Rangkuman Fungsi Firewall pada Jaringan VoIP

Komunikasi Data
Fungsi Firewall pada Jaringan VoIP

Gambar 3.1 Ilustrasi Penerapan Firewall

FTP (File Transfer Protocol) merupakan sebuah protokol internet yang berjalan di dalam level aplikasi yang merupakan standart untuk proses transfer file antar mesin komputer dalam sebuah framework. Fungsi utama FTP sebagai protokol yang melakukan transfer file dalam suatu network yang mendukung TCP/IP Protokol. Seperti gambar 3.1, FTP digunakan untuk arsitektur jaringan computer Client-Server.

Konsep Firewall pada Jaringan Komputer

Dalam jaringan komputer, khususnya yang berkaitan dengan aplikasi yang melibatkan berbagai kepentingan, akan banyak terjadi hal yang dapat mengganggu kestabilan koneksi jaringan komputer tersebut, baik yang berkaitan dengan hardware (pengamanan fisik, sumber daya listrik) maupun yang berkaitan dengan software (sistem, konfigurasi, sistem akses, dll). Internet merupakan sebuah jaringan komputer yang sangat terbuka di dunia, konsekuensi yang harus di tanggung adalah tidak ada jaminan keamanan bagi jaringan yang terkait ke Internet. Artinya jika administrator jaringan tidak hati-hati dalam mengatur sistemnya, maka kemungkinan besar jaringan yang terkait ke Internet akan dengan mudah dimasuki orang yang tidak di undang dari luar. Administrator jaringan yang bersangkutan bertugas untuk menekan resiko tersebut seminimal mungkin. Pemilihan strategi dan kecakapan administrator jaringan ini, akan sangat membedakan apakah suatu jaringan mudah ditembus atau tidak.

Keamanan pada jaringan didefinisikan pada lima kategori berikut:

1. Confidentiality, memberi persyaratan bahwa informasi (data) hanya bisa diakses oleh pihak yang memiliki wewenang.

2. Integrity, memberi persyaratan bahwa informasi hanya dapat diubah oleh pihak yang memiliki wewenang.

3. Availability, memberi persyaratan bahwa informasi yang tersedia untuk pihak yang memiliki wewenang ketika dibutuhkan.

4. Authentication, memberi persyaratan bahwa pengirim suatu informasi dapat diidentifikasi

dengan benar dan ada jaminan bahwa identitas yang didapat tidak palsu.

5. Nonrepidiation, memberi persyaratan bahwa baik pengirim maupun penerima pesan informasi tidak dapat menyangkal pengiriman pesan.

Gangguan pada sistem dapat terjadi karena faktor ketidaksengajaan yang dilakukan oleh administrator jaringan (human error), akan tetapi tidak sedikit pula yang disebabkan oleh pihak ketiga. Gangguan dapat berupa perusakan, penyusupan, pencurian hak akses, penyalahgunaan data maupun sistem, sampai tindakan kriminal melalui aplikasi jaringan komputer. Berikut ini merupakan 4 kategori utama bentuk gangguan (serangan) pada sistem:

1. Interruption merupakan suatu aset dari suatu sistem diserang sehingga tidak tersedia atau tidak dapat dipakai oleh yang berwenang. Contohnya adalah perusakan/modifikasi terhadap piranti keras atau saluran jaringan

2. Interception merupakan suatu pihak yang tidak berwenang mendapatkan akses pada suatu aset. Pihak yang dimaksud dapat berupa orang, program atau sistem yang lain. Contohnya adalah penyadapan terhadap data dalam suatu jaringan.

3. Modification merupakan suatu pihak yang tidak berwenang tapi dapat melakukan perubahan terhadap suatu aset. Contohnya adalah perubahan nilai pada file data, modifikasi pesan yang sedang ditransmisikan dalam jaringan.

4. Fabrication merupakan suatu pihak yang tidak berwenang menyisipkan objek palsu ke dalam sistem. Contohnya adalah pengiriman pesan palsu kepada orang lain. Selain empat kategori gangguan tersebut diatas, dalam internetworking dikenal ada beberapa istilah gangguan yaitu sebagai berikut:

1. Hacking, berupa pengrusakan pada infrastruktur jaringan yang sudah ada, misalnya pengrusakan pada sistem dari suatu server

2. Physing, berupa pemalsuan terhadap data resmi dilakukan untuk hal berkaitan dengan

pemanfaatannya.

3. Deface, perubahan terhadap tampilan suatu website secara illegal.

4. Carding, pencurian data terhadap identitas perbankan seseorang, misalnya pencurian nomor kartu kredit, digunakan untuk memanfaatkan saldo yang terdapat pada rekening tersebut untuk keperluan belanja online. Pengamanan terhadap sistem hendaknya dilakukan sebelum sistem tersebut difungsikan. Percobaan koneksi (trial) sebaiknya dilakukan sebelum sistem yang sebenarnya difungsikan. Dalam melakukan persiapan fungsi sistem hendaknya disiapkan pengamanan dalam bentuk:

1. Memisahkan terminal yang difungsikan sebagai pengendali jaringan atau titik pusat akses

(server) pada suatu area yang digunakan untuk aplikasi tertentu.

2. Menyediakan pengamanan fisik ruangan khusus untuk pengamanan perangkat yang dimaksud pada point 1. Ruangan tersebut dapat diberikan label Network Operating Center (NOC) dengan membatasi personil yang diperbolehkan masuk.

3. Memisahkan sumber daya listrik untuk NOC dari pemakaian yang lain. Hal ini untuk menjaga kestabilan fungsi sistem. Perlu juga difungsikan Uninteruptable Power Supply (UPS) dan Stabilizer untuk menjaga kestabilan supply listrik yang diperlukan perangkat pada

NOC.

4. Merapikan wiring ruangan dan memberikan label serta pengklasifikasian kabel.

5. Memberikan Soft Security berupa Sistem Firewall pada perangkat yang difungsikan di jaringan.

6. Merencanakan maintenance dan menyiapkan Back Up sistem. Firewall merupakan alat untuk mengimplementasikan kebijakan security (security policy). Sedangkan kebijakan security, dibuat berdasarkan perimbangan antara fasilitas yang disediakan dengan implikasi security-nya. Semakin ketat kebijakan security, semakin kompleks konfigurasi layanan informasi atau semakin sedikit fasilitas yang tersedia di jaringan. Sebaliknya, dengan semakin banyak fasilitas

yang tersedia atau sedemikian sederhananya konfigurasi yang diterapkan, maka semakin

mudah orang orang ‘usil‘ dari luar masuk ke dalam sistem (akibat langsung dari lemahnya kebijakan security). Firewall tersusun dari aturan-aturan yang diterapkan baik terhadap hardware, software ataupun sistem itu sendiri dengan tujuan untuk melindungi jaringan, baik dengan melakukan filterisasi, membatasi ataupun menolak suatu permintaan koneksi dari jaringan luar lainnya seperti internet.

Firewall juga berfungsi sebagai pintu penyangga antara jaringan yang dilindunginya dengan dengan jaringan lainnya atau biasa disebut gateway. Gambar 3.4 menunjukkan firewall yang melindungi jaringan lokal dengan cara mengendalikan aliran paket yang melewatinya. Firewall dirancang untuk mengendalikan aliran paket berdasarkan asal, tujuan, port dan informasi tipe paket.Firewall berisi sederet daftar aturan yang digunakan untuk menentukan nasib paket data yang datang atau pergi dari firewall menurut kriteria dan parameter tertentu. Semua paket yang diperiksa firewall akan melakukan mengalami perlakuan yang

diterapkan pada rule atau policy yang diterapkan pada chains firewall. Masingmasing tabel dikenakan untuk tipe aktivitas paket tertentu dan dikendalikan oleh rantai aturan filter paket yang sesuai. Rantai (chains) adalah daftar aturan yang dibuat untuk mengendalikan paket. Pada firewall terjadi beberapa proses yang memungkinkannya melindungi jaringan.

Proses yang terjadi pada firewall ada tiga macam yaitu:

1. Modifikasi header paket, digunakan untuk memodifikasi kualitas layanan bit paket TCP sebelum mengalami proses routing

2. Translasi alamat jaringan, translasi yang terjadi dapat berupa translasi satu ke satu (one to one), yaitu satu alamat IP privat dipetakan ke satu alamat IP public atau translasi banyak ke satu (many to one) yaitu beberapa alamat IP privat dipetakan kesatu alamat public.

3. Filter paket, digunakan untuk menentukan nasib paket apakah dapat diteruskan atau tidak.

Secara umum terdapat 4 jenis firewall yang dibedakan berdasarkan cara kerjanya. Jenisjenis firewall tersebut adalah sebagai berikut:

1. Packet Filtering Gateway

Packet filtering gateway dapat diartikan sebagai firewall yang bertugas melakukan

filterisasi terhadap paket-paket yang datang dari luar jarigan yang dilindunginya. Filterirasi

paket ini hanya terbatas pada sumber paket, tujuan paket, dan atribut-atribut dari paket tersebut, misalnya paket tersebut bertujuan ke server kita yang menggunakan alamat IP 202.51.226.35 dengan port 80. Port 80 adalah atribut yang dimiliki oleh paket tersebut. Seperti yang terlihat pada gambar 3.14, firewall tersebut akan melewatkan paket dengan tujuan ke Web Server yang menggunakan port 80 dan menolak paket yang menuju Web Server dengan port 23. Bila kita lihat dari sisi arsitektur TCP/IP, firewall ini akan bekerja pada layer internet. Firewall ini biasanya merupakan bagian dari sebuah router firewall. Software yang dapat digunakan untuk implementasi packet filtering diantaranya adalah iptables dan ipfw

.

Gambar 3.20 Lapisan untuk Proses Packet Filtering Gateway

2. Application Layer Gateway

Model firewall ini juga dapat disebut Proxy Firewall. Mekanismenya tidak hanya berdasarkan sumber, tujuan dan atribut paket, tapi bisa mencapai isi (content) paket tersebut. Mekanisme lainnya yang terjadi adalah paket tersebut tidak akan secara langsung sampai ke server tujuan, akan tetapi hanya sampai firewall saja. Selebihnya firewall ini akan membuka koneksi baru ke server tujuan setelah paket tersebut diperiksa berdasarkan aturan yang berlaku. Bila kita melihat dari sisi layer TCP/IP, firewall jenis ini akan melakukan filterisasi pada layer aplikasi (Application Layer).

Gambar 3.24 Proxy Firewall dilihat pada Model TCP/IP

3. Circuit Level Gateway

Model firewall ini bekerja pada bagian Lapisan Transport model referensi TCP/IP. Firewall ini akan melakukan pengawasan terhadap awal hubungan TCP yang biasa disebut sebagai TCP Handshaking, yaitu proses untuk menentukan apakah sesi hubungan tersebut diperbolehkan atau tidak. Bentuknya hampir sama dengan Application Layer Gateway, hanya saja bagian yang difilter terdapat ada lapisan yang berbeda, yaitu berada pada layer Transport

Gambar 3.26 Circuit Level Gateway dilihat pada TCP/IP

4. Statefull Multilayer Inspection Firewall

Model firewall ini merupakan penggabungan dari ketiga firewall sebelumnya. Firewall jenis ini akan bekerja pada lapisan Aplikasi, Transport dan Internet. Dengan penggabungan ketiga model firewall yaitu Packet Filtering Gateway, Application Layer Gateway dan Circuit Level Gateway, mungkin dapat dikatakan firewall jenis ini merupakan firewall yang,memberikan fitur terbanyak dan memberikan tingkat keamanan yang paling tinggi.

Gambar 3.30 Statefull Multilayer Inspection Firewall dilihat pada Model TCP/IP

Konsep Firewall pada Jaringan VoIP

Jaringan VoIP adalah jaringan yang menyediakan layanan multimedia internet aplikasi, memiliki struktur yang cukup rumit dibanding dengan jaringan komputer. Karena kerumitan protokol VoIP maka mekanisme sekuritas terhadap serangan yang mengambil keuntungan dari kelemahan jaringan VoIP perlu dikembangkan dengan baik. Menangkal ancaman dan serangan harus didefinisikan atau dibentuk dengan proses yang baik sehingga pendekatan yang berlapis untuk mempertahankan postur keamanan jaringan

VoIP dapat terjamin. Proses tersebut harus dirancang untuk menggambungkan control

yang dapat mengatasi hal-hal seperti berikut:

 Mengidentifikasi ancaman yang berlaku.

 Mengidentifikasi serangan dan meminimalkan peluang untuk Serangan.

 Meminimalkan dampak dari serangan (jika terjadi).

 Mengelola dan mengurangi serangan yang sukses secara tepat waktu.

Umumnya, keamanan jaringan VoIP yang ditinjau dari arsitekturnya mencakup Segmentasi jaringan yang tepat (Network Segmentation), out-ofband network management, dan private

addressing.

1. Network Segmentation

Network Segementation atau Sementasi Jaringan merupakan salah satu arsitektur yang perlu diperhatikan dalam layanan komunikasi VoIP. Pada perusahaan, segmentasi jaringan

memberikan kemampuan untuk merampingkan dan mengontrol lalu lintas

yang mengalir di antara komponen VoIP.

Gambar 3.31 Contoh Arsitektur Segmentasi Jaringan pada Perusahaan

Gambar 3.31 menggambarkan konfigurasi jaringan perusahaan dengan VoIP tersegmentasi. Dalam arsitektur sampel ini, semua komponen kritis logis terisolasi. Penyaringan lalu lintas dapat ditegakkan oleh elemen jaringan pendukung seperti router dan switch atau penggunaan firewall VoIP atau perbatasan sesi controller ( Session Border Controller - SBC).

2. Out-of-band Network Manajemen

Manajemen infrastruktur VoIP juga merupakan dimensi yang perlu dipertimbangkan dalam arsitektur VoIP. Manajemen jaringan VLAN memiliki visibilitas untuk semua VLAN dalam jaringan untuk memantau kesehatan semua komponen VoIP. Biasanya, komponen inti VoIP dikonfigurasi dengan dua antarmuka jaringan. Salah satu antarmuka ditugaskan untuk manajemen VLAN, dan lainnya ke VLAN produksi di mana sinyal dan media stream ditangani, seperti yang ditunjukkan pada gambar 3.33 berikut ini:

Gambar 3.33 Manajemen Jaringan

3. Private Addressing

Private Addressing digunakan sebagai mekanisme lain untuk melindungi terhadap serangan eksternal. Pertumbuhan eksponensial dari internet di awal 1990-an mengisyaratkan menipisnya alamat IP yang unik secara global. IETF dipublikasikan RFC 1918, "Alamat Alokasi untuk Private Internets," dalam upaya untuk mendorong organisasi untuk menggunakan alamat IP nonroutable untuk sistem yang tidak dimaksudkan untuk langsung terhubung ke Internet. dengan mengkonfigurasi host internal organisasi dengan satu set

alamat IP dan menggunakan hanya satu set kecil alamat IP untuk lalu lintas rute internet, penipisan Alamat IP routable- Internet telah melambat. Sebuah host internal akan mengirim semua lalu lintas melalui komponen yang bertanggung jawab untuk routing lalu lintas ke Internet dan juga melakukan Network Address Translation (NAT), sebagai digambarkan pada gambar 3.34 Perangkat NAT dapat melakukan address-to-address translation atau alamat dan terjemahan pelabuhan.

Gambar 3.34 Private Addressing

Dalam pengendalian jaringan dengan menggunakan firewall, ada dua hal yang harus diperhatikan yaitu koneksi firewall yang digunakan (dalam hal ini yang digunakan adalah koneksi TCP), dan konsep firewall yang diterapkan, yaitu IPTables.

Dengan dua hal ini diharapkan firewall dapat mengenali apakah koneksi yang ada berupa

koneksi baru (NEW), koneksi yang telah ada (ESTABLISH), koneksi yang memiliki relasi

dengan koneksi lainnya (RELATED) atau koneksi yang tidak valid (INVALID).

Keempat macam koneksi itulah yang membuat IPTables disebut Statefull Protocol :

1.      Koneksi TCP

Sebuah koneksi TCP dikenal sebagai koneksi yang bersifat Connection Oriented, pada permulaan koneksi, sebuah klien akan mengirimkan sinyal SYN ke server tujuannya,

selanjutnya proses pada firewall menganggap input ini sebagai paket baru yang akan di

kirimkan ke server.

2.      Mata Rantai IPTables :

Program iptables adalah program administratif untuk Filter Paket dan NAT (Network Address Translation).

ICMP utamanya digunakan oleh sistem operasi komputer jaringan untuk mengirim pesan kesalahan yang menyatakan, sebagai contoh, bahwa komputer tujuan tidak bisa dijangkau.

Sebuah koneksi ICMP hanyalah sebuah permintaan (request) echo dan balasannya (reply). Ada empat macam tipe echo yang akan mendapat paket balasan, yaitu :

1. Echo request dan reply

2. Timestamp request dan reply

3. Infomation request dan reply,

4. Address mask request dan reply.

Mendesain Sistem Keamanan Jaringan

Berikut ini adalah langkah-langkah yang diperlukan dalam membangun sebuah firewall:

1. Menentukan topologi jaringan yang akan digunakan. Topologi dan kofigurasi jaringan akan menentukan bagaimana firewall akan dibangun.

2. Menentukan kebijakan atau policy. Kebijakan yang perlu di atur di sini adalah penentuan aturan-aturan yang akan diberlakukan.

3. Menentukan aplikasi􀂱 aplikasi atau servis-servis apa saja yang akan berjalan. Aplikasi dan servis yang akan berjalan harus kita ketahui agar kita dapat menentukan aturan-aturan

yang lebih spesifik pada firewall kita.

4. Menentukan pengguna-pengguna mana saja yang akan dikenakan oleh satu atau lebih aturan firewall.

5. Menerapkan kebijakan, aturan, dan prosedur dalam implementasi firewall.

6. Sosialisasi kebijakan, aturan, dan prosedur yang sudah.