NETLAYER.ID

Blog Teknologi Dan Solusi Jaringan

Home About

Diperbarui: 2026-08-21 01:47 WIB

Mencegah DDoS pada MikroTik

Pendahuluan

Serangan Distributed Denial of Service (DDoS) telah menjadi ancaman utama bagi jaringan digital di seluruh dunia. Dengan meningkatnya jumlah perangkat yang terhubung ke Internet, serangan ini semakin mudah dijalankan, berpotensi merusak layanan, menghentikan operasi bisnis, dan menimbulkan kerugian finansial yang signifikan. MikroTik, sebuah vendor perangkat jaringan yang populer, menawarkan router dan perangkat lunak RouterOS yang kuat namun rentan terhadap serangan DDoS bila tidak dikonfigurasi secara tepat. Artikel ini akan membahas secara mendalam bagaimana mengidentifikasi, mencegah, dan memitigasi serangan DDoS pada perangkat MikroTik, serta langkah-langkah praktis yang dapat diimplementasikan oleh administrator jaringan di semua skala.

Dasar-dasar Serangan DDoS

Serangan DDoS mengandalkan sejumlah besar sumber daya (biasanya botnet) yang berkoordinasi untuk mengirimkan trafik berlebihan ke target tertentu. Bentuk serangan DDoS dapat dibagi menjadi beberapa kategori utama: volumetrik, protokol, dan aplikasi. Setiap tipe memiliki karakteristik tersendiri dan memerlukan pendekatan mitigasi yang berbeda.

Serangan Volumetrik

Serangan volumetrik fokus pada menumpuk bandwidth maksimum yang tersedia pada target. Contohnya termasuk UDP flood, ICMP flood, dan SYN flood. Tujuannya adalah menumpulkan lalu lintas sehingga jaringan tidak dapat menanggapi permintaan sah.

Serangan Protokol

Serangan protokol menargetkan kelemahan di lapisan transport atau jaringan. Misalnya, SYN flood memanfaatkan proses TCP handshake. Serangan ini biasanya memerlukan sedikit bandwidth namun dapat memaksa sistem target memproses permintaan yang tidak valid, menurunkan kinerja.

Serangan Aplikasi

Serangan pada lapisan aplikasi menargetkan aplikasi spesifik, seperti HTTP flood atau HTTP GET/POST flood. Serangan ini terlalu sering disalahgunakan karena bisa meniru trafik normal, sehingga lebih sulit dideteksi.

Kenapa MikroTik Rentan terhadap DDoS?

MikroTik menggunakan sistem operasi RouterOS yang berbasis Linux, membuatnya mudah diakses oleh pihak yang mengetahui kerentanan. Beberapa alasan mengapa MikroTik dapat menjadi target DDoS meliputi:

    • Konfigurasi default yang terbuka: Banyak router MikroTik diatur dengan firewall yang tidak cukup ketat, memungkinkan trafik tidak terfilter menembus jaringan.

    • Perangkat keras terbatas: Model-model entry-level mungkin tidak memiliki kapasitas CPU dan RAM yang cukup untuk menangani lonjakan trafik besar.

    • Kurangnya sumber daya keamanan: Fitur keamanan lanjutan seperti intrusion detection system (IDS) atau rate limiting tidak selalu terpasang secara default.

    • Penggunaan port publik: Router MikroTik seringkali mengumumkan port yang tidak perlu di Internet, memberi lebih banyak titik potensi serangan.

Langkah Awal: Menilai Risiko

Sebelum menerapkan mitigasi, penting untuk menilai risiko dan menentukan titik lemah jaringan Anda. Berikut beberapa langkah penilaian risiko:

    • Identifikasi titik masuk: Catat semua port publik yang terbuka pada router Anda. Pastikan hanya port yang diperlukan yang terbuka.

    • Audit konfigurasi firewall: Periksa aturan firewall yang ada. Pastikan tidak ada aturan yang terlalu longgar.

    • Periksa kapasitas perangkat: Lihat statistik CPU dan memori. Jika sering mendekati batas, pertimbangkan upgrade atau penambahan perangkat.

    • Simulasikan serangan: Gunakan alat seperti hping3 atau LOIC untuk menguji seberapa cepat jaringan Anda kelebihan beban.

Mengkonfigurasi Firewall MikroTik untuk DDoS Mitigation

Firewall adalah lini pertahanan pertama yang harus dioptimalkan. RouterOS menyediakan kebijakan filter yang fleksibel. Berikut beberapa contoh pengaturan yang dapat membantu memblokir serangan DDoS.

1. Blokir IP Badan

Blokir IP yang mengirimkan trafik berlebih dapat menurunkan dampak serangan. Namun, ini hanya efektif ketika sumber IP dapat diidentifikasi.

/ip firewall filter


add chain=input action=drop src-address=192.0.2.1 comment="Blokir IP Badan"

2. Rate Limiting

Rate limiting membatasi jumlah paket per menit per IP. Ini mencegah satu IP mengirimkan trafik berlebih.

/ip firewall filter


add chain=input action=drop limit=10/1m comment="Rate limit per IP"

3. Protect Against SYN Flood

Menambahkan filter khusus untuk paket SYN membantu memblokir SYN flood. Kombinasi dengan limit dan connection tracking dapat sangat efektif.

/ip firewall filter


add chain=forward action=drop protocol=tcp src-port=any dst-port=any tcp-flags=syn limit=5/1m comment="SYN flood protection"

4. Drop ICMP Flood

ICMP flood sering digunakan dalam serangan volumetrik. Menurunkan rate atau menolak semua ICMP dapat membantu.

/ip firewall filter


add chain=input action=drop protocol=icmp limit=20/1m comment="ICMP flood protection"

5. Drop Unexpected Traffic on Specific Ports

Jika Anda menggunakan port tertentu (misalnya port 22 SSH), pastikan hanya IP tertentu yang dapat mengaksesnya.

/ip firewall filter


add chain=input action=accept protocol=tcp dst-port=22 src-address=203.0.113.5 comment="Allow specific IP"


add chain=input action=drop protocol=tcp dst-port=22 comment="Drop others"

Penggunaan Firewall Rules yang Efisien

Pengaturan firewall harus diurutkan dengan bijaksana. Aturan yang lebih spesifik harus di atas aturan yang lebih umum untuk meminimalkan beban CPU. Berikut beberapa prinsip:

    1. Prioritaskan blokir serangan: Aturan deteksi SYN flood atau ICMP flood harus ditempatkan di atas aturan general drop.

    2. Gunakan 'layer 2' filters: Menambahkan filter berdasarkan MAC address dapat mendeteksi dan menolak trafik yang tidak sah sebelum mencapai layer jaringan.

    3. Aturan default drop: Selalu gunakan aturan default drop di akhir rantai untuk menolak paket yang tidak terfilter.

Implementasi Connection Tracking dan Drop Excess Connections

MikroTik dapat memanfaatkan connection tracking untuk membatasi jumlah koneksi aktif per IP. Ini membantu menghadapi serangan yang menargetkan jumlah koneksi (misalnya, SYN flood).

/ip firewall filter


add chain=forward action=drop connection-limit=100:global comment="Limit global connections"


add chain=forward action=drop connection-limit=10:src-address comment="Limit per IP"

Dengan membatasi koneksi global, Anda mencegah perangkat jaringan Anda mengalami saturasi. Batas per IP membantu menurunkan jumlah koneksi yang dapat dibuat dari satu sumber.

Penggunaan Balancing dan Failover

Jika jaringan Anda menggunakan dua ISP atau lebih, load balancing dapat membantu memecah trafik. Namun, harus diingat bahwa serangan DDoS biasanya diarahkan ke satu titik. Dengan mengarahkan trafik ke lebih dari satu jalur, Anda dapat menurunkan beban pada satu provider.

1. Penerapan Mangle untuk Mencatat Traffic

Mangle dapat menandai paket berdasarkan ukuran, protokol, atau sumber. Ini memudahkan routing lebih lanjut.

/ip firewall mangle


add chain=prerouting action=mark-packet new-packet-mark=ddos-packet passthrough=yes comment="Mark potential DDoS traffic"

2. Routing Berdasarkan Mark

Setelah menandai paket, Anda dapat menyalurkan paket ke jalur tertentu.

/ip route


add dst-address=0.0.0.0/0 gateway=10.1.0.1 routing-mark=ddos-packet comment="Route DDoS traffic via backup"

Penggunaan QoS (Quality of Service) untuk Prioritas Layanan

QoS memungkinkan Anda memberi prioritas pada trafik penting (misalnya, VoIP, VPN, web server) dibandingkan dengan trafik non-krusial. Dalam konteks DDoS, ini dapat mencegah layanan inti terhenti walaupun ada lonjakan trafik.

1. Membuat Queue Simple

/queue simple


add name=web-service target=192.168.1.0/24 max-limit=10M/10M comment="Prioritas web"


add name=voice-service target=192.168.1.0/24 max-limit=5M/5M comment="Prioritas VoIP"

2. Menetapkan Paket Prioritas

/ip firewall mangle


add chain=prerouting action=mark-packet new-packet-mark=web-service passthrough=no protocol=tcp dst-port=80 comment="Mark HTTP"


add chain=prerouting action=mark-packet new-packet-mark=voice-service passthrough=no protocol=udp dst-port=5060 comment="Mark SIP"

3. Menghubungkan Mark ke Queue

/queue simple


add name=web-service target=192.168.1.0/24 packet-marks=web-service max-limit=10M/10M comment="Queue for HTTP"


add name=voice-service target=192.168.1.0/24 packet-marks=voice-service max-limit=5M/5M comment="Queue for SIP"

Penggunaan Third-Party DDoS Mitigation Services

Jika jaringan Anda berada di bawah ancaman tinggi, pertimbangkan layanan mitigasi DDoS pihak ketiga. Layanan ini biasanya menyediakan scrubbing center, traffic scrubbing, dan proteksi capaian (scrubbing). Untuk MikroTik, integrasi melalui VPN atau IPsec dapat mengarahkan trafik ke layanan ini.

1. Membuat Tunnel VPN ke Scrubber

/interface ovpn-client


add name=ovpn-scrubber remote-address=203.0.113.100 password="pass" user="user" mode=ipsec

2. Membuat Route ke Tunnel

/ip route


add dst-address=0.0.0.0/0 gateway=ovpn-scrubber comment="Route all traffic to scrubber"

Monitoring dan Logging yang Efektif

Deteksi dini merupakan kunci untuk mitigasi DDoS. MikroTik menyediakan log real-time yang dapat dipantau via WebFig, WinBox, atau terminal. Memanfaatkan log dapat membantu Anda mengenali pola serangan.

1. Mengaktifkan Log untuk Filter

/ip firewall filter


add chain=input action=drop log=yes log-prefix="DDoS DROP" comment="Log DDoS events"

2. Menggunakan SNMP untuk Monitoring

SNMP dapat mengirimkan trap saat terjadi anomali. Pastikan SNMP server Anda dapat menerima dan memperingatkan.

3. Menggunakan System Logging untuk Traffic Volume

/system logging


add topics=firewall,info action=memory

Perawatan Rutin dan Update Firmware

MikroTik secara berkala merilis pembaruan firmware yang menambal kerentanan keamanan. Pastikan Anda selalu menjalankan versi terbaru. Selain itu, lakukan audit konfigurasi secara berkala. Berikut beberapa tips:

    • Backup konfigurasi: Simpan salinan konfigurasi saat ini sebelum melakukan update.

    • Tes update di lab: Jika memungkinkan, uji pembaruan pada perangkat uji sebelum menerapkannya ke produksi.

    • Monitoring port: Amati port yang terbuka secara otomatis menggunakan skrip.

    • Audit firewall: Pastikan tidak ada aturan yang berlebihan atau tidak jelas.

Strategi Penerapan Bertahap

Implementasi mitigasi DDoS sebaiknya dilakukan secara bertahap untuk menghindari downtime tak terduga. Berikut contoh strategi:

    • Mulai dengan blokir IP umum: Blokir IP yang diketahui melakukan serangan di jaringan Anda.

    • Tambahkan rate limiting: Terapkan filter rate limiting pada port yang kritis.

    • Aktifkan connection tracking: Batasi koneksi global dan per IP.

    • Patokan QoS: Prioritaskan trafik penting.

    • Integrasi VPN ke scrubber: Jika serangan masih terjadi, alihkan trafik.

    • Audit dan Review: Setelah semua langkah, lakukan audit untuk memastikan tidak ada kebocoran.

Studi Kasus: Perusahaan XYZ Menghadapi Serangan DDoS

Perusahaan XYZ, sebuah penyedia layanan web hosting, mengalami serangan DDoS berulang kali. Berikut langkah-langkah yang mereka lakukan:

    • Audit Awal: Mereka memeriksa konfigurasi firewall, menemukan bahwa port 80 terbuka tanpa batas.

    • Implementasi Rate Limiting: Menetapkan batas 50 koneksi per IP per menit untuk port 80.

    • Connection Tracking: Batasi 200 koneksi global dan 20 koneksi per IP.

    • QoS: Prioritaskan trafik HTTPS di atas HTTP.

    • VPN ke Scrubber: Setelah serangan intens, mereka mengarahkan trafik melalui Layanan DDoS Mitigation.

    • Monitoring: Log diatur untuk menandai setiap event drop pada firewall.

Hasilnya, perusahaan XYZ mengalami penurunan 90% pada dampak downtime selama serangan. Layanan web tetap online, dan pelanggan tidak merasakan gangguan.

Kesimpulan

Mencegah serangan DDoS pada MikroTik memerlukan kombinasi konfigurasi firewall yang tepat, rate limiting, connection tracking, QoS, serta pengawasan yang konsisten. Dengan menerapkan langkah-langkah di atas secara sistematis, administrator jaringan dapat melindungi infrastruktur mereka dari ancaman DDoS yang terus berkembang. Selalu lakukan update firmware, audit rutin, dan pertimbangkan solusi mitigasi eksternal bila diperlukan. Keberhasilan mitigasi tidak hanya tergantung pada perangkat keras, tetapi juga pada kebijakan keamanan yang kuat dan pemantauan terus-menerus.