Cara Mencegah Client Mengganti DNS secara Manual

Bagaimana cara mencegah client mengganti DNS manual misal ke 8.8.8.8? Pertanyaan ini ada pada artikel sebelumnya yakni : Cara Mudah Memblokir Situs-situs Dewasa dengan DNS di Mikrotik. Nah pada artikel kali ini saya akan coba menjawab nya dan memberikan solusi mencegah client mengganti DNS secara manual menggunakan Mikrotik.

Sebenarnya lebih tepat kalau kita sebut "Memaksa" Client menggunakan DNS Mikrotik. Karena siapapun bisa saja merubah setingan DNS di PC nya masing-masing. Nah, hal yang akan kita lakukan ini adalah memaksa client tersebut untuk menggunakan DNS kita walaupun DNS di PC nya sudah dirubah misal ke 8.8.8.8. Gimana caranya? Simak tutorial berikut :

Tutorial Cara Mencegah Client Mengganti DNS secara Manual :

1. Login ke Mikrotik via Winbox 

2. Masuk ke menu IP --> Firewall --> NAT --> Add --> 

- Pada tab General : 

==> Chain : dstnat

==> Protocol : 17 (udp)

==> Dst. Port : 53

- Pada tab Action :

==> Action : Redirect

==> To Ports : 53

3. Coba anda cek di PC, ganti DNS ke manual misal 8.8.8.8 dan akses situs yang harusnya diblokir.

4. Jika masih bisa, coba flush dulu DNS Cache nya di Mikrotik dan PC nya

Oke, selamat mencoba tutorial Cara Mencegah Client Mengganti DNS secara Manual ini ya. Semoga sukses :)

Interkoneksi Jaringan dengan Tunnel

Pada saat sebuah peruahaan memiliki kantor cabang, biasanya perusahaan menginginkan antara kantor pusat dengan kantor cabang bisa saling interkoneksi. Dapat melakukan file sharing, VOIP, dan kebutuhan pertukaran informasi dalam jaringan lainnya. Masalah muncul apabila ternyata kantor pusat dengan kantor cabang berbeda kota. Akan butuh biaya mahal jika harus membangun infrastruktur kabel/wireless/fiber-optic yang digunakan untuk menghubungkan antara kantor pusat dengan kantor cabang. MikroTik memberikan solusi yang cukup ekonomis dan reliable untuk masalah ini, salah satunya dengan Tunnel.

Untuk membangun tunnel, kedua kantor baik kantor cabang maupun kantor pusat harus terkoneksi ke internet dan memiliki IP public static. Tunneling merupakan salah satu cara untuk membangun sebuah jalur  antar mikrotik router di atas sebuah koneksi TCP/IP. Jika digambarkan dalam bentuk topologi, akan terlihat seperti berikut :

 

Nantinya, jaringan lokal dibawah router di kantor cabang dan router di kantor pusat akan bisa saling bertukar informasi dan bertukar file. Kita coba jabarkan topologi secara teknis agar lebih mudah bagi kita untuk memahami penerapan tunnel ini.

Jika kita perhatikan jaringan lokal di Head Office dan Branch Office memiliki segment network yang sama. Dan nantinya kedua jaringan lokal ini akan dapat saling berkomunikasi dengan memanfaatkan fitur tunneling di MikroTik.

Ethernet over IP (EoIP)

Merupakan protocol pada Mikrotik RouterOS yang berfungsi untuk membangun sebuah Network Tunnel antar MikroTik router di atas sebuah koneksi TCP/IP. EoIP merupakan protokol proprietary MikroTik (support juga di linux tetapi harus di-compile manual). Maka untuk menggunakan fitur ini, router di Head Office dan router di Branch Office harus sama - sama menggunakan router MikroTik. EoIP menggunakan Protocol GRE (RFC1701).

Dari detail topologi yang sudah digambarkan diatas, kita akan coba implementasikan dengan EoIP. Maka kita bisa lakukan langkah konfigurasi sebagai berikut. Pertama, tambahkan interface EoIP di menu "Interfaces". Klik tombol + (add), kemudian pilih EoIP. Langkah ini dilakukan di kedua router, baik router di Head Office maupun router di Branch Office

Akan muncul properties interface baru yang perlu kita setting, yang paling penting adalah parameter "Remote Address" dan "Tunnel ID". Pada saat setting router MikroTik disisi Head Office, isi parameter Remote Address dengan IP Public yang dimiliki oleh router yang ada di Branch Office. Lakukan hal yang sama ketika setting router disisi Branch Office, bisa dianalogikan seperti bertukar informsi IP Public. Kemudian pada parameter Tunnel ID, pastikan memiliki nilai yang sama antara Tunnel ID router Head Office dengan router Branch Office.

Jika EoIP sudah berjalan dan muncul flag "R", selanjutnya kita buat bridge yang nanti akan menjembatani transmisi data dari jaringan LAN yang akan melewati EoIP. Masuk ke menu Bridge, kemudian klik tombol + (add). Isi nama bridge sesuai keinginan.

Selanjutnya, tambahkan interface EoIP dan interface ethernet yag terkoneksi ke jaringan lokal LAN ke dalam Port Bridge. Jadi ada dua interface yang menjadi port bridge.

Jika sudah selesai, coba ping antar host dari jaringan lokal dibawah router, misal dari host lokal yang berada di Head Office ping ke host yang berada di Branch Office.

IP-in-IP (IPIP)

Salah satu alternatif tunnel selain menggunakan EoIP adalah dengan menggunakan IPIP. Implementasi IPIP di mikrotik berdasarkan RFC2003. Protokol IPIP berkerja dengan mengenkapsulasi paket data dari satu IP ke IP lain untuk membentuk network tunnel. Berbeda dengan EoIP yang hanya bisa digunakan untuk router yang sama - sama MikroTik, IPIP dapat berjalan hampir di semua jenis router selama router tersebut mendukung protokol IPIP. Akan tetapi, IPIP tidak dapat di-bridge sehingga jringan lokal dibahwa router Head Office dan Branch Office harus menggunakan segmen IP addres yang berbeda. Misalkan kita akan membangun tunnel IPIP dengan topologi sebegai berikut :

Hampir sama dengan EoIP, buat interface IPIP di kedua router, router Head Office dan router Branch Office. Masuk ke menu "Interfaces", klik tombol + (add), kemudian pilih IP Tunnel.

Pada parameter "Local Address", isi dengan IP Pubic yang ada di router itu sendiri, dan isi parameter "Remote Address" dengan IP Public router lawan. Misal untuk router Head Office local-address adalah 202.1.2.1 dan remote-address adalah 202.2.3.1. Hal serupa juga dilakukan disisi Branch Office.

Jika IP Tunnel sudah terbentuk, tambahkan IP address pada interface tunnel tersebut. Masuk ke menu "IP Address", kemudian klik tombol + (add). IP address yang ditambahkan di sisi Head Office dan Branch Office harus satu segmen. Pada contoh dibawah ini kita tambahkan IP Address 192.168.2.1/24 disisi Head Office dan IP address 192.168.2.2/24 disisi Branch Office.

 

Sekarang coba lakukan ping antar router dengan menggunakan IP address yang baru saja dipasang tadi. Jika IP Tunnel udah berjalan, maka ping akan berjalan normal dengan menggunakan segmen IP 192.168.2.0/24. Pertanyaannya apakah jaringan lokal di kedua kantor sudah bisa interkoneksi ? dan ternyata belum bisa saling interkoneksi karena berbeda segmen. Kita perlu membuat rule static route agar kedua jaringan bisa saling mengenal walaupun berbeda segmen.

Setelah kita tambahkan rule routing tadi, host yang berada di jaringan lokal Head Office akan bisa saling interkoneksi dengan host yang berada di jaringan lokal Branch Office.

sumber : mikrotik.co.id

Memisah Bandwidth Lokal dan Internasional

          Pemisahan Bandwidth Lokal dan Internasional sangat penting untuk dilakukan karena struktur penggunaan dan pola jaringan dari user Indonesia dan luarnegeri adalah beda adanya. apalagi untuk jaringan yang menggunakan koneksi internet untuk game online tentu akan sangat kelihatan perbedaan nya. artikel Memisah Bandwidth Lokal dan Internasional ini saya sadur dari situs mikrotik.co.id secara pen setingan sudah saya coba di jaringan saya dan hasilnya berhasil sukses.

Pada setingan jairngan Memisah Bandwidth Lokal dan Internasional ini, kami mengasumsikan bahwa:

Router Mikrotik melakukan Masquerading / src-nat untuk client. Client menggunakan IP privat.

Gateway yang digunakan hanya satu, baik untuk trafik internasional maupun IIX.

Anda bisa menggunakan web-proxy internal ataupun tanpa web-proxy. Jika Anda menggunakan web-proxy, maka ada beberapa tambahan rule yang perlu dilakukan. Perhatikan bagian NAT dan MANGLE pada contoh di bawah ini.
m

Jika ada parameter di atas yang berbeda dengan kondisi Anda di lapangan, maka konfigurasi Memisah Bandwidth Lokal dan Internasional yang ada di artikel ini harus Anda modifikasi sesuai dengan konfigurasi network Anda.

Pengaturan Dasar Memisah Bandwidth Lokal dan Internasional

topografi jaringan dan ip address yang digunakan dalam menyeting jaringan pemisah bandwidth

pemberian nama interface sesuai dengan kebutuhan jaringan dan penanda supaya lebih mudah

[admin@MikroTik] > /interface pr Flags: X - disabled, D - dynamic, R - running # NAME TYPE RX-RATE TX-RATE MTU 0 R ether-public ether 0 0 1500 1 R ether-local ether 0 0 1500

seting ip address untuk client adalah   IP 192.168.0.0/24,
ip address gateways nya 192.168.0.1 interface ether-local.
Klien dapat menggunakan IP Address 192.168.0-2 hingga 192.168.0.254 dengan subnet mask 255.255.255.0.

[admin@MikroTik] > /ip ad pr Flags: X - disabled, I - invalid, D - dynamic # ADDRESS NETWORK BROADCAST INTERFACE 0 202.0.0.1/24 202.0.0.0 202.0.0.255 ether-public 1 192.168.0.1/24 192.168.0.0 192.168.0.255 ether-local

Konfigurasi DNS server pada router, dan mengaktifkan fitur "allow remote request".
Karena klien menggunakan IP private, maka kita harus melakukan fungsi src-nat .

[admin@MikroTik] > /ip fi nat pr Flags: X - disabled, I - invalid, D - dynamic 0 chain=srcnat out-interface=ether-public action=masquerade

Jika Anda menggunakan web-proxy transparan, Anda perlu menambahkan rule nat redirect, seperti terlihat pada contoh di bawah ini (rule tambahan yang tercetak tebal).

[admin@MikroTik] > /ip fi nat pr Flags: X - disabled, I - invalid, D - dynamic 0 chain=srcnat out-interface=ether-public action=masquerade 1 chain=dstnat in-interface=ether-local protocol=tcp dst-port=80 action=redirect to-ports=8080

Jangan lupa mengaktifkan fitur web-proxy, dan men-set port layanan web-proxynya, dan disesuaikan dengan port redirect pada contoh di atas.

Pengecekan : lakukan PING pada semua ip address pastikan pada status repply

Pengaturan IP Address List

     Mulai Mikrotik RouterOS versi 2.9, dikenal dengan fitur yang disebut IP Address List. Fitur ini adalah pengelompokan IP Address tertentu dan setiap IP Address tersebut bisa kita tandai. Kelompok ini bisa digunakan sebagai parameter dalam mangle, firewall filter, nat, ataupun queue dan tentu saja bisa kita gunakan untuk Memisah Bandwidth Lokal dan Internasional  .

Mikrotik Indonesia telah menyediakan daftar IP Address yang diadvertise di OpenIXP dan IIX, yang bisa didownload dengan bebas di URL: http://www.mikrotik.co.id/getfile.php?nf=nice.rsc

File nice.rsc ini dibuat secara otomatis di server Mikrotik Indonesia setiap jam, dan merupakan data yang telah dioptimalkan untuk menghilangkan duplikasi entri dan tumpang tindih subnet. Saat ini jumlah baris pada script tersebut berkisar 7000 baris.

Contoh isi file nice.rsc :

# Script created by: Valens Riyadi @ www.mikrotik.co.id # Generated at 26 April 2007 05:30:02 WIB ... 431 lines /ip firewall address-list add list=nice address="1.2.3.4" rem [find list=nice] add list=nice address="125.162.0.0/16" add list=nice address="125.163.0.0/16" add list=nice address="152.118.0.0/16" add list=nice address="125.160.0.0/16" add list=nice address="125.161.0.0/16" add list=nice address="125.164.0.0/16" . . dst...

Proses pengambilan file nice.rsc bisa dilakukan langsung dari terminal di RouterOS dengan perintah:

/tool fetch address=ixp.mikrotik.co.id src-path=/download/nice.rsc mode=http;

Kemudian, import-lah file tersebut.

[admin@MikroTik] > import nice.rsc Opening script file nice.rsc Script file loaded and executed successfully

Pastikan bahwa proses import telah berlangsung dengan sukses, dengan mengecek Address-List pada Menu IP - Firewall

Proses upload ini dapat juga dilakukan secara otomatis jika Anda memiliki pengetahuan scripting. Misalnya Anda membuat shell script pada Linux untuk melakukan download secara otomatis dan mengupload file secara otomatis setiap pk 06.00 pagi. Kemudian Anda tinggal membuat scheduler pada router untuk melakukan import file.

Jika Anda menggunakan RouterOS versi 3.x, proses update juga dapat dilakukan secara otomatis.

Perintah yang perlu dibuat adalah :

/system sched add comment=”update-nice” disabled=no interval=1d name=”update-nice-rsc” on-event=”:if ([:len [/file find name=nice.rsc]] > 0) do={/file remove nice.rsc }; /tool fetch address=ixp.mikrotik.co.id src-path=/download/nice.rsc mode=http;/import nice.rsc” start-date=jan/01/1970 start-time=06:00:00

Hati-hati! : Setelah copy paste, pastikan hasil copy paste sama persis. Proses copy paste kadang-kadang menghilangkan beberapa karakter tertentu.

Pengaturan Mangle

    Langkah selanjutnya adalah membuat mangle. Kita perlu membuat 1 buah connection mark dan 2 buah packet mark, masing-masing untuk Memisah Bandwidth Lokal dan Internasional .

[admin@MikroTik] > /ip firewall mangle pr Flags: X - disabled, I - invalid, D - dynamic 0 chain=prerouting in-interface=ether-local dst-address-list=nice action=mark-connection new-connection-mark=conn-iix passthrough=yes 1 chain=prerouting connection-mark=conn-iix action=mark-packet new-packet-mark=packet-iix passthrough=no 2 chain=prerouting action=mark-packet new-packet-mark=packet-intl passthrough=no

Untuk rule #0, pastikanlah bahwa Anda memilih interface yang mengarah ke client. Untuk chain, kita menggunakan prerouting, dan untuk kedua packet-mark, kita menggunakan passthrough=no.

Jika Anda menggunakan web-proxy internal dan melakukan redirecting trafic, maka Anda membuat 2 buah rule tambahan seperti contoh di bawah ini (rule tambahan yang tercetak tebal).

[admin@MikroTik] > /ip firewall mangle pr Flags: X - disabled, I - invalid, D - dynamic 0 chain=prerouting in-interface=ether-local dst-address-list=nice action=mark-connection new-connection-mark=conn-iix passthrough=yes 1 chain=prerouting connection-mark=conn-iix action=mark-packet new-packet-mark=packet-iix passthrough=no 2 chain=output connection-mark=conn-iix action=mark-packet new-packet-mark=packet-iix passthrough=no 3 chain=prerouting action=mark-packet new-packet-mark=packet-intl passthrough=no 4 chain=output action=mark-packet new-packet-mark=packet-intl passthrough=no

Pengaturan Simple Queue

Untuk setiap client, kita harus membuat 2 buah rule simple queue. Pada contoh berikut ini, kita akan melakukan limitasi untuk IP client 192.168.0.2/32, dan kita akan memberikan limitasi iix (up/down) sebesar 64k/256k, dan untuk internasional sebesar (up/down) 32k/128k.

[admin@MikroTik]> /queue simple pr Flags: X - disabled, I - invalid, D - dynamic 0 name="client02-iix" target-addresses=192.168.0.2/32 dst-address=0.0.0.0/0 interface=all parent=none packet-marks=packet-iix direction=both priority=8 queue=default-small/default-small limit-at=0/0 max-limit=64000/256000 total-queue=default-small 1 name="client02-intl" target-addresses=192.168.0.2/32 dst-address=0.0.0.0/0 interface=all parent=none packet-marks=packet-intl direction=both priority=8 queue=default-small/default-small limit-at=0/0 max-limit=32000/128000 total-queue=default-small

Pengecekan Akhir 

Setelah selesai, lakukanlah pengecekan dengan melakukan akses ke situs lokal maupun ke situs internasional, dan perhatikanlah counter baik pada firewall mangle maupun pada simple queue apakah sudah benar berjalan atau belum dalam Memisah Bandwidth Lokal dan Internasional  ini.

Anda juga dapat mengembangkan queue type menggunakan pcq sehingga trafik pada setiap client dapat tersebar secara merata.

sumber berita : http://www.mikrotik.co.id/

Seting Loadbalancing 2 Line Speedy metode PCC

        Seting Loadbalancing 2 Line Speedy metode PCC. Seting Mikrotik dengan dua line ISP akan sangat powerfull pada Setingan Mikrotik dengan sebutan 'LOAD BALANCING". Load Balance membuat Koneksi pada Mikrotik saling Backup dan tertata dalam Lalu Lintas Koneksi yang dibuat dari Client. ada suatu saat anda masuk situs yang membutuhkan  Login dan Password, saat anda menggunakan Jaringan menggunakan Multiple line akan meminta Relogin terus menerus disetiap Sesion anda. tentu akan sangat menjengkelkan jika itu terjadi.

      Solusi yang ada kita harus menyeting Mikrotik kita pada sisi Mangle dengan cara Mark tiap Koneksi dari Client dan Mengunci Line mana yang di lewati pertama. supaya tidak rancu saat menggunakan aktivitas berselancar di dunia maya.

Beberapa keuntungan mengunakan system Load Balance dengan metode PCC bisa di baca di bawah ini:

•  Koneksi di Jaringan lebih lega karena Bandwith yang ada lebih banyak daripada Line cuma 1
• Tiap Login tidak perlu Relogin lagi karena sudah di Kunci pertama saat Akses Internet di setiap Client
• Mengurangi Lag dan Delay pada Game Online dan Youtube
• Kedua Modem berkerja bersama, tidak ada yang berkerja satu yang satu lagi nganggur
• -...

    Seting Loadbalancing 2 Line Speedy metode PCC kita akan mulai dari penentuan ip address dan interface yang ada. di Seting Loadbalancing 2 Line Speedy metode PCC kita perlu setidaknya 3 buat INTERFACE /NIC/lan card terpasang pada perangkat Mikrotik anda.

ip MODEM-1     192.168.11.1

ip MODEM-2     192.168.12.1

Lan                 192.168.10.1

/ ip address
add address=192.168.11.1/24 interface=MODEM-1 network=192.168.11.0 disable=no
add address=192.168.12.1/24 interface=MODEM-2 network=192.168.12.0 disable=no
add address=192.168.10.1/24 interface=Lan network=192.168.1.0 disable=no

Seting Mkrotik NAT (Network Address Translation)  supaya Modem 1 dan Modem 2 terkoneksi dengan Jaringan

/ip firewall nat

add chain=srcnat out-interface=MODEM-1 action=masquerade

add chain=srcnat out-interface=MODEM-2 action=masquerade

Seting DNS pada Mikrotik Load Balance

/ip dns set allow-remote-requests=yes cache-max-ttl=1w cache-size=5000KiB max-udp-packet-size=512 servers=221.132.112.8,8.8.8.8

*Seting Mikrotik Mangle*

Memisahkan antar Koneksi Modem 1 diberi nama  isp-1 dan Modem 2 kita beri nama isp-2

/ip firewall mangle
add action=mark-connection chain=input comment="" connection-state=new
disabled=no in-interface=MODEM-1 new-connection-mark=isp-1 passthrough=yes
add action=mark-connection chain=input comment="" connection-state=new  disabled=no in-interface=MODEM-2 new-connection-mark=isp-2 passthrough=yes

Seting Mangle kedua adalah menentukan Route dan memberi nama pada Routing Modem 1 dan Modem 2 

add action=mark-routing chain=output comment="" connection-mark=isp-1 \
    disabled=no new-routing-mark=jalur-1 passthrough=no
add action=mark-routing chain=output comment="" connection-mark=isp-2 \
    disabled=no new-routing-mark=jalur-2 passthrough=no

Seting Utama dari Load Balance disini pengaturan alokasi Koneksi yang ada jika sudah terjadi Penyeimbangan Koneksi antara Modem 1 dan Modem 2 

add action=mark-connection chain=prerouting comment="" disabled=no \
    dst-address-type=!local in-interface=Lan new-connection-mark=\
    isp-1 passthrough=yes per-connection-classifier=both-addresses-and-ports:2/0
add action=mark-connection chain=prerouting comment="" disabled=no \
    dst-address-type=!local in-interface=Lan new-connection-mark=\
    isp-2 passthrough=yes per-connection-classifier=both-addresses-and-ports:2/1

add action=mark-routing chain=prerouting comment="" connection-mark=isp-1 \
    disabled=no in-interface=Lan new-routing-mark=jalur-1 passthrough=yes
add action=mark-routing chain=prerouting comment="" connection-mark=isp-2 \
    disabled=no in-interface=Lan new-routing-mark=jalur-2 passthrough=yes

Seting Mikrotik Route atau Jalur yang akan di gunakan sebagai patokan Gateway tiap Modem

/ip route
## Default route ke Modem Speedy 1
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.11.1 \
    routing-mark=jalur-1

## Default route ke Modem Speedy 2
add disabled=no distance=2 dst-address=0.0.0.0/0 gateway=192.168.12.1 \
    routing-mark=jalur-2

## Pengaturan routing untuk masing-masing mark-routing beban trafik
add comment="" disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.11.1
add comment="" disabled=no distance=2 dst-address=0.0.0.0/0 gateway=192.168.12.1

Seting Loadbalancing 2 Line Speedy metode PCC diatas sudah teruji dan berjalan mulus di Jaringan saya. yang masih belum memahami bisa dipelajari dan dibaca lebih teliti lagi. Setingan Mikrotik diatas saya pelajari dan saya uji coba dari berbagai Sumber dan Forum.




NB: Setingan Mikrotik untuk Kecepatan Modem dari ISP berbeda bisa menggunakan pembagi Load Balance dibawah ini

add chain=prerouting dst-address-type=!local in-interface=Lan per-connection-classifier=both-addresses-and-ports:2/0 action=mark-connection new-connection-mark=MODEM-1_conn passthrough=yes

add chain=prerouting dst-address-type=!local in-interface=Lan per-connection-classifier=both-addresses-and-ports:2/1 action=mark-connection new-connection-mark=MODEM-2_conn passthrough=yes

add chain=prerouting dst-address-type=!local in-interface=Lan per-connection-classifier=both-addresses-and-ports:2/2 action=mark-connection new-connection-mark=MODEM-2_conn passthrough=yes

Seting Loadbalancing 2 Line Speedy metode PCC dengan menggunakan Hotspot

/ip firewall nat add action=accept chain=pre-hotspot disabled=no dst-address-type=!local hotspot=auth

* UPDATE untuk pengaturan DNS pada isp speedy dalam bbeberapa bulan kemarin melakukan pemblokiran DNS google jadi yang mengunakan ISP dari speedy tidak perlu mengunakan DNS google karena tidak akan bisa melakukan koneksi internet