- DNS tradisional mengirimkan permintaan dalam bentuk teks biasa, sehingga domain yang Anda kunjungi dapat diakses oleh operator seluler dan pihak ketiga.
- DNS over HTTPS (DoH) mengenkripsi permintaan DNS di dalam HTTPS, sehingga lebih sulit untuk memata-matai dan memanipulasi lalu lintas.
- Windows 11 memungkinkan Anda untuk dengan mudah mengaktifkan DoH dari pengaturan jaringan menggunakan server yang kompatibel seperti Cloudflare, Google, atau Quad9.
- Windows Server 2022 juga mendukung DoH dan penggunaannya dapat dikelola melalui PowerShell dan kebijakan grup di lingkungan perusahaan.
Jika Anda semakin khawatir tentang apa yang dapat dilihat orang lain dari aktivitas online Anda , Windows 11 memiliki pengaturan ampuh yang hampir tidak digunakan siapa pun tetapi dapat membuat perbedaan besar bagi privasi Anda: enkripsi DNS menggunakan DNS over HTTPS (DoH). Dengan beberapa perubahan konfigurasi, permintaan DNS Anda tidak lagi dikirim dalam bentuk teks biasa tetapi akan dilindungi dalam koneksi yang aman.
Mengaktifkan DoH di Windows 11 tidak memerlukan instalasi program yang tidak biasa atau keahlian jaringan; ini adalah sesuatu yang dapat Anda konfigurasi hanya dalam beberapa menit melalui pengaturan sistem. Sebagai imbalannya, Anda akan mempersulit penyedia layanan internet, administrator jaringan publik, atau bahkan penyerang potensial untuk memata-matai situs web yang Anda kunjungi, merekam kebiasaan penjelajahan Anda , atau memanipulasi koneksi Anda . Mari kita lihat lebih dekat apa itu DoH, mengapa itu bermanfaat, bagaimana cara mengaktifkannya langkah demi langkah, dan opsi lanjutan apa yang tersedia dalam ekosistem Windows.
Apa itu DNS dan mengapa hal itu sangat memengaruhi privasi Anda?
Saat Anda mengetikkan alamat seperti adslzone.com atau situs web lainnya ke browser Anda , komputer Anda tidak terhubung langsung menggunakan teks tersebut. Yang sebenarnya dipahami oleh jaringan adalah alamat IP numerik, jadi sebelum memuat situs web, jaringan harus menanyakan server DNS untuk mengetahui di mana domain tersebut dihosting.
DNS bekerja seperti semacam buku telepon internet : Anda memasukkan nama dan sistem akan mengembalikan nomor yang sesuai (alamat IP). Masalahnya adalah, dalam konfigurasi default, permintaan ini dikirim tanpa enkripsi, dalam bentuk teks biasa. Ini berarti bahwa perangkat apa pun di antara PC Anda dan internet—penyedia layanan internet Anda, hotspot Wi-Fi publik, router yang disusupi, penyerang di jaringan yang sama—dapat melihat alamat yang Anda selesaikan.
Selain itu, banyak penyedia layanan memanfaatkan situasi ini untuk menghasilkan riwayat yang sangat detail tentang semua situs web yang Anda kunjungi . Ini adalah informasi yang sangat sensitif karena memungkinkan mereka untuk membuat profil Anda sebagai pengguna: layanan apa yang Anda gunakan, apa minat Anda, bagaimana jadwal Anda, dan sebagainya. Data ini dapat digunakan untuk periklanan, dijual kepada pihak ketiga, atau, dalam skenario terburuk, jatuh ke tangan pelaku jahat.
Penting juga untuk dicatat bahwa, tanpa enkripsi, entitas tertentu dapat memblokir situs web di tingkat DNS , mengalihkan domain ke situs iklan, atau bahkan memanipulasi respons untuk melancarkan serangan. Semua ini dilakukan dengan memanfaatkan fakta bahwa lalu lintas DNS tradisional berjalan dalam bentuk teks biasa dan tanpa jaminan integritas.
Apa itu DNS over HTTPS (DoH) dan apa saja keuntungannya?
DNS over HTTPS, atau DoH, adalah sistem yang mengambil permintaan DNS tradisional dan membungkusnya dalam koneksi HTTPS terenkripsi . Ini adalah jenis enkripsi yang sama yang digunakan saat Anda mengunjungi situs web aman dengan ikon gembok di browser Anda, tetapi diterapkan pada saluran yang digunakan komputer Anda untuk menyelesaikan nama domain.
Dengan DoH diaktifkan, permintaan DNS tidak lagi mudah terlihat oleh siapa pun yang mencoba mengaksesnya. Yang akan mereka lihat hanyalah lalu lintas HTTPS terenkripsi ke server penyedia DNS . Mereka tidak akan dapat membaca domain mana yang sedang diminta, atau memodifikasi respons tanpa membahayakan keamanan koneksi.
Di antara keuntungan utama mengaktifkan DNS over HTTPS di Windows 11, beberapa hal menonjol: pertama, penyedia layanan internet Anda tidak lagi dapat dengan mudah melihat atau merekam seluruh riwayat domain Anda; kedua, hal ini sangat mempersulit penyadapan atau manipulasi permintaan oleh pihak ketiga . Selain itu, dalam beberapa kasus, hal ini dapat membantu Anda melewati blokir dasar tingkat DNS tertentu yang diterapkan oleh beberapa penyedia.
Perlu dicatat bahwa enkripsi menambahkan sedikit langkah ekstra pada setiap permintaan, tetapi dalam praktiknya, penurunan kinerja biasanya minimal atau tidak terasa bagi sebagian besar pengguna. Sebagai imbalannya, peningkatan privasi dan keamanan sangat signifikan, sehingga manfaat keseluruhan umumnya lebih menguntungkan untuk mengaktifkannya.
Cara mengaktifkan DNS over HTTPS (DoH) di Windows 11 langkah demi langkah
Windows 11 menyertakan dukungan bawaan untuk DNS over HTTPS, jadi Anda tidak memerlukan program eksternal. Prosesnya terdiri dari dua bagian: mengkonfigurasi server DNS yang kompatibel dengan DoH secara manual , dan kemudian memilih jenis enkripsi yang ingin Anda gunakan untuk server tersebut.
1. Akses pengaturan jaringan Windows 11
Langkah pertama adalah membuka aplikasi Pengaturan Sistem. Cara tercepat adalah dengan menekan tombol Windows + I secara bersamaan. Anda juga dapat melakukan ini dari menu Mulai, tetapi pintasan lebih nyaman jika Anda berencana untuk mengulanginya beberapa kali.
Di Pengaturan, buka bagian "Jaringan & Internet" . Di sana Anda akan melihat opsi untuk koneksi Wi-Fi dan Ethernet (kabel). Pilih salah satu yang sedang Anda gunakan: jika Anda menjelajah melalui Wi-Fi, ketuk "Wi-Fi"; jika Anda menggunakan koneksi kabel, ketuk "Ethernet".
Setelah masuk ke bagian yang relevan, temukan koneksi aktif Anda dan klik "Properti Perangkat Keras" atau entri yang menampilkan detail jaringan. Dari sana, Anda dapat memodifikasi pengaturan IP dan DNS untuk antarmuka spesifik tersebut.
2. Ubah penetapan DNS menjadi manual.
Di properti koneksi Anda, Anda akan melihat bagian yang disebut "Penugasan Server DNS" . Biasanya diatur ke "Otomatis (DHCP)," yang berarti router atau penyedia layanan internet Anda memutuskan server DNS mana yang Anda gunakan dan bagaimana permintaan tersebut ditangani.
Klik tombol "Edit" di bagian tersebut. Jendela pop-up akan terbuka, di mana Anda harus memilih opsi "Manual" dari menu tarik-turun pengaturan. Perubahan ini memungkinkan Anda untuk menentukan server DNS mana yang ingin Anda gunakan, alih-alih menerima server yang ditetapkan oleh jaringan.
Pada konfigurasi manual, aktifkan sakelar IPv4 dan, jika jaringan Anda mendukungnya, aktifkan juga sakelar IPv6 . Sebagian besar koneksi rumahan berfungsi sempurna dengan IPv4, tetapi IPv6 semakin umum digunakan, jadi disarankan untuk mengaktifkannya jika tersedia agar permintaan juga dapat dilakukan menggunakan protokol tersebut.
3. Pilih server DNS yang kompatibel dengan DoH.
Setelah mode manual diaktifkan, Anda akan melihat kolom untuk memasukkan alamat IP server DNS. Di sinilah Anda perlu memasukkan detail penyedia yang secara resmi mendukung DNS over HTTPS , karena Windows 11 menyertakan daftar internal Windows berisi server DoH yang dikenal.
Beberapa di antaranya yang paling umum digunakan, yang sudah termasuk dalam daftar internal Windows untuk konfigurasi enkripsi otomatis, adalah sebagai berikut:
- cloudflare1.1.1.1 sebagai DNS pilihan dan 1.0.0.1 sebagai DNS alternatif. Mereka juga memiliki alamat IPv6 2606:4700:4700::1111 dan 2606:4700:4700::1001.
- Google Public DNS8.8.8.8 sebagai server pilihan dan 8.8.4.4 sebagai alternatif. Dalam IPv6, mereka menggunakan 2001:4860:4860::8888 dan 2001:4860:4860::8844.
- Quad99.9.9.9 adalah alamat yang diutamakan dan 149.112.112.112 adalah alamat alternatif. Dalam IPv6, alamat-alamat tersebut antara lain adalah 2620:fe::fe dan 2620:fe::fe:9.
Sebagai contoh, masukkan alamat Google atau Cloudflare di kolom DNS Pilihan dan DNS Alternatif untuk IPv4. Jika Anda juga mengaktifkan IPv6, isi kolom yang sesuai dengan alamat IPv6 dari penyedia pilihan Anda. Dari situ, Windows 11 akan mengetahui bahwa server-server ini mendukung DoH dan akan dapat menawarkan berbagai opsi enkripsi kepada Anda.
4. Konfigurasi enkripsi DNS (DoH) di Windows 11
Tepat di bawah alamat DNS untuk setiap protokol, Anda akan menemukan satu atau lebih opsi terkait enkripsi, tergantung pada versi Windows 11 Anda dan jenis server yang telah Anda konfigurasi. Di sinilah Anda dapat mengaktifkan DNS over HTTPS dan mengkonfigurasi bagaimana komputer Anda akan menangani permintaan ini.
Dalam banyak konfigurasi, Windows menampilkan menu " Enkripsi DNS " atau "DNS melalui HTTPS" untuk server DNS pilihan dan alternatif. Di sini Anda mungkin menemukan, di antara opsi lainnya, hal-hal berikut:
- Hanya enkripsi (DNS melalui HTTPS)Klien akan selalu mencoba menggunakan DoH dengan server tersebut. Jika server atau koneksi aman gagal, kueri teks biasa tidak akan dieksekusi.
- Enkripsi lebih disukai, enkripsi tidak diperbolehkan. (atau teks serupa): DoH dicoba terlebih dahulu dan, jika itu tidak memungkinkan, kueri klasik tanpa enkripsi diaktifkan kembali.
- Hanya tidak terenkripsi: menonaktifkan DoH untuk server tertentu tersebut, hanya menggunakan DNS teks biasa tradisional.
Jika privasi adalah prioritas Anda dan Anda ingin menggunakan perlindungan maksimal, pilih "Hanya terenkripsi (DNS melalui HTTPS)" untuk server pilihan dan server alternatif Anda . Dengan cara ini, semua lalu lintas DNS ke server tersebut akan selalu melalui HTTPS dan tidak pernah dalam bentuk teks biasa.
Pada beberapa teks antarmuka, Anda mungkin juga melihat opsi "Diaktifkan (template otomatis) ". Ini menunjukkan bahwa Windows 11 mengenali server tersebut sebagai bagian dari daftar resolver DoH yang dikenalnya dan secara otomatis menggunakan template HTTPS yang sesuai untuk mengirim permintaan terenkripsi, tanpa Anda harus menentukannya secara manual.
5. Gunakan templat manual DoH dengan vendor tertentu.
Untuk beberapa server, atau jika Anda menginginkan kontrol yang lebih detail, Anda mungkin dapat menggunakan templat DNS manual melalui HTTPS . Ini memungkinkan Anda untuk langsung menentukan URL yang digunakan penyedia Anda untuk layanan DoH-nya.
Contohnya, pada konfigurasi Quad9 tingkat lanjut tertentu, Anda dapat menentukan templat khusus yang mencakup opsi seperti ECS (EDNS Client Subnet) sehingga resolusi ditangani dari pusat data terdekat dengan lokasi Anda . Di kolom templat tersebut, Anda memasukkan sesuatu seperti URL yang didokumentasikan penyedia untuk titik akhir DoH mereka.
Jika Anda memilih opsi templat manual, pastikan untuk menyalin alamat persis seperti yang diberikan oleh layanan DNS dalam dokumentasi resminya. Kesalahan pengetikan dapat menyebabkan enkripsi gagal atau mencegah domain untuk diresolusi sama sekali.
Cara memeriksa apakah DNS over HTTPS berfungsi
Setelah Anda menyimpan perubahan pada pengaturan koneksi, permintaan DNS biasanya akan dienkripsi. Meskipun demikian, ada baiknya melakukan beberapa pengecekan untuk memastikan semuanya telah diterapkan dengan benar dan Anda tidak masih mengakses internet dalam format teks biasa tanpa menyadarinya.
Verifikasi dari dalam pengaturan Windows
Kembali ke Pengaturan > Jaringan & Internet > Wi-Fi atau Ethernet (tergantung mana yang Anda gunakan) dan akses kembali properti perangkat keras koneksi Anda. Gulir ke bawah ke bagian tempat alamat server DNS yang baru saja Anda konfigurasi ditampilkan.
Jika semuanya berjalan sesuai rencana, di samping setiap alamat IP server DNS Anda akan melihat label seperti "(Terenkripsi)" atau teks serupa . Label ini adalah cara tercepat untuk memastikan bahwa Windows telah mengenali server tersebut sebagai server yang sesuai dengan DoH dan sedang mengenkripsi permintaan.
Periksa DoH dengan PowerShell
Cara lain yang sangat andal untuk memeriksa status DNS melalui HTTPS adalah dengan menggunakan PowerShell , konsol Windows tingkat lanjut. Untuk melakukan ini, buka menu Mulai, cari "PowerShell ," klik kanan, dan pilih "Jalankan sebagai administrator" untuk mendapatkan izin yang diperlukan.
Di jendela yang terbuka, ketik perintah berikut dan tekan Enter :
Get-DnsClientDohServerAddress
Output dari perintah ini akan menampilkan daftar server DoH yang dikenal oleh klien DNS Windows , termasuk yang telah Anda konfigurasi. Anda akan melihat alamat IP dan indikator statusnya. Jika "Diaktifkan" muncul untuk server DNS yang telah Anda konfigurasi, itu berarti komputer Anda menggunakan DoH dengan server tersebut.
Gunakan tes online untuk mengkonfirmasi enkripsi.
Sebagai pengecekan tambahan, Anda dapat menggunakan halaman uji yang ditawarkan oleh beberapa penyedia DNS. Misalnya, Cloudflare memiliki alat daring yang memungkinkan Anda melihat apakah peramban Anda menggunakan DNS melalui HTTPS atau DNS melalui TLS . Cukup akses salah satu halaman ini dari peramban biasa Anda dan ikuti petunjuknya.
Meskipun pengujian ini berfokus pada browser, pengujian ini merupakan referensi yang baik untuk melengkapi apa yang telah Anda lihat di pengaturan Windows dan di PowerShell, yang mengkonfirmasi bahwa kueri tersebut keluar dari sistem Anda dalam keadaan terenkripsi.
DNS melalui HTTPS di Windows Server 2022 dan Kebijakan Grup
Selain Windows 11, Microsoft telah menyertakan dukungan untuk DNS over HTTPS di Windows Server mulai dari versi 2022. Pada sistem ini, klien DNS dapat membuat koneksi terenkripsi menggunakan HTTPS ke server yang ada dalam daftar resolver DoH yang dikenalnya, mirip dengan cara kerjanya di lingkungan desktop.
Pada Windows Server dengan pengalaman desktop, konfigurasi dasar dilakukan dari panel Pengaturan > Jaringan & Internet > Ethernet yang sama . Anda memilih antarmuka jaringan yang akan dikonfigurasi, masuk ke layar jaringannya, gulir ke bawah ke "Pengaturan DNS," dan klik "Edit" untuk mengubah mode dari otomatis ke manual, sama seperti di Windows 11.
Dari situ, Anda memasukkan server DNS yang ada dalam daftar server DoH yang dikenal . Jika ada, menu tarik-turun "Enkripsi DNS pilihan" akan diaktifkan, dari mana Anda dapat memilih di antara beberapa perilaku:
- Enkripsi saja (DNS melalui HTTPS)Semua permintaan DNS dicoba menggunakan DoH. Jika server tidak mendukung DoH atau koneksi HTTPS gagal, resolusi juga akan gagal.
- Algoritma sandi pilihan dan yang tidak terenkripsi didukung.DoH diprioritaskan, tetapi jika karena alasan tertentu hal itu tidak memungkinkan, maka akan kembali menggunakan kueri DNS teks biasa yang tidak terenkripsi.
- Hanya tidak terenkripsiDoH dinonaktifkan untuk server tersebut dan hanya DNS tradisional yang digunakan.
Saat Anda mengkonfigurasi alamat DNS Windows Server menggunakan PowerShell dan cmdlet Set-DnsClientServerAddressPerilaku DoH bergantung pada apakah alamat-alamat tersebut Apakah mereka muncul atau tidak dalam tabel internal server DoH yang dikenal?Saat ini, konfigurasi DoH spesifik tersebut belum dapat disesuaikan dengan Pusat Admin Windows juga tidak dengan alat seperti sconfig.cmd pada Server 2022.
Konfigurasi DoH menggunakan kebijakan grup.
Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS
Dengan mengaktifkan kebijakan ini , Anda dapat memilih antara tiga perilaku utama untuk klien DNS:
- Izinkan DoHPermintaan akan dilakukan menggunakan DNS melalui HTTPS jika server DNS yang dikonfigurasi mendukungnya. Jika tidak mendukungnya, permintaan yang tidak terenkripsi akan digunakan.
- Larangan DoH: mencegah penggunaan DNS melalui HTTPS, selalu memaksa penggunaan DNS teks biasa tradisional.
- Memerlukan DoH: memaksa semua permintaan dilakukan dengan DoH; jika server tidak menerimanya, resolusi nama akan gagal.
Penting untuk berhati-hati dengan opsi "Require DoH" pada komputer yang terhubung ke domain karena layanan Active Directory sangat bergantung pada DNS tradisional, dan peran Windows DNS Server tidak mendukung kueri DoH secara bawaan. Pada jenis jaringan ini, jika Anda ingin melindungi lalu lintas DNS internal, biasanya lebih baik menggunakan solusi seperti aturan keamanan koneksi berbasis IPsec untuk mengenkripsi lalu lintas antara klien dan server.
Daftar server DoH yang dikenal di Windows
Baik Windows 11 maupun Windows Server menyertakan daftar bawaan server DNS yang diketahui mendukung DoH . Daftar ini memungkinkan sistem untuk secara otomatis mengaktifkan opsi enkripsi dan templat otomatis untuk server-server tertentu tersebut.
Untuk melihat server mana saja yang ada dalam daftar tersebut, Anda dapat menggunakan cmdlet ini. Get-DnsClientDohServerAddress di PowerShell. Di antara penyedia yang paling umum muncul adalah Cloudflare, Google, dan Quad9, dengan alamat IPv4 dan IPv6 mereka yang paling terkenal, seperti 1.1.1.1, 8.8.8.8, atau 9.9.9.9 yang telah disebutkan sebelumnya beserta alternatifnya.
Jika Anda ingin menambahkan server baru ke tabel server yang sudah dikenal tersebut, misalnya resolver Anda sendiri atau resolver dari pihak ketiga khusus, Anda dapat menggunakan perintah berikut: Add-DnsClientDohServerAddress Menentukan alamat IP server, templat DoH, dan apakah Anda mengizinkan atau tidak untuk beralih kembali ke UDP jika terjadi kegagalan:
Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True
Dengan cara ini, Windows akan mengetahui bahwa server mendukung DoH, akan selalu mencoba menggunakannya dengan aman dan, tergantung pada opsi yang dipilih, akan menghindari pengembalian ke kueri yang tidak terenkripsi sebisa mungkin.
Menggunakan NRPT (Tabel Kebijakan Resolusi Nama) dengan DoH
Dalam skenario tingkat lanjut, seperti jaringan perusahaan yang kompleks atau konfigurasi hibrida, Anda dapat menggunakan Tabel Kebijakan Resolusi Nama (NRPT) untuk meneruskan kueri untuk domain tertentu ke server DNS yang ditunjuk. Jika server tersebut mendukung DNS berbasis Domain (DoH) dan terdaftar sebagai demikian, kueri untuk namespace tersebut akan dilakukan menggunakan DNS melalui HTTPS.
Hal ini memungkinkan, misalnya, domain-domain penting atau yang sangat sensitif untuk selalu diselesaikan melalui resolver tepercaya dengan DoH yang diaktifkan, sementara lalu lintas DNS lainnya dapat mengikuti kebijakan yang berbeda atau menggunakan server yang berbeda.
Mengaktifkan dan memanfaatkan DNS melalui HTTPS di Windows 11—dan, jika berlaku, di Windows Server 2022—adalah cara yang cukup sederhana untuk meningkatkan privasi dan keamanan penjelajahan harian Anda tanpa mengubah secara drastis cara Anda menggunakan komputer. Dengan beberapa langkah konfigurasi dan beberapa pemeriksaan tambahan, permintaan DNS Anda tidak lagi menjadi titik rentan yang dapat dilihat siapa pun dalam bentuk teks biasa, tetapi akan dikirim dengan aman melalui koneksi terenkripsi, jauh lebih sesuai dengan apa yang diharapkan dari koneksi yang aman saat ini.
