Panduan Jaringan Server: IP, DNS, IPv6, dan Firewall

Server yang bisa diakses dari internet bergantung pada beberapa lapisan jaringan yang bekerja bersama: alamat IP yang bisa dijangkau, DNS yang menerjemahkan nama domain ke alamat itu, port yang terbuka untuk layanan yang tepat, dan firewall yang menolak sisanya. Kalau satu lapisan keliru, gejalanya sama di mata pengguna: "websitenya tidak bisa dibuka".

Panduan ini untuk pemilik VPS, pengelola server kantor, dan siapa saja yang pernah bingung kenapa CCTV atau aplikasi internal tidak bisa diakses dari luar. Setiap bagian menjelaskan konsepnya secara ringkas, lalu menunjuk ke artikel yang lebih rinci.

Peta singkat lapisan jaringan server

Sebelum masuk detail, tabel ini merangkum komponen yang akan dibahas dan masalah khas bila komponen itu salah atur.

IP publik dan IP privat: apa bedanya?

IP publik adalah alamat yang unik di seluruh internet dan bisa dijangkau dari mana saja. IP privat hanya berlaku di dalam jaringan lokal, misalnya kantor atau rumah. Rentang IPv4 privat sudah ditetapkan dalam standar: 10.0.0.0/8, 172.16.0.0/12, dan 192.168.0.0/16. Alamat di rentang ini tidak bisa diakses langsung dari internet.

VPS umumnya sudah dilengkapi IP publik, sehingga website yang dipasang di sana langsung bisa dibuka dari luar. Koneksi internet kantor atau rumah berbeda cerita: banyak paket tidak menyertakan IP publik tetap. Kapan bisnis benar-benar membutuhkan IP publik dijelaskan di apa itu IP publik.

IP statis dan dinamis

IP statis tidak berubah, sedangkan IP dinamis bisa berganti setiap kali modem dinyalakan ulang atau dalam periode tertentu. Untuk server yang diakses lewat domain, IP statis jauh lebih praktis. IP dinamis masih bisa disiasati dengan layanan DNS dinamis, tapi hanya bila IP-nya memang publik.

NAT dan CGNAT: kenapa port forwarding sering gagal

NAT (Network Address Translation) memungkinkan banyak perangkat di jaringan lokal berbagi satu IP publik. Router menerjemahkan alamat privat ke alamat publik saat paket keluar, lalu mengembalikannya saat balasan masuk. Untuk koneksi keluar, ini berjalan mulus. Untuk koneksi masuk, kamu perlu port forwarding: memberi tahu router bahwa lalu lintas ke port tertentu diteruskan ke perangkat tertentu.

Masalah muncul pada CGNAT (Carrier-Grade NAT). Di sini ISP sendiri melakukan NAT tambahan, sehingga router kantormu tidak memegang IP publik sama sekali, melainkan alamat dari rentang khusus 100.64.0.0/10 atau alamat privat lain. Port forwarding di router jadi tidak berguna, karena lalu lintas dari internet berhenti di perangkat ISP. Inilah alasan klasik CCTV tidak bisa dibuka dari HP. Solusinya dibahas di membuka CCTV dari HP saat internet pakai CGNAT.

Cara cepat mengecek: bandingkan alamat WAN yang tertera di halaman status router dengan IP yang ditampilkan situs pengecek IP. Kalau berbeda, hampir pasti ada NAT di sisi ISP.

DNS: menghubungkan domain ke server

DNS bekerja seperti buku telepon internet. Saat seseorang membuka domainmu, resolver mencari record yang menunjukkan ke IP mana domain itu mengarah. Beberapa record yang paling sering dipakai pemilik server:

• A mengarahkan nama ke alamat IPv4.
• AAAA mengarahkan nama ke alamat IPv6.
• CNAME membuat satu nama menjadi alias dari nama lain.
• MX menentukan server penerima email.
• TXT menyimpan teks bebas, dipakai untuk verifikasi domain serta SPF, DKIM, dan DMARC.

Penjelasan tiap record ada di apa itu DNS.

TTL dan kenapa perubahan DNS terasa lambat

TTL (time to live) adalah angka dalam detik yang menentukan berapa lama resolver boleh menyimpan jawaban DNS di cache. Kalau TTL sebuah record 3600, perubahan IP bisa baru terlihat oleh sebagian pengguna setelah sampai satu jam. Trik yang sering dipakai saat migrasi server: turunkan TTL beberapa waktu sebelum pindah, lakukan perubahan, lalu naikkan lagi setelah semuanya stabil.

IPv6: perlu disiapkan sekarang?

IPv4 memakai alamat 32 bit, sehingga jumlahnya terbatas sekitar 4,3 miliar alamat. Persediaan bebasnya di tingkat pusat sudah habis sejak 2011, dan itulah salah satu pendorong ISP memakai CGNAT. IPv6 memakai alamat 128 bit dengan ruang yang luar biasa besar, sehingga setiap perangkat bisa mendapat alamat publik sendiri.

Untuk pemilik server, langkah praktisnya: pastikan VPS punya alamat IPv6, tambahkan record AAAA, dan atur firewall untuk IPv6 sama ketatnya dengan IPv4. Jebakan yang sering terjadi adalah firewall IPv4 dikunci rapat sementara IPv6 terbuka lebar. Penjelasan lengkap dan kondisi adopsinya di Indonesia ada di apa itu IPv6.

Port dan firewall: buka seperlunya

Port memungkinkan satu IP melayani banyak layanan sekaligus. Beberapa port standar yang perlu kamu kenal:

Memindahkan SSH ke port lain sering disarankan untuk mengurangi kebisingan log dari bot pemindai. Langkah itu boleh saja, tapi bukan pengganti pengamanan sungguhan. Bot tetap bisa menemukan port baru, jadi yang benar-benar melindungi adalah login dengan SSH key, larangan login root dengan password, dan pembatasan alamat yang boleh terhubung.

Untuk melihat port apa saja yang sebenarnya terbuka dari luar, uji dari jaringan lain, misalnya dengan pemindai port dari server berbeda. Hasilnya sering mengejutkan: layanan yang dipasang bertahun-tahun lalu dan sudah terlupa ternyata masih mendengarkan.

Prinsip firewall yang aman adalah tolak semua secara default, lalu izinkan hanya yang memang diperlukan. Di Linux, alat seperti UFW atau firewalld membuat aturan ini mudah ditulis. Banyak penyedia VPS juga menyediakan firewall di tingkat jaringan, sehingga lalu lintas yang ditolak bahkan tidak sampai ke server.

Perlu diingat juga bahwa firewall hanya menyaring berdasarkan alamat dan port. Serangan yang datang lewat port 443 yang sah, misalnya upaya eksploitasi aplikasi web, perlu lapisan lain seperti WAF dan aplikasi yang selalu diperbarui.

Satu IP untuk banyak aplikasi

Bagaimana menjalankan beberapa website dan aplikasi di satu server dengan satu IP? Jawabannya reverse proxy. Semua domain diarahkan ke IP yang sama, lalu reverse proxy di port 443 membaca nama domain di setiap request dan meneruskannya ke aplikasi yang sesuai di dalam server. Reverse proxy juga menjadi tempat HTTPS dipasang. Konsepnya dijelaskan di apa itu reverse proxy.

Tunnel dan VPN untuk akses tanpa membuka port

Tidak semua layanan perlu terbuka ke internet. Panel admin, database, dan aplikasi internal lebih aman diakses lewat VPN. Pengguna terhubung dulu ke jaringan privat terenkripsi, lalu mengakses layanan seolah berada di jaringan lokal.

Ada dua pola yang perlu dibedakan:

• VPN akses jarak jauh: karyawan terhubung ke jaringan kantor atau server dari mana saja. WireGuard banyak dipilih karena konfigurasinya ringkas.
• Tunnel keluar: perangkat di balik CGNAT membuat koneksi keluar ke server yang punya IP publik, lalu lalu lintas dari internet dialirkan lewat koneksi itu. Pola ini memungkinkan layanan di kantor diakses dari luar tanpa IP publik di kantor.

Perbandingan protokol tunnel yang umum ada di WireGuard vs L2TP vs SSTP.

Urutan memeriksa saat server tidak bisa diakses

Saat ada laporan "tidak bisa dibuka", periksa dari lapisan paling bawah ke atas agar tidak membuang waktu.

Urutan ini sederhana, tapi cukup untuk menemukan banyak penyebab gangguan akses.