Belajar PPTP - Routing & IP Forwarding

#Pendahuluan

Koneksi PPTP sudah bisa terbentuk di episode 3, tapi tunnel yang tidak punya rute hanyalah jalan buntu. Agar traffic benar-benar mengalir — entah ke jaringan internal server atau ke internet — kalian harus memahami sisi routing PPTP.

Episode 7 membahas manajemen alamat di /etc/pptpd.conf, mengaktifkan IP forwarding, menambahkan NAT, memanfaatkan proxy ARP, dan memahami split tunneling dari perspektif client.

#Manajemen Alamat di pptpd.conf

#Peran localip dan remoteip

Dua direktif ini menentukan peta alamat tunnel. localip adalah alamat server di dalam tunnel, sedangkan remoteip mendefinisikan pool yang dibagikan ke klien:

localip 192.168.1.10
remoteip 192.168.1.100-110

Dengan konfigurasi di atas, server selalu memakai 192.168.1.10 dan klien menerima alamat dari rentang 192.168.1.100 sampai 192.168.1.110. Subnet virtual ini bisa berupa subnet baru atau mengambil segmen dari jaringan internal.

#Memilih Subnet yang Tepat

Jika kalian ingin klien PPTP langsung mengakses LAN server, pastikan subnet virtual tidak bertabrakan dengan subnet fisik. Kalau bertabrakan, routing akan ambigu dan troubleshooting akan menyita waktu.

#Mengaktifkan IP Forwarding

#Sysctl net.ipv4.ip_forward

Agar server mau meneruskan paket antar interface (dari tunnel ke LAN), IP forwarding harus aktif:

sudo sysctl -w net.ipv4.ip_forward=1

Agar bertahan setelah reboot, tulis ke /etc/sysctl.conf atau file di /etc/sysctl.d/:

net.ipv4.ip_forward = 1

Setelah menyimpan file, jalankan sudo sysctl -p /etc/sysctl.d/99-pptp.conf untuk menerapkannya tanpa reboot.

#NAT MASQUERADE

#Memberikan Akses Internet ke Klien

Jika klien PPTP harus bisa mengakses internet melalui server, tambahkan aturan NAT di interface keluar:

sudo iptables -t nat -A POSTROUTING -s 192.168.1.100/28 -o eth0 -j MASQUERADE

Aturan di atas membuat traffic dari klien PPTP (192.168.1.100/28) tampak berasal dari alamat server saat keluar lewat eth0. Tanpa aturan ini, klien hanya bisa menjangkau alamat yang berada di jaringan langsung server.

#FORWARD Chain

Jangan lupa mengizinkan forwarding di chain FORWARD:

sudo iptables -A FORWARD -i ppp+ -o eth0 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o ppp+ -m state --state ESTABLISHED,RELATED -j ACCEPT

Dua aturan di atas mengizinkan traffic keluar dari interface ppp+ dan menerima balasannya. iptables -A FORWARD -i ppp+ -o eth0 -j ACCEPT adalah pola umum untuk semua interface PPP sekaligus.

#Proxy ARP

#Menjawab ARP atas Nama Klien

Opsi proxyarp di options.pptpd membuat server menjawab permintaan ARP atas nama alamat IP klien di segmen LAN:

proxyarp

Dengan proxyarp aktif, perangkat lain di LAN bisa mengirim paket langsung ke klien PPTP tanpa perlu rute statis tambahan. Ini sangat membantu ketika subnet klien berada di segmen jaringan yang sama dengan server.

#Split Tunneling di Client

#Konsep Split Tunneling

Split tunneling adalah praktik mengirim hanya sebagian traffic melalui tunnel, sisanya lewat koneksi internet langsung. Pendekatan ini mengurangi beban server, tapi berisiko karena traffic yang tidak lewat tunnel tidak terinspeksi kebijakan perusahaan.

#Mengendalikan Rute di Client

Di client Linux, file profil peers menentukan apakah semua traffic masuk tunnel (defaultroute) atau hanya traffic ke subnet tertentu:

nodefaultroute
route 10.0.0.0 255.255.255.0

Baris nodefaultroute mencegah pppd mengganti default route, dan route 10.0.0.0 255.255.255.0 hanya mengarahkan subnet 10.0.0.0/24 ke tunnel. Pola ini adalah dasar split tunneling yang akan kalian lihat di banyak setup enterprise.

#Penutup

Episode 7 menyambungkan tunnel ke jaringan nyata: manajemen alamat dengan localip dan remoteip, IP forwarding, NAT MASQUERADE, proxy ARP, serta kontrol rute client untuk split tunneling.

Inti yang harus dibawa pulang:

• localip dan remoteip menentukan peta alamat di dalam tunnel.
• IP forwarding wajib aktif lewat sysctl agar server meneruskan paket.
• NAT MASQUERADE memberi klien akses internet melalui server.
• Chain FORWARD harus mengizinkan traffic ppp ke eth0 dan sebaliknya.
• Opsi proxyarp membuat klien terjangkau dari segmen LAN server.
• nodefaultroute di client memungkinkan split tunneling terkontrol.

Di episode 8 selanjutnya kita akan membahas logging dan troubleshooting — membaca log pptpd dan pppd, mengaktifkan mode debug, mengenali masalah umum seperti GRE terblokir dan kegagalan autentikasi, serta alat seperti tcpdump.