Catatan HCIA-Security V4.0

Rangkuman materi — Huawei Certified ICT Associate — Security

Topik 1 dari 12

1Konsep dan Spesifikasi Keamanan Jaringan#

1.1Definisi dan Sejarah Keamanan Jaringan#

Deskripsi

Network security (arti luas): cyberspace security di level nasional — mencakup seluruh infrastruktur informasi: internet, jaringan telekomunikasi, sistem komputer, dan prosesor tertanam
Network security (arti sempit): langkah teknis untuk mencegah serangan, intrusi, gangguan, dan penggunaan tidak sah terhadap jaringan/informasi, sekaligus menjaga integrity, confidentiality, dan availability data
Confidentiality: informasi hanya bisa diakses dan dipakai pihak yang berwenang — walau data dicuri, penyerang tidak bisa membacanya
Integrity: informasi tidak diubah selama transmisi, dan bila diubah, penerima bisa mendeteksinya
Availability: pihak yang berwenang bisa memperoleh dan memakai aset informasi kapan pun dibutuhkan
Controllability: organisasi mampu mengendalikan penyebaran dan isi informasi miliknya, termasuk membela sistemnya dari serangan
Non-repudiation: pihak yang melakukan suatu tindakan atau mengirim informasi tidak bisa menyangkal perbuatannya

Catatan

Cakupan HCIA-Security: sertifikasi ini memakai definisi arti sempit, dan membuktikan kompetensi merancang, men-deploy, mengoperasikan, serta memelihara arsitektur keamanan jaringan untuk perusahaan kecil-menengah (SME)
Tiga prinsip klasik (CIA) lahir di periode information security; controllability & non-repudiation baru ditambahkan di periode information assurance saat cakupan masalah keamanan meluas
Periode information assurance juga melahirkan gagasan membangun sistem information assurance perusahaan dari tiga sisi sekaligus: services (tiap jenis trafik layanan punya risiko & mode pertahanan berbeda), security system (teknologi dipadukan dengan manajemen supaya pertahanan bersifat proaktif, bukan pasif), dan management (membina personel keamanan serta menegakkan sistem manajemen keamanan)

Empat fase perkembangan keamanan informasi
Fase	Periode	Fokus Utama
Communication security	1940-an	Keamanan fisik informasi & kerahasiaan komunikasi (cipher)
Information security	1970-1980an	Integrity, availability, confidentiality data
Information assurance	1990-an	Menambahkan controllability & non-repudiation
Cyberspace security	Sekarang	Keamanan menyeluruh: fasilitas, data, pengguna, operasi

Kenapa keamanan jaringan perlu dibangun
Alasan	Sudut Pandang	Isi
Importance	Keamanan nasional	Keamanan jaringan jadi fondasi kemakmuran ekonomi, stabilitas sosial, dan pembangunan; persaingan geopolitik ikut meluas ke cyberspace
Compliance	Regulasi	Sistem manajemen keamanan informasi perusahaan wajib mengikuti kebijakan & spesifikasi keamanan yang berlaku (mis. classified protection)
Profitability	Bisnis	Mengurangi kerugian akibat serangan — sistem aplikasi tumbang dan data pengguna bocor berbiaya sangat mahal

1.2Ancaman Keamanan Jaringan Umum#

Deskripsi

Hacker: orang dengan pemahaman mendalam soal desain software, pemrograman, dan ilmu komputer — dalam konteks keamanan informasi merujuk pada orang yang mempelajari cara masuk ke sistem orang lain lewat jaringan publik secara tidak sah
Vulnerability: cacat atau kelemahan pada hardware, software, protokol, maupun pada kebijakan keamanan sebuah sistem
Vulnerability scanning: pemindaian untuk menemukan kelemahan pada host/jaringan target — dipakai untuk simulasi serangan dan audit keamanan
Ransomware attack: serangan yang mengenkripsi berkas korban lalu menuntut tebusan untuk kunci dekripsinya
Information breach: bocornya data ke pihak tidak berwenang — sering terjadi karena database dibiarkan terbuka di internet tanpa autentikasi identitas
DDoS attack: serangan terdistribusi yang menghabiskan resource jaringan/sistem server target sehingga layanannya terhenti dan pengguna sah tidak bisa mengakses
Supply chain attack: serangan yang menyasar rantai pasok software/hardware, bukan target akhirnya langsung — satu pemasok yang jebol berdampak ke seluruh pengguna di hilirnya

Catatan

Dampak vulnerability: permission bypass & privilege escalation (menaikkan hak akses), eksekusi instruksi tanpa izin, kebocoran data, sampai DoS
Rantai serangan ransomware: developer hulu menyewakan ransomware ke organisasi hilir (ransomware-as-a-service) → korban dipancing lewat email/situs phishing → ransomware terunduh & berjalan (diklik korban atau diam-diam lewat remote code execution) → berkas lokal dan share jaringan dienkripsi disertai surat tebusan → korban membayar → uang dicuci sebelum program dekripsi dikirim
Data hasil kebocoran (nama, email, password) dipakai untuk penipuan lanjutan, dijual, sampai credential stuffing ke layanan lain
Skala DDoS naik karena perangkat IoT yang rentan gampang dijadikan bot, dan kemampuan menyerang kini disewakan sebagai layanan — penyerang tanpa kemampuan teknis pun bisa memesan serangan
Cara supply chain attack: mencuri akun developer resmi, menyebar aplikasi palsu lewat situs unduhan pihak ketiga, meracuni repositori open source atau layanan SaaS hulu, membajak alamat update resmi (DNS, node unduhan, cache CDN/P2P), menyusup ke sistem update vendor, sampai mencemari compiler dan tool pengembangan

Penting

Vulnerability scanning process: Ping sweep (menemukan host aktif) → Port scanning (mengetahui port terbuka) → OS detection → Vulnerability scanning untuk deteksi celah keamanan.

Tiga ancaman yang paling menonjol
Tren Ancaman	Kenapa Meningkat
DDoS sebagai layanan	Kemampuan menyerang disewakan dan jadi sumber penghasilan kelompok hacker
Serangan supply chain	Melibatkan banyak perusahaan hilir sekaligus sehingga dampaknya luas
Ransomware	Ambang teknis menurun, nilai tebusan naik; phishing & remote desktop jadi media utama

1.3Tren Keamanan Jaringan Masa Depan#

Deskripsi

Network Security Situational Awareness: menggunakan data convergence, data mining, analisis cerdas, dan visualisasi untuk memantau kondisi keamanan jaringan secara real-time (contoh produk: HiSec Insight).
Zero Trust Security: paradigma "never trust, always verify" — semua user/device/system di dalam maupun luar jaringan tidak dipercaya secara default; trust harus dibangun lewat autentikasi, otorisasi, dan access control setiap kali. Berbeda dari model network-centered (internal dipercaya) menjadi identity-centered (setiap request diverifikasi berdasarkan identitas).

Catatan

8 tren keamanan versi Gartner (2021): cybersecurity mesh, cyber-savvy boards, vendor consolidation, identity-first security, machine identity management, remote work menjadi "work" biasa, breach & attack simulation (BAS), privacy-enhancing computation.

1.4Standar & Spesifikasi Keamanan Informasi#

Deskripsi

Standar keamanan informasi: dokumen normatif hasil konsensus yang disahkan otoritas dan dipakai seluruh industri untuk mencapai praktik keamanan terbaik
ISMS: Information Security Management System — sistem tempat organisasi menetapkan kebijakan & sasaran keamanan informasi beserta cara mencapainya; konsepnya berasal dari standar BS 7799 milik BSI Inggris
ISO 27001: standar internasional berisi persyaratan ISMS, memakai siklus PDCA (Plan-Do-Check-Act) untuk perbaikan berkelanjutan — satu-satunya di keluarga ini yang bisa disertifikasi
ISO 27002: panduan praktik terbaik berisi control objective dan control measure dalam 14 domain kontrol — sifatnya panduan, tidak bisa dijadikan objek sertifikasi
Cybersecurity Classified Protection: sistem regulasi Tiongkok yang melindungi informasi dan sistem pembawanya sesuai tingkat kepentingannya, dengan 5 level keamanan berdasarkan dampak kerusakan terhadap hak warga, ketertiban sosial, dan keamanan nasional
TCSEC: Trusted Computer System Evaluation Criteria — diusulkan Defense Science Board tahun 1970 dan diterbitkan Departemen Pertahanan AS pada Desember 1985; standar formal pertama untuk evaluasi keamanan sistem komputer
ITSEC: Information Technology Security Evaluation Criteria — disusun bersama oleh Inggris, Prancis, Jerman, dan Belanda; lebih maju dari TCSEC dalam fleksibilitas fungsi dan teknologi evaluasinya, serta bisa dipakai di ranah militer, pemerintahan, dan bisnis

Catatan

Organisasi standar internasional: ISO, IEC, ITU, IETF, NIST; di Tiongkok ada TC260 dan CCSA. Standardisasi keamanan informasi internasional dimulai 1970-an, berkembang pesat 1980-an, dan mendunia pada 1990-an
14 domain kontrol ISO 27002: kebijakan keamanan informasi, organisasi keamanan informasi, keamanan sumber daya manusia, manajemen aset, access control, kriptografi, keamanan fisik & lingkungan, keamanan operasi, keamanan komunikasi, akuisisi/pengembangan/pemeliharaan sistem, hubungan dengan pemasok, manajemen insiden keamanan informasi, aspek keamanan informasi dalam business continuity, dan compliance. Catatan: 14 domain ini dari ISO 27002:2013 yang dipakai materi HCIA V4.0 — revisi 2022 merestrukturnya menjadi 4 tema dengan 93 kontrol
Keluarga ISO 27000 juga berisi standar pendukung (mis. ISO/IEC 27000 kosakata, 27003 panduan implementasi, 27004 pengukuran, 27005 manajemen risiko) plus standar sektoral
Objek yang dilindungi: jaringan informasi dasar, platform/sistem cloud computing, aplikasi & platform big data, IoT, industrial control system, dan sistem berbasis mobile internet
Classified Protection 2.0 mencakup rangkaian standar: panduan grading GB/T 22240-2020, persyaratan dasar GB/T 22239-2019, persyaratan desain GB/T 25070-2019, dan panduan asesmen GB/T 28448-2019
Angka yang perlu diingat: ISO/IEC 27002 mengajukan 35 control objective dan 113 control measure yang dikelompokkan ke dalam 14 aspek (domain kontrol)
Pemetaan standar ke siklus PDCA: ISO 27002 membantu tahap Plan (menyusun ISMS), ISO 27003 tahap Do (panduan implementasi), ISO 27004 tahap Check (metode & indikator pengukuran), dan ISO 27005 tahap Act (manajemen risiko yang berjalan di seluruh proses identifikasi, pemantauan, penilaian, dan penanganan risiko)
Rangkaian standar Classified Protection 2.0 lengkapnya: grading guideline GB/T 22240-2020, basic requirements GB/T 22239-2019, design requirements GB/T 25070-2019, implementation guideline GB/T 25058-2019, assessment requirements GB/T 28448-2019, dan assessment process guideline GB/T 28449-2018
Arti penting classified protection bagi perusahaan ada empat: kepatuhan hukum & regulasi, memenuhi kebutuhan keamanan layanan, membuat keamanan lebih sistematis (bukan pertahanan tunggal), dan meningkatkan kesadaran keamanan personel

5 Level Cybersecurity Classified Protection
Level	Nama	Kemampuan Proteksi
1	Self-protection	Untuk sistem informasi kecil (UKM, sekolah)
2	Guided protection	Sistem penting organisasi level county
3	Supervised protection	Sistem penting negara/perusahaan level kota ke atas
4	Forced protection	Sistem sangat penting bidang strategis negara
5	Dedicated protection	Sistem paling kritikal bagi keamanan nasional

Penting

Jika level keamanan awal ditentukan Level 1, operator jaringan boleh menetapkan level final sendiri tanpa review ahli/arsip pihak berwenang. Jika Level 2 atau lebih tinggi, wajib melalui expert review dan diarsipkan ke public security organ.

Struktur persyaratan Classified Protection 2.0
Kelompok Persyaratan	Isi	Contoh Butir
General — technical	Berlaku untuk semua objek	Secure physical environment, secure communication network, security zone border, secure computing environment, security management center
General — management	Sisi tata kelola	Sistem manajemen keamanan, organisasi keamanan, personel, manajemen pembangunan, dan manajemen O&M
Extended	Tambahan sesuai bentuk sistem	Cloud computing, mobile interconnection, IoT, dan industrial control system

Alur implementasi proyek ISO 27001

Kick-off meeting

Menentukan tim proyek dan struktur manajemen proyeknya

Assessment kondisi saat ini

Menilai keadaan manajemen keamanan informasi yang sedang berjalan

Desain kebijakan keamanan

Menyusun information security policy organisasi

Pelatihan aset & metode risk assessment

Menyiapkan tim untuk mengumpulkan aset dan menilai risiko

Identifikasi ancaman & kerentanan

Termasuk pemindaian kerentanan keamanan

Risk assessment & treatment

Menilai risiko lalu memilih kontrol yang akan diterapkan

Sertifikasi & perbaikan berkelanjutan

Audit sertifikasi ISO 27001, lalu berputar lagi lewat siklus PDCA

Standar & spesifikasi keamanan informasi yang disebut materi HCIA
Standar	Asal	Isi Singkat
Cybersecurity Classified Protection	Tiongkok	Melindungi informasi dan pembawanya sesuai tingkat kepentingannya
ISO 27001	Internasional (ISO/IEC)	Standar ISMS — membantu organisasi membangun, mengoptimalkan, dan mengevaluasi ISMS-nya
TCSEC	Amerika Serikat (DoD, 1985)	Standar formal pertama untuk evaluasi keamanan sistem komputer
ITSEC	Inggris, Prancis, Jerman, Belanda	Lebih fleksibel dari TCSEC; dipakai di militer, pemerintahan, dan bisnis

Evolusi keluarga ISO 27000 (versi 2013 dari 27001 & 27002 yang dipakai materi)
Tahun	Standar	Keterangan
1995	BS 7799-1	Implementation guideline untuk sistem manajemen keamanan informasi
1998	BS 7799-2	Spesifikasi sistem manajemen keamanan informasi
2000	ISO/IEC 17799	Code of practice for information security management
2005	ISO/IEC 27001	Information Security Management System Requirements
2007	ISO/IEC 27002	Regulations on Information Security Management Practices

Penentuan level: objek yang dirugikan × tingkat kerusakan
Objek yang Dirugikan	Kerusakan Ringan	Kerusakan Berat	Kerusakan Sangat Berat
Hak & kepentingan warga, badan hukum, dan organisasi lain	Level 1	Level 2	Level 3
Ketertiban sosial & kepentingan publik	Level 2	Level 3	Level 4
Keamanan nasional	Level 3	Level 4	Level 5

Empat fase perkembangan Cybersecurity Classified Protection
Fase	Periode	Isi
Initial	1994-2003	Negara menyerukan penguatan keamanan informasi dan mengusulkan klasifikasi sistem informasi ke beberapa level
Development	2004-2006	Banyak standar & spesifikasi classified protection disusun lalu diujicobakan di sebagian organisasi
Promotion (CP 1.0)	2007-2016	Classified Protection 1.0 diterapkan secara luas
Classified Protection 2.0	2017-sekarang	Menyusul UU Keamanan Siber, cakupannya diperluas ke cloud computing, mobile internet, IoT, dan industrial control system

Alur kerja Cybersecurity Classified Protection

Grading

Operator menentukan level sistemnya lalu menyusun laporan grading

Archiving

Materi diserahkan ke public security organ setempat untuk diarsipkan

Construction & rectification

Membangun sistem teknis dan sistem manajemen sesuai persyaratan levelnya

Level assessment

Menerima asesmen dari lembaga penilai pihak ketiga

Supervision & inspection

Menerima pengawasan dan pemeriksaan berkala dari public security organ

Topik 2 dari 12

2Dasar-Dasar Jaringan (Network Basics)#

2.1Model Referensi Jaringan#

Deskripsi

OSI model: model referensi 7 layer dari ISO (1984): Application, Presentation, Session, Transport, Network, Data Link, Physical
TCP/IP model: model referensi 4 layer yang benar-benar dipakai di Internet: Application, Transport, Internet (Network), Network Interface — presentation & session digabung ke application
TCP/IP model equivalent: versi 5 layer yang dipakai materi HCIA: Application, Transport, Network, Data Link, Physical — gabungan konsep OSI dan TCP/IP

Catatan

Kenapa perlu model: data dari aplikasi harus diterjemahkan jadi bit di media fisik, lalu disusun ulang jadi informasi di sisi penerima — model berlapis membuat tiap tahap punya tugas yang jelas
TCP/IP menang di praktik karena sifatnya terbuka dan mudah dipakai, sedangkan OSI lebih banyak dipakai sebagai acuan konsep dan bahan pengajaran

7 Layer OSI dan Fungsinya
Layer	Fungsi
Application	Antarmuka jaringan untuk aplikasi
Presentation	Menerjemahkan format data antar sistem
Session	Membangun, mengelola, mengakhiri sesi komunikasi
Transport	Koneksi end-to-end, kontrol kecepatan & urutan data
Network	Alamat logis & pengiriman data dari sumber ke tujuan
Data Link	Enkapsulasi frame, deteksi error, transmisi point-to-point
Physical	Transmisi bitstream via media fisik

Protokol Umum per Layer
Layer	Protokol
Application	HTTP, HTTPS, Telnet, STelnet, FTP, SFTP, SMTP, TFTP, DNS, SNMP, DHCP
Transport	TCP (connection-oriented, reliable), UDP (connectionless)
Network	IP, ICMP, IGMP
Data Link	Ethernet, PPP, PPPoE

2.2Protokol Application Layer#

Deskripsi

Application layer: lapisan yang menyediakan antarmuka bagi software aplikasi untuk memakai layanan jaringan; tiap aplikasi menentukan nomor port yang dipakainya di transport layer
FTP: File Transfer Protocol — transfer file antar host dengan struktur client/server, memakai dua koneksi: control connection (port 21) dan data connection
FTP proactive mode: mode default FTP; data connection diinisiasi SERVER dari port 20 ke port sementara milik client
FTP passive mode: mode saat client mengirim perintah PASV, lalu server memberi tahu nomor port sementara dan CLIENT yang menginisiasi data connection
SFTP: Secure FTP — transfer file di atas SSH, single-channel, port default 22; autentikasi dan data dienkripsi, berbeda dari FTP yang plaintext
Telnet: protokol standar untuk login jarak jauh; perintah yang diketik di client dieksekusi di server seolah diketik di console — tapi seluruh datanya plaintext
STelnet: Secure Telnet berbasis SSH (port 22) yang mengenkripsi seluruh pertukaran data, pengganti aman untuk Telnet
HTTP: protokol transfer hypertext untuk layanan web, port default 80
HTTPS: HTTP di atas TLS (port 443) sehingga ada autentikasi identitas, enkripsi data, dan verifikasi integritas
DNS: Domain Name System — menerjemahkan domain name jadi IP address
Resolusi DNS statis: pemetaan domain ke IP yang dibuat manual di tabel lokal perangkat (mirip file hosts di Windows) — dicek lebih dulu supaya resolusi lebih cepat
Resolusi DNS dinamis: resolusi lewat DNS server, dipakai bila domain tidak ditemukan di tabel statis

Catatan

Kenapa passive mode dipakai: kalau ada firewall di sisi client, data connection mode proactive sering gagal karena koneksi datang dari luar. Sebaliknya proactive mode lebih mudah dikelola dari sisi server
Lima fase negosiasi STelnet/SSH: version negotiation (menentukan SSHv1 atau SSHv2) → algorithm negotiation (menyepakati algoritma enkripsi) → key exchange (menghasilkan session key) → user authentication (server memverifikasi client) → session interaction (pertukaran data setelah autentikasi berhasil)

Protokol application layer yang sering dipakai
Protokol	Port Default	Fungsi
HTTP / HTTPS	80 / 443	Layanan web browsing
FTP	21 (control), 20 (data)	Upload & download file
SFTP / STelnet / SSH	22	Transfer file & remote login terenkripsi
Telnet	23	Remote login plaintext
SMTP	25	Pengiriman email
DNS	53	Resolusi nama domain
TFTP	69	Transfer file sederhana berbasis UDP
SNMP	161 / 162	Manajemen & monitoring perangkat
DHCP	67 / 68	Pemberian IP address otomatis

Pembentukan koneksi FTP passive mode

Server membuka port 21 dan menunggu koneksi

Listener control connection FTP

Client meminta control connection, server merespons

Kanal perintah terbentuk

Client mengirim perintah PASV

Memberi tahu server bahwa client memakai passive mode

Server membalas dengan nomor port sementara

Port inilah yang akan dipakai untuk data connection

Client membuka data connection ke port tersebut

Transfer file berjalan di kanal data terpisah

2.3Transport & Network Layer#

Deskripsi

Transport layer: menerima data dari application layer, membungkusnya dengan header transport, dan membangun koneksi end-to-end antar proses di host berbeda
TCP: Transmission Control Protocol (RFC 793) — connection-oriented dan reliable, memakai sequence number, acknowledgment, dan window untuk menjamin urutan serta keandalan data
UDP: User Datagram Protocol (RFC 768) — connectionless, header sederhana (source port, destination port, length, checksum), cepat tapi tanpa jaminan keandalan
Port number: pembeda layanan di satu host: source port biasanya diacak dan bernilai di atas 1023, sedangkan destination port menunjukkan layanan tujuan (mis. 80 untuk HTTP)
Network layer: mengirim paket dari satu host ke host lain, menyediakan alamat logis, serta melakukan routing dan forwarding — protokol umumnya IPv4, IPv6, ICMP, dan IGMP
IP address: alamat logis 32 bit (IPv4) yang ditulis dalam notasi desimal bertitik, dipakai untuk mengidentifikasi host di jaringan
ICMP: Internet Control Message Protocol — protokol pembantu IP yang melaporkan error dan mengirim pesan kontrol; nilai field Protocol pada header IP-nya adalah 1
Ping: aplikasi ICMP paling umum: mengirim Echo Request dan menunggu Echo Reply untuk menguji konektivitas sekaligus mengukur round-trip time
IGMP: Internet Group Management Protocol — membangun dan memelihara keanggotaan grup multicast
Tracert: aplikasi ICMP untuk melacak jalur paket hop demi hop: TTL dinaikkan bertahap mulai dari 1 sehingga tiap perangkat di jalur membalas pesan TTL timeout, dan sumber bisa memetakan seluruh node sekaligus menghitung round-trip time tiap hop

Catatan

Pesan ICMP dibedakan lewat field Type dan Code — Type menunjukkan jenis pesan, Code menunjukkan parameter spesifiknya
Pesan error ICMP yang sering ditemui: TTL timeout (paket habis masa hidupnya di perjalanan), destination network unreachable (jaringan tujuan tidak ditemukan), destination host unreachable (host tujuan tidak ditemukan), dan Redirect (perangkat menunjuk gateway yang lebih tepat)

Field penting pada header TCP
Field TCP	Panjang	Fungsi
Source / Destination Port	16 bit masing-masing	Menentukan aplikasi pengirim dan penerima
Sequence Number	32 bit	Nomor urut byte pertama data pada segmen ini
Acknowledgment Number	32 bit	Nomor byte berikutnya yang diharapkan penerima (seq terakhir + 1)
Control bits (SYN, ACK, FIN, RST, PSH, URG)	—	Menandai pembentukan, pengakhiran, dan sifat koneksi
Window	16 bit	Kapasitas terima untuk flow control, maksimum 65535 byte
Checksum	16 bit	Verifikasi kesalahan atas header + data + pseudo header 12 byte
Urgent Pointer	16 bit	Menunjuk posisi data mendesak, dipakai bersama flag URG

Struktur header IP (20 byte tetap + options)
Field IP	Fungsi
Version	Versi IP yang dipakai (4 atau 6)
Header Length	Panjang header, karena bagian options bisa berubah-ubah
DS Field	Penanda prioritas/QoS paket
Total Length	Panjang keseluruhan paket
Identification, Flags, Fragment Offset	Informasi fragmentasi dan penyusunan ulang paket
Time to Live (TTL)	Batas jumlah hop; paket dibuang saat TTL habis
Protocol	Protokol layer atasnya (1 = ICMP, 6 = TCP, 17 = UDP)
Header Checksum	Pemeriksaan kesalahan pada header
Source / Destination IP Address	Alamat pengirim dan tujuan

Nilai Type/Code ICMP yang sering keluar di ujian
Type	Code	Arti Pesan
0	0	Echo reply (balasan ping)
3	0	Network unreachable
3	1	Host unreachable
3	2	Protocol unreachable
3	3	Port unreachable
5	0	Redirect
8	0	Echo request (permintaan ping)

2.4Routing & OSPF#

Deskripsi

Direct route: route yang otomatis muncul dari jaringan yang langsung terhubung ke interface perangkat
Static route: route yang ditulis manual administrator — sederhana, tapi tidak menyesuaikan diri saat topologi berubah
Dynamic route: route yang dipelajari lewat protokol routing; fleksibel, andal, dan skalabel sehingga paling banyak dipakai di jaringan nyata
OSPF: Open Shortest Path First — protokol routing dinamis paling umum di jaringan enterprise, memakai Link State Database yang disinkronkan antar router
LSDB: Link State Database — basis data topologi yang dimiliki tiap router OSPF dan harus identik di seluruh router dalam satu area
OSPF area: pengelompokan logis perangkat OSPF yang ditandai area ID, dipakai untuk membatasi cakupan pertukaran informasi link state
Backbone area: area dengan ID 0 yang menjadi tulang punggung; seluruh area lain harus terhubung kepadanya

Catatan

Perancangan area di kampus: area 0 biasanya ditempatkan antara egress dan core switch, sedangkan area non-backbone (mis. area 10 dan 20) antara core dan aggregation switch
Isi OSPF routing table: destination address, cost, dan next hop — inilah yang dipakai untuk memandu forwarding paket

Huawei VRP — USG

display ospf routing

# Menampilkan routing table hasil perhitungan OSPF beserta cost dan next hop

display ospf peer

# Memastikan tetangga OSPF sudah terbentuk

display ip routing-table

# Melihat seluruh route aktif, termasuk direct, static, dan OSPF

2.5Data Link Layer & Enkapsulasi Data#

Deskripsi

Data link layer: lapisan antara network layer dan physical layer yang menangani pengalamatan fisik, pembentukan frame, dan kontrol error
Ethernet: protokol data link paling umum; format frame-nya Ethernet II atau IEEE 802.3 (dengan LLC/SNAP)
MAC address: alamat fisik 48 bit yang unik per network interface card, dipakai untuk komunikasi di dalam satu segmen jaringan
Field Type: penanda protokol layer atas pada frame Ethernet II — 0x0800 untuk IPv4 dan 0x0806 untuk ARP
FCS: Frame Check Sequence — hasil CRC di ekor frame untuk mendeteksi kerusakan data selama transmisi
ARP: Address Resolution Protocol — mencari MAC address dari sebuah IP address yang sudah diketahui, lewat ARP request (broadcast) dan ARP reply (unicast)
Enkapsulasi: penambahan header tiap turun satu lapisan di sisi pengirim: Data → Segment (+header TCP) → Packet (+header IP) → Frame (+header Ethernet & FCS) → Bit
Dekapsulasi: kebalikannya di sisi penerima: bit diterima lalu header dilepas lapis demi lapis sampai data sampai ke aplikasi tujuan

Catatan

Nama unit data per lapisan (PDU): segment di transport layer, packet di network layer, frame di data link layer, dan bit di physical layer
Ukuran frame Ethernet II: DMAC 6 byte, SMAC 6 byte, Type 2 byte, user data 46-1500 byte, dan FCS 4 byte — total panjang frame 64-1518 byte. Format IEEE 802.3 memakai field Length plus LLC (DSAP, SSAP, Ctrl) dan SNAP (Org Code + Type), sehingga ruang datanya menyusut jadi 38-1492 byte

Enkapsulasi data dari atas ke bawah
Lapisan	PDU	Header yang Ditambahkan
Application	Data	—
Transport	Segment	Header TCP/UDP (port, sequence, dll)
Network	Packet	Header IP (alamat sumber & tujuan)
Data Link	Frame	Header Ethernet (MAC) + FCS di ekor
Physical	Bit	Sinyal listrik, optik, atau elektromagnetik

2.6Perangkat Jaringan & Arsitektur Kampus#

Deskripsi

Campus network: jaringan enterprise yang tersusun dari switch, router, firewall, dan server dengan arsitektur berlapis: access, aggregation, core, dan egress layer
Switch: perangkat data link layer yang mem-forward frame berdasarkan MAC address table; tiap port berada di collision domain sendiri
Router: perangkat network layer yang menghubungkan segmen jaringan berbeda dan mem-forward paket berdasarkan routing table
Firewall: perangkat yang dipasang di border jaringan dengan fitur inti access control — memisahkan jaringan berdasarkan security zone, bukan sekadar meneruskan paket

Catatan

MAC address learning: switch mengisi MAC address table dengan mempelajari source MAC address dari frame yang masuk, lalu memakai tabel itu untuk menentukan port tujuan
Fungsi firewall menurut materi HCIA: mengisolasi jaringan dengan level keamanan berbeda, menerapkan access control lewat security policy, autentikasi identitas user, akses remote, enkripsi data & layanan VPN, NAT, serta fungsi keamanan lain
Lokasi pemasangan firewall: egress jaringan enterprise, border antar subnet pada jaringan besar, dan border data center
Beda inti: fitur utama switch dan router adalah packet forwarding, sedangkan fitur utama firewall adalah network access control
Tahun penting perkembangan firewall menurut materi: packet filtering 1989, application proxy 1990-1991, stateful inspection 1994-1995 (Check Point), konsep UTM 2004-2005, dan NGFW 2009 — produk NGFW pertama dirilis industri pada 2008, lalu fungsinya dibakukan pada 2009

Arsitektur berlapis jaringan kampus
Layer	Peran	Perangkat Khas
Access	Titik masuk end device ke jaringan	Switch akses
Aggregation	Mengumpulkan trafik akses & menerapkan kebijakan	Switch agregasi / L3 switch
Core	Meneruskan trafik antar area dengan kecepatan tinggi	Core switch
Egress	Pintu keluar ke internet/WAN dan titik proteksi	Router & firewall

Perkembangan teknologi firewall
Generasi	Teknologi	Ciri
Generasi 1 (1989)	Packet filter firewall	Access control sederhana berdasarkan alamat dan port
Generasi 2	Proxy firewall	Menjadi perantara komunikasi intranet-ekstranet di application layer
Generasi 3 (1994-1995)	Stateful inspection firewall	Mengenali sesi, hanya paket pertama dicek penuh terhadap policy
UTM (sejak 2004)	Unified Threat Management	Banyak fitur keamanan dalam satu kotak, tapi performanya menurun saat semua fitur aktif
NGFW	Next-generation firewall	Deep packet inspection, identifikasi aplikasi & user, integrasi IPS/AV

Firewall vs router vs switch
Perangkat	Layer	Fungsi Inti
Switch	Layer 2 (dan Layer 3)	Membangun LAN, forwarding cepat berbasis MAC
Router	Layer 3	Menghubungkan jaringan berbeda, forwarding berbasis IP
Firewall	Layer 3-7	Access control dan proteksi di border jaringan

2.7Login & Manajemen Perangkat#

Deskripsi

Console login: login lewat kabel console langsung ke perangkat — cara yang selalu tersedia, termasuk saat perangkat belum punya alamat IP
Telnet login: login jarak jauh lewat jaringan tanpa enkripsi; hanya layak dipakai di jaringan manajemen yang terisolasi
SSH login: login jarak jauh terenkripsi (STelnet), pilihan yang dianjurkan untuk manajemen sehari-hari
Web login: login ke antarmuka grafis firewall lewat browser

Catatan

Default firewall Huawei: interface manajemen GigabitEthernet0/0/0 (MGMT), alamat web https://192.168.0.1:8443, username admin, password Admin@123 — password wajib diganti saat login pertama
Konfigurasi yang belum disimpan akan hilang saat reboot. Perintah save menyimpannya ke configuration file, dan startup saved-configuration menentukan file mana yang dipakai saat booting berikutnya
reset saved-configuration mengosongkan konfigurasi tersimpan — kalau setelah itu tidak ada save atau penunjukan file baru, perangkat akan booting dengan parameter default

Tab fungsi pada GUI firewall Huawei
Function Tab	Isi Menu
Dashboard	Melihat cepat status perangkat dan kondisi sistem yang sedang berjalan
Monitor	Log, statistik, dan alat diagnosis gangguan perangkat
Policy	Security policy, bandwidth policy, dan kebijakan layanan lain
Object	Elemen yang dipakai ulang oleh policy: address, service, user, dan sejenisnya
Network	Interface, route, dan VPN — fondasi konektivitas perangkat
System	Administrator, jam sistem, SNMP, manajemen file konfigurasi, dan upgrade

Huawei VRP — USG

interface GigabitEthernet 0/0/1

# Masuk ke mode konfigurasi interface

ip address 10.102.0.1 255.255.255.0

# Konfigurasi IP address pada interface

display current-configuration

# Menampilkan konfigurasi yang sedang berjalan

save

# Menyimpan file konfigurasi

display saved-configuration

# Menampilkan konfigurasi tersimpan

display startup

# Menampilkan info startup software & config file

startup saved-configuration <file>

# Menetapkan file konfigurasi untuk startup berikutnya

reboot

# Merestart device

Penting

Login default firewall via interface GE0/0/0 (MGMT). Web login default: https://192.168.0.1:8443, user admin, password Admin@123.

Topik 3 dari 12

3Ancaman Keamanan Jaringan Enterprise & Pencegahan#

3.1Gambaran Ancaman pada Jaringan Enterprise#

Catatan

Ancaman eksternal: DDoS, intrusi jaringan (virus, trojan, worm), network scanning, junk/phishing mail, serangan ke web server.
Ancaman internal: struktur jaringan tidak reliable, jaringan tidak terisolasi, terminal dengan vulnerability, perilaku karyawan tidak terkontrol, pelanggaran keamanan informasi, kebocoran data, karyawan berniat jahat, kesalahan manajemen izin akses.
Enterprise membagi jaringan menjadi zona untuk pertahanan: communication network architecture (reliabilitas & VPN), border zone (anti-DDoS, firewall, IPS), computing environment (endpoint hardening, IPS/antivirus), management center (bastion host, kontrol izin admin).
Security awareness adalah dasar semua langkah pertahanan — pelatihan rutin menekan risiko yang lahir dari kelalaian manusia
Dua jalur penanganan risiko: jalur manajemen (regulasi keamanan, aturan O&M, prosedur darurat) dan jalur teknis (perangkat & fitur keamanan)

Urutan perangkat keamanan di egress
Perangkat	Posisi Deployment	Peran
Anti-DDoS	Di DEPAN firewall egress	Menahan serangan bervolume besar sebelum membebani firewall
Firewall	Egress jaringan / border zona	Isolasi zona, access control, NAT, VPN
IPS	Di belakang firewall egress	Mendeteksi & memblokir intrusi berbasis signature
Router & switch	Inti jaringan	Forwarding trafik antar segmen

3.2Kebutuhan Keamanan Jaringan Komunikasi#

Catatan

Reliabilitas arsitektur: mulai Grade 3 classified protection, wajib ada redundansi hardware (jalur komunikasi, perangkat jaringan kunci) — solusi: firewall hot standby.
Isolasi zona: firewall dideploy di egress untuk memisahkan security zone + NAT untuk menyembunyikan IP internal.
Kerahasiaan informasi: risiko man-in-the-middle attack pada transmisi data antar cabang/karyawan mobile — solusi: VPN (IPsec VPN, L2TP over IPsec, SSL VPN) untuk enkripsi data end-to-end.

3.3Ancaman di Zone Border & Pencegahannya#

Deskripsi

DDoS attack: jenisnya TCP flood (SYN/ACK/FIN flood), UDP flood, ICMP flood, HTTP flood, GRE flood. Pencegahan: source authentication (verifikasi SYN dengan mekanisme handshake khusus) & traffic limiting oleh perangkat Anti-DDoS.
Single-packet attack: berbeda dari DDoS (bukan menghabiskan resource, tapi paket cacat/khusus) — terbagi scanning attack (IP scan, port scan), malformed packet attack (Teardrop, Ping of Death, Land), special control packet attack (tracert probing).
Scanning attack: pemindaian untuk memetakan target — address scanning (mencari host hidup), port scanning (mencari layanan terbuka), dan tracert probing (memetakan jalur lewat pesan ICMP timeout)
Malformed packet attack: serangan memakai paket cacat yang membuat sistem target error — contohnya Teardrop (fragment tumpang tindih), Land (source = destination), dan Smurf (ICMP request ke alamat broadcast dengan source alamat korban)
Content filtering: penyaringan isi trafik oleh firewall untuk mengendalikan perilaku online pengguna — mencakup file content filtering dan application content filtering berbasis kata kunci

Catatan

Uncontrolled user behavior: 70% insiden keamanan disebabkan human error/kesadaran keamanan rendah — solusi teknis: content filtering firewall (URL filtering, DNS filtering, file filtering, mail filtering, application behavior control).
External network intrusion: virus, SQL injection, DDoS — solusi: intrusion prevention (IPS) berbasis signature database yang dibandingkan dengan traffic.
Kenapa anti-DDoS ditaruh di depan firewall: sebagian firewall punya fitur anti-DDoS, tapi saat trafik serangan sangat besar performanya habis terpakai sehingga sistem bisa ikut tumbang
Bentuk kontrol perilaku pengguna: URL filtering (situs yang boleh diakses), file filtering (tipe & protokol transfer file), mail filtering (pengirim, penerima, ukuran & jumlah lampiran), serta kontrol perilaku HTTP dan FTP (upload/download)
Cara firewall menangkis address scanning: administrator menetapkan threshold Rate, yaitu jumlah paket ICMP dari satu source IP menuju alamat tujuan yang berbeda-beda per detik. Di bawah threshold paket diteruskan; di atas threshold source IP-nya dimasukkan ke blacklist dan paketnya dibuang
Baik single-packet attack maupun DDoS attack sama-sama termasuk kategori DoS attack

Jenis intrusi dari jaringan luar
Jenis Intrusi	Cara Kerja
Virus	Kode berbahaya yang menempel pada aplikasi/berkas dan menyebar lewat email atau file sharing
Worm	Menggandakan diri dan menyebar sendiri lewat jaringan tanpa perlu inang
Trojan horse	Menyamar sebagai program sah untuk membuka akses bagi penyerang
SQL injection	Menyisipkan perintah SQL lewat input aplikasi web untuk membaca atau mengubah database
DDoS	Membanjiri layanan sampai pengguna sah tidak bisa mengakses

3.4Ancaman di Computing Environment#

Deskripsi

Terminal software vulnerability: contoh WannaCry (eksploitasi celah Windows), CVE sebagai standar identifikasi vulnerability.
NAC: Network Admission Control — memeriksa keamanan terminal sebelum diizinkan masuk jaringan, sehingga terminal tidak sah atau tidak aman ditolak
Penetration test: pengujian keamanan dengan meniru cara penyerang untuk menemukan celah sebelum dieksploitasi pihak lain

Catatan

Penanganan: patch tepat waktu + antivirus, NAC (Network Admission Control) untuk cek keamanan terminal sebelum akses jaringan, vulnerability scanning berkala, dan penetration testing (tahapan: determine target → collect information → detect vulnerabilities → exploit vulnerabilities → enter internal network → write report → remove traces).
Penyebaran horizontal: begitu satu terminal internal terinfeksi, virus menyebar ke terminal lain memanfaatkan hubungan saling percaya di jaringan internal — jadi proteksi border saja tidak cukup

Alur umum penetration test

Menentukan target

Menetapkan sistem/jaringan yang akan diuji beserta batasannya

Mengumpulkan informasi

Memetakan aset, layanan, dan versi software target

Mendeteksi kerentanan

Memindai celah yang mungkin bisa dieksploitasi

Mengeksploitasi kerentanan

Membuktikan celah benar-benar bisa dipakai masuk

Masuk ke jaringan internal

Menguji sejauh mana penyerang bisa bergerak dari titik masuk

Penetrasi lebih dalam & laporan

Menilai dampak maksimum, lalu menyusun rekomendasi perbaikan

3.5Kebutuhan Keamanan Management Center#

Deskripsi

UMA / bastion host: sistem manajemen O&M terpadu yang membatasi hak administrator dan merekam seluruh perilakunya, sehingga penyalahgunaan bisa dilacak

Catatan

Administrator permission control: risiko dari karyawan/admin dengan niat jahat (mis. mining ilegal, sabotase, pencurian data). Solusi teknologi: UMA bastion host untuk kontrol & audit terpusat izin O&M administrator berdasarkan minimum authorization principle, plus backup mechanism yang reliable.
Internet access permission control: solusi NAC untuk identity authentication, access control, dan terminal security check — melengkapi kontrol administratif (registrasi tamu, guest Wi-Fi terisolasi dari jaringan kantor).
Fungsi solusi NAC: autentikasi identitas pengguna yang mencoba masuk jaringan, access control sesuai hak masing-masing, dan pemeriksaan keamanan terminal
Sisi manajemen sama pentingnya: publikasi kasus keamanan internal untuk meningkatkan kesadaran, aturan tamu wajib registrasi & menunjukkan identitas, serta pengawasan fisik atas keluar-masuk orang

Topik 4 dari 12

4Firewall Security Policies#

4.1Security Zone#

Deskripsi

Security Zone: fitur dasar yang membedakan firewall dari router — berisi satu atau lebih interface, dan semua device dalam satu zone dianggap saling "trustworthy" (tanpa security check); pemeriksaan keamanan hanya terjadi saat traffic melintasi antar security zone
Priority zone: angka 1-100 yang menandai tingkat kepercayaan sebuah zone; makin besar makin dipercaya, dan tiap zone punya nilai yang unik
Interzone: pasangan dua security zone yang membentuk satu jalur lalu lintas; tiap pasangan punya kebijakan interzone-nya sendiri
Arah inbound: trafik yang bergerak dari zone berprioritas rendah menuju zone berprioritas tinggi (mis. Untrust → Trust)
Arah outbound: trafik yang bergerak dari zone berprioritas tinggi menuju zone berprioritas rendah (mis. Trust → Untrust)

Catatan

4 zona default pada firewall Huawei: Local (device firewall itu sendiri), Trust (jaringan internal, tepercaya tinggi), DMZ (server internal, tepercaya sedang), Untrust (jaringan luar/Internet, tidak tepercaya).
Local zone bersifat khusus: tidak bisa ditambahkan interface secara eksplisit, tapi semua interface service firewall otomatis termasuk di dalamnya (dipakai untuk trafik yang dikirim/diterima langsung oleh firewall, mis. Telnet, web login, SNMP).
Security check hanya terpicu saat paket berpindah antar security zone — trafik di dalam satu zone dianggap tidak berisiko dan tidak dicek policy

Prioritas Trust Level Security Zone Default
Security Zone	Priority	Deskripsi
Local	100	Zona device itu sendiri
Trust	85	Zona pengguna internal
DMZ	50	Zona server internal
Untrust	5	Zona jaringan tidak aman (mis. Internet)

4.2Security Policy#

Deskripsi

Security Policy: aturan yang terdiri dari matching condition (5-tuple, user, time range, dst.) dan action (permit/deny) untuk mengizinkan/memblokir traffic firewall

Catatan

Default firewall: deny all traffic kecuali diizinkan eksplisit.
Traffic antar security zone berbeda selalu dikontrol default security policy; traffic dalam zona yang sama secara default TIDAK dikontrol (permit) kecuali diaktifkan.
Best practice: identifikasi aset & risiko → bagi jaringan ke security zone → tentukan whitelist/blacklist/graylist aplikasi → urutkan policy dari paling spesifik ke paling umum.
Proses pencocokan policy: paket dicocokkan ke rule dari atas ke bawah; begitu seluruh matching condition sebuah rule terpenuhi, aksinya langsung dijalankan dan rule berikutnya tidak diperiksa lagi
Bila tidak ada rule yang cocok, paket jatuh ke default policy yang aksinya deny — karena itu urutan rule menentukan hasil, dan rule spesifik harus diletakkan di atas rule umum
Alur perencanaan sebelum menulis policy: tentukan pembagian zone dan interface mana masuk zone mana, kelompokkan karyawan berdasarkan alamat sumber atau user, baru tentukan aksi permit/deny per kelompok
Detail aksi security policy: bila aksinya permit dan tidak ada content security detection, trafik langsung diloloskan; bila aksinya permit tetapi ada content security profile (IPS, antivirus, dsb.), keputusan akhir ditentukan hasil pemeriksaan konten itu; bila aksinya deny, trafik langsung dibuang

Huawei VRP — USG

security-policy

# Masuk ke mode konfigurasi security policy

rule name policy1

# Membuat rule security policy baru

source-zone trust

# Menetapkan source security zone

destination-zone untrust

# Menetapkan destination security zone

source-address 172.16.1.0 24

# Menetapkan source address/segment

action permit

# Menetapkan aksi permit (atau deny)

4.3Stateful Inspection & Session Mechanism#

Deskripsi

Stateful inspection: firewall memperlakukan semua paket dalam satu koneksi sebagai satu data flow (session) — hanya paket pertama yang dicek penuh terhadap security policy, paket berikutnya cukup dicocokkan dengan session table (meningkatkan efisiensi).
Persistent connection: untuk service tertentu (mis. transfer file besar, query database) di mana interval antar paket lama, digunakan aging time yang lebih panjang agar session tidak terputus prematur.

Catatan

Session table berisi 5-tuple (protocol, source IP, source port, destination IP, destination port) yang unik mengidentifikasi satu koneksi, plus aging time (waktu sebelum entry dihapus jika tidak ada traffic yang cocok).
Session table adalah dasar forwarding firewall: entri berisi 5-tuple, zone asal & tujuan, TTL/sisa waktu hidup, interface, next hop, dan MAC — bisa dilihat dengan display firewall session table verbose
Aging time menghapus session yang tidak dilewati paket dalam jangka waktu tertentu, supaya resource firewall tidak habis oleh entri usang
Kalau stateful inspection dimatikan, firewall memperlakukan paket balasan (mis. ICMP Reply) sebagai paket pertama dan membuat session baru untuknya — perilaku yang berbeda dari mode stateful
Kapan stateful inspection dimatikan: pada jaringan dengan jalur pergi dan jalur balik berbeda (asymmetric routing), firewall bisa jadi hanya menerima paket lanjutan tanpa pernah melihat paket pertama. Dengan stateful inspection dimatikan, session tetap bisa dibuat dari paket lanjutan sehingga layanan tetap berjalan

Huawei VRP — USG

display firewall session table

# Menampilkan session table aktif

display firewall session table verbose

# Menampilkan detail session (zone, TTL, interface, next-hop, dst.)

4.4ASPF (Application Specific Packet Filter)#

Deskripsi

ASPF (Application Specific Packet Filter): mendeteksi informasi address/port pada application-layer paket negosiasi, lalu otomatis membuat server mapping table (bersifat sementara/dinamis) sehingga paket data channel berikutnya diizinkan tanpa perlu security policy eksplisit tambahan
Server Mapping Table: entri prediksi koneksi masuk yang dibuat ASPF berdasarkan analisis koneksi yang sudah ada — berbeda dari session table yang merepresentasikan status koneksi aktual

Catatan

Latar belakang: protokol multi-channel (mis. FTP passive mode) menegosiasikan port data secara dinamis di dalam control channel — firewall packet-filtering tradisional tidak bisa mengetahui port ini di awal, sehingga sulit membuat security policy presisi tanpa membuka semua port (berisiko).
Latar belakang ASPF: protokol single-channel seperti HTTP hanya memakai satu port (80), sedangkan protokol multi-channel seperti FTP memakai port kontrol tetap plus port data acak yang dinegosiasikan di dalam kanal kontrol
Beda server-map dan session table: server-map menyimpan informasi kunci di application layer untuk koneksi yang DIPREDIKSI akan datang, dan paket yang cocok dengannya tidak diperiksa security policy; session table merekam status koneksi yang SEDANG berjalan

Huawei VRP — USG

firewall interzone trust dmz

# Masuk ke konfigurasi interzone tertentu

detect ftp

# Mengaktifkan ASPF untuk protokol FTP pada interzone tsb.

display firewall server-map

# Menampilkan server mapping table hasil ASPF

Penting

Dalam FTP active mode, jika tidak ada security policy dari server ke client (arah balik data connection), paket data tidak akan sampai ke client meskipun control connection berhasil — inilah alasan ASPF diperlukan agar server mapping entry otomatis dibuat.

Urutan pemeriksaan paket yang masuk firewall

Cek session table

Kalau paket cocok dengan session yang sudah ada, langsung di-forward

Cek server-map table

Kalau tidak cocok session, dicek apakah cocok dengan entri server-map hasil ASPF

Security policy

Paket yang cocok server-map TIDAK diperiksa security policy; yang tidak cocok baru masuk proses pencocokan security policy

Buat session lalu forward

Setelah lolos, firewall membuat session table untuk paket tersebut dan meneruskannya

4.5Skenario Aplikasi Firewall#

Catatan

Campus egress security: firewall sebagai security gateway di egress kampus — proteksi border network (IP-based policy, network access control) + intranet security (user-based access control & behavior tracing).
Cloud computing network: firewall mengisolasi layanan antar user eksternal yang mengakses VM berbeda, memungkinkan akses VM/portal via alamat publik, serta meningkatkan reliabilitas layanan (tidak terganggu oleh kegagalan satu device).
Firewall bukan sekadar penghalang di pintu masuk, tapi titik access control bagi banyak jaringan sekaligus — seluruh arus data masuk dan keluar intranet melewatinya

Topik 5 dari 12

5Firewall NAT Technologies#

5.1Latar Belakang & Klasifikasi NAT#

Deskripsi

NAT (Network Address Translation): teknik reuse alamat private (Class A/B/C) karena keterbatasan alamat IPv4 publik
Public IP address: alamat yang dikelola otoritas penomoran internet dan unik secara global — hanya alamat inilah yang bisa dirutekan di internet
Private IP address: alamat dari rentang yang boleh dipakai ulang siapa saja di jaringan internal, dan tidak dirutekan di internet
NAT policy: cara firewall menjalankan NAT — terdiri dari alamat hasil translasi (address pool atau alamat interface keluar), matching condition, dan action

Catatan

3 kategori NAT: Source NAT (user internal akses Internet pakai IP private), Destination NAT (user eksternal akses server internal pakai IP publik), Bidirectional NAT (kombinasi keduanya dalam satu flow).
Kelebihan NAT: hemat alamat IP publik, proteksi privasi & keamanan jaringan internal (topologi tersembunyi), load balancing multi-server. Kekurangan: header IP terenkripsi tidak bisa ditranslasi (masalah untuk protokol yang mengenkripsi header), menyulitkan network monitoring/tracing.
Kekurangan NAT selain beban perangkat: paket yang alamat/port-nya harus diterjemahkan tidak boleh dienkripsi (mis. perintah PORT pada FTP), dan pelacakan serangan jadi lebih sulit karena alamat asli tersembunyi di balik alamat hasil translasi
Rentang alamat privat yang dicadangkan: Class A 10.0.0.0-10.255.255.255, Class B 172.16.0.0-172.31.255.255, dan Class C 192.168.0.0-192.168.255.255
Urutan pencocokan NAT policy: dicocokkan dari atas ke bawah dan berhenti pada rule pertama yang cocok. Bidirectional NAT policy dan destination NAT policy selalu ditempatkan sebelum source NAT policy — urutannya boleh diatur, tapi source NAT policy tidak boleh dipindah ke atas keduanya

5.2Source NAT#

Deskripsi

NAT No-PAT: translasi 1:1 alamat private↔︎public tanpa translasi port — cocok saat jumlah IP publik ≈ jumlah user concurrent (utilisasi rendah).
NAPT (Network Address and Port Translation): translasi alamat DAN port sehingga banyak user private bisa berbagi sedikit IP publik (1:N) — paling umum dipakai karena efisien.
Easy IP: mirip NAPT tapi memakai alamat publik interface WAN langsung (bukan address pool) — cocok untuk skenario tanpa IP publik tetap, mis. PPPoE dial-up.
Triplet NAT: translasi address+port dan memungkinkan user Internet proaktif mengakses user internal (untuk file sharing, voice/video call peer-to-peer).

Catatan

Karena NAT No-PAT tidak menerjemahkan port, seluruh nomor port alamat privat tetap utuh sehingga pengguna internet bisa membuka koneksi ke port mana pun milik pengguna internal. Karena itu NAT No-PAT membuat entri server-map untuk menyimpan pemetaan alamat privat-publik; dan bila alamat di pool habis, host lain tidak bisa keluar sampai ada alamat yang dilepas

Perbandingan NAT No-PAT vs NAPT
Mode	Fungsi	Skenario	Utilisasi IP Publik
NAT No-PAT	Translasi alamat saja	Sedikit user, jumlah IP publik ≈ user concurrent	1:1
NAPT	Translasi alamat + port	Sedikit IP publik, banyak user internal	1:N

5.3Destination NAT & NAT Server#

Deskripsi

NAT Server: teknologi static destination NAT yang memetakan IP publik ke IP privat server internal secara permanen, sehingga baik user internal maupun eksternal bisa mengakses server (via IP privat atau publik).
Bidirectional NAT: mentranslasi source & destination address sekaligus dalam satu flow, menyederhanakan konfigurasi (tidak perlu setting gateway khusus di server internal) — dipakai saat user Internet ATAU user internal sama-sama mengakses server internal via IP publik.
Static destination NAT: pemetaan tetap satu alamat publik ke satu alamat server internal, dipakai untuk layanan yang harus selalu bisa diakses di alamat yang sama
Dynamic destination NAT: alamat tujuan diterjemahkan ke alamat yang dipilih acak dari destination address pool, sehingga pemetaannya tidak tetap

Catatan

Destination NAT mentranslasi alamat & port tujuan agar user Internet bisa mengakses server internal via IP publik — terbagi Static (mapping tetap) dan Dynamic (mapping tidak tetap, mis. mobile device).
Alur destination NAT: firewall menerima paket ke alamat publik server → cocok dengan destination NAT policy → alamat tujuan diterjemahkan ke alamat privat server → dicek route dan security policy → session dibuat → paket diteruskan ke server
NAT Server membuat entri server-map berisi pemetaan alamat publik ke privat, karena alamat & port pengguna internet tidak bisa diketahui sebelumnya — arah sebaliknya (server membalas) alamat sumbernya diterjemahkan kembali ke alamat publik

5.4NAT ALG#

Catatan

NAT umum hanya bisa mentranslasi address/port di header IP/TCP/UDP, TIDAK bisa mentranslasi address/port yang tertanam di payload aplikasi (mis. perintah PORT pada FTP).
NAT ALG (Application Level Gateway) mem-parsing payload protokol multi-channel (FTP, H.323, SIP, dsb.) dan mentranslasi address/port di dalamnya agar komunikasi tetap berjalan setelah NAT.
ASPF vs NAT ALG: ASPF menerapkan packet filtering rule pada protokol aplikasi; NAT ALG menerapkan NAT rule pada payload aplikasi — keduanya biasa diaktifkan bersamaan lewat satu command (mis. detect ftp).

5.5Alur Pemrosesan NAT pada Firewall#

Catatan

Urutan pemrosesan paket: 1) cek NAT Server mapping → 2) cek destination NAT policy → 3) cari matching route → 4) cek security policy → 5) cek source NAT policy → 6) forward paket sesuai route. Bidirectional NAT & destination NAT policy diprioritaskan di atas source NAT policy dalam urutan matching.
Urutan konfigurasi yang aman: pasang alamat interface dan masukkan ke security zone → buat security policy → baru buat NAT policy. Tanpa security policy yang mengizinkan, NAT yang benar pun tetap tidak melewatkan trafik
Aturan blackhole route: wajib bila alamat publik NAT Server berbeda segmen dengan alamat interface WAN, dianjurkan bila satu segmen, dan tidak diperlukan bila memakai alamat interface WAN itu sendiri (tidak akan terjadi routing loop)

Huawei VRP — USG

firewall zone trust

# Masuk ke konfigurasi security zone Trust

add interface GigabitEthernet 0/0/1

# Menambahkan interface LAN ke zone Trust

quit

# Keluar dari view zone-trust, kembali ke system-view

firewall zone untrust

# Masuk ke konfigurasi security zone Untrust

add interface GigabitEthernet 0/0/2

# Menambahkan interface WAN ke zone Untrust

quit

# Keluar dari view zone-untrust, kembali ke system-view

nat address-group group1

# Membuat address pool untuk NAT

mode pat

# Mengaktifkan translasi port supaya satu alamat publik bisa dipakai banyak user

section 0 1.1.1.10 1.1.1.15

# Menetapkan rentang alamat publik di dalam pool

route enable

# Membuat route ke alamat pool secara otomatis supaya trafik balasan kembali dengan benar

quit

# Keluar dari view address-group-group1, kembali ke system-view

nat-policy

# Masuk ke mode konfigurasi NAT policy

rule name policy1

# Membuat rule NAT baru

action source-nat address-group group1

# Menerapkan source NAT memakai address pool tadi

destination-nat address-group group1

# Membuat address pool untuk destination NAT

action destination-nat static address-to-address address-group group1

# Menerapkan static destination NAT

nat server policy_ftp protocol tcp global 1.1.1.10 ftp inside 10.2.0.8 ftp unr-route

# Memetakan alamat publik ke server FTP internal

quit

# Keluar dari view policy-nat-rule-policy1, kembali ke view di atasnya

quit

# Keluar dari view policy-nat, kembali ke system-view

firewall interzone trust untrust

# Masuk ke interzone untuk mengaktifkan ALG

detect ftp

# Mengaktifkan NAT ALG sekaligus ASPF untuk FTP

display firewall server-map

# Memastikan entri server-map terbentuk

Penting

Jika IP publik NAT Server berbeda segmen dengan IP interface WAN, wajib konfigurasi blackhole route; jika satu segmen, blackhole route direkomendasikan (mencegah routing loop).

Topik 6 dari 12

6Firewall Hot Standby Technologies#

6.1Latar Belakang & VRRP#

Deskripsi

VRRP (Virtual Router Redundancy Protocol): protokol fault-tolerance yang membuat backup router otomatis menggantikan master router yang gagal — router dalam VRRP group berperan Master atau Backup, memakai virtual IP sebagai gateway address.
VRRP group: gabungan beberapa perangkat menjadi satu router virtual yang menyediakan satu virtual IP address sebagai gateway jaringan internal
Virtual IP address: alamat gateway yang dipakai host di jaringan internal — dilayani perangkat master, dan berpindah ke backup saat master gagal
Virtual MAC address: alamat MAC milik router virtual; saat terjadi peralihan, master baru mengirim gratuitous ARP supaya switch memetakan virtual MAC ke port barunya

Catatan

Deploy 1 firewall saja di border jaringan berisiko single point of failure. Solusi: 2 firewall hot standby (satu forwarding traffic/master, satu backup).
Election rule VRRP: priority lebih tinggi menjadi master. Rentang yang bisa dikonfigurasi 1–254 (default 100); nilai 0 dan 255 dicadangkan — 0 dipakai master yang sedang melepas perannya, 255 untuk perangkat yang benar-benar memiliki alamat IP virtual tsb; jika sama, IP interface lebih besar yang menang. Saat master gagal, backup mendeteksi timeout Hello packet lalu mengambil alih & mengirim gratuitous ARP agar switch update MAC table.
Kelemahan VRRP murni pada firewall: TIDAK menjamin konsistensi status antar banyak VRRP group pada satu firewall — bisa menyebabkan forward path & return path melewati firewall berbeda, sehingga stateful inspection gagal (packet loss) karena session hanya ada di satu firewall.
Peran dalam VRRP: master yang benar-benar meneruskan paket, dan backup yang memantau master lewat VRRP advertisement. Bila advertisement tidak diterima dalam beberapa interval, backup otomatis menjadi master baru
Ambang deteksi kegagalan master: perangkat backup mengambil alih bila tidak menerima paket VRRP dari master selama tiga kali interval pengiriman. Karena paket VRRP dikirim secara multicast, semua perangkat dalam satu VRRP group harus terhubung lewat perangkat Layer 2

6.2VGMP (VRRP Group Management Protocol)#

Deskripsi

Preemption: saat firewall master pulih setelah gagal, ia bisa merebut kembali status active (default enabled, delay 60 detik).
Status consistency management: peran VGMP mengendalikan perpindahan status seluruh VRRP group secara terpadu — setelah masuk VGMP group, sebuah VRRP group tidak boleh lagi berpindah status sendiri-sendiri
Preemption management: pengaturan saat perangkat yang tadinya bermasalah pulih: prioritas VGMP-nya dikembalikan, lalu setelah jeda (default 60 detik) ia mengirim VGMP request untuk merebut kembali peran active

Catatan

VGMP mengelola SEMUA VRRP group pada satu firewall secara terpadu agar statusnya konsisten (semua VRRP group menjadi master bersamaan, atau semua menjadi backup bersamaan).
Status VGMP group: load-balance (priority sama), active (priority lebih tinggi), standby (priority lebih rendah).
Paket VGMP: VGMP Hello (negosiasi status active/standby), HRP Hello (deteksi apakah peer masih hidup), HRP data (sinkronisasi konfigurasi & status) — dikirim tiap 1 detik secara default via heartbeat interface.
Kenapa status harus seragam: firewall bersifat stateful, jadi paket pergi dan paket balasan harus lewat perangkat yang sama. Kalau satu VRRP group master di firewall A sementara group lain master di firewall B, paket balasan tidak cocok dengan session mana pun dan langsung dibuang
Cara VGMP menurunkan status: bila satu interface service bermasalah, prioritas VGMP group turun. Firewall pasangannya membandingkan prioritas lewat VGMP request, lalu seluruh VRRP group berpindah bersamaan mengikuti hasil perbandingan itu
Status VGMP lengkapnya ada empat: Initialize (status awal saat hot standby belum diaktifkan), load-balance (prioritas sama dengan peer), active (prioritas lebih tinggi), dan standby (prioritas lebih rendah). Bila perangkat tidak menerima paket VGMP dari peer sama sekali, ia mempertahankan status active
Prioritas VGMP group default kedua firewall sama, yaitu 45000 (nilainya bisa berbeda menurut model dan versi). Karena prioritasnya seri, penentuan active/standby awal mengikuti konfigurasi VRRP. Begitu VGMP aktif, prioritas VRRP group menjadi tidak berlaku dan pemilihan master mengikuti prioritas VGMP
Pilar ketiga pengelolaan VGMP adalah channel management: VGMP menentukan interface mana saja yang tersedia di antara dua firewall, lalu modul VGMP dan HRP otomatis memilih interface yang siap untuk mengirim paket VGMP dan HRP
Gangguan yang memicu penurunan prioritas dan switchover VGMP: interface yang dipantau VGMP bermasalah, link yang dipantau bermasalah, LPU bermasalah, service board bermasalah, atau SFU bermasalah — besarnya penurunan prioritas berbeda-beda tergantung jenis gangguannya

6.3HRP (Huawei Redundancy Protocol)#

Deskripsi

HRP (Huawei Redundancy Protocol): melakukan backup dinamis status data & konfigurasi kunci antara firewall active dan standby, via heartbeat link (interface fisik GE atau logical Eth-Trunk)
Arah backup HRP: perintah konfigurasi yang di-backup hanya boleh dijalankan di perangkat active, lalu otomatis disalin ke perangkat standby — mengonfigurasi objek yang sama di standby justru menimbulkan konflik

Catatan

Yang di-backup: konfigurasi (security policy, NAT policy, authentication policy, objects, network settings) dan status (session table, server-map table, blacklist/whitelist, MAC address table, IPsec SA, dsb.).
Mode backup: Automatic (real-time, default), Manual batch (dipicu admin), Auto-sync setelah restart, Quick session backup (khusus load-balancing).
5 status heartbeat interface: Invalid (misconfig), Down (fisik/protokol down), Peerdown (tidak ada respons dari peer), Ready (siap kirim/terima), Running (interface aktif membawa heartbeat traffic).
Heartbeat link memikul tiga hal sekaligus: HRP Hello untuk mengecek pasangan masih hidup (default tiap 1 detik), negosiasi status VGMP, dan sinkronisasi konfigurasi serta status
Alur status heartbeat interface: Invalid (salah konfigurasi, mis. interface Layer 2 atau belum punya IP) → Down (fisik/protokol mati) → Peer down (pasangan tidak merespons) → Ready (siap kirim-terima) → Running (aktif membawa trafik heartbeat)
Quick session backup dipakai pada skenario load balancing, ketika kecepatan sinkronisasi lebih penting daripada kelengkapan informasi session
Paket yang lewat heartbeat link sebenarnya ada lima jenis: HRP Hello (cek pasangan masih hidup, default tiap 1 detik), VGMP Hello (negosiasi status active/standby), HRP data (sinkronisasi konfigurasi & status), heartbeat link detection (menguji apakah interface heartbeat lawan bisa menerima paket), dan configuration consistency check (memastikan konfigurasi kunci seperti security policy & NAT sama di kedua sisi). Seluruh paket ini tidak dikontrol security policy firewall
Isi backup HRP secara rinci — Policies: security policy, NAT policy, authentication policy, attack defense, ASPF. Objects: address, region, service, application, user, authentication server, time range, address pool, URL category, keyword group, mail address group, signature, security profile. Networks: logical interface, security zone, DNS, static route (perlu perintah hrp auto-sync config static-route), IPsec, SSL VPN. System: administrator, virtual system, konfigurasi log
Volume data backup biasanya 20-30% dari trafik layanan — angka ini yang dipakai untuk menentukan berapa banyak anggota Eth-Trunk yang perlu disiapkan sebagai heartbeat interface

6.4Skenario Active/Standby & Proses Switchover#

Deskripsi

Switchover: proses firewall backup mengambil alih peran active/master ketika firewall master mengalami gangguan

Catatan

Konfigurasi umum: Firewall A = master (VGMP active), Firewall B = backup (VGMP standby); VRRP group 1 di sisi downstream, VRRP group 2 di sisi upstream; heartbeat link menghubungkan kedua firewall.
Switchover terjadi jika: interface/line service gagal (priority VGMP turun → negosiasi ulang), device gagal total (backup tidak terima HRP Hello dalam 5x interval → otomatis jadi active), atau heartbeat link putus (berisiko dual-active jika kedua firewall sama-sama merasa jadi master).
Fault interface service: prioritas VGMP firewall A turun → A mengirim VGMP request → B membandingkan prioritas → B menjadi active dan seluruh VRRP group-nya menjadi master
Fault perangkat: firewall A mati total sehingga berhenti mengirim HRP Hello → B tidak menerima Hello dalam lima kali interval → B mengambil alih peran active
Fault heartbeat link: B juga berhenti menerima HRP Hello dan menjadi active, padahal A masih hidup — kondisi dua master inilah alasan jalur heartbeat sebaiknya dibuat redundan
Switchback: setelah A pulih, prioritas VGMP-nya kembali normal, lalu setelah 60 detik A mengirim VGMP request; bila prioritasnya lebih tinggi, B menyerahkan kembali peran active ke A

Huawei VRP — USG

interface 10ge0/0/1

# Masuk ke konfigurasi interface upstream

vrrp vrid 1 virtual-ip 1.1.1.1 active

# Membuat VRRP group dgn status active (di Firewall A)

vrrp vrid 1 virtual-ip 1.1.1.1 standby

# Membuat VRRP group dgn status standby (di Firewall B)

hrp interface 10ge0/0/7 remote 10.10.0.2

# Menetapkan heartbeat interface & remote IP peer

hrp authentication-key Admin@123

# Konfigurasi authentication key untuk heartbeat

hrp enable

# Mengaktifkan fungsi hot standby (HRP)

Penting

Firewall stateful (bukan router biasa) mensyaratkan forward & return path packet melewati firewall yang SAMA — inilah alasan mengapa status semua VRRP group pada satu firewall harus konsisten (dikelola oleh VGMP), bukan diatur per-VRRP-group secara independen.

Topik 7 dari 12

7Firewall IPS & Antivirus#

7.1Gambaran Intrusi (Intrusion)#

Deskripsi

Intrusion: upaya mengakses sumber daya sistem informasi atau mengubah datanya tanpa otorisasi, sehingga sistem menjadi tidak andal atau tidak tersedia
Vulnerability threat: hacker atau karyawan bermaksud jahat memanfaatkan celah sistem/software untuk masuk ke server, sehingga data layanan penting ikut terancam
Malicious code: kode berbahaya seperti virus, trojan horse, dan spyware yang menular lewat email atau berbagi berkas, lalu mengancam host dan jaringan pengguna

Catatan

Jenis intrusi umum: eksploitasi vulnerability sistem/software, DDoS attack, virus & malicious software.
Tujuan intrusi: mengganggu confidentiality, integrity, availability, dan controllability sistem informasi.
Malware mencakup virus, worm, bot, rootkit, trojan horse, backdoor, exploit tools, mobile malware; greyware mencakup spyware & adware.
Sasaran intrusi adalah merusak integrity, confidentiality, availability, dan controllability informasi — empat hal yang justru jadi tujuan keamanan informasi
Perilaku intrusi yang khas menurut materi: mengubah halaman web, membobol password sistem, menyalin & membaca data sensitif, mengambil password pengguna dengan network sniffer, mengakses server tanpa izin, menangkap paket mentah lewat hardware khusus, dan menanam trojan horse pada host
Media penyebaran virus komputer yang umum: media portabel, network sharing, network scanning, email, dan jaringan P2P. Pembawanya biasanya berkas executable, script, macro, dan boot sector

Perbandingan Virus, Worm, dan Trojan Horse
Aspek	Virus	Worm	Trojan Horse
Keberadaan	Parasit pada file/boot sector	Entitas independen	Tertanam di file/aplikasi
Replikasi	Self-replicating	Self-replicating	Tidak self-replicating
Infeksi	Menjalankan host program	Eksploitasi vulnerability jaringan/sistem	Berbasis aplikasi/carrier
Target	Komputer lokal	Komputer lain di jaringan	Komputer yg download app/file terinfeksi
Trigger	Kondisi tertentu	Program	User komputer
Sasaran yang dirusak	File system & hardware	Performa jaringan dan sistem	Pencurian informasi & denial of service
Cara pencegahan	Membersihkan virus dari program inangnya	Memasang patch untuk hardening sistem	Mencegah trojan tertanam sejak awal

7.2Intrusion Prevention System (IPS)#

Deskripsi

Intrusion prevention: mekanisme keamanan yang mendeteksi intrusi (buffer overflow, trojan, worm) via analisis traffic jaringan, dan menghentikan intrusi secara real-time.
Signature: deskripsi ciri sebuah serangan; firewall mendeteksinya dengan membandingkan aliran data terhadap signature. Ada dua jenis: predefined (bawaan sistem, tidak bisa diubah, punya default action Allow/Alert/Block) dan user-defined (dibuat admin untuk serangan baru yang belum ada di signature database)
Signature filter: kumpulan kondisi penyaring (kategori/signature type, objek, protokol, tingkat keparahan, sistem operasi) untuk menerapkan aksi secara massal pada semua signature yang cocok
Exception signature: signature yang dikecualikan dari aksi signature filter-nya — dipakai misalnya saat software internal yang sah ikut terblokir, lalu signature-nya diberi aksi Allow. Prioritasnya lebih tinggi daripada signature filter
IDS: Intrusion Detection System — mendeteksi perilaku intrusi secara real time lewat pemantauan operasi, audit data, dan analisis gejala, lalu memberi peringatan
IPS: Intrusion Prevention System — selangkah lebih jauh dari IDS: setelah mendeteksi intrusi, paketnya langsung dibuang atau sumber serangannya diblokir secara real time
Predefined signature: signature bawaan dari signature database milik vendor, diperbarui berkala
User-defined signature: signature buatan sendiri untuk ancaman khusus — kalau salah tulis bisa menyebabkan konfigurasi tidak berlaku, paket hilang, atau layanan terputus

Catatan

Keunggulan IPS: real-time blocking, in-depth protection (analisis konten application-layer), all-round protection (worm, virus, trojan, botnet, spyware, CGI attack, XSS, injection, dsb.), proteksi internal & eksternal, precise protection (update signature database berkala dari cloud).
Mekanisme kerja: application data reassembly → protocol identification & analysis → feature matching (dibandingkan dgn signature) → action (sesuai konfigurasi admin).
Logika kondisi signature filter: antar kondisi berlaku AND, tetapi beberapa nilai di dalam satu kondisi berlaku OR — signature harus memenuhi semua kondisi baru masuk filter
Prioritas pemrosesan: exception signature menang atas signature filter; bila satu aliran cocok dengan beberapa filter, filter dengan prioritas tertinggi yang dipakai; dan bila ada aksi Block dan Alert bersamaan, Block yang menang
Signature database dikunci lisensi: tanpa item lisensi aktif, database bawaan tidak dimuat otomatis dan tidak bisa diperbarui manual; saat lisensi kedaluwarsa, pembaruan berhenti
Aksi signature filter ada tiga: Block (paket dibuang, log dicatat), Alert (paket diloloskan, log dicatat), dan Default (memakai default action milik signature). Aksi signature filter berprioritas lebih tinggi daripada default action signature
Aksi exception signature ada empat: Block, Alert, Allow (diloloskan tanpa log), dan Blacklist (paket dibuang, seluruh aliran datanya diblokir, log dibuat, dan alamat IP sumber atau tujuannya dimasukkan ke blacklist)
Isi threat log yang perlu dibaca: Profile (profil yang cocok), Threat Name, Occurrences (jumlah log yang digabung), Target Type (Server/Client/Both), Severity (High, Medium, Low, Information), Operating System (all, android, ios, unix-like, windows, other), dan Intrusion Subtype

Penting

Jika data flow cocok banyak signature: bila semua actionnya Alert → hasil Alert; bila ada satu saja Block → hasil akhir Block. Bila cocok banyak signature filter, dipakai filter dengan prioritas tertinggi (dikonfigurasi paling awal).

Huawei VRP — USG

Object > Security Profiles > Intrusion Prevention > Add

# Membuat profile intrusion prevention (via web UI)

Log > Threat Log

# Melihat log ancaman/intrusi yang terdeteksi

Mekanisme kerja intrusion prevention

Application data reassembly

Menyusun ulang fragment IP dan aliran TCP supaya serangan yang sengaja dipecah tetap terbaca

Protocol identification & parsing

Mengenali protokol aplikasi dan membongkar isinya

Signature matching

Membandingkan isi aliran data dengan signature intrusion prevention

Response

Menjalankan aksi sesuai profil: alert, block paket, atau blokir sumber serangan

Konfigurasi intrusion prevention lewat GUI

System > License

Memastikan item lisensi intrusion prevention aktif

Object > Security Profiles > Intrusion Prevention > Add

Membuat intrusion prevention profile

Tambahkan signature filter di dalam profile

Menentukan cakupan signature beserta aksinya

Policy > Security Policy

Menempelkan profile ke security policy antar zone (mis. trust ke untrust)

7.3Antivirus#

Deskripsi

Antivirus: mekanisme keamanan yang mengidentifikasi & memproses file terinfeksi virus untuk menjaga keamanan jaringan.
Computer virus: kumpulan instruksi atau kode yang bisa menggandakan diri, disisipkan ke program komputer, dan merusak fungsi atau data komputer
ASE: Adaptive Security Engine — mesin yang memeriksa trafik untuk mendeteksi virus sebelum firewall memutuskan tindakan
Virus exception: daftar virus tertentu yang dikecualikan dari aksi normal — dipakai saat sebuah signature menghasilkan false positive
Application exception: pengecualian berdasarkan aplikasi, sehingga aplikasi tertentu diproses dengan aksi berbeda dari aturan umum profil antivirus

Catatan

ASE (Adaptive Security Engine) mendeteksi virus dengan 4 langkah: 1) analisis mendalam traffic (identifikasi protokol & arah transfer file) → 2) cek apakah protokol tsb perlu virus detection (FTP, HTTP, POP3, SMTP, IMAP, NFS, SMB) → 3) cek whitelist → 4) deteksi virus (cocokkan fitur file dengan antivirus signature database).
Antivirus processing: cek virus exception → cek application exception → terapkan action sesuai protocol & transfer direction pada antivirus profile.
Ciri virus komputer: menular, menyembunyikan diri, laten (menunggu pemicu), merusak, dan bisa dipicu kondisi tertentu
Alur deteksi ASE: analisis mendalam terhadap trafik untuk mengenali protokol dan arah transfer file → cek apakah file masuk whitelist → bandingkan ciri file dengan antivirus signature database → bila cocok, file dianggap terinfeksi dan diproses sesuai antivirus profile
Urutan pemrosesan antivirus: cek protokol didukung atau tidak → cek virus exception → cek application exception → baru jalankan aksi dari antivirus profile
Mode quick scan hanya memeriksa file PE secara default, jadi lebih ringan tapi cakupannya lebih sempit dibanding full scan
Perhatikan: dari tujuh protokol yang didukung, hanya NFS yang aksinya terbatas pada Alert. HTTP, FTP, dan SMB mendukung Alert & Block, sedangkan tiga protokol email (SMTP, POP3, IMAP) memakai Alert, Declare, dan Delete Attachment — Block bukan opsi untuk protokol email
Aturan aksi vs application exception: kalau hanya aksi untuk protokol yang diatur, aksi itu berlaku bagi semua aplikasi yang memakai protokol tersebut. Kalau aksi protokol dan aksi aplikasi sama-sama diatur, aksi aplikasi yang menang
Whitelist antivirus berisi rule untuk domain, URL, alamat IP, dan segmen IP yang dipercaya. Whitelist hanya berlaku pada antivirus profile tempat ia dibuat — tiap profile punya whitelist-nya sendiri

Action Antivirus per Protokol
Protokol	Arah Transfer	Opsi Action
HTTP	Upload / Download	Alert, Block
FTP	Upload / Download	Alert, Block
NFS	Upload / Download	Alert saja (tidak mendukung Block)
SMB	Upload / Download	Alert, Block
SMTP	Upload	Alert, Declare, Delete Attachment
POP3	Download	Alert, Declare, Delete Attachment
IMAP	Upload / Download	Alert, Declare, Delete Attachment

Penting

Fitur antivirus dan intrusion prevention memerlukan license aktif agar signature database bisa dimuat/diupdate. Tanpa license, fungsi tetap tersedia namun database tidak up-to-date sehingga kapabilitas deteksi terbatas.

Arti tiap aksi antivirus
Aksi	Perilaku Firewall
Alert	File terinfeksi tetap diteruskan, tapi log virus dicatat
Block	File terinfeksi diblokir dan log virus dicatat
Declare	Khusus email: pesan tetap dikirim, tapi ditambahi keterangan bahwa ada virus
Delete attachment	Khusus email: lampiran yang terinfeksi dihapus, badan email tetap dikirim

Topik 8 dari 12

8Firewall User Management (AAA)#

8.1Prinsip AAA#

Deskripsi

AAA: singkatan dari Authentication (menentukan siapa yang boleh akses jaringan), Authorization (mengizinkan penggunaan layanan tertentu), dan Accounting (mencatat resource jaringan yang dipakai user)
Authentication: menentukan siapa yang boleh mengakses jaringan — verifikasi identitas pengguna
Authorization: menentukan layanan apa yang boleh dipakai pengguna; isi otorisasinya bisa berupa user group, VLAN, dan ACL
Accounting: mencatat pemakaian sumber daya jaringan oleh pengguna, sekaligus memantau perilakunya
NAS: Network Access Server — perangkat (mis. firewall) yang menjadi titik masuk pengguna dan berperan sebagai client bagi server AAA
Authentication domain: wadah kebijakan AAA; domain pengguna ditentukan dari teks setelah tanda @ pada username (User1@Domain1), dan username tanpa @ masuk ke domain default
Local authentication: informasi pengguna disimpan di NAS itu sendiri sehingga NAS berperan sebagai server AAA — cepat dan murah, tapi kapasitas penyimpanannya terbatas; biasa dipakai untuk mengelola administrator
Remote authentication: verifikasi diserahkan ke server eksternal (RADIUS, HWTACACS, LDAP, AD) sehingga pengelolaan pengguna terpusat
Non-authentication: mode tanpa verifikasi identitas — jarang dipakai karena tidak aman
RADIUS: protokol AAA paling umum, berbasis client/server di atas UDP; autentikasi & otorisasi digabung dalam satu proses, dengan port autentikasi dan accounting terpisah
HWTACACS: protokol AAA Huawei turunan TACACS (RFC 1492) yang berjalan di atas TCP port 49; autentikasi, otorisasi, dan accounting-nya terpisah sehingga bisa ditaruh di server berbeda
LDAP: Lightweight Directory Access Protocol — direktori berstruktur pohon berisi entry dengan Distinguished Name; autentikasi dilakukan lewat operasi bind dan search

Catatan

Arsitektur dasar AAA: User → NAS (Network Access Server, mis. firewall/switch) → AAA Server. NAS mengelola user berdasarkan domain (mis. user1@Domain1); user tanpa '@' masuk default domain.
3 mode autentikasi: Non-authentication (tidak diverifikasi, jarang dipakai), Local authentication (user disimpan di NAS itu sendiri — cepat, cocok utk login Telnet/FTP), Remote authentication (via server AAA eksternal, mis. RADIUS).
Alur autentikasi LDAP: firewall membuka koneksi TCP ke server LDAP → bind dengan akun administrator untuk memperoleh izin pencarian → mencari DN pengguna → bind ulang memakai DN dan password pengguna → server memeriksa password dan mengembalikan hasilnya
Mode authorization ada tiga: non-authorization, local authorization (oleh NAS sendiri), dan remote authorization (oleh server AAA). Isi otorisasinya berupa user group, VLAN, dan ACL
Mode accounting hanya ada dua: non-accounting dan remote accounting. Yang dicatat antara lain berapa lama pengguna online, berapa biaya yang timbul, dan operasi apa saja yang dilakukan
Istilah pada direktori LDAP: CN (Common Name, nama objek), DC (Domain Component, domain tempat objek berada — biasanya LDAP server adalah domain controller-nya), OU (Organization Unit, organisasi tempat objek berada), DN (Distinguished Name, lokasi lengkap objek dari dirinya ke atas sampai root, mis. CN=User2,OU=HR,OU=People,DC=HUAWEI,DC=COM), dan Base DN (root DN)
Alasan AD authentication lebih aman dari LDAP polos: pada LDAP, client mengirim password pengguna dalam plaintext ke server. Kerberos menambahkan mekanisme symmetric key, dan gabungan Kerberos + LDAP inilah yang disebut AD authentication

Perbandingan Protokol AAA
Protokol	Transport	Karakteristik
RADIUS	UDP	Paling umum dipakai; port default 1812 (auth) & 1813 (accounting)
HWTACACS	TCP	Enhanced dari TACACS; AAA independen di server berbeda; port 49
LDAP	TCP	Directory-based; bind & search untuk autentikasi/otorisasi
AD	TCP	Integrasi Kerberos + LDAP untuk keamanan password lebih baik

RADIUS vs HWTACACS
Aspek	RADIUS	HWTACACS
Transport	UDP	TCP port 49
Pemisahan fungsi	Autentikasi & otorisasi menyatu	Autentikasi, otorisasi, accounting terpisah
Enkripsi	Hanya field password	Seluruh badan paket
Pemakaian umum	Autentikasi pengguna akses internet	Kontrol perintah & hak administrator perangkat

Proses autentikasi RADIUS

Pengguna memasukkan username & password

Permintaan masuk ke firewall sebagai NAS

NAS mengirim Access-Request ke server RADIUS

Kredensial diteruskan untuk diverifikasi

Server membalas Access-Accept atau Access-Reject

Hasil autentikasi dikirim kembali ke NAS

NAS memberi tahu hasilnya ke pengguna

Akses diizinkan atau ditolak

NAS mengirim Accounting-Start, lalu Accounting-Stop saat sesi berakhir

Server mencatat pemakaian sumber daya

8.2Struktur Organisasi & Kategori User#

Deskripsi

Authentication domain: wadah struktur organisasi user; firewall punya default domain, bisa dibuat domain tambahan.
User group/User: user diorganisasi dalam struktur pohon sesuai struktur organisasi (departemen); satu user grup wajib punya 1 parent group, tapi bisa jadi anggota banyak grup.
Administrator: pengguna yang mengonfigurasi dan mengoperasikan perangkat
Internet access user: pengguna yang mengakses jaringan/internet dari dalam — menjadi satuan dasar pengelolaan hak akses jaringan
Access user: pengguna yang masuk dari luar lewat VPN, misalnya karyawan di cabang atau sedang perjalanan dinas
Security group: grup lintas departemen pada struktur organisasi horizontal — dipakai administrator untuk mengelola pengguna dari sudut pandang selain departemen, mis. satu grup proyek yang anggotanya dari beberapa divisi

Catatan

3 kategori user: Administrator (login via Telnet/SSH/web/FTP/console untuk konfigurasi device), Internet access user (entitas dasar untuk network permission management), Access user (user VPN dari jaringan eksternal, mis. SSL VPN/L2TP/IPsec/PPPoE).
Struktur organisasi pengguna dibuat mengikuti struktur perusahaan, dan pengguna yang perlu diautentikasi dimasukkan ke authentication domain yang sesuai
User dan user group bisa dibuat manual, diimpor dari file lokal, atau diimpor dari server (mis. AD/LDAP)
Aturan keanggotaan: tiap user group hanya boleh punya satu parent user group, tapi satu user wajib masuk minimal satu user group dan boleh masuk beberapa grup sekaligus. Baik user maupun user group bisa dirujuk security policy, traffic limiting policy, dan authentication policy
Efek pemilihan authentication domain saat login: bila administrator memakai domain default, pengguna cukup memasukkan username saja. Bila memakai domain buatan sendiri, pengguna harus login dengan format username@nama-domain

8.3Mode Autentikasi Administrator & Internet Access User#

Deskripsi

Built-in Portal authentication: halaman autentikasi disediakan firewall sendiri — ada dua bentuk: redirected dan user-initiated
Redirected authentication: aliran HTTP pertama dari pengguna dialihkan ke halaman autentikasi; setelah berhasil, browser otomatis kembali ke halaman yang dituju
User-initiated authentication: pengguna sendiri membuka halaman autentikasi firewall lebih dulu, baru bisa mengakses sumber daya jaringan
External Portal authentication: halaman autentikasi disediakan server Portal terpisah, dipakai bila perusahaan sudah punya sistem portal sendiri
Single sign-on (SSO): pengguna tidak diautentikasi ulang oleh firewall; firewall hanya mengambil ikatan antara user dan alamat IP dari sistem lain, mis. AD SSO atau RADIUS SSO
Authentication exemption: pengecualian autentikasi untuk pengguna tertentu — mis. eksekutif yang perangkatnya diikat ke alamat IP/MAC tetap sehingga tidak perlu login berulang

Catatan

Login administrator: Console (config awal/recovery), Web (HTTP/HTTPS), Telnet (plaintext, tradisional), FTP (upload/download file), SSH (paling aman — mendukung password-based & key-based authentication).
Autentikasi Internet access user: SSO (Single Sign-On — memakai autentikasi dari sistem lain, mis. AD SSO/RADIUS SSO), Built-in Portal (redirected atau user-initiated authentication), User-defined Portal (interworking dengan portal server eksternal), Authentication exemption (binding user ke IP/MAC tanpa perlu login).
Autentikasi Access user (VPN): SSL VPN (login page browser), L2TP VPN (autentikasi berbasis PPP), IPsec VPN (mendukung EAP saat pakai IKEv2), PPPoE (dial-up broadband).
Cara administrator login: console (dipakai saat konfigurasi pertama, file konfigurasi hilang, atau perangkat gagal booting), web/HTTPS, Telnet, dan SSH
SSH password-based authentication: pengguna mengirim permintaan login → host remote mengirim public key-nya → host pengirim mengenkripsi password dengan public key itu → password terenkripsi dikirim → host remote mendekripsi dengan private key-nya lalu membandingkan dengan password asli
SSH key-based authentication: host pengguna membuat key pair dan mengimpor public key-nya ke host remote → pengguna mengirim permintaan login → host remote mengirim random string → host pengguna mengenkripsi string itu dengan private key-nya → host remote mendekripsi memakai public key yang sudah diimpor; berhasil berarti login diizinkan
Mode autentikasi pengguna SSL VPN pada virtual gateway ada empat: local authentication, server authentication, certificate-anonymous authentication, dan certificate-challenge authentication

8.4Authentication Policy#

Deskripsi

Authentication Policy: aturan yang menentukan aliran data mana yang wajib diautentikasi firewall — terdiri dari matching condition (source/destination zone, address/region) dan action (Portal authentication, SMS authentication, Authentication exemption, Non-authentication)

Catatan

Default: semua traffic dgn kondisi 'any' -> action non-authentication.
Traffic yang TIDAK memicu autentikasi meski cocok policy: traffic dari/ke device itu sendiri, DHCP/BGP/OSPF/LDP, dan DNS packet pertama dari HTTP flow yang memicu autentikasi.
Pengecualian penting: paket DNS sebelum pengguna login tidak dikendalikan authentication policy — kalau tidak, pengguna tidak akan bisa membuka halaman autentikasi sama sekali. Setelah login, paket DNS-nya kembali dikendalikan seperti biasa
Alur konfigurasi autentikasi pengguna internet: siapkan alamat interface, zone, dan route → buat authentication policy → tentukan mode autentikasi pada authentication domain → buat user group dan user → uji dengan membuka browser sampai muncul halaman autentikasi

Huawei VRP — USG

aaa

# Masuk ke mode konfigurasi AAA

domain default

# Masuk ke authentication domain default

authentication-scheme default

# Menetapkan authentication scheme domain

service-type ssl-vpn

# Menetapkan service type domain (mis. SSL VPN)

user-manage group /default/group1

# Membuat user group di domain

user-manage user user0001 domain default

# Membuat user baru di domain tertentu

password Password@123

# Menetapkan password lokal untuk user

parent-group /default/group1

# Menempatkan user ke dalam user group

Konfigurasi autentikasi pengguna internet

Object > User > Authentication Policy > Create

Menentukan aliran data yang wajib diautentikasi

Object > User > default

Mengatur mode autentikasi pada authentication domain

Object > User > default > Create (user group)

Membuat struktur organisasi pengguna

Object > User > default > Create (user)

Membuat akun pengguna beserta password-nya

Uji dari PC pengguna

Akses web akan dialihkan ke halaman autentikasi firewall

Topik 9 dari 12

9Fundamental Enkripsi & Dekripsi#

9.1Definisi & Tujuan Enkripsi#

Deskripsi

Enkripsi: proses mengubah plaintext menjadi ciphertext (kode tak terbaca) via algoritma + key, sehingga data terlindungi dari pencurian/pembacaan tidak sah. Dekripsi adalah proses kebalikannya.

Catatan

Keamanan enkripsi bergantung pada: pembuatan/pengelolaan/penyimpanan key, keamanan algoritma enkripsi, dan lingkungan enkripsi/dekripsi itu sendiri.
4 tujuan utama enkripsi: Confidentiality (hanya user tertentu bisa baca data), Integrity (data tidak berubah tanpa izin), Identifiability (autentikasi identitas pengirim/penerima), Non-repudiation (mencegah penyangkalan pesan/tindakan).
Ringkasan Sejarah Kriptografi: Manual encryption (scytale Yunani ~500 SM, Caesar cipher ~50 SM, kode kamus Jerman WWI) → Mechanical/electromechanical (mesin Enigma & M-209, WWII) → Electronic cryptography (1949 Shannon 'Communication Theory of Secrecy Systems'; 1976 algoritma DH oleh Diffie-Hellman, awal kriptografi kunci publik).
Alasan organisasi mengenkripsi data: memenuhi regulasi keamanan informasi, melindungi kekayaan intelektual, melindungi data pelanggan, membatasi tanggung jawab hukum bila terjadi kebocoran, dan memperkecil cakupan audit kepatuhan

9.2Symmetric vs Asymmetric Encryption#

Deskripsi

Symmetric encryption: satu key sama dipakai untuk enkripsi & dekripsi (shared key) — cepat & efisien, cocok untuk data besar (mis. enkripsi data pada IPsec VPN), tapi sulit distribusi key secara aman.
Asymmetric encryption: sepasang key (public & private) — data dienkripsi dengan public key hanya bisa didekripsi dengan private key pasangannya. Lebih aman untuk distribusi key, tapi lebih lambat/berat komputasi — biasa dipakai untuk enkripsi data sensitif (key, identity info) & digital signature.

Catatan

Masalah utama symmetric encryption: kedua pihak harus memegang key yang sama tanpa diketahui orang lain. Kalau key dikirim lewat jaringan dan dibajak di tengah jalan, seluruh komunikasi ikut terbuka
Kenapa keduanya digabung: asymmetric encryption berat, jadi ia hanya dipakai untuk menukar symmetric key, lalu data besar dienkripsi dengan symmetric key itu — inilah pola yang dipakai HTTPS

Symmetric vs Asymmetric — perbandingan singkat
Aspek	Symmetric	Asymmetric
Jumlah kunci	1 kunci (shared secret)	2 kunci berpasangan (public + private)
Kecepatan	Cepat, cocok untuk data besar	Jauh lebih lambat
Distribusi kunci	Sulit — kunci harus dikirim lewat channel aman lebih dulu	Mudah — public key boleh disebar bebas
Contoh algoritma	AES, DES, 3DES, ChaCha20	RSA, ECC, Diffie-Hellman
Pemakaian umum	Enkripsi file, disk, database, trafik setelah handshake	Pertukaran kunci, digital signature, sertifikat TLS

Penting

Kombinasi keduanya (hybrid encryption, dipakai TLS/HTTPS): asymmetric encryption dipakai di awal koneksi (handshake) untuk menyepakati symmetric key secara aman, lalu seluruh trafik data memakai symmetric encryption dengan key tsb karena jauh lebih cepat.

9.3Algoritma Enkripsi Umum#

Deskripsi

DES: algoritma symmetric block cipher pertama yang dipakai luas: input plaintext 64 bit dan key 56 bit menghasilkan ciphertext 64 bit — panjang key-nya kini dianggap terlalu pendek
3DES: penerapan DES tiga kali dengan key berbeda untuk memperpanjang key efektif; lebih aman dari DES tapi jauh lebih lambat
AES: penerus DES dengan panjang key 128/192/256 bit — standar symmetric encryption yang dianjurkan saat ini
RSA: algoritma asymmetric yang keamanannya bertumpu pada sulitnya memfaktorkan bilangan besar; dipakai untuk pertukaran key dan digital signature
Diffie-Hellman: algoritma pertukaran key: kedua pihak bertukar parameter publik lalu masing-masing menghitung key yang sama secara matematis — key-nya sendiri tidak pernah dikirim melewati jaringan
IDEA: International Data Encryption Algorithm — symmetric block cipher dengan plaintext 64 bit dan key 128 bit yang menghasilkan ciphertext 64 bit; dipakai luas, misalnya ada di pustaka algoritma SSL

Catatan

Rekomendasi terkini: DES dan 3DES tidak lagi dianjurkan karena tidak aman; pakai AES atau algoritma komersial Tiongkok SM1/SM4 bila diwajibkan regulasi setempat
Detail DES yang sering ditanya: data dibagi ke blok 64 bit, tiap blok melewati 16 putaran iterasi, dan key 56 bit dipakai untuk enkripsi sekaligus dekripsi
Catatan angka pada slide Huawei: materi HCIA menulis 3DES memakai 'valid key 128 bit' (56 bit dipakai tiga kali) dan mencantumkan AES dengan panjang key 128/192/256/384 bit. Secara teknis 3DES memakai tiga key 56 bit = 168 bit (kekuatan efektif ~112 bit) dan AES hanya punya varian 128/192/256 bit — kalau soal ujian memakai angka versi slide, jawab sesuai slide, tapi ketahui angka sebenarnya
SM1 punya kekuatan enkripsi setara AES tetapi algoritmanya tidak dipublikasikan sehingga harus dipanggil lewat antarmuka chip enkripsi; SM4 adalah algoritma paket berbasis standar WLAN dengan panjang key dan blok sama-sama 128 bit

Algoritma Symmetric
Algoritma	Deskripsi Singkat
DES	Blok 64-bit, key 56-bit — sudah kurang aman, digantikan 3DES/AES
3DES	Triple DES, key length 168-bit (kekuatan efektif ~112-bit), kompatibel software/hardware DES
AES	Standar modern, mendukung key 128/192/256-bit, paling aman & efisien saat ini
SM1 / SM4	Algoritma komersial Tiongkok, key & blok 128-bit

Algoritma Asymmetric
Algoritma	Deskripsi Singkat
DH (Diffie-Hellman)	Untuk negosiasi/exchange symmetric key secara aman (penting di IPsec)
RSA	Bisa untuk enkripsi & digital signature; berbasis kesulitan faktorisasi bilangan prima besar
DSA	Hanya untuk digital signature (tidak bisa enkripsi/dekripsi/key exchange)

9.4Hash Algorithm#

Deskripsi

Hash Algorithm: mengubah data sepanjang apapun menjadi output tetap (hash value/message digest) — dipakai untuk cek integritas data, bukan enkripsi

Catatan

4 karakteristik hash: forward fast (cepat dihitung), irreversible (tidak bisa dibalik ke plaintext), input sensitive (sedikit perubahan input = hash berubah drastis), anti-collision (sulit menemukan 2 input berbeda dengan hash sama).
Algoritma umum: MD5 (cepat, kurang aman), SHA-1/SHA-2 (digest lebih panjang; SHA-1 sendiri sudah tidak dianjurkan sejak collision-nya dibuktikan, jadi pakai SHA-2), SM3 (algoritma komersial Tiongkok), HMAC (hash + cryptographic key, dipakai di IPsec/SSL).
Cara hash dipakai untuk integrity check: pengirim menghitung hash dari paket lalu mengirim paket beserta nilai hash-nya; penerima menghitung ulang hash dengan algoritma sama dan membandingkan hasilnya — kalau berbeda, paket sudah diubah di jalan
MD5 dan SHA-1 sudah tidak dianjurkan karena kemampuan anti-collision-nya lemah; pakai SHA-2 (SHA2-256/384/512) atau SM3
Varian SHA: SHA-0 adalah versi paling awal dari NIST yang segera ditarik dan digantikan SHA-1; SHA-1 menghasilkan message digest 160 bit — lebih lambat tapi lebih aman dari MD5; SHA-2 mencakup SHA2-256, SHA2-384, dan SHA2-512 sesuai panjang digest-nya

Topik 10 dari 12

10PKI Certificate System#

10.1Evolusi Teknologi Keamanan Komunikasi Data#

Deskripsi

Digital envelope: pengirim enkripsi symmetric key dengan public key penerima → penerima dekripsi dengan private key untuk dapatkan symmetric key, lalu dekripsi ciphertext.
Digital signature: mekanisme untuk membuktikan keaslian (authenticity) & keutuhan (integrity) sebuah pesan — pengirim hash plaintext (jadi digital fingerprint), lalu enkripsi fingerprint tsb dengan PRIVATE key sendiri (kebalikan dari asymmetric encryption biasa yang enkripsi pakai public key). Penerima verifikasi dengan public key pengirim & bandingkan hasil hash. Yang dienkripsi bukan pesan itu sendiri, tapi HASH-nya — signature jadi lebih ringkas & cepat diverifikasi.
Digital certificate: file bertandatangan digital dari CA yang berisi public key + identity info pemilik — memastikan satu public key hanya dimiliki satu owner (seperti paspor/KTP digital).

Catatan

Evolusi: Plaintext transmission (tidak aman) → Encrypted transmission dgn symmetric key (masalah distribusi key: n user butuh n(n-1)/2 key) → Digital envelope (kombinasi symmetric+asymmetric, tapi rentan pemalsuan pengirim) → Digital signature (menjamin integritas & identitas pengirim, tapi rentan jika public key dipalsukan) → PKI/digital certificate (solusi akhir: memastikan public key benar-benar milik pemiliknya).
Serangan yang memaksa lahirnya sertifikat: penyerang menyisipkan public key miliknya saat pertukaran key, lalu menandatangani informasi palsu dengan private key-nya. Penerima tidak punya cara membuktikan public key itu benar milik pengirim — di sinilah pihak ketiga tepercaya (CA) dibutuhkan
Digital envelope dan digital signature biasa dipakai bersamaan: envelope menjaga kerahasiaan, signature membuktikan identitas pengirim sekaligus keutuhan pesan

Digital signature vs asymmetric encryption biasa
Aspek	Asymmetric Encryption	Digital Signature
Tujuan	Confidentiality — merahasiakan isi pesan	Authenticity & Integrity — membuktikan pesan asli & tidak berubah
Sign/encrypt pakai	Public key penerima	Private key pengirim
Verify/decrypt pakai	Private key penerima	Public key pengirim
Yang diproses	Seluruh pesan	Hash dari pesan

10.2Struktur & Jenis Digital Certificate#

Catatan

Struktur sertifikat mengikuti standar X.509 v3: Version, Serial Number, Signature Algorithm, Issuer, Validity, Subject Name, Subject Public Key Info, Extensions, Signature.
3 jenis sertifikat: CA certificate (sertifikat milik CA sendiri), Local certificate (diterbitkan CA untuk applicant/user), Self-signed certificate (device menandatangani sertifikatnya sendiri).
Format penyimpanan: PKCS#12 (.P12/.PFX, binary + private key opsional), DER (.DER/.CER/.CRT, binary tanpa private key), PEM (.PEM/.CER/.CRT, format ASCII).
Sebuah sertifikat diidentifikasi unik oleh kombinasi issuer name dan serial number. Issuer name umumnya nama server CA; pada self-signed certificate, issuer dan subject-nya sama
Sertifikat punya masa berlaku (validity) dengan tanggal mulai dan berakhir — sertifikat kedaluwarsa otomatis dianggap tidak sah
Pada CA berjenjang, CA teratas disebut root CA dan memegang self-signed certificate, sedangkan CA di bawahnya (subordinate CA) sertifikatnya diterbitkan oleh CA di atasnya

10.3Arsitektur & Mekanisme Kerja PKI#

Deskripsi

PKI entity: pengguna akhir layanan PKI — bisa berupa orang, organisasi, perangkat seperti router/firewall, atau proses yang berjalan di komputer
RA: Registration Authority — memverifikasi identitas pemohon dan meneruskan permintaan penerbitan atau pencabutan sertifikat ke CA; umumnya menyatu dengan CA
CRL: Certificate Revocation List — daftar sertifikat yang dicabut sebelum masa berlakunya habis, diunduh berkala lewat SCEP, HTTP, atau LDAP
OCSP: Online Certificate Status Protocol — pengecekan status sertifikat secara real time ke server, sehingga tidak perlu menunggu pembaruan daftar CRL
Certificate chain: rangkaian sertifikat dari sertifikat end entity sampai root certificate — saat sebuah PKI entity mempercayai satu CA, kepercayaan itu merambat sepanjang rantai ini, dan penerima sertifikat memverifikasi setiap issuer di sepanjang rantainya

Catatan

Komponen PKI: End entity (user akhir produk/layanan PKI), CA (Certificate Authority — entitas tepercaya yang menerbitkan & mengelola sertifikat, bisa hierarkis dgn root CA di puncak), RA (Registration Authority — memverifikasi & menyetujui permintaan sertifikat, bagian dari/terpisah dari CA), Certificate/CRL database (menyimpan sertifikat & Certificate Revocation List).
Siklus hidup sertifikat: Application (aplikasi) → Issuing (penerbitan) → Storage (penyimpanan) → Usage (pemakaian) → Verification (verifikasi) → Update (pembaruan) → Revocation (pencabutan).
Metode aplikasi sertifikat: SCEP (Simple Certificate Enrollment Protocol — standar industri untuk device VPN), CMPv2 (Certificate Management Protocol v2), File-based (offline via PKCS#10, dikirim out-of-band).
Verifikasi status sertifikat: CRL (download daftar sertifikat dicabut secara berkala), OCSP (cek real-time status sertifikat ke server — valid/expired/unknown), None (tidak dicek).
Verifikasi CA certificate: PKI entity menghitung digital fingerprint dari CA certificate yang diterima lalu membandingkannya dengan fingerprint yang sudah ditetapkan sebelumnya — cocok berarti diterima, tidak cocok berarti dibuang
Bila sertifikat sebuah CA dinyatakan tidak sah, seluruh sertifikat yang diterbitkannya ikut dianggap tidak sah
Beda root CA dan subordinate CA: root CA adalah trustpoint pertama dalam sistem PKI dan memegang self-signed certificate, sedangkan subordinate CA hanya bisa memperoleh sertifikat dari CA di atasnya; CA paling bawah itulah yang menerbitkan sertifikat untuk end entity
Certificate/CRL database bisa dibangun di atas server LDAP, FTP, HTTP, atau database biasa. Kalau jumlah sertifikatnya sedikit, cukup disimpan di server HTTP atau FTP untuk diunduh
Alur pencabutan sertifikat: pengguna mengirim email bertanda tangan & terenkripsi ke RA → RA menyetujui dan menandatangani permintaannya → CA memverifikasi tanda tangan RA lalu memperbarui CRL → RA menerbitkan CRL (mis. lewat server LDAP) → pengguna mengakses server itu untuk mengunduh atau melihat CRL

Skenario Aplikasi PKI Certificate
Skenario	Fungsi Sertifikat
Login web UI via HTTPS	Memverifikasi identitas server HTTPS agar browser tidak tertipu attacker
IPsec VPN	Autentikasi mutual antar gateway saat negosiasi IKE (alternatif dari pre-shared key)
SSL VPN	Autentikasi client & gateway SSL VPN satu sama lain

Penting

Menggunakan PKI certificate pada IPsec VPN skala besar lebih scalable dibanding pre-shared key (PSK) — device baru cukup mengajukan sertifikat sendiri tanpa perlu mengubah konfigurasi device lain di jaringan.

Siklus hidup sertifikat PKI

Pengajuan

PKI entity mengambil root certificate dari CA, membuat pasangan public/private key, lalu mengirim public key beserta identitasnya

Peninjauan

RA memverifikasi identitas pemohon dan meneruskan permintaan ke CA

Penerbitan

CA membuat local certificate berisi public key dan identitas pemohon, ditandatangani private key CA

Pengunduhan & pemasangan

PKI entity mengunduh sertifikat lalu memasangnya di perangkat

Pemakaian & verifikasi

Sertifikat dipakai untuk autentikasi dengan peer, dan status keabsahannya dicek lewat CRL atau OCSP

Pembaruan atau pencabutan

Sertifikat diperbarui sebelum kedaluwarsa, atau dicabut lewat pengajuan bertanda tangan ke RA lalu dimasukkan ke CRL

Topik 11 dari 12

11Aplikasi Teknologi Enkripsi (VPN)#

11.1Definisi & Klasifikasi VPN#

Deskripsi

VPN: teknologi membangun jaringan privat virtual di atas jaringan publik, mengirimkan traffic private network secara aman (private + virtual) tanpa mengubah topologi fisik.
Tunneling: teknik dasar VPN — satu protokol mengenkapsulasi paket protokol lain untuk transmisi aman melalui 'terowongan' logis di jaringan backbone.
Access VPN: menghubungkan karyawan yang bepergian ke intranet perusahaan lewat jaringan publik
Intranet VPN: menghubungkan jaringan internal antar lokasi milik satu perusahaan lewat jaringan publik
Extranet VPN: menghubungkan jaringan perusahaan dengan mitra, pemasok, atau pelanggan
Identity authentication: teknologi kunci VPN untuk memastikan hanya pengguna sah yang boleh masuk — paling penting pada skenario akses mobile
Data verification: pemeriksaan keaslian paket memakai digest hasil fungsi hash, sehingga paket palsu atau yang sudah diubah bisa dibuang

Catatan

Keunggulan VPN: aman, biaya rendah (memakai jaringan publik bersama), mendukung mobile access, scalable/fleksibel.

Klasifikasi VPN
Kriteria	Kategori
Skenario aplikasi	Client-to-Site (SSL/IPsec/L2TP/L2TP over IPsec) vs Site-to-Site (IPsec/L2TP/GRE)
Objek aplikasi	Extranet VPN (antar perusahaan), Intranet VPN (antar cabang sendiri), Access VPN (karyawan mobile)
Layer implementasi	Data Link (PPTP, L2F, L2TP) — Network (GRE, IPsec) — Application (SSL VPN)

4 Teknologi Kunci VPN
Teknologi	GRE	L2TP	IPsec	SSL VPN
Identity Authentication	Tidak didukung	Berbasis PPP (CHAP/PAP/EAP)	Pre-shared key / certificate / IKEv2 EAP	Username-password / certificate
Encryption	Tidak ada	Tidak ada	Didukung penuh	Didukung penuh
Data Verification	Keyword sederhana	Tidak didukung	Didukung	Didukung

Catatan

Karena GRE dan L2TP tidak menyediakan enkripsi, keduanya sering dikombinasikan dengan IPsec (mis. L2TP over IPsec, GRE over IPsec) agar data tetap terenkripsi.

11.2GRE VPN#

Deskripsi

GRE (Generic Routing Encapsulation): teknologi enkapsulasi Layer 3 VPN, mengenkapsulasi paket protokol network layer apa pun (IP, IPX, dsb.) ke dalam paket IP agar bisa ditransmisikan melintasi jaringan heterogen — umumnya dipakai membangun tunnel di atas jaringan IPv4 untuk menghubungkan dua jaringan IPv6, atau sebaliknya.

Catatan

Protocol stack GRE: passenger protocol (payload asli) → encapsulation protocol (GRE header) → transport protocol (IP header baru).
Enkapsulasi GRE dilakukan lewat tunnel interface (logical interface) dengan protokol encapsulation di-set ke GRE — proses: tambah GRE header ke paket asli, lalu tambah IP header baru sebelum GRE header.
GRE hanya mendukung verifikasi keyword sederhana, TIDAK menyediakan enkripsi — sehingga sering dikombinasikan dengan IPsec untuk keamanan lebih tinggi.
Zona keamanan pada GRE: paket asli dari PC menuju tunnel interface dihitung dari zone Trust ke DMZ, lalu paket hasil enkapsulasi dikirim dari zone Local ke Untrust. Di sisi penerima urutannya kebalikannya — karena itu security policy harus dibuat untuk kedua pasangan zone tersebut
Alur enkapsulasi GRE: paket dicocokkan ke routing table → outbound interface-nya ternyata tunnel interface → modul tunnel menambahkan GRE header lalu IP header baru dengan alamat sumber dan tujuan tunnel → paket dikirim seperti paket IP biasa
Cara penerima mengenali paket GRE: nilai field Protocol pada IP header luar adalah 47. Kalau nilainya 47, paket diserahkan ke tunnel interface untuk dekapsulasi; kalau bukan, paket diteruskan sebagai paket IP biasa

11.3IPsec VPN#

Deskripsi

IPsec: kumpulan protokol keamanan berbasis kriptografi dari IETF untuk melindungi pertukaran paket IP end-to-end. Menyediakan: data origin authentication, data encryption, data integrity, dan anti-replay.
IKE: protokol application-layer berbasis UDP yang menegosiasikan key untuk AH/ESP, memiliki 2 versi (IKEv1 & IKEv2).
SPI: Security Parameter Index — penanda pada header AH/ESP yang, bersama alamat tujuan dan protokol, menunjuk SA mana yang dipakai untuk memproses paket
Main mode: mode IKEv1 fase 1 dengan enam pesan; dua pesan terakhirnya terenkripsi sehingga identitas kedua pihak ikut terlindungi
Aggressive mode: mode IKEv1 fase 1 dengan tiga pesan — lebih cepat, tapi identitasnya tidak terlindungi karena pesannya sangat dipadatkan
Quick mode: IKEv1 fase 2 dengan tiga pesan untuk menegosiasikan IPsec SA di bawah perlindungan IKE SA yang sudah terbentuk
PFS: Perfect Forward Secrecy — key baru dihasilkan lewat pertukaran DH tambahan sehingga bocornya satu key tidak membongkar sesi lain

Catatan

Arsitektur IPsec: AH (Authentication Header — integrity, origin auth, anti-replay, TANPA enkripsi) dan ESP (Encapsulating Security Payload — mendukung semuanya TERMASUK enkripsi), keduanya dijalankan bersama IKE (Internet Key Exchange) untuk negosiasi key.
Encapsulation mode: Transport mode (AH/ESP header disisipkan antara IP header & transport header — melindungi payload TCP/UDP/ICMP saja) vs Tunnel mode (AH/ESP header + IP header baru membungkus paket IP asli sepenuhnya — melindungi header IP asli juga, umum dipakai site-to-site VPN).
Empat jaminan IPsec: autentikasi asal data, kerahasiaan (data dikirim sebagai ciphertext), integritas (mendeteksi paket yang diubah), dan anti-replay (menolak paket lama yang dikirim ulang penyerang)
Algoritma yang dianjurkan di IPsec: enkripsi memakai AES atau SM1/SM4 (DES dan 3DES tidak dianjurkan), autentikasi memakai SHA2 atau SM3 (MD5 dan SHA1 tidak dianjurkan)
IKEv2 punya tiga jenis pertukaran: Initial Exchanges (empat pesan, menggantikan fase 1 sekaligus membentuk pasangan IPsec SA pertama), CREATE_CHILD_SA Exchange (menambah pasangan SA atau menegosiasikan ulang IKE SA), dan Informational Exchange (pertukaran informasi kontrol dan error, selalu di bawah perlindungan IKE SA)
Nomor protokol yang perlu dihafal: AH = 51 dan ESP = 50. IKE sendiri adalah protokol application layer di atas UDP, dan pesan ISAKMP-nya memakai port 500
Metode autentikasi pada IKE fase 1 ada tiga: pre-shared key, digital signature, dan public key encryption
Beda main mode dan aggressive mode selain jumlah pesan: pada main mode peer hanya bisa diidentifikasi lewat alamat IP, sedangkan aggressive mode bisa memakai alamat IP maupun nama — itulah sebabnya aggressive mode dipakai saat alamat IP inisiator dialokasikan dinamis
Batasan integrity check ESP: pemeriksaan integritas ESP tidak mencakup IP header, sedangkan AH memeriksa seluruh paket termasuk IP header (kecuali field yang nilainya berubah di perjalanan). Kalau AH dan ESP dipakai bersamaan, keduanya wajib memakai encapsulation mode yang sama
Beda beban dua encapsulation mode: tunnel mode lebih aman karena IP header asli ikut dilindungi dan alamat, protokol, serta port internal tersembunyi, tapi memakan bandwidth lebih besar karena ada IP header tambahan
Jumlah pesan yang dipertukarkan: IKEv1 main mode + quick mode butuh 9 pesan, aggressive mode + quick mode minimal 6 pesan, sedangkan IKEv2 hanya butuh 4 pesan untuk membentuk sepasang IPsec SA — dan tiap pasangan SA tambahan cukup 2 pesan lewat CREATE_CHILD_SA
Algoritma yang didukung IKE: autentikasi MD5, SHA1, SHA2-256, SHA2-384, SHA2-512, dan SM3; enkripsi DES, 3DES, AES-128, AES-192, AES-256, SM1, dan SM4

IKEv1: 2 Fase Negosiasi
Fase	Tujuan	Mode
Fase 1	Membangun IKE SA (tunnel terautentikasi & terproteksi)	Main mode (6 pesan, identity protection) atau Aggressive mode (3 pesan, lebih cepat tapi tanpa identity protection)
Fase 2	Menggunakan IKE SA untuk negosiasi IPsec SA (transmisi data aktual)	Quick mode (3 pesan)

Catatan

IKEv2 menyederhanakan proses menjadi 3 jenis exchange: Initial Exchanges (IKE_SA_INIT + IKE_AUTH, 4 pesan) — menggabungkan fungsi Fase 1 DAN Fase 2 IKEv1 sekaligus, membangun IKE SA sekaligus IPsec SA pertama dalam satu rangkaian pertukaran, CREATE_CHILD_SA Exchange (menambah IPsec SA baru / re-negosiasi IKE SA), dan Informational Exchange (pertukaran informasi kontrol/error).

Penting

SA (Security Association) mendefinisikan elemen keamanan spesifik (algoritma enkripsi, algoritma autentikasi, encapsulation mode) yang disepakati kedua peer IPsec — bisa dibuat manual atau via negosiasi IKE.

Huawei VRP — USG

acl 3000

# Membuat advanced ACL untuk menentukan trafik yang dilindungi

rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255

# Mendefinisikan data flow yang masuk tunnel (di sisi peer harus dibalik)

quit

# Keluar dari view acl-adv-3000, kembali ke system-view

ipsec proposal tran1

# Membuat IPsec proposal

esp authentication-algorithm sha2-256

# Menetapkan algoritma autentikasi ESP

esp encryption-algorithm aes-256

# Menetapkan algoritma enkripsi ESP

quit

# Keluar dari view ipsec-proposal-tran1, kembali ke system-view

ike proposal 10

# Membuat IKE proposal untuk negosiasi fase 1

quit

# Keluar dari view ike-proposal-10, kembali ke system-view

ike peer b

# Membuat IKE peer yang mewakili gateway lawan

ike-proposal 10

# Mengaitkan IKE proposal ke peer tersebut

remote-address 1.1.3.1

# Menetapkan alamat gateway lawan

pre-shared-key Test!1234

# Menetapkan pre-shared key yang harus sama di kedua sisi

quit

# Keluar dari view ike-peer-b, kembali ke system-view

ipsec policy map1 10 isakmp

# Membuat IPsec policy yang memakai negosiasi IKE

security acl 3000

# Menghubungkan policy dengan ACL data flow

proposal tran1

# Memakai IPsec proposal yang sudah dibuat

ike-peer b

# Memakai IKE peer yang sudah dibuat

quit

# Keluar dari view ipsec-policy-isakmp-map1-10, kembali ke system-view

interface GigabitEthernet 0/0/1

# Masuk ke interface arah internet

ipsec policy map1

# Menerapkan IPsec policy pada interface

display ipsec sa

# Memastikan IPsec SA terbentuk

Penting

Untuk IPsec VPN, ACL data flow di Firewall A dan B harus BERKEBALIKAN (source↔︎destination ditukar) agar traffic dari kedua arah sama-sama cocok dan dilindungi IPsec tunnel.

11.4L2TP VPN#

Deskripsi

L2TP (Layer Two Tunneling Protocol): protokol tunneling untuk VPDN (Virtual Private Dial-up Network), ekstensi dari PPP — menyediakan akses remote bagi karyawan mobile/cabang ke resource intranet.
LAC: L2TP Access Concentrator — perangkat sisi akses yang menerima panggilan pengguna dan membangun tunnel L2TP ke LNS
LNS: L2TP Network Server — perangkat di sisi kantor pusat yang mengakhiri tunnel L2TP dan menghubungkan pengguna ke sumber daya intranet

Catatan

3 skenario L2TP: NAS-Initiated (dial-up via PSTN/ISDN, LAC minta tunnel ke LNS), Call-LNS (menghubungkan cabang & HQ), Client-Initiated (client L2TP langsung memulai tunnel setup ke LNS tanpa perlu LAC terpisah).
Proses (client-initiated): Tunnel negotiation (bangun L2TP tunnel → session → koneksi PPP) → Packet encapsulation (data dibungkus PPP header, L2TP header, UDP header, lalu IP header publik) → berlaku security policy pada LNS untuk trafik yang lewat tunnel interface.
L2TP TIDAK menyediakan enkripsi — bergantung pada PPP authentication (CHAP/PAP/EAP) untuk autentikasi user, sering dikombinasikan dgn IPsec (L2TP over IPsec) untuk keamanan.
Security policy di LNS harus menangani dua jenis paket: paket negosiasi L2TP dari zone Untrust ke Local, dan paket layanan hasil dekapsulasi yang berjalan dari zone tunnel ke zone tujuan di intranet

11.5SSL VPN#

Deskripsi

Virtual gateway: portal terpadu di firewall untuk karyawan mobile mengakses resource intranet, mendukung local authentication, certificate authentication, dan server authentication.
Web proxy: layanan SSL VPN untuk mengakses sumber daya web intranet; firewall menulis ulang URL sumber daya sehingga alamat aslinya tersembunyi dan tampilannya menyesuaikan perangkat pengguna
File sharing: layanan untuk mengakses file server intranet berbasis SMB (Windows) atau NFS (Linux) langsung dari browser — membuat folder, mengunggah, mengunduh, mengubah nama, dan menghapus berkas
Port forwarding: layanan tingkat port untuk mengakses sumber daya TCP intranet seperti Telnet, remote desktop, FTP, dan email
Network extension: layanan yang memberi pengguna akses ke seluruh sumber daya IP di intranet, bukan hanya web, berkas, atau TCP tertentu

Catatan

Latar belakang: IPsec/L2TP VPN mengharuskan instalasi software client khusus, deployment kompleks, dan sulit kontrol akses granular. SSL VPN hadir sebagai solusi remote access ringan berbasis protokol SSL/HTTPS tanpa perlu instalasi client khusus.
SSL encapsulation berada antara transport layer (TCP) dan application layer, menyediakan enkripsi, kompresi, dan enkapsulasi data.
Alur akses SSL VPN: pengguna membuka alamat virtual gateway di browser → gateway mengirim sertifikatnya untuk diverifikasi pengguna → koneksi SSL terbentuk → pengguna memasukkan kredensial → setelah lolos autentikasi, daftar sumber daya sesuai hak aksesnya ditampilkan
Role authorization: setelah autentikasi berhasil, virtual gateway memeriksa role pengguna lalu menampilkan hanya tautan sumber daya yang boleh diakses role tersebut — misalnya role manajer punya hak berbeda dari role karyawan biasa
Port forwarding memerlukan kontrol ActiveX di sisi client yang berperan sebagai port converter: permintaan Telnet pengguna ditangkap lalu dialihkan lewat loopback lokal (mis. 127.0.0.1:1047), dienkripsi SSL, dan diteruskan virtual gateway ke server intranet
Pada network extension, PC pengguna otomatis membuat virtual network adapter; virtual gateway memberinya alamat IP dari address pool sekaligus mengirimkan route ke jaringan intranet, sehingga pengguna bisa mengakses sumber daya IP seolah berada di LAN
Catatan perintah: materi HCIA menulis penetapan port virtual gateway sebagai v-gateway gateway udp-port 443. Portal SSL VPN sendiri diakses lewat HTTPS di TCP 443; port UDP dipakai layanan network extension bila dijalankan dalam mode UDP

4 Layanan Utama SSL VPN
Layanan	Fungsi
Web Proxy	Akses resource web intranet — via web rewriting (enkripsi URL & adaptasi terminal) atau web link (forward transparan)
File Sharing	Akses file server intranet (SMB/NFS) lewat browser — buat folder, upload/download, rename, delete
Port Forwarding	Akses resource TCP intranet (Telnet, remote desktop, FTP, email) via port-level forwarding
Network Extension	Akses IP resource intranet secara umum — client mendapat IP address & route dari address pool virtual gateway

Huawei VRP — USG

aaa / domain default

# Masuk ke konfigurasi domain autentikasi

service-type ssl-vpn

# Menetapkan service type SSL VPN pada domain

user-manage group /default/group1

# Membuat user group SSL VPN

user-manage user user0001 domain default

# Membuat user SSL VPN pada domain

v-gateway gateway interface GigabitEthernet 0/0/1 private

# Membuat virtual gateway SSL VPN pada interface

v-gateway gateway udp-port 443

# Menetapkan nomor port virtual gateway (perintah persis seperti di materi HCIA)

v-gateway gateway authentication-domain default

# Mengaitkan domain autentikasi ke virtual gateway

web-proxy enable

# Mengaktifkan layanan web proxy

web-proxy web-link enable

# Mengaktifkan mode web link pada web proxy

web-proxy link-resource Web-Server http://10.2.0.2:8080 show-link

# Mendefinisikan resource web proxy (server tujuan)

vpndb / group /default/sslvpn

# Menambahkan user group ke virtual gateway (vpndb)

role role group /default/sslvpn

# Membuat role & mengaitkan ke user group

role role web-proxy enable

# Mengaktifkan akses web-proxy untuk role tsb.

role role web-proxy resource Web-Server

# Mengizinkan role mengakses resource Web-Server

Konfigurasi SSL VPN lewat GUI

Object > User > default

Membuat authentication domain, user group, dan user (mis. local authentication)

Network > SSL VPN > SSL VPN > Add

Membuat virtual gateway beserta interface dan port-nya

Atur versi SSL, cipher suite, dan session timeout

Boleh memakai nilai default

Pilih layanan (mis. Web Proxy) > Next

Menentukan layanan SSL VPN yang diaktifkan

Web Proxy Resource List > Add

Mendaftarkan sumber daya web yang boleh diakses

Authorized Role List > Add

Menentukan role dan hak akses tiap user group

Topik 12 dari 12

12Lab & Praktik Konfigurasi Firewall#

12.1Login ke Firewall (Console, Telnet, SSH, Web)#

Deskripsi

service-manage: fitur pada interface firewall yang menentukan layanan manajemen apa (ping, telnet, ssh, https) yang boleh masuk lewat interface tersebut

Catatan

Console dipakai untuk konfigurasi pertama kali, saat file konfigurasi hilang, atau saat perangkat gagal booting — akses ini tidak bergantung pada jaringan
Login jarak jauh butuh tiga hal sekaligus: layanan diaktifkan di interface lewat service-manage, security policy dari zone pengguna ke zone Local, dan akun administrator dengan service-type yang sesuai
Login pertama memakai akun admin dengan password Admin@123, dan perangkat memaksa penggantian password sebelum bisa dipakai lebih lanjut
Login web default (lab 1.5) memakai interface manajemen GE0/0/0 atau MEth0/0/0 dengan alamat 192.168.0.1 dan URL https://192.168.0.1:8443 — untuk jalur ini web service tidak perlu dinyalakan manual dan security policy tidak perlu dibuat. Login web lewat interface layanan biasa (lab 1.6) justru mensyaratkan tiga hal: HTTPS diaktifkan global (web-manager security enable), service-manage https permit pada interface, dan security policy dari zone interface itu ke zone Local
Akun administrator dibuat di dalam view aaa dengan manager-user, lalu diberi password cipher, level, dan service-type yang cocok (telnet, ssh, web, atau ftp); pengikatan role lewat bind manager-user ... role ... bersifat opsional dan hanya didukung firewall

Huawei VRP — USG

system-view

# Masuk ke mode konfigurasi sistem

telnet server enable

# Mengaktifkan layanan Telnet di perangkat

interface GigabitEthernet 0/0/1

# Masuk ke interface yang menghadap administrator

ip address 10.1.2.1 24

# Memberi alamat IP pada interface

service-manage enable

# Mengaktifkan kontrol layanan manajemen pada interface

service-manage telnet permit

# Mengizinkan Telnet lewat interface ini

quit

# Keluar dari view GigabitEthernet0/0/1, kembali ke system-view

firewall zone trust

# Masuk ke security zone Trust

add interface GigabitEthernet0/0/1

# Memasukkan interface ke zone Trust

quit

# Keluar dari view zone-trust, kembali ke system-view

security-policy

# Masuk ke konfigurasi security policy

rule name trust-local

# Membuat rule untuk trafik menuju firewall itu sendiri

source-zone trust

# Sumber trafik dari zone Trust

destination-zone local

# Tujuannya zone Local, yaitu perangkat itu sendiri

action permit

# Mengizinkan trafik manajemen tersebut

quit

# Keluar dari view policy-security-rule-trust-local, kembali ke view di atasnya

quit

# Keluar dari view policy-security, kembali ke system-view

user-interface vty 0 4

# Mengatur terminal virtual untuk login jarak jauh

authentication-mode aaa

# Memakai AAA sebagai mode autentikasi

protocol inbound telnet

# Membatasi protokol masuk hanya Telnet

user privilege level 3

# Menetapkan level hak akses pengguna VTY

quit

# Keluar dari view ui-vty0-4, kembali ke system-view

aaa

# Masuk ke konfigurasi AAA

manager-user telnetuser

# Membuat akun administrator

service-type telnet

# Menentukan akun ini boleh login lewat Telnet

level 3

# Menetapkan level hak akun

quit

# Keluar dari view manager-user, kembali ke view aaa

bind manager-user telnetuser role system-admin

# Mengikat akun ke role system administrator

Huawei VRP — USG

stelnet server enable

# Mengaktifkan layanan STelnet (SSH) di perangkat

service-manage ssh permit

# Mengizinkan SSH lewat interface manajemen (setelah service-manage enable)

protocol inbound ssh

# Membatasi protokol VTY hanya SSH

manager-user sshuser

# Membuat akun administrator SSH di dalam view aaa

service-type ssh

# Menentukan akun ini boleh login lewat SSH

ssh user sshuser

# Mendaftarkan pengguna SSH

ssh user sshuser authentication-type password

# Memakai autentikasi berbasis password

ssh user sshuser service-type stelnet

# Menetapkan jenis layanan SSH yang dipakai

rsa local-key-pair create

# Membuat pasangan kunci RSA yang wajib ada untuk SSH (default 2048 bit)

web-manager security enable

# Mengaktifkan akses web UI lewat HTTPS

service-manage https permit

# Mengizinkan HTTPS pada interface manajemen

Huawei VRP — USG

display version

# Melihat versi perangkat dan informasi sistem

display current-configuration

# Melihat konfigurasi yang sedang berjalan

display saved-configuration

# Melihat konfigurasi tersimpan untuk booting berikutnya

display this

# Melihat konfigurasi pada view yang sedang dibuka

save

# Menyimpan konfigurasi berjalan

reset saved-configuration

# Mengosongkan konfigurasi tersimpan, dipakai saat mengulang lab

reboot

# Me-restart perangkat

12.2Lab Security Policy#

Catatan

Skenario lab: PC di zone Trust harus bisa mengakses server di zone Untrust. Tanpa security policy, seluruh trafik antar zone ditolak default policy
Urutan pengerjaan: pasang alamat interface → masukkan interface ke security zone → buat security policy → uji koneksi → periksa session table untuk membuktikan trafik benar-benar lewat

Huawei VRP — USG

interface G0/0/1

# Masuk ke interface arah jaringan internal

ip address 10.1.0.1 255.255.255.0

# Memberi alamat pada interface internal

quit

# Keluar dari view G0/0/1, kembali ke system-view

interface G0/0/2

# Masuk ke interface arah jaringan luar

ip address 10.2.0.1 255.255.255.0

# Memberi alamat pada interface luar

quit

# Keluar dari view G0/0/2, kembali ke system-view

firewall zone trust

# Masuk ke zone Trust

add interface G0/0/1

# Memasukkan interface internal ke zone Trust

quit

# Keluar dari view zone-trust, kembali ke system-view

firewall zone untrust

# Masuk ke zone Untrust

add interface G0/0/2

# Memasukkan interface luar ke zone Untrust

quit

# Keluar dari view zone-untrust, kembali ke system-view

security-policy

# Masuk ke konfigurasi security policy

rule name policy_sec

# Membuat rule baru

source-zone trust

# Sumber trafik dari zone Trust

destination-zone untrust

# Tujuan trafik ke zone Untrust

action permit

# Mengizinkan trafik tersebut

display firewall session table

# Memastikan session terbentuk setelah PC menguji koneksi

12.3Lab Source NAT & NAT Server#

Catatan

Skenario lab: pengguna internal mengakses internet memakai alamat publik dari address pool (source NAT), lalu server FTP internal dipublikasikan ke internet memakai NAT Server
Untuk FTP, ASPF/NAT ALG wajib diaktifkan di interzone yang bersangkutan supaya port data hasil negosiasi ikut diterjemahkan dan diizinkan
Di Lab Guide, bab ini sebenarnya dua sub-lab. Sub-lab pertama (Source NAT): trafik Trust → Untrust diterjemahkan dengan address pool natpool 2.2.2.2-2.2.2.5. Sub-lab kedua (NAT Server + Source NAT): server FTP di DMZ dipublikasikan lewat nat server ftpserver ... global 40.1.1.2 ftp inside 10.1.1.100 ftp, ditambah source NAT arah Untrust → DMZ memakai natpool2 10.1.1.10-10.1.1.20 sehingga hasilnya bidirectional NAT dan server tidak perlu diberi gateway khusus
Catatan lab: NAT ALG sebenarnya sudah aktif secara global secara default, jadi langkah detect ftp pada interzone dmz-untrust boleh dilewati di lingkungan lab ini — tetap dipahami karena jadi bahan soal
Jawaban kuis lab: saat pengguna internet mengakses server intranet lewat alamat publik, urutan pemrosesan paket pertamanya adalah paket tiba di firewall → cocok dengan konfigurasi NAT Server dan alamat tujuan diterjemahkan → pencarian routing table → pencocokan security policy → session dibuat

Huawei VRP — USG

nat address-group natpool

# Membuat address pool untuk source NAT

section 2.2.2.2 2.2.2.5

# Menetapkan rentang alamat publik

quit

# Keluar dari view address-group-natpool, kembali ke system-view

nat-policy

# Masuk ke konfigurasi NAT policy

rule name source_nat

# Membuat rule NAT

source-zone trust

# Trafik yang berasal dari zone Trust

destination-zone untrust

# Menuju zone Untrust

action source-nat address-group natpool

# Menerjemahkan alamat sumber memakai address pool

nat server ftpserver protocol tcp global 40.1.1.2 ftp inside 10.1.1.100 ftp

# Memetakan alamat publik ke server FTP internal

quit

# Keluar dari view policy-nat-rule-source_nat, kembali ke view di atasnya

quit

# Keluar dari view policy-nat, kembali ke system-view

firewall interzone dmz untrust

# Masuk ke interzone DMZ-Untrust

detect ftp

# Mengaktifkan ASPF/NAT ALG untuk FTP

display nat server

# Memastikan entri NAT Server terbentuk

display firewall session table

# Melihat session beserta hasil translasi alamatnya

12.4Lab Hot Standby#

Catatan

Skenario lab: dua firewall di egress, VRRP group 1 di sisi internal dan VRRP group 2 di sisi eksternal, dengan interface ketiga sebagai jalur heartbeat
Setelah hot standby aktif, konfigurasi seperti NAT policy cukup dibuat di perangkat active dan akan otomatis disinkronkan ke perangkat standby
Verifikasi lewat display hrp state verbose memperlihatkan role (active/standby), running priority, hello interval 1000 ms, preempt 60 detik, serta status mirroring session
Langkah yang mudah terlewat: interface heartbeat (GE0/0/3) juga harus dimasukkan ke security zone — di Lab Guide keduanya ditempatkan di zone DMZ sebelum perintah hrp dijalankan
Membaca hasil verifikasi: display vrrp menunjukkan State Master/Backup dengan PriorityRun 120 dan PriorityConfig 100 (prioritas dinaikkan karena VRRP group dikelola VGMP, terlihat dari Config type: vgmp-vrrp), sedangkan display hrp state verbose menampilkan Role active/standby dengan Running priority 45000, hello interval 1000 ms, dan preempt 60 detik
Prompt CLI ikut berubah setelah hot standby aktif: HRP_M pada perangkat active dan HRP_S pada perangkat standby. Session table di kedua firewall terlihat identik karena statusnya disinkronkan lewat heartbeat link
Jawaban kuis lab: apakah paket HRP antar heartbeat interface dikontrol security policy tergantung model dan versi. Di lingkungan lab ini tidak dikontrol, tetapi pada versi yang mengaktifkan firewall packet-filter basic-protocol enable (default), paket HRP dikontrol sehingga perlu security policy antara zone heartbeat dan zone Local

Huawei VRP — USG

interface GigabitEthernet0/0/1

# Interface arah jaringan internal di firewall pertama

vrrp vrid 1 virtual-ip 10.3.0.3 255.255.255.0 active

# Membuat VRRP group internal dengan status active

quit

# Keluar dari view GigabitEthernet0/0/1, kembali ke system-view

interface GigabitEthernet0/0/2

# Interface arah jaringan luar

vrrp vrid 2 virtual-ip 1.1.1.1 255.255.255.0 active

# Membuat VRRP group eksternal dengan status active

quit

# Keluar dari view GigabitEthernet0/0/2, kembali ke system-view

interface GigabitEthernet0/0/3

# Interface yang dipakai sebagai jalur heartbeat

ip address 10.10.0.1 255.255.255.0

# Alamat heartbeat firewall pertama

hrp interface GigabitEthernet0/0/3 remote 10.10.0.2

# Menetapkan interface heartbeat dan alamat pasangannya

hrp authentication-key Admin@123

# Menetapkan kunci autentikasi heartbeat

hrp enable

# Mengaktifkan hot standby

display vrrp

# Memeriksa status master/backup tiap VRRP group

display hrp state verbose

# Memeriksa status VGMP, prioritas, dan konfigurasi hot standby

12.5Lab Site-to-Site IPsec VPN#

Catatan

Skenario lab: dua kantor terhubung ke internet lewat firewall masing-masing, lalu dibangun IPsec tunnel mode IKE dengan pre-shared key supaya trafik antar jaringan terenkripsi
Di web UI, konfigurasinya ada di Network > IPSec > IPSec dengan Scenario diset Site-to-site, lalu mengisi pre-shared key beserta alamat lokal dan alamat peer
Hal yang paling sering membuat tunnel gagal: definisi data flow di kedua sisi tidak berkebalikan, pre-shared key tidak sama, atau security policy antar zone belum mengizinkan trafik VPN
Jawaban kuis lab: kalau interface WAN juga menjalankan NAT untuk akses internet, pastikan trafik antar kedua kantor dikecualikan dari NAT — pada interface keluar, paket dicocokkan ke NAT lebih dulu baru ke IPsec, sehingga trafik yang sudah ter-NAT tidak akan lagi cocok dengan data flow IPsec
Pada Lab Guide, pre-shared key yang dipakai adalah Test!123 dan konfigurasinya dikerjakan lewat web UI; hasil akhirnya terlihat di configuration reference berupa ike proposal (aes-256, dh group14, sha2-256, pre-share), ipsec proposal (esp aes-256 + sha2-256), ike peer dengan remote-address lawan, serta ipsec policy ... isakmp yang diterapkan ke interface WAN

Huawei VRP — USG

ip route-static 0.0.0.0 0.0.0.0 40.1.1.1

# Default route ke arah internet

ip address-set 10.1.1.0/24 type object

# Membuat objek alamat untuk jaringan lokal

security-policy

# Masuk ke konfigurasi security policy

rule name ipsec1

# Rule yang mengizinkan trafik antar jaringan lewat tunnel

quit

# Keluar dari view policy-security-rule-ipsec1, kembali ke view di atasnya

quit

# Keluar dari view policy-security, kembali ke system-view

ipsec policy ipsec1 10 isakmp

# Membuat IPsec policy berbasis negosiasi IKE

quit

# Keluar dari view ipsec-policy-isakmp-ipsec1-10, kembali ke system-view

interface GigabitEthernet0/0/3

# Interface arah internet

ipsec policy ipsec1

# Menerapkan IPsec policy pada interface

display ike sa

# Memeriksa IKE SA hasil negosiasi fase 1

display ipsec sa

# Memeriksa IPsec SA hasil negosiasi fase 2

12.6Lab SSL VPN#

Catatan

Skenario lab (Lab Guide bab 6): karyawan mobile mengakses sumber daya intranet kantor pusat lewat SSL VPN dengan autentikasi lokal di firewall. Layanan yang dipakai di lab ini adalah network extension — pengguna memperoleh alamat IP intranet sehingga bisa mengakses seluruh sumber daya IP seolah berada di LAN (web proxy adalah contoh yang dipakai di slide teori, bukan di lab)
Rencana lab: FW GE0/0/1 1.1.1.1/24 di zone Untrust (sisi internet) dan GE0/0/2 10.1.2.1/24 di zone Trust; server intranet 10.1.2.10/24; pengguna user0001 di user group /default/group1 dengan password Password@123, sumbernya local
Network extension memakai address pool 172.16.1.1-172.16.1.10/24 dan manual route ke 10.1.2.0/24, sehingga PC pengguna mendapat alamat dari pool itu beserta route menuju jaringan intranet
Dua security policy yang wajib ada: policy01 dari zone Untrust ke Local dengan service https menuju alamat virtual gateway (agar pengguna bisa login ke gateway), dan policy02 dari Untrust ke Trust dari alamat pool 172.16.1.0/24 menuju 10.1.2.0/24 (agar trafik hasil dekapsulasi bisa mencapai server)
Verifikasi: jalankan client UniVPN dari PC lalu tekan Start pada Network Extension. Perintah route print akan memperlihatkan route ke 10.1.2.0/24, dan ipconfig memperlihatkan NIC lokal mendapat alamat dari rentang 172.16.1.1-172.16.1.10

Konfigurasi SSL VPN di web UI (mengikuti Lab Guide)

Network > Interface

Memberi alamat GE0/0/1 (Untrust) dan GE0/0/2 (Trust) lalu memasukkannya ke security zone

Object > User > default

Membuat user group /default/group1 lebih dulu, baru membuat user0001 dengan sumber local dan password Password@123

Network > SSL VPN > SSL VPN > Add

Membuat virtual gateway pada interface yang menghadap internet, lalu Next

Aktifkan Network Extension + address pool

Mengisi address pool 172.16.1.1-172.16.1.10/24 untuk pengguna remote

Daftarkan intranet resource

Menambahkan manual route ke 10.1.2.0/24 sebagai sumber daya yang boleh diakses

Role Authorization List > Add

Membuat role, mengikatnya ke /default/group1, dan mengaktifkan network extension untuk role itu

Policy > Security Policy

Membuat policy01 (Untrust → Local, service https) dan policy02 (Untrust → Trust, 172.16.1.0/24 → 10.1.2.0/24)

Uji dengan UniVPN

Huawei VRP — USG

v-gateway gateway interface GigabitEthernet0/0/1 private

# Membuat virtual gateway pada interface arah internet

v-gateway gateway alias gateway

# Memberi alias untuk virtual gateway

ssl version tlsv12

# Menetapkan versi SSL/TLS yang dipakai gateway

ssl timeout 5 / ssl lifecycle 1440

# Timeout sesi 5 menit dan masa hidup sesi 1440 menit

network-extension enable

# Mengaktifkan layanan network extension

network-extension netpool 172.16.1.1 172.16.1.10 255.255.255.0

# Menetapkan address pool untuk pengguna remote

netpool 172.16.1.1 default

# Menetapkan pool default yang dipakai

network-extension mode manual

# Memakai mode manual route (bukan full/split otomatis)

network-extension manual-route 10.1.2.0 255.255.255.0

# Route intranet yang dikirim ke pengguna

vpndb / group /default/group1

# Menambahkan user group ke database virtual gateway

role role / role role condition all

# Membuat role dan kondisi pencocokannya

role role network-extension enable

# Mengizinkan role tersebut memakai network extension