DNS Leak Adalah: Penyebab, Cara Cek & Mengatasinya

Mengganti alamat DNS ke 8.8.8.8 dan menyalakan VPN adalah dua langkah privasi yang paling sering diambil orang. Keduanya masuk akal, dan keduanya benar-benar bekerja. Masalahnya, kedua langkah itu berbagi satu titik buta yang sama: mengisi kolom DNS di pengaturan tidak menjamin kolom itulah yang benar-benar dipakai perangkat Anda.

Selisih antara keduanya punya nama. DNS leak adalah kondisi ketika permintaan penerjemahan nama situs keluar lewat resolver (server penerjemah nama) di luar jalur yang Anda kehendaki. Akibatnya, pihak lain tetap bisa melihat daftar situs yang Anda buka. Artikel ini membahas mengapa selisih itu muncul dan bagaimana memastikannya, baik dengan alat bantu maupun perintah terminal. Penanganannya dibahas untuk Windows, Android, Linux, serta router.

DNS Leak Adalah Apa? Selisih Dua Alamat, Bukan Kerusakan

Setiap kali Anda mengetik nama situs, perangkat perlu menerjemahkan nama itu menjadi alamat IP. Pekerjaan itu diserahkan ke sebuah resolver. Anda dapat memilih resolver mana yang dipakai lewat pengaturan sistem, router, atau aplikasi VPN. Penjelasan lengkap soal cara kerjanya ada di artikel DNS adalah sistem penerjemah nama situs.

Kebocoran DNS terjadi ketika resolver yang tercatat di pengaturan berbeda dari resolver yang benar-benar menjawab. Perhatikan kata kuncinya: selisih. Tidak ada yang rusak, tidak ada peringatan, dan koneksi tetap normal. Justru karena tanpa gejala, kondisi ini bisa bertahan berbulan-bulan tanpa disadari.

Satu salah kaprah perlu diluruskan sejak awal. Kebocoran DNS sering dianggap khusus milik pengguna VPN, padahal VPN hanya membuat selisihnya lebih mudah dikenali. Perangkat tanpa VPN juga bisa mengalaminya, dan di Indonesia justru itu kasus yang paling umum.

Mengapa Kueri DNS Bisa Keluar dari Terowongan VPN

Terowongan VPN memindahkan lalu lintas internet Anda ke jalur terenkripsi menuju server penyedia. Yang perlu diperhatikan, keputusan "resolver mana yang akan ditanya" diambil oleh sistem operasi sebelum paket itu masuk terowongan. Kalau sistem operasi memutuskan bertanya ke resolver bawaan ISP, permintaan tersebut berangkat lewat kartu jaringan biasa, bukan lewat terowongan.

Akibatnya, isi lalu lintas Anda memang terenkripsi, tetapi daftar nama situs yang Anda tanyakan tetap terbaca di luar. Bagi pihak yang ingin memetakan kebiasaan Anda, daftar nama itu sudah cukup. Konteks lebih luas soal apa yang dilindungi dan tidak dilindungi VPN dibahas di artikel VPN adalah terowongan terenkripsi.

Penyebab DNS leak: sistem operasi memilih resolver sebelum terowongan, satu jalur masuk ke VPN, satu keluar ke ISP.

Aplikasi VPN yang baik menutup celah ini: seluruh kueri DNS dipaksa lewat resolver miliknya, dan port 53 di kartu jaringan lain diblokir. Fitur itu biasanya bernama DNS leak protection. Ketika ia tidak ada, tidak menyala, atau gagal saat koneksi terputus sesaat, selisihnya kembali muncul.

Empat Titik Tempat DNS Anda Bisa Bocor

Akan lebih mudah memperbaiki kebocoran jika Anda tahu di lapisan mana ia terjadi. Ada empat titik yang masing-masing menuntut penanganan berbeda:

1. Di dalam perangkat Anda. Windows mengirim kueri nama secara paralel ke semua jaringan yang aktif, lalu memakai jawaban yang datang lebih dulu sesuai urutan binding. Saat VPN menyala, resolver ISP di kartu jaringan fisik tetap ikut menerima kueri tersebut. Di Android, kebocoran justru berasal dari sistem operasinya sendiri. Sisa peninggalan lama seperti Teredo, terowongan bawaan Windows untuk membawa IPv6 di atas UDP port 3544, juga bisa mendahului terowongan VPN.

2. Di router dan jaringan lokal. Router membagikan alamat resolver ke semua perangkat lewat DHCP. Kalau alamat itu masih menunjuk ke resolver bawaan ISP, seluruh perangkat di rumah mengikutinya. Termasuk perangkat yang tidak punya menu pengaturan DNS, seperti smart TV dan konsol permainan. Di jaringan WiFi publik, penyedia jaringanlah yang menentukan, dan Anda tidak punya kendali atas keputusan itu.

3. Di jalur ISP. Sebagian penyedia internet menjalankan transparent DNS proxy, yaitu pencegat yang menangkap semua kueri DNS di port 53. Kueri itu lalu dialihkan ke resolver miliknya, apa pun yang Anda isi di pengaturan. Di Indonesia, penyaringan berbasis basis data TRUST+Positif memang lazim diterapkan pada lapisan DNS. Inilah alasan keluhan "sudah saya ganti ke 8.8.8.8, tetapi hasil uji tetap menunjukkan ISP" begitu sering muncul.

4. Di dalam browser. Chrome, Firefox, dan Brave punya fitur DNS terenkripsi sendiri. Chrome menyebutnya Use secure DNS dan menaikkan resolver sistem ke DNS over HTTPS bila penyedianya mendukung. Firefox memasangnya sebagai bawaan secara bertahap per wilayah, dimulai dari Amerika Serikat pada 2019, Kanada pada 2021, lalu Rusia dan Ukraina pada Maret 2022. Ketika fitur ini aktif, browser dapat bertanya ke penyedia pilihannya sendiri, melewati baik pengaturan sistem maupun terowongan VPN.

Empat lapisan kebocoran DNS: perangkat, router lewat DHCP, jalur ISP yang mencegat port 53, dan browser.

Empat titik ini bisa aktif bersamaan. Karena itu satu perbaikan jarang cukup, dan hasil uji perlu diulang setelah setiap perubahan.

Apa yang Sebenarnya Terlihat Saat DNS Bocor

Penting menakar risikonya secara proporsional. Yang terekspos adalah metadata: daftar nama domain yang ditanyakan, waktu tiap permintaan, dan alamat IP yang mengajukannya. Dari situ bisa disimpulkan layanan apa yang Anda pakai, jam berapa Anda aktif, dan lokasi kasar Anda.

Yang tidak ikut bocor adalah isi halaman, kata sandi, dan rincian transaksi; semuanya tetap terlindungi enkripsi HTTPS. Jadi ini kebocoran privasi, bukan bencana keamanan. Sekalipun begitu, riwayat nama domain termasuk jejak paling deskriptif yang bisa dikumpulkan tentang seseorang.

Tiga jenis kebocoran sering tertukar padahal berbeda. Dua di antaranya membocorkan alamat IP publik Anda, sedangkan DNS leak membocorkan nama yang Anda tanyakan:

Cara Cek DNS Leak: Situs Uji dan Terminal

Lewat situs uji

Cara tercepat adalah membuka situs pemeriksa seperti dnsleaktest.com, ipleak.net, atau browserleaks.com/dns. Nyalakan dulu VPN atau terapkan pengaturan DNS yang ingin Anda periksa, baru jalankan pengujiannya. Situs itu akan menampilkan daftar resolver yang menjawab, lengkap dengan nama organisasi dan negaranya.

Pilih mode pengujian panjang bila tersedia; dnsleaktest.com menyebutnya Extended Test. Mode singkat hanya mengirim beberapa kueri, sehingga resolver cadangan yang jarang terpakai bisa lolos.

Cara kerja pengujian itu sebenarnya

Memahami mekanismenya membuat Anda bisa membaca hasilnya sendiri, bukan sekadar menerima label "aman" atau "bocor". Situs uji membuat sebuah nama acak sekali pakai di bawah domain yang mereka kuasai, kira-kira berbentuk seperti ini:

c6fe4e11-d84d.test.dnsleaktest.com

Karena nama itu belum pernah ada sebelumnya, tidak ada cache mana pun yang menyimpannya. Permintaan wajib naik sampai ke server otoritatif milik situs uji. Di titik itulah server mereka mencatat alamat IP resolver yang benar-benar bertanya. Satu sesi pengujian mengirim beberapa nama acak sekaligus, karena penyedia resolver besar menyebar kueri ke banyak mesin.

Cara uji DNS leak bekerja: nama acak sekali pakai memaksa resolver bertanya ke server otoritatif yang mencatat alamatnya.

Lewat terminal

Situs uji hanya memeriksa jalur yang dipakai browser. Untuk jalur seluruh sistem, perintah berikut lebih jujur: ia bertanya ke nama khusus milik Google yang membalas dengan alamat resolver yang menghubunginya:

dig o-o.myaddr.l.google.com TXT +short

Keluarannya satu alamat IP dalam tanda kutip. Cocokkan dengan resolver yang Anda harapkan. Kalau yang muncul justru milik ISP padahal VPN sedang menyala, berarti ada kebocoran.

Di Windows, perintah setara tersedia di Command Prompt maupun PowerShell tanpa perlu memasang apa pun:

nslookup -type=txt o-o.myaddr.l.google.com

Untuk gambaran yang lebih rinci, nama berikut membalas dengan tiga baris sekaligus:

dig +short TXT whoami.ds.akahelp.net

Baris ns menunjukkan resolver yang menghubungi server otoritatif; baris ecs memperlihatkan potongan subnet Anda yang ikut terkirim.

Membaca Hasil Uji: Tiga Kondisi yang Sering Disalahartikan

Hasil pengujian tidak selalu berarti apa yang tampak. Tiga kondisi berikut rutin dibaca keliru:

1. Beberapa alamat resolver muncul sekaligus. Ini normal. Saat menyiapkan artikel ini, dua kali menjalankan perintah yang sama berturut-turut mengembalikan dua alamat berbeda dalam blok jaringan yang sama. Resolver besar memakai kumpulan mesin dan teknik anycast (satu alamat dilayani banyak lokasi), jadi wajar jawabannya berpindah-pindah. Yang perlu Anda periksa adalah pemilik alamatnya, bukan jumlahnya.

2. Resolver bukan milik penyedia VPN Anda. Belum tentu bocor. Banyak penyedia sengaja meneruskan kueri ke resolver pihak ketiga yang mereka percayai. Selama alamatnya bukan milik ISP rumah Anda dan lokasinya masuk akal dengan server VPN yang dipakai, jalurnya masih di dalam terowongan.

3. Hasil "aman" di satu browser. Hasil itu hanya berlaku untuk browser tersebut. Bila DNS over HTTPS aktif di dalam browser, pengujian lewat halaman web akan melaporkan penyedia DoH yang rapat. Sementara itu, aplikasi lain di komputer yang sama masih memakai resolver ISP. Hal serupa berlaku untuk aplikasi berpengaturan jaringan sendiri, misalnya klien torrent seperti qBittorrent yang diikat ke satu kartu jaringan. Inilah alasan pemeriksaan lewat terminal tetap diperlukan.

Cara Mengatasi DNS Leak di Windows

Windows layak dibahas terpisah karena penyebabnya melekat pada perilaku bawaannya. Fitur Smart Multi-Homed Name Resolution (SMHNR) mempercepat penerjemahan nama dengan mengirim kueri DNS, LLMNR, dan NetBIOS paralel ke semua jaringan. Saat beberapa jawaban positif datang, urutan binding menentukan mana yang dipakai.

Saran yang beredar luas adalah mengaktifkan kebijakan Turn off smart multi-homed name resolution di Group Policy. Namun deskripsi resmi Microsoft berbunyi lain. Saat kebijakan itu diaktifkan, klien DNS tidak melakukan optimasi apa pun dan kueri DNS tetap dikirim ke semua jaringan terlebih dahulu. Kueri LLMNR baru menyusul bila kueri DNS gagal, diikuti NetBIOS. Dengan kata lain, kebijakan itu mematikan optimasi LLMNR dan pengurutannya, bukan pengiriman paralel kueri DNS.

Mengaktifkan GPO SMHNR tidak menghentikan kueri DNS paralel ke semua jaringan; hanya LLMNR dan NetBIOS yang diurutkan.

Kebijakan ini berlaku pada Windows 10 versi 2004, 20H2, dan 21H1 dengan pembaruan KB5005101, serta Windows 11 21H2 ke atas. Group Policy Editor sendiri hanya tersedia di edisi Pro, Enterprise, Education, dan IoT Enterprise.

Karena itu, empat langkah berikut lebih dapat diandalkan:

1. Nyalakan DNS leak protection di aplikasi VPN Anda. Fitur ini memasang aturan firewall yang memblokir port 53 di luar terowongan. Bila aplikasi Anda tidak memilikinya, pertimbangkan mengganti aplikasi sebelum menyentuh pengaturan sistem.
2. Pakai opsi block-outside-dns bila memakai OpenVPN. Opsi ini memasang filter Windows Filtering Platform yang memblokir seluruh kueri DNS ke port 53, baik TCP maupun UDP, kecuali lewat adapter OpenVPN. Filternya bersifat sementara dan hilang saat proses berhenti. Sudah terintegrasi sejak OpenVPN versi 2.3.9.
3. Centang kill switch bila memakai WireGuard. Klien WireGuard resmi menetapkan resolver lewat baris DNS = di blok [Interface], dan menyediakan opsi Block untunneled traffic (kill-switch) di editor terowongan. Tanpa centang itu, hasil uji lazimnya menampilkan resolver VPN dan resolver jaringan lokal sekaligus.
4. Gunakan aturan Name Resolution Policy Table (NRPT) untuk lingkungan terkelola. Penelitian SANS oleh Robert Upchurch pada 2021 menyimpulkan aturan NRPT bekerja lintas edisi Windows dan tetap efektif baik SMHNR menyala maupun mati.

Teredo dulu menjadi tersangka rutin, dimatikan dengan netsh interface teredo set state disabled sebagai administrator. Pada versi Windows yang masih didukung, Teredo sudah nonaktif secara bawaan — periksa dulu sebelum mengubahnya.

Cara Mengatasi DNS Leak di Android, iPhone, Linux, dan Router

Android

Kebocoran DNS di Android sebagian berasal dari sistem operasinya, bukan dari aplikasi VPN. Mullvad melaporkan pada 3 Mei 2024 bahwa aplikasi yang memanggil langsung fungsi C getaddrinfo dapat mengirim kueri di luar terowongan. Chrome termasuk aplikasi yang memanggilnya langsung, sedangkan aplikasi yang memakai API DnsResolver tidak terpengaruh.

Dua kondisi memicunya: VPN aktif tanpa server DNS terkonfigurasi, dan jeda singkat saat aplikasi VPN mengatur ulang terowongannya atau dihentikan paksa. Kebocoran ini terjadi terlepas dari apakah Always-on VPN dan Block connections without VPN dinyalakan. Yang bisa Anda lakukan: pilih aplikasi VPN yang selalu menetapkan server DNS, perbarui sistem, lalu uji ulang.

Fitur Private DNS di Android memakai DNS over TLS. Perilakunya saat VPN menyala berbeda-beda antar aplikasi: sebagian mematikannya untuk menghindari bentrok, sebagian meneruskan kueri di luar terowongan. Karena tidak seragam, kombinasi yang Anda pakai perlu diuji sendiri.

iPhone dan iPad

iOS menutup sebagian pengaturan jaringan dari pengguna, jadi pilihan perbaikannya lebih sedikit. Dua perilaku bawaan perlu Anda ketahui. Pertama, iOS selalu menghubungi captive.apple.com untuk mendeteksi halaman login WiFi, dan permintaan itu menembus pengaturan VPN maupun DNS yang Anda pasang. Kedua, pada Oktober 2022 dilaporkan bahwa iOS 16 tetap menghubungi sebagian layanan Apple di luar terowongan VPN.

Langkah yang tersedia: pasang profil DNS terenkripsi lewat Settings → General → VPN, DNS & Device Management. Profil semacam itu berlaku untuk seluruh sistem, bukan satu aplikasi saja. Untuk membersihkan cache DNS di iPhone, nyalakan lalu matikan Airplane Mode.

Linux

Periksa dulu resolver yang benar-benar aktif, karena isi /etc/resolv.conf sering hanya menunjuk ke layanan lain. Pada Ubuntu dan distribusi lain yang memakai systemd-resolved:

resolvectl status | grep "DNS Servers"

Bila hasilnya masih menunjuk resolver ISP saat VPN menyala, kunci resolver pada tautan VPN lewat resolvectl dns. Alternatifnya, pakai aplikasi VPN yang mengatur systemd-resolved secara otomatis.

Router

Mengunci resolver di router menutup semua perangkat sekaligus, termasuk yang tidak punya menu pengaturan DNS. Pada router konsumen, kolomnya biasanya ada di halaman WAN atau DHCP; pada firmware seperti OpenWrt dan MikroTik, pengaturannya berada di layanan DHCP dan DNS masing-masing. Isi dengan resolver publik: Cloudflare 1.1.1.1, Google 8.8.8.8, atau Quad9 9.9.9.9. Pilihan lain dibahas di artikel OpenDNS dan cara memakainya.

Langkah ini tidak menolong bila ISP mencegat port 53. Untuk kasus itu, satu-satunya jalan adalah DNS terenkripsi. Router yang mendukung DNS over TLS atau DNS over HTTPS mengirim kueri lewat port terenkripsi sehingga pencegat di port 53 tidak lagi relevan. Setelah setiap penggantian resolver, bersihkan cache DNS di perangkat supaya jawaban lama tidak menutupi hasil pengujian.

Hal yang Perlu Anda Pertimbangkan Sebelum Mengunci DNS

Mengunci resolver bukan langkah tanpa konsekuensi. Ada empat hal yang perlu Anda timbang lebih dulu:

1. Portal jaringan publik bisa gagal terbuka. Halaman login WiFi kafe, hotel, dan bandara mengandalkan pengalihan lewat resolver lokal. Bila DNS dikunci ke resolver publik, halaman itu kerap tidak muncul dan Anda gagal terhubung.
2. Nama internal kantor berhenti terselesaikan. Jaringan perusahaan biasanya memakai split-horizon DNS, yaitu nama yang hanya dikenal resolver internal. Mengunci DNS ke resolver publik memutus akses ke server internal tersebut.
3. Filter konten yang sudah dipasang bisa ikut lumpuh. Bila Anda memakai penyaringan konten untuk anak di tingkat router, mengunci DNS di perangkat justru melewatinya.
4. Anda menukar satu pengamat dengan pengamat lain. Resolver publik tetap melihat seluruh riwayat nama domain Anda. Yang berubah adalah pihak yang melihatnya, bukan keberadaannya.

Ada juga batas yang tidak bisa ditutup DNS terenkripsi. Nama host masih tampak polos pada SNI (penanda nama server di awal koneksi terenkripsi), kecuali fitur Encrypted Client Hello aktif di kedua sisi. Alamat IP tujuan selalu terlihat oleh siapa pun yang mengamati jalur. Selain itu, resolver boleh menyertakan potongan subnet Anda lewat EDNS Client Subnet sesuai RFC 7871. Potongan itu umumnya sebesar blok /24 untuk IPv4, supaya jawaban CDN lebih dekat. Operator server otoritatif jadi bisa menyimpulkan lokasi kasar Anda.

Terakhir, jangan tertukar dengan DNSSEC. Mekanisme itu menjamin jawaban DNS asli dan tidak dipalsukan, bukan menjamin jawaban itu rahasia. Perbedaannya dibahas di artikel DNSSEC adalah tanda tangan digital untuk DNS.

Pertanyaan yang Sering Muncul Soal DNS Leak

Apakah DNS leak berarti VPN saya rusak?

Tidak. Enkripsi dan penyembunyian alamat IP tetap bekerja; yang keluar jalur hanya kueri penerjemahan nama. Ini lebih sering menandakan fitur perlindungan DNS belum menyala ketimbang aplikasi yang bermasalah.

Apakah DNS leak bisa terjadi tanpa VPN?

Bisa, dan justru inilah kasus yang paling umum. Contoh paling sering: Anda mengisi 8.8.8.8 di pengaturan, tetapi ISP mencegat port 53 dan mengalihkannya ke resolver miliknya. Pengaturan Anda tercatat rapi, hanya saja tidak pernah dipakai.

Seberapa sering perlu mengecek kebocoran DNS?

Cukup pada empat momen: setelah mengganti aplikasi VPN, setelah pembaruan besar sistem operasi, setelah mengganti router, dan saat pertama kali memakai jaringan asing. Pemeriksaan harian tidak perlu — pengaturan DNS jarang berubah sendiri.

Apakah DNS over HTTPS otomatis menghilangkan DNS leak?

Tidak otomatis. DNS over HTTPS membuat kueri tidak terbaca di jalan dan tidak bisa dicegat di port 53, sehingga menutup sebagian besar kasus. Namun bila yang menyalakannya hanya browser, aplikasi lain di perangkat yang sama tetap memakai resolver lama.

Apakah WebRTC leak sama dengan DNS leak?

Berbeda. WebRTC leak membocorkan alamat IP asli lewat fitur panggilan suara dan video di browser; DNS leak membocorkan nama domain yang Anda tanyakan. Keduanya diuji terpisah dan ditutup dengan cara berbeda, jadi hasil bersih pada satu tidak menjamin yang lain.

Apakah mode incognito mencegah DNS leak?

Tidak sama sekali. Mode penyamaran hanya menghapus jejak di perangkat Anda seperti riwayat dan cookie, dan tidak menyentuh jalur jaringan. Batas privasinya dibahas lebih jauh di artikel incognito dan apa saja yang tidak disembunyikannya.

Kesimpulan

DNS leak adalah selisih antara resolver yang Anda pilih dan resolver yang benar-benar menjawab. Selisih itu tidak menimbulkan gejala dan tidak merusak koneksi, sehingga perlu diperiksa secara sengaja. Situs uji menutup sebagian kebutuhan itu, sedangkan perintah terminal memeriksa jalur seluruh sistem.

Anda perlu menanganinya bila memakai VPN untuk alasan privasi, sering terhubung ke jaringan asing, atau ingin memastikan resolver pilihan Anda benar-benar terpakai. Bila internet Anda hanya dipakai untuk kebutuhan sehari-hari tanpa kebutuhan privasi khusus, memeriksanya sesekali sudah memadai. Semoga artikel ini membantu.