Security Hardening Router MikroTik v7

Router MikroTik kerap jadi sasaran empuk serangan siber karena fungsinya sebagai gerbang utama ke internet. Banyak admin yang lalai mengatur security dasar, sehingga router mudah di-scan, di-bruteforce, atau di akses tanpa izin. Hardening MikroTik RouterOS v7 bukan sekadar “biar lebih aman”, tapi langkah dasar untuk mengurangi attack surface. Menutup atau membatasi yang tidak digunakan, agar tidak menjadi celah serangan.

Rekomendasi resmi MikroTik menyoroti pentingnya update RouterOS, mengganti user default, mematikan service yang tidak diperlukan, menonaktifkan MAC access dan neighbor discovery, serta memastikan proteksi WAN tetap tertutup kecuali melalui koneksi aman seperti VPN.

⚠️ PERINGATAN KERAS : Jika mencoba mengikuti contoh konfigurasi pada dokumentasi ini, jangan asal copy-paste. Pastikan teliti dan berhati-hati karena ada risiko kehilangan akses login ke Router Mikrotik. Selalu lakukan BACKUP sebelum melakukan perubahan konfigurasi besar atau aktifkan SAFE MODE ⚠️

Update RouterOS & Firmware ke Versi Terbaru

RouterOS v7 rutin merilis update patch keamanan, sementara versi lama rentan terhadap CVE yang telah dipublikasikan.

Via Terminal:

/system package update check-for-updates
/system package update install

Setelah itu, cek juga firmware RouterBOARD bila perangkat Anda mendukungnya. Ini umum dilakukan setelah upgrade RouterOS agar versi firmware mengikuti versi software untuk stabilitas dan keamanan yang lebih baik.

Update firmware routerboard:

/system routerboard upgrade
/system routerboard print

Anda dapat memeriksa apakah versi RouterOS saat ini apakah memiliki kerentanan / vulnerability dengan menggunakan aplikasi Tools untuk audit keamanan Mikrotik seperti contoh pada dokumentasi -> [Audit MikroTik Dengan SARA RouterOS Security Inspector].

Ganti Default User Login & Buat User Terpisah

Jangan pernah menggunakan user admin tanpa password, atau password 123456. Kalau router dikelola beberapa orang, lebih aman buat akun terpisah per admin agar aktivitas lebih mudah diaudit, bukan berbagi satu akun.

Buat user baru dengan group full:

/user add name=netadmin group=full password="Str0ngP@ssw0rd!2026"
/user add name=monitoring group=read password="R3ad0nly#Pass"

Nonaktifkan atau hapus user default:

/user remove admin

Aktifkan password policy:

/user settings set min-password-length=12

Penjelasan:

• group=full — hak akses penuh ke semua fitur
• group=read — hanya bisa melihat konfigurasi, tidak bisa mengubah
• min-password-length — memaksa password minimal 12 karakter

Amankan Akses Management (Winbox, SSH, WebFig)

Ini yang sering jadi target utama, jadi pastikan aksesnya dibatasi dengan ketat. Hanya Aktifkan yang benar-benar dipakai. Kalau perlu akses remote, cara yang lebih aman adalah mengaktifkan VPN terlebih dahulu, lalu mengakses Winbox atau SSH lewat tunnel tersebut.

Nonaktifkan service yang tidak dipakai

/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes        # WebFig, nonaktifkan jika tidak dipakai
set api disabled=yes
set api-ssl disabled=yes
set winbox disabled=no      # Biarkan aktif tapi dibatasi
set ssh disabled=no         # Biarkan aktif tapi dibatasi

Lebih aman lagi bila aksesnya dibatasi dengan address hanya dari IP atau subnet tertentu. Batasi akses management hanya dari IP tertentu:

/ip service set winbox address=192.168.88.0/24,10.0.0.0/24
/ip service set ssh address=192.168.88.0/24

Ganti port default untuk mengurangi brute-force otomatis:

/ip service set winbox port=8292
/ip service set ssh port=2222

Mengganti port bukanlah jaminan keamanan mutlak, tapi mengurangi 99% brute-force otomatis yang menarget port default. brute-force juga bisa terjadi dari dalam (jaringan LAN).

Konfigurasi SSH

/ip ssh
set strong-crypto=yes
set host-key-size=4096
set always-allow-password-login=no

Penjelasan:

• strong-crypto=yes — Mengaktifkan algoritma enkripsi modern (AES-GCM, ChaCha20-Poly1305)
• host-key-size=4096 — Meningkatkan kekuatan kunci RSA
• always-allow-password-login=no — Memaksa penggunaan key-based authentication

Matikan MAC access dan Neighbor Discovery

Sebaiknya matikan MAC-Telnet, MAC-Winbox, MAC-Ping, dan Neighbor Discovery di production network. Meskipun IP service sudah dibatasi, akses layer-2 dan fitur discovery tetap bisa mengungkap keberadaan perangkat atau membuka jalur manajemen lokal yang tidak diinginkan.

/tool mac-server set allowed-interface-list=none
/tool mac-server mac-winbox set allowed-interface-list=none
/tool mac-server ping set enabled=no
/ip neighbor discovery-settings set discover-interface-list=none

Penjelasan parameter:

• allowed-interface-list=none: tidak mengizinkan akses MAC management dari interface mana pun.
• enabled=no: menonaktifkan fitur.
• discover-interface-list=none: menutup discovery di semua interface.

Atau batasi hanya bisa di akses dari interface list LAN

/ip neighbor discovery-settings set discover-interface-list=LAN

/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN
/tool mac-server ping set enabled=no

Mengaktifkan Firewall Dasar (Firewall Filter)

Firewall adalah inti dari proses hardening. Chain input dipakai untuk traffic yang menuju router itu sendiri, misalnya Winbox, SSH, ping, DNS ke router, atau VPN termination. Jadi saat bicara “mengamankan router”, fokus utamanya memang di input chain, bukan hanya forward.

Buat interface list terlebih dahulu, yang nantinya digunakan untuk pengaturan firewall.

/interface list add name=WAN comment="defconf"
/interface list add name=LAN comment="defconf"

/interface list member add list=LAN interface=bridge1-lan comment="Grouping interface LAN"
/interface list member add list=WAN interface=ether1-wan comment="Grouping interface LAN"

Filter Input Chain — Blokir Akses Management dari WAN

/ip firewall filter

# 1. Accept established & related — hanya izinkan balasan dari koneksi yang dimulai dari dalam
add chain=input action=accept connection-state=established,related,untracked comment="accept established,related,untracked"

# 2. Drop invalid packets
add chain=input action=drop connection-state=invalid comment="drop invalid"

# 3. Accept ICMP terbatas (untuk troubleshooting)
add chain=input action=accept protocol=icmp limit=50/5s,2 comment="Accept ICMP with limit"

# 3. Accept loopback
add chain=input action=accept src-address=127.0.0.1 dst-address=127.0.0.1 in-interface=lo comment="accept to local loopback (for CAPsMAN)"

# 4. Drop all not from LAN — ⚠️ Memblokir semua traffic ke router yang bukan dari jaringan LAN (WAN/internet) ⚠️
add chain=input action=drop in-interface-list=!LAN comment="drop all not coming from LAN"

Filter Forward Chain — Proteksi Jaringan Internal

/ip firewall filter  

# 1. Accept established, related, untracked — hanya izinkan balasan dari koneksi yang dimulai dari dalam
add chain=forward action=accept connection-state=established,related,untracked comment="accept established,related, untracked"

# 2. Drop invalid packets
add chain=forward action=drop connection-state=invalid comment="drop invalid"

# 3. Drop all from WAN not DSTNATed — ⚠️ Memblokir semua traffic dari WAN yang bukan hasil port forwarding (DSTNAT) ⚠️
add chain=forward action=drop connection-nat-state=!dstnat in-interface-list=WAN comment="drop all from WAN not DSTNATed"

Urutan sangat penting — firewall dievaluasi dari atas ke bawah, accept established harus di posisi paling atas.

Matikan Fitur Tambahan Yang Tidak Perlu

Beberapa fitur tambahan sebaiknya dimatikan bila tidak digunakan, seperti bandwidth-server, DNS remote request, proxy, socks, UPnP, dan cloud update-time/DDNS. Ini umum dalam hardening karena setiap service tambahan berarti attack surface tambahan juga.

Contoh :

/tool bandwidth-server set enabled=no
/ip dns set allow-remote-requests=no
/ip proxy set enabled=no
/ip socks set enabled=no
/ip upnp set enabled=no
/ip cloud set ddns-enabled=auto update-time=no

Catatan: jika router Anda memang berfungsi sebagai DNS cache internal, jangan matikan allow-remote-requests; cukup batasi dengan firewall agar hanya subnet internal yang boleh query DNS ke router.

Logging dan Monitoring

Aktifkan Logging ke Memory dan Disk

/system logging
add topics=firewall action=memory
add topics=critical action=disk
add topics=error action=disk
add topics=warning action=disk
add topics=account action=disk

Tambahkan Rule Logging untuk Akses Ditolak

/ip firewall filter
add chain=input action=log log-prefix="FIREWALL-DROP-INPUT: " protocol=tcp dst-port=22,8291 log=yes comment="Log percobaan akses winbox & SSH"

Verifikasi Log

/log print where topics~"firewall"

Best Practice Security MikroTik

1. Prinsip Least Privilege — Berikan hak akses seminimal mungkin. Gunakan group read, write, atau buat group custom.
2. Segmentasi Network — Pisahkan VLAN untuk management, user, dan guest. Jangan campurkan traffic management dengan user biasa.
3. Gunakan WireGuard untuk VPN — RouterOS v7 mendukung WireGuard native. Lebih cepat dan aman daripada PPTP/L2TP.
4. Jangan Expose Winbox ke Internet — Jika remote access dibutuhkan, gunakan VPN tunnel. Jangan buka port Winbox langsung ke publik.
5. Rotate Password Berkala — Minimal 3 bulan sekali, gunakan password manager.
6. Disable Unused Packages — Hapus package yang tidak digunakan untuk mengurangi attack surface.

Kesimpulan

Kalau ditanya “mana yang wajib duluan”, urutan paling umum dan paling masuk akal :

Prioritas	Konfigurasi	Kenapa penting
1	Update RouterOS	Menutup vulnerability versi lama
2	Ganti user admin + password kuat	Mengurangi risiko brute-force dan default login
3	Disable service tidak perlu	Mengurangi open port dan attack surface mikrotik
4	Batasi Winbox/SSH ke subnet management	Akses admin hanya subnet yang di izinkan
5	Disable MAC Winbox/MAC Telnet/Discovery	Menutup akses layer-2 dan informasi discovery
6	Perketat firewall input	Melindungi router itu sendiri dari WAN/untrusted network mikrotik
7	Remote access via VPN, bukan expose langsung	Jalur manajemen lebih aman
8	Disable fitur/tool/interface yang tidak dipakai	Mengurangi risiko tambahan

Hardening MikroTik RouterOS v7 yang paling umum dan wajib adalah: update sistem, ganti akun default, matikan service tidak perlu, tutup MAC access dan discovery, batasi akses manajemen hanya dari subnet tertentu, lalu pastikan firewall input benar-benar melindungi router dari WAN.