Lihat sumber Block Mac Address Dari Akses Internet Di MikroTik

== Ringkasan ==

'''Block MAC Address dari Akses Internet''' adalah metode pengendalian akses jaringan pada MikroTik dengan memanfaatkan identitas fisik perangkat (MAC Address) untuk mencegah perangkat tertentu mengakses internet, tanpa mengganggu konektivitas ke jaringan lokal (LAN).

Metode ini umum digunakan pada lingkungan '''homelab''', '''hotspot''', dan '''jaringan desa''' untuk kontrol cepat dan efektif terhadap perangkat berbasis DHCP.

== Ruang Lingkup ==

Dokumentasi ini berlaku untuk:

* Router MikroTik (RouterOS v6 & v7)
* Jaringan LAN berbasis DHCP
* Hotspot MikroTik
* Jaringan desa / ISP kecil

Tidak direkomendasikan untuk:

* Jaringan publik skala besar
* Lingkungan dengan kebutuhan keamanan tingkat tinggi tanpa kontrol tambahan

== Latar Belakang Masalah ==

Pada jaringan berbasis DHCP, IP Address perangkat dapat berubah sewaktu-waktu. Hal ini menyulitkan administrator jaringan jika ingin membatasi akses internet hanya untuk perangkat tertentu.

Tanpa mekanisme pembatasan:

* Perangkat bebas mengakses internet
* Bandwidth terpakai tanpa kontrol
* Risiko malware dan botnet meningkat
* Kualitas layanan pengguna lain menurun

== Kenapa Menggunakan MAC Address ==

'''MAC Address''' adalah identitas unik yang melekat pada perangkat jaringan.

Kelebihan penggunaan MAC Address:

* Tidak berubah walaupun IP berubah
* Mudah diidentifikasi di MikroTik
* Cocok untuk perangkat IoT dan embedded device
* Tidak membutuhkan static DHCP

Metode ini sangat efektif untuk kontrol perangkat berbasis hardware.

== Konsep Teknis ==

Firewall MikroTik dapat memfilter trafik berdasarkan '''src-mac-address'''. Dengan mengombinasikannya dengan '''out-interface-list=WAN''', router hanya akan memblokir trafik menuju internet, sementara trafik lokal tetap diizinkan.

Pendekatan ini memastikan:

* Akses LAN tetap berjalan
* Internet diblokir secara selektif
* Tidak mengganggu perangkat lain

== Arsitektur Implementasi ==

# Perangkat terhubung ke LAN melalui DHCP
# MikroTik mengidentifikasi perangkat berdasarkan MAC Address
# Firewall memblokir trafik ke interface WAN
# Trafik LAN tidak terpengaruh

== Langkah Implementasi ==

=== 1. Identifikasi MAC Address Perangkat ===

Melalui DHCP lease:

<pre>
/ip dhcp-server lease print
</pre>

Atau melalui ARP table:

<pre>
/ip arp print
</pre>

Catat MAC Address perangkat yang akan diblokir.

=== 2. Block Akses Internet Berdasarkan MAC Address (Recommended) ===

<pre>
/ip firewall filter
add chain=forward src-mac-address=DC:21:5C:9A:7F:11 \
    out-interface-list=WAN action=drop \
    comment="[WIKI] Block Internet by MAC Address"
</pre>

Rule ini hanya memblokir trafik menuju internet dan tetap mengizinkan komunikasi LAN.

=== 3. Block Total Perangkat (Opsional) ===

Digunakan jika perangkat harus benar-benar diisolasi.

<pre>
/ip firewall filter
add chain=forward src-mac-address=DC:21:5C:9A:7F:11 \
    action=drop \
    comment="[WIKI] Block Total Device by MAC"
</pre>

Tidak direkomendasikan untuk perangkat penting seperti server atau NVR.

== Kelebihan Implementasi ==

* Tidak terpengaruh perubahan IP
* Cepat dan sederhana
* Efektif untuk perangkat IoT
* Mudah dipelihara
* Cocok untuk jaringan kecil–menengah

== Keterbatasan ==

* MAC Address dapat di-spoof oleh pengguna berpengalaman
* Tidak scalable untuk jumlah perangkat besar
* Bukan solusi keamanan utama

Disarankan dikombinasikan dengan:

* VLAN
* Address List
* Hotspot user profile
* PPPoE policy

== Best Practice ==

* Letakkan rule setelah '''accept established, related'''
* Gunakan '''out-interface-list=WAN'''
* Tambahkan comment yang jelas
* Dokumentasikan MAC Address dan pemilik perangkat
* Hindari pemblokiran di '''chain=input''' untuk klien

== Monitoring dan Troubleshooting ==

Monitoring hit rule firewall:

<pre>
/ip firewall filter print stats
</pre>

Monitoring koneksi aktif perangkat:

<pre>
/ip firewall connection print where src-mac-address=DC:21:5C:9A:7F:11
</pre>

== Keamanan dan Stabilitas ==

Blocking berdasarkan MAC Address '''bukan pengganti sistem autentikasi''', namun berperan penting dalam:

* Kontrol akses internal
* Pengurangan abuse perangkat
* Menjaga kualitas layanan jaringan

== Status Implementasi ==

* ✔ Digunakan di lingkungan produksi
* ✔ Aman untuk jaringan DHCP
* ✔ Direkomendasikan untuk homelab dan jaringan desa

== Referensi Internal ==

* Wiki: Drop Invalid Input & Forward
* Wiki: Connection Limit TCP & UDP
* Wiki: DNS Rate Limiting

''Dokumen ini merupakan bagian dari dokumentasi internal jaringan dan dapat disesuaikan sesuai kebutuhan implementasi.''