DNS Leak vs DNS Poisoning: Cara Cek dan Mengatasinya

DNS adalah cara internet menanyakan arah. Anda mengetik nama domain, perangkat butuh alamat IP, dan langkah di antaranya, yaitu alamat mana yang cocok dengan nama ini, adalah pertanyaan yang diajukan ke server DNS. Secara bawaan, server itu dipilih oleh provider atau router Anda, dan kueri DNS biasa tidak dienkripsi: perangkat di sepanjang jalur bisa membaca pertanyaannya dan punya kesempatan menjawab lebih dulu sebelum server yang asli menjawab.

DNS poisoning berarti jawaban itu sudah diganti dengan yang palsu: nama domain diarahkan ke alamat yang tidak ada hubungannya atau ke alamat yang tidak bisa dijangkau. Dari sisi pengguna, gejalanya seperti ini.

• Situs tertentu terus loading, timeout, atau muncul pesan koneksi di-reset, sementara situs lain normal pada saat yang sama.
• Mengganti ke DNS publik tidak menolong: jawaban palsu disisipkan di tengah jalan, jadi siapa pun yang Anda tanya, jawaban palsu tetap tiba lebih dulu.
• Nama yang sama menghasilkan alamat yang berbeda setiap kali dicek, dan alamat itu milik organisasi yang sama sekali tidak terkait dengan situsnya.
• Browser menampilkan error sertifikat: nama domain diarahkan ke server orang lain yang tidak bisa menunjukkan sertifikat situs itu. Berhenti di situ dan jangan klik lanjutkan.
• Di jaringan lain (misalnya data seluler) atau saat VPN tersambung, situs yang sama langsung terbuka.

Kalau polanya sudah jelas “dengan VPN terbuka, tanpa VPN gagal”, itu sudah cukup sebagai kesimpulan. Untuk memastikan apakah sebuah nama domain diterjemahkan dengan benar, ikuti empat langkah ini.

1. Dengan VPN mati, cek nama itu di command line komputer (ganti example.com dengan domain yang dimaksud), lalu catat alamat yang keluar: nslookup example.com
2. Sambungkan VPN (cara yang mencakup seluruh perangkat, mode global) lalu cek nama yang sama sekali lagi. Hasil yang berbeda itu wajar, karena situs besar punya server di banyak tempat; langkah berikutnya yang menentukan.
3. Bawa alamat pertama ke situs cek IP seperti ipinfo.io dan lihat siapa pemiliknya. Kalau milik situs itu sendiri atau penyedia cloud-nya, berarti resolusinya benar. Kalau milik organisasi yang tidak terkait, atau sama sekali tidak bisa dijangkau, berarti jawabannya sudah diracuni.
4. Ulangi dua atau tiga kali. Hasil yang asli selalu berada dalam sekumpulan kecil alamat yang tetap; hasil yang diracuni sering berganti setiap kali dicek.

Ada empat pendekatan, dari yang setengah jalan sampai yang tuntas. Dua yang pertama hanya mengganti pihak yang Anda tanya; yang ketiga menyelesaikan urusan bertanya dan urusan berangkat sekaligus.

• Ganti server DNS: berhasil kalau DNS milik provider sendiri yang salah atau masih menyimpan alamat lama. Tidak berpengaruh apa pun terhadap jawaban yang disisipkan di tengah jalan.
• DNS terenkripsi (DoH, DoT): kueri tidak bisa diubah di perjalanan, jadi Anda mendapat alamat yang asli. Tapi alamat asli itu belum tentu bisa dijangkau, jadi ini baru setengah solusi.
• Kirim resolusi DNS dan trafik sekaligus lewat jalur VPN: ini solusi tuntas. Nama domain diterjemahkan di ujung sana, jawabannya asli, dan kunjungannya juga berangkat dari ujung sana.
• Edit file hosts untuk mematok alamat secara manual: langsung rusak begitu alamatnya berubah dan tidak praktis untuk lebih dari beberapa situs. Cocok hanya sebagai tambalan sementara.
• LeoTun memakai pendekatan ketiga: DNS ditentukan oleh jalur dan diterjemahkan di dalam terowongan, jadi DNS asli perangkat tidak dipakai. Dengan Proxy Web, server proxy yang menerjemahkan nama domain untuk browser. Router melakukan hal ini untuk semua perangkat di rumah, dan menerjemahkan situs China dengan cara domestik supaya bisa dibuka langsung. Di jalur kami, biasanya Anda tidak perlu mengubah pengaturan DNS apa pun.

• DNS poisoning: jawabannya palsu. Situs gagal dibuka atau Anda diarahkan ke tempat lain. Terjadi saat Anda tidak memakai jalur VPN, atau saat resolusi DNS-nya tidak ikut lewat jalur.
• DNS leak: jawabannya asli, tetapi yang ditanya adalah provider lokal Anda. Provider jadi tahu domain mana yang Anda tuju, dan situs video bisa menebak lokasi asli Anda dari situ. Terjadi saat VPN tersambung tetapi pencarian DNS berjalan di luar terowongan.
• Penyebab umum DNS leak: DNS aman aktif di browser atau di sistem; ada VPN lain atau aplikasi jaringan mesh yang berjalan bersamaan; IPv6 perangkat tidak lewat terowongan.
• Saat Anda di luar China dan menonton video China, tanda khas DNS leak adalah “sudah tersambung, IP-nya sudah benar, tapi pesan pembatasan wilayah tetap muncul”. Langkah-langkahnya ada di Tencent Video atau iQIYI diblokir di luar China.

1. IP keluar: setelah tersambung, buka situs cek IP seperti ipinfo.io atau ip.sb. Alamat dan lokasinya harus sesuai wilayah keluar yang Anda pilih, bukan internet rumah Anda.
2. DNS: buka situs DNS leak test (dnsleaktest.com, atau halaman DNS di browserleaks.com). Situs ini menampilkan daftar server yang menerjemahkan nama domain untuk Anda. Dalam mode global, provider lokal Anda tidak boleh ada di daftar itu.
3. IPv6: buka test-ipv6.com. Kalau IPv6 tertulis tidak tersedia, atau yang tampil adalah alamat yang bukan alamat lokal Anda, berarti aman.
4. Dalam mode split routing, baca hasilnya dengan cara lain: situs China memang sengaja diterjemahkan secara domestik, jadi server domestik di halaman tes belum tentu berarti bocor. Untuk memastikan, pindah ke mode global lalu tes lagi.
5. Putuskan sambungan dan jalankan semua tes sekali lagi, lalu bandingkan. Kalau hasil kedua tes sama persis, berarti trafik tidak lewat jalur VPN; periksa apakah klien benar-benar tersambung.

Kalau split routing aktif, ini normal dan justru tanda split routing bekerja. Saat Anda berada di China dan memilih wilayah luar negeri, situs cek IP China diarahkan langsung dan melihat alamat internet rumah Anda, sementara situs cek IP luar negeri lewat jalur VPN dan melihat alamat keluar. Keduanya benar: yang satu menjawab “di mana situs China melihat saya”, yang lain “di mana situs luar negeri melihat saya”.

Hal yang sama berlaku untuk pintu masuk wilayah China: situs China berangkat dari China, sedangkan situs luar negeri dicapai lewat jalur luar negeri, jadi situs cek IP luar negeri menampilkan ujung luar negeri.

Jenis perbedaan ketiga berasal dari database. Negara atau kota sebuah IP ditentukan oleh database geolokasi yang dipakai masing-masing situs cek IP, dan pembaruannya tidak serentak. Satu IP tampil di kota berbeda, bahkan negara berbeda, di dua situs bukan hal aneh. Yang benar-benar dipakai sebuah situs atau aplikasi adalah database miliknya sendiri.

Untuk melihat alamat keluar saat semua trafik lewat jalur, ganti klien ke mode global lalu cek lagi. Arah split routing di router dan cara memverifikasinya ada di Cara kerja split routing di router VPN.

Skor kebersihan IP, juga disebut reputasi IP atau fraud score, adalah penilaian risiko yang diberikan beberapa situs pengecek untuk sebuah alamat. Tidak ada standar bersama; setiap situs punya rumus sendiri, dan satu alamat bisa mendapat skor yang sangat berbeda di situs yang berbeda. Skor ini mengukur seberapa jauh sebuah situs menganggap alamat itu sebagai pengguna rumahan biasa. Skor ini sama sekali tidak menunjukkan apakah data Anda terlindungi. Ada empat hal yang paling memengaruhinya.

• Jenis alamat: internet rumah, jaringan seluler, atau data center.
• Apakah ditandai sebagai proxy atau VPN: ada database yang memang khusus mengumpulkan alamat seperti ini.
• Riwayat: apakah alamat itu pernah mengirim spam, membanjiri API, atau dilaporkan.
• Berapa banyak orang yang memakainya bersamaan: kalau banyak orang berbagi satu alamat keluar, perilaku semua orang tercatat pada alamat yang sama.

Alamat keluar yang dipakai bersama memang wajar skornya lebih rendah. Banyak pengguna berbagi satu alamat keluar, dan kalau salah satu dari mereka pernah memicu sistem anti-penipuan, catatannya menempel pada alamat itu. Alamat itu juga berada di rentang data center, yang dari jenisnya saja sudah mengurangi skor. Ini berlaku untuk alamat keluar VPN dan proxy pada umumnya.

Dalam praktiknya, skor rendah berarti lebih banyak CAPTCHA, verifikasi tambahan di beberapa situs, dan sedikit layanan yang menolak alamat data center. Anggap hasilnya sebagai referensi saja. Kalau ada situs tertentu yang menolak Anda, sambungkan ulang lewat wilayah lain: setiap wilayah punya alamat keluar yang berbeda, dan di balik setiap wilayah ada beberapa mesin.

Router harus melihat dulu nama domain apa yang ditanyakan perangkat sebelum bisa memutuskan apakah kunjungan itu lewat jalur VPN atau langsung. Perangkat yang mengaktifkan DNS terenkripsi (DoH atau DoT) bertanya ke server pihak ketiga lewat saluran terenkripsinya sendiri, router tidak pernah melihat kuerinya, dan split routing untuk perangkat itu berhenti bekerja: yang seharusnya lewat jalur malah tidak, atau situs China malah memutar jauh. Kalau hanya satu perangkat di rumah yang bermasalah, periksa hal ini lebih dulu.

• Android: Setelan → Jaringan & internet → DNS Pribadi (Private DNS), pilih “Nonaktif”. Nama menu berbeda-beda tergantung merek HP; cari “DNS Pribadi” atau “Private DNS” di kolom pencarian Setelan.
• Chrome: Setelan → Privasi dan keamanan → Keamanan → Gunakan DNS aman, matikan. Edge dan Firefox punya opsi serupa di pengaturan privasinya; di Firefox namanya “DNS over HTTPS”.
• iPhone dan Mac: tidak ada satu sakelar sistem. Kalau Anda memasang aplikasi DNS atau profil DNS, nonaktifkan di Pengaturan → Umum → VPN & Manajemen Perangkat, dan matikan iCloud Private Relay kalau sedang aktif.
• Setelah itu, sambungkan ulang perangkat tersebut ke Wi‑Fi dan verifikasi dengan cara di bagian terakhir panduan split routing di router.