Mikrotik Certified Network Associate

(MTCNA)
BUAT NGALAB
(Mikrotik Academy)
M Sobar,SPd
 FIREWALL
Firewall merupakan sebuah sistem keamanan yang berfungsi untuk memeriksa paket yang
keluar ataupun masuk. Dengan adanya firewall kita bisa melindungi jaringan kita terhadap
serangan dari luar maupun dari jaringan lokal kita sendiri. Nah untuk di Mikrotik sendiri kita
bisa membuat Router Mikrotik sebagai firewall yang melindungi jaringan lokal dari serangan
yang berasal dari luar (internet). Karena nantinya Router Mikrotik akan memilih mana paket
yang boleh masuk atau keluar dan mana paket yang akan dibuang. Ada beberapa jenis firewall
yang ada di Mikrotik , yang beberapa akan saya bahas di Lab lab berikutnya.
A. Firewall NAT
NAT atau Network Address Translation adalah sebuah firewall yang berfungsi untuk
merubah/menyamarkan IP address pengirim seolah olah menjadi IP address dari Router.
NAT adalah suatu metode untuk menghubungkan banyak computer ke jaringan internet dengan
menggunakan satu atau lebih alamat IP.
NAT digunakan karena ketersediaan alamat IP public.
NAT ini biasanya digunakan disaat Router berada diantara 2 jaringan yang berbeda.

jika dilihat dari topologinya Router Mikrotik berada diantara 2 jaringan yang berbeda ,
yaitu jaringan Lokal atau LAN dengan Jaringan Internet.
 Untuk mengingatkan kembali , di Lab yg lalu saya buat rule dengan perintah

[admin> ip firewall nat add chain=srcnat out-interface=ether1

action=masquerade

Di lab tersebut saya membuat sebuah rule firewall yang berfungsi untuk menyembunyikan
(masquerade) IP jaringan lokal yang akan menuju Internet melalui ether1.

“Jika ada paket yang lewat berasal dari Source (sumber) dan ingin
keluar melalui ether1 maka akan di samarkan (masquerade)
Firewall NAT ini dibagi menjadi 2 Yaitu Srcnat dan Dstnat.
Namun di Bab ini saya bakal lebih ngebahas tentang srcnat.

Chain pada IP Firewall NAT

1. srcnat, dengan action yang diperbolehkan:
1. Masquarade – subnet LAN to 1 dinamic IP WAN
2. Src-nat – subnet LAN to 1 static IP WAN
3. Netmap – subnet LAN to different subnet WAN
4. Same – subnet LAN to same subnet WAN
2. dsnat (port fowarding), dengan action yang
diperbolehkan:
1. Dst-nat – membelokkan traffik ke luar router
2. Redirect – membelokkan traffik ke router sendiri
 LAB Firewall NAT
( Masquerade IP Address Tertentu )

• Berikut ini adalah perintah konfigurasi masquerade dengan menggunakan

perintah IP Adress pengirim (src-address) didalamnya
[admin> ip firewall nat add chain=srcnat src-address=[Link]/24 out-
interface=ether1 action=masquerade
Jika kita menggunakan perintah diatas artinya kita hanya membolehkan IP address
dengan network [Link]/24 ([Link]–[Link]) yang bisa terkoneksi ke
internet.

Terus gimana misalnya kita Cuma pengen 3 user aja yang bisa konek ke internet , yaitu user
yang menggunakan IP [Link],[Link] dan [Link]. Selain dari IP itu tidak
bisa konek ke internet.

[admin@> ip firewall nat add chain=srcnat src-address= [Link]-[Link] out-

interface=ether1 action=masquerade
 LAB Firewall NAT
(Masquerade untuk Aplikasi Tertentu )

• Jika kita menginginkan computer user hanya mendapatkan

layanan internet tertentu (mis hanya akses browsing) maka
kita harus menambahkan opsi protocol dan destination port
pada baris konfigurasi masquerade
• Jadi kita harus tahu nomer2 port tujuan di server internet.
Misal destination port 80 untuk http, port 443 untuk https,

Untuk beberapa layanan yang menggunakan protocol yang

sama (mis protocol tcp) maka untuk mempersingkat
konfigurasi kita bisa buat opsi dst-port=80,443,5050 seperti
berikut

[admin@> ip firewall nat add chain=srcnat src-address=

[Link]-[Link] protocol=tcp dst-port=80 out-
interface=ether1 action=masquerade
 LAB Firewall NAT
( Masquerade dengan fungsi waktu)

• Mikrotik dapat membatasi akses internet

berdasarkan hari dan jam. Mis memberikan
layanan http/https pada user hanya jam
10.00-16.00 untuk hari senin-jumat.

Kita harus memastikan konfgurasi waktu pada router

mikrotik sudah akurat.

[admin@> ip firewall nat add chain=srcnat src-address=

[Link]-[Link] protocol=tcp dst-
port=80,443,5050 time=10:00-16:00, mon,tue,wed,thu,fri
out-interface=ether1 action=masquerade
 B. FIREWALL FILTER
Firewall filter digunakan untuk membatasi suatu paket yang dapat masuk atau
melewati sebuah sistem Router. Namanya juga filter artinya disaring . jadi setiap
paket yang mau masuk atau keluar nantinya bakal disaring/dipilih oleh Router.

Setiap Firewall Filter rule diorganisir dalam chain (rantai) yang berurutan.
Setiap aturan chain yang dibuat akan dibaca oleh router dari atas ke bawah.

Ada 3 jenis atau chain di firewall filter rule , yaitu :

 INPUT = Menangani paket data yang MASUK kedalam Router
 FORWARD = Menangani paket data yang MELINTASI Router
 OUTPUT = Menangani paket data yang KELUAR dari Router.
Firewall Filter Rule

• Prinsip IF….THEN….

• IF (jika) packet memenuhi syarat kriteria yang kita

buat.
• THEN (maka) action apa yang akan dilakukan pada
packet tersebut
 Firewall – IF (Condition)
IP>Firewall>Filter Rules>General

Source IP (IP client)

Destination IP (IP internet)

Protocol (TCP/UDP/ICMP, dll)

Source port (biasanya port dari client)
Destination port (service port tujuan)

Interface (traffik masuk atau keluar)

Paket yang sebelumnya telah ditandai

 Firewall – THEN (Action)

IP>Firewall>Filter Rules>Action

accept - accept the packet. Packet is not passed to next firewall

rule.
add-dst-to-address-list - add destination address to address
list specified by address-list parameter
add-src-to-address-list - add source address to address list
specified by address-list parameter
drop - silently drop the packet
jump - jump to the user defined chain specified by the value of
jump-target parameter
log - add a message to the system log containing following data:
in-interface, out-interface, src-mac, protocol, src-ip:port->dstip:
port and length of the packet. After packet is matched it is
passed to next rule in the list, similar as passthrough
passthrough - ignore this rule and go to next one (useful for
statistics).
reject - drop the packet and send an ICMP reject message
return - passes control back to the chain from where the jump
took place
tarpit - captures and holds TCP connections (replies with
SYN/ACK to the inbound TCP SYN packet)
 Firewall FILTER CHAIN INPUT
Chain Input pada firewall ini menangani paket paket
yang ditujukan atau diarahkan ke interface si Router.
Chain ini berguna untuk memberikan perlindungan
terhadap akses yang ditujukan untuk router , baik dari
jaringan lokal atau pun dari internet, baik dari dalam
ataupun dari luar.

LAB Blok Akses dengan Firewall INPUT

setelah paham tentang konsep firewall INPUT , kita
akan membuat sedikit percobaan , yaitu kita akan coba
memblok semua traffic yang akan masuk ke dalam
router dengan menggunakan chain input. Jadi SEMUA
traffic yang masuk akan DI BLOK.
 Caranya adalah sebagai berikut.
Klik menu IP > Firewall > Filter Rules > Add

Dengan rule ini, maka semua traffic yang menuju ke Router akan di blok, Kita tidak bisa melakukan
ping termasuk kita tidak bisa mengakses RouterBoard kita,
jadi cara diatas tidak terlalu efektif. Untuk menanganinya kita akan gunakan strategy
drop few, accept any atau sebaliknya accept few drop any.

Ada 2 strategy/metode untuk menyederhanakan rule firewall yang kita buat:

– Drop beberapa, lainya diterima (drop few, accept any)
– Terima beberapa, lainya dibuang (accept few, drop any)

Lab Firewall Filter INPUT (Membatasi IP untuk mengakses Router)

Kasusnya begini :
Kita pengen hanya IP dari Admin saja yang bisa mengakses si Router. Jadi selain IP
dari Administrator akan kita drop. Disini IP yang digunakan Admin adalah [Link]
IF ada traffic input yang berasal dari IP Laptop ([Link])

kita buat Rule untuk Accept Few (

Terima beberapa ). Kita masukkan
chain=input lalu di bagian src-address
Then tentukan action accept kita masukkan IP dari admin atau ip
kita sendiri, kemudian di tab
action=accept.
 IF ada traffic yang berasal dari <kosong> atau “all”
selanjutnya kita akan buat rule untuk mendrop
semua paket lainnya.
Caranya klik tombol add lagi

Kemudian masukkan seperti rule sebelumnya

hanya saja IP nya yang dibedakan , ubah menjadi Then tentukan action drop
[Link]/0 ini menandakan berjuta juta IP
lainnya. Kemudian Actionnya kita buat menjadi
drop.
Sebenernya ada cara lain yang lebih simple , yaitu hanya dengan membuat 1
rule aja cukup untuk semuanya.
Daripada bingung langsung aja ke konfigurasinya.
Sebelum itu kita HAPUS dulu semua konfigurasi sebelumnya.
Kemudian kita buat rule baru seperti dibawah ini. Kemudian kita klik kotak
kecil dibagian depan src-address.

Bisa dilihat perbedaannya adalah di Tanda

“!”didepan [Link]. tanda “!” artinya adalah
“selain”.Jadi kita terjemahkan rule diatas.

Jika ada yang mencoba masuk selain IP

[Link] maka akan di drop
 Lab Firewall Filter INPUT (Membatasi Port untuk mengakses Router)
jika di lab sebelumnya kita memblok IP yang mengakses Router maka di Lab ini akan
dibahas mengenai membatasi Port untuk mengakses Router. Maksud port disini adalah
port port fitur remote yang digunakan mikrotik diantaranya, port 8291 (Winbox),
22 (ssh), 23 (telnet), 80 (WebFig)

Kalo di lab sebelumnya saya Cuma bahas satu taktik , di lab ini saya bakal praktekan dengan 2
taktik.

Accept Few, Drop Any

(Terima beberapa ,
Buang Semuanya )

Kasusnya :
“Kita akan memblok semua
port kecuali Port Winbox
(8291).”
Drop Few , Accept Any ( Buang beberapa , Terima Semuanya )

“Kita ingin Router Kita tidak bisa diakses melalui telnet, namun tetap
bisa diakses melalui cara yang lain”

Maka seperti ini lah hasil akhir pembuatan rule kita. Rule ini akan
membuat router tidak bisa diakses melalui telnet.
 Lab Firewall Logging
firewall Logging ini salah satu fitur mikrotik
yang digunakan untuk mencatat aktifitas
jaringan yang dilakukan router. Jadi kita hanya
perlu memilih kegiatan apa yang akan kita
masukkan ke Logging ( catatan) nantinya.

contoh saya mau mencatat kegiatan Ping yang

masuk kedalam Router melalui ether2.
 Logging

Kita dapat mengatur aktivitas atau fitur apa yang akan ditampilkan dalam log.
• Kita juga dapat mengirimkan log ke syslog server tententu menggunakan
default
protocol UDP port 514.
• Pengaturan logging ada dalam menu System Logging
 Lab Address List
Melihat Ip address dari computer yang melakukan ping
Siapa dari lokal kita yang ping ke router, dia tidak bisa akses internet
selama 20 detik
• Buat rule firewall untuk memasukkan setiap IP yang melakukan ping
ke dalam address-list dan beri nama address list “who-ping-me”.
Buat rule drop untuk address-list “who-ping-me”
• Rule ini akan bekerja jika ada yang ping ke router saja
 Lab Address List
Melihat Ip address dari computer yang melakukan aksess ilegal
Kita dapat menggunakan address list untuk melihat ip address dari computer yang
melakukan percobaan akses konfigurasi (winbox,SSH,Telnet) terhadapt router kita.

selanjutnya
 Firewall FILTER CHAIN FORWARD.
Firewall ini lah yang menangani paket yang melewati Router, baik dari jaringan lokal maupun dari
jaringan luar. Firewall ini juga yang menentukan boleh tidaknya sebuah paket menuju internet
ataupun menuju jaringan lokal. Karena berhubungan dengan internet maka Firewall ini
menentukan website apa saja yang bisa diakses oleh client.

Lab Blok Akses Forward

dilab kali ini saya bakal ngasih percobaan yaitu kita akan memblok Akses yang melewati
Router. Jadi dalam kasus ini Client tidak akan bisa melakukan koneksi ke internet, yaitu
dengan cara memblok Akses Forward nya.
 Lab Blok Akses Forward (membatasi IP untuk mengakses internet)

dilab kali ini saya bakal ngasih percobaan yaitu misalnya kita Cuma pengen 3 user aja
yang bisa konek ke internet , yaitu user yang menggunakan IP [Link],[Link]
dan [Link]. Selain dari IP itu tidak bisa konek ke internet.
yaitu dengan cara memblok Akses Forward nya.
 Lab Blok Situs Menggunakan Firewall Forward

saya mau ngeblok situs google entah kenapa rasanya pengen banget blok tuh
situs .

Oke langsung aja ke langkah

konfigurasinya , yang pertama
harus dilakukan adalah kita
harus mencari tau IP dari
website target kita, dengan
cara menggunakan nslookup.
 Lab Blok Situs berdasarkan Konten.

Melanjutkan dari lab sebelumnya tentang

blokir situs , cuman cara diatas kurang
efektif , karena kita harus memasukan IP
dari situs target kita. Di lab ini saya mau
bahas cara yang lebih ringkas yaitu
berdasarkan Konten atau Kata .
 Lab Action=drop vs action =reject.
Perbedaan antara drop dan reject,
1. Jika drop maka paket data yg berasal dari computer tersebut akan dibuang oleh router (drop)
2. Jika reject, maka paket data akan dibuang oleh router namun router akan memberikan
pemberitahuan kepada komputer user. Pemberitahuan ini menggunakan protocol ICMP (internet control
message protocol).
 Lab Address List
Address List itu salah satu fitur mikrotik yang digunakan untuk membuat IP
tertentu menjadi sebutan nama. Jadi nantinya kita gak perlu lagi berurusan
sama angka angka , jadi kita Cuma urusan sama huruf-huruf

Study Case :
Disini saya ingin membuat IP lokal saya yaitu
[Link]/24 dengan sebutan IP Client.
Sedangkan untuk IP [Link] yaitu IP
saya sendiri disebut dengan IP sobar.
 Kemudian kita masukkan Nama/Sebutan dan IP
address nya , pertama kita buat untuk IP Client
yaitu [Link]/24

Kemudian kita buat lagi dengan nama IP sobar

dan IP nya [Link]
 Lab Blok Situs dengan Address List
saya mau ngeblok situs [Link] , yang mana
[Link] ini memiliki beberapa IP.

Pertama kita cari tau terlebih dahulu IP dari target

kita , caranya masih sama yaitu dengan nslookup

Selanjutnya kita masukkan IP tersebut kedalam

address List , caranya klik IP >
Firewall > Address List > Add

Setelah itu kita buat rule untuk memblok akses

ke Website [Link] , yaitu dengan firewall
Forward. Pasti masih tau kan caranya. Klik menu
IP > Firewall > Filter Rules > Add , kemudian
buat rule seperti dibawah ini
 Lab Address List
Memberikan akses internet penuh pada IP admin tpi untuk
client hanya akses internet browsing (http/https)

Langkah2nya :
[Link] address list untuk ip admin dan ip client

Disini saya ingin membuat IP lokal saya yaitu

[Link]/24 dengan sebutan IP Client. Sedangkan
untuk IP [Link] yaitu IP saya sendiri disebut
dengan IP admin.
2. Melakukan konfigurasi pada firewall
 Lab Blok Situs dengan Layer 7 Protocol

Caranya adalah klik menu IP > Firewall > Layer 7

Protocol > Add

Selanjutnya kita buat rule untuk memblokir

berdasarkan Layer 7. Tentunya di Firewall
Filter Rule. Kemudian kita buat rule nya
seperti ini , masukkan layer 7 protocol yang
tadi dibuat di bagian Advanced.
 Lab Blok Situs Porno dengan DNS Nawala
Setelah berbagai cara memblok situs sekarang kita
masuk lagi ke materi yang bisa dibilang mungkin
saangaaat bermanfaat , yaitu memblok situs porn* ,
sebenarnya kita bisa saja memblok situs porno melalui
cara cara sebelumnya hanya saja kurang efektif karena
kita harus mengetahui dahulu IP atau nama website
situs tidak baik ini. Nah disini saya mau ngasih tau cara
simple buat blok situs porno yaitu dengan menggunakan
DNS nawala , buat yang belom tau apa itu DNS nawala
nih saya kasih SS an nya , sekalian diliat IP dari DNS
Nawala. Karena nantinya kita akan mengubah DNS di
Router menjadi DNS Nawala ini.

bahwa konsepnya adalah kita akan mengatur DNS dari

Router menjadi DNS Nawala ini. Caranya sama seperti
di Lab koneksi internet sebelumnya , Pertama kita klik
menu IP > DNS kemudian ubah menjadi IP DNS
Nawala
 Lab Transparent DNS Nawala
ternyata lab sebelumnya itu masih memiliki kekurangan.
Jadi jika client mengganti DNS nya menjadi DNS
Google atau DNS lain yang bukan DNS Nawala maka
hasilnya client tetap dapat membuka situs porn*
tersebut.

Jadi di Lab ini saya bakal buat Transparent DNS ,

artinya kita akan memaksa client untuk memakai DNS
Nawala ini , walaupun dia mencoba ganti ke DNS google
tetap saja seolah olah dia menggunakan DNS nawala ini.

masuk ke menu Firewall NAT , dengan cara klik

menu IP > Firewall NAT > Add
Setelah itu kita buat rule dengan chain=dstnat ,
protocol=udp , port=53 , kemudian di tab action kita
pilih action=redirect , to-port=53.

Maksud dari perintah diatas adalah, kita

akan me-redirect atau mengarahkan
segala jenis DNS (port 53) menuju DNS
yang digunakan oleh Router.
Web Proxy
Proxy adalah suatu aplikasi yang menjadikan perantara antar client dengan server (website),
sehingga nantinya client tidak berhubungan secara langsung dengan server server yang ada
diinternet

Proxy akan membuat request dari client ke web server di internet menjadi atas permintaan
dari Proxy Server. Sehingga website akan mengetahui bahwa yang mengakses adalah Proxy
Server dan bukannya dari client. Jadi website akan memberikan response nya kepada Proxy ,
dan bukannya ke client. Barulah nanti akan diteruskan oleh proxy ke client. Untuk lebih
paham monggo disimak gambar nya
 Lab Mengaktifkan Web Proxy

caranya adalah klik menu IP > Web Proxy , kemudian

klik bagian enable dan isi seperti dibawah ini

Keterangan :

Port : Port yang akan digunakan Proxy

Cache Administrator : Admin yang bertanggung
jawab , isikan saja email anda [Link] Size :
Menentukan ukuran hardisk router yang akan
digunakan untuk menyimpan cache
Cache-on-Disk : bila kita pilih yes maka
Penyimpanan Cache akan disimpan di Harddisk ,
sedangkan bila kita pilih No , maka cache akan
disimpan di RAM

Dengan begitu maka Proxy kita sudah diaktifkan ,

sekarang tinggal aktifkan Proxy di Web Browser client.
Kemudian silahkan lakukan aktifitas Browsing dari client , setiap kali client
mengunjungi situs maka akan terlihat koneksi yang dilakukan oleh client
kita. Untuk melihatnya klik saja menu connection di web proxy mikrotik

Kita juga bisa melihat situs yang pernah dikunjungi oleh client yang
telah ter-cache di Web Proxy. Dengan cara klik bagian Cache Contents
 Lab Transparent Proxy

Untuk mengaktifkan transparent proxy caranya adalah klik

menu IP > Firewall >NAT > Add

“Jika ada traffic HTTP (port 80) maka akan di

redirect/diarahkan menuju Web Proxy (Port 8080)”
 Lab Blok Situs menggunakan Proxy
intinya ketika client ingin mengakses sebuah situs yang di blok di proxy maka request
tersebut Cuma nyampe di proxy, tapi web proxy tidak meneruskan ke internet.

Pertama kita buka menu IP > Web Proxy , kemudian klik bagian Access , lalu kita klik
tombol Add di menu Access tersebut
Setelah itu kita buat rule, masukkan src-
address=IP Network Local kita , dst-host=
situs yang ingin diblok , action=deny , Setelah
itu apply dan OK.
 Lab Blok Situs di Proxy
( Berdasarkan Kata )
sebagai contoh saya mau blokir situs yang mengandung
kata “Manga”,berikut caranya. Buka menu Access yang
ada di Web Proxy , kemudian klik Add

Setelah itu tambahkan rule seperti dibawah ini,

dibagian dst-host kita masukan kata *Kata Yang Ingin
Diblokir*, sebagai contoh saya masukin *manga*.
 Lab Blok File berdasarkan Ekstensi

Oke langsung aja tanpa basa basi kita ke

konfigurasinya , pertama kita klik menu Access yang
ada di Web Proxy , lalu klik add

Kemudian kita buat rule seperti ini , dibagian Path

kita isikan ekstensi filenya, Ohya penulisan harus
benar mas broo jadi begini path=*.ekstensi ingaat
tanda bintang yoo. Sebagai contoh path=*.iso
 Lab Me-Redirect sebuah Website
Udah ah capek blok blok situsnya , kalo gak suka sama
situs itu jangan asal maen blok laah , gak baik. Pake
cara lain aja , yaitu cara Redirect. Jadi ketika client
mengakses suatu website nantinya akan di arahkan
(redirect) ke website lain. Asiik kan ??

Langsung aja yuk , disini saya mau meredirect traffic

ke [Link] menjadi ke [Link].
Sekalian ajang promosi blog ^_^. Oke tanpa basa basi
langsung aja , di bagian Proxy Access kita buat rule
seperti dibawah ini.
Di bagian dst-host:isikan situs yang akan diredirect,
action=deny , lalu
Redirect To : kita ubah menjadi tujuannya.
 Lab cache control

Contoh :
Kita tidak ingin proxy melakukan cache terhadap
file-file dengan [Link]
[admin@mikrotik]> ip proxy cache add src-
address [Link]/24 path=:*.exe
action=deny

Contoh :
Kita tidak ingin proxy melakukan cache terhadap
website tertentu
[admin@mikrotik]> ip proxy cache add src-
address [Link]/24 dst-
host=:[Link] action=deny

Mengkosongkan disk router mikrotik dari cache

content web
Dengan perintah :
[admin@mikrotik]> ip proxy clear-cache
 Lab External Proxy
Ekternal proxy adalah proxy yang dijalankan di luar mesin router
mikrotik. Tujuannya adalah solusi mengurangi kehabisan resource dan
overload pada cpu mikrotik
Langkahnya :
1. Memberikan ip address pada ether 3
2. Memberikan akses internet
3. Membelokan (redirect) semua
trafikhttp yang menuju internet ke
ekternal proxy yg ada di ether 3
Perintahnya :
1. Ip address add address=[Link]/24
interface=ether3
2. Ip firewall nat add chain=srcnat src-
address=[Link] out-interface=ether1
action=masquerade
3. Ip firewall nat add chan=dstnat src-
address=[Link]/24 protocol=tcp dst-
port=80 action=dst-nat to-
address=[Link] to-ports=8080
[Link] Traking & State mikrotikOS.
Dalam firewall, ada yang di sebut dengan Connection Tracking yang merupakan fitur baru di dalam
firewall yang ditambahkan sejak kernel 2.4.x. Kemampuan dari connection tracking adalah untuk
menyimpan dan menjaga informasi koneksi seperti koneksi baru atau koneksi yang sudah ada yang
disertai dengan jenis protokol, alamat IP asal dan alamat IP tujuan. Dengan menggunakan fitur ini,
para administrator dapat menolak atau mengijinkan berbagai macam koneksi.
 connection tracking mempunyai kemampuan untuk melihat informasi koneksi yang melewati
router, seperti source dan destination IP dan Port yang sedang di gunakan, status
koneksi,tipe protocol dan lain-lain. Setiap paket data itu memiliki status koneksi ( connection
started ) yang dapat dilihat pada connection tracking,
established = Sebuah koneksi yang merupakan bagian dari koneksi yang sudah ada.
Maksudnya server 1 menerima paket SYN-ACK dan kemudian merespon dengan paket ACK
(Acknowledgment). Intinya, paket tersebut adalah bagian dari koneksi yang telah dikenal.

New = Sebuah klien merequest koneksi melalui firewall. Maksudnya server1 menghubungi
server2 dengan mengirimkan paket SYN (Synchronize), intinya, paket tersebut memulai
koneksi baru atau memiliki koneksi yang belum melihat paket di kedua arah.

related = Sebuah koneksi yang mereques sebuah reques baru tetapi masih merupakan bagian
dari koneksi yang sudah ada. Maksudnya server2 menerima paket SYN dari server 1 dan
kemudian merespon dengan sebuah paket SYN-ACK (Synchronize-Acknowledgment), intinya,
paket tersebut memulai koneksi baru, tetapi yang berhubungan dengan koneksi yang ada,
seperti FTP transfer data atau pesan icmp yang error.
invalid = Sebuah keadaan dimana tidak ada keadaan seperti 3 keadaan di atas , intinya, paket
tersebut tidak tergabung dalam connetion yang dikenal dan pada saat yang sama,paket teresbut
tidak membuka koneksi baru yang valid.
 [Link] Rule untuk Connection State
Pembahasan kali ini, kita akan mencoba untuk menghemat Resource, karena biasanya
setiap firewall diawali dengan Filtering Connection State. Rule connection state dibuat
agar router mikrotik kita lebih aman, intinya lebih bisa menghemat Resource.
Kita akan membuat 4 Filter Rule dengan cara-cara yang sama hanya beda isinya saja.
Pertama kita akan membuat Connection State Invalid drop, caranya:

1. Masuk ke menu IP>firewall>add

2. Lalu di general isi chain =input dan connection state=invalid.

3. Lalu pindah ke Action dan isi Action=drop. Jangan lupa di Apply dan OK.
4. Lakukan ke 3 cara di atas dengan ketentuan isinya:
Connection State=estabilized dengan Action=accept
Connection State=related dengan Action=accept
Connection State=New dengan Action=passtrough
Ke-3 Rule di atas menggunakan chain=input
5. Maka akan dihasilkan 4 Filter Rule,

Dalam system rule yang sudah di buat ini, kita bisa sangat menghemat resource
router, karena proses filtering selanjutnya akan dilakukan ketika koneksi dimulai.
Jadi saat kita Start, langsung berjalan.