Catatan HCIA-Security V4.0
Ringkasan Materi Huawei Certified ICT Associate — Security
11Topik
10Blok konfigurasi
Simulasi Ujian
Bank soal ISC2 CC, F5 201 & HCIA-Security — latihan dengan pembahasan, dikunci password, terenkripsi AES-256
Topik 1 dari 11
1Konsep dan Spesifikasi Keamanan Jaringan#
1.1Definisi dan Sejarah Keamanan Jaringan#
Catatan
- Keamanan jaringan (network security) dalam arti luas = cyberspace security di level nasional, mencakup seluruh infrastruktur informasi (internet, jaringan telekomunikasi, sistem komputer, prosesor tertanam).
- Dalam arti sempit, network security berarti langkah-langkah untuk mencegah serangan, intrusi, gangguan, dan penggunaan tidak sah terhadap jaringan/informasi, sekaligus menjaga integrity, confidentiality, dan availability data.
- Sertifikasi HCIA-Security membuktikan kompetensi merancang, men-deploy, mengoperasikan, dan memelihara arsitektur keamanan jaringan untuk UKM (SME).
Empat fase perkembangan keamanan informasi
| Fase | Periode | Fokus Utama |
|---|---|---|
| Communication security | 1940-an | Keamanan fisik informasi & kerahasiaan komunikasi (cipher) |
| Information security | 1970-1980an | Integrity, availability, confidentiality data |
| Information assurance | 1990-an | Menambahkan controllability & non-repudiation |
| Cyberspace security | Sekarang | Keamanan menyeluruh: fasilitas, data, pengguna, operasi |
Catatan
- 5 prinsip keamanan informasi: Confidentiality, Integrity, Availability, Controllability, Non-repudiation.
1.2Ancaman Keamanan Jaringan Umum#
Penting
Vulnerability scanning process: Ping sweep (menemukan host aktif) → Port scanning (mengetahui port terbuka) → OS detection → Vulnerability scanning untuk deteksi celah keamanan.
1.3Tren Keamanan Jaringan Masa Depan#
Deskripsi
- Network Security Situational Awareness
- menggunakan data convergence, data mining, analisis cerdas, dan visualisasi untuk memantau kondisi keamanan jaringan secara real-time (contoh produk: HiSec Insight).
- Zero Trust Security
- paradigma "never trust, always verify" — semua user/device/system di dalam maupun luar jaringan tidak dipercaya secara default; trust harus dibangun lewat autentikasi, otorisasi, dan access control setiap kali. Berbeda dari model network-centered (internal dipercaya) menjadi identity-centered (setiap request diverifikasi berdasarkan identitas).
Catatan
- 8 tren keamanan versi Gartner (2021): cybersecurity mesh, cyber-savvy boards, vendor consolidation, identity-first security, machine identity management, remote work menjadi "work" biasa, breach & attack simulation (BAS), privacy-enhancing computation.
1.4Standar & Spesifikasi Keamanan Informasi#
Deskripsi
- ISO 27001
- standar internasional untuk Information Security Management System (ISMS). Menggunakan siklus PDCA (Plan-Do-Check-Act). Hanya ISO/IEC 27001 yang bisa disertifikasi; ISO/IEC 27002 berisi 35 control objectives & 114 control measures (14 domain kontrol) sebagai panduan praktik terbaik.
- Cybersecurity Classified Protection (Tiongkok)
- mewajibkan klasifikasi sistem informasi ke dalam 5 level keamanan berdasarkan dampak kerusakannya terhadap hak warga negara, ketertiban sosial, dan keamanan nasional.
Catatan
- Organisasi standar internasional: ISO, IEC, ITU, IETF, NIST. Di Tiongkok: TC260, CCSA.
5 Level Cybersecurity Classified Protection
| Level | Nama | Kemampuan Proteksi |
|---|---|---|
| 1 | Self-protection | Untuk sistem informasi kecil (UKM, sekolah) |
| 2 | Guided protection | Sistem penting organisasi level county |
| 3 | Supervised protection | Sistem penting negara/perusahaan level kota ke atas |
| 4 | Forced protection | Sistem sangat penting bidang strategis negara |
| 5 | Dedicated protection | Sistem paling kritikal bagi keamanan nasional |
Penting
Jika level keamanan awal ditentukan Level 1, operator jaringan boleh menetapkan level final sendiri tanpa review ahli/arsip pihak berwenang. Jika Level 2 atau lebih tinggi, wajib melalui expert review dan diarsipkan ke public security organ.
Topik 2 dari 11
2Dasar-Dasar Jaringan (Network Basics)#
2.1Model Referensi Jaringan#
Catatan
- Model OSI (7 layer, dari ISO 1984): Application, Presentation, Session, Transport, Network, Data Link, Physical.
- Model TCP/IP (4 layer, digunakan secara praktik di Internet): Application, Transport, Internet (Network), Network Interface.
- Model TCP/IP "equivalent" (5 layer, dipakai dalam materi ini): Application, Transport, Network, Data Link, Physical — menggabungkan konsep OSI dan TCP/IP standar.
7 Layer OSI dan Fungsinya
| Layer | Fungsi |
|---|---|
| Application | Antarmuka jaringan untuk aplikasi |
| Presentation | Menerjemahkan format data antar sistem |
| Session | Membangun, mengelola, mengakhiri sesi komunikasi |
| Transport | Koneksi end-to-end, kontrol kecepatan & urutan data |
| Network | Alamat logis & pengiriman data dari sumber ke tujuan |
| Data Link | Enkapsulasi frame, deteksi error, transmisi point-to-point |
| Physical | Transmisi bitstream via media fisik |
Protokol Umum per Layer
| Layer | Protokol |
|---|---|
| Application | HTTP, HTTPS, Telnet, STelnet, FTP, SFTP, SMTP, TFTP, DNS, SNMP, DHCP |
| Transport | TCP (connection-oriented, reliable), UDP (connectionless) |
| Network | IP, ICMP, IGMP |
| Data Link | Ethernet, PPP, PPPoE |
2.2Protokol Application Layer Penting#
Deskripsi
- FTP
- transfer file, memakai control connection (port 21) + data connection (port 20/random) — ada mode Active dan Passive, berbeda pada pihak yang menginisiasi data connection.
- SFTP
- versi aman FTP berbasis SSH, single-channel, port default 22 — lebih aman karena data & autentikasi terenkripsi.
- Telnet vs STelnet
- Telnet mengirim data plaintext (tidak aman); STelnet berbasis SSH (port 22) sehingga terenkripsi — melalui 5 fase: version negotiation, algorithm negotiation, key exchange, user authentication, session interaction.
- HTTP (port 80) vs HTTPS (port 443)
- HTTPS menambahkan TLS untuk autentikasi identitas, enkripsi data, dan integrity verification.
- DNS
- menerjemahkan domain name ke IP address; ada resolusi statis (tabel lokal) dan dinamis (server DNS).
- OSPF
- protokol routing dinamis paling umum di jaringan enterprise, menggunakan Link State Database (LSDB) yang disinkronkan antar router; area backbone diberi Area ID 0.
2.3Transport & Network Layer#
Deskripsi
- TCP
- connection-oriented, reliable — header berisi source/destination port, sequence number, acknowledgment number, control bits (SYN/ACK/FIN), window size, checksum.
- UDP
- connectionless, header lebih sederhana (source port, destination port, length, checksum) — tidak menjamin reliability.
- ICMP
- protokol pembantu IP untuk error/control messages (mis. destination unreachable, TTL exceeded) — dasar dari tool ping (echo request/reply) dan tracert (memanfaatkan TTL timeout).
Catatan
- Port number membedakan aplikasi/layanan: source port biasanya random (>1023), destination port sesuai layanan tujuan (mis. HTTP=80).
- IP packet header berisi version, header length, total length, TTL, protocol, source/destination IP address; router memakai routing table untuk forward packet berdasarkan destination IP.
2.4Data Link Layer & Enkapsulasi Data#
Deskripsi
- Ethernet frame
- format Ethernet II (DMAC, SMAC, Type, Data, FCS) atau IEEE 802.3 (dengan LLC/SNAP).
- MAC address
- 48 bit, unik per network interface card, dipakai untuk komunikasi dalam satu segmen jaringan.
- ARP
- menerjemahkan IP address menjadi MAC address melalui ARP request (broadcast) dan ARP response.
Catatan
- Proses enkapsulasi data saat dikirim: Data (application) → Segment (+TCP header) → Packet (+IP header) → Frame (+Ethernet header & FCS) → Bit (physical layer). Proses dekapsulasi di penerima adalah kebalikannya.
2.5Perangkat Jaringan & Arsitektur Kampus#
Deskripsi
- Switch
- bekerja di Data Link layer, forward frame berdasarkan MAC address table (satu segmen jaringan).
- Router
- bekerja di Network layer, forward packet antar segmen/jaringan berbeda berdasarkan routing table.
- Firewall
- dideploy di border jaringan, fungsi utamanya access control (bukan sekadar forwarding) — memisahkan jaringan ke security zone (Trust/DMZ/Untrust) dengan prioritas keamanan berbeda.
Catatan
- Arsitektur jaringan enterprise umum: Access layer → Aggregation layer → Core layer → Egress layer.
Perbandingan Firewall vs Router vs Switch
| Perangkat | Layer | Fungsi Inti |
|---|---|---|
| Switch | Data Link (L2) | Membangun LAN, forwarding cepat berbasis MAC |
| Router | Network (L3) | Menghubungkan jaringan berbeda, routing |
| Firewall | Border jaringan | Access control, proteksi keamanan (bukan sekadar forwarding) |
Catatan
- Sejarah Perkembangan Firewall: Packet filtering (1989) → Application proxy (1990-91) → Stateful inspection (1994-95) → UTM/Unified Threat Management (2004-05) → Next-Generation Firewall / NGFW (2009, deteksi berbasis user/aplikasi/konten).
interface GigabitEthernet 0/0/1
# Masuk ke mode konfigurasi interface
ip address 10.102.0.1 255.255.255.0
# Konfigurasi IP address pada interface
display current-configuration
# Menampilkan konfigurasi yang sedang berjalan
save
# Menyimpan file konfigurasi
display saved-configuration
# Menampilkan konfigurasi tersimpan
display startup
# Menampilkan info startup software & config file
startup saved-configuration <file>
# Menetapkan file konfigurasi untuk startup berikutnya
reboot
# Merestart device
Penting
Login default firewall via interface GE0/0/0 (MGMT). Web login default: https://192.168.0.1:8443, user admin, password Admin@123.
Topik 3 dari 11
3Ancaman Keamanan Jaringan Enterprise & Pencegahan#
3.1Gambaran Ancaman pada Jaringan Enterprise#
Catatan
- Ancaman eksternal: DDoS, intrusi jaringan (virus, trojan, worm), network scanning, junk/phishing mail, serangan ke web server.
- Ancaman internal: struktur jaringan tidak reliable, jaringan tidak terisolasi, terminal dengan vulnerability, perilaku karyawan tidak terkontrol, pelanggaran keamanan informasi, kebocoran data, karyawan berniat jahat, kesalahan manajemen izin akses.
- Enterprise membagi jaringan menjadi zona untuk pertahanan: communication network architecture (reliabilitas & VPN), border zone (anti-DDoS, firewall, IPS), computing environment (endpoint hardening, IPS/antivirus), management center (bastion host, kontrol izin admin).
3.2Kebutuhan Keamanan Jaringan Komunikasi#
Deskripsi
- Isolasi zona
- firewall dideploy di egress untuk memisahkan security zone + NAT untuk menyembunyikan IP internal.
Catatan
- Reliabilitas arsitektur: mulai Grade 3 classified protection, wajib ada redundansi hardware (jalur komunikasi, perangkat jaringan kunci) — solusi: firewall hot standby.
- Kerahasiaan informasi: risiko man-in-the-middle attack pada transmisi data antar cabang/karyawan mobile — solusi: VPN (IPsec VPN, L2TP over IPsec, SSL VPN) untuk enkripsi data end-to-end.
3.3Ancaman di Zone Border & Pencegahannya#
Deskripsi
- DDoS attack
- jenisnya TCP flood (SYN/ACK/FIN flood), UDP flood, ICMP flood, HTTP flood, GRE flood. Pencegahan: source authentication (verifikasi SYN dengan mekanisme handshake khusus) & traffic limiting oleh perangkat Anti-DDoS.
Catatan
- Single-packet attack: berbeda dari DDoS (bukan menghabiskan resource, tapi paket cacat/khusus) — terbagi scanning attack (IP scan, port scan), malformed packet attack (Teardrop, Ping of Death, Land), special control packet attack (tracert probing).
- Uncontrolled user behavior: 70% insiden keamanan disebabkan human error/kesadaran keamanan rendah — solusi teknis: content filtering firewall (URL filtering, DNS filtering, file filtering, mail filtering, application behavior control).
- External network intrusion: virus, SQL injection, DDoS — solusi: intrusion prevention (IPS) berbasis signature database yang dibandingkan dengan traffic.
3.4Ancaman di Computing Environment#
Deskripsi
- Terminal software vulnerability
- contoh WannaCry (eksploitasi celah Windows), CVE sebagai standar identifikasi vulnerability.
- Penanganan
- patch tepat waktu + antivirus, NAC (Network Admission Control) untuk cek keamanan terminal sebelum akses jaringan, vulnerability scanning berkala, dan penetration testing (tahapan: determine target → collect information → detect vulnerabilities → exploit vulnerabilities → enter internal network → write report → remove traces).
3.5Kebutuhan Keamanan Management Center#
Catatan
- Administrator permission control: risiko dari karyawan/admin dengan niat jahat (mis. mining ilegal, sabotase, pencurian data). Solusi teknologi: UMA bastion host untuk kontrol & audit terpusat izin O&M administrator berdasarkan minimum authorization principle, plus backup mechanism yang reliable.
- Internet access permission control: solusi NAC untuk identity authentication, access control, dan terminal security check — melengkapi kontrol administratif (registrasi tamu, guest Wi-Fi terisolasi dari jaringan kantor).
Topik 4 dari 11
4Firewall Security Policies#
4.1Security Zone#
Catatan
- Security zone adalah fitur dasar yang membedakan firewall dari router — berisi satu atau lebih interface. Semua device dalam satu security zone dianggap saling "trustworthy" (tanpa security check); pemeriksaan keamanan hanya terjadi saat traffic melintasi antar security zone.
- 4 zona default pada firewall Huawei: Local (device firewall itu sendiri), Trust (jaringan internal, tepercaya tinggi), DMZ (server internal, tepercaya sedang), Untrust (jaringan luar/Internet, tidak tepercaya).
- Local zone bersifat khusus: tidak bisa ditambahkan interface secara eksplisit, tapi semua interface service firewall otomatis termasuk di dalamnya (dipakai untuk trafik yang dikirim/diterima langsung oleh firewall, mis. Telnet, web login, SNMP).
Prioritas Trust Level Security Zone Default
| Security Zone | Priority | Deskripsi |
|---|---|---|
| Local | 100 | Zona device itu sendiri |
| Trust | 85 | Zona pengguna internal |
| DMZ | 50 | Zona server internal |
| Untrust | 5 | Zona jaringan tidak aman (mis. Internet) |
4.2Security Policy#
Catatan
- Security policy = matching condition (5-tuple, user, time range, dst.) + action (permit/deny). Default firewall: deny all traffic kecuali diizinkan eksplisit.
- Traffic antar security zone berbeda selalu dikontrol default security policy; traffic dalam zona yang sama secara default TIDAK dikontrol (permit) kecuali diaktifkan.
- Best practice: identifikasi aset & risiko → bagi jaringan ke security zone → tentukan whitelist/blacklist/graylist aplikasi → urutkan policy dari paling spesifik ke paling umum.
security-policy
# Masuk ke mode konfigurasi security policy
rule name policy1
# Membuat rule security policy baru
source-zone trust
# Menetapkan source security zone
destination-zone untrust
# Menetapkan destination security zone
source-address 172.16.1.0 24
# Menetapkan source address/segment
action permit
# Menetapkan aksi permit (atau deny)
4.3Stateful Inspection & Session Mechanism#
Deskripsi
- Stateful inspection
- firewall memperlakukan semua paket dalam satu koneksi sebagai satu data flow (session) — hanya paket pertama yang dicek penuh terhadap security policy, paket berikutnya cukup dicocokkan dengan session table (meningkatkan efisiensi).
- Persistent connection
- untuk service tertentu (mis. transfer file besar, query database) di mana interval antar paket lama, digunakan aging time yang lebih panjang agar session tidak terputus prematur.
Catatan
- Session table berisi 5-tuple (protocol, source IP, source port, destination IP, destination port) yang unik mengidentifikasi satu koneksi, plus aging time (waktu sebelum entry dihapus jika tidak ada traffic yang cocok).
display firewall session table
# Menampilkan session table aktif
display firewall session table verbose
# Menampilkan detail session (zone, TTL, interface, next-hop, dst.)
4.4ASPF (Application Specific Packet Filter)#
Catatan
- Latar belakang: protokol multi-channel (mis. FTP passive mode) menegosiasikan port data secara dinamis di dalam control channel — firewall packet-filtering tradisional tidak bisa mengetahui port ini di awal, sehingga sulit membuat security policy presisi tanpa membuka semua port (berisiko).
- ASPF mendeteksi informasi address/port pada application-layer paket negosiasi, lalu otomatis membuat server mapping table (bersifat sementara/dinamis) sehingga paket data channel berikutnya diizinkan tanpa perlu security policy eksplisit tambahan.
- Server mapping table ≠ session table: server mapping table adalah prediksi koneksi masuk berdasarkan analisis koneksi yang sudah ada, sedangkan session table merepresentasikan status koneksi aktual.
firewall interzone trust dmz
# Masuk ke konfigurasi interzone tertentu
detect ftp
# Mengaktifkan ASPF untuk protokol FTP pada interzone tsb.
display firewall server-map
# Menampilkan server mapping table hasil ASPF
Penting
Dalam FTP active mode, jika tidak ada security policy dari server ke client (arah balik data connection), paket data tidak akan sampai ke client meskipun control connection berhasil — inilah alasan ASPF diperlukan agar server mapping entry otomatis dibuat.
4.5Skenario Aplikasi Firewall#
Deskripsi
- Campus egress security
- firewall sebagai security gateway di egress kampus — proteksi border network (IP-based policy, network access control) + intranet security (user-based access control & behavior tracing).
- Cloud computing network
- firewall mengisolasi layanan antar user eksternal yang mengakses VM berbeda, memungkinkan akses VM/portal via alamat publik, serta meningkatkan reliabilitas layanan (tidak terganggu oleh kegagalan satu device).
Topik 5 dari 11
5Firewall NAT Technologies#
5.1Latar Belakang & Klasifikasi NAT#
Catatan
- NAT (Network Address Translation) muncul karena keterbatasan alamat IPv4 publik — memungkinkan reuse alamat private (Class A: 10.0.0.0-10.255.255.255, Class B: 172.16.0.0-172.31.255.255, Class C: 192.168.0.0-192.168.255.255).
- 3 kategori NAT: Source NAT (user internal akses Internet pakai IP private), Destination NAT (user eksternal akses server internal pakai IP publik), Bidirectional NAT (kombinasi keduanya dalam satu flow).
- Kelebihan NAT: hemat alamat IP publik, proteksi privasi & keamanan jaringan internal (topologi tersembunyi), load balancing multi-server. Kekurangan: header IP terenkripsi tidak bisa ditranslasi (masalah untuk protokol yang mengenkripsi header), menyulitkan network monitoring/tracing.
5.2Source NAT#
Deskripsi
- NAT No-PAT
- translasi 1:1 alamat private↔︎public tanpa translasi port — cocok saat jumlah IP publik ≈ jumlah user concurrent (utilisasi rendah).
- NAPT (Network Address and Port Translation)
- translasi alamat DAN port sehingga banyak user private bisa berbagi sedikit IP publik (1:N) — paling umum dipakai karena efisien.
- Easy IP
- mirip NAPT tapi memakai alamat publik interface WAN langsung (bukan address pool) — cocok untuk skenario tanpa IP publik tetap, mis. PPPoE dial-up.
- Triplet NAT
- translasi address+port dan memungkinkan user Internet proaktif mengakses user internal (untuk file sharing, voice/video call peer-to-peer).
Perbandingan NAT No-PAT vs NAPT
| Mode | Fungsi | Skenario | Utilisasi IP Publik |
|---|---|---|---|
| NAT No-PAT | Translasi alamat saja | Sedikit user, jumlah IP publik ≈ user concurrent | 1:1 |
| NAPT | Translasi alamat + port | Sedikit IP publik, banyak user internal | 1:N |
5.3Destination NAT & NAT Server#
Deskripsi
- NAT Server
- teknologi static destination NAT yang memetakan IP publik ke IP privat server internal secara permanen, sehingga baik user internal maupun eksternal bisa mengakses server (via IP privat atau publik).
- Bidirectional NAT
- mentranslasi source & destination address sekaligus dalam satu flow, menyederhanakan konfigurasi (tidak perlu setting gateway khusus di server internal) — dipakai saat user Internet ATAU user internal sama-sama mengakses server internal via IP publik.
Catatan
- Destination NAT mentranslasi alamat & port tujuan agar user Internet bisa mengakses server internal via IP publik — terbagi Static (mapping tetap) dan Dynamic (mapping tidak tetap, mis. mobile device).
5.4NAT ALG#
Deskripsi
- ASPF vs NAT ALG
- ASPF menerapkan packet filtering rule pada protokol aplikasi; NAT ALG menerapkan NAT rule pada payload aplikasi — keduanya biasa diaktifkan bersamaan lewat satu command (mis. detect ftp).
Catatan
- NAT umum hanya bisa mentranslasi address/port di header IP/TCP/UDP, TIDAK bisa mentranslasi address/port yang tertanam di payload aplikasi (mis. perintah PORT pada FTP).
- NAT ALG (Application Level Gateway) mem-parsing payload protokol multi-channel (FTP, H.323, SIP, dsb.) dan mentranslasi address/port di dalamnya agar komunikasi tetap berjalan setelah NAT.
5.5Alur Pemrosesan NAT pada Firewall#
Catatan
- Urutan pemrosesan paket: 1) cek NAT Server mapping → 2) cek destination NAT policy → 3) cari matching route → 4) cek security policy → 5) cek source NAT policy → 6) forward paket sesuai route. Bidirectional NAT & destination NAT policy diprioritaskan di atas source NAT policy dalam urutan matching.
nat address-group group1
# Membuat address pool untuk NAT
mode pat
# Mengaktifkan mode PAT (port translation) pada address pool
section 0 1.1.1.10 1.1.1.15
# Menetapkan rentang IP publik dalam address pool
nat-policy
# Masuk ke mode konfigurasi NAT policy
rule name policy1
# Membuat rule NAT policy
action source-nat address-group group1
# Menetapkan aksi source NAT dengan address pool tsb.
destination-nat address-group group1
# Membuat address pool untuk destination NAT
action destination-nat static address-to-address address-group group1
# Aksi static destination NAT
nat server policy_ftp protocol tcp global 1.1.1.10 ftp inside 10.2.0.8 ftp unr-route
# Konfigurasi NAT Server (mapping IP publik ke server internal)
Penting
Jika IP publik NAT Server berbeda segmen dengan IP interface WAN, wajib konfigurasi blackhole route; jika satu segmen, blackhole route direkomendasikan (mencegah routing loop).
Topik 6 dari 11
6Firewall Hot Standby Technologies#
6.1Latar Belakang & VRRP#
Deskripsi
- VRRP (Virtual Router Redundancy Protocol)
- protokol fault-tolerance yang membuat backup router otomatis menggantikan master router yang gagal — router dalam VRRP group berperan Master atau Backup, memakai virtual IP sebagai gateway address.
Catatan
- Deploy 1 firewall saja di border jaringan berisiko single point of failure. Solusi: 2 firewall hot standby (satu forwarding traffic/master, satu backup).
- Election rule VRRP: priority lebih tinggi (0-255) menjadi master; jika sama, IP interface lebih besar yang menang. Saat master gagal, backup mendeteksi timeout Hello packet lalu mengambil alih & mengirim gratuitous ARP agar switch update MAC table.
- Kelemahan VRRP murni pada firewall: TIDAK menjamin konsistensi status antar banyak VRRP group pada satu firewall — bisa menyebabkan forward path & return path melewati firewall berbeda, sehingga stateful inspection gagal (packet loss) karena session hanya ada di satu firewall.
6.2VGMP (VRRP Group Management Protocol)#
Deskripsi
- Paket VGMP
- VGMP Hello (negosiasi status active/standby), HRP Hello (deteksi apakah peer masih hidup), HRP data (sinkronisasi konfigurasi & status) — dikirim tiap 1 detik secara default via heartbeat interface.
- Preemption
- saat firewall master pulih setelah gagal, ia bisa merebut kembali status active (default enabled, delay 60 detik).
Catatan
- VGMP mengelola SEMUA VRRP group pada satu firewall secara terpadu agar statusnya konsisten (semua VRRP group menjadi master bersamaan, atau semua menjadi backup bersamaan).
- Status VGMP group: load-balance (priority sama), active (priority lebih tinggi), standby (priority lebih rendah).
6.3HRP (Huawei Redundancy Protocol)#
Catatan
- HRP melakukan backup dinamis status data & konfigurasi kunci antara firewall active dan standby, via heartbeat link (interface fisik GE atau logical Eth-Trunk).
- Yang di-backup: konfigurasi (security policy, NAT policy, authentication policy, objects, network settings) dan status (session table, server-map table, blacklist/whitelist, MAC address table, IPsec SA, dsb.).
- Mode backup: Automatic (real-time, default), Manual batch (dipicu admin), Auto-sync setelah restart, Quick session backup (khusus load-balancing).
- 5 status heartbeat interface: Invalid (misconfig), Down (fisik/protokol down), Peerdown (tidak ada respons dari peer), Ready (siap kirim/terima), Running (interface aktif membawa heartbeat traffic).
6.4Skenario Active/Standby & Proses Switchover#
Catatan
- Konfigurasi umum: Firewall A = master (VGMP active), Firewall B = backup (VGMP standby); VRRP group 1 di sisi downstream, VRRP group 2 di sisi upstream; heartbeat link menghubungkan kedua firewall.
- Switchover terjadi jika: interface/line service gagal (priority VGMP turun → negosiasi ulang), device gagal total (backup tidak terima HRP Hello dalam 5x interval → otomatis jadi active), atau heartbeat link putus (berisiko dual-active jika kedua firewall sama-sama merasa jadi master).
interface 10ge0/0/1
# Masuk ke konfigurasi interface upstream
vrrp vrid 1 virtual-ip 1.1.1.1 active
# Membuat VRRP group dgn status active (di Firewall A)
vrrp vrid 1 virtual-ip 1.1.1.1 standby
# Membuat VRRP group dgn status standby (di Firewall B)
hrp interface 10ge0/0/7 remote 10.10.0.2
# Menetapkan heartbeat interface & remote IP peer
hrp authentication-key Admin@123
# Konfigurasi authentication key untuk heartbeat
hrp enable
# Mengaktifkan fungsi hot standby (HRP)
Penting
Firewall stateful (bukan router biasa) mensyaratkan forward & return path packet melewati firewall yang SAMA — inilah alasan mengapa status semua VRRP group pada satu firewall harus konsisten (dikelola oleh VGMP), bukan diatur per-VRRP-group secara independen.
Topik 7 dari 11
7Firewall IPS & Antivirus#
7.1Gambaran Intrusi (Intrusion)#
Deskripsi
- Intrusion
- upaya user mengakses resource sistem informasi atau memanipulasi data tanpa otorisasi, membuat sistem tidak reliable/tidak tersedia.
Catatan
- Jenis intrusi umum: eksploitasi vulnerability sistem/software, DDoS attack, virus & malicious software.
- Tujuan intrusi: mengganggu confidentiality, integrity, availability, dan controllability sistem informasi.
- Malware mencakup virus, worm, bot, rootkit, trojan horse, backdoor, exploit tools, mobile malware; greyware mencakup spyware & adware.
Perbandingan Virus, Worm, dan Trojan Horse
| Aspek | Virus | Worm | Trojan Horse |
|---|---|---|---|
| Keberadaan | Parasit pada file/boot sector | Entitas independen | Tertanam di file/aplikasi |
| Replikasi | Self-replicating | Self-replicating | Tidak self-replicating |
| Infeksi | Menjalankan host program | Eksploitasi vulnerability jaringan/sistem | Berbasis aplikasi/carrier |
| Target | Komputer lokal | Komputer lain di jaringan | Komputer yg download app/file terinfeksi |
| Trigger | Kondisi tertentu | Program | User komputer |
7.2Intrusion Prevention System (IPS)#
Deskripsi
- Intrusion prevention
- mekanisme keamanan yang mendeteksi intrusi (buffer overflow, trojan, worm) via analisis traffic jaringan, dan menghentikan intrusi secara real-time.
- Keunggulan IPS
- real-time blocking, in-depth protection (analisis konten application-layer), all-round protection (worm, virus, trojan, botnet, spyware, CGI attack, XSS, injection, dsb.), proteksi internal & eksternal, precise protection (update signature database berkala dari cloud).
- Signature
- predefined (bawaan sistem, tidak bisa diubah, punya default action Allow/Alert/Block) atau user-defined (dibuat admin untuk serangan baru yang belum ada di signature database).
- Signature filter
- kumpulan filtering condition (OS, signature type, object, protocol, severity) untuk mengelola & menerapkan action massal pada signature yang cocok.
- Exception signature
- mengecualikan signature tertentu dari action signature filter (misal signature yang salah mem-block software internal legitimate) — punya prioritas lebih tinggi dari signature filter.
Catatan
- Mekanisme kerja: application data reassembly → protocol identification & analysis → feature matching (dibandingkan dgn signature) → action (sesuai konfigurasi admin).
Penting
Jika data flow cocok banyak signature: bila semua actionnya Alert → hasil Alert; bila ada satu saja Block → hasil akhir Block. Bila cocok banyak signature filter, dipakai filter dengan prioritas tertinggi (dikonfigurasi paling awal).
Object > Security Profiles > Intrusion Prevention > Add
# Membuat profile intrusion prevention (via web UI)
Log > Threat Log
# Melihat log ancaman/intrusi yang terdeteksi
7.3Antivirus#
Deskripsi
- Antivirus
- mekanisme keamanan yang mengidentifikasi & memproses file terinfeksi virus untuk menjaga keamanan jaringan.
Catatan
- ASE (Adaptive Security Engine) mendeteksi virus dengan 4 langkah: 1) analisis mendalam traffic (identifikasi protokol & arah transfer file) → 2) cek apakah protokol tsb perlu virus detection (FTP, HTTP, POP3, SMTP, IMAP, NFS, SMB) → 3) cek whitelist → 4) deteksi virus (cocokkan fitur file dengan antivirus signature database).
- Antivirus processing: cek virus exception → cek application exception → terapkan action sesuai protocol & transfer direction pada antivirus profile.
Action Antivirus per Protokol
| Protokol | Arah Transfer | Opsi Action |
|---|---|---|
| HTTP / FTP / NFS / SMB | Upload/Download | Alert, Block |
| SMTP | Upload | Alert, Declare Attachment, Delete Attachment |
| POP3 / IMAP | Download / Upload-Download | Alert, Declare Attachment, Delete Attachment |
Penting
Fitur antivirus dan intrusion prevention memerlukan license aktif agar signature database bisa dimuat/diupdate. Tanpa license, fungsi tetap tersedia namun database tidak up-to-date sehingga kapabilitas deteksi terbatas.
Topik 8 dari 11
8Firewall User Management (AAA)#
8.1Prinsip AAA#
Catatan
- AAA = Authentication (menentukan siapa yang boleh akses jaringan), Authorization (mengizinkan penggunaan layanan tertentu), Accounting (mencatat resource jaringan yang dipakai user).
- Arsitektur dasar AAA: User → NAS (Network Access Server, mis. firewall/switch) → AAA Server. NAS mengelola user berdasarkan domain (mis. user1@Domain1); user tanpa '@' masuk default domain.
- 3 mode autentikasi: Non-authentication (tidak diverifikasi, jarang dipakai), Local authentication (user disimpan di NAS itu sendiri — cepat, cocok utk login Telnet/FTP), Remote authentication (via server AAA eksternal, mis. RADIUS).
Perbandingan Protokol AAA
| Protokol | Transport | Karakteristik |
|---|---|---|
| RADIUS | UDP | Paling umum dipakai; port default 1812 (auth) & 1813 (accounting) |
| HWTACACS | TCP | Enhanced dari TACACS; AAA independen di server berbeda; port 49 |
| LDAP | TCP | Directory-based; bind & search untuk autentikasi/otorisasi |
| AD | TCP | Integrasi Kerberos + LDAP untuk keamanan password lebih baik |
8.2Struktur Organisasi & Kategori User#
Deskripsi
- Authentication domain
- wadah struktur organisasi user; firewall punya default domain, bisa dibuat domain tambahan.
- User group/User
- user diorganisasi dalam struktur pohon sesuai struktur organisasi (departemen); satu user grup wajib punya 1 parent group, tapi bisa jadi anggota banyak grup.
Catatan
- 3 kategori user: Administrator (login via Telnet/SSH/web/FTP/console untuk konfigurasi device), Internet access user (entitas dasar untuk network permission management), Access user (user VPN dari jaringan eksternal, mis. SSL VPN/L2TP/IPsec/PPPoE).
8.3Mode Autentikasi Administrator & Internet Access User#
Catatan
- Login administrator: Console (config awal/recovery), Web (HTTP/HTTPS), Telnet (plaintext, tradisional), FTP (upload/download file), SSH (paling aman — mendukung password-based & key-based authentication).
- Autentikasi Internet access user: SSO (Single Sign-On — memakai autentikasi dari sistem lain, mis. AD SSO/RADIUS SSO), Built-in Portal (redirected atau user-initiated authentication), User-defined Portal (interworking dengan portal server eksternal), Authentication exemption (binding user ke IP/MAC tanpa perlu login).
- Autentikasi Access user (VPN): SSL VPN (login page browser), L2TP VPN (autentikasi berbasis PPP), IPsec VPN (mendukung EAP saat pakai IKEv2), PPPoE (dial-up broadband).
8.4Authentication Policy#
Catatan
- Authentication policy menentukan data flow mana yang wajib diautentikasi firewall — terdiri dari matching condition (source/destination zone, address/region) dan action (Portal authentication, SMS authentication, Authentication exemption, Non-authentication).
- Default: semua traffic dgn kondisi 'any' -> action non-authentication.
- Traffic yang TIDAK memicu autentikasi meski cocok policy: traffic dari/ke device itu sendiri, DHCP/BGP/OSPF/LDP, dan DNS packet pertama dari HTTP flow yang memicu autentikasi.
aaa
# Masuk ke mode konfigurasi AAA
domain default
# Masuk ke authentication domain default
authentication-scheme default
# Menetapkan authentication scheme domain
service-type ssl-vpn
# Menetapkan service type domain (mis. SSL VPN)
user-manage group /default/group1
# Membuat user group di domain
user-manage user user0001 domain default
# Membuat user baru di domain tertentu
password Password@123
# Menetapkan password lokal untuk user
parent-group /default/group1
# Menempatkan user ke dalam user group
Topik 9 dari 11
9Fundamental Enkripsi & Dekripsi#
9.1Definisi & Tujuan Enkripsi#
Deskripsi
- Enkripsi
- proses mengubah plaintext menjadi ciphertext (kode tak terbaca) via algoritma + key, sehingga data terlindungi dari pencurian/pembacaan tidak sah. Dekripsi adalah proses kebalikannya.
- Ringkasan Sejarah Kriptografi
- Manual encryption (scytale Yunani ~500 SM, Caesar cipher ~50 SM, kode kamus Jerman WWI) → Mechanical/electromechanical (mesin Enigma & M-209, WWII) → Electronic cryptography (1949 Shannon 'Communication Theory of Secrecy Systems'; 1976 algoritma DH oleh Diffie-Hellman, awal kriptografi kunci publik).
Catatan
- Keamanan enkripsi bergantung pada: pembuatan/pengelolaan/penyimpanan key, keamanan algoritma enkripsi, dan lingkungan enkripsi/dekripsi itu sendiri.
- 4 tujuan utama enkripsi: Confidentiality (hanya user tertentu bisa baca data), Integrity (data tidak berubah tanpa izin), Identifiability (autentikasi identitas pengirim/penerima), Non-repudiation (mencegah penyangkalan pesan/tindakan).
9.2Symmetric vs Asymmetric Encryption#
Deskripsi
- Symmetric encryption
- satu key sama dipakai untuk enkripsi & dekripsi (shared key) — cepat & efisien, cocok untuk data besar (mis. enkripsi data pada IPsec VPN), tapi sulit distribusi key secara aman.
- Asymmetric encryption
- sepasang key (public & private) — data dienkripsi dengan public key hanya bisa didekripsi dengan private key pasangannya. Lebih aman untuk distribusi key, tapi lebih lambat/berat komputasi — biasa dipakai untuk enkripsi data sensitif (key, identity info) & digital signature.
Symmetric vs Asymmetric — perbandingan singkat
| Aspek | Symmetric | Asymmetric |
|---|---|---|
| Jumlah kunci | 1 kunci (shared secret) | 2 kunci berpasangan (public + private) |
| Kecepatan | Cepat, cocok untuk data besar | Jauh lebih lambat |
| Distribusi kunci | Sulit — kunci harus dikirim lewat channel aman lebih dulu | Mudah — public key boleh disebar bebas |
| Contoh algoritma | AES, DES, 3DES, ChaCha20 | RSA, ECC, Diffie-Hellman |
| Pemakaian umum | Enkripsi file, disk, database, trafik setelah handshake | Pertukaran kunci, digital signature, sertifikat TLS |
Penting
Kombinasi keduanya (hybrid encryption, dipakai TLS/HTTPS): asymmetric encryption dipakai di awal koneksi (handshake) untuk menyepakati symmetric key secara aman, lalu seluruh trafik data memakai symmetric encryption dengan key tsb karena jauh lebih cepat.
9.3Algoritma Enkripsi Umum#
Algoritma Symmetric
| Algoritma | Deskripsi Singkat |
|---|---|
| DES | Blok 64-bit, key 56-bit — sudah kurang aman, digantikan 3DES/AES |
| 3DES | Triple DES, key length 168-bit (kekuatan efektif ~112-bit), kompatibel software/hardware DES |
| AES | Standar modern, mendukung key 128/192/256-bit, paling aman & efisien saat ini |
| SM1 / SM4 | Algoritma komersial Tiongkok, key & blok 128-bit |
Algoritma Asymmetric
| Algoritma | Deskripsi Singkat |
|---|---|
| DH (Diffie-Hellman) | Untuk negosiasi/exchange symmetric key secara aman (penting di IPsec) |
| RSA | Bisa untuk enkripsi & digital signature; berbasis kesulitan faktorisasi bilangan prima besar |
| DSA | Hanya untuk digital signature (tidak bisa enkripsi/dekripsi/key exchange) |
9.4Hash Algorithm#
Catatan
- Hash algorithm mengubah data sepanjang apapun menjadi output tetap (hash value/message digest) — dipakai untuk cek integritas data (bukan enkripsi).
- 4 karakteristik hash: forward fast (cepat dihitung), irreversible (tidak bisa dibalik ke plaintext), input sensitive (sedikit perubahan input = hash berubah drastis), anti-collision (sulit menemukan 2 input berbeda dengan hash sama).
- Algoritma umum: MD5 (cepat, kurang aman), SHA-1/SHA-2 (lebih aman, key lebih panjang), SM3 (algoritma komersial Tiongkok), HMAC (hash + cryptographic key, dipakai di IPsec/SSL).
Topik 10 dari 11
10PKI Certificate System#
10.1Evolusi Teknologi Keamanan Komunikasi Data#
Deskripsi
- Digital envelope
- pengirim enkripsi symmetric key dengan public key penerima → penerima dekripsi dengan private key untuk dapatkan symmetric key, lalu dekripsi ciphertext.
- Digital certificate
- file bertandatangan digital dari CA yang berisi public key + identity info pemilik — memastikan satu public key hanya dimiliki satu owner (seperti paspor/KTP digital).
Catatan
- Evolusi: Plaintext transmission (tidak aman) → Encrypted transmission dgn symmetric key (masalah distribusi key: n user butuh n(n-1)/2 key) → Digital envelope (kombinasi symmetric+asymmetric, tapi rentan pemalsuan pengirim) → Digital signature (menjamin integritas & identitas pengirim, tapi rentan jika public key dipalsukan) → PKI/digital certificate (solusi akhir: memastikan public key benar-benar milik pemiliknya).
- Digital signature: mekanisme untuk membuktikan keaslian (authenticity) & keutuhan (integrity) sebuah pesan — pengirim hash plaintext (jadi digital fingerprint), lalu enkripsi fingerprint tsb dengan PRIVATE key sendiri (kebalikan dari asymmetric encryption biasa yang enkripsi pakai public key). Penerima verifikasi dengan public key pengirim & bandingkan hasil hash. Yang dienkripsi bukan pesan itu sendiri, tapi HASH-nya — signature jadi lebih ringkas & cepat diverifikasi.
Digital signature vs asymmetric encryption biasa
| Aspek | Asymmetric Encryption | Digital Signature |
|---|---|---|
| Tujuan | Confidentiality — merahasiakan isi pesan | Authenticity & Integrity — membuktikan pesan asli & tidak berubah |
| Sign/encrypt pakai | Public key penerima | Private key pengirim |
| Verify/decrypt pakai | Private key penerima | Public key pengirim |
| Yang diproses | Seluruh pesan | Hash dari pesan |
10.2Struktur & Jenis Digital Certificate#
Catatan
- Struktur sertifikat mengikuti standar X.509 v3: Version, Serial Number, Signature Algorithm, Issuer, Validity, Subject Name, Subject Public Key Info, Extensions, Signature.
- 3 jenis sertifikat: CA certificate (sertifikat milik CA sendiri), Local certificate (diterbitkan CA untuk applicant/user), Self-signed certificate (device menandatangani sertifikatnya sendiri).
- Format penyimpanan: PKCS#12 (.P12/.PFX, binary + private key opsional), DER (.DER/.CER/.CRT, binary tanpa private key), PEM (.PEM/.CER/.CRT, format ASCII).
10.3Arsitektur & Mekanisme Kerja PKI#
Deskripsi
- Komponen PKI
- End entity (user akhir produk/layanan PKI), CA (Certificate Authority — entitas tepercaya yang menerbitkan & mengelola sertifikat, bisa hierarkis dgn root CA di puncak), RA (Registration Authority — memverifikasi & menyetujui permintaan sertifikat, bagian dari/terpisah dari CA), Certificate/CRL database (menyimpan sertifikat & Certificate Revocation List).
Catatan
- Siklus hidup sertifikat: Application (aplikasi) → Issuing (penerbitan) → Storage (penyimpanan) → Usage (pemakaian) → Verification (verifikasi) → Update (pembaruan) → Revocation (pencabutan).
- Metode aplikasi sertifikat: SCEP (Simple Certificate Enrollment Protocol — standar industri untuk device VPN), CMPv2 (Certificate Management Protocol v2), File-based (offline via PKCS#10, dikirim out-of-band).
- Verifikasi status sertifikat: CRL (download daftar sertifikat dicabut secara berkala), OCSP (cek real-time status sertifikat ke server — valid/expired/unknown), None (tidak dicek).
Skenario Aplikasi PKI Certificate
| Skenario | Fungsi Sertifikat |
|---|---|
| Login web UI via HTTPS | Memverifikasi identitas server HTTPS agar browser tidak tertipu attacker |
| IPsec VPN | Autentikasi mutual antar gateway saat negosiasi IKE (alternatif dari pre-shared key) |
| SSL VPN | Autentikasi client & gateway SSL VPN satu sama lain |
Penting
Menggunakan PKI certificate pada IPsec VPN skala besar lebih scalable dibanding pre-shared key (PSK) — device baru cukup mengajukan sertifikat sendiri tanpa perlu mengubah konfigurasi device lain di jaringan.
Topik 11 dari 11
11Aplikasi Teknologi Enkripsi (VPN)#
11.1Definisi & Klasifikasi VPN#
Deskripsi
- VPN
- teknologi membangun jaringan privat virtual di atas jaringan publik, mengirimkan traffic private network secara aman (private + virtual) tanpa mengubah topologi fisik.
- Keunggulan VPN
- aman, biaya rendah (memakai jaringan publik bersama), mendukung mobile access, scalable/fleksibel.
- Tunneling
- teknik dasar VPN — satu protokol mengenkapsulasi paket protokol lain untuk transmisi aman melalui 'terowongan' logis di jaringan backbone.
Klasifikasi VPN
| Kriteria | Kategori |
|---|---|
| Skenario aplikasi | Client-to-Site (SSL/IPsec/L2TP/L2TP over IPsec) vs Site-to-Site (IPsec/L2TP/GRE) |
| Objek aplikasi | Extranet VPN (antar perusahaan), Intranet VPN (antar cabang sendiri), Access VPN (karyawan mobile) |
| Layer implementasi | Data Link (PPTP, L2F, L2TP) — Network (GRE, IPsec) — Application (SSL VPN) |
4 Teknologi Kunci VPN
| Teknologi | GRE | L2TP | IPsec | SSL VPN |
|---|---|---|---|---|
| Identity Authentication | Tidak didukung | Berbasis PPP (CHAP/PAP/EAP) | Pre-shared key / certificate / IKEv2 EAP | Username-password / certificate |
| Encryption | Tidak ada | Tidak ada | Didukung penuh | Didukung penuh |
| Data Verification | Keyword sederhana | Tidak didukung | Didukung | Didukung |
Catatan
- Karena GRE dan L2TP tidak menyediakan enkripsi, keduanya sering dikombinasikan dengan IPsec (mis. L2TP over IPsec, GRE over IPsec) agar data tetap terenkripsi.
11.2GRE VPN#
Deskripsi
- GRE (Generic Routing Encapsulation)
- teknologi enkapsulasi Layer 3 VPN, mengenkapsulasi paket protokol network layer apa pun (IP, IPX, dsb.) ke dalam paket IP agar bisa ditransmisikan melintasi jaringan heterogen — umumnya dipakai membangun tunnel di atas jaringan IPv4 untuk menghubungkan dua jaringan IPv6, atau sebaliknya.
Catatan
- Protocol stack GRE: passenger protocol (payload asli) → encapsulation protocol (GRE header) → transport protocol (IP header baru).
- Enkapsulasi GRE dilakukan lewat tunnel interface (logical interface) dengan protokol encapsulation di-set ke GRE — proses: tambah GRE header ke paket asli, lalu tambah IP header baru sebelum GRE header.
- GRE hanya mendukung verifikasi keyword sederhana, TIDAK menyediakan enkripsi — sehingga sering dikombinasikan dengan IPsec untuk keamanan lebih tinggi.
11.3IPsec VPN#
Deskripsi
- IPsec
- kumpulan protokol keamanan berbasis kriptografi dari IETF untuk melindungi pertukaran paket IP end-to-end. Menyediakan: data origin authentication, data encryption, data integrity, dan anti-replay.
- Arsitektur IPsec
- AH (Authentication Header — integrity, origin auth, anti-replay, TANPA enkripsi) dan ESP (Encapsulating Security Payload — mendukung semuanya TERMASUK enkripsi), keduanya dijalankan bersama IKE (Internet Key Exchange) untuk negosiasi key.
- IKE
- protokol application-layer berbasis UDP yang menegosiasikan key untuk AH/ESP, memiliki 2 versi (IKEv1 & IKEv2).
Catatan
- Encapsulation mode: Transport mode (AH/ESP header disisipkan antara IP header & transport header — melindungi payload TCP/UDP/ICMP saja) vs Tunnel mode (AH/ESP header + IP header baru membungkus paket IP asli sepenuhnya — melindungi header IP asli juga, umum dipakai site-to-site VPN).
IKEv1: 2 Fase Negosiasi
| Fase | Tujuan | Mode |
|---|---|---|
| Fase 1 | Membangun IKE SA (tunnel terautentikasi & terproteksi) | Main mode (6 pesan, identity protection) atau Aggressive mode (3 pesan, lebih cepat tapi tanpa identity protection) |
| Fase 2 | Menggunakan IKE SA untuk negosiasi IPsec SA (transmisi data aktual) | Quick mode (3 pesan) |
Catatan
- IKEv2 menyederhanakan proses menjadi 3 jenis exchange: Initial Exchanges (IKE_SA_INIT + IKE_AUTH, 4 pesan) — menggabungkan fungsi Fase 1 DAN Fase 2 IKEv1 sekaligus, membangun IKE SA sekaligus IPsec SA pertama dalam satu rangkaian pertukaran, CREATE_CHILD_SA Exchange (menambah IPsec SA baru / re-negosiasi IKE SA), dan Informational Exchange (pertukaran informasi kontrol/error).
Penting
SA (Security Association) mendefinisikan elemen keamanan spesifik (algoritma enkripsi, algoritma autentikasi, encapsulation mode) yang disepakati kedua peer IPsec — bisa dibuat manual atau via negosiasi IKE.
acl 3000
# Membuat ACL untuk mendefinisikan data flow yang dilindungi IPsec
rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
# Rule ACL: izinkan traffic antar 2 segmen jaringan
ipsec proposal tran1
# Membuat IPsec proposal (algoritma ESP)
esp authentication-algorithm sha2-256
# Menetapkan algoritma autentikasi ESP
esp encryption-algorithm aes-256
# Menetapkan algoritma enkripsi ESP
ike proposal 10
# Membuat IKE proposal
authentication-method pre-share
# Menetapkan metode autentikasi IKE (pre-shared key)
dh group14
# Menetapkan DH group untuk key exchange
ike peer b
# Membuat IKE peer & masuk ke konfigurasinya
remote-address 1.1.5.1
# Menetapkan IP address peer IPsec
pre-shared-key Test!1234
# Menetapkan pre-shared key dengan peer
ipsec policy map1 10 isakmp
# Membuat IPsec policy (mode isakmp/IKE)
security acl 3000
# Mengaitkan ACL data flow ke IPsec policy
proposal tran1
# Mengaitkan IPsec proposal ke policy
ike-peer b
# Mengaitkan IKE peer ke IPsec policy
ipsec policy map1
# Menerapkan IPsec policy pada interface (di bawah interface)
Penting
Untuk IPsec VPN, ACL data flow di Firewall A dan B harus BERKEBALIKAN (source↔︎destination ditukar) agar traffic dari kedua arah sama-sama cocok dan dilindungi IPsec tunnel.
11.4L2TP VPN#
Deskripsi
- L2TP (Layer Two Tunneling Protocol)
- protokol tunneling untuk VPDN (Virtual Private Dial-up Network), ekstensi dari PPP — menyediakan akses remote bagi karyawan mobile/cabang ke resource intranet.
Catatan
- 3 skenario L2TP: NAS-Initiated (dial-up via PSTN/ISDN, LAC minta tunnel ke LNS), Call-LNS (menghubungkan cabang & HQ), Client-Initiated (client L2TP langsung memulai tunnel setup ke LNS tanpa perlu LAC terpisah).
- Proses (client-initiated): Tunnel negotiation (bangun L2TP tunnel → session → koneksi PPP) → Packet encapsulation (data dibungkus PPP header, L2TP header, UDP header, lalu IP header publik) → berlaku security policy pada LNS untuk trafik yang lewat tunnel interface.
- L2TP TIDAK menyediakan enkripsi — bergantung pada PPP authentication (CHAP/PAP/EAP) untuk autentikasi user, sering dikombinasikan dgn IPsec (L2TP over IPsec) untuk keamanan.
11.5SSL VPN#
Deskripsi
- Virtual gateway
- portal terpadu di firewall untuk karyawan mobile mengakses resource intranet, mendukung local authentication, certificate authentication, dan server authentication.
Catatan
- Latar belakang: IPsec/L2TP VPN mengharuskan instalasi software client khusus, deployment kompleks, dan sulit kontrol akses granular. SSL VPN hadir sebagai solusi remote access ringan berbasis protokol SSL/HTTPS tanpa perlu instalasi client khusus.
- SSL encapsulation berada antara transport layer (TCP) dan application layer, menyediakan enkripsi, kompresi, dan enkapsulasi data.
4 Layanan Utama SSL VPN
| Layanan | Fungsi |
|---|---|
| Web Proxy | Akses resource web intranet — via web rewriting (enkripsi URL & adaptasi terminal) atau web link (forward transparan) |
| File Sharing | Akses file server intranet (SMB/NFS) lewat browser — buat folder, upload/download, rename, delete |
| Port Forwarding | Akses resource TCP intranet (Telnet, remote desktop, FTP, email) via port-level forwarding |
| Network Extension | Akses IP resource intranet secara umum — client mendapat IP address & route dari address pool virtual gateway |
aaa / domain default
# Masuk ke konfigurasi domain autentikasi
service-type ssl-vpn
# Menetapkan service type SSL VPN pada domain
user-manage group /default/group1
# Membuat user group SSL VPN
user-manage user user0001 domain default
# Membuat user SSL VPN pada domain
v-gateway gateway interface GigabitEthernet 0/0/1 private
# Membuat virtual gateway SSL VPN pada interface
v-gateway gateway tcp-port 443
# Menetapkan port TCP virtual gateway
v-gateway gateway authentication-domain default
# Mengaitkan domain autentikasi ke virtual gateway
web-proxy enable
# Mengaktifkan layanan web proxy
web-proxy web-link enable
# Mengaktifkan mode web link pada web proxy
web-proxy link-resource Web-Server http://10.2.0.2:8080 show-link
# Mendefinisikan resource web proxy (server tujuan)
vpndb / group /default/sslvpn
# Menambahkan user group ke virtual gateway (vpndb)
role role group /default/sslvpn
# Membuat role & mengaitkan ke user group
role role web-proxy enable
# Mengaktifkan akses web-proxy untuk role tsb.
role role web-proxy resource Web-Server
# Mengizinkan role mengakses resource Web-Server