MikroTik tidak bisa ping gateway: urutan pemeriksaan yang benar

“Tidak bisa ping gateway” adalah laporan, bukan diagnosa. Ada empat hal berbeda yang semuanya dilaporkan dengan kalimat itu: router tidak punya route ke gateway, gateway tidak menjawab ARP, firewall membuang ICMP, atau gateway-nya memang tidak ada di subnet yang sama. Masing-masing punya perbaikan yang tidak saling menggantikan.

Kuncinya satu: tentukan dulu ping-nya dari mana.

• Ping dari router menguji jalur L2/L3 router ke perangkat ISP.
• Ping dari klien menguji jalur klien → router → gateway; kalau ini yang gagal sementara router bisa, masalahnya ada di LAN, bukan di upstream.

Langkah 1 — Ping dari router, sebutkan interface-nya

/ping 103.10.20.1 interface=ether1 count=4

Menyebut interface penting: tanpa itu, router bisa memilih jalur lain dan hasilnya menyesatkan. Kalau hasilnya timeout, lanjut ke langkah 2. Kalau hasilnya host unreachable, biasanya route-nya tidak ada — langsung ke langkah 3.

Langkah 2 — Apakah gateway terlihat di ARP?

/ip arp print where address=103.10.20.1

Status reachable berarti link dan L2 sehat, jadi masalahnya di atas itu. Status incomplete berarti router mengirim permintaan ARP dan tidak ada jawaban — ini masalah fisik atau VLAN, bukan firewall.

Kalau incomplete, periksa interface-nya:

/interface ethernet monitor ether1 once
/interface ethernet print stats

Cari status: link-ok dan pastikan rx-error tidak bertambah. Kabel, konektor, atau port di perangkat ISP adalah tersangka utama. Untuk link yang memakai VLAN, incomplete juga muncul kalau vlan-id salah — paket ARP dikirim tanpa tag yang benar dan tidak pernah sampai.

Langkah 3 — Alamat IP, mask, dan route terhubung

Kesalahan yang paling sering saya temukan: alamat IP benar, subnet mask salah. Contoh: ISP memberi 103.10.20.2/30 dengan gateway 103.10.20.1, tetapi di router ditulis /24 atau 255.255.255.252 dengan alamat yang tidak sejalan. Router lalu menganggap gateway berada di luar subnet, tidak membuat route terhubung, dan ping gagal tanpa pesan yang jelas.

/ip address print
/ip route print where dst-address=0.0.0.0/0

Yang harus ada: satu entri 0.0.0.0/0 dengan gateway terisi (alamat IP atau nama interface PPPoE), dan status AS (active, static) — bukan S saja tanpa A. Kalau route ada tetapi tidak aktif, biasanya check-gateway=ping menonaktifkannya karena gateway tidak menjawab ICMP. Untuk kasus seperti itu, baca bagian terakhir.

Langkah 4 — Firewall: apakah ICMP ke router dibuang?

Ini menjebak karena gejalanya terbalik: klien tidak bisa ping router, tetapi router bisa ping internet.

/ip firewall filter print where chain=input

Aturan drop di chain input tanpa pengecualian ICMP akan memblokir ping ke router. Ping dari router tidak terpengaruh, karena ia keluar lewat chain output. Itulah sebabnya satu sisi bisa bekerja dan sisi lain tidak.

Perbaikan minimal yang aman — izinkan ICMP dari LAN saja, bukan dari internet:

/ip firewall filter
add chain=input protocol=icmp src-address=192.168.10.0/24 action=accept place-before=0 comment="izinkan ping dari LAN"

Jangan tergoda membuka ICMP dari semua arah hanya untuk “biar bisa diping”. Router yang menjawab ping dari internet akan cepat ditemukan pemindai otomatis.

Langkah 5 — Kalau gateway berupa interface PPPoE

Pada link PPPoE, tidak ada gateway berupa alamat IP. Route default menunjuk ke nama interface:

/interface pppoe-client print detail
/ip route print where dst-address=0.0.0.0/0

gateway harus pppoe-out1 (atau nama yang kamu pakai), bukan alamat IP. Ping ke “gateway” dalam arti alamat IP tidak berlaku di sini — yang diuji adalah apakah sesi PPPoE aktif:

/interface pppoe-client monitor pppoe-out1 once

Kalau status: disconnected, masalahnya ada di PPPoE, bukan di routing. Urutan pemeriksaannya berbeda: lihat /tutorial/pppoe-client-disconnect-terus/.

Langkah 6 — Dua interface di subnet yang sama

Kalau dua interface memiliki alamat di subnet yang sama (misalnya ether1 dan bridge sama-sama 192.168.10.1/24), router bisa mengirim balasan ARP lewat interface yang salah. Gejalanya: ping kadang berhasil, kadang tidak, dan hilang-timbul tanpa sebab jelas.

/ip address print

Cari dua alamat dengan network yang sama di interface berbeda. Ini sering terjadi setelah menambah bridge tanpa menghapus alamat yang lama di port-nya.

Ringkasan alur

1. Ping dari router dengan interface disebut → hasil timeout atau unreachable.
2. /ip arp print → incomplete = masalah L2/VLAN; reachable = lanjut.
3. /ip address + /ip route → cek mask dan keberadaan route default yang aktif.
4. /ip firewall filter chain input → pastikan ICMP dari LAN tidak dibuang.
5. Link PPPoE → gateway berupa nama interface, periksa status sesi.
6. Cek duplikasi subnet antar interface.

Catatan tentang check-gateway=ping

Kalau kamu memakai check-gateway=ping untuk failover, route akan dinonaktifkan saat gateway tidak menjawab ping. Sebagian ISP memblokir ICMP ke gateway mereka, sehingga route utama dianggap mati padahal link sehat. Ganti ke check-gateway=arp, atau pantau host lain lewat /tool netwatch.

Kejadian ini sering dilaporkan sebagai “internet mati padahal link nyala” — dan orang menghabiskan berjam-jam memeriksa kabel yang sebenarnya baik.

Kalau pemeriksaan di atas menunjukkan link sehat tetapi masalah tetap berulang di jam tertentu, itu biasanya bukan satu setelan, melainkan interaksi routing, DNS, dan beban. Saya menangani diagnosa seperti ini dengan laporan tertulis: jasa diagnosa & perbaikan jaringan MikroTik.