Belajar Network Engineer - Network Security Dasar

#Pendahuluan

Setelah di episode 8 layanan inti kalian berjalan terpusat, sekarang kita hadapi asumsi yang berbahaya: "karena ada firewall di edge, jaringan dalam sudah aman". Kenyataannya, mayoritas serangan dan insiden dimulai dari dalam — laptop karyawan terinfeksi, perangkat tamu iseng, atau kabel liar yang disambungkan ke port kosong.

Episode ini membangun lapisan pertahanan dasar network engineer: pertahanan Layer 2 di switch access, kontrol trafik dengan ACL, autentikasi 802.1X, dan segmentasi zona.

#Ancaman Klasik Layer 2

Switch memercayai siapa pun yang mencolok kabel. Tiga serangan klasik yang wajib kalian kenali karena mitigasinya nanti satu paket:

#CAM Table Overflow

Penyerang membanjiri switch dengan frame MAC palsu hingga tabel MAC penuh → switch jatuh ke mode flood untuk semua trafik → penyerang menerima frame yang bukan miliknya (sniffing).

#ARP Spoofing / Poisoning

ARP tidak punya autentikasi. Penyerang menjawab "IP gateway saya!" lebih cepat dari gateway asli; korban mengirim semua trafik lewat penyerang dulu — pintu menuju man-in-the-middle. Di Linux kalian bisa melihat efeknya: dua entri IP berbeda mengklaim alamat gateway yang sama di cache ARP.

Memeriksa cache ARP

ip neigh show
arp -a          # alternatif klasik

#Rogue DHCP Server

DHCP discover adalah broadcast — siapa pun boleh menjawab. DHCP server palsu menawarkan gateway/DNS milik penyerang; seluruh VLAN bisa dialihkan tanpa menyentuh satu konfigurasi client pun.

#Port Security: Kunci Fisik Switch

Lapisan pertama: batasi siapa yang boleh bicara lewat tiap port fisik. Mode paling praktis untuk produksi adalah sticky — switch belajar MAC pertama yang muncul dan menguncinya ke running-config:

Port security sticky + violation

interface gi1/0/10
 switchport mode access
 switchport port-security
 switchport port-security maximum 2
 switchport port-security mac-address sticky
 switchport port-security violation restrict

Tiga aksi pelanggaran (violation): protect diam-diam buang, restrict buang + hitung/log, shutdown matikan port (err-disable). Untuk area kantor umum, restrict memberikan visibilitas tanpa drama operasional; ruang sensitif layak shutdown.

Tip

Err-disabled ports butuh prosedur pemulihan yang jelas (shutdown/no shutdown atau errdisable recovery otomatis) — sertakan di runbook, kalau tidak tim helpdesk akan menelepon tiap kali user pindah meja.

#DHCP Snooping & Dynamic ARP Inspection

Duo penyelamat dari DHCP palsu dan ARP poisoning:

DHCP snooping membagi port menjadi trusted (menghadap server DHCP resmi) dan untrusted (port user). Offer DHCP dari port untrusted langsung dibuang.
Snooping juga membangun binding table (MAC ↔ IP ↔ port hasil lease resmi).
Dynamic ARP Inspection (DAI) memakai binding table itu untuk memvalidasi setiap ARP reply — ARP palsu tanpa lease sah dibuang.

Aktivasi snooping + DAI

ip dhcp snooping
ip dhcp snooping vlan 10,20,30
!
interface gi1/0/48
 description UPLINK-DHCP-SERVER
 ip dhcp snooping trust
!
ip arp inspection vlan 10,20
interface range gi1/0/1-24
 ip arp inspection limit rate 15

Urutan aktivasi penting: trust uplink sebelum mengaktifkan global snooping, kalau tidak seluruh cabang kehilangan alamat seketika.

#STP Hardening: BPDU Guard & Root Guard

Melanjutkan pembahasan STP episode 4:

BPDU guard: port access yang tiba-tiba mengirim BPDU (artinya ada switch/hub liar) langsung di-err-disable — melindungi topologi spanning-tree dari campur tangan.
Root guard: dipasang di port trunk menghadap arah bawah (access switch); switch baru yang sok jadi root bridge ditolak, menjaga root tetap di distribusi.

Keduanya murah dikonfigurasi dan menutup skenario storm paling umum: orang pasang switch mini Rp150 ribu di bawah meja.

#Access Control List (ACL)

ACL adalah filter paket paling dasar di router/L3 switch. Dua jenisnya:

Standard ACL: hanya cocokkan source IP → taruh dekat tujuan.
Extended ACL: cocokkan protokol + source/destination + port → taruh dekat sumber, agar trafik tak diinginkan dibuang sejak awal.

Contoh kebijakan nyata dari desain kita: GUEST (VLAN 30) hanya boleh keluar internet, sama sekali tidak boleh menyentuh VLAN internal:

Extended ACL isolasi guest

ip access-list extended GUEST-IN
 deny   ip   192.168.3.0 0.0.0.63 192.168.0.0 0.0.255.255
 permit tcp any any eq 80
 permit tcp any any eq 443
 deny   ip any any log
!
interface vlan30
 ip access-group GUEST-IN in

Aturan dievaluasi berurutan dari atas — first match wins. Baris deny ip any any log eksplisit membuat pelanggaran terlihat di syslog daripada hilang senyap.

Warning

Ada implicit deny tersembunyi di akhir semua ACL: apa pun yang tidak diizinkan secara eksplisit akan ditolak. ACL yang ditambahkan ke interface tanpa baris permit cukup akan memutus seluruh VLAN — uji selalu dengan trafik nyata setelah apply.

#802.1X: Autentikasi Sebelum Akses

Port security mengunci MAC — tapi MAC bisa dipalsukan. Standar yang benar-benar memverifikasi identitas pengguna adalah 802.1X: port switch tetap tertutup sampai kredensial valid.

Tiga aktornya (sering disebut supplicant-authenticator-authentication server):

Supplicant: client (Windows/macOS/Linux) yang minta akses.
Authenticator: switch/AP sebagai penjaga gerbang.
RADIUS server: verifikator kredensial (misal FreeRADIUS/NPS/ISE), biasanya merangkul backend AD/LDAP.

Alur EAPOL singkatnya: client mengidentifikasi diri → switch meneruskan challenge ke RADIUS → RADIUS memutus Accept/Reject → port terbuka dengan policy (VLAN dinamis, ACL download). Bonus besar: dynamic VLAN berdasarkan grup user — staf marketing dan mesin produksi dapat segmen berbeda walau mencolok port yang sama. MAB (MAC Authentication Bypass) menjadi jalur fallback untuk printer/IoT yang tak punya supplicant.

#Segmentasi Berbasis Zona

Semua teknik di atas bermuara pada satu strategi: zona kepercayaan. Prinsipnya: antar-zona harus lewat titik kontrol, di dalam zona bebas:

Zona	Isi	Policy Inti
USERS	staff desktop/laptop	keluar ke SERVERS sesuai kebutuhan
VOICE	IP phone	hanya ke PBX/SBC
GUEST	Wi-Fi tamu	internet only
SERVERS	aplikasi internal	akses per-port dari USERS
MGMT	switch/router/IPMI	hanya dari jump host admin
DMZ	service publik	dicapai internet, tak menyentuh LAN

Zona MGMT sering dilupakan padahal paling kritikal: kalau attacker masuk management VLAN, ia memiliki semua perangkat. Minimal: subnet terpisah, akses hanya dari jump host, SSH dengan key.

Desain lengkapnya (firewall antar zona, IDS/IPS) kita lanjutkan di episode 18; hari ini fokus kalian: switch dan ACL sudah harus bisa berdiri sendiri sebagai lapisan pertahanan.

#Common Pitfalls

Snooping aktif tanpa trust uplink — semua user kehilangan IP sekaligus; urutan aktivasi adalah bagian dari konfigurasi, bukan formalitas.
ACL extended ditaruh di dekat tujuan — trafik menempuh seluruh jaringan dulu baru ditolak; pemborosan bandwidth dan titik gagal yang salah.
802.1X di-rollout serentak ke semua — printer dan device tua mati massal; mulai monitor-mode (log saja), migrasi bertahap, sediakan MAB.
Segmentasi di atas kertas saja — diagram cantik tanpa ACL/firewall yang mengikatnya hanyalah harapan; validasi dengan uji penetrasi internal berkala.

#Penutup

Inti yang harus dibawa pulang:

Layer 2 percaya siapa pun: CAM overflow, ARP spoofing, dan rogue DHCP adalah trio ancaman dasarnya.
Pertahanan switch access = port security sticky + DHCP snooping + DAI + BPDU/root guard — murah dan efektif.
ACL: standard dekat tujuan, extended dekat sumber; ingat implicit deny dan selalu uji setelah apply.
802.1X mengganti "percaya MAC" dengan identitas sungguhan; dynamic VLAN adalah bonus arsitekturnya.
Segmentasi zona mengubah semua teknik ini menjadi strategi yang bisa diaudit.

Di episode 10 selanjutnya: monitoring dan troubleshooting — SNMP, NetFlow, syslog, tool monitoring populer, dan metodologi diagnosis layer-by-layer yang membuat insiden selesai cepat, bukan sekadar keberuntungan. Sampai jumpa!