VPN IP Publik MikroTik Putus? 5 Penyebab dan Solusinya

VPN IP publik MikroTik putus bikin remote Winbox dan Mikhmon Online ikut mati. Dalam 10-15 menit, kamu bisa menemukan penyebabnya dari log, lalu memasang script supaya tunnel menyambung sendiri dan kamu tidak perlu datang ke lokasi tiap kali putus. Panduan ini berlaku untuk L2TP, SSTP, dan WireGuard. Belum punya VPN-nya? Lihat dulu cara pasang VPN IP publik di MikroTik.

Jawaban singkat: VPN IP publik MikroTik putus karena 5 hal: (1) akun bermasalah atau dipakai ganda, (2) NAT/CGNAT melupakan sesi karena tidak ada keepalive, (3) route ke server VPN ikut masuk ke tunnel atau jalur berpindah, (4) jam router salah, (5) MTU atau firewall. Cek urutannya: log, ping ke server VPN, status akun, lalu pasang watchdog.

Ringkasnya

• Yang kamu dapat: penyebab putus ketemu dari log, dan tunnel menyambung sendiri lewat watchdog.
• Yang kamu butuhkan: akses Winbox ke router, nama interface VPN, dan IP server VPN (contoh di sini: 192.0.2.1).
• Waktu: 10-15 menit.
• Langkah inti:
  1. Baca log. Pesan terakhir sebelum putus menunjukkan arahnya.
  2. Ping server VPN dan pastikan router punya internet.
  3. Cek akun: aktif, password benar, dipakai satu router saja.
  4. Cek keepalive, jam router, dan MTU.
  5. Pasang watchdog supaya tunnel menyambung sendiri.
• WireGuard hanya ada di RouterOS v7. Di v6 pakai L2TP atau SSTP.

Cek ini dulu kalau VPN IP publik MikroTik putus

Baca log: kenapa VPN MikroTik putus

Nyalakan log detail untuk protokol yang kamu pakai:

/system logging add topics=ppp,debug action=memory
/system logging add topics=l2tp,debug action=memory
/system logging add topics=sstp,debug action=memory
/log print where topics~"ppp" or topics~"l2tp" or topics~"sstp"

Baca baris sebelum pesan terakhir. Baris terminating... - session closed hanya penutup, jadi bukan penyebabnya.

Ping server: VPN MikroTik putus karena jalur?

/ping 192.0.2.1 count=5
/ping 8.8.8.8 count=5

Kalau ping ke 8.8.8.8 gagal, internet router yang bermasalah dan VPN belum perlu diutak-atik. Kalau ping ke 8.8.8.8 jalan tapi ke server VPN gagal, jalur ke server yang bermasalah (lanjut ke penyebab 3).

5 penyebab VPN IP publik MikroTik putus

1. Akun bermasalah atau dipakai ganda

Ini yang paling sering terjadi. Akun yang sama dipakai di dua router, atau sesi lama masih menggantung di server, jadi salah satu sesi ditutup. Akun yang kedaluwarsa atau password yang berubah juga memunculkan authentication failed.

• Pastikan satu akun hanya dipakai satu router. Matikan client di perangkat lain.
• Ketik ulang user dan password. Salin dari portal, jangan diketik manual.
• Cek status layanan di my.perwiramedia.com.
• Untuk SSTP, aktifkan semua metode auth supaya server yang memilih:

/interface sstp-client set sstp-vpn authentication=mschap2,mschap1,chap,pap

Untuk L2TP, kalau pola putusnya “IPsec naik lalu session closed”, samakan use-ipsec dengan server. Kalau server tanpa IPsec, set use-ipsec=no.

2. NAT atau CGNAT melupakan sesi (tidak ada keepalive)

Router di belakang NAT atau CGNAT (IP bersama dari ISP) menghapus catatan sesi UDP kalau lama tidak ada trafik. Hasilnya tunnel terlihat nyala tapi tidak lewat data, lalu putus.

Aktifkan keepalive:

/interface l2tp-client set l2tp-vpn keepalive-timeout=30
/interface sstp-client set sstp-vpn keepalive-timeout=30
/interface wireguard peers set [find interface=wg-perwira] persistent-keepalive=25s

Di WireGuard, persistent-keepalive bawaannya 0 (mati). Ini penyebab “tiba-tiba putus” yang paling umum di belakang CGNAT. Nama parameter keepalive-timeout sudah pasti ada di L2TP dan SSTP client. Nilai bawaan dan efek persisnya bisa beda antar versi, jadi cek dengan /help di router kamu. Kalau NAT di router kamu sendiri yang jadi masalah, lihat lepas NAT IP publik di MikroTik.

3. Route ke server VPN ikut masuk tunnel, atau jalur berpindah

Kalau default route mengarah ke tunnel, paket menuju server VPN bisa ikut masuk ke tunnel itu sendiri, lalu putus. Gejalanya: VPN nyala sebentar setelah reconnect, lalu mati lagi.

• Pastikan ada route spesifik ke IP server VPN lewat gateway ISP asli (/ip route print where dst-address=192.0.2.1/32).
• Kalau kamu pakai load balance, pastikan trafik ke server VPN selalu keluar lewat satu jalur. Panduannya ada di atur VPN di jalur load balance.

4. Jam router salah

• SSTP: jam salah memunculkan error sertifikat (ssl handshake failed). Ini beda dengan failed to authenticate ourselves to peer, yang muncul setelah TLS berhasil dan penyebabnya akun.
• WireGuard: handshake memakai timestamp. Router yang jamnya mundur setelah reboot bisa ditolak peer. Router tanpa RTC (jam hardware), misalnya CHR atau VM, paling rawan.

/system clock print
/system ntp client print
# v6
/system ntp client set enabled=yes primary-ntp=203.0.113.123
# v7
/system ntp client set enabled=yes
/system ntp client servers add address=203.0.113.123

203.0.113.123 hanya contoh. Ganti dengan server NTP yang kamu pakai.

5. MTU atau firewall

Gejalanya: tunnel tersambung, ping kecil lolos, tapi paket besar (buka web, Winbox lambat) gagal.

/ping 192.0.2.1 size=1400 do-not-fragment count=5

Kalau gagal, turunkan MTU: max-mtu=1400 di L2TP client, atau mtu=1380 di interface WireGuard. Nilai ini titik awal, sesuaikan dengan hasil tes. Pastikan juga firewall input tidak memblokir UDP listen-port WireGuard (51820 kalau bawaan).

Bedanya VPN MikroTik putus di L2TP, SSTP, dan WireGuard

Setelah lima penyebab di atas, tabel ini membantu kamu menyesuaikan cek dengan protokol yang dipakai.

Cara baca WireGuard

Untuk pemasangannya, lihat setup IP publik via WireGuard. WireGuard hanya mengirim paket UDP, jadi tidak ada status “terputus”. Interface berstatus R hanya berarti interface hidup, belum tentu tunnel sehat. Indikator yang tepat adalah last-handshake di peer:

/interface wireguard peers print detail

• Kosong atau never: belum pernah handshake. Cek key, endpoint, firewall.
• Puluhan detik sampai kurang dari 3 menit dan rx naik: sehat.
• Besar dan rx diam padahal tx naik: server tidak membalas. Cek NAT, key, atau peer dinonaktifkan di server.
• Handshake baru tapi ping gagal: periksa allowed-address, route, atau MTU.

Handshake dibuat saat ada trafik, kira-kira tiap 2 menit. Tanpa keepalive, nilai besar belum tentu berarti rusak.

Reconnect otomatis saat VPN MikroTik putus: scheduler dan Netwatch

Pasang watchdog: script yang ping server VPN, lalu restart interface kalau gagal. Scheduler lebih andal dari Netwatch untuk ini, karena down-script Netwatch hanya jalan saat status berpindah dari up ke down. Kalau tunnel nyangkut di kondisi down, Netwatch tidak mengulang.

L2TP/SSTP (ganti l2tp-client dengan sstp-client untuk SSTP):

/system script add name=vpn-watch source={
  :if ([/ping 192.0.2.1 count=4 interval=1] = 0) do={
    /interface l2tp-client disable [find name="l2tp-vpn"]
    :delay 5s
    /interface l2tp-client enable [find name="l2tp-vpn"]
    :log warning "vpn-watch: l2tp-vpn di-restart"
  }
}
/system scheduler add name=vpn-watch interval=2m on-event=vpn-watch

WireGuard:

/system script add name=wg-watch source={
  :if ([/ping 192.0.2.1 count=4 interval=1] = 0) do={
    /interface wireguard disable wg-perwira
    :delay 3s
    /interface wireguard enable wg-perwira
    :log warning "wg-watch: wg-perwira di-restart"
  }
}
/system scheduler add name=wg-watch interval=2m on-event=wg-watch

Script ini memutus tunnel beberapa detik tiap kali memicu. Pasang saat jam sepi. Kalau penyebabnya akun salah, script hanya membuat flapping dan tidak merusak apa pun. Ganti nama interface (l2tp-vpn, wg-perwira) dengan nama di router kamu.

Kalau router punya dua jalur internet, tambahkan check-gateway=ping di route default supaya route mati otomatis saat gateway tidak membalas, dan trafik pindah ke jalur lain. Setelah tunnel stabil, amankan MikroTik dengan IP publik.

Pertanyaan yang sering muncul

VPN IP publik MikroTik masih putus setelah semua dicek?

Kalau masih putus, kirim hasil /log print ke WhatsApp PerwiraMedia di +62 851-7345-2805. Tim kami bantu baca lognya, jadi kamu tidak perlu menebak sendiri.