VLAN per SSID: Memisahkan PPPoE Pelanggan dan Hotspot dari Satu ONT

Masalah klasik yang sering dihadapi pengelola RT/RW Net dan ISP lokal saat menggunakan satu perangkat Optical Network Terminal (ONT) dalam mode bridge adalah tercampurnya trafik pelanggan PPPoE dan pengguna voucher hotspot. Ketika port LAN atau SSID di ONT tidak dipisahkan menggunakan VLAN tagging (IEEE 802.1Q), seluruh perangkat berada dalam satu broadcast domain yang sama. Akibatnya, jaringan menjadi rentan terhadap masalah seperti loop, ARP spoofing, hingga klien hotspot yang secara tidak sengaja mencoba mengakses gateway PPPoE.

Solusi paling bersih dan standar industri untuk mengatasi hal ini adalah menerapkan VLAN per SSID atau pemisahan port LAN berbasis VLAN di sisi ONT, yang kemudian di-trunking menuju satu interface fisik di router MikroTik. Artikel ini akan membahas langkah-langkah praktis penerapannya di lapangan.

Kenapa Perlu Memisahkan PPPoE dan Hotspot dengan VLAN?

Dalam arsitektur jaringan akses fiber to the home (FTTH) skala kecil hingga menengah, efisiensi perangkat di sisi pelanggan sangat diutamakan. Seringkali, satu ONT dipasang di rumah pelanggan untuk melayani dua keperluan sekaligus:

1. Layanan internet bulanan (PPPoE) untuk keluarga melalui SSID utama atau port LAN 1.
2. Layanan hotspot voucher (DHCP/Captive Portal) untuk tamu atau area sekitar melalui SSID kedua (Guest Network) atau port LAN 2.

Tanpa adanya pemisahan broadcast domain melalui VLAN ID yang berbeda, semua frame data akan bercampur. Hal ini memicu beberapa risiko operasional yang merugikan:

• Kebocoran Broadcast: Paket DHCP Discover dari hotspot bisa merambah ke segmen PPPoE, menyebabkan kebingungan alokasi IP.
• Keamanan Rentan: Pengguna hotspot dapat melakukan scanning jaringan lokal dan mencoba mengakses perangkat lain yang terhubung ke jaringan PPPoE.
• Manajemen Bandwidth Kurang Optimal: QoS dan pembatasan kecepatan (queue) menjadi lebih sulit dikontrol secara presisi per layanan.

Dengan menerjunkan VLAN ID yang spesifik (misalnya VLAN 10 untuk PPPoE dan VLAN 20 untuk hotspot), trafik dari satu kabel fisik yang sama dapat diisolasi secara sempurna begitu masuk ke router MikroTik. Baca juga panduan dasar mengenai pengaturan mode bridge ONT untuk memahami dasar operasional perangkat ONU.

Konsep Dasar: Dari SSID ke VLAN ID di ONT

Secara arsitektur, ONT modern buatan ZTE, Huawei, atau FiberHome yang beroperasi dalam mode bridge mendukung fungsi VLAN Binding pada level port LAN maupun level SSID (Wireless Service Profile).

Prinsip kerjanya sederhana:

• SSID 1 / Port LAN 1 diatur untuk menyisipkan (tag) VLAN ID 10 pada setiap paket data yang keluar dari port/SSID tersebut menuju ke OLT dan diteruskan ke router server.
• SSID 2 / Port LAN 2 diatur untuk menyisipkan (tag) VLAN ID 20 pada paket data miliknya.

Ketika kabel dari port LAN 1 ONT dicolokkan ke MikroTik, kabel tersebut bertindak sebagai jalur trunk yang membawa dua label VLAN berbeda secara bersamaan. Di sisi MikroTik, kita cukup membuat interface VLAN subinterface untuk memecah kembali label tersebut menjadi dua jalur logis yang terpisah. Pelajari juga pentingnya pembagian alokasi IP melalui panduan subnet mask agar pengalamatan IP pool tidak saling tumpang tindih.

Langkah 1: Konfigurasi VLAN Mapping di ONT

Langkah pertama dilakukan dengan masuk ke halaman web administrasi ONT menggunakan akun superadmin atau operator (pastikan Anda mengetahui kredensial khusus operator untuk membuka menu konfigurasi WAN/LAN lanjutan).

1. Buka peramban dan akses alamat IP default ONT (misalnya 192.168.1.1).
2. Masuk ke menu Network atau Application > VLAN Binding (istilah menu bisa berbeda tergantung vendor, seperti ZTE atau Huawei).
3. Buat aturan Binding untuk memisahkan jalur:
   • Pilih mode Bridge.
   • Petakan SSID 1 (atau LAN 1) ke VLAN ID 10 dengan jenis Tag.
   • Petakan SSID 2 (atau LAN 2) ke VLAN ID 20 dengan jenis Tag.
4. Simpan konfigurasi (Submit / Apply). Pastikan tidak terjadi kesalahan pengetikan nomor VLAN ID karena harus sama persis dengan yang dipasang di router MikroTik nantinya.

Catatan Lapangan: Pada beberapa OLT, pastikan profil VLAN di sisi OLT juga mengizinkan (transparent/qinq/trunk) VLAN 10 dan VLAN 20 agar tidak ter-drop di tengah jalan sebelum sampai ke server MikroTik.

Langkah 2: Konfigurasi Trunking dan VLAN di MikroTik

Setelah sisi ONT selesai, sambungkan kabel dari port LAN ONT ke salah satu port fisik di router MikroTik, misalnya ether1-ONT. Kita asumsikan menggunakan RouterOS v7.

Buka terminal MikroTik atau Winbox, lalu jalankan perintah berikut untuk menyiapkan interface fisik dan subinterface VLAN:

# Menambahkan interface VLAN di atas ether1-ONT
/interface vlan
add name=vlan10-pppoe interface=ether1-ONT vlan-id=10
add name=vlan20-hotspot interface=ether1-ONT vlan-id=20

Pastikan interface fisik ether1-ONT berada dalam kondisi aktif dan tidak memiliki IP address langsung, karena fungsinya kini murni sebagai jalur trunk.

Langkah 3: Menjalankan PPPoE Server dan Hotspot Server di Masing-Masing VLAN

Tahap berikutnya adalah mengikat layanan jaringan ke masing-masing VLAN subinterface yang baru saja dibuat.

1. Konfigurasi IP Address untuk Hotspot VLAN:

   /ip address
   add address=192.168.20.1/24 interface=vlan20-hotspot comment="Gateway Hotspot"
   

2. Konfigurasi PPPoE Server:

   /interface pppoe-server server
   add service-name=pppoe-vlan10 interface=vlan10-pppoe default-profile=default-encryption one-session-per-host=yes disabled=no
   

3. Konfigurasi Hotspot Server: Jalankan Hotspot Setup di MikroTik dan arahkan interface-nya ke vlan20-hotspot. Atur IP Pool sesuai kebutuhan (contoh: 192.168.20.10-192.168.20.254).

4. Uji Isolasi Jaringan: Tambahkan aturan firewall filter untuk memastikan klien hotspot tidak bisa menembus subnet PPPoE:

   /ip firewall filter
   add chain=forward action=drop src-address=192.168.20.0/24 dst-address=10.0.0.0/8 comment="Isolasi Hotspot ke PPPoE"
   

   (Sesuaikan subnet 10.0.0.0/8 dengan blok IP pool PPPoE Anda).

Untuk pemahaman mendalam mengenai penggabungan perangkat jaringan menggunakan switch, tinjau artikel mengenai perbedaan switch manageable dan unmanageable.

Jebakan Lapangan & Cara Mengatasinya

Penerapan VLAN di lapangan seringkali menemui kendala kecil akibat kelalaian teknis. Berikut beberapa poin krusial yang harus diperhatikan:

• VLAN ID Mismatch: Nomor VLAN ID di ONT harus 100% sama dengan angka pada parameter vlan-id= di MikroTik. Perbedaan satu angka saja akan membuat koneksi langsung putus (down).
• Masalah MTU (Maximum Transmission Unit): Penambahan tag VLAN memberikan overhead sebesar 4 byte. Sangat disarankan mengatur nilai MTU dan MRU pada profil PPPoE Server / Client ke angka 1492 untuk menghindari fragmentasi paket yang memicu lambatnya akses web tertentu.
• Kesalahan Port Binding: Pastikan kabel fisik benar-benar tertancap pada port LAN ONT yang sudah diikat dengan VLAN yang benar, bukan port default pabrikan yang masih untagged.

FAQ (Pertanyaan yang Sering Diajukan)

Apa itu VLAN per SSID pada ONT?

Fitur di ONT untuk membungkus trafik dari SSID WiFi atau port LAN tertentu dengan ID VLAN (misal VLAN 10), sehingga trafiknya terpisah secara logika meskipun lewat satu kabel fisik yang sama.

Apakah semua ONT mendukung VLAN per SSID?

Sebagian besar ONT standar ISP (seperti ZTE F609/F670L atau Huawei seri HG) mendukung pemetaan VLAN pada mode bridge, baik per port LAN maupun per SSID nirkabel.

Bagaimana cara menghubungkan ONT VLAN ke MikroTik?

Gunakan kabel dari port LAN ONT ke satu interface fisik di MikroTik, lalu buat interface VLAN di MikroTik dengan VLAN ID yang sama persis dengan setelan di ONT.

Kenapa klien Hotspot bisa mengakses subnet PPPoE?

Biasanya karena belum ada aturan Firewall Filter (Drop forward antar subnet) di MikroTik atau port ONT belum dikonfigurasi sebagai trunk secara benar.

Berapa nilai MTU yang disarankan saat menggunakan PPPoE di atas VLAN?

Disarankan menyetel MTU dan MRU PPPoE Client/Server ke 1492 untuk menghindari fragmentasi paket karena adanya tambahan overhead tag VLAN (4 byte).

Sumber & Verifikasi

• MikroTik Wiki: VLAN Setup & Hotspot Configuration (https://wiki.mikrotik.com/wiki/Manual:Interface/VLAN)
• IEEE 802.1Q Standard for Local and metropolitan area networks—Virtual Bridged Local Area Networks (https://standards.ieee.org/ieee/802.1Q/6837/)
• Panduan Bridge dan VLAN ONT GPON ZTE/Huawei (Praktik lapangan ISP Indonesia)
• Network Lessons: VLAN Trunking & Subinterfaces (https://networklessons.com/vlan/)

Klaim / Perintah	Sumber (URL)	Versi	Status
/interface vlan add	https://wiki.mikrotik.com/wiki/Manual:Interface/VLAN	RouterOS v7	Terverifikasi
IEEE 802.1Q Tagging	https://standards.ieee.org/ieee/802.1Q/6837/	Standar Industri	Terverifikasi
ONT Bridge VLAN Binding	Praktik Lapangan ISP GPON ZTE/Huawei	Standar Perangkat	Terverifikasi