Membatasi Internet dan Memblokir Situs Dengan DNS pada Jam Kantor dengan Mikrotik

Sistem yang saya buat yaitu dengan membatasi akses ke situs-situs sosial media, porno, video streaming, dll pada saat jam kerja (08.00 - 12.00 & 13.30 - 16.00). Untuk detail nya sebagai berikut :

Membatasi akses :

Jam kerja pagi (08.00 – 12.00)

Membuka akses :

Jam istirahat (12.00 – 13.30)

Membatasi akses :

Jam kerja siang (13.30 – 16.00)

Membuka akses :

Jam luar kerja (16.00 – 08.00)

Pembatasan ini dimaksudkan agar karyawan dapat memanfaatkan waktu nya pada saat jam kerja untuk mengerjakan pekerjaan nya bukan untuk hal yang lain. 

Untuk membangun sistem ini, saya menggunakan beberapa tools di Mikroik dan juga bantuan dari DNS external yaitu OpenDNS dan Nawala.

Secara umum konfigurasi yang dilakukan adalah sebagai berikut :

• Mengatur konfigurasi IP Address untuk jaringan Wi-Fi dan LAN pada mikrotik. 
• Menambahkan konfigurasi NTP (Network Time Protocol) Server untuk sinkronisasi waktu supaya mikrotik dapat berkerja tepat waktu. Ini sangat penting supaya script dapat dieksekusi tepat waktu. 
• Konfigurasi jaringan internet di Mikrotik. Pastikan koneksi internet sudah jalan di Mikrotik. Untuk memastikannya silakan ping ke Google.com
• Menambahkan konfigurasi DNS Server dari OpenDNS dan Nawala sebagai filter dan memblokir konten berbahaya.

1. Yang pertama, kita set terlebih dahulu ip address pada mikrotik. Setting ip seperti gambar berikut :

;

Interface speedy(ether1) = dhcp-client

Interface kantor1(ether2) = 100.100.100.1/24

Interface kantor2(ether3) = 200.200.200.1/24

Interface kantor3(ether4) = 192.168.10.1/24

2. Konfigurasi Network Time Protocol Client

Dalam kondisi tertentu Router Mikrotik harus bekerja berdasarkan waktu, baik tanggal, hari, maupun jam. Misalnya saja jika Anda ingin memblokir akses internet di luar jam kerja atau memblokir beberapa situs pada jam-jam tertentu. Jika anda menggunakan PC sebagai Router Mikrotik ini tentu bukan masalah, karena di Motherboard komputer sudah terpasang baterai yang dapat mempertahankan konfigurasi waktu. Namun pada RouterBoard Mikrotik yang tidak memiliki barerai internal maka konfigurasi waktu akan kacau tiap kali router mengalami restart.

Nah, untuk menghindari ketidakakuratan konfigurasi waktu inilah, maka pada Router Mikrotik perlu dikonfigurasikan Network Time Protocol (NTP). Router Mikrotik perlu mengetahui NTP Server yang ada di Internet dan akan berusaha menyesuaikan dengan konfigurasi waktu yang ada di NTP Server tersebut. Untuk sinkronisasi konfigurasi waktu pada Router Mikrotik, Anda dapat menggunakan NTP Server untuk Indonesia dengan IP Address 203.160.128.3.

Untuk lebih mudahnya silakan anda gunakan Winbox untuk menyeting NTP Client nya. Buka Winbox, masuk ke menu System --> NTP Client, seperti gambar berikut :

Centang opsi Enabled --> Mode : unicast --> Primary NTP Server : 203.160.128.3

Atau bisa juga menggunakan command line :

[admin@MikroTik] > system ntp client set primary-ntp=203.160.128.3 enabled=yes mode=unicast

Selanjutnya seting waktu pada mikrotik nya dengan masuk ke menu System --> Clock, seperti gambar di bawah ini :

Atau bisa juga menggunakan command line :

[admin@MikroTik] > system clock set time-zone-name=Asia/Jakarta

3. Konfigurasi jaringan internet di Mikrotik. Pastikan koneksi internet sudah jalan di Mikrotik. Untuk memastikannya silakan ping ke Google.com.

4. Menambahkan konfigurasi DNS Server dari OpenDNS dan Nawala sebagai filter dan memblokir konten berbahaya.

Untuk dapat memblokir situs atau konten terentu di internet pada Mikrotik dapat dilakukan dengan cara :

1. Web Proxy

2. DNS Static

3. Firewall

Namun untuk web proxy dan firewall harus memasukkan daftar situs yang akan diblokir secara manual satu per satu. Hal ini tentu akan sangat merepotkan jika jumlah situs yang akan diblokir sampai ratusan bahkan ribuan. Kendala lainnya adalah kita tidak tau situs apa saja yang harus diblokir.

Nah, oleh karena itu solusi yang cocok adalah menggunakan DNS Static. Dalam hal ini kita dapat menggunakan DNS Gratis dari Nawala atau OpenDNS yang sudah memfilter konten berbahaya. Jadi kita tidak perlu lagi repot-repot memfilter manual semua situs-situs berbahaya tersebut.

Caranya sangat mudah, silakan anda login ke Mikrotik via Winbox.

1. Jika anda menggunakan DHCP Client, misalnya menggunakan internet dari speedy atau modem GSM maka anda harus menonaktifkan fitur "Use Peer DNS"

Masuk ke menu IP --> DHCP Client --> Buka DHCP client nya -- > uncheck "Use Peer DNS"

2. Masuk ke menu IP --> DNS --> Masukkan DNS Server nya di kolom Servers --> centang Allow Remote Request

- DNS Nawala (gratis tanpa register) :

· 180.131.144.144

· 180.131.145.145

- DNS OpenDNS (gratis register dulu) --> opendns.com

Bedanya jika menggunakan DNS Nawala jika masuk ke situs yang terblokir muncul pesan tetapi tidak dpat diganti. Sedagkan kalo OpenDNS bisa kita masukkan pesan tertentu sesuai keinginan seperti pada gambar pertama diatas.

Selain itu, jika menggunakan DNS Nawala kita ga bisa menambahkan atau mengurangi situs yang diblokir, sedangkan kalo menggunakan DNS OpenDNS bisa diatur situs apa saja yang mau diblokir. Namun jika menggunakan OpenDNS harus register dulu.

3. Setelah diganti DNS nya, jangan lupa untuk Flush DNS Cache nya. Pada menu DNS Settings --> Cache --> Flush Cache

atau bisa menggunakan command :

ip dns cache flush

4. Lakukan flush DNS cache juga pada windows dengan command di CMD :

ipconfig /flushdns

Nah, sekarang siapapun yang mengakses konten dewasa akan diblokir oleh DNS server. 

OpenDNS dapat digunakan untuk memfilter situs berbahaya dan memblokir akses ke situs tertentu sepeti social media, video streaming, dan lain - lain. Sementara untuk DNS Nawala hanya memblokir akses ke situs berbahaya.

OpenDNS digunakan saat jam kerja, DNS Nawala digunkan diluar jam kerja pengaturannya menggunakan Script dan Scheduller.

5. kita akan membuat Script dulu. Pada Winbox, masuk ke System --> Scripts. Ada beberapa Script yang akan kita buat seperti gambar berikut :

1. Script pertama yang kita buat yaitu script jam kerja. Script ini akan memberikan

perintah ke Mikrotik untuk mengganti setingan DNS ke IP DNS nya OpenDNS,

kemudian melakukan flush cache DNS. Script nya sebagai beriku (masukkan ke 

kolom Source)

/ip dns set servers=208.67.220.220,208.67.222.222

/ip dns cache flush

2. Script selanjutnya digunakan untuk mengganti IP DNS ke Nawala.

/ip dns set servers=180.131.144.144,180.131.145.145

/ip dns cache flush

3. Hari libur yaitu Sabtu dan Minggu koneksi internet tidak dibatasi, tetapi masih menggunakan DNS Nawala. Caranya dengan mematikan penjadwalan (Scheduler) yang nanti akan kita buat.

/system scheduler disable 0

/system scheduler disable 1

4. Ketika masuk lagi ke hari kerja yakni hari senin, maka aturan nya kembali seperti semula dengan pembatasan internet pada jam kerja. Caranya dengan mengaktifkan kembali scheduler nya.

/system scheduler enable 0

/system scheduler enable 1

5. Script yang sudah kita buat sebelumnya akan dijalankan secara otomatis berdasarkan waktu (jam). Pastikan anda membuat scheduler nya urutan nya sama seperti gambar berikut ini; supaya script pada point 15 dan 16 bisa berjalan.

6. Buat scheduler untuk mengeksekusi script jam kerja (pagi). 

Name : Filter Jam Kerja Pagi

Start Date : Pilih tanggal kapan script akan mulai dieksekusi secara otomatis

Start Time : Jam berapa script akan dieksekusi

Interval : 1 hari

On Event : nama script yang dieksekusi (jam kerja)

7. Buat scheduler lagi untuk jam kerja sore yakni pukul 13.30 (sesuaikan jam nya dengan jam kantor anda). Lihat gambar berikut :

8. Ketika masuk jam istirahat, pegawai dapat mengakses social media, video streaming, dll kecuali web dan konten porno. Caranya dengan mengganti ke DNS Nawala. Buat scheduler pada jam 12.00 dengan script luar jam kerja (LJK).

9. Ketika masuk jam pulang kerja, maka koneksi akan sama seperti pada jam istirahat. Disini diasumsikan jam pulang kantor pukul 16.00.

10. Pada hari libur (Sabtu & Minggu) script libur akan dieksekusi secara otomatis pada Jum'at malam pukul 23.59 dengan interval waktu 7 hari. Jadi script ini akan dieksekusi seminggu sekali yakni hari Jum'at malam. 

Jadi, Pastikan Start Date nya adalah hari jum'at

11. Pada hari senin koneksi akan kembali dibatasi secara otomatis dengan script senin yang akan dieksekusi pada senin dini hari pukul 00.00. lebih 50 detik dengan interval 7 hari.

Pastikan start date nya hari senin.

Sampai disini konfigurasi script dan scheduler sudah selesai. Jika setingan nya benar seperti di atas maka script nya akan berjalan dengan baik secara otomatis.

Read More

Memblokir Situs Dengan Web Proxy Pada Mikrotik

Web proxy adalah website berbasis proxy server yang bertindak sebagai perantara untuk menerima / melakukan request terhadap kontent dari sebuah jaringan internet atau intranet. Proxy server bertindak sebagai gateway untuk setiap komputer klien. Web Server yang menerima permintaan dari web proxy akan menerjemahkannya, dan seolah-olah permintaan tersebut langsung dari komputer klien. Dan dalam proses pengiriman data, ip address tidak terdeteksi karena telah disembunyikan terlebih dahulu oleh proxy.

Jika menggunakan web proxy kita dapat menghemat bandwidth dan menambah kecepatan pada saat browsing internet karena web proxy mempunyai kemampuan untuk menyimpan data ke storage local sehingga jika ada client lain yang membuka situs yang sama, maka isi website sebagian besarnya di ambil dari storage local server selain itu juga web proxy mempunyai kemampuan untuk memblokir situs terlarang, seperti situs judi ataupun pornografi

Perangkat yang dibutuhkan :

1. Roterboard Mikrotik : 1 unit

2. Kabel UTP : 1 unit

3. Laptop sebagai admin : 1 unit

4. Perangkat (pc,hp) sebagai client : sesuai kebutuhan

5. Jaringan internet

Gambar 1.1 

Tujuan :

Mampu mengkonfigurasi Web Proxy pada Router Mikrotik

Mampu memblokir situs menggunakan Web Proxy

Langkah-langkah

1. Aktifkan terlebih dulu service dari web-proxy pada MikroTik dengan pengaturan pada menu IP -> Web Proxy. 

Gambar 1.2

Kemudian centang pilihan Enable, dan tentukan pada port berapa proxy bekerja. By default web-proxy akan bekerja pada port 8080. 

Gambar 1.3

2. Sampai langkah ini, web-proxy pada Router Mikrotik sudah aktif sebagai Regular HTTP Proxy. Dengan kata lain jika PC Client ingin menggunakan service proxy ini, maka harus disetting secara manual pada web browser masing-masing client dengan menunjuk ip-mikrotik port 8080. 

Agar tidak perlu setting web-browser client satu per satu, ubah web-proxy Mikrotik agar berfungsi sebagai Transparent Proxy. Implementasinya, gunakan fitur NAT untuk membelokan semua traffic browsing HTTP (tcp 80) yang berasal dari client ke fitur internal web-proxy yang sudah diaktifkan sebelumnya. Untuk membuatnya masuk pada menu IP->Firewall->NAT->Klik �+�. 

Gambar 1.4

3. Selanjutnya, karena semua traffic HTTP dari client sudah masuk ke web-proxy, maka bisa dilakukan manajemen. Salah satunya adalah melakukan blocking akses client ke website tertentu.

Block Website 

Untuk melakukan block akses client ke website tertentu dapat dilakukan pada menu Webproxy -> Access.

Gambar 1.5

Tambahkan rule web-proxy access baru. Dalam contoh ini, client tidak diperbolehkan akses ke www.detik.com. Definisikan website yang akan diblock pada parameter dst-host dengan action = deny. 

Gambar 1.6

4. Jika diperhatikan, penulisan dst-host tidak menggunakan alamat website lengkap akan tetapi menggunakan tanda bintang (*) di depan dan belakang nama/alamat website. Tanda * dimaksudkan sebagai wildcard untuk menggantikan semua karakter. Dengan ditambahkan wildcard, traffic client yang menuju ke website yang URL-nya terdapat kata Detik.com akan diblock. 

Coba browsing ke alamat www.detik.com , maka secara otomatis Web-Proxy MikroTik akan melakukan pemblokiran terhadap website tersebut dan menampilkan pesan error pada browser client. 

Gambar 1.7

Kesimpulan

Pada percobaan pemblokiran situs menggunakan web proxy pada mikrotik, dapat disimpulkan bahwa:

1. Web-proxy dapat digunakan untuk memblokir situs.

2. Konfigurasi proxy yang dilakukan menggunakan fungsi filtering.

3. Alamat yang masuk dalam daftar filtering, tidak dapat diakses oleh client.

4. dalam block situs menggunakan web proxy, bisa dilakukan redirect website yang diblock ke alamat situs lain.

5. Dengan mensetting transparent proxy setiap request dari client akan dialihkan ke port web proxy.

Read More

Routing Dan Blokir Situs Dengan Firewall Pada Mikrotik

Firewall merupakan sebuah mekanisme yang fungsinya untuk melindungi jaringan maupun host dari ancaman yang berasal dari luar maupun dalam. Biasanya firewall terletak di tengah-tengah antara jaringan lokal dengan jaringan publik. Namun di dalam host pun (komputer dan laptop) juga terdapat firewall.

Dengan firewall kita bisa mengatur paket atau layanan apa saja yang diperbolehkan menuju jaringan kita dan mana saja yang tidak boleh masuk. Tidak hanya paket yang menuju ke dalam jaringan (inbound), namun paket yang akan keluar dari jaringan (outbound) juga dapat kita atur (accept/drop).

Contoh penerapan firewall pada mikrotik adalah untuk memblokir akses internet user pada situs tertentu. Konsepnya adalah mengkonfigurasi firewall agar memblokir (membuang) paket yang ditujukan untuk mengakses situs web. Dengan begitu halaman web tidak akan tampil pada browser client, yang artinya client tidak bisa mengakses web tersebut.

1. Pertama kita lihat dulu sambungannya

2. Disini kami memanfaatkan wlan1 untuk mengambil jaringan internet, jadi disini kami menambahkan 

wlan virtual sebagai AP atau pembagi jaringan

3. Selanjutnya untuk dapat acces internet kita harus meminta ip dari Internetnya dengan cara masuk ke dhcp client kemudian klik ikon tambah kemudian pilih interfacenya pada interface yang kita gunakan sebagai acces internet disini saya menggunakan wlan1

4. Kita konfigurasi Ip address pada jaringan kita, disini ip dan interface yang kita gunakan:

a. Wlan1(jaringan internet) : 192.168.43.111/24

b. Ether2 (server) : 172.100.1.1/24

c. Wlan2(client) : 10.1.1.1/24

5. Setelah itu agar client bisa mendapat ip secara otomatis kita gunakan dhcp server dengan cara klik ip lalu dhcp server kemudian klik dhcp setup kemudian pilih interface client kita

6. Kemudian kita cek routingnya, ini biasanya kita dapat otomatis saat kita mengatur ip dan dhcp client

7. Selanjutnya kita juga bisa cek dns ini juga biasanya terisi otomastis saat kita mengisi dhcp client

8. Setelah semua selesai kita bisa mendapat ip otomatis pada ether2 dan wlan2. Mohon maaf untuk pengecekan pada ip ether2 lupa di prtsc. Dibawah ini ip yang di dapat 

9. Setelah itu kita cek koneksi dengan acces web server dengan cara search ip server di web browser

10. Selanjutnya kita coba blokir situs dengan cara masuk ke ip kemudian ke menu firewall, lalu masuk ke menu layer7 protocol kemudian klik ikon tambah

11. Setelah itu kita isi name dengan nama dan regexp dengan nama web yang akan kita block, untuk contoh disini saya menggunakan www.tokopedia.com

12. Kemudian kita masuk ke menu filter rule, kemudian klik ikon tambah atur general untuk chain forward

13. Advanced nya kita atur di layer 7 protocol sesuai yang telah kita buat sebelumnya

14. Dan untuk actionnya kita pilih drop

15. Terakhir kita bisa coba

Cara Lain:

1. Menggunakan Parameter "Content"

Cara pertama adalah dengan memanfaatkan matcher Content yang tersedia pada firewall filter maupun raw di mikrotik router os. Parameter content akan mencocokan string yang terdapat pada halaman web dengan nilai yang telah kita isikan. Apabila cocok dan action yang digunakan adalah drop, maka firewall akan memblokir halaman web tersebut.

Matcher ini dapat kalian temui pada menu Tab Advanced. Firewall akan mencocokan isi paket dengan nilai yang diberikan pada parameter content. Misalkan kita ingin memblokir youtube menggunakan content ini maka kita bisa mengisinya dengan content=www.youtube.com .

Langkah konfigurasi :

Masuk menu IP > Firewall > Filter > Add (+).

Pada parameter chain, pilih forward (karena kita akan memblokir paket yang melewati router). Kemudian isi Src. Address dengan ip network yang digunakan oleh jaringan kalian (jaringan lokal).

Selanjutnya masuk ke tab Advanced, kemudian masukkan situs yang ingin diblokir pada bagian Content.

Pada tab menu Action, pilih action drop.

Untuk pengujiannya, silahkan akses youtube melalui browser. Seharusnya situs tidak bisa diakses. Dan pada tabel firewall akan terlihat jumlah bytes dan paket yang didrop oleh firewall.

Langkah-langkah di atas dapat juga dipakai pada firewall raw. Karena langkahnya sama maka saya tidak akan menuliskannya. Kalian dapat mencobanya sendiri. 

2. Menggunakan Layer 7 Protocol

Cara yang kedua adalah dengan memanfaatkan fitur layer 7 protocol yang ada pada mikrotik. Cara ini sedikit lebih rumit. Berbeda dengan content yang hanya menggunakan string biasa, layer 7 protocol menggunakan regular expression untuk mencocokan paket-paket. Kelebihannya, layer 7 protocol memungkinkan firewall untuk melakukan pemeriksaan secara mendetail. Namun kekurangannya, firewall akan menggunakan lebih banyak resource router.

Setidaknya ada 2 langkah yang perlu dilakukan jika ingin memblokir situs web menggunakan L7 protocol. Pertama buat regexp terlebih dahulu pada menu IP > Firewall > Layer7 Protocols > +.

Saya sendiri tidak hafal penulisan regexp-nya, namun untuk kepentingan memblokir situs kita bisa menggunakan pola seperti ini

^.+(web1.com|web2.com|web3.com|webn.com).*$

Tanda “|” digunakan untuk memisahkan nama-nama situs apabila kita ingin memblokir lebih dari satu situs. Tinggal ubah tulisan web1, web2, web3, dan webn pada pola di atas dan sesuaikan dengan situs yang ingin kalian blok.

Misalkan situs yang ingin diblokir adalah facebook dan youtube, maka regexp-nya kurang lebih seperti berikut :

Setelah membuat regexp, langkah selanjutnya adalah membuat rule firewallnya.

Pada bagian Advanced, yakni parameter Layer 7 Protocol, pilih regexp yang telah dibuat.

Kemudian pilih action drop.

Silahkan akses situs yang diblokir tersebut kemudian amati juga statistik pada tabel firewall.

3. Menggunakan Parameter "TLS Host"

Cara yang ketiga ini bisa dibilang cara yang baru. Pada router os versi 6.41.1 terdapat parameter baru pada firewall yakni TLS host. Matcher tersebut dapat kita gunakan untuk memblokir situs web.

Langkah-langkahnya tidak berbeda jauh dengan dua cara di atas.

Pilih chain forward dan tentukan Src Address-nya. Kemudian pada matcher Protocol pilih tcp. Untuk bisa menggunakan matcher TLS Host, kita perlu menentukan protokol yang akan difilter.

Kenapa tcp ? Karena kita disini memblokir situs web, dimana untuk mengakses website diperlukan sebuah protokol yakni http atau https, dan http maupun https termasuk ke dalam protokol tcp.

Selanjutnya, masuk ke tab Advanced. Pada parameter TLS Host silahkan diisi dengan nama situs yang ingin diblokir, misal situs youtube.

Jangan lupa tentukan action-nya yakni drop.

Hasil pengujian :

Referensi tentang TLS Host masih sedikit sehingga saya sendiri belum tahu pasti kegunaan dari matcher ini. Namun dari diskusi grup mikrotik yang saya ikuti, dengan menggunakan TLS Host, kita dapat memblokir situs youtube tanpa mengganggu situs atau layanan google yang lain.

Sumber:

Read More

Memisahkan Bandwidth Lokal (IIX) dan Internasional (IX) 2 ISP di Mikrotik

Fungsi mark routing di mikrotik ini sangatlah berguna bagi anda yang memiliki 2 buah upstream link karena dapat melewatkan jalur koneksi ke geteway tertentu.

Pada contoh kali ini kita asumsikan memiliki 2 buah koneksi internet, dimana salah satu isp anda memberikan koneksi ke arah lokal (IIX) lebih besar di bandingkan ke arah internasional, sebuat saja ISP A. Sedangkan ISP B memiliki bandwidth ke internasional cukup besar hanya saja koneksi dari ISP B tidak simetris atau Up to. Untuk itu perlu di optimalkan.

Maka topologinya akan seperti di bawah ini:

Nah, karena kita akan memisahkan traffic lokal dan internasional, maka kita membutuhkan daftar ip yang ada di indonesia yang sudah di advertise ke IIX. 

http://ixp.mikrotik.co.id/download/nice.rsc

Ketikkan perintah di bawah ini pada terminal mikrotik.

[admin@R1] > tool fetch address=ixp.mikrotik.co.id src-path=/download/nice.rsc mode=http;

Selanjutnya import file nice tersebut.

[admin@R1] > import nice.rsc

Setelah berhasil maka, pada address-list di menu firewall akan muncul list ip yang ada di indonesia.

Selanjutnya buat mangle pada mikrotik untuk menandakan routing mark traffic iix dan internasional.

[admin@R1] > ip firewall mangle add chain=prerouting action=mark-routing new-routing-mark=lokal passthrough=yes src-address=192.168.7.0/24 dst-address-list=nice

[admin@R1] > ip firewall mangle chain=output action=mark-routing new-routing-mark=lokal passthrough=yes src-address=192.168.7.0/24 dst-address-list=nice

Sekarang buat default routenya.

[admin@R1] > ip route add gateway=10.10.7.1 routing-mark=lokal

[admin@R1] > ip route add gateway=172.16.7.1

Karena untuk lannya menggunakan ip privat, jangan lupa untuk membuat Nat nya untuk kedua isp.

[admin@R1] > ip firewall nat add chain=srcnat action=masquerade out-interface=ether1

[admin@R1] > ip firewall nat add chain=srcnat action=masquerade out-interface=ether2

Kita coba lakukan tracert dari lan (windows 7) untuk memastikan traffic sudah di alirkan ke default route iix dan internasional.

Dari hasil tracert bahwa traffic internasional sudah di alirkan ke ISP B, sedangkan untuk traffic lokal di alirkan ke ISP A.

Read More