Ketika belajar jaringan komputer, salah satu konsep yang paling sering membingungkan adalah NAT (Network Address Translation). Banyak orang menghafal bahwa NAT digunakan untuk “mengubah IP”, tetapi tidak benar-benar memahami apa yang sebenarnya terjadi di balik layar.
Saya mengalami kasus yang cukup menarik ketika menghubungkan sebuah LTE Converter ke MikroTik. Secara teori semua routing sudah benar, tetapi web management LTE Converter tetap tidak bisa diakses dari jaringan LAN. Solusinya ternyata hanya satu rule NAT.
Artikel ini menjelaskan kenapa hal itu bisa terjadi menggunakan bahasa yang mudah dipahami.
Topologi Jaringan
Topologi yang digunakan seperti berikut.
Internet
│
MikroTik (WAN)
│
10.10.10.0/24 (LAN)
│
┌─────────┴─────────┐
│ │
Komputer WAN LTE Converter
│
LAN 192.168.150.1
│
ether2 MikroTik
192.168.150.2Jaringan yang digunakan:
- LAN MikroTik : 10.10.10.0/24
- LTE Management : 192.168.150.0/24
Tujuannya sederhana.
Komputer di jaringan 10.10.10.0/24 harus bisa membuka:
https://192.168.150.1Masalah yang Terjadi
Beberapa pengujian menghasilkan hasil yang membingungkan.
Dari MikroTik:
ping 192.168.150.1Berhasil.
Bahkan:
/tool fetch https://192.168.150.1Juga berhasil.
Namun ketika dicoba dari komputer:
curl -vk https://192.168.150.1Hasilnya berhenti di:
Trying 192.168.150.1:443...Tidak pernah terhubung.
Padahal routing sudah benar.
Firewall juga tidak memblokir.
Lalu sebenarnya apa yang terjadi?
Ternyata Routing Sudah Benar
Ketika dilakukan packet sniffing pada MikroTik, terlihat bahwa paket dari komputer memang sampai ke LTE Converter.
Artinya MikroTik sudah menjalankan tugasnya sebagai router.
Komputer
│
▼
MikroTik
│
▼
LTE ConverterMasalahnya bukan pada proses routing.
Masalahnya adalah LTE Converter tidak mau membalas koneksi tersebut.
Solusinya Hanya Satu Rule NAT
Rule yang akhirnya menyelesaikan masalah adalah:
/ip firewall nat add \
chain=srcnat \
src-address=10.10.10.0/24 \
dst-address=192.168.150.0/24 \
out-interface=ether2-hotspot \
action=masquerade \
comment="LAN -> LTE Management"Begitu rule ini ditambahkan, web management langsung bisa diakses.
Pertanyaannya, kenapa?
Analogi Kehidupan Sehari-hari
Bayangkan ada dua komplek.
Komplek Depan
10.10.10.0/24Di sinilah Anda tinggal.
Gang Belakang
192.168.150.0/24Di sini tinggal LTE Converter.
Masalahnya, penghuni gang belakang memiliki aturan.
Saya hanya melayani warga gang belakang.
Tanpa NAT
Anda datang sendiri.
Satpam melihat KTP Anda.
Nama : Aditya
Alamat :
10.10.10.166Satpam langsung berkata,
Maaf, Anda bukan warga sini.
Percakapan selesai.
Dalam jaringan, yang terjadi adalah:
Mac
10.10.10.166
│
▼
LTE Converter
192.168.150.1LTE Converter melihat bahwa sumber koneksi berasal dari jaringan lain.
Akhirnya koneksi diabaikan.
Dengan NAT
Sekarang Anda memiliki teman yang tinggal di gang belakang.
Teman Anda adalah MikroTik.
Anda berkata,
Bro, saya mau ketemu Pak RT.
Teman Anda menjawab,
Biar saya yang antar.
Ketika bertemu Pak RT, teman Anda yang berbicara.
Yang dilihat Pak RT adalah:
Nama :
MikroTik
Alamat :
192.168.150.2Pak RT langsung berkata,
Oh, saya kenal kamu.
Silakan masuk.
Padahal yang sebenarnya ingin berbicara adalah Anda.
Bagian yang Paling Menarik
Banyak orang mengira NAT hanya mengganti alamat IP.
Padahal bukan hanya itu.
NAT juga bertindak sebagai penerjemah.
Misalnya Pak RT berbicara menggunakan bahasa Betawi.
Pak RT
↓
"Ye bang, kagak masalah."Anda tidak mengerti.
Teman Anda langsung menerjemahkan.
Pak RT
↓
MikroTik
↓
"Beliau bilang boleh."Lalu Anda menjawab.
Anda
↓
MikroTik
↓
Pak RTPak RT mengira selama ini dia sedang berbicara dengan MikroTik.
Padahal sebenarnya ia sedang berbicara dengan Anda.
Bagaimana MikroTik Tahu Balasan Itu Milik Siapa?
Inilah tugas Connection Tracking.
Setiap kali NAT bekerja, MikroTik membuat catatan.
Kurang lebih seperti ini.
| Pengirim Asli | Diubah Menjadi |
|---|---|
| 10.10.10.166:52052 | 192.168.150.2:52052 |
Ketika LTE Converter membalas:
192.168.150.1
↓
192.168.150.2:52052MikroTik membuka catatannya.
“Oh, koneksi ini sebenarnya milik komputer 10.10.10.166.”
Lalu MikroTik mengubah kembali tujuan paket menjadi:
192.168.150.1
↓
10.10.10.166Komputer menerima balasan seolah-olah berbicara langsung dengan LTE Converter.
NAT Bukan Sekadar Mengubah IP
Kesalahan terbesar ketika belajar jaringan adalah menganggap NAT hanya berfungsi mengganti alamat IP.
Padahal NAT melakukan tiga pekerjaan sekaligus.
1. Meminjamkan Identitas
Perangkat tujuan melihat MikroTik sebagai pengirim.
Bukan komputer asli.
2. Menyimpan Riwayat Percakapan
MikroTik mencatat siapa yang sebenarnya sedang berbicara.
Sehingga balasan bisa dikirim ke perangkat yang benar.
3. Menjadi Penerjemah
Perangkat di belakang NAT tidak pernah terlihat oleh perangkat tujuan.
Semua komunikasi diteruskan melalui MikroTik.
Dalam analogi tadi, MikroTik adalah teman yang:
- mengantar Anda masuk ke gang belakang,
- menggunakan identitasnya sendiri,
- berbicara kepada Pak RT,
- menerjemahkan seluruh percakapan,
- lalu menyampaikan kembali semua jawaban kepada Anda.
Kenapa Ping Bisa tetapi HTTPS Tidak?
Ini juga sering membingungkan.
Ping menggunakan ICMP, protokol yang sangat sederhana.
Sedangkan HTTPS menggunakan TCP.
TCP membutuhkan proses tiga tahap.
Client
│
├── SYN ─────────►
│
◄── SYN ACK ─────
│
├── ACK ─────────►Pada kasus ini:
- SYN berhasil dikirim.
- LTE Converter tidak mengirim SYN ACK.
- Browser hanya berhenti pada:
Trying 192.168.150.1:443...Setelah NAT diterapkan, LTE Converter menganggap koneksi berasal dari tetangganya sendiri (192.168.150.2), sehingga SYN ACK dikirim dan proses TCP dapat dilanjutkan.
Kapan Teknik Ini Berguna?
Teknik NAT seperti ini sering digunakan ketika:
- mengakses modem LTE dari jaringan lain;
- mengakses router management yang hanya menerima koneksi dari subnet lokal;
- menghubungkan perangkat industrial yang memiliki firewall internal;
- mengakses perangkat IoT yang tidak mendukung routing antar subnet.
Kesimpulan
NAT bukan sekadar teknologi untuk mengganti alamat IP.
Cara yang lebih mudah dipahami adalah membayangkan NAT sebagai teman yang tinggal di lingkungan tujuan.
Ia meminjamkan identitasnya agar Anda diterima, mencatat seluruh percakapan, menerjemahkan semua balasan, lalu menyampaikan kembali kepada Anda.
Dalam kasus MikroTik dan LTE Converter, masalah bukanlah routing. Routing sudah berjalan dengan benar sejak awal. Yang menjadi kendala adalah LTE Converter hanya mempercayai koneksi yang berasal dari subnetnya sendiri.
Dengan menambahkan rule masquerade yang spesifik ke jaringan 192.168.150.0/24, MikroTik meminjamkan identitasnya (192.168.150.2) kepada perangkat di LAN. Akibatnya LTE Converter menerima koneksi tersebut sebagai koneksi lokal, dan komunikasi HTTPS pun berjalan normal.
Itulah alasan mengapa satu rule NAT sederhana dapat menyelesaikan masalah yang sekilas terlihat seperti masalah routing atau firewall.