Pertanyaan ini jawaban teknisnya gampang, jawaban praktisnya lebih ribet.
Jawaban teknisnya: WireGuard. Lebih cepat, lebih simpel, lebih gampang dirawat.
Jawaban praktisnya tergantung satu hal. Pengguna Anda boleh install aplikasi di perangkatnya nggak?
Kalau boleh install: WireGuard
Terowongannya lebih enteng, jabat tangannya hampir seketika, dan konfigurasinya muat di satu layar. Di perangkat MikroTik kecil, selisih kinerjanya sama IPsec kerasa.
Generator WireGuard nyusun kunci sama konfigurasi dua sisi sekaligus.
Syaratnya RouterOS 7. WireGuard nggak ada di v6 dan nggak bakal pernah ada.
Kalau nggak boleh: L2TP atau SSTP
Dua-duanya udah nempel di Windows, Android, sama iOS. Nggak ada yang perlu diinstall. Tinggal isi alamat, username, password, sama kunci.
Buat staf yang pakai laptop kantor dengan hak terbatas, atau pengguna yang nggak bakal mau install apa pun, ini satu-satunya yang jalan.
L2TP + IPsec itu pilihan default. Didukung semua sistem, cukup aman asal pre-shared key-nya panjang dan acak.
SSTP dipakai kalau L2TP gagal nyambung dari jaringan orang. Dia jalan di atas TLS port 443, port yang hampir nggak pernah diblokir hotel, kafe, atau kantor orang. Harganya: butuh sertifikat, dan Android nggak dukung tanpa aplikasi tambahan.
Generator VPN L2TP, SSTP & PPTP nyusun ketiganya lengkap sama user, sertifikat, dan rule firewall.
PPTP: jangan
PPTP udah nggak aman, dan ini bukan hati-hati berlebihan.
Autentikasinya pakai MS-CHAPv2. Record satu proses login udah cukup buat balikin passwordnya pakai tool yang tersedia bebas. Enkripsi di atasnya runtuh bareng, soalnya kuncinya diturunin dari password yang sama.
Artinya siapa pun yang bisa ngerekam traffic di jalur yang dilewatin, wifi umum, jaringan hotel, ISP mana pun, bisa baca seluruh isi tunnel itu belakangan.
Kabar praktisnya: Windows 10, Windows 11, sama iOS modern udah ngehapus PPTP dari pilihan VPN defaultnya. Jadi kemungkinan besar dia juga nggak bakal nolong perangkat yang Anda pikirin.
Dua hal yang paling sering bikin gagal
Port 4500 lupa dibuka. Banyak tutorial cuma nyebut 500 sama 1701. Akibatnya VPN jalan dari jaringan yang punya IP publik, dan gagal dari hampir semua jaringan lain. Soalnya 4500 itu yang dipakai IPsec buat nembus NAT.
Rentang alamat client nyatu sama subnet LAN. Kalau sama, perangkat di LAN nyari client VPN lewat ARP di kabel dan nggak pernah nemu. Gejalanya khas: VPN nyambung, dapat alamat, tapi nggak ada satu pun perangkat yang bisa dihubungi.
Dan yang bikin semuanya sia-sia: CGNAT
Kalau jalur internet kantor ada di belakang CGNAT, koneksi masuk nggak bakal pernah nyampe, sebener apa pun konfigurasinya.
Cek dengan bandingin alamat di /ip address print sama alamat yang kelihatan dari luar. Kalau beda, yang dibutuhin IP publik dari ISP, bukan perbaikan konfigurasi.
Buat yang nggak bisa dapat, CoreNet Remote Platform jangkau perangkat dari sisi sebaliknya.