Lewati ke konten utama

Generator Port Forwarding (DST-NAT) dan Hairpin NAT MikroTik

Buka port server/NVR ke internet publik (DST-NAT) dan cegah koneksi loopback timeout dari dalam jaringan kantor menggunakan Hairpin NAT.

Parameter Input

Coba Contoh:

Hasil Perhitungan

Interface WAN Publik
ether1-ISP
Alamat IP Publik (WAN)
203.142.77.10
Port Eksternal (Publik)
8000
IP Server / Perangkat Lokal
192.168.88.250
Port Internal (Lokal)
8000
Protokol Transpor
tcp
Subnet Jaringan LAN
192.168.88.0/24
Deskripsi Layanan / Rule
NVR-CCTV-Server
Status Hairpin NAT (Loopback)
Ya / Aktif
Status Firewall Filter Forward
Ya / Aktif
Ingin membandingkan 2 opsi desain (misal: RAIDZ1 vs RAIDZ2, atau Cat6 vs Cat5e)?
⚡ Uji Refleks Jaringan (Standar SKKNI, MTCNA & CCNA)
Uji keahlian MTCNA / CCNA / SMK TKJ & unduh sertifikat skor berstempel
⚡ Tier Enterprise SMB / Kampus (150–800 Mbps)
MikroTik RB5009UG+S+IN / L009UiGS
RouterOS v7 Level 5 • Marvell Armada Quad-Core 1.4 GHz (1GB RAM)

Sangat stabil untuk Multi-WAN PCC + Mangle + Queue Tree FQ-CoDel tanpa membebani CPU di atas 60%.

Rule Port Forwarding (DST-NAT)
add action=dst-nat chain=dstnat dst-address=203.142.77.10 dst-port=8000 protocol=tcp to-addresses=192.168.88.250 to-ports=8000 comment="Port Forward NVR-CCTV-Server (TCP 8000 -> 192.168.88.250:8000)"
Rule Hairpin NAT (SRC-NAT Masquerade)
add action=masquerade chain=srcnat dst-address=192.168.88.250 dst-port=8000 out-interface-list=all protocol=tcp src-address=192.168.88.0/24 comment="Hairpin NAT Loopback NVR-CCTV-Server (TCP)"
Rule Firewall Filter Accept
add action=accept chain=forward connection-nat-state=dstnat dst-address=192.168.88.250 dst-port=8000 protocol=tcp comment="Allow Forwarded Port NVR-CCTV-Server (TCP)"
Script Konfigurasi Terminal (CLI)
# =====================================================================
# InfraCalc.web.id - Port Forwarding (DST-NAT) + Hairpin NAT (NVR-CCTV-Server)
# Target: 203.142.77.10:8000 -> 192.168.88.250:8000 [TCP]
# =====================================================================

/ip firewall nat
# 1. DST-NAT: Arahkan trafik dari IP Publik / WAN ke IP Server Lokal
add action=dst-nat chain=dstnat dst-address=203.142.77.10 dst-port=8000 protocol=tcp to-addresses=192.168.88.250 to-ports=8000 comment="Port Forward NVR-CCTV-Server (TCP 8000 -> 192.168.88.250:8000)"

# 2. HAIRPIN NAT: Agar saat staf di jaringan lokal (192.168.88.0/24) mengakses IP Publik/Domain, tidak mental/timeout
add action=masquerade chain=srcnat dst-address=192.168.88.250 dst-port=8000 out-interface-list=all protocol=tcp src-address=192.168.88.0/24 comment="Hairpin NAT Loopback NVR-CCTV-Server (TCP)"

# 3. FIREWALL FILTER: Izinkan trafik forward hasil DST-NAT melewati firewall
/ip firewall filter
add action=accept chain=forward connection-nat-state=dstnat dst-address=192.168.88.250 dst-port=8000 protocol=tcp comment="Allow Forwarded Port NVR-CCTV-Server (TCP)"
Multi-Vendor & Packet Flow

Multi-Vendor Config Translator & Visualisasi Alur Paket (Packet Flow)

Diagram Alur Paket Interaktif (Klik Tahap untuk Detail Inspeksi)WAN ➔ Prerouting/NAT ➔ Filter/QoS ➔ LAN
1. WAN / LAN IngressTCP :80002. PREROUTING / DST-NATRewrite -> 192.168.88.23. Firewall Forward FilState: NEW/ESTABLISHED4. POSTROUTING / TargetServer 192.168.88.250
1. WAN / LAN Ingress: Paket masuk menuju port publik :8000 pada antarmuka WAN atau loopback LAN (192.168.88.0/24).
# =====================================================================
# InfraCalc.web.id - Port Forwarding (DST-NAT) + Hairpin NAT (NVR-CCTV-Server)
# Target: 203.142.77.10:8000 -> 192.168.88.250:8000 [TCP]
# =====================================================================

/ip firewall nat
# 1. DST-NAT: Arahkan trafik dari IP Publik / WAN ke IP Server Lokal
add action=dst-nat chain=dstnat dst-address=203.142.77.10 dst-port=8000 protocol=tcp to-addresses=192.168.88.250 to-ports=8000 comment="Port Forward NVR-CCTV-Server (TCP 8000 -> 192.168.88.250:8000)"

# 2. HAIRPIN NAT: Agar saat staf di jaringan lokal (192.168.88.0/24) mengakses IP Publik/Domain, tidak mental/timeout
add action=masquerade chain=srcnat dst-address=192.168.88.250 dst-port=8000 out-interface-list=all protocol=tcp src-address=192.168.88.0/24 comment="Hairpin NAT Loopback NVR-CCTV-Server (TCP)"

# 3. FIREWALL FILTER: Izinkan trafik forward hasil DST-NAT melewati firewall
/ip firewall filter
add action=accept chain=forward connection-nat-state=dstnat dst-address=192.168.88.250 dst-port=8000 protocol=tcp comment="Allow Forwarded Port NVR-CCTV-Server (TCP)"
Fitur Visual Otomatis

Generator Topologi Jaringan Visual (SVG / PNG)

Topologi Port Forwarding (DST-NAT) & Hairpin NATKalkuNet.com • Auto-TopologyKlien Internet PublikTCP Port 8000 -> WAN IPKlien Lokal (Hairpin)Subnet 192.168.88.0/24RTRMikroTik Firewall NATDST-NAT :8000 -> 192.168.88.250:SWLAN Switch SegmentGateway 192.168.88.0/24NVR-CCTV-Server192.168.88.250:8000 (TCP)[Port Forwarded]Perangkat Kantor LainnyaProtected by Forward Chain[Internal LAN]
Bagikan ke WhatsApp
ℹ️

Catatan Akurasi Teknis: Hasil perhitungan di atas bersifat estimasi rekayasa berdasarkan parameter standar RFC/IEEE/ITU-T. Kondisi aktual di lapangan dapat dipengaruhi oleh overhead protokol, kualitas perangkat, dan interferensi lingkungan.

🚀 Bagikan Hasil Hitungan Ini atau Pasang di Website Anda

Tautan otomatis menyimpan angka input Anda saat ini — sangat praktis untuk diskusi grup WA, Telegram, Facebook, atau laporan proyek.

Cara Menggunakan Alat Ini

  1. Masukkan alamat IP publik (atau pilih antarmuka WAN), port eksternal yang diakses publik, dan alamat IP serta port server/NVR lokal.
  2. Pilih protokol transport (TCP, UDP, atau Keduanya), masukkan subnet LAN lokal (misalnya 192.168.88.0/24), dan beri nama deskripsi layanan.
  3. Tinjau aturan DST-NAT, Hairpin NAT loopback, dan filter firewall yang dihasilkan, lalu salin script ke terminal MikroTik RouterOS v7.

Contoh Perhitungan Nyata: Kamera NVR CCTV Port 8000

Contoh terhitung: Meneruskan port eksternal 8000 (TCP) pada IP publik 203.142.77.10 ke server lokal 192.168.88.250:8000 (NVR-CCTV-Server) lengkap dengan aturan Hairpin NAT untuk subnet LAN 192.168.88.0/24.

Input Contoh
Nama Layanan / Server
NVR-CCTV-Server
IP Publik WAN / Hostname DDNS
203.142.77.10
Port Eksternal (Publik)
8000
IP Server Lokal (LAN)
192.168.88.250
Port Server Lokal (Internal)
8000
Protokol Transport
TCP (Web, HTTP/HTTPS, SSH, RDP)
Subnet LAN (Hairpin NAT Loopback)
192.168.88.0/24
Interface WAN (ISP)
ether1-ISP
Output Terhitung
Interface WAN Publik
ether1-ISP
Alamat IP Publik (WAN)
203.142.77.10
Port Eksternal (Publik)
8000
IP Server / Perangkat Lokal
192.168.88.250
Port Internal (Lokal)
8000
Protokol Transpor
tcp
Subnet Jaringan LAN
192.168.88.0/24
Deskripsi Layanan / Rule
NVR-CCTV-Server
Status Hairpin NAT (Loopback)
Ya / Aktif
Status Firewall Filter Forward
Ya / Aktif
Rule Port Forwarding (DST-NAT)
add action=dst-nat chain=dstnat dst-address=203.142.77.10 dst-port=8000 protocol=tcp to-addresses=192.168.88.250 to-ports=8000 comment="Port Forward NVR-CCTV-Server (TCP 8000 -> 192.168.88.250:8000)"
Rule Hairpin NAT (SRC-NAT Masquerade)
add action=masquerade chain=srcnat dst-address=192.168.88.250 dst-port=8000 out-interface-list=all protocol=tcp src-address=192.168.88.0/24 comment="Hairpin NAT Loopback NVR-CCTV-Server (TCP)"
Rule Firewall Filter Accept
add action=accept chain=forward connection-nat-state=dstnat dst-address=192.168.88.250 dst-port=8000 protocol=tcp comment="Allow Forwarded Port NVR-CCTV-Server (TCP)"
Script Konfigurasi Terminal (CLI)
# ===================================================================== # InfraCalc.web.id - Port Forwarding (DST-NAT) + Hairpin NAT (NVR-CCTV-Server) # Target: 203.142.77.10:8000 -> 192.168.88.250:8000 [TCP] # ===================================================================== /ip firewall nat # 1. DST-NAT: Arahkan trafik dari IP Publik / WAN ke IP Server Lokal add action=dst-nat chain=dstnat dst-address=203.142.77.10 dst-port=8000 protocol=tcp to-addresses=192.168.88.250 to-ports=8000 comment="Port Forward NVR-CCTV-Server (TCP 8000 -> 192.168.88.250:8000)" # 2. HAIRPIN NAT: Agar saat staf di jaringan lokal (192.168.88.0/24) mengakses IP Publik/Domain, tidak mental/timeout add action=masquerade chain=srcnat dst-address=192.168.88.250 dst-port=8000 out-interface-list=all protocol=tcp src-address=192.168.88.0/24 comment="Hairpin NAT Loopback NVR-CCTV-Server (TCP)" # 3. FIREWALL FILTER: Izinkan trafik forward hasil DST-NAT melewati firewall /ip firewall filter add action=accept chain=forward connection-nat-state=dstnat dst-address=192.168.88.250 dst-port=8000 protocol=tcp comment="Allow Forwarded Port NVR-CCTV-Server (TCP)"

Konsep Dasar & Catatan Teknis

Port Forwarding atau Destination NAT (DST-NAT) pada MikroTik RouterOS berfungsi meneruskan koneksi masuk dari jaringan internet publik menuju alamat IP lokal tertentu di dalam jaringan LAN privat, seperti server web, database, remote desktop (RDP), atau perekam kamera NVR CCTV. Tanpa Destination NAT, router akan menolak seluruh paket inisiasi dari luar karena alamat IPv4 privat (RFC 1918) tidak dapat dirutekan langsung di internet global. Tantangan teknis yang paling sering membingungkan teknisi di lapangan adalah masalah loopback lokal atau Hairpin NAT (NAT Reflection). Ketika seorang staf di dalam kantor membuka domain publik atau IP publik kantor untuk melihat tayangan CCTV atau aplikasi internal, komputer klien mengirimkan paket ke IP publik router. Router melakukan terjemahan DST-NAT dan meneruskan paket ke server internal. Namun, karena server lokal melihat bahwa pengirim paket berasal dari subnet LAN yang sama, server akan membalas langsung ke komputer klien melalui switch L2 tanpa melewati router. Akibatnya, komputer klien menolak paket balasan tersebut karena klien mengharapkan jawaban dari IP publik, bukan dari IP lokal server, sehingga koneksi mengalami time out. Hairpin NAT menyelesaikan masalah asimetris ini dengan menambahkan aturan Source NAT (masquerade) khusus pada antarmuka lokal. Dengan aturan ini, router mengubah alamat IP asal paket milik klien LAN menjadi alamat IP antarmuka router itu sendiri. Server lokal terpaksa mengirimkan paket balasan kembali ke router, lalu router mengembalikan paket tersebut ke klien dengan alamat IP publik yang diharapkan, sehingga aplikasi dapat diakses tanpa hambatan baik dari internet maupun dari dalam kantor.

Cara Perhitungan (Rumus & Langkah)

Pertanyaan yang Sering Diajukan (FAQ)

Mengapa kamera CCTV atau server web saya bisa diakses dari internet tetapi time out saat dibuka dari Wi-Fi kantor?

Hal ini merupakan gejala klasik ketiadaan Hairpin NAT. Perangkat di dalam LAN mencoba mengakses IP publik kantor; server merespons langsung lewat switch tanpa melewati router, sehingga klien menolak jawaban tersebut karena IP pengirimnya tidak sesuai.

Apakah saya harus memasukkan IP Publik jika router menggunakan IP Dinamis atau PPPoE?

Jika IP publik Anda dinamis, Anda dapat mengganti pencocokan `dst-address` dengan parameter `in-interface=ether1-ISP` atau `in-interface=pppoe-out1` pada rule DST-NAT di RouterOS.

Bolehkah port eksternal berbeda dengan port internal?

Bisa. Anda dapat mengatur port eksternal 8080 (agar tidak bentrok dengan port standar) dan mengarahkannya ke port internal 80 pada web server lokal.

Apakah port forwarding aman dari serangan peretasan?

Port yang terbuka ke internet dapat dipindai oleh bot otomatis. Sangat disarankan mengganti port default (misalnya port RDP 3389 diubah ke port acak tinggi), memasang password yang kuat, atau menggunakan VPN (seperti WireGuard) daripada mengekspos layanan kritis langsung ke internet.

Alat Kalkulator Terkait

Lihat Semua Kalkulator Jaringan & Routing →
Kalkulator Load Balance PCC Multi-WAN MikroTik

Generator script penyeimbang beban Multi-WAN (2–5 ISP) PCC proporsional dan failover bertingkat rekursif di RouterOS v7.

Kalkulator Bandwidth MikroTik (Simple Queue, Burst, PCQ, FQ-CoDel)

Hitung Limit-At (CIR), Max-Limit (MIR), Burst, PCQ, dan FQ-CoDel RouterOS v7 lengkap dengan generator script konfigurasi otomatis.

Kalkulator Subnet IPv4 dan CIDR

Hitung alamat network, broadcast, rentang host usable, netmask, wildcard, biner mask, dan tipe alamat IPv4 (RFC 1918, RFC 3021 /31, CGNAT).

Kalkulator VLSM dan Pemecah Subnet IPv4

Pecah blok jaringan IPv4 menjadi N subnet sama besar atau alokasikan subnet VLSM berdasarkan kebutuhan host terbesar dengan ekspor CSV/Markdown.

Kalkulator Subnet IPv6 dan Perencana Prefix (/48, /56, /64)

Ekspansi dan kompresi alamat IPv6 (RFC 5952), hitung prefix network, rentang alamat, jumlah subnet /64 SLAAC, dan pembagian child prefix.

Kalkulator QoS Priority dan Anti-Lag Hotspot MikroTik

Prioritaskan panggilan suara WhatsApp, meeting Zoom/Teams, dan game online di atas unduhan bulk menggunakan Queue Tree FQ-CoDel RouterOS v7.

Direktori Lengkap Kalkulator Jaringan & Routing →

Referensi Standar & Catatan

Terakhir diperbarui: Terverifikasi Teknis · Standar Industri

Catatan: Hasil di atas merupakan estimasi berdasarkan rumus standar. Selalu verifikasi dengan dokumentasi resmi vendor dan kondisi lapangan sebelum implementasi pada lingkungan produksi.

🔗Skenario Terkait & Kalkulator Pendukung

Lihat 30+ Skenario Lainnya →

⚡ Preset Skenario Siap Pakai:

/32 = Mask 255.255.255.255 • 1 Host Usable→
Subnetting /32 (CIDR /32): Subnet Mask 255.255.255.255, Jumlah Host (1) & Rentang IP

Jawaban cepat Subnetting /32: Subnet Mask adalah 255.255.255.255, Wildcard Mask 0.0.0.0, Total IP 1, dan Host Usable 1. Cocok untuk IP Loopback Router OSPF/BGP & Single Host Route.

/30 = Mask 255.255.255.252 • 2 Host Usable→
Subnetting /30 (CIDR /30): Subnet Mask 255.255.255.252, Jumlah Host (2) & Rentang IP

Jawaban cepat Subnetting /30: Subnet Mask adalah 255.255.255.252, Wildcard Mask 0.0.0.3, Total IP 4, dan Host Usable 2. Cocok untuk Link Point-to-Point Antar Router WAN (2 IP Host).

/29 = Mask 255.255.255.248 • 6 Host Usable→
Subnetting /29 (CIDR /29): Subnet Mask 255.255.255.248, Jumlah Host (6) & Rentang IP

Jawaban cepat Subnetting /29: Subnet Mask adalah 255.255.255.248, Wildcard Mask 0.0.0.7, Total IP 8, dan Host Usable 6. Cocok untuk Blok IP Publik Server DMZ & Peering BGP (6 Host).

🛠️ Kalkulator Pendukung Kategori Serupa:

Kalkulator Subnet IPv4 dan CIDR

Hitung alamat network, broadcast, rentang host usable, netmask, wildcard, biner mask, dan tipe alamat IPv4 (RFC 1918, RFC 3021 /31, CGNAT).

Kalkulator VLSM dan Pemecah Subnet IPv4

Pecah blok jaringan IPv4 menjadi N subnet sama besar atau alokasikan subnet VLSM berdasarkan kebutuhan host terbesar dengan ekspor CSV/Markdown.

Kalkulator Subnet IPv6 dan Perencana Prefix (/48, /56, /64)

Ekspansi dan kompresi alamat IPv6 (RFC 5952), hitung prefix network, rentang alamat, jumlah subnet /64 SLAAC, dan pembagian child prefix.

Kalkulator Bandwidth MikroTik (Simple Queue, Burst, PCQ, FQ-CoDel)

Hitung Limit-At (CIR), Max-Limit (MIR), Burst, PCQ, dan FQ-CoDel RouterOS v7 lengkap dengan generator script konfigurasi otomatis.

🔬 Metodologi Ilmiah & Verifikasi Standar

Analisis Sensitivitas Rekayasa, Kurva Karakteristik & Sitasi Teknis

✓ Konstanta Terkalibrasi ISO/IEC/IEEE/TIA

1. Matriks Analisis Sensitivitas & Rentang Toleransi 3-Kondisi (Matriks Toleransi 3 Titik Desain)

Evaluasi perbandingan antara batas teoretis laboratorium (0% rugi-rugi), titik operasional nominal saat ini, dan batas konservatif lapangan (termasuk derating suhu konduktor, penuaan komponen, serta margin keamanan ±15%).

Parameter Terukur Kondisi Ideal Teoretis Titik Kerja Operasional (Nominal) Batas Konservatif (Worst-Case ±15%) Kaidah Koreksi Rekayasa
Port Eksternal (Publik) 7.200 8.000 9.200 Safety Margin Kapasitas (+15% Overhead)
Port Internal (Lokal) 7.200 8.000 9.200 Safety Margin Kapasitas (+15% Overhead)

2. Kurva Karakteristik Rekayasa, Fungsi & Titik Operasi (x₀, y₀)

KURVA RESPON MATEMATIS: OUTPUT METRIC TERHADAP INPUT PARAM Ambang Batas Konservatif (+15% Safety Margin) 4 6 8 10 12 14 16 (x₀=10, y₀=100) Variabel Independen (x): Input Param

3. Konstanta Fisika & Klausul Standar Normatif

R_loop(Cat6, 20°C) = 14 Ω/100m ANSI/TIA-568.2-D & IEEE 802.3bt

Resistansi Loop DC Konduktor Tembaga Murni Cat6 (23 AWG)

Clause 6.4.1 / Table 145-1 — Nilai nominal tipikal 23 AWG tembaga murni pada 20°C adalah 14.0 Ω/100m (batas plafon standar TIA adalah 18.8 Ω/100m).

α_opt(1490nm) = 0.25 dB/km ITU-T Rec. G.652.D & G.984.2

Koefisien Atenuasi Serat Optik Single-Mode pada 1490 nm

Table 1 / Class B+ & C+ Optical Path — Atenuasi tipikal serat G.652.D pada panjang gelombang downstream 1490 nm adalah 0.22–0.25 dB/km (upstream 1310 nm: 0.35 dB/km).

α_Cu(20°C) = 0.00393 °C⁻¹ IEC 60028

Koefisien Suhu Resistansi Tembaga Murni

International Annealed Copper Standard — Digunakan pada koreksi suhu: R(T) = R_20 × [1 + 0.00393 × (T - 20)].

4. Kutipan Referensi Teknis & Akademik Independen (IEEE / APA 7th / BibTeX / LaTeX)

Gunakan format sitasi standar di bawah ini untuk melampirkan metodologi perhitungan ke dalam dokumen spesifikasi teknis, laporan audit, karya ilmiah, atau jurnal rekayasa.

Format IEEE & APA 7th Edition

[IEEE] KalkuNet Engineering Team, "Generator Port Forwarding (DST-NAT) dan Hairpin NAT MikroTik — Instrumen Komputasi & Verifikasi Standar Teknis," KalkuNet Technical Suite, 2026. [Online]. Tersedia: https://kalkunet.com/id/tools/mikrotik-nat-calculator. [Diakses: 2026-11-08].

[APA 7th] KalkuNet Engineering Team. (2026). Generator Port Forwarding (DST-NAT) dan Hairpin NAT MikroTik (Rilis Produksi 2026-11-08) [Perangkat lunak komputasi teknik]. KalkuNet. https://kalkunet.com/id/tools/mikrotik-nat-calculator

BibTeX & LaTeX Derivation Snippet
@software{kalkunet_mikrotik_nat_calculator_2026,
  author = {{KalkuNet Engineering Team}},
  title = {{Generator Port Forwarding (DST-NAT) dan Hairpin NAT MikroTik --- KalkuNet Engineering Suite}},
  year = {2026},
  publisher = {KalkuNet.com},
  url = {https://kalkunet.com/id/tools/mikrotik-nat-calculator},
  urldate = {2026-11-08}
}

% LaTeX Engineering Derivation — Generated via https://kalkunet.com/id/tools/mikrotik-nat-calculator
\begin{equation}
  \text{Model: } DST-NAT: chain=dstnat dst-address=IP_Publik dst-port=Port_Eksternal action=dst-nat to-addresses=IP_Lokal to-ports=Port_Internal
\end{equation}
% Parameter Input Terukur: desc = NVR-CCTV-Server, \; pubIp = 203.142.77.10, \; extPort = 8000, \; intIp = 192.168.88.250
% Hasil Evaluasi Numerik : wanIface = \mathbf{ether1-ISP}, \; pubIp = \mathbf{203.142.77.10}, \; extPort = \mathbf{8000}