Konfigurasi SSH, Port Security, dan ACL di Packet Tracer

Catatan keamanan dan legal: seluruh konfigurasi berlangsung di Packet Tracer pada topologi lab milikmu. Prinsip yang dilatih di sini berlaku sama di perangkat nyata: jangan pernah mengubah konfigurasi jaringan kampus/kantor tanpa izin, dan selalu simpan cadangan konfigurasi sebelum mengubah apa pun di perangkat sungguhan. Panduan ini mengikuti Lab Exercise 9.03 (Passwords and SSH), 10.01 (Port Security on Switches), 10.02 (Standard ACLs on Routers), dan 10.03 (Extended ACLs on Routers) dari Lab Manual (2021); keduanya bagian ACL dan port security memang memakai Packet Tracer.

Tujuan pembelajaran

Sesuai RPS TL455 pertemuan 6, setelah lab ini kamu mampu mengonfigurasi SSH, Port Security, dan ACL pada topologi simulasi. Tujuan eksplisit lab referensinya: mengonfigurasi dan memakai beberapa kata sandi perangkat, mengonfigurasi SSH untuk akses jarak jauh, mengonfigurasi serta menguji port security, dan mengonfigurasi serta menguji standard dan extended ACL.

Topologi dan Alat

• ▸Lanjutkan topologi pertemuan 4 (Lab 9.02): router R0, R1, R2 (4331), dua switch 2960, empat PC 10.x.0.x/16. Sesuai RPS, topologi ini mewakili desain ber-VLAN: tiap switch membayangkan satu segmen (misalnya VLAN karyawan dan VLAN server); Lab 9.03 bahkan menyiapkan SVI interface vlan 1 pada switch, jadi konteks VLAN-nya sudah melekat.
• ▸Semua perintah di bawah diekstrak dari Lab Manual; ingat kebiasaan IOS: ENTER setelah tiap perintah, singkatan selama unik, ? untuk bantuan.
• ▸Server web untuk uji ACL: tambahkan satu Server (misal 10.4.0.50) di belakang R2 dan aktifkan layanan HTTP-nya (prosedur standar Packet Tracer: tab Services > HTTP).

Langkah Pekerjaan

1. Kata sandi perangkat (Lab 9.03, Step 1 sampai 3). Pilih sembarang perangkat, lalu:

enable
configure terminal
enable secret bob
line con 0
 password alice
 login
username jonathan password weissman
line con 0
 login local
 no password

Uji: disable lalu enable meminta sandi enable secret; keluar dan login console kini meminta username/password lokal (jonathan/weissman). Lab menegaskan: bawaan perangkat Cisco tanpa kata sandi sama sekali, dan itu wajib dibetulkan sebelum dipakai.

1. SSH pada switch S0 (Lab 9.03, Step 4). Switch adalah perangkat lapisan 2, tapi ia bisa diberi alamat IP lewat SVI (switched virtual interface), yaitu interface vlan 1:

enable
configure terminal
interface vlan 1
 ip address 10.1.0.52 255.255.0.0
 no shutdown
exit
ip default-gateway 10.1.0.99
hostname S0
ip domain-name lab.local
crypto key generate rsa
ip ssh version 2
line vty 0 15
 login local
 transport input ssh

Saat diminta How many bits in the modulus [512], jawab 2048. Logikanya dari Lab 9.03: kunci RSA dibuat dari FQDN (hostname + domain-name), versi SSH dikunci ke 2 (menolak versi 1 yang lebih lemah), dan transport input ssh membuat jalur vty menolak Telnet, protokol yang meneruskan sandi dalam cleartext. Uji dari salah satu PC: Desktop > Telnet/SSH Client, Connection Type SSH, host 10.1.0.52, username jonathan, sandi weissman, lalu enable dengan enable secret. Berhasil masuk berarti manajemen jarak jauhmu terenkripsi.

1. Port security (Lab 10.01). Di S0, pada port PC0 (FastEthernet0/1):

configure terminal
interface f0/1
 switchport mode access
 switchport port-security
 switchport port-security mac-address sticky

Lab menegaskan urutannya: port wajib dideklarasikan access dulu, sebelum port security boleh menyala. Opsi penyetelan (dibahas, jangan langsung dieksekusi): maximum 2 (untuk VM atau telepon VoIP), violation restrict (port tetap hidup, trafik pelanggar dibuang dan dicatat). Uji dan amati:

copy running-config startup-config
reload
show port-security
show port-security interface f0/1

Ping dari PC0 ke PC3 untuk memicu pembelajaran MAC, lalu reload switch: sticky MAC bertahan setelah reboot. Uji pelanggaran (Lab 10.01, Step 3): ubah MAC PC0 menjadi BAD1.BAD2.BAD3 (tab Config > FastEthernet0), ping PC3: Request timed out; port masuk keadaan err-disabled (secure-shutdown). Pulihkan: kembalikan MAC asli PC0, lalu di port shutdown dan no shutdown (prosedur pemulihan standar IOS untuk port err-disabled).

1. Standard ACL: tolak satu subnet (Lab 10.02, Step 1). Baseline: pastikan PC0 dan PC1 bisa ping PC2 dan PC3. Di R2 (router dekat tujuan):

configure terminal
access-list 1 deny 10.1.0.0 0.0.255.255
access-list 1 permit any
interface g0/0/0
 ip access-group 1 out

Uji: keempat ping dari PC0/PC1 ke PC2/PC3 kini gagal; ping dari R1 ke 10.4.0.2 tetap berhasil. show access-lists menunjukkan penghitung match per baris (16 match pada baris deny: empat set empat echo request). Penempatan standard ACL out di antarmuka menuju server mengikuti aturan buku: standard ditempatkan sedekat mungkin dengan tujuan. Hapus bila ingin lanjut: no access-list 1, lalu versi satu host: access-list 1 deny 10.1.0.1 (hanya PC1 yang ditolak).

1. Extended ACL: blokir satu arus spesifik (Lab 10.03, Step 1-2). Di R0 (router dekat sumber):

configure terminal
access-list 101 deny tcp 10.1.0.100 0.0.0.0 10.4.0.3 0.0.0.0 eq 80
access-list 101 permit ip any any
interface g0/0/1
 ip access-group 101 in

Uji dua kali dari PC0 (Desktop > Web Browser): buka 10.4.0.3: Request Timeout (terblokir baris deny, port 80 cocok); buka 10.4.0.3:99: Server Reset Connection (port 99 tidak cocok dengan baris deny, dan memang tak ada layanan di sana). show access-lists memperlihatkan baris mana yang match. Inilah kekuatan extended ACL: menyaring source, destination, protokol, dan port sekaligus, dipasang dekat sumber.

1. Simpan semua konfigurasi di tiap perangkat: copy running-config startup-config.

Hasil yang Diharapkan

• ▸Console dan privileged EXEC memakai kredensial (enable secret, login local); akses tanpa sandi tidak ada lagi.
• ▸SSH versi 2 ke SVI switch (10.1.0.52) berhasil dari PC; Telnet ditolak oleh transport input ssh.
• ▸Sticky MAC tercatat dan bertahan setelah reload; MAC asing mematikan port; pemulihan berhasil.
• ▸Standard ACL menahan subnet sumber ke area server tanpa memutus sisanya; extended ACL menahan satu arus TCP port 80 spesifik.
• ▸show access-lists, show port-security, dan show ip ssh bisa kamu bacakan hasilnya; semua konfigurasi tersimpan.

Troubleshooting Umum

• ▸`crypto key generate rsa` gagal: hostname dan ip domain-name harus disetel lebih dulu; nama kunci diturunkan dari keduanya.
• ▸SVI tidak up: interface vlan 1 perlu no shutdown dan minimal satu perangkat aktif di VLAN tersebut.
• ▸SSH ditolak dari PC: pastikan Connection Type SSH (bukan Telnet), transport input ssh sudah dipasang, dan username lokal ada (login local).
• ▸Port err-disabled karena pelanggaran: kembalikan MAC asli, lalu shutdown/no shutdown pada port.
• ▸ACL memblokir lebih dari yang dimaksud: baris permit eksplisit kurang atau urutannya salah (explicit deny any menutup sisanya); perbaiki dengan no access-list lalu tulis ulang berurutan.
• ▸ACL tidak berpengaruh: arah in/out atau antarmukanya salah dari jalur paket; cek show ip interface dan show access-lists.

Checklist Selesai

• ▸[ ] Enable secret, console, dan login lokal terkonfigurasi dan teruji.
• ▸[ ] SSH v2 ke switch (SVI) berhasil dari PC; Telnet ditolak.
• ▸[ ] Sticky MAC bertahan reload; pelanggaran MAC mematikan port; pemulihan dilakukan.
• ▸[ ] Standard ACL (subnet dan satu host) teruji dengan penghitung match.
• ▸[ ] Extended ACL (blokir TCP port 80 spesifik) teruji: port 80 timeout, port 99 reset.
• ▸[ ] Semua konfigurasi tersimpan ke startup-config.