Penerapan ACL 2

Ayo belajar!

Sebelumnya aku telah mencoba menerapkan ACL sederhana yang mana aturannya adalah mengizinkan divisi yang bersangkutan (keuangan) bisa mengakses server mereka (server keuangan) dan tidak mengizinkan divisi yang tidak bersangkutan (IT) mengakses server divisi (Keuangan).

jadi, aku ingin memahami ACL lebih jauh dengan mempraktikannya lagi, tapi dengan skenario yang berbeda. Skenario yang akan aku terapkan berhubungan dengan koneksi port, seperti memblokir port yang tidak aman dan mengizinkan port yang aman.

Skenario

Topologi menggunakan 1 router, 2 switch, 2 server, dan 4 PC yang dibagi menjadi dua subnet, Gudang (PC10, PC11, Server Gudang) dan Keuangan (PC12, PC13, Server Keuangan). Kedua divisi bisa saling komunikasi normal seperti ping, tapi tidak boleh mengakses server milik divisi lain. Selain itu, koneksi tidak aman seperti Telnet dan FTP, serta HTTP diblokir.

Topologi LAN dan Skema Pengalamatan IP

Pengerjaan Penerapan ACL 2:

1. Pertama, kita buat jaringan Lokalnya terlebih dahulu.
2. Uji coba jaringan lokal dan pastikan semua perangkat berhasil terhubung.
3. Setelah jaringan lokal selesai, kita buat ACL-nya dan terapkan pada router.
4. Selanjutnya, uji coba ACL dengan ping dan PDU kompleks untuk portnya.

Buat Jaringan Lokal

Beri IP pada interface router sebagai gateway.

Router>enable
Router#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#
Router(config)#int gig0/0                                 //Interface Server Keuangan
Router(config-if)#ip address 100.1.1.1 255.255.255.252
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#int gig1/0                                 //Interface Server Gudang/Operasional
Router(config-if)#ip address 100.1.1.5 255.255.255.252
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#int gig2/0                                 //Interface Subnet Gudang/Operasional
Router(config-if)#ip address 192.168.2.9 255.255.255.248
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#int gig3/0                                 //Interface Subnet Keuangan
Router(config-if)#ip address 192.168.2.1 255.255.255.248
Router(config-if)#no shutdown
Router(config-if)#exit

Interface Server Gudang/Operasional, Keuangan dan Interface Subnet Gudang/Operasional

Interface Subnet Keuangan

Buat DHCP Server pada divisi keuangan dan gudang/operasional.

Router(config)#ip dhcp pool Keuangan                     //DHCP Server Keuangan
Router(dhcp-config)#network 192.168.2.0 255.255.255.248
Router(dhcp-config)#default-router 192.168.2.1
Router(dhcp-config)#dns-server 8.8.8.8
Router(dhcp-config)#ip dhcp excluded-address 192.168.2.1

Router(config)#ip dhcp pool Gudang-Operasional           //DHCP Server Gudang/Operasional
Router(dhcp-config)#network 192.168.2.8 255.255.255.248
Router(dhcp-config)#default-router 192.168.2.9
Router(dhcp-config)#dns-server 8.8.8.8
Router(dhcp-config)#ip dhcp excluded-address 192.168.2.9
Router(config)#

DHCP Server Subnet Keuangan dan Gudang/Operasional

Uji Koneksi Jaringan Lokal

Aku mengguakan PC13 untuk menguji koneksi. PC13 adalah PC milik Divisi Keuangan.

• PC13 (192.168.2.2) → PC12 (192.168.2.3) → satu subnet.
• PC13 (192.168.2.2) → PC11 (192.168.2.10) → beda subnet.
• PC13 (192.168.2.2) → PC10 (192.168.2.11) → beda subnet.

Pengujiannya diawali dengan pesan RTO karena paket data masih mecari jalur untuk sampai pada subnet tujuan.

Note: Gambar pengujian terhadap server sebelum ACL diterapkan lupa tidak diambil, tapi semua terhubung dengan normal.

Ping ke PC yang Satu subnet

Ping ke PC yang Beda Subnet

Penerapan ACL

ACL yang akan diterapkan:

1. Divisi Keuangan dan Gudang/Operasional dapat berkomunikasi secara bebas satu sama lain.

2. Divisi Keuangan tidak dapat mengakses Server Gudang/Operasional.

3. Divisi Gudang/Operasional tidak dapat mengakses Server Keuangan.

4. Akses ke kedua server hanya diizinkan melalui koneksi aman (SSH, SFTP/FTPS, HTTPS). Koneksi tidak aman seperti Telnet, FTP, dan HTTP ke server diblokir.

Urutan ACL dari yang paling penting:

1. Nomor 2 & 3 didahulukan agar paket data yang menuju server lawan divisi langsung diblokir dari awal.
2. Setelahnya adalah nomor 4. Paket yang tidak tertangkap aturan sebelumnya (artinya memang menuju server milik divisinya sendiri) akan diperiksa jenis koneksinya, jika tidak aman (Telnet, FTP, HTTP) maka diblokir, jika aman (SSH, SFTP/FTPS, HTTPS) maka diizinkan.
3. Nomor 1 berada paling akhir, mengizinkan semua paket komunikasi antar divisi yang tidak tertangkap aturan sebelumnya agar komunikasi tetap berjalan normal.

Jadi, urutan Penerapan ACL-nya adalah 2, 3, 4, 1.

Mengapa ACL harus diurutkan? karena ACL membaca dari aturan dari atas ke bawah secara berurutan (1, 2, 3, 4, dan seterusnya). Makanya aku meletakkan aturan nomor 2 dan 3 di atas, diikuti aturan nomor 4 dan diakhiri oleh aturan nomor 1 sebagai pemberi izin komunikasi antar divisi.

Terapkan ACL

Router>enable
Router#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#ip access-list extended Kebijakan_Jaringan
Router(config-ext-nacl)#deny ip 192.168.2.0 0.0.0.7 host 100.1.1.6 //Subnet Keuangan tidak boleh mengakses server Gudang/Operasional
Router(config-ext-nacl)#deny ip 192.168.2.8 0.0.0.7 host 100.1.1.2 //Subnet Gudang/Operasional tidak boleh mengakses server keuangan
Router(config-ext-nacl)#deny tcp any host 100.1.1.2 eq 21          //Blokir FTPpada server Keuangan
Router(config-ext-nacl)#deny tcp any host 100.1.1.2 eq 23          //Blokir Telnet pada server Keuangan
Router(config-ext-nacl)#deny tcp any host 100.1.1.2 eq 80          //Blokir HTTPpada server Keuangan
Router(config-ext-nacl)#deny tcp any host 100.1.1.6 eq 21          //Blokir FTP pada server Gudang/Operasional
Router(config-ext-nacl)#deny tcp any host 100.1.1.6 eq 23          //Blokir Telnet pada server Gudang/Operasional
Router(config-ext-nacl)#deny tcp any host 100.1.1.6 eq 80          //Blokir HTTPpada server Gudang/Operasional
Router(config-ext-nacl)#permit ip any any                          //Mengizinkan sisa koneksi lain agar komunikasi antar divisi tetap normal
Router(config-ext-nacl)#exit
Router(config)#int gig2/0                                          //ACL diterapkan pada tempat yang paling dekat dengan sumber koneksi interface gig2/0 dan gig3/00
Router(config-if)#ip access-group Kebijakan_Jaringan in            //Arahnya adalah saat masuk ke router sebelum routing
Router(config-if)#exit
Router(config)#int gig3/0
Router(config-if)#ip access-group Kebijakan_Jaringan in
Router(config-if)#exit
Router(config)#EXIT
Router#
%SYS-5-CONFIG_I: Configured from console by console

Router#write                                                       //Simpan konfigurasi
Building configuration...
[OK]
Router#

Periksa ACL:

Melihat ACL

Pengujian ACL

1. Uji ACL dari Bagian Keuangan

PC13 (keuangan) bisa mengakses server keuangan(100.1.1.2), tapi tidak bisa mengakses server gudang(100.1.1.6).

pc keuangan → server keuangan & pc keuangan → server gudang

Koneksi antar divisi masih normal, tidak ada masalah.

koneksi antara deivisi keuangan dengan gudang/operasional

2. Uji ACL dari Bagian Gudang/Operasional

PC11 (Gudang) bisa mengakses server gudang (100.1.1.6), tapi tidak bisa mengakses server keuangan (100.1.1.2).

pc gudang → server keuangan & pc gudang → server gudang

Koneksi antar divisi tetap terhubung.

Koneksi antar divisi gudang/operasional dengan keuangan

3. Uji Blokir Koneksi Port

Divisi keuangan ke server keuangan:

FTP (21)

FTP

Telnet (23)

Telnet

HTTP (80)

HTTP

HTTPS (443)

HTTPS

Divisi Gudang/Operasional ke server gudang/operasional:

FTP (21)

FTP

TELNET (23)

Telnet

HTTP (80)

HTTP

HTTPS (443)

HTTPS

Kesimpulan

Ada beberapa hal yang telah aku pelajari ketika praktik ACL kali ini:

• Penerapan banyak port tidak bisa di gabung dalam satu baris aturan, makanya aturan portn dipisah menjadi aturan tersendiri.
• Pengujian menggunakan PDU kompleks cukup membingungkan di awal, tapi intinya kita cuma perlu memilih koneksi (http, https, ftp, dan sebagainya), mengisi IP tujuan, port sumber, dan pengaturan simulasi.
• Untuk port sumber, kita menggunakan port yang terdaftar (registered port) dan bebas digunakan, karena berada diluar rentang port yang dikhususkan untuk layanan sistem.