Banyak router yang firewall-nya isinya puluhan rule hasil salin-tempel dari berbagai tutorial, dan pemiliknya sendiri nggak tahu mana yang masih kepakai.
Padahal yang beneran perlu cuma beberapa. Dan urutannya lebih nentuin daripada jumlahnya.
Dua chain yang beda tugasnya
input ngatur traffic yang tujuannya router itu sendiri. Winbox, SSH, DNS, API.
forward ngatur traffic yang lewat router, dari LAN ke internet atau sebaliknya.
Salah naruh rule di chain yang keliru itu penyebab paling sering firewall yang "nggak ngefek". Rule buat ngeblokir situs ditaruh di input nggak bakal ngapa-ngapain, soalnya traffic ke situs itu lewat forward.
Kerangka minimum untuk chain input
/ip firewall filter
add chain=input connection-state=established,related action=accept
add chain=input connection-state=invalid action=drop
add chain=input protocol=icmp action=accept
add chain=input in-interface=bridge-lan action=accept
add chain=input action=dropBaris pertama itu yang paling penting buat kinerja. Koneksi yang udah jalan langsung diterima tanpa dicek ulang satu-satu.
Baris terakhir yang paling penting buat keamanan. Semua yang nggak disebut di atas, ditolak.
Sebelum nempel baris terakhir itu, pastiin dulu Anda masih bisa masuk. Kalau salah urutan, Anda ngunci diri sendiri.
Jaring pengaman sebelum nempel
Pasang scheduler buat matiin firewall otomatis kalau Anda keputus:
/system scheduler
add name=jaring interval=5m \
on-event="/ip firewall filter disable [find]; /system scheduler remove jaring" \
policy=read,write,testKalau lima menit kemudian masih bisa masuk, hapus schedulernya. Kalau keputus, tunggu dan routernya balik sendiri.
Ini lebih murah daripada dateng ke lokasi.
Chain forward yang wajar
add chain=forward connection-state=established,related action=accept
add chain=forward connection-state=invalid action=drop
add chain=forward in-interface=bridge-lan out-interface=ether1-wan action=accept
add chain=forward connection-nat-state=dstnat action=accept
add chain=forward action=dropBaris dstnat itu yang bikin port forward jalan. Sering kelupaan, dan gejalanya port forward yang udah bener tapi nggak nyampe.
Yang sering ditambahin tapi nggak perlu
Blokir port satu-satu. Kalau baris terakhirnya udah drop, semua port yang nggak disebut udah ketutup. Nambah rule drop per port itu cuma nambah panjang tanpa nambah aman.
Blokir alamat negara tertentu. Daftarnya ribuan baris, bikin router berat, dan penyerang yang niat gampang lewat VPN.
Rate limit ICMP yang rumit. Ping itu berguna buat diagnosa. Batesin secukupnya aja, jangan diblokir total.
Yang justru sering kelewat
Batesin akses Winbox. Ini yang paling penting dan paling sering nggak ada:
/ip firewall address-list
add list=admin address=103.10.20.30
/ip firewall filter
add chain=input protocol=tcp dst-port=8291 src-address-list=admin action=accept place-before=0
add chain=input protocol=tcp dst-port=8291 action=drop place-before=1Detail kenapa ini penting ada di 5 port yang jangan pernah dibuka ke internet.
Matiin layanan yang nggak dipakai:
/ip service disable telnet,ftp,www,apiLebih efektif daripada ngeblokir portnya, soalnya layanannya emang nggak jalan sama sekali.
Generator Firewall MikroTik nyusun kerangka ini dengan urutan yang bener, buat RouterOS 6 maupun 7.