Cara Mengamankan Router MikroTik

Keamanan MikroTik penting karena router ini sering menjadi gerbang utama jaringan kantor, sekolah, warnet, hingga penyedia layanan internet. Router yang dibiarkan dengan konfigurasi bawaan, kata sandi lemah, atau versi RouterOS lama mudah menjadi titik lemah bagi seluruh jaringan di belakangnya. Panduan ini merangkum langkah pengamanan MikroTik berdasarkan dokumentasi resmi MikroTik, dari pembaruan hingga pembatasan layanan.

Mengapa Router MikroTik Perlu Diamankan?

Router menghubungkan jaringan internal ke internet, sehingga siapa pun yang menguasainya dapat mengamati lalu lintas, mengubah pengaturan, atau memakainya untuk menyerang pihak lain. Kerentanan pada RouterOS pernah terjadi. Contohnya CVE-2018-14847, celah directory traversal pada antarmuka WinBox di RouterOS versi 6.42 ke bawah yang memungkinkan pembacaan berkas tanpa autentikasi dan bernilai CVSS 9.1 (kritis). Celah ini masuk ke katalog Known Exploited Vulnerabilities milik CISA pada 1 Desember 2021, yang artinya terbukti dieksploitasi di dunia nyata. Pelajarannya sederhana: router yang tidak diperbarui adalah risiko yang sudah diketahui.

Dokumentasi resmi MikroTik menyebut langkah-langkah di bawah sebagai tambahan di atas aturan firewall bawaan yang sudah kuat. Lakukan hanya pada perangkat milik Anda atau yang Anda kelola dengan izin tertulis, dan simpan cadangan konfigurasi sebelum mengubah apa pun.

Cara Mengamankan MikroTik: Lima Langkah Utama

Langkah 1: Perbarui RouterOS dan Firmware

MikroTik menempatkan pembaruan sebagai langkah pertama: beberapa rilis lama memiliki kelemahan yang sudah diperbaiki, sehingga perangkat harus selalu diperbarui. Anda dapat memeriksa pembaruan melalui WinBox atau WebFig, dan MikroTik menganjurkan mengikuti blog pengumuman keamanannya untuk mengetahui isu baru. Di lingkungan produksi, uji dulu di perangkat percobaan dan lakukan di jam sepi.

Langkah 2: Amankan Akun dan Kata Sandi

• Ganti nama pengguna bawaan admin dengan nama lain dan nonaktifkan akun bawaan tersebut.
• Gunakan kata sandi minimal 12 karakter yang memadukan huruf besar, huruf kecil, angka, dan simbol, bukan kata kamus atau gabungan kata kamus.
• Gunakan kata sandi unik yang tidak dipakai ulang di layanan lain. Pengelola kata sandi membantu mencatatnya.
• Buat akun terpisah dengan hak sesuai tugas bila beberapa orang mengelola router.

Langkah 3: Jaga Firewall Bawaan dan Batasi Akses Jarak Jauh

Konfigurasi bawaan MikroTik memiliki firewall yang memblokir koneksi dari sisi WAN, dan MikroTik menegaskan bahwa aturan ini disengaja sehingga jangan dihapus kecuali Anda benar-benar yakin koneksinya aman. Jika Anda memang perlu mengelola router dari jauh, dokumentasi menyarankan memakai VPN seperti WireGuard, bukan membuka WinBox atau SSH langsung ke internet. Bila layanan harus dibuka, batasi hanya untuk alamat IP pengelola. Untuk dasar firewall, baca apa itu firewall dan cara kerjanya.

Langkah 4: Matikan Layanan yang Tidak Dipakai

Setiap layanan aktif menambah permukaan serangan. Dokumentasi MikroTik mencantumkan beberapa yang sebaiknya dimatikan di jaringan produksi:

• MAC-Telnet, MAC-WinBox, dan MAC-Ping. Akses manajemen lewat alamat MAC ini mudah, tetapi tidak perlu terbuka di jaringan produksi.
• Neighbor discovery yang menyiarkan keberadaan router ke perangkat lain.
• Bandwidth server yang hanya berguna untuk uji throughput antarrouter.
• DNS cache untuk permintaan jarak jauh bila router tidak berfungsi sebagai DNS bagi klien.
• Proxy, SOCKS, UPnP, dan layanan cloud yang tidak dibutuhkan.
• Antarmuka Ethernet atau SFP yang tidak terpakai.

Sebagai contoh, tiga perintah berikut dari dokumentasi resmi mematikan akses manajemen berbasis MAC pada router milik Anda:

/tool mac-server set allowed-interface-list=none
/tool mac-server mac-winbox set allowed-interface-list=none
/tool mac-server ping set enabled=no

Pastikan Anda masih punya jalur akses lain, misalnya lewat IP dari jaringan manajemen, sebelum mematikan akses MAC agar tidak mengunci diri sendiri.

Langkah 5: Perkuat SSH dan Lakukan Backup

MikroTik menyediakan opsi /ip ssh set strong-crypto=yes yang memperketat pengaturan SSH, termasuk melarang HMAC SHA1. Selain itu, buat cadangan konfigurasi secara berkala dan simpan di tempat aman di luar router, sehingga pemulihan cepat jika perangkat rusak atau diubah pihak yang tidak berwenang. Pantau juga log untuk percobaan login yang tidak wajar.

Kebiasaan Pengelolaan yang Menjaga Keamanan MikroTik

Konfigurasi yang aman hari ini bisa menjadi tidak aman bulan depan bila tidak dirawat. Beberapa kebiasaan sederhana membantu menjaganya:

• Jadwalkan peninjauan berkala. Setiap beberapa bulan, periksa daftar akun, aturan firewall, dan layanan yang aktif, lalu hapus yang tidak lagi diperlukan.
• Catat perubahan. Simpan catatan siapa mengubah apa dan kapan, sehingga konfigurasi yang janggal mudah dikenali.
• Segmentasikan jaringan. Pisahkan jaringan pegawai, tamu, server, dan perangkat IoT agar satu perangkat yang bermasalah tidak membuka seluruh jaringan.
• Kirim log ke tempat lain. Menyimpan log di server terpisah memudahkan penelusuran bila router bermasalah. Untuk organisasi yang lebih besar, log ini dapat dikumpulkan ke sistem pemantauan terpusat.
• Uji pemulihan. Cadangan baru berguna bila Anda pernah mencoba memulihkannya, jadi latih prosedurnya sebelum insiden terjadi.

Untuk gambaran lebih luas tentang lapisan pertahanan jaringan, baca apa itu network security.

Keamanan Wi-Fi pada Perangkat MikroTik

Jika router Anda juga menyediakan Wi-Fi, gunakan WPA2 atau WPA3 dengan kata sandi kuat dan hindari standar lama. Perbedaan setiap standar dibahas di standar keamanan Wi-Fi: WEP, WPA, WPA2, dan WPA3.

Pertanyaan yang Sering Diajukan

Apakah MikroTik aman dipakai?

MikroTik aman bila dikonfigurasi dan diperbarui dengan benar. Risikonya muncul dari versi RouterOS lama, kata sandi lemah, dan layanan manajemen yang terbuka ke internet.

Perlukah mengganti nama pengguna admin?

Dokumentasi resmi MikroTik menyarankannya, karena nama kustom membantu melindungi akses ke router, terutama bila ada pihak yang dapat menjangkau perangkat secara langsung.

Apakah aman membuka WinBox ke internet?

Tidak disarankan. Gunakan VPN seperti WireGuard untuk akses jarak jauh, atau batasi akses hanya dari alamat IP pengelola.

Bagaimana belajar mengelola MikroTik secara resmi?

MikroTik memiliki jalur sertifikasi yang dimulai dari MTCNA. Anda dapat membaca sertifikasi MTCNA: materi dan cara mendapatkannya.

Kesimpulan

Mengamankan MikroTik berarti memperbarui RouterOS, mengganti akun dan kata sandi bawaan, mempertahankan firewall, mematikan layanan yang tidak perlu, dan mengakses router lewat VPN. Langkah-langkah ini murah tetapi berdampak besar. Jika Anda ingin memperdalam keamanan jaringan secara praktis, lihat kursus Linuxhackingid, atau gunakan layanan profesional untuk menilai konfigurasi jaringan organisasi Anda.