Penerapan ACL 3

Ayo belajar!

Setelah penerapan ACL 2 dengan aturan yang cukup rumit dan baru bagiku, sekarang aku ingin lebih berkembang lagi dengan mengganti subnet menjadi VLAN.

Topologi

Topologi Jaringan

Terdapat 3 VLAN, yaitu Admin, Gudang, Keuangan. Ketiga VLAN itu terhubung dengan router untuk melakukan ROAS -IVR (Inter-VLAN Routing) dan menjadi DHCP server bagi VLAN itu. Setelah itu akan diterapkan ACL untuk keamanannya.

Secara simpel ada 2 tahapan: tahap 1 adalah membangun jaringan lokal dan tahap 2 adalah menerapkan ACL-nya.

Tahap 1 — Bagun Jaringan Lokalnya

Membuat VLAN

Buat VLAN dan masukkan interface dari switch yang bisa mengakses VLAN itu untuk PC host. Pilih salah satu interface untuk menjadi jembatan yang menghubungkan semua VLAN dengan router, karena kita akan menggunakan IVR ROAS.

Jangan lupa untuk menyimpan konfigurasi dengan perintah“write”.

Switch>enable
Switch#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
Switch(config)#vlan 10              //membuat vlan dan memeberi nama
Switch(config-vlan)#name Admin
Switch(config-vlan)#exit
Switch(config)#vlan 20
Switch(config-vlan)#name Gudang
Switch(config-vlan)#exit
Switch(config)#vlan 30
Switch(config-vlan)#name Keuangan
Switch(config-vlan)#exit


Switch(config)#int range fa0/1,fa0/2              //memasukan interface yang dapat mengakses vlan
Switch(config-if-range)#switchport mode access    //mengubah port ke mode akses
Switch(config-if-range)#switchport access vlan 10 //mengakses vlan 10
Switch(config-if-range)#exit
Switch(config)#int range fa0/8,fa0/9
Switch(config-if-range)#switchport mode access
Switch(config-if-range)#switchport access vlan 20
Switch(config-if-range)#exit
Switch(config)#int range fa0/17,fa0/18
Switch(config-if-range)#switchport mode access
Switch(config-if-range)#switchport access vlan 30
Switch(config-if-range)#exit

Switch(config)#int gig0/1               //interface ke router
Switch(config-if)#switchport mode trunk //merubah mode ke trunk
Switch(config-if)#exit
Switch(config)#exit
Switch#write                            //simpan
Building configuration...
[OK]
Switch#

Diriku: aku lupa screenshot 🙏.

Buat Konektivitas dengan Router

Konektivitas dengan router dibuat dengan membungkus VLAN (dot1q) dan memberi IP address sebagai gateway pada sub-interface router yang terhubung dengan switch (interface milik router).

Router>enable
Router#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#int gig0/0.10
Router(config-subif)#encapsulation dot1q 10
Router(config-subif)#ip address 192.168.5.1 255.255.255.248
Router(config-subif)#exit
Router(config)#int gig0/0.20
Router(config-subif)#encapsulation dot1q 20
Router(config-subif)#ip address 192.168.5.9 255.255.255.248
Router(config-subif)#exit
Router(config)#int gig0/0.30
Router(config-subif)#encapsulation dot1q 30
Router(config-subif)#ip address 192.168.5.17 255.255.255.248
Router(config-subif)#exit
Router(config)#

Beri IP Address pada Server

Memberi IP address pada sebuah interface (gateway) dilakukan dengan mengakses interface yang terhubung dengan server.

Router(config)#int gig1/0
Router(config-if)#ip address 1.1.1.1 255.255.255.252  //gateway untuk web server
Router(config-if)#exit
Router(config)#int gig2/0
Router(config-if)#ip address 1.1.1.5 255.255.255.252  //gateway untuk database server
Router(config-if)#exit
Router(config)#

Membuat DHCP Server

Buat DHCP server untuk setiap VLAN dengan mencantumkan network, gateway, dns server (dns google), dan mengecualikan IP gateway agar tidak termasuk ke dalam IP yang akan dibagikan oleh DHCP server.

Jangan lupa untuk menyimpan konfigurasi dengan perintah “write”.

Router(config)#ip dhcp pool Admin                        //dhcp server admin
Router(dhcp-config)#network 192.168.5.0 255.255.255.248
Router(dhcp-config)#default-router 192.168.5.1
Router(dhcp-config)#dns-server 8.8.8.8
Router(dhcp-config)#ip dhcp excluded-address 192.168.5.1
Router(config)#ip dhcp pool Gudang                       //dhcp server gudang
Router(dhcp-config)#network 192.168.5.8 255.255.255.248
Router(dhcp-config)#default-router 192.168.5.9
Router(dhcp-config)#dns-server 8.8.8.8
Router(dhcp-config)#ip dhcp excluded-address 192.168.5.9
Router(config)#ip dhcp pool Keuangan                     //dhcp server keuangan
Router(dhcp-config)#network 192.168.5.16 255.255.255.248
Router(dhcp-config)#default-router 192.168.5.17
Router(dhcp-config)#ip dhcp excluded-address 192.168.5.17
Router(config)#ip dhcp pool Keuangan
Router(dhcp-config)#dns-server 8.8.8.8
Router(dhcp-config)#exit
Router(config)#exit
Router#write
Building configuration...
[OK]

Uji Coba DHCP dan Konektivitas.

Untuk uji coba konektifitas semua VLAN dan server aku menggunakan PC5 dari VLAN keuangan.

• pc5 → pc vlan admin ✅
• pc5 → pc vlan gudang ✅
• pc5 → pc vlan keuangan sendiri ✅
• pc5 → webserver ✅
• pc5 → database server ✅

Dalam pengujian sudah pasti ada pesan RTO 1x, karena proses perutean yang ada di dalam router.

Keuangan ke Admin dan Keuangan ke Gudang

Keuangan ke Keuangan dan Keuangan ke Web Server

Keuangan ke Database Server

Tahap 2 — Terapkan ACL

Aku tidak tahu aturan seperti apa yang akan kuterapkan pada topologi ini. Mungkin aku akan meniru yang sebelumnya tapi dengan modifikasi tentunya.

Aturan yang akan diterapkan:

1. Semua koneksi wajib melalui koneksi aman (koneksi yang tidak aman seperti HTTP/80, FTP/21, Telnet/23 harus diblokir).
2. Semua VLAN terhubung normal.
3. VLAN Gudang hanya boleh mengakses Web server.
4. VLAN Keuangan hanya boleh mengakses Web server
5. VLAN Admin dapat mengakses Web server ataupun Database server.

Urutan prioritasnya: 1, 3, 4, 5, 2.

Get Helmi Dzaki Saputra’s stories in your inbox

Join Medium for free to get updates from this writer.

Remember me for faster sign in

Secara urutan prioritas, router akan memastikan paket data menggunakan koneksi aman, setelahnya memastikan paket data dari VLAN Gudang hanya dapat mengakses Webserver, begitu juga dengan VLAN Keuangan yang hanya boleh mengakses Webserver, dan VLAN Admin dibolehkan untuk mengakses kedua server itu, serta semua jaringan lokal (vlan) tetap terhubung normal.

Penerapannnya

Terdapat kesalahan dalam penerapannya, kemungkinan pada strategi peletakan aturannya. Yang kupahami mengenai urutan aturan ACL adalah ACL dibaca dari atas ke bawah, yang artinya butuh penyusunan prioritas agar ACL berjalan sesuai keinginan.

Tapi aku merasa jika susunan aturanku sudah benar, jadi dimana masalahnya? masalah sebenarnya adalah aku salah meletakkan aturan itu yang seharusnya diletakkan pada interface vlan, aku malah meletakkannya pada interface router gig0/0 (port fisik).

Jaringan ini menggunakan VLAN, jadi interface yang digunakan untuk ACL sebagai tempat memeriksa paket data adalah sub-interface dari interface router: gig0/0.10, gig0/0.20, gig0/0.30.

Jika ACL diletakkan di interface fisik (gig0/0), ACL tidak akan bisa mendeteksi karena paket keluar dan masuk yang melalui sub-interface (VLAN). Dalam aturan yang kususun tidak ada masalah, cuma penempatannya yang salah.

Router>enable
Router#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#ip access-list extended Kebijakan_Jaringan
Router(config-ext-nacl)#deny tcp any host 1.1.1.2 eq 21
Router(config-ext-nacl)#deny tcp any host 1.1.1.2 eq 23
Router(config-ext-nacl)#deny tcp any host 1.1.1.2 eq 80
Router(config-ext-nacl)#deny tcp any host 1.1.1.6 eq 21
Router(config-ext-nacl)#deny tcp any host 1.1.1.6 eq 23
Router(config-ext-nacl)#deny tcp any host 1.1.1.6 eq 80
Router(config-ext-nacl)#deny ip 192.168.5.8 0.0.0.7 host 1.1.1.6
Router(config-ext-nacl)#deny ip 192.168.5.16 0.0.0.7 host 1.1.1.6
Router(config-ext-nacl)#permit ip 192.168.5.0 0.0.0.7 host 1.1.1.2
Router(config-ext-nacl)#permit ip 192.168.5.0 0.0.0.7 host 1.1.1.6
Router(config-ext-nacl)#permit ip any any
Router(config-ext-nacl)#exit
Router(config)#int gig0/0.10
Router(config-subif)#ip access-group Kebijakan_Jaringan in
Router(config-subif)#exit
Router(config)#int gig0/0.20
Router(config-subif)#ip access-group Kebijakan_Jaringan in
Router(config-subif)#exit
Router(config)#int gig0/0.30
Router(config-subif)#ip access-group Kebijakan_Jaringan in
Router(config-subif)#exit
Router(config)#exit
Router#
%SYS-5-CONFIG_I: Configured from console by console
write
Building configuration...
[OK]
Router#

Konfigurasi ACL

Cek ACL

Untuk menghapus ACL bisa menggunakan perintah dibawah ini:

Router(config)#no ip access-list extended Kebijakan_Jaringan
Router(config)#int gig0/0
Router(config-if)#no ip access-group Kebijakan_Jaringan in
Router(config-if)#

Uji Coba ACL

Admin mengakses Webserver dan Database server

Admin Berkomunikasi dengan VLAN Gudang dan VLAN Keuangan

VLAN Gudang dapat mengakses Webserver tapi tidak bisa mengakses Database server

VLAN Keuangan dapat mengakses Webserver tapi tidak bisa mengakses Database server

Uji Coba ACL Protocol HTTP, FTP, Telnet

PC dari VLAN tertentu mengakses Webserver atau Database server menggunakan protocol tertentu. Hasilnya bisa diblokir (Failed) atau diizinkan (Succcessful).

VLAN Admin

HTTP →Webserver = Diblokir

FTP → Webserver = Diblokir

TELNET → Webserver = Diblokir

HTTPS → Webserver = Diizinkan

HTTPS → Database server = Diizinkan

VLAN Gudang

HTTP →Webserver = Diblokir

HTTP → Webserver = Diblokir

TELNET → Webserver = Diblokir

HTTPS → Webserver = Diizinkan

HTTPS → Database server = Diblokir

VLAN Keuangan

HTTP → Webserver = Diblokir

FTP → Webserver = Diblokir

TELNET → Webserver = Diblokir

HTTPS → Webserver = Dizinkan

HTTPS → Database server = Diblokir

Kesimpulan

ACL bekerja dengan baik, meski awalnya aku mengalami masalah pada penempatan ACL di interface router. Tapi setelah kupahami, interface fisik router (int gig0/0) tidak memiliki IP, dan yang memiliki IP hanya sub-interface (VLAN). Jadi, penempatan ACL-nya ditempatkan pada sub-interface itu, bukan di interface fisiknya.

Sejauh ini tidak ada masalah dan lancar saja… mungkin pada tulisan berikutnya aku akan ke tingkat yang lebih tinggi yaitu routing atau mungkin accesspoint? intinya salah satu dari itu.

👍