DHCP Static Leases & ARP Static di MikroTik

Pendahuluan

Pada Lab 2, kita sudah membuat DHCP Server yang membagikan IP secara dinamis ke client — artinya IP bisa berubah-ubah setiap kali client reconnect. Di jaringan production (sekolah, kantor, ISP), sering kali kita ingin perangkat tertentu selalu mendapat IP yang sama, misalnya untuk server lokal, printer, atau perangkat CCTV.

Selain itu, ada risiko keamanan bernama IP spoofing atau rogue DHCP — di mana perangkat asing bisa mengambil IP yang seharusnya milik perangkat lain, atau menyusup jadi DHCP server ilegal di jaringan. Untuk mengatasi ini, MikroTik menyediakan fitur DHCP Static Leases (reservasi IP berdasarkan MAC Address) dan ARP Static (mengunci pasangan IP–MAC secara permanen). Perlu dicatat, proteksi ini bekerja di level ARP, bukan di level DHCP — jadi perangkat asing tetap bisa mendapat IP, namun tidak akan bisa benar-benar berkomunikasi di jaringan.

Pada lab ini kita akan belajar:

• Membuat DHCP Static Lease agar 1 client selalu dapat IP yang sama
• Mengubah ARP Mode menjadi reply-only agar hanya perangkat terdaftar yang bisa terhubung
• Menambahkan ARP Static entry secara manual

---

Alat yang Dibutuhkan

• 1 unit MikroTik RouterOS/CHR (R1)
• 1 unit Switch Unmanage
• 2 unit PC/Client:
  • PC-Client → akan direservasi IP static
  • PC-Test → dibiarkan default, digunakan khusus untuk menguji efek reply-only di langkah akhir (opsional, bisa laptop kedua atau HP di-tether)
• Aplikasi Winbox

Catatan: Lab ini melanjutkan konfigurasi LAN dari Lab 2. Jika belum ada DHCP Server di R1, silakan konfigurasi dulu seperti langkah di Lab 2 bagian LAN (IP statis di ether2 + DHCP Server), atau bisa juga langsung ikuti dari awal karena semua perintah di lab ini ditulis lengkap.

---

Topologi

• R1 ether2: 192.168.10.1/24, DHCP Server dengan pool 192.168.10.10-192.168.10.100, terhubung ke port switch unmanage
• Switch Unmanage: menghubungkan R1 ke beberapa client sekaligus dalam satu broadcast domain (tidak perlu konfigurasi apa pun di switch ini — plug and play)
• PC-Client: akan direservasi supaya selalu mendapat IP 192.168.10.100
• PC-Test: perangkat tambahan untuk membuktikan bahwa setelah reply-only aktif, perangkat yang belum terdaftar ARP tidak akan bisa berkomunikasi meskipun berada di switch/segment yang sama

---

Langkah Konfigurasi

1. Pastikan DHCP Server Sudah Aktif di R1

Jika belum ada, jalankan dulu:

[admin@R1] > /ip address add address=192.168.10.1/24 interface=ether2
[admin@R1] > /ip pool add name=pool-lan ranges=192.168.10.10-192.168.10.100
[admin@R1] > /ip dhcp-server add name=dhcp-lan interface=ether2 address-pool=pool-lan
[admin@R1] > /ip dhcp-server network add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=8.8.8.8
[admin@R1] > /ip dhcp-server enable dhcp-lan
[admin@R1] > /ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade

Sambungkan PC-Client ke port switch unmanage (yang sudah terhubung ke ether2 R1), pastikan sudah dapat IP dinamis dari pool.

Catatan: Rule NAT Masquerade di atas wajib ada agar pengujian akses internet pada langkah verifikasi akhir bisa berhasil. Jika Anda sudah menyelesaikan Lab 2 sebelumnya, seluruh konfigurasi di atas kemungkinan sudah ada — cukup pastikan saja dengan /ip firewall nat print.

---

2. Cari Tahu MAC Address PC-Client

Cek daftar client yang sedang mendapat IP dari DHCP Server:

[admin@R1] > /ip dhcp-server lease print

Output /ip dhcp-server lease print menampilkan daftar lease aktif, lengkap dengan kolom MAC Address dan Address (IP) yang sedang dipakai PC-Client.

Catat MAC Address PC-Client dari hasil di atas — akan dipakai di langkah berikutnya.

---

3. Membuat DHCP Static Lease

Misalnya MAC Address PC-Client adalah 00:50:79:66:68:00, dan kita ingin PC-Client ini selalu mendapat IP 192.168.10.100.

Lewat CLI:

[admin@R1] > /ip dhcp-server lease add address=192.168.10.100 mac-address=00:50:79:66:68:00 server=dhcp-lan

Lewat Winbox (GUI, lebih praktis):

1. Buka menu IP > DHCP Server > Leases
2. Cari entri lease milik PC-Client (yang dinamis)
3. Klik Make Static

Tombol "Make Static" pada jendela DHCP Server Leases di Winbox, digunakan untuk mengubah lease dinamis menjadi permanen tanpa perlu mengetik ulang MAC Address secara manual.

Verifikasi:

[admin@R1] > /ip dhcp-server lease print

Tabel DHCP Server Leases menampilkan status lease PC-Client berubah dari dynamic menjadi static (ditandai dengan flags "D" hilang di kolom status pada Winbox).

Tes: Putuskan koneksi PC-Client (disable/enable NIC atau ipconfig /release lalu /renew di Windows), lalu sambungkan lagi. IP yang didapat harus tetap 192.168.10.100.

---

4. Mengaktifkan ARP Static (Mode Reply-Only)

Static lease saja belum cukup untuk keamanan — client lain yang set IP manual (192.168.10.100) secara paksa masih bisa "menyerobot" IP tersebut. Untuk mengunci pasangan IP–MAC secara ketat, kita ubah ARP mode interface menjadi reply-only, artinya router hanya akan membalas ARP request dari perangkat yang IP-MAC nya sudah terdaftar di tabel ARP.

Lewat CLI:

[admin@R1] > /interface ethernet set ether2 arp=reply-only

Lewat Winbox (GUI):
Menu Interfaces, double click ether2, ubah field ARP menjadi reply-only, klik Apply → OK.

Peringatan: Setelah mode ini aktif, perangkat yang IP-MAC nya belum terdaftar di ARP table tidak akan bisa berkomunikasi dengan router (meskipun tetap bisa mendapat IP dari DHCP, karena proses DHCP berjalan lewat broadcast dan tidak bergantung pada ARP). Pastikan sudah menambahkan ARP Static untuk semua perangkat yang dibutuhkan sebelum menerapkan reply-only di jaringan production.

---

5. Menambahkan ARP Static Secara Manual

Karena PC-Client sudah dapat IP static lease (192.168.10.100), tambahkan entry ARP static yang sesuai:

Lewat CLI:

[admin@R1] > /ip arp add address=192.168.10.100 mac-address=00:50:79:66:68:00 interface=ether2

Lewat Winbox (GUI):
Menu IP > ARP, klik + (Add), isi:

• Address: 192.168.10.100
• MAC Address: 00:50:79:66:68:00
• Interface: ether2

Klik Apply → OK.

---

6. Verifikasi Akhir

Cek tabel ARP:

[admin@R1] > /ip arp print

Tabel IP > ARP menampilkan entry statis untuk PC-Client dengan pasangan IP dan MAC Address yang benar.

Uji koneksi dari PC-Client (yang sudah terdaftar) ke R1:

ping 192.168.10.1

Pastikan berhasil, dan pastikan PC-Client juga bisa akses internet secara normal.

Selanjutnya, sambungkan PC-Test ke port switch yang sama (belum terdaftar di ARP static). Coba jalankan ipconfig /renew (Windows) atau reconnect NIC di PC-Test.

Penting untuk dipahami: PC-Test kemungkinan besar tetap akan mendapat IP Address dari DHCP Server — ini normal, karena proses DHCP (Discover-Offer-Request-Ack) berjalan lewat broadcast dan tidak bergantung pada tabel ARP. Namun, begitu PC-Test mencoba mengakses jaringan lain (ping ke 192.168.10.1, atau browsing internet), koneksi tersebut akan gagal. Ini karena mode reply-only membuat router menolak membalas ARP request dari IP-MAC yang belum terdaftar — akibatnya PC-Test tidak pernah bisa mengetahui MAC Address gateway (R1), sehingga paket tidak bisa dikirim sama sekali.

Jadi indikator keberhasilan lab ini bukan "PC-Test gagal dapat IP", melainkan:

• PC-Test berhasil dapat IP dari DHCP (normal)
• PC-Test gagal total saat ping ke gateway (192.168.10.1) atau browsing internet — inilah bukti proteksi reply-only bekerja

---

Penutup

Pada lab ini kita berhasil mengunci alokasi IP untuk perangkat tertentu menggunakan DHCP Static Lease, serta memperketat keamanan jaringan dengan ARP Static dan mode reply-only. Perlu diingat, proteksi reply-only bekerja di level ARP (Layer 2/3 resolution) — bukan mencegah perangkat asing mendapat IP, melainkan mencegah perangkat tersebut benar-benar berkomunikasi di jaringan. Kombinasi kedua fitur ini sering dipakai di jaringan production untuk mencegah perangkat asing menyusup atau mencuri IP address (IP spoofing) di dalam LAN.