Transparent Proxy Server di Mikrotik

Proxy server merupakan program yang dapat mempercepat akses ke suatu web yang sudah diakses oleh komputer lain, karena sudah di simpan didalam caching server. Transparent proxy menguntungkan dalam management client, karena system administrator tidak perlu lagi melakukan setup proxy di setiap browser komputer client karena redirection dilakukan otomatis di sisi server.

Bentuk perintah konfigurasi :
a. Setting web proxy :

- ip proxy set enable=yes
port={ port yang mau digunakan }
maximal-client-connections=1000
maximal-server-connections=1000

- ip proxy direct add src-address={ network yang akan di
NAT} action=allow

- ip web-proxy set parent-proxy={proxy parent/optional}
hostname={ nama host untuk proxy/optional}
port={port yang mau digunakan}
src-address={ address yang akan digunakan untuk koneksi
ke parent proxy/default 0.0.0.0}
transparent-proxy=yes
max-object-size={ ukuran maximal file yang akan disimpan
sebagai cache/default 4096 in Kilobytes}
max-cache-size= { ukuran maximal hardisk yang akan
dipakai sebagai penyimpan file cache/unlimited
| none | 12 in megabytes}
cache-administrator={ email administrator yang akan digunakan
apabila proxy error, status akan dikirim
ke email tersebut}
enable==yes

Contoh konfigurasi
——————-

a. Web proxy setting

/ ip web-proxy
set enabled=yes src-address=0.0.0.0 port=8080 \
hostname=”proxy.routerku.co.id” transparent-proxy=yes \
parent-proxy=0.0.0.0:0 cache-administrator=”support@routerku.co.id” \
max-object-size=131072KiB cache-drive=system max-cache-size=unlimited \
max-ram-cache-size=unlimited

Nat Redirect, perlu ditambahkan yaitu rule REDIRECTING untuk membelokkan
traffic HTTP menuju ke WEB-PROXY.

b. Setting firewall untuk Transparant Proxy

Bentuk perintah konfigurasi :

ip firewall nat add chain=dstnat
protocol=tcp
dst-port=80
action=redirect
to-ports={ port proxy }

Perintahnya:

——————————————————————————–
/ ip firewall nat
add chain=dstnat protocol=tcp dst-port=80 action=redirect to-ports=8080 \
comment=”” disabled=no
add chain=dstnat protocol=tcp dst-port=3128 action=redirect to-ports=8080 \
comment=”” disabled=no
add chain=dstnat protocol=tcp dst-port=8000 action=redirect to-ports=8080 \
——————————————————————————–

perintah diatas dimaksudkan, agar semua trafik yang menuju Port 80,3128,8000
dibelokkan menuju port 8080 yaitu portnya Web-Proxy.

CATATAN:
Perintah

/ip web-proxy print { untuk melihat hasil konfigurasi web-proxy}
/ip web-proxy monitor { untuk monitoring kerja web-proxy}




source : http://info.g-excess.co

Setup VPN Server di Mikrotik

Remote site VPN,

menurut saya, syarat untuk setup VPN Server adalah :
- mempunyai IP public
- bandwidth dedicated (1:1 bukan share)
- koneksi bukan dial-up
sedangkan yang meremote bebas menggunakan koneksi apa saja.

Berikut cara yang saya pakai untuk setup VPN Server di mikrotik:

Sebaiknya anda membedakan ip lokal di jaringan ada (192.168.5.xxx) dengan ip lokal jaringan yang meremote (192.168.1.xxx) karena kalau segmennya sama tidak akan bisa konek dan biasanya sering bentrok.

Ok Selanjutnya

- Remote Mikrotik menggunakan winbox.
- Buka menu IP > Addresses, misalnya ip public mikrotik anda adalah 220.247.169.139 dan ip local adalah 192.168.5.1 [Ok biarkan saja]
- Buka menu IP > Pool, tambahkan IP Address misal="192.168.5.50-192.168.5.59", Name="vpn-pool" dan Next Pool="none". [OK]
- Buka Menu PPP, tab Profiles, tambahkan profile Name="vpn", Local Address="192.168.5.5", Remote Address="vpn-pool", pilih "default" semua untuk Use Compression, VJP Compression, Encryption dan Change TCP MSS. [Ok]
- Masih di Menu PPP, pada tab Interfaces klik PPTP Server, contreng Enabled, Max MTU dan MRU = "1460", Keepalive Timeout="30", Default Profile="vpn", dan contreng semua Authentication. [Ok]
- Masih di menu PPP, pada tab Secrets, add secret misal Name="testvpn", contreng dan beri Password="adadeh", Service="pptp", Profile="vpn". [Ok]
- Buka Menu IP > Firewall, lihat tab NAT, jika sebelumnya anda sudah menambahkan nat untuk masquerade edit dan kosongkan untuk In dan Out Interfacenya, ini berpengaruh pada koneksi VPN, jika anda mengisi out interfacenya maka anda tidak akan bisa ping dan mengakses jaringan lokal vpn anda. Pastikan untuk Chain="rscnat" dan Action="masquerade" itu saja sudah cukup untuk membuka akses semua protokol dan semua port. [Ok] Done

Setting untuk Server VPN di Mikrotik sudah selesai,
sekarang create connection vpn di Windows(XP) untuk remote:
- Buka Control Panel > Network Connections
- Klik menu File > New Connection... [Next]
- Pilih Connect to the network at my workplace [Next]
- Pilih Virtual Private Network connection [Next]
- Masukkan nama vpn anda misal "VPN Batam" [Next]
- Public Network, pilih Do not dial the initial connection [Next]
- Masukkan Host name IP Public server vpn anda misal "220.247.169.139" [Next]
- Klik Finish. jangan dial dulu
- Klik Properties > tab Security, pilih Advanced klik [Settings...]
- Data encryption: pilih "no data encrypton allowed" [Ok] dan [Ok]
- masukkan username dan password (secrets vpn) anda dan enter [Connect]

Berhasil connect? Pasti dunk... anda sudah berada dalam jaringan VPN
Coba cek ping, tracert qodirly.com atau masuk ke folder share jaringan anda.

Simple Setup VPN Server di Mikrotik

Dalam kasus ini saya memakai Remote site VPN,
menurut saya, syarat untuk setup VPN Server adalah :
- mempunyai IP public
- bandwidth dedicated (1:1 bukan share)
- koneksi bukan dial-up
sedangkan yang meremote bebas menggunakan koneksi apa saja.

Berikut cara yang saya pakai untuk setup VPN Server di mikrotik:

Sebaiknya anda membedakan ip lokal di jaringan ada (192.168.5.xxx) dengan ip lokal jaringan yang meremote (192.168.1.xxx) karena kalau segmennya sama tidak akan bisa konek dan biasanya sering bentrok.

Ok lanjut:
- Remote Mikrotik menggunakan winbox.
- Buka menu IP > Addresses, misalnya ip public mikrotik anda adalah 220.247.169.139 dan ip local adalah 192.168.5.1 [Ok biarkan saja]
- Buka menu IP > Pool, tambahkan IP Address misal="192.168.5.50-192.168.5.59", Name="vpn-pool" dan Next Pool="none". [OK]
- Buka Menu PPP, tab Profiles, tambahkan profile Name="vpn", Local Address="192.168.5.5", Remote Address="vpn-pool", pilih "default" semua untuk Use Compression, VJP Compression, Encryption dan Change TCP MSS. [Ok]
- Masih di Menu PPP, pada tab Interfaces klik PPTP Server, contreng Enabled, Max MTU dan MRU = "1460", Keepalive Timeout="30", Default Profile="vpn", dan contreng semua Authentication. [Ok]
- Masih di menu PPP, pada tab Secrets, add secret misal Name="qodirly", contreng dan beri Password="adadeh", Service="pptp", Profile="vpn". [Ok]
- Buka Menu IP > Firewall, lihat tab NAT, jika sebelumnya anda sudah menambahkan nat untuk masquerade edit dan kosongkan untuk In dan Out Interfacenya, ini berpengaruh pada koneksi VPN, jika anda mengisi out interfacenya maka anda tidak akan bisa ping dan mengakses jaringan lokal vpn anda. Pastikan untuk Chain="rscnat" dan Action="masquerade" itu saja sudah cukup untuk membuka akses semua protokol dan semua port. [Ok] Done

Setting untuk Server VPN di Mikrotik sudah selesai,
sekarang create connection vpn di Windows(XP) untuk remote:
- Buka Control Panel > Network Connections
- Klik menu File > New Connection... [Next]
- Pilih Connect to the network at my workplace [Next]
- Pilih Virtual Private Network connection [Next]
- Masukkan nama vpn anda misal "VPN Batam" [Next]
- Public Network, pilih Do not dial the initial connection [Next]
- Masukkan Host name IP Public server vpn anda misal "220.247.169.139" [Next]
- Klik Finish. jangan dial dulu
- Klik Properties > tab Security, pilih Advanced klik [Settings...]
- Data encryption: pilih "no data encrypton allowed" [Ok] dan [Ok]
- masukkan username dan password (secrets vpn) anda dan enter [Connect]

Berhasil connect? Pasti dunk... anda sudah berada dalam jaringan VPN

VPN Server Mikrotik

Membuat VPN Server di Mikrotik

Pada kesempatan kali ini saya akan menjelaskan tentang bagaimana mensetting VPNRouter menggunakan OS Mikrotik.


[admin@RT] > ip address add address=10.111.1.2/29 interface=Ether1 comment=TO_ISP
[admin@RT] > ip address add address=10.10.1.1/24 interface= Ether2 comment=TO_Local
broadcast comment copy-from disabled netmask network
[admin@RT] > ip address print
Flags: X – disabled, I – invalid, D – dynamic
# ADDRESS NETWORK BROADCAST INTERFACE
0 ;;; TO_ISP
10.111.1.2/29 10.111.1.0 10.111.1.7 Ether1
1 ;;; TO_Local
10.10.1.1/24 10.10.1.0 10.10.1.255 Ether2


[admin@RT] > ip route add gateway=10.111.1.1
[admin@RT] > ip dns set primary-dns=xxx.xxx.xxx.xx secondary-dns=xxx.xxx.xxx.xx

Next Step

Untuk mengaktifkan Virtual Private networknya ada jalankan perintah

pptp simple

Trus aktifkan pula L2TP Server nya juga langkahnya sama aja.
PPTP (Point to Point Tunnel Protocol) = adalah sebuah protokol yang mengizinkan hubungan Point-to Point Protocol (PPP) melewati jaringan IP, dengan membuat Virtual Private Network (VPN)
L2TP (Layer 2 Tunneling Protocol) = sebuah tunneling protocol yang memadukan dan mengombinasikan dua buah tunneling protocol yang bersifat proprietary, yaitu L2F (Layer 2 Forwarding) milik Cisco Systems dengan PPTP (Point-to-Point Tunneling Protocol) milik Microsoft.
Jika PPP keduanya sudah aktif langkah selanjutnya adalah membuat NAT (Network Address Translation)

[admin@RT] > ip firewall nat add chain=srcnat out-interface=Ether1 src-address=172.10.0.0/24 action=masquerade

Catatan = IP Local dan IP yang di NAT beda karena IP yang di NAT adalah IP yag digunakan untuk Virtual Networknya, sedangkan IP local hanya untuk IP internal Network

Langkah akhirnya anda tinggal membuat User name untuk Login clientnya,
[admin@RT] > ppp secret add caller-id=1.1.1.5 local-address=172.10.0.1 service=any name=coba password=12345 remote-address=172.10.0.5 disabled=no

Load Balancing ECMP

karena paling praktis dan masuk akal bahwa selain traffic http sangat riskan jika harus berpindah-pindah gateway.

berikut adalah hasil export dari konfigurasi router mikrotik versi 3.10 yang digunakan

IP Address

# jun/13/2008 23:10:46 by RouterOS 3.10
# software id = A90W-3CT
#
/ip address

add address=10.95.130.133/29 broadcast=10.95.130.135 comment="" disabled=no \
interface=WIRELESS network=10.95.130.128

add address=10.168.2.99/24 broadcast=10.168.2.255 comment="" disabled=no \
interface=ADSL network=10.168.2.0

add address=192.168.1.1/24 broadcast=192.168.1.255 comment="" disabled=no \
interface=LAN network=192.168.1.0

Routing

# jun/13/2008 23:10:02 by RouterOS 3.10
# software id = A90W-3CT
#
/ip route

add comment="SMTP Traffic out" disabled=no distance=1 dst-address=0.0.0.0/0 \
gateway=10.95.130.129 routing-mark=smtp-out scope=30 target-scope=10

add comment="Default Route to Internet Wireless" disabled=no distance=1 \
dst-address=0.0.0.0/0 gateway=10.95.130.129 scope=30 target-scope=10

add comment="ECMP route for HTTP" disabled=no distance=1 dst-address=\
0.0.0.0/0 gateway=10.95.130.129,10.168.2.1,10.168.2.1 routing-mark=\
ecmp-http-route scope=30 target-scope=10

add comment="Default Route to Internet ADSL" disabled=yes distance=1 \
dst-address=0.0.0.0/0 gateway=10.168.2.1 scope=30 target-scope=10

add comment="DNS Wireless" disabled=no distance=1 dst-address=\
202.95.128.60/32 gateway=10.95.130.129 scope=30 target-scope=10

add comment="DNS Speedy" disabled=no distance=1 dst-address=202.134.2.5/32 \
gateway=10.168.2.1 scope=30 target-scope=10


Mangle

# jun/13/2008 23:09:21 by RouterOS 3.10
# software id = A90W-3CT
#
/ip firewall mangle

add action=mark-routing chain=prerouting comment=\
" Route HTTP traffic to ECMP" disabled=no dst-port=80 new-routing-mark=\
ecmp-http-route passthrough=yes protocol=tcp

add action=mark-routing chain=prerouting comment="SMTP Traffic" disabled=no \
dst-port=25 new-routing-mark=smtp-out passthrough=yes protocol=tcp

NAT

# jun/13/2008 23:08:44 by RouterOS 3.10
# software id = A90W-3CT
#
/ip firewall nat
add action=masquerade chain=srcnat comment="" disabled=no src-address=\
192.168.1.0/24


SCRIPT

# jun/13/2008 23:06:31 by RouterOS 3.10
# software id = A90W-3CT
#
/system script

add name=ecmp-shutdown policy=\
ftp,reboot,read,write,policy,test,winbox,password,sniff source=":if ([/pin\
g 10.95.130.129 count=1]=0 || [/ping 10.168.2.1 count=1]=0) do={:log inf\
o \"Gateway down\" \r\
\n/ip route disable [/ip route find comment=\"ECMP route for HTTP\"] } els\
e {:log info \"ecmp-shutdown check ok\"}"

add name=ecmp-startup policy=\
ftp,reboot,read,write,policy,test,winbox,password,sniff source=":if ([/pin\
g 10.95.130.129 count=1]=1 && [/ping 10.168.2.1 count=1]=1 && [/ip route\
get [find comment=\"ECMP route for HTTP\"] disabled]=true ) do={:log info\
\"Both Gateway are up\"\r\
\n/ip route enable [/ip route find comment=\"ECMP route for HTTP\"]} else \
{:log info \"ecmp-startup check ok\"}"

add name=wireless-gateway-check policy=\
ftp,reboot,read,write,policy,test,winbox,password,sniff source=":if ([/pin\
g 10.95.130.129 count=1]=1) do={:log info \"Wireless Gateway are up\"\r\
\n/ip route enable [/ip route find comment=\"Default Route to Internet Wir\
eless\"]\r\
\n/ip route disable [/ip route find comment=\"Default Route to Internet AD\
SL\"]\r\
\n} else {:log info \"Wireless Gateway are down\"\r\
\n/ip route disable [/ip route find comment=\"Default Route to Internet Wi\
reless\"]\r\
\n/ip route enable [/ip route find comment=\"Default Route to Internet ADS\
L\"]\r\
\n}"

SCHEDULER

# jun/13/2008 23:08:12 by RouterOS 3.10
# software id = A90W-3CT
#
/system scheduler
add comment="" disabled=no interval=25s name=gateway-check1 on-event=\
ecmp-shutdown start-date=jun/13/2008 start-time=16:26:27

add comment="" disabled=no interval=30s name=gateway-check2 on-event=\
ecmp-startup start-date=jun/13/2008 start-time=16:26:27

add comment="" disabled=no interval=20s name=wireless-gateway-check on-event=\
wireless-gateway-check start-date=jun/13/2008 start-time=16:26:27

SUPAYA pengecekkan ke gateway WIRELESS tidak bisa lewat interface ADSL

Karena pengecekkan dilakukan menggunakan mekanisme ping = icmp maka agar pengecekkan gateway WIRELESS tidak bisa lewat interface ADSL diperlukan skrip berikut:


/ip firewall filter
add action=drop chain=output comment=\
"supaya ke gateway wireless tidak bisa lewat interface adsl" disabled=no \
dst-address=10.95.130.129 out-interface=ADSL protocol=icmp

Dengan script ini maka jika wireless down maka IP gateway WIRELESS tidak akan bisa diping melalui link ADSL tujuannya agar tidak terjadi kesalahan pengecekkan karena bisa saja ip gateway WIRELESS masih bisa diping melalui jaringan ADSL sehingga script menjadi tidak efektif.


semoga script-script diatas bisa langsung di import tinggal disesuaikan saja ip-ip nya

kelemahan dari konfigurasi ini adalah ip 10.168.2.1 walaupun ADSL nya down tetap bisa diping karena itu ip dibelakang adsl-router harusnya 10.168.2.1 dibagian script diganti dengan ip statik ADSL , jadi kalau ADSL nya mati mestinya ip tersebut tidak bisa di ping.

Remote

Ternyata bisa !!!! Penemuan yg cukup menyenangkan …
Ternyata F hanya blocking incoming connection dari port 1-1024 … dan beberapa port di atas 1024.

Ya udah, akhirnya bikin port forwarder aja …
Misal ftp dari port 21 … jadi 2100 …. ;) )

Udah deh bisa skrg … ya biarpun gak bisa make port2 standard … tp ini jauh lebih baik drpd gw musti pake ssh tunnel =))

Semoga info ini bisa bermanfaat …