Secure Small Office Network with VLAN Segmentation on MikroTik

Konfigurasi jaringan kantor kecil berbasis MikroTik RB951Ui-2nD (RouterOS 6.49.13) yang memisahkan lalu lintas ke tiga VLAN, dilengkapi firewall isolasi, hardening service router, dan manajemen bandwidth.

File konfigurasi sudah disanitasi: password, serial number, software id, dan data sensitif lain dihapus.

Fitur

Segmentasi jaringan

• 3 VLAN dengan bridge VLAN filtering: Staff (10), Guest (20), Management (99)
• DHCP server terpisah untuk setiap VLAN
• WiFi Guest (WPA2-PSK) yang masuk ke VLAN 20
• Bandwidth limit dengan Simple Queue: Staff 10M/10M, Guest 3M/3M
• NAT masquerade ke WAN dengan DHCP client

Keamanan

• Isolasi firewall: Staff dan Guest tidak bisa mengakses router, jaringan Management, modem ISP, maupun antar VLAN
• Drop invalid packets pada chain input dan forward
• Semua input dari WAN di-drop
• SSH dan Winbox hanya bisa diakses dari subnet Management
• Service tidak terpakai dimatikan: Telnet, FTP, WWW, API, API-SSL
• SSH strong crypto aktif
• Fitur tidak perlu dimatikan: bandwidth-server, MAC-ping, dan port ether5
• MAC-server dan neighbor discovery hanya di interface Management
• Akun admin bawaan dinonaktifkan dan diganti user baru dengan password kuat

Topologi

Kebijakan akses

Cara pakai

1. Ganti password WiFi di file .rsc: cari CHANGE_ME_WIFI_PASSWORD. Gunakan password acak minimal 12 karakter.
2. Pastikan versi RouterOS dan model perangkat sesuai, atau sesuaikan nama interface.
3. Import konfigurasi dari terminal MikroTik:

   /import file-name=final-config-secure-sanitized.rsc
   

4. Lakukan dari laptop yang tersambung ke ether4 (Management) dan aktifkan Safe Mode (Ctrl+X) dulu supaya tidak terkunci jika ada kesalahan.
5. Buat user admin baru, lalu nonaktifkan user admin bawaan:

   /user add name=NAMA_USER password=PASSWORD_KUAT group=full
   /user disable admin
   

   User tidak ikut diekspor ke file .rsc, jadi langkah ini dilakukan manual.

Catatan

• Pool DHCP dhcp_pool0, dhcp_pool1, dan dhcp_pool5 tidak dipakai server DHCP mana pun dan aman dihapus.
• Konfigurasi ini fokus pada segmentasi dan hardening dasar. Belum mencakup proteksi brute-force, port-scan detection, maupun VPN.

Tech

MikroTik RouterOS, VLAN, Firewall, DHCP, Simple Queue, Hardening