VPN L2TP di MikroTik udah dibikin, PPP Secret udah diisi, tapi dari HP cuma muter-muter lalu gagal. Log router bersih, seolah paketnya nggak pernah sampai.
Sembilan dari sepuluh kasus, yang salah bukan setelan L2TP-nya. Yang salah IPsec dan port yang dibuka.
L2TP sendiri nggak mengenkripsi apa pun
Ini sumber kebingungan nomor satu. L2TP cuma membungkus, dan bungkusannya polos. Yang mengenkripsi IPsec, dan di MikroTik dia dinyalakan lewat satu centang di L2TP Server: Use IPsec.
Artinya "L2TP" dan "L2TP over IPsec" dua hal yang beda jauh, termasuk di firewall:
| Yang lewat | Enkripsi | |
|---|---|---|
| L2TP polos | UDP 1701 | tidak ada |
| L2TP over IPsec | UDP 500, UDP 4500, protokol ESP | ada |
Banyak panduan yang beredar menyuruh membuka UDP 1701. Itu benar cuma untuk L2TP polos — dan L2TP polos sebaiknya nggak dipakai sama sekali. Begitu IPsec nyala, 1701 nggak pernah kelihatan dari luar, karena dia sudah berada di dalam terowongan IPsec.
Yang benar-benar harus dibuka di firewall
Di chain input, dari interface WAN:
- UDP 500 — negosiasi IKE
- UDP 4500 — NAT traversal, dipakai begitu salah satu sisi ada di belakang NAT
- Protokol 50 (ESP) — ini bukan port, ini nomor protokol IP
Yang paling sering kelupaan yang ketiga, dan gejalanya khas: IPsec kelihatan established, tapi tunnel tetap nggak naik atau naik sebentar lalu diam. Negosiasinya lewat UDP dan berhasil, jadi statusnya kelihatan bagus; datanya lewat ESP dan dibuang firewall.
Kalau di aturan firewall Anda cuma ada protocol tcp dan udp, ESP nggak akan pernah lewat betapa pun benarnya setelan yang lain.
Generator Konfigurasi VPN L2TP dan SSTP MikroTik ngeluarin script lengkapnya sekaligus aturan firewall-nya, jadi ketiga baris itu nggak kelewat.
Router Anda di belakang modem? Ada satu langkah lagi
Kalau MikroTik nggak megang IP publik langsung — misalnya di belakang modem Indihome mode router — maka:
- modem harus meneruskan UDP 500 dan UDP 4500 ke IP MikroTik, dan
- passthrough IPsec di modem harus nyala kalau ada setelannya.
Kalau client-nya Windows dan server-nya yang ada di belakang NAT, Windows secara bawaan menolak menyambung. Perlu satu nilai registry di sisi client: AssumeUDPEncapsulationContextOnSendRule diisi 2. Ini setelan di komputer client, bukan di router — dan karena itu sering nggak kepikiran sama sekali saat yang diutak-atik cuma routernya.
Client connect, dapat IP, tapi nggak bisa apa-apa
Kalau tunnel naik tapi nggak ada yang jalan, periksa PPP Profile yang dipakai:
- local-address — IP router di dalam tunnel. Kalau kosong, client nggak punya lawan bicara.
- remote-address — harus menunjuk IP Pool. Kalau kosong, client dapat alamat asal-asalan atau nggak dapat sama sekali.
Dan satu lagi yang sering luput: alamat di pool VPN jangan setumpang tindih dengan subnet LAN di sisi client. Kalau di rumah Anda 192.168.1.0/24 dan pool VPN juga 192.168.1.0/24, paket nggak akan pernah masuk tunnel — client menganggap alamat itu tetangganya sendiri. Pakai blok yang tidak lazim, misalnya 10.66.66.0/24.
Sudah connect, tapi sebagian situs menggantung
Tunnel jalan, ping jalan, situs kecil kebuka, tapi situs besar berhenti setengah jalan. Itu MTU, bukan VPN. Pembungkusan L2TP dan IPsec memakan ruang paket, dan sisa ruangnya nggak cukup buat paket penuh.
Duduk perkaranya dan cara mengukurnya ada di MTU VPN tunnel bikin situs besar menggantung, dan angkanya bisa dihitung di Kalkulator MTU dan MSS.
Sebelum memilih L2TP
L2TP over IPsec dipakai karena dia didukung bawaan di Windows, Android, dan iOS tanpa install apa pun. Itu kelebihannya, dan buat sebagian orang itu satu-satunya alasan yang penting.
Tapi dia bukan satu-satunya pilihan, dan bukan yang paling kencang. Perbandingannya dengan SSTP dan WireGuard ada di L2TP, SSTP, atau WireGuard? — baca itu dulu kalau VPN-nya cuma buat Anda sendiri masuk ke router, karena untuk keperluan itu cara remote MikroTik dari luar jaringan sering punya jawaban yang lebih sederhana.