Concept & Hands-On
Network Address Translation (NAT)

Mekanisme Router dan Network Address Translation (NAT)

Pertumbuhan perangkat terhubung yang sangat masif memicu krisis ketersediaan IPv4 (*IPv4 Exhaustion*). Untuk mengatasi keterbatasan ini tanpa harus beralih secara instan ke IPv6, diciptakanlah teknologi **Network Address Translation (NAT)** yang didefinisikan dalam dokumen **RFC 1918**.

RFC 1918 mengalokasikan rentang IP khusus yang dikenal sebagai **IP Private**, yaitu kelas A (`10.0.0.0/8`), kelas B (`172.16.0.0/12`), dan kelas C (`192.168.0.0/16`). Alamat IP Private tidak dapat di-routing (*non-routable*) di jaringan publik internet. Di sinilah fungsi utama dari NAT pada router: memetakan alamat IP Private lokal menjadi alamat IP Publik yang terdaftar secara sah di Internet.

Terdapat tiga tipe utama dari mekanisme NAT:
1. **Static NAT:** Memetakan satu IP Private secara tetap ke satu IP Publik (1-to-1 Mapping). Biasanya digunakan untuk server lokal yang harus diakses dari luar.
2. **Dynamic NAT:** Memetakan IP Private ke dalam kelompok (*pool*) IP Publik yang tersedia secara dinamis.
3. **Port Address Translation (PAT / NAPT / Masquerade):** Tipe NAT yang paling populer di mana banyak komputer dengan IP Private berbagi satu alamat IP Publik yang sama. Router membedakan setiap koneksi data berdasarkan Nomor Port Asal (*Source Port*). Dengan cara ini, ratusan komputer dalam jaringan LAN dapat mengakses internet secara bersamaan hanya dengan menggunakan satu IP Publik.

Membangun Router dan Firewall dengan iptables Linux

Sistem operasi Linux memiliki modul kernel bawaan bernama **Netfilter** yang berfungsi sebagai pengelola lalulintas paket jaringan. Untuk mengonfigurasi Netfilter, digunakan utilitas baris perintah (*Command Line Interface*) bernama **`iptables`**.

Arsitektur `iptables` terdiri dari tiga komponen dasar: **Tables**, **Chains**, dan **Rules**.
- **Tables:** Mengelompokkan fungsi spesifik. Tabel utama meliputi `filter` (default untuk penyaringan/firewall) dan `nat` (khusus untuk translasi alamat jaringan).
- **Chains:** Jalur evaluasi paket data. Pada tabel `nat`, rantai (*chains*) yang digunakan adalah `PREROUTING` (mengubah alamat tujuan/DNAT sebelum keputusan rute dibuat) dan `POSTROUTING` (mengubah alamat asal/SNAT setelah keputusan rute dibuat).
- **Rules:** Aturan spesifik yang dicocokkan dengan kriteria paket (seperti `-s` source, `-d` destination, `-p` protocol, `--dport` port tujuan) dan diikuti aksi/target (`-j` TARGET) seperti `ACCEPT`, `DROP`, `REJECT`, `MASQUERADE`, atau `SNAT` / `DNAT`.

Langkah awal mengaktifkan fungsi NAT Router pada Linux adalah mengaktifkan fitur *IP Forwarding* pada kernel dengan mengubah konfigurasi runtime:
sysctl net.ipv4.ip_forward=1
Selanjutnya, diterapkan aturan iptables untuk melakukan translasi alamat paket lokal yang akan keluar melalui antarmuka publik (`eth0`):
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
Penggunaan parameter `-j MASQUERADE` sangat efisien untuk IP publik yang bersifat dinamis (DHCP dari ISP).

Demilitarized Zone (DMZ) & Destination NAT (DNAT)

**Demilitarized Zone (DMZ)** adalah konsep arsitektur keamanan jaringan di mana server yang menyediakan layanan publik (seperti Web Server, Mail Server, atau FTP Server) ditempatkan pada segmen jaringan terpisah yang diisolasi dari jaringan lokal utama (LAN Internal).

Tujuan utama pembentukan zona DMZ adalah memberikan perlindungan ganda: jika server publik yang berada di DMZ berhasil diretas oleh pihak luar, peretas tetap tidak dapat mengakses jaringan LAN internal perusahaan/sekolah karena terhalang oleh aturan proteksi firewall pada router DMZ.

Untuk mengarahkan akses dari pengguna internet publik menuju server di zona DMZ lokal, digunakan teknik **Destination NAT (DNAT)** atau biasa disebut **Port Forwarding**. Mekanisme DNAT mengubah alamat IP tujuan dan nomor port asal paket yang datang dari internet ke alamat IP lokal server di zona DMZ.

Contoh perintah iptables untuk mengonfigurasi Port Forwarding HTTP (Port 80) ke Web Server DMZ (`192.168.2.100`):
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.168.2.100:80
Dengan perintah di atas, setiap permintaan HTTP yang masuk ke IP Publik router pada interface `eth0` port 80 secara otomatis diteruskan ke Web Server internal di zona DMZ.