu lintas selama beberapa waktu. Itu sebabnya SSH yang ditinggal makan siang sering menggantung waktu Anda kembali — routernya sudah lupa. Obatnya keepalive di sisi client, bukan di router.
Tabelnya bisa penuh. Satu perangkat yang membuka ribuan koneksi — sering karena malware atau aplikasi torrent — bisa menghabiskan entri untuk semua orang. Gejalanya seisi rumah lambat tanpa sebab yang jelas, padahal bandwidth-nya masih sisa.
Arah masuk tidak punya jawaban, dan itu bawaan
Perhatikan bahwa seluruh mekanisme tadi bermula dari paket yang keluar. Router mencatat karena ada yang memulai dari dalam.
Kalau ada paket datang dari internet ke alamat publik Anda di port 80, nggak ada catatan apa pun yang bisa dipakai. Router nggak tahu paket itu ditujukan ke perangkat yang mana, jadi dibuang.
Karena itulah port forwarding harus dibuat manual: Anda memberi tahu router terlebih dulu bahwa apa pun yang datang ke port tertentu diteruskan ke satu alamat tertentu. Generator NAT dan Port Forwarding MikroTik nyusun aturannya, dan kalau sudah dibuat tapi tetap nggak bisa diakses, urutan memeriksanya ada di port forward MikroTik tidak bisa diakses dari luar.
NAT terasa seperti firewall, tapi bukan
Karena arah masuk tertutup dengan sendirinya, banyak orang menyimpulkan NAT sudah cukup mengamankan jaringan.
Itu keliru, dan bedanya penting. Firewall menutup karena diputuskan; NAT menutup karena nggak tahu harus ke mana. Begitu satu port diteruskan, seluruh keputusan keamanan untuk port itu hilang — nggak ada yang menyaring, nggak ada yang membatasi asalnya.
Kalau IP WAN Anda dimulai 100.64
Berarti ISP menaruh Anda di belakang NAT mereka sendiri. Namanya CGNAT, dan artinya alamat publik itu bukan milik Anda sendiri.
Akibatnya langsung terasa: port forwarding nggak akan pernah jalan, seberapa benar pun aturannya di router Anda. Yang perlu dilakukan bukan mengutak-atik router melainkan meminta IP publik ke ISP, atau memakai jalur keluar seperti VPN. Pilihannya dibahas di cara remote MikroTik dari luar jaringan.
Satu keanehan lagi: mengakses IP publik sendiri dari dalam
Server di rumah sudah bisa diakses dari luar, tapi dari dalam rumah — memakai alamat publik yang sama — malah gagal.
Bukan kesalahan Anda. Paketnya keluar ke router, dibelokkan kembali ke dalam, tetapi balasannya pulang lewat jalur langsung tanpa melewati router, sehingga nggak cocok dengan catatan siapa pun. Perlu aturan tambahan yang sering disebut hairpin NAT.
Kalau penomoran jaringannya sendiri belum mantap, susun dulu di Kalkulator Subnet — banyak kekacauan NAT sebenarnya berakar di subnet yang tumpang tindih.