Panduan VPN IPsec Site-to-Site MikroTik

Ringkasan VPN IPsec site-to-site MikroTik mengenkripsi trafik antara dua jaringan utuh — kantor pusat dan kantor cabang, sebuah NOC dan lokasi tower — sehingga host di masing-masing LAN dapat menjangkau LAN lainnya seolah-olah berada di jaringan lokal yang sama. Panduan ini mengonfigurasi kedua router pada RouterOS v7: peer IKEv2, identity dengan pre-shared key, proposal Fase 2, policy tunnel, aturan NAT bypass yang menggagalkan sebagian besar percobaan pertama, serta aturan firewall dan pemeriksaan yang memastikan tunnel benar-benar aktif.

Apa itu VPN IPsec site-to-site MikroTik?

VPN IPsec site-to-site MikroTik adalah tunnel terenkripsi permanen antara dua router yang menggabungkan dua LAN terpisah menjadi satu jaringan yang dapat dirutekan di Layer 3, tanpa salah satu router mengekspos port manajemen ke internet publik. Berbeda dengan VPN akses klien seperti WireGuard atau OpenVPN — di mana hanya satu perangkat admin yang menghubungkan diri — tunnel site-to-site selalu aktif dan bersifat subnet-ke-subnet: setiap host di belakang Router A dapat menjangkau setiap host yang diizinkan di belakang Router B secara otomatis. IPsec adalah pilihan yang tepat di sini karena merupakan standar terbuka yang didukung hampir semua vendor firewall dan router, berjalan di kernel RouterOS sehingga throughput-nya bagus, dan di MikroTik sudah tersedia bawaan tanpa paket tambahan.

Tunnel dibangun lewat dua negosiasi. Fase 1 (IKE) mengautentikasi kedua router satu sama lain dan membangun kanal yang aman; Fase 2 (IPsec) menegosiasikan kunci yang benar-benar mengenkripsi trafik data Anda. Jika kedua fase cocok di masing-masing ujung, tunnel akan naik; salah satu algoritma saja tidak cocok, tunnel gagal tanpa pesan yang jelas — itulah sebabnya langkah-langkah di bawah menjaga kedua sisi tetap simetris.

Sebelum Anda mulai

Anda memerlukan dua router MikroTik dengan RouterOS v7, masing-masing dengan alamat IP publik atau hostname DDNS yang berfungsi, dan dua subnet LAN yang tidak saling tumpang tindih. Panduan ini memakai 192.168.10.0/24 di Site A dan 192.168.20.0/24 di Site B. Jika kedua site memakai 192.168.88.0/24, routing menjadi mustahil — ubah pengalamatan salah satu sisi terlebih dahulu. Karena IPsec sangat sensitif terhadap selisih jam, aktifkan NTP di kedua router sebelum mulai; jika kedua ujung bergeser waktunya, security association akan kedaluwarsa dan tunnel terus putus.

Mengurus prasyarat itu di lebih dari segelintir site saja sudah merepotkan. Saat Anda mengelola armada perangkat, MKController memberi satu konsol untuk memastikan versi RouterOS dan sumber jam setiap router sebelum Anda mengalihkan tunnel, jadi Anda tidak perlu login ke tiap perangkat hanya untuk memastikan perangkat itu siap.

Langkah 1: Buat profile dan peer IKE

Di Site A, definisikan profile Fase 1 dan arahkan sebuah peer ke alamat publik Site B:

/ip ipsec profile add name=to-siteB hash-algorithm=sha256 \
    enc-algorithm=aes-256 dh-group=modp2048 lifetime=1d

/ip ipsec peer add name=siteB address=<SITE_B_PUBLIC_IP>/32 \
    profile=to-siteB exchange-mode=ike2

dh-group=modp2048 adalah Diffie-Hellman Group 14 — default modern yang solid. exchange-mode=ike2 memilih IKEv2, yang lebih cepat dan lebih tangguh dibanding mode main/IKEv1 yang lama. Kedua ujung harus memakai nilai profile yang sama dan exchange mode yang sama.

Langkah 2: Tambahkan identity (pre-shared key)

/ip ipsec identity add peer=siteB auth-method=pre-shared-key \
    secret="<long-random-shared-secret>"

Gunakan secret yang panjang dan acak, lalu simpan seperti Anda menyimpan kunci SSH — bukan di pesan chat. Secret yang sama dipasang di kedua router.

Langkah 3: Tentukan proposal Fase 2

/ip ipsec proposal add name=to-siteB auth-algorithms=sha256 \
    enc-algorithms=aes-256-cbc pfs-group=modp2048

Perfect Forward Secrecy (pfs-group) berarti setiap rekey memakai material kunci yang baru, sehingga kunci yang bocor tidak pernah membuka trafik lama. Sama seperti Fase 1, algoritmanya harus cocok di kedua ujung.

Langkah 4: Buat policy tunnel

Policy memberi tahu RouterOS trafik mana yang harus dienkripsi — dari LAN lokal ke LAN remote:

/ip ipsec policy add peer=siteB tunnel=yes \
    src-address=192.168.10.0/24 dst-address=192.168.20.0/24 \
    proposal=to-siteB action=encrypt

tunnel=yes adalah yang membuat koneksi ini site-to-site, bukan host-to-host: paket asli dibungkus utuh, sehingga kedua LAN dapat berkomunikasi secara transparan.

Langkah 5: Tambahkan aturan NAT bypass (langkah yang selalu terlupakan)

Di sinilah sebagian besar percobaan pertama gagal. Router Anda sudah punya aturan masquerade yang menulis ulang alamat sumber trafik keluar dari LAN. Jika aturan itu dieksekusi sebelum IPsec, ujung remote menerima paket yang alamat sumbernya tidak lagi cocok dengan policy, lalu membuangnya. Tambahkan aturan accept di atas masquerade agar trafik yang menuju tunnel melewati NAT:

/ip firewall nat add chain=srcnat action=accept place-before=0 \
    src-address=192.168.10.0/24 dst-address=192.168.20.0/24

place-before=0 menempatkan aturan di posisi paling atas chain srcnat, dan ini wajib — aturan bypass yang diletakkan setelah masquerade tidak berguna sama sekali.

Langkah 6: Buka firewall dan verifikasi

Izinkan port IKE dan NAT-T beserta protokol ESP pada chain input agar tunnel dapat terbentuk, terutama jika salah satu site berada di belakang perangkat NAT lain:

/ip firewall filter add chain=input protocol=udp dst-port=500,4500 action=accept
/ip firewall filter add chain=input protocol=ipsec-esp action=accept

Lalu pastikan tunnel sudah naik:

/ip ipsec active-peers print
/ip ipsec policy print

Tunnel yang sehat menampilkan peer yang aktif dan policy dengan ph2-state bernilai established. Ping singkat dari host di satu LAN ke host di LAN lainnya membuktikan keterjangkauan ujung ke ujung.

Cerminkan konfigurasi di Site B

Ulangi setiap langkah di Site B dengan alamat yang dibalik: peer mengarah ke IP publik Site A, sedangkan policy dan NAT bypass memakai src-address=192.168.20.0/24 dan dst-address=192.168.10.0/24. Profile, proposal, secret identity, dan mode IKEv2 tetap identik. Ketika kedua sisi cocok, Fase 1 dan Fase 2 selesai dan tunnel pun naik.

Tips keamanan dan operasional

Jaga RouterOS tetap ter-patch — rilis terbaru membawa perbaikan yang menyentuh pencocokan sertifikat peer IPsec/IKEv2, jadi tunnel yang berjalan baik kuartal lalu layak diuji ulang setelah setiap upgrade. Utamakan IKEv2 dengan PFS dibanding default IKEv1 yang lama. Bila memungkinkan, beralihlah dari shared secret ke autentikasi sertifikat seiring bertambahnya jumlah tunnel, karena satu pre-shared key yang bocor memengaruhi semua site yang memakainya bersama. Dan catat status tunnel di tempat yang benar-benar Anda pantau: link site-to-site yang mati tidak terlihat sampai ada orang yang mencoba menjangkau LAN di seberang dan gagal.

Pada skala armada, tunnel IPsec yang diam-diam putus setelah jam tidak sinkron atau WAN berkedip adalah persis jenis kegagalan yang disadari pelanggan lebih dulu daripada Anda. MKController menutup celah itu: ia memantau setiap router lewat tunnel keluar yang aman tanpa perlu IP publik dan tanpa port forwarding di perangkat, menyimpan backup konfigurasi berversi sehingga Anda bisa membandingkan dan memulihkan blok IPsec yang berfungsi setelah salah edit, dan dapat membuka tiket saat terjadi peristiwa link-down sebelum telepon berdering. Untuk konfigurasi tunnel-nya sendiri, panduan kami tentang NAT di MikroTik menjelaskan aturan masquerade yang Anda lewati di sini, dan untuk menjangkau satu router saja alih-alih menggabungkan dua LAN, lihat manajemen remote di belakang CGNAT dan panduan manajemen remote dengan WireGuard kami.

Satukan semua tunnel Anda dalam satu tempat

IPsec menggabungkan dua site dengan rapi, tetapi ISP atau MSP yang sedang tumbuh akan segera punya puluhan tunnel, kunci, dan aturan firewall yang harus tetap sinkron — dan setiap penyuntingan manual adalah peluang untuk mengunci diri Anda sendiri di luar site remote. MKController dibangun tepat untuk skala seperti itu: manajemen armada terpusat, akses remote yang aman tanpa port terbuka, riwayat dan backup konfigurasi, serta pengiriman perubahan firewall dan policy ke seluruh armada, sehingga sebuah template tunnel cukup digelar sekali alih-alih diketik ulang router demi router. Operator yang menjalankan MikroTik dalam skala besar memakainya untuk mengubah satu sore penuh SSH per perangkat menjadi beberapa klik per perubahan.

Mulai uji coba gratis MKController Anda