Mikrotik, DMZ dan NAT

Tipikal Topologi Jaringan dengan DMZ

Berawal dari keinginan untuk memudahkan pekerjaan kantor karena paling nggak setiap 2 tahun kita biasanya berganti ISP. Pergantian ISP itu tentunya berganti juga alamat IP publik yang kita miliki dan dengan jumlah server yang berada di DMZ (Demiliterized Zone) sekarang, cukup ketar-ketir kita setiap pergantian. Setidaknya pergantian tersebut mengharuskan kita mengganti beberapa konfigurasi di server yang berada di DMZ yang meskipun biasanya mulus, kadang ada saja hal yang terlewatkan. Kami percaya harusnya ini bisa lebih mudah.


Setelah meng-google ria akhirnya kita menemukan NAT sebagai jawaban atas keinginan kita. NAT 1:1 memungkinkan setiap satu alamat IP publik dipetakan dengan sebuah alamat IP private.  Dengan beberapa referensi yang kita temukan dan sebuah mikrotik kita mulai bergerilya.

[harusnya disini gambar]

Pertama kita harus mengkonfigurasi alamat IP pada mikrotik:

/ip address
add address=10.1.1.30/27 interface=outside
add address=192.168.1.1/24 interface=inside
add address=172.26.26.1/24 interface=dmz

Kemudian mengkonfigurasi NAT ke server MX, DNS, Web Server dan Squid Proxy

/ip firewall nat

> add chain=dst-nat dst-address=10.1.1.3 dst-port=53 protocol=udp action=dst-nat    to-addresses=172.26.26.3 to-ports=53 comment="NAT DNS"
> add chain=src-nat src-address=172.26.26.3 action=src-nat to-addresses=10.1.1.3

> add chain=dst-nat dst-address=10.1.1.2 dst-port=25 protocol=tcp action=dst-nat  to-addresses=172.26.26.2 to-ports=25 comment="NAT MX"
> add chain=src-nat src-address=172.26.26.2 action=src-nat to-addresses=10.1.1.2

> add chain=dst-nat dst-address=10.1.1.10 dst-port=80 protocol=tcp action=dst-nat to-addresses=172.26.26.5 to-ports=80 comment="NAT HTTP"
> add chain=src-nat src-address=172.26.26.10 action=src-nat to-addresses=10.1.1.5

> add chain=src-nat src-address=172.26.26.11 action=src-nat to-addresses=10.1.1.11 comment="NAT SQUID"

Konfigurasi diatas masih sangat mendasar dan lebih bertujuan yang penting bisa running-well dulu. Selanjutnya firewall harus di-hardening terlebih dulu agar lebih aman dan siap masuk ke level production.