Skema MKController pada Perangkat Anda
Ringkasan
Saat Anda mengadopsi perangkat di MKController, Anda harus menyalin skrip ke Mikrotik Anda. Tujuan bahan ini adalah menjelaskan apa yang dilakukan skrip di Mikrotik dan apa yang terjadi jika aturan dihapus.
Persyaratan Dasar
RouterOS harus versi 6.39 atau lebih tinggi.
1. Sertifikat
-
Sertifikat ovpn yang akan digunakan untuk koneksi ovpn disimpan di sistem file
-
Sertifikat diimpor ke Mikrotik. Dapat diakses melalui menu System -> Certificates
Perintah:
/certificate import file-name=”[ID DO CERTIFICADO]” passphrase=””
2. Pembuatan Profil
- Aturan profil yang digunakan pada VPN dibuat
Perintah:
/ppp profile add name=”[ID DO PROFILE]” use-encryption=yes comment=”MKController”
3. Klien VPN Tunnel
Sertifikat dari langkah 1 dan profil dari langkah 2 digunakan untuk membuat koneksi ovpn dengan server ovpn.mkcontroller.com
Perintah:
interface ovpn-client add connect-to=”ovpn.mkcontroller.com” user=”[ID DO USUARIO]” auth=sha1 cipher=aes256 certificate=”[ID DO CERTIFICADO]” port=443 profile=”[ID DO PROFILE” name=”MKController” comment=”MKController”
4. Firewall
Aturan firewall dibuat untuk memastikan gateway vpn (10.8.0.1) memiliki akses ke Mikrotik melalui tunnel yang dibuat pada langkah 3
Perintah:
/ip firewall filter add chain=input action=accept src-address=”10.8.0.1″ priority=0 comment=”MKController”
5. Pemantauan
Skrip pemantauan dibuat di Mikrotik untuk mengirim data seperti penggunaan CPU, penggunaan disk, penggunaan memori, dll.
Perintah:
/system scheduler add name=”resources-1d9ca987″ interval=”90″ on-event=”[EVENTO] comment=”MKController”
6. Pengguna di Mikrotik
Pengguna dibuat di Mikrotik dengan izin administrator yang akan dikelola dalam komunikasi antara MKController dan Mikrotik. Password pengguna ini sering diubah untuk mencegah serangan brute force
Perintah:
/user add name=”[ID do usuario]” group=full password=”[Senha temporaria]”
7. Prioritas
Aturan yang dibuat di langkah 5 ditempatkan di paling atas daftar, memastikan MKController memiliki akses ke perangkat meskipun ada aturan penolakan lain
Perintah:
:do {
:local n [/ip firewall filter find where comment=”MKController”];/ip firewall filter move numbers=$n destination=0
} on-error {
8. Aktivasi Port
- Port [webfig], ssh, api, [winbox], dan [ftp] diaktifkan
- Jika port ditutup, akan diaktifkan dengan izin penggunaan alamat 10.8.0.1, memastikan hanya ovpn yang dapat mengakses
- Jika port sudah terbuka, alamat 10.8.0.1 akan ditambahkan ke daftar izin akses
- Semua layanan dapat dicek di IP -> Services
Perintah:
/ip service enable www; /ip service set www address=”10.8.0.1″
/ip service enable winbox; /ip service set winbox address=”10.8.0.1″
/ip service enable ssh; /ip service set ssh address=”10.8.0.1″
/ip service enable api; /ip service set api address=”10.8.0.1″
/ip service enable ftp; /ip service set ftp address=”10.8.0.1″
Apa yang terjadi jika setiap layanan ditutup.
-
[layanan www] – Koneksi webfig tidak akan berfungsi melalui web atau aplikasi mobile;
-
[layanan winbox] – Koneksi winbox tidak akan berfungsi melalui web atau aplikasi mobile;
-
[layanan ssh] – Layanan backup, unggah dan unduh file tidak akan berfungsi;
-
layanan api – API publik sistem, seperti walled garden tidak akan berfungsi
(Dokumentasi lengkap di https://app.mkcontroller.com/mkcontroller-puclic/); -
[layanan ftp] – Fungsi sistem file seperti integrasi ftp, daftar file, dan unggah batch file tidak akan berfungsi