Cara Membuat VPN Site-to-Site MikroTik dengan WireGuard

MAS-IT > Blog > Layanan IT Instalasi > Router & Switch > Cara Membuat VPN Site-to-Site MikroTik dengan WireGuard
Cara Membuat VPN Site-to-Site MikroTik dengan WireGuard

Cara Membuat VPN Site-to-Site MikroTik dengan WireGuard di RouterOS v7

VPN site-to-site MikroTik dibuat dengan menghubungkan router di dua lokasi melalui tunnel terenkripsi, kemudian menambahkan route dan aturan firewall agar jaringan lokal yang diizinkan dapat berkomunikasi. Pada RouterOS v7, WireGuard dapat digunakan untuk membangun koneksi tersebut melalui interface virtual, pertukaran public key, dan konfigurasi peer.

Namun, interface yang sudah aktif atau handshake yang berhasil belum membuktikan bahwa aplikasi kantor dapat digunakan. Akses dari komputer cabang menuju server pusat tetap memerlukan route yang benar, jalur balik, serta izin pada firewall router dan perangkat tujuan.

Artikel ini merupakan kelanjutan dari panduan MikroTik untuk jaringan kantor. Pembahasan difokuskan pada koneksi dua LAN menggunakan WireGuard, bukan remote access laptop, penggabungan VLAN antarlokasi, atau pengalihan seluruh internet cabang melalui kantor pusat.

Apa Itu VPN Site-to-Site MikroTik?

VPN site-to-site adalah koneksi yang menghubungkan jaringan pada lokasi berbeda melalui internet atau jaringan transport lain. Router pada setiap lokasi menangani proses pengiriman paket ke tunnel dan penerimaannya kembali ke jaringan lokal.

Sebagai contoh, komputer cabang dapat mengakses aplikasi internal pada server pusat tanpa memublikasikan port aplikasi tersebut langsung ke internet.

Pada desain routed seperti contoh WireGuard dalam dokumentasi MikroTik, setiap lokasi tetap memiliki subnet sendiri. Route menentukan jaringan remote yang dapat dicapai, sedangkan firewall menentukan akses yang diizinkan.

Perbedaan Site-to-Site dan Remote Access

AspekSite-to-siteRemote access
Pihak yang dihubungkanJaringan pada dua lokasi atau lebihPerangkat pengguna ke jaringan perusahaan
Perangkat pembentuk tunnelUmumnya router pada setiap lokasiLaptop, ponsel, atau perangkat pengguna dan gateway VPN
Contoh penggunaanCabang mengakses aplikasi pusatKaryawan bekerja dari luar kantor
Pengaturan aksesBerdasarkan subnet, host, dan layananDapat berdasarkan alamat peer dan kebijakan pengguna

Artikel ini menggunakan dua router MikroTik. Pengguna LAN tidak perlu memasang aplikasi WireGuard pada setiap komputer selama jalur jaringan dan kebijakannya telah dikonfigurasi dengan benar.

Kapan Kantor Memerlukan Koneksi Antarlokasi?

Kebutuhan yang umum meliputi:

  • Kantor cabang mengakses aplikasi internal di pusat.
  • Gudang mengakses sistem inventaris perusahaan.
  • Administrator mengelola layanan tertentu pada lokasi remote.
  • Perusahaan memerlukan koneksi antarsubnet yang tidak membuka aplikasi langsung ke internet.

Tetap periksa karakter aplikasi. Sebagian aplikasi memerlukan DNS internal, beberapa port tambahan, atau memiliki sensitivitas terhadap latency. Keberadaan tunnel tidak otomatis membuat seluruh aplikasi lokal berfungsi tanpa penyesuaian.

Memilih WireGuard atau IPsec

WireGuard dan IPsec dapat digunakan untuk kebutuhan VPN, tetapi konfigurasi dan pertimbangan operasionalnya berbeda.

PertimbanganWireGuardIPsec
Identitas peerMenggunakan public keyBergantung metode autentikasi yang dipilih
Komponen utamaInterface, peer, key, alamat, route, firewallPeer, identity, profile, proposal, policy, dan komponen terkait
Konteks tutorial iniDua MikroTik RouterOS v7Alternatif apabila lingkungan memerlukan IPsec
Pertimbangan interoperabilitasPerangkat lawan harus mendukung WireGuardSesuaikan kemampuan dan parameter IPsec kedua perangkat
PerformaPerlu diuji berdasarkan perangkat dan trafikPerlu diuji berdasarkan perangkat, algoritma, dan dukungan akselerasi

Dokumentasi resmi MikroTik menjelaskan kedua teknologi tersebut secara terpisah. Pemilihan tidak sebaiknya hanya didasarkan pada klaim bahwa satu protokol selalu lebih cepat atau lebih aman untuk semua lingkungan.manual.mikrotik+1

Mengapa Tutorial Ini Menggunakan WireGuard?

WireGuard dipilih agar alur implementasi dua router tetap terarah: membuat interface, menambahkan alamat tunnel, memasangkan peer, membuat route, lalu mengatur akses.

Alur tersebut mengikuti contoh site-to-site dalam dokumentasi resmi MikroTik.

Kapan IPsec Lebih Relevan?

IPsec perlu dipertimbangkan ketika:

  • Perangkat atau layanan lawan mengharuskan IPsec.
  • Perusahaan sudah memiliki standar dan operasional IPsec.
  • Integrasi membutuhkan metode autentikasi atau parameter tertentu yang didukung kedua pihak.

Untuk implementasinya, periksa dokumentasi IPsec MikroTik. Jangan menganggap konfigurasi WireGuard dapat langsung diterjemahkan menjadi konfigurasi IPsec hanya dengan mengganti protokol.help.mikrotik

Prasyarat Sebelum Membuat VPN

Pastikan Internet dan Akses Administrasi Berfungsi

Kedua router harus sudah memiliki koneksi internet yang dapat digunakan. Jika menggunakan hostname sebagai endpoint, resolver DNS router juga harus berfungsi.

Apabila koneksi dasar belum selesai, gunakan panduan cara setting MikroTik dari awal sampai internet terhubung.

Konfigurasi berikut menggunakan CLI. Anda dapat menjalankannya melalui Terminal di Winbox. Untuk penggunaan antarmukanya, tersedia panduan menggunakan Winbox untuk konfigurasi MikroTik.

Periksa IP Publik, NAT Upstream, dan CGNAT

Tutorial ini menggunakan satu endpoint pusat yang dapat dijangkau dari internet. Cabang memulai koneksi menuju endpoint tersebut.

KondisiImplikasi
MikroTik pusat memiliki IP publik langsungIzinkan UDP WireGuard pada firewall pusat sesuai kebijakan
MikroTik pusat berada di belakang modem/router yang Anda kelolaPerlu port forwarding UDP dari perangkat upstream ke MikroTik pusat
Pusat berada di belakang CGNAT ISPPort forwarding pada modem lokal saja biasanya tidak membuat endpoint dapat dijangkau dari internet
Cabang berada di belakang NATDapat memulai koneksi outbound ke pusat jika jalur dan kebijakan jaringan mengizinkan
Kedua lokasi tidak memiliki endpoint yang dapat dijangkauDesain dasar ini perlu diubah, misalnya menggunakan hub yang dapat dijangkau

Dokumentasi MikroTik menjelaskan kebutuhan port forwarding ketika perangkat WireGuard berada di belakang router NAT lain.

persistent-keepalive membantu mempertahankan pemetaan NAT melalui paket berkala. Parameter ini bukan pengganti IP publik, port forwarding, atau hub yang diperlukan oleh topologi tertentu.

Gunakan Subnet yang Tidak Tumpang Tindih

Jangan menggunakan subnet yang sama pada kedua kantor untuk mengikuti contoh ini.

Misalnya, jika pusat dan cabang sama-sama memakai 192.168.10.0/24, komputer dapat menganggap alamat tujuan remote berada pada jaringan lokalnya sendiri.

Pilihan yang paling mudah dipelihara untuk skenario dasar adalah menggunakan subnet berbeda. Solusi khusus untuk subnet overlap, seperti translasi alamat, memerlukan desain tersendiri dan tidak dibahas dalam tutorial ini.

Periksa juga apakah alamat tunnel bertabrakan dengan jaringan lain, termasuk VPN yang sudah ada.

Siapkan Backup dan Jendela Perubahan

Sebelum perubahan:

  1. Simpan backup dan export konfigurasi secara aman.
  2. Catat versi RouterOS dan konfigurasi existing.
  3. Periksa firewall filter, NAT, mangle, FastTrack, dan routing.
  4. Siapkan akses administrasi lokal atau jalur pemulihan.
  5. Terapkan perubahan pada waktu penggunaan rendah.

Contoh berikut berbasis dokumentasi RouterOS v7, bukan laporan pengujian perangkat MAS-IT. Nama interface, alamat, urutan firewall, dan build RouterOS harus diperiksa sebelum diterapkan pada jaringan produksi.

Contoh Topologi VPN Pusat dan Cabang

Kedua jaringan tetap terpisah. Internet masing-masing lokasi tetap melalui ISP setempat, sedangkan hanya tujuan LAN remote yang diarahkan ke WireGuard.

textLAN Pusat                                      LAN Cabang
192.168.10.0/24                                 192.168.20.0/24
      |                                               |
MikroTik Pusat ===== WireGuard melalui internet ===== MikroTik Cabang
10.255.255.1/30                                 10.255.255.2/30

Rencana Alamat dan Endpoint

KomponenPusatCabang
LAN192.168.10.0/24192.168.20.0/24
Gateway LAN192.168.10.1192.168.20.1
IP tunnel10.255.255.1/3010.255.255.2/30
Interface WireGuardwg-antarkantorwg-antarkantor
Listen portUDP 13231UDP 13231
Interface WAN contohether1-WANether1-WAN
EndpointIP publik atau hostname aktual pusatDipelajari dari koneksi yang dimulai cabang
Host pengujian192.168.10.10192.168.20.10

Alamat LAN dan tunnel tersebut merupakan contoh. Jangan menambahkan ulang alamat gateway LAN jika sudah tersedia.

Pada konfigurasi peer cabang nanti, ganti <ENDPOINT-PUSAT> dengan IP publik atau hostname yang benar-benar dapat dijangkau. Teks bertanda kurung sudut adalah placeholder, bukan nilai yang dapat digunakan langsung.

Tentukan Aplikasi dan Subnet yang Diizinkan

Tunnel tidak harus memberikan akses bebas antara seluruh perangkat.

Contoh kebijakan artikel ini:

SumberTujuanLayananKebijakan
LAN cabangServer pusat 192.168.10.10HTTPS TCP 443Diizinkan
Host cabang 192.168.20.10Host pusat 192.168.10.10ICMP untuk diagnosisDiizinkan
Host pusat 192.168.10.10Host cabang 192.168.20.10ICMP untuk diagnosisDiizinkan
IP tunnel kedua routerIP tunnel peerICMPDiizinkan
Trafik antarsubnet lainnya——Ditolak pada contoh kebijakan ini

Jika aplikasi menggunakan port lain, sesuaikan berdasarkan dokumentasi aplikasi. Jangan membuka semua port hanya untuk menghindari proses identifikasi.

Untuk desain keamanan yang lebih luas, gunakan panduan firewall MikroTik untuk jaringan kantor.

Memahami Komponen WireGuard

Public Key dan Private Key

Saat interface WireGuard dibuat, RouterOS menghasilkan pasangan private key dan public key.

  • Public key diberikan kepada peer.
  • Private key tetap disimpan pada router pemiliknya.
  • File konfigurasi atau export yang mengandung private key harus diperlakukan sebagai rahasia.

Dokumentasi MikroTik menegaskan bahwa private key tidak dibutuhkan pada perangkat remote.

Endpoint dan Persistent Keepalive

Endpoint adalah alamat internet dan port UDP untuk mencapai peer.

Dalam contoh ini:

  • Cabang mengetahui endpoint pusat.
  • Pusat tidak memerlukan endpoint cabang yang diketik manual.
  • Pusat mempelajari alamat dan port cabang dari paket WireGuard yang terautentikasi.
  • Cabang menggunakan keepalive agar koneksi tidak hanya bergantung pada trafik aplikasi.

Desain ini memudahkan cabang dengan alamat internet dinamis atau NAT, selama cabang dapat mengirim paket ke pusat.

Allowed Address Bukan Pengganti Static Route

allowed-address mengaitkan prefix dengan peer WireGuard. Parameter ini digunakan dalam pemilihan peer untuk trafik keluar serta pemeriksaan alamat sumber trafik yang diterima melalui peer.

Namun, RouterOS tetap memerlukan route agar paket menuju LAN remote dikirim ke interface WireGuard.

Dalam contoh resmi MikroTik, pengaturan peer dan /ip route memang dibuat sebagai langkah terpisah.

Langkah Konfigurasi VPN Site-to-Site MikroTik

Terapkan setiap perintah pada router yang disebutkan. Jangan menjalankan kedua blok pusat dan cabang pada perangkat yang sama.

1. Buat Interface WireGuard pada Kedua Router

Pada router pusat:

text/interface wireguard
add name=wg-antarkantor listen-port=13231

Pada router cabang:

text/interface wireguard
add name=wg-antarkantor listen-port=13231

Ambil public key pada masing-masing router:

text:put [/interface wireguard get \
    [find where name="wg-antarkantor"] public-key]

Catat:

  • Public key pusat.
  • Public key cabang.

Pertukarkan public key melalui saluran yang terkontrol. Jangan menyalin private key atau memasukkan tangkapan layar yang memuatnya ke dokumentasi publik. Proses pembuatan interface dan pembacaan public key mengikuti contoh resmi MikroTik.

2. Tambahkan Alamat Tunnel

Pada pusat:

text/ip address
add address=10.255.255.1/30 \
    interface=wg-antarkantor \
    comment="VPN-S2S tunnel pusat"

Pada cabang:

text/ip address
add address=10.255.255.2/30 \
    interface=wg-antarkantor \
    comment="VPN-S2S tunnel cabang"

Subnet tunnel berbeda dari subnet LAN. Alamat tersebut digunakan untuk komunikasi antarkedua interface router, bukan dibagikan kepada komputer kantor.

3. Tambahkan Peer di Pusat

Ganti <PUBLIC-KEY-CABANG> dengan public key yang dibaca pada router cabang:

text/interface wireguard peers
add interface=wg-antarkantor \
    public-key="<PUBLIC-KEY-CABANG>" \
    allowed-address=10.255.255.2/32,192.168.20.0/24 \
    comment="VPN-S2S peer cabang"

Endpoint cabang tidak diisi pada contoh ini karena cabang memulai koneksi menuju pusat.

Prefix yang dimasukkan adalah:

  • IP tunnel peer cabang: 10.255.255.2/32.
  • LAN di belakang cabang: 192.168.20.0/24.

4. Tambahkan Peer di Cabang

Ganti kedua placeholder berikut dengan data aktual:

text/interface wireguard peers
add interface=wg-antarkantor \
    public-key="<PUBLIC-KEY-PUSAT>" \
    endpoint-address=<ENDPOINT-PUSAT> \
    endpoint-port=13231 \
    allowed-address=10.255.255.1/32,192.168.10.0/24 \
    persistent-keepalive=25s \
    comment="VPN-S2S peer pusat"

Pada contoh ini, keepalive 25 detik digunakan pada sisi cabang yang memulai koneksi. Nilai tersebut perlu ditinjau sesuai kebutuhan operasional; keepalive tidak memperbaiki endpoint yang salah atau UDP yang diblokir.

Jangan mengganti allowed-address menjadi 0.0.0.0/0 hanya untuk mencoba membuat koneksi bekerja. Tutorial ini tidak bertujuan mengalihkan seluruh internet cabang melalui pusat.

5. Buat Route ke LAN Remote pada Kedua Sisi

Pada pusat:

text/ip route
add dst-address=192.168.20.0/24 \
    gateway=wg-antarkantor \
    comment="VPN-S2S route LAN cabang"

Pada cabang:

text/ip route
add dst-address=192.168.10.0/24 \
    gateway=wg-antarkantor \
    comment="VPN-S2S route LAN pusat"

Model route menuju interface WireGuard mengikuti contoh site-to-site resmi MikroTik.

Periksa route yang dibuat:

text/ip route print detail where comment~"VPN-S2S"

Jika LAN berada di belakang router atau core switch lain, tambahkan jalur balik pada perangkat yang relevan. Route pada MikroTik saja tidak cukup jika server membalas melalui gateway lain yang tidak mengetahui jaringan remote.

routing-vpn-wireguard-mikrotik-antarkantor
Diagram route LAN cabang melalui WireGuard pada MikroTik pusat dan route LAN pusat pada MikroTik cabang. [Gambar dibuat dengan AI].

6. Izinkan Transport VPN melalui Firewall Input

Firewall berikut harus disesuaikan dengan urutan rule existing. Perintah dibuat dalam keadaan disabled agar Anda dapat menempatkannya sebelum mengaktifkannya.

Pada pusat:

text/ip firewall filter
add chain=input \
    in-interface=ether1-WAN \
    protocol=udp \
    dst-port=13231 \
    action=accept \
    disabled=yes \
    comment="VPN-S2S allow UDP pusat"

Lakukan melalui Winbox:

  1. Buka IP > Firewall > Filter Rules.
  2. Temukan rule dengan komentar tersebut.
  3. Posisikan setelah pemeriksaan awal yang relevan, tetapi sebelum rule yang menjatuhkan trafik UDP WireGuard.
  4. Aktifkan setelah memastikan nama interface dan cakupannya benar.

Jika sumber internet cabang memiliki IP publik tetap, tambahkan pembatasan src-address sesuai alamat tersebut. Jika sumber berubah-ubah, jangan memasukkan alamat lama yang akan memutus koneksi ketika IP berubah.

Pada cabang, skenario ini mengandalkan koneksi yang dimulai outbound dan rule input existing yang menerima balasan established,related. Tidak diperlukan pembukaan port UDP publik cabang secara luas hanya untuk meniru konfigurasi pusat.

Jika pusat berada di belakang modem/router lain, teruskan UDP 13231 ke IP WAN MikroTik pusat pada perangkat upstream tersebut. Jangan membuat port forwarding untuk HTTPS aplikasi pusat pada internet; akses aplikasinya dilakukan melalui tunnel.

Untuk mengizinkan ping antarkedua alamat tunnel, tambahkan rule berikut pada pusat:

text/ip firewall filter
add chain=input \
    in-interface=wg-antarkantor \
    src-address=10.255.255.2/32 \
    dst-address=10.255.255.1/32 \
    protocol=icmp \
    action=accept \
    disabled=yes \
    comment="VPN-S2S ICMP tunnel pusat"

Pada cabang:

text/ip firewall filter
add chain=input \
    in-interface=wg-antarkantor \
    src-address=10.255.255.1/32 \
    dst-address=10.255.255.2/32 \
    protocol=icmp \
    action=accept \
    disabled=yes \
    comment="VPN-S2S ICMP tunnel cabang"

Posisikan sebelum drop input yang relevan, lalu aktifkan. Rule ini hanya mengizinkan ICMP antarkedua alamat tunnel, bukan Winbox, SSH, DNS, atau seluruh layanan router.

7. Izinkan Trafik Antarsite pada Forward

Contoh berikut menerapkan matriks akses yang sudah ditentukan. Tambahkan pada kedua router:

text/ip firewall filter
add chain=forward \
    src-address=192.168.20.0/24 \
    dst-address=192.168.10.10/32 \
    protocol=tcp \
    dst-port=443 \
    connection-state=new \
    action=accept \
    disabled=yes \
    comment="VPN-S2S allow HTTPS cabang ke server"

add chain=forward \
    src-address=192.168.20.10/32 \
    dst-address=192.168.10.10/32 \
    protocol=icmp \
    action=accept \
    disabled=yes \
    comment="VPN-S2S allow ICMP cabang ke pusat"

add chain=forward \
    src-address=192.168.10.10/32 \
    dst-address=192.168.20.10/32 \
    protocol=icmp \
    action=accept \
    disabled=yes \
    comment="VPN-S2S allow ICMP pusat ke cabang"

add chain=forward \
    src-address=192.168.20.0/24 \
    dst-address=192.168.10.0/24 \
    action=drop \
    disabled=yes \
    comment="VPN-S2S drop akses cabang lainnya"

add chain=forward \
    src-address=192.168.10.0/24 \
    dst-address=192.168.20.0/24 \
    action=drop \
    disabled=yes \
    comment="VPN-S2S drop akses pusat lainnya"

Rule HTTPS hanya menerima koneksi baru. Trafik lanjutannya memerlukan rule forward existing yang menerima established,related.

Sebelum mengaktifkan, susun urutannya:

  1. Pemeriksaan invalid sesuai kebijakan existing.
  2. Penanganan koneksi established,related yang sesuai.
  3. Rule izin HTTPS dan ICMP antarsite.
  4. Dua rule drop khusus antarsubnet.
  5. Rule accept umum yang tidak boleh mengabaikan pembatasan antarsite.

Periksa pula FastTrack dan rule accept umum yang sudah ada. Jika trafik antarsite dikecualikan dari FastTrack karena kebutuhan queue atau policy routing, pengecualiannya harus dirancang pada rule existing, bukan dengan menonaktifkan seluruh firewall.

Setelah posisi benar, aktifkan rule antarsite dalam satu jendela perubahan yang terkendali. Uji menggunakan koneksi baru. Koneksi yang sudah tercatat established sebelum kebijakan berubah dapat tetap mengikuti state sebelumnya.

Dokumentasi MikroTik membedakan izin transport pada input dan komunikasi antarsubnet pada forward. Contoh artikel ini mempersempit izin forward berdasarkan kebutuhan aplikasi, bukan mengizinkan seluruh trafik tunnel.

8. Periksa NAT dan Jalur Balik

Untuk koneksi routed antarsite, jangan langsung menambahkan masquerade ke interface WireGuard.

Jika NAT internet hanya cocok dengan interface WAN, trafik menuju WireGuard biasanya tidak cocok dengan rule tersebut. Namun, rule source NAT yang terlalu luas dapat mengubah alamat sumber trafik antarsite.

Periksa:

text/ip firewall nat print detail

Jika memang ada rule luas yang menangkap trafik antarsite, pengecualian dapat dibuat sebelum rule NAT tersebut.

Contoh opsional pada pusat:

text/ip firewall nat
add chain=srcnat \
    src-address=192.168.10.0/24 \
    dst-address=192.168.20.0/24 \
    action=accept \
    disabled=yes \
    comment="VPN-S2S pengecualian NAT pusat"

Contoh opsional pada cabang:

text/ip firewall nat
add chain=srcnat \
    src-address=192.168.20.0/24 \
    dst-address=192.168.10.0/24 \
    action=accept \
    disabled=yes \
    comment="VPN-S2S pengecualian NAT cabang"

Aktifkan hanya jika diperlukan dan setelah ditempatkan sebelum rule NAT yang bermasalah.

action=accept pada chain source NAT berarti menghentikan translasi untuk trafik yang cocok pada tahap tersebut. Ini bukan izin untuk melewati firewall forward.

Setelah perubahan NAT, gunakan koneksi pengujian baru. Jangan menghapus seluruh connection tracking pada jam kerja hanya untuk mengulang pengujian satu aplikasi.

Cara Memverifikasi VPN Sudah Berfungsi

Alur verifikasi VPN MikroTik dari handshake WireGuard, koneksi IP tunnel, akses host LAN, hingga layanan aplikasi
Alur verifikasi VPN MikroTik dari handshake WireGuard, koneksi IP tunnel, akses host LAN, hingga layanan aplikasi. [Gambar dibuat dengan AI].

Periksa Handshake dan Counter Peer

Pada kedua router:

text/interface wireguard peers print detail

Perhatikan:

  • last-handshake.
  • Endpoint yang sedang digunakan.
  • Counter rx dan tx.
  • Prefix allowed-address.

Handshake dapat muncul setelah ada trafik atau keepalive. Jangan menyimpulkan tunnel gagal hanya karena belum ada trafik yang memicu koneksi.

Sebaliknya, handshake yang diperbarui belum membuktikan semua host atau aplikasi dapat dicapai.

Uji Alamat Tunnel dan LAN Remote

Dari pusat:

text/ping 10.255.255.2 src-address=10.255.255.1 count=5

Dari cabang:

text/ping 10.255.255.1 src-address=10.255.255.2 count=5

Pengujian ini memeriksa jalur tunnel dan izin input ICMP yang sudah dibuat.

Untuk LAN, lakukan pengujian dari host yang sesuai dengan matriks akses:

  • 192.168.20.10 menuju 192.168.10.10.
  • 192.168.10.10 menuju 192.168.20.10.

Jangan menggunakan kegagalan ping ke gateway LAN remote sebagai satu-satunya bukti kegagalan VPN. Pada contoh ini, input menuju alamat gateway LAN remote memang tidak dibuka.

Uji dari Komputer Pengguna ke Layanan Tujuan

Dari komputer cabang, akses HTTPS server pusat:

texthttps://192.168.10.10

Jika aplikasi menggunakan nama domain, pengujian melalui IP hanya memeriksa sebagian jalur. Sertifikat atau konfigurasi virtual host dapat membuat akses IP menampilkan peringatan atau halaman berbeda.

Untuk pemeriksaan port pada Windows PowerShell:

powershellTest-NetConnection 192.168.10.10 -Port 443

Pastikan:

  • Server memang menjalankan layanan pada TCP 443.
  • Firewall server mengizinkan sumber cabang.
  • Gateway server mengarah ke router yang mengetahui subnet cabang.
  • Tidak ada firewall internal lain yang memblokir jalur.

Uji DNS dan Pembatasan Akses

Jika akses melalui IP berhasil tetapi nama server gagal, periksa DNS.

Tutorial ini tidak otomatis mengizinkan cabang menggunakan layanan DNS pada router pusat. Jika membutuhkan DNS internal:

  1. Tentukan server DNS yang digunakan.
  2. Pastikan rute ke server tersedia.
  3. Izinkan UDP/TCP 53 hanya dari sumber yang diperlukan.
  4. Atur resolver atau conditional forwarding sesuai desain.
  5. Jangan membuka resolver ke internet.

Uji juga akses yang seharusnya ditolak. Contohnya, koneksi dari cabang ke port server yang tidak disetujui harus tetap gagal.

PengujianHasil yang diharapkan
Ping IP tunnel peerBerhasil jika ICMP diizinkan
Ping antara dua host ujiBerhasil jika firewall host mengizinkan
HTTPS cabang ke server pusatBerhasil
Layanan lain yang tidak disetujuiDitolak
Internet pengguna cabangTetap melalui jalur lokal sesuai desain
Nama aplikasi internalBerfungsi setelah DNS terkait dikonfigurasi

Troubleshooting VPN Site-to-Site MikroTik

Tidak Ada Handshake

Periksa secara berurutan:

  1. Endpoint pusat benar dan dapat di-resolve.
  2. UDP 13231 tidak diblokir oleh firewall atau ISP.
  3. Jika ada upstream NAT, port forwarding benar.
  4. Public key pusat dan cabang tidak tertukar.
  5. Interface dan peer tidak disabled.
  6. Route internet ke endpoint tersedia.
  7. Rule raw atau firewall lain tidak menjatuhkan paket sebelum mencapai input.

Meningkatkan allowed-address menjadi seluruh internet tidak memperbaiki key yang salah atau endpoint yang tidak dapat dijangkau.

Handshake Ada tetapi LAN Tidak Dapat Diakses

Periksa:

  • Route menuju remote LAN pada kedua router.
  • Remote LAN tercantum pada peer yang benar.
  • Prefix tidak overlap dengan jaringan lokal.
  • Forward mengizinkan sumber, tujuan, dan layanan yang diuji.
  • Source NAT tidak mengubah alamat secara tidak sengaja.
  • Host tujuan memiliki jalur balik.
  • Firewall host mengizinkan akses.
  • Paket pengujian benar-benar termasuk matriks yang disetujui.

Ingat bahwa satu peer dengan prefix yang benar tidak menggantikan kebutuhan route dan firewall.

Hanya Satu Arah atau Satu Aplikasi yang Berjalan

GejalaPemeriksaan utama
Cabang dapat memulai, pusat tidakApakah kebijakan memang mengizinkan pusat memulai layanan tersebut?
Ping berhasil, HTTPS gagalListener aplikasi, port, firewall host, TLS
IP berhasil, nama gagalDNS dan resolusi nama
Paket kecil berhasil, transfer besar macetMTU, path MTU discovery, jalur transport
Router dapat mengakses, komputer tidakGateway host, source address, forward, jalur balik

Jangan langsung menurunkan MTU ke angka acak. Ukur gejalanya, periksa jalur, lalu sesuaikan berdasarkan hasil pengujian.

Tunnel Bermasalah Saat Menggunakan Dua ISP

WireGuard memiliki dua lapisan trafik:

  • Paket internal yang akan dibawa melalui tunnel.
  • Paket UDP terenkripsi yang dikirim melalui jaringan internet.

Keduanya dapat terpengaruh kebijakan routing yang berbeda. Remote LAN harus menuju interface tunnel, sedangkan endpoint harus dicapai melalui jalur internet yang benar.

Jika router menggunakan PCC, periksa apakah rule mangle:

  • Salah menandai tujuan remote LAN sebagai trafik internet.
  • Mengirim balasan UDP melalui ISP yang berbeda.
  • Menggunakan routing table tanpa route yang diperlukan.
  • Bertabrakan dengan penandaan existing.

Konteks distribusi jalur dijelaskan pada konfigurasi load balancing dua ISP di MikroTik.

Dokumentasi resmi MikroTik menyediakan bagian multi-WAN tersendiri karena balasan handshake dapat mengikuti jalur yang tidak diinginkan jika kebijakan routing tidak konsisten. Jangan menyalin script multi-WAN tanpa menyesuaikan interface, tabel, dan versi RouterOS.

Keamanan dan Performa VPN Kantor

Lindungi Private Key dan Batasi Akses

Praktik yang perlu diterapkan:

  • Pertukarkan public key, bukan private key.
  • Simpan backup dan export pada penyimpanan yang terkontrol.
  • Hapus atau ganti peer yang tidak lagi digunakan.
  • Batasi akses antarsubnet sesuai kebutuhan aplikasi.
  • Jangan membuka Winbox atau SSH publik hanya untuk mempermudah pengelolaan VPN.
  • Tinjau log dan perubahan konfigurasi.
  • Pertahankan autentikasi pada aplikasi dan server.

Jangan memasukkan interface WireGuard ke interface list LAN tanpa memeriksa seluruh rule yang menggunakan list tersebut. Dokumentasi MikroTik menjelaskan bahwa tindakan itu memberikan hak akses yang sudah diberikan kepada anggota list LAN.

Periksa Bandwidth, CPU, dan Dampak Queue

Performa aplikasi melalui VPN dipengaruhi kapasitas kedua lokasi, latency, packet loss, kemampuan perangkat, enkripsi, dan pengaturan antrean.

Sebagai contoh, saat pengguna cabang mengambil file dari pusat, kapasitas upload pusat dan download cabang sama-sama berperan.

Periksa resource router:

text/system resource print

Untuk pembagian kapasitas dan pemeriksaan queue, gunakan panduan cara mengatur bandwidth MikroTik.

Jangan menganggap kapasitas VPN sama dengan kecepatan port Ethernet atau angka paket ISP. Hasil perlu diuji pada perangkat, konfigurasi, dan jenis trafik yang benar-benar digunakan.

Dokumentasikan Endpoint, Prefix, dan Prosedur Pemulihan

Dokumentasi operasional setidaknya memuat:

  • Nama lokasi dan penanggung jawab.
  • Versi RouterOS.
  • Endpoint dan port.
  • Public key peer.
  • Prefix LAN dan tunnel.
  • Route terkait.
  • Kebijakan aplikasi yang diizinkan.
  • Ketergantungan pada modem, ISP, NAT, atau DNS.
  • Prosedur pengujian dan rollback.

Pisahkan dokumentasi operasional umum dari penyimpanan rahasia. Private key tidak perlu dicantumkan dalam diagram atau dokumen yang dibagikan luas.

Jika LAN menggunakan beberapa VLAN, tentukan subnet mana yang boleh masuk tunnel. Jangan otomatis memasukkan jaringan tamu, CCTV, dan seluruh server. Untuk penyiapan segmentasinya, gunakan panduan cara membuat VLAN di MikroTik.

Kapan Perlu Bantuan Konfigurasi VPN Antarkantor?

Bantuan implementasi layak dipertimbangkan ketika:

  • Kedua lokasi berada di belakang jaringan ISP yang sulit dijangkau.
  • Subnet pusat dan cabang tumpang tindih.
  • Terdapat beberapa cabang, beberapa ISP, atau policy routing kompleks.
  • Aplikasi membutuhkan akses yang lebih rinci.
  • Perubahan harus dilakukan tanpa kehilangan akses administrasi.
  • Tidak tersedia dokumentasi firewall dan route existing.

Kebutuhan tersebut dapat didiskusikan melalui layanan konfigurasi Router & Switch MAS-IT. Ruang lingkup layanan yang tercantum mencakup VPN site-to-site, routing, firewall, multi-WAN, dan bandwidth management yang disesuaikan dengan kebutuhan jaringan perusahaan.

Pembahasan sebaiknya dimulai dari kebutuhan aplikasi dan topologi, bukan hanya permintaan “membuat tunnel”. Dengan demikian, hasil implementasi dapat dinilai dari akses yang benar-benar diperlukan dan pembatasan yang tetap bekerja.

Kesimpulan

VPN site-to-site MikroTik dengan WireGuard memerlukan lebih dari pembuatan interface. Kedua router harus memiliki peer yang benar, prefix yang sesuai, route menuju LAN remote, serta firewall yang membedakan transport tunnel dan akses aplikasi.

Mulailah dengan subnet yang tidak tumpang tindih dan endpoint yang dapat dijangkau. Setelah handshake berhasil, lanjutkan pengujian dari komputer pengguna, periksa DNS serta jalur balik, dan pastikan akses yang tidak disetujui tetap ditolak.

Setelah konektivitas antarkantor dibahas, pengelolaan jaringan juga perlu memperhatikan pengguna tamu yang tidak seharusnya memperoleh akses ke LAN internal maupun tunnel perusahaan. Artikel berikutnya, Cara Membuat Hotspot Voucher MikroTik, direncanakan membahas autentikasi dan pengelolaan akses internet berbasis voucher. Topik tersebut merupakan kebutuhan akses yang berbeda, bukan tahap wajib untuk membangun VPN site-to-site.

FAQ VPN Site-to-Site MikroTik

Apakah VPN Site-to-Site Menyatukan Dua Kantor Menjadi Satu Jaringan Layer 2?

Tidak pada desain artikel ini. Kedua lokasi tetap menggunakan subnet berbeda dan berkomunikasi melalui routing.

WireGuard membawa paket IP melalui interface tunnel; contoh site-to-site resmi MikroTik menggunakan subnet berbeda dan route menuju jaringan remote. Kebutuhan memperluas broadcast domain memerlukan desain lain.

Apakah Semua Aplikasi LAN Langsung Berfungsi melalui VPN?

Tidak selalu. Aplikasi dapat bergantung pada DNS, discovery berbasis broadcast, beberapa port, pengaturan server, atau persyaratan latency.

Karena itu, keberhasilan ping tidak boleh menjadi satu-satunya ukuran. Uji proses kerja aplikasi yang sebenarnya, termasuk login, transaksi, transfer data, dan koneksi balik jika digunakan.

Bisakah Topologi Dua Kantor Dikembangkan ke Banyak Cabang?

Bisa, tetapi perlu perencanaan peer, prefix, route, dan kebijakan akses untuk setiap lokasi.

Jangan menduplikasi satu konfigurasi sambil mempertahankan subnet yang sama atau menggunakan prefix allowed-address yang saling bertabrakan pada peer dalam interface yang sama. Untuk banyak cabang, tentukan pula apakah menggunakan hub-and-spoke atau desain lain yang sesuai kebutuhan.

Apakah Penggantian Public Key Cukup Jika Private Key Diduga Bocor?

Tidak cukup hanya mengganti teks public key pada peer remote tanpa mengganti pasangan kunci yang terkait.

Perangkat yang private key-nya diduga bocor perlu menggunakan pasangan kunci baru, kemudian public key barunya diperbarui pada peer yang sah. Lakukan perubahan secara terencana karena pergantian identitas akan memutus koneksi sampai kedua sisi sesuai.

Apakah Menutup Akses Internet Server Tetap Diperlukan Setelah Ada VPN?

Ya, jika layanan tersebut memang hanya ditujukan untuk pengguna internal. Tunnel VPN tidak otomatis menghapus port forwarding, layanan publik, atau rule lama.

Periksa kembali eksposur aplikasi pada modem, router, firewall, dan host. VPN seharusnya menjadi jalur akses yang direncanakan, bukan tambahan jalur sementara layanan internal tetap terbuka tanpa kebutuhan.