Web Blocking (Web Proxy Mikrotik)

Web blocking menggunakan MikroTik Web Proxy,

So far jalan untuk melakukan blok port 80 & 8080 (WEB)
Tidak berfungsi bila web yang di tuju menggunakan HTTPS
Bbrp download tidak bisa berfungsi bila klien memakai IDM

/ip firewall nat add action=redirect chain=dstnat disabled=no dst-port=80 protocol=tcp to-ports=8080

/ip firewall filter
add chain=input in-interface=<Your WAN Port> src-address=0.0.0.0/0 protocol=tcp dst-port=8080 action=drop

/ip proxy set always-from-cache=no cache-administrator=webmaster cache-hit-dscp=4 cache-on-disk=no enabled=yes max-cache-size=none max-client-connections=600 max-fresh-time=3d max-server-connections=600 parent-proxy=0.0.0.0 parent-proxy-port=0 port=8080 serialize-connections=no src-address=0.0.0.0

/ip proxy access add action=deny disabled=no dst-port=80 dst-host=*porno* redirect-to=www.google.com

/ip proxy access
add path=*.exe action=deny 
add path=*.mp3 action=deny 
add path=*.zip action=deny 
add path=*.rar action=deny

Copy Paste aja rulenya..,
Sisanya tinggal coba2 sendiri kalo mao eksperimen blok web2 tertentu..

Failover 2 ISP

Gak ada basa basi..,

Lansung aja bikin 2 rule tambahan di route kalo kedua Internet nya udah nyambung..,

/ip route 
add gateway=192.168.1.1 check-gateway=ping
add gateway=192.168.2.1 distance=2

Asumsi rule pertama sudah ada,

Berarti tinggal bikin 1 route tambahan ke jalur ke dua..,
Pastikan distancenya lebih besar saja..,
Otomatis kalo salah satu mengalami RTO maka akan pindah ke jalur ke 2..

Note :
Agak masalah kalo pake speedy gak di bridge karena di anggap si modem adalah gateway walaupun internet gak nyambung

Selesai..

Belajar Script Sederhana

Cape kalo ketik satu2 kalo mao bikin simple queue ?,

Pake ini aja..,

:for e from=2 to=254 do= { /queue simple add name=("user" . $e) target-addresses=("192.168.1." . $e) dst-address=0.0.0.0/0 interface=LAN parent=none direction=both priority=8 queue=default-small/default-small limit-at=1M/1M max-limit=1M/1M total-queue=default-small }

Jadinya kurang lebih kayak gini :

Script ini membuat simple queue dari 192.168.1.2 s/d 192.168.1.254 sama rata..,
Jadi gak perlu cape2 lagi bikinnya di winbox..,

Kalo pake nanya ini bisa buat queue tree, jawabnya sich..
BISA BANGET..!!!

Contoh lain :
:for e from=256 to=444 do= { /ip firewall filter set ($e) in-interface=LAN }

Tinggal kamu nya aja yang coba2 di masukin ke settingan lain..

Note gak penting :
Ternyata fungsi scriptnya mirip banget kayak CENTOS 6.5 >.<

BLOCK HTTPS FACEBOOK

Secara spesifik kita tidak bisa melakukan block HTTPS karena port nya berbeda..,
Tapi lain ceritanya kalo kita block semuanya langsung..,

To the point aja..,
Ini juga bisa langsung di copy paste..

Cara 1 :

/ip firewall address-list
add address=31.13.24.0/21 comment=facebook disabled=no list=facebook
add address=31.13.64.0/18 comment=facebook disabled=no list=facebook
add address=31.13.64.0/19 comment=facebook disabled=no list=facebook
add address=31.13.64.0/24 comment=facebook disabled=no list=facebook
add address=31.13.65.0/24 comment=facebook disabled=no list=facebook
add address=31.13.66.0/24 comment=facebook disabled=no list=facebook
add address=31.13.68.0/24 comment=facebook disabled=no list=facebook
add address=31.13.69.0/24 comment=facebook disabled=no list=facebook
add address=31.13.70.0/24 comment=facebook disabled=no list=facebook
add address=31.13.71.0/24 comment=facebook disabled=no list=facebook
add address=31.13.73.0/24 comment=facebook disabled=no list=facebook
add address=31.13.74.0/24 comment=facebook disabled=no list=facebook
add address=31.13.75.0/24 comment=facebook disabled=no list=facebook
add address=31.13.76.0/24 comment=facebook disabled=no list=facebook
add address=31.13.77.0/24 comment=facebook disabled=no list=facebook
add address=31.13.78.0/24 comment=facebook disabled=no list=facebook
add address=31.13.79.0/24 comment=facebook disabled=no list=facebook
add address=31.13.82.0/24 comment=facebook disabled=no list=facebook
add address=31.13.83.0/24 comment=facebook disabled=no list=facebook
add address=31.13.84.0/24 comment=facebook disabled=no list=facebook
add address=31.13.85.0/24 comment=facebook disabled=no list=facebook
add address=31.13.86.0/24 comment=facebook disabled=no list=facebook
add address=31.13.87.0/24 comment=facebook disabled=no list=facebook
add address=31.13.90.0/24 comment=facebook disabled=no list=facebook
add address=31.13.91.0/24 comment=facebook disabled=no list=facebook
add address=31.13.93.0/24 comment=facebook disabled=no list=facebook
add address=31.13.96.0/19 comment=facebook disabled=no list=facebook
add address=66.220.144.0/20 comment=facebook disabled=no list=facebook
add address=66.220.144.0/21 comment=facebook disabled=no list=facebook
add address=66.220.152.0/21 comment=facebook disabled=no list=facebook
add address=69.63.176.0/20 comment=facebook disabled=no list=facebook
add address=69.63.176.0/21 comment=facebook disabled=no list=facebook
add address=69.63.184.0/21 comment=facebook disabled=no list=facebook
add address=69.171.224.0/19 comment=facebook disabled=no list=facebook
add address=69.171.224.0/20 comment=facebook disabled=no list=facebook
add address=69.171.239.0/24 comment=facebook disabled=no list=facebook
add address=69.171.240.0/20 comment=facebook disabled=no list=facebook
add address=69.171.255.0/24 comment=facebook disabled=no list=facebook
add address=74.119.76.0/22 comment=facebook disabled=no list=facebook
add address=103.4.96.0/22 comment=facebook disabled=no list=facebook
add address=173.252.64.0/19 comment=facebook disabled=no list=facebook
add address=173.252.96.0/19 comment=facebook disabled=no list=facebook
add address=179.60.192.0/22 comment=facebook disabled=no list=facebook
add address=179.60.192.0/24 comment=facebook disabled=no list=facebook
add address=179.60.193.0/24 comment=facebook disabled=no list=facebook
add address=204.15.20.0/22 comment=facebook disabled=no list=facebook
/ip firewall filter
add action=drop chain=forward disabled=no comment=Filter_Rule_to_block_FB_address_LIST dst-address-list=facebook

Untuk bisa bbrp IP melakukan browse ke facebook, tinggal tambahkan sebelum rule BLOCK:

/ip firewall filter

add chain=forward action=accept src-address=(masukan IP yang tidak di block) 

Cara 2 :

/ ip firewall filter add chain=forward action=drop dst-destination-list=facebook
/ ip firewall filter add chain=forward action=drop dst-destination-list=youtube

/ ip firewall filter add chain=forward action=add-dst-to-address-list protocol=tcp src-address=192.168.1.0/24 address-list=youtube address-list-timeout=0s content=youtube.com comment="youtube.com IPs"
/ ip firewall filter add chain=forward action=add-dst-to-address-list protocol=tcp src-address=192.168.1.0/24 address-list=facebook address-list-timeout=0s content=facebook.com comment="facebook.com IPs"
/ ip firewall filter add chain=forward action=add-dst-to-address-list protocol=tcp src-address=192.168.1.0/24 address-list=facebook address-list-timeout=0s content=fbcdn.net comment="Facebooks content delivery network IPs"

Semua akses FB terblock baik port maupun IP..,

100% working..,

Note : Cara 2 memakan CPU Load lumayan besar, sebab otomatis input IP address

Credit buat cara nomor 1 to Syed Jahanzaib https://aacable.wordpress.com/

Koneksi Internet dengan Mikrotik (First Media non-DHCP)

Hal pertama yang wajib dalam pemakaian MikroTik, pastinya adalah semua klien tersambung ke internet..,
Pada dasarnya MikroTik sudah menyediakan pemakaian langsung pakai..,
Ether1 = Untuk ISP
Ether Sisa = Untuk LAN (menggunakan sistem Master Port)

Berikut contoh settingan untuk melakukan koneksi dengan ISP First Media setting dari awal (kosong) dengan contoh seperti ini,

Kita mulai dengan settingan awal,

Berhubung ada dua interface yang akan di pakai, maka kita harus buat 2 settingan untuk ke ISP dan jaringan LAN,
Berhubung modem Firstmedia menggunakan DHCP Server, maka kita harus membuat 2 settingan terpisah untuk ISP dan LAN,

Settingan ISP / Upstream
/ip dhcp-client
add interface=ether1 disable=no
(Matikan dan nyalakan kembali modem bila pernah melakukan koneksi ke perangkat lain)

Settingan LAN
/ip address
add address=192.168.88.1/24 interface=ether2

Set NAT yang berfungsi membaca internet dari modem Speedy ke semua klien LAN,

/ip firewall nat

add chain=srcnat action=masquerade

Pasang IP di klien mulai dari 

IP = 192.168.88.2 s/d 192.168.88.254 

Subnet = 255.255.255.0

Gateway = 192.168.88.1

DNS :
Primary   : 192.168.88.1

Settingan selesai dan sudah bisa dipakai..,
Untuk settingan DHCP berada di page berbeda..,

Untuk First Media DNS dan Route sudah masuk ke dalam DHCP-Client, jadi tidak perlu banyak melakukan settingan..

Settingan untuk langsung copy paste bagi yang buru2 dengan memakai ke terminal MikroTik,

/ip dhcp-client
add interface=ether1 disable=no
/ip address
add address=192.168.88.1/24 interface=ether2
/ip firewall nat
add chain=srcnat action=masquerade

Sekian untuk settingan ke modem First Media non-dhcp

Koneksi Internet dengan Mikrotik (Speedy Non-bridge & non-DHCP)

Hal pertama yang wajib dalam pemakaian MikroTik, pastinya adalah semua klien tersambung ke internet..,
Pada dasarnya MikroTik sudah menyediakan pemakaian langsung pakai..,
Ether1 = Untuk ISP
Ether Sisa = Untuk LAN (menggunakan sistem Master Port)

Berikut contoh settingan untuk melakukan koneksi dengan ISP speedy setting dari awal (kosong) dengan contoh seperti ini,

Kita mulai dengan settingan awal,

Berhubung ada dua interface yang akan di pakai, maka kita harus buat 2 subnet, yaitu untuk ke ISP dan jaringan LAN,

/ip address
add address=192.168.1.2/24 interface=ether1
add address=192.168.88.1/24 interface=ether2

Buat rute semua IP (0.0.0.0/0) ke Speedy agar bisa melakukan koneksi ke upstream,

/ip route
add dst-address=0.0.0.0/0  gateway=192.168.2.1

Masukan DNS Speedy yang berfungsi sebagai translation IP ke Domain,

/ip dns
set servers=202.134.2.5

Daftar DNS Speedy :

• 202.134.2.5
• 203.130.196.5
• 202.134.0.155
• 202.134.1.10
• 202.134.0.62
• 202.159.32.2
• 202.159.33.2
• 202.155.30.227

Set NAT yang berfungsi membaca internet dari modem Speedy ke semua klien LAN,

/ip firewall nat

add chain=srcnat action=masquerade

Pasang IP di klien mulai dari 

IP = 192.168.88.2 s/d 192.168.88.254 

Subnet = 255.255.255.0

Gateway = 192.168.88.1

DNS :
Primary   : 202.134.2.5
Secodary : 203.130.196.5

Settingan selesai dan sudah bisa dipakai..,
Untuk settingan DHCP berada di page berbeda..,

Settingan untuk langsung copy paste bagi yang buru2 dengan memakai ke terminal MikroTik,

/ip address
add address=192.168.1.2/24 interface=ether1
add address=192.168.88.1/24 interface=ether2
/ip route
add dst-address=0.0.0.0/0  gateway=192.168.2.1
/ip dns
set servers=202.134.2.5
/ip firewall nat
add chain=srcnat action=masquerade

Sekian untuk settingan ke modem speedy non-bridge dan non-dhcp

MTCNA - MikroTik Certified Network Associate

Pengenalan MTCNA..,

Mungkin hanya beberapa user MikroTik pemain lama saja yang tahu arti MTCNA..,
Bahkan awal pertama kali saya belajar, saya sendiri tidak tahu artinya..,

Kurang lebih MTCNA adalah sertifikasi MikroTik resmi International yang menandakan anda sudah lulus dari basic MikroTik..,

Tapi jangan khawatir, sebab dalam test MTCNA tidak dilarang untuk menggunakan Google atau Wiki MikroTik..,
(Wiki MikroTik sich rekomendasi paling bagus dan cocok menurut saya)
Pastikan anda tidak menutup halaman test anda..

Dalam test MTCNA terdapat 25 soal yang harus diselesaikan dalam waktu 60 Menit/1 Jam..,

Soal tersebut terdiri dari 6 Modul yang soal tersebut nantinya akan di random,

Module 1 - Pengenalan MikroTik RouterOS

• MikroTik RouterOS and RouterBOARD;
• First time accessing the router + LAB;
• Winbox and MAC-Winbox;
• Null Modem cable;
• SSH and Telnet;
• Setup Internet connection via router + LAB;
• IP address and default gateway;
• DHCP-client;
• NAT masquerade;
• TCP/IP Basics;
• OSI layers and encapsulation;
• Communication between two network devices;
• IP addresses;
• Networks Masks and Subnets;
• Upgrade RouterOS + LAB;
• get packages;
• upgrade ways;
• type of packages;
• Manage RouterOS logins + LAB;
• Manage RouterOS services;
• Backup and export/import configuration + LAB;
• save and reload backup;
• edit export file;
• RouterOS license;
• levels;
• update license + LAB;
• NTP client configuration;
• Netinstall + LAB;
• reinstall RouterOS;
• reset RouterOS

Module 2 - Firewall MikroTik RouterOS

• Firewall principles;
• structure;
• chains and actions + LAB;
• Firewall Filter in action;
• filter actions;
• filter chains;
• protecting your router (input) + LAB;
• protection your customers (forward) + LAB;
• RouterOS connection tracking;
• impact on router;
• connection state + LAB;
• Basic Address-List + LAB;
• Source NAT;
• actions + LAB;
• Destination NAT;
• actions;
• DNS cache + LAB;
• NAT limitations;

Module 3 - QoS MikroTik RouterOS

• Simple Queue + LAB;
• target-address;
• max-limit and limit-at;
• dst-address;
• bursts;
• Traffic Prioritization + LAB;
• Simple Mangle and Tree Queue + LAB;
• mark-connection and mark-packet;
• queue tree;
• PCQ setup + LAB;
• pcq-rate configuration;
• pcq-limit configuration;
• Bandwidth Test + LAB;
• client;
• server;
• Monitoring;
• interface traffic monitor;
• Torch;
• graphs + LAB;
• SNMP;

Module 4 - Network Management Mikrotik RouterOS

• ARP + LAB;
• ARP modes;
• RouterOS ARP table;
• DHCP server and client + LAB;
• DHCP client;
• server setup;
• leases management;
• DHCP-server network configuration;
• HotSpot + LAB;
• setup;
• users;
• walled-garden;
• ip-binding;
• user profiles;
• server profiles;
• Proxy + LAB;
• setup;
• transparent proxy;
• HTTP firewall;
• HTTP logging;
• Store;
• format additional disks;
• move services to store;
• RouterOS tools;
• E-mail;
• Netwatch + LAB;
• Ping, Traceroute;
• Profile (CPU load);

Module 5  - Wireless MikroTik RouterOS

• 802.11a/b/g/n Concepts;
• Bands;
• Frequencies;
• Channels;
• Country regulation;
• Setup simple wireless link + LAB;
• Access Point configuration;
• Station configuration;
• MAC-address filtering + LAB;
• default-authentication;
• access-list;
• connect-list;
• default-forwarding;
• Wireless Security and Encryption + LAB;
• WPA-PSK;
• WPA2-PSK;
• 802.11n specific settings + LAB;
• data-rates;
• HT chains;
• HT guard interval;
• MikroTik wireless protocols + LAB;
• Nstreme usage and configuration;
• Nstreme Dual configuration;
• NV2 (TDMA) configuration;
• Monitoring Tools;
• Wireless scan;
• Snooper;
• Registration table;

Module 6 - Bridging MikroTik RouterOS

• Bridging concepts + LAB;
• bridge overview;
• create bridge;
• add ports to bridge;
• Bridge wireless networks + LAB;
• WDS modes;
• station-pseudobridge;
• Bridge Wieless and remote networks + LAB;
• EoIP tunnel;
• VPLS tunnel;

Introduction

Well..,

Gue cuma isi ini sekedar iseng aja buat masukin pengalaman pribadi gue selama ini setting MikroTik di beberapa klien..,

Mungkin baru sekarang aja kepikiran buat bikin Blog..,
Soalnya kadang2 kalo pake Blog orang banyak yang cuma Copy Paste doank..,

Untuk perkenalan, nama saya Martin (Khouw) Kurniawan..,

Kebetulan dapat training gratis dari kantor pada bulan September 2011 dan ternyata berhasil lolos dengan nilai lumayan 86%

Dengan ID MTCNA #1109NA066

Alasan catatan di blog ini sebenarnya buat reminder pribadi aja..,
Tapi gak ada salahnya bagi-bagi ilmu..

Salam Bahagia buat semua pengguna MikroTik