Mencegah Kebocoran Plaintext Lintas Batas: Hardening Egress Gateway dan Line-Rate MACsec pada Link Batam–Singapura

Banyak tim infrastruktur jatuh ke dalam ilusi keamanan perimeter klasik: begitu paket data keluar dari data center lokal menuju sirkuit sewaan privat (leased line atau DWDM wavelength), traffic dianggap otomatis aman. Asumsi ini fatal ketika diaplikasikan pada koridor cross-border kritis seperti Batam dan Singapura. Mengacu pada data topologi kabel bawah laut Batam Singapore Cable System (BSCS) yang membentang sepanjang 73 km dari stasiun pendaratan Batam menuju Changi North, link berkapasitas terpasang hingga 1.8 Tbps ini menjadi tulang punggung replikasi data perbankan, platform digital, dan klaster komputasi antar-negara. Mengirimkan replikasi database atau stream event dalam format plaintext melintasi kabel laut sewaan sama saja dengan menaruh data produksi di ruang publik tanpa gembok. Secara fisik, serat optik bawah laut maupun backhaul terrestrial menuju cable landing station (CLS) rentan terhadap passive optical tapping. Metode macrobending—menekuk kabel serat optik pada radius tertentu hingga sejumlah kecil foton bocor keluar dari cladding tanpa memutus kontinuitas link fisik—memungkinkan pihak ketiga menyadap seluruh aliran foton menggunakan optical splitter portabel. Kerugian sinyal (optical attenuation loss) akibat bending ini sering kali berada di bawah 0.5 hingga 1.0 dB, angka yang di lapangan kerap diabaikan oleh engineer NOC sebagai degradasi wajar akibat penuaan kabel atau kotoran pada konektor LC/APC. Jika aplikasi internal mengandalkan link sewaan ini untuk sinkronisasi Kafka, etcd, atau replikasi fisik PostgreSQL tanpa enkripsi transport, kebocoran data sensitif lintas batas negara tinggal menunggu waktu.

Kerapuhan Replikasi Antar-Data Center di Layer Aplikasi

Dalam arsitektur multi-region active-passive atau disaster recovery antara Batam dan Singapura, beban throughput replikasi sering kali mencapai puluhan gigabit per detik. Untuk mengejar latensi ultra-rendah (di mana RTT Batam–Singapura idealnya berada di kisaran 1.5 hingga 3 milidetik), tim software engineering kerap mengambil jalan pintas dengan menonaktifkan TLS pada level aplikasi. Dalih yang dipakai klasik: handshake overhead membebani CPU server dan throughput transfer terpangkas akibat context switching di kernel Linux. Akibatnya, data transaksi, token otorisasi internal, dan payload pengguna mengalir telanjang melewati router perbatasan (border router). Begitu terjadi miskonfigurasi perutean BGP atau interception di level penyedia transit transmisi DWDM, tidak ada batas kriptografis yang melindungi data tersebut. Solusi modern tidak boleh memilih antara performa dan keamanan; keduanya harus berjalan bersamaan melalui pendekatan pertahanan berlapis (defense-in-depth): enkripsi perangkat keras di Layer 2 (MACsec) pada inter-connect router, dipadukan dengan strict egress enforcement di tepi klaster aplikasi.

Implementasi Line-Rate MACsec (802.1AE) dengan Extended Packet Numbering

Untuk mengamankan link transmisi berkecepatan tinggi (100GbE atau 400GbE) tanpa membebani CPU server maupun memperkenalkan jitter, enkripsi harus didelegasikan langsung ke perangkat keras router edge menggunakan IEEE 802.1AE (MACsec). Berbeda dengan IPsec yang beroperasi di Layer 3 dengan penambahan overhead header IP/ESP yang signifikan serta pemrosesan kriptografi intensif pada crypto-engine router, MACsec mengenkripsi payload Ethernet langsung pada PHY transceiver ASIC sebelum bit-bit data diubah menjadi pulsa optik. Pada link 100 Gbps ke atas, konfigurasi cipher suite mutlak menggunakan AES-GCM-256 yang dipadukan dengan XPN (Extended Packet Numbering). Standar MACsec 32-bit Packet Number (PN) tradisional akan mengalami exhaustion (kehabisan nomor urut paket sebelum batas rotasi kunci) hanya dalam hitungan menit pada traffic jenuh 100 Gbps. Hal ini memaksa negosiasi ulang kunci MKA (MACsec Key Agreement) terjadi terlalu sering dan memicu packet drop. Dengan XPN 64-bit, ruang nomor urut paket membengkak secara eksponensial sehingga sesi enkripsi tetap stabil selama berbulan-bulan tanpa risiko replay attack.

TEXT

! Cuplikan konfigurasi MKA / MACsec pada edge router (contoh Cisco IOS-XR / Junos style)
mka policy WAN-MACSEC-POLICY
 key-server priority 16
 macsec-cipher-suite GCM-AES-XPN-256
 confidentiality-offset 0
 window-size 512
!
interface HundredGigE0/0/0/1
 description Direct-Interconnect-to-Changi-CLS
 mtu 9100
 macsec psk key-chain MKA-KEYS policy WAN-MACSEC-POLICY

Satu jebakan implementasi yang sering memicu outage misterius adalah kalkulasi MTU (Maximum Transmission Unit). MACsec menambahkan overhead sebesar 32 byte ke dalam setiap frame Ethernet: 16 byte untuk Security Tag (SecTAG) di depan payload dan 16 byte untuk Integrity Check Value (ICV) di akhir frame. Jika router edge dikonfigurasi dengan standar MTU 1500 byte sementara sirkuit DWDM operator hanya mendukung maksimum 1500 byte jumbo frame disabled, paket yang telah dienkripsi MACsec akan berukuran 1532 byte dan dibuang (dropped silently) oleh transponder optik penyedia kabel bawah laut. Seluruh interface WAN dan L2 MTU operator wajib diselaraskan minimal ke 9100 byte (Jumbo Frame) untuk menampung overhead enkripsi dan tag VLAN ganda (QinQ).

Isolasi Egress Gateway: Menutup Celah Insider di Edge PoP

Mengandalkan MACsec semata di router border belum menyelesaikan masalah seutuhnya jika ada risiko intrusi di dalam data center lokal sebelum paket menyentuh router WAN. Karena itu, arsitektur egress gateway harus diterapkan pada klaster Kubernetes atau armada virtual machine pengirim. Setiap traffic yang ditujukan ke endpoint Singapura (misalnya klaster analitik atau basis data sekunder di Equinix Changi) wajib dipaksa melewati simpul Egress Gateway terisolasi yang menjalankan Envoy proxy. Gateway ini bertindak sebagai validator identitas kriptografis berbasis SPIFFE/SPIRE. Layanan internal pengirim tidak diperbolehkan berbicara langsung ke IP publik atau subnet inter-DC; seluruh koneksi dialihkan melalui Envoy sidecar ke Egress Gateway via mTLS lokal. Di titik Egress Gateway, sertifikat klien divalidasi ketat. Gateway kemudian melakukan re-enkripsi sesi menggunakan mutual TLS (mTLS) berstandar TLS 1.3 dengan kurva X25519 dan cipher ChaCha20-Poly1305 atau AES-256-GCM sebelum memancarkan paket menuju router WAN yang dilindungi MACsec. Dengan pola ini, payload terlindungi oleh dua lapis kriptografi independen: mTLS di Layer 7 yang menjamin integritas data dari ujung aplikasi ke aplikasi, dan MACsec di Layer 2 yang mengaburkan seluruh metadata paket (termasuk alamat IP pengirim dan penerima) dari mata penyadap di dasar laut Selat Singapura.

Observabilitas Sinyal Optik dan Otomasi Rotasi Kunci

Hardening transmisi tidak lengkap tanpa pemantauan telemetri lapisan fisik secara kontinu. Penyadapan optik pasif (splitter tap) umumnya menyebabkan penurunan intensitas cahaya yang diterima (Rx optical power). Melalui integrasi metrik Digital Optical Monitoring (DOM) SFP28/QSFP-DD via gNMI telemetry atau SNMP exporter ke Prometheus, tim infrastruktur dapat mendeteksi anomali fisik sekecil apa pun. Jika modul optik mencatat penurunan daya Rx sebesar 0.8 dBm secara mendadak tanpa adanya korelasi dengan laporan pemeliharaan dari penyedia kabel bawah laut BSCS, sistem alerting otomatis harus mengklasifikasikan link tersebut sebagai compromised. Pada saat yang sama, mekanisme MKA harus dikonfigurasi untuk memicu automated pre-shared key rollover tanpa menimbulkan flapping antarmuka. Dengan memadukan isolasi identitas di batas egress software, enkripsi berkecepatan kawat di perangkat keras jaringan, dan kewaspadaan telemetri optik, kedaulatan data transaksi yang melintasi koridor Batam–Singapura tetap terjaga seutuhnya.