Pendahuluan

Winbox dan SSH merupakan dua metode utama untuk mengakses dan mengelola router MikroTik. Namun, jika akses ini dibiarkan terbuka ke internet, router menjadi target empuk bagi serangan brute force, scanning, dan eksploitasi keamanan.

Oleh karena itu, pembatasan akses administratif hanya dari jaringan internal (LAN) merupakan langkah keamanan wajib dalam konfigurasi RouterOS.

Artikel ini membahas cara membatasi akses Winbox dan SSH agar hanya bisa digunakan dari jaringan lokal.

Mengapa Akses Winbox dan SSH Harus Dibatasi?

Jika port administrasi terbuka ke publik, risiko yang dapat terjadi antara lain:

• Percobaan login berulang (brute force)

• Pemindaian port oleh bot internet

• Eksploitasi celah keamanan RouterOS

• Pengambilalihan router

Dengan membatasi akses hanya dari LAN, ancaman dari internet dapat dieliminasi hampir sepenuhnya.

Metode 1 — Membatasi Melalui Firewall (Direkomendasikan)

Gunakan firewall pada chain INPUT, karena akses ke router sendiri diproses di chain ini.

Contoh Skenario

• IP jaringan LAN: 192.168.1.0/24

• Hanya LAN yang boleh akses Winbox dan SSH

• Semua akses dari WAN ditolak

Konfigurasi Firewall via Terminal

1. Izinkan akses dari LAN ke router

/ip firewall filter add chain=input src-address=192.168.1.0/24 action=accept comment="Allow LAN access"

2. Izinkan koneksi yang sudah established & related

/ip firewall filter add chain=input connection-state=established,related action=accept comment="Allow established"

3. Drop koneksi invalid

/ip firewall filter add chain=input connection-state=invalid action=drop comment="Drop invalid"

4. Drop semua akses dari WAN ke router

/ip firewall filter add chain=input in-interface-list=WAN action=drop comment="Drop WAN access to router"

Rule ini memastikan Winbox dan SSH tidak bisa diakses dari internet.

Metode 2 — Membatasi Service Berdasarkan IP

Selain firewall, RouterOS juga memungkinkan pembatasan langsung pada service.

Masuk ke:

IP → Services

Pada service:

• Winbox

• SSH

Isi kolom Available From dengan jaringan LAN:

192.168.1.0/24

Dengan cara ini, meskipun firewall salah konfigurasi, akses dari luar tetap ditolak.

Metode Teraman (Disarankan)

Gunakan kombinasi:

✅ Firewall INPUT chain
✅ Pembatasan IP pada Services

Ini memberikan perlindungan berlapis (layered security).

Tips Keamanan Tambahan

Untuk keamanan maksimal:

• Ubah port default Winbox dan SSH
• Nonaktifkan login menggunakan password (gunakan SSH key)
• Gunakan VPN jika ingin akses dari luar jaringan
• Aktifkan address-list untuk memblokir brute force

Kesimpulan

Membatasi akses Winbox dan SSH hanya dari jaringan internal adalah langkah penting dalam mengamankan router MikroTik. Tanpa pembatasan ini, router sangat rentan terhadap serangan dari internet.

Keamanan router bukan hanya soal firewall, tetapi juga kontrol akses yang ketat terhadap layanan administrasi.

Router aman = jaringan aman.