Apa Itu DNS Leak dan WebRTC Leak?

DNS leak terjadi ketika perangkat Anda mengirim permintaan pencarian nama domain di luar terowongan VPN, biasanya ke resolver milik ISP, sehingga ISP Anda tetap bisa melihat situs apa saja yang Anda kunjungi. WebRTC leak adalah masalah browser yang berkaitan: halaman web dapat menemukan alamat IP asli Anda meskipun VPN atau proxy Anda aktif.

Kedua kebocoran ini berlangsung diam-diam: VPN menampilkan status "terhubung" dan situs web melihat IP VPN untuk lalu lintas biasa. Panduan ini menjelaskan mengapa masing-masing terjadi, cara mengujinya, dan cara memperbaikinya, beserta IPv6 leak yang sangat berkaitan.

Apa itu DNS leak

Sebelum browser Anda bisa terhubung ke www.example.com, browser harus menanyakan alamat IP situs itu kepada resolver DNS. Pertanyaan itu, beserta jawabannya, mengungkap situs mana yang akan Anda kunjungi. Jika Anda belum mengenal proses pencarian ini, panduan kami tentang cara kerja DNS membahasnya selangkah demi selangkah.

VPN yang dikonfigurasi dengan benar mengirim kueri DNS melalui terowongan ke resolver milik penyedia VPN atau resolver yang Anda pilih. Ketika itu gagal dan kueri langsung menuju resolver ISP Anda, terjadilah DNS leak. Situs web tetap melihat IP VPN, tetapi ISP Anda memiliki daftar setiap domain yang Anda cari, lengkap dengan stempel waktu.

Penyebab umum DNS leak

• OS tetap memakai resolver lama. Klien VPN gagal mengganti pengaturan DNS sistem, atau server DNS dari adaptor jaringan lain memiliki prioritas lebih tinggi.
• Kueri paralel di Windows. Windows dapat mengirim kueri ke server DNS beberapa antarmuka jaringan sekaligus dan memakai jawaban tercepat, sehingga resolver ISP ikut melihat kueri itu meskipun resolver VPN juga melihatnya.
• DNS IPv6. VPN menangani DNS IPv4, tetapi sistem juga memiliki resolver IPv6 dari router yang dipakai di luar terowongan.
• Split tunneling. Aplikasi yang dikecualikan dari VPN memang menerjemahkan nama dengan resolver biasa.
• Pengaturan DNS manual di perangkat atau router yang menimpa pengaturan dari VPN.

Cara menguji DNS leak

Tes DNS leak khusus bekerja dengan membuat browser Anda mencari beberapa subdomain acak yang unik dari sebuah domain yang server otoritatifnya dikendalikan oleh penguji. Server otoritatif itu mencatat alamat IP resolver mana saja yang menanyakan nama-nama tersebut. Jika ada yang milik ISP Anda, bukan penyedia VPN, berarti terjadi kebocoran.

Anda bisa melakukan versi cepatnya dari terminal. Akamai menjalankan nama khusus yang menjawab dengan alamat IP resolver yang menanyakannya:

dig +short whoami.akamai.net
nslookup whoami.akamai.net

Jalankan saat VPN terhubung, lalu tempel IP yang dikembalikan ke Cek ASN kami. Jika jaringan itu milik ISP Anda, berarti DNS Anda bocor. Periksa juga resolver mana yang dikonfigurasi di sistem Anda:

• Windows: ipconfig /all lalu lihat "DNS Servers" pada setiap adaptor.
• macOS: scutil --dns
• Linux dengan systemd-resolved: resolvectl status

Cara memperbaiki DNS leak

1. Aktifkan opsi perlindungan DNS leak pada klien VPN jika ada. Sebagian besar klien saat ini memaksa semua DNS lewat terowongan dan memblokir port 53 ke server lain.
2. Hapus server DNS yang dikonfigurasi manual pada adaptor jaringan, atau arahkan ke resolver milik VPN.
3. Jika VPN tidak mendukung IPv6, nonaktifkan IPv6 pada adaptor atau aktifkan perlindungan IPv6 leak pada klien.
4. Aktifkan kill switch agar tidak ada yang keluar dari perangkat, termasuk DNS, saat terowongan sedang tersambung ulang.
5. Uji ulang setelah setiap perubahan, dan sekali lagi setelah tersambung ke jaringan Wi-Fi lain.

Apa itu WebRTC leak

WebRTC adalah teknologi browser di balik panggilan video dan transfer file peer-to-peer. Untuk menghubungkan dua browser secara langsung, WebRTC harus menemukan setiap alamat tempat masing-masing browser mungkin dijangkau. Caranya lewat ICE (Interactive Connectivity Establishment), yang mengumpulkan daftar kandidat:

Halaman web mana pun dapat memulai proses ini dengan beberapa baris JavaScript, tanpa meminta izin, dan membaca kandidatnya. Kebocoran terjadi ketika permintaan STUN keluar dari perangkat Anda di luar VPN atau proxy. Ini umum terjadi pada ekstensi proxy browser dan proxy SOCKS, yang mengarahkan permintaan web tetapi tidak lalu lintas UDP milik WebRTC, serta pada split tunneling. Kandidat server reflexive kemudian berisi IP publik asli Anda.

Penyamaran alamat lokal dengan mDNS

Kandidat host dahulu mengungkap alamat LAN pribadi seperti 192.168.1.23, yang membantu fingerprinting pengguna. Versi Chrome, Firefox, Safari, dan Edge saat ini menggantinya dengan nama acak seperti 3f1c2a9e-7b4d-4c1e-9a52-6d8e0f1b2c3a.local, yang diterjemahkan lewat multicast DNS hanya di jaringan lokal. Browser biasanya baru mengungkap alamat lokal yang sebenarnya setelah halaman diberi akses kamera atau mikrofon.

Cara menguji dan memperbaiki WebRTC leak

Jalankan Tes Kebocoran WebRTC kami saat VPN atau proxy Anda aktif. Tes ini mencantumkan setiap kandidat yang diungkap browser Anda. Jika ada alamat publik yang sama dengan alamat Anda saat VPN mati, berarti terjadi kebocoran. Untuk memperbaikinya:

• Gunakan VPN full-tunnel, bukan proxy khusus browser. Ketika semua lalu lintas UDP melewati terowongan, server STUN melihat IP VPN.
• Firefox: buka about:config dan setel media.peerconnection.enabled ke false. Ini menonaktifkan WebRTC sepenuhnya, sehingga panggilan video di browser berhenti berfungsi.
• Browser berbasis Chromium: tidak ada pengaturan pengguna yang sederhana, tetapi kebijakan enterprise WebRtcIPHandling (misalnya disable_non_proxied_udp) atau ekstensi tepercaya dapat membatasi antarmuka yang dipakai WebRTC.

IPv6 leak

Banyak jaringan kini memberi perangkat alamat IPv4 sekaligus IPv6. Jika VPN Anda hanya membuat terowongan IPv4, sistem operasi masih memiliki rute IPv6 yang berfungsi lewat ISP Anda. Situs yang mendukung IPv6 mengutamakannya, sehingga mereka melihat alamat IPv6 asli Anda yang unik secara global, yang sering kali lebih mudah mengidentifikasi Anda daripada alamat IPv4 yang dipakai bersama di balik NAT.

Ujilah saat VPN terhubung dengan Tes IPv6 kami. Anda ingin melihat tidak ada konektivitas IPv6, atau alamat IPv6 milik penyedia VPN. Alamat dari rentang milik ISP Anda sendiri berarti ada kebocoran; perbaiki dengan mengaktifkan dukungan IPv6 atau perlindungan kebocoran pada klien, atau dengan menonaktifkan IPv6 pada adaptor jaringan selama memakai VPN.

Pertanyaan yang sering diajukan

Bisakah ISP saya melihat aktivitas browsing saya jika ada DNS leak?

ISP bisa melihat nama domain yang Anda cari, bukan halaman atau isinya. Lalu lintasnya sendiri tetap melewati VPN, sehingga ISP Anda tidak bisa melihat apa yang Anda lakukan di setiap situs.

Apakah DNS leak penting jika saya tidak memakai VPN?

Istilah ini hanya berlaku ketika Anda mengharapkan DNS pergi ke tempat lain. Tanpa VPN, resolver ISP Anda memang biasanya dipakai. Anda bisa beralih ke layanan DNS terenkripsi agar pencarian Anda tidak terlihat oleh ISP.

Apakah aman menonaktifkan WebRTC?

Ya, itu tidak akan merusak penjelajahan biasa, tetapi panggilan video di browser, berbagi layar, dan beberapa situs berbagi file akan berhenti berfungsi sampai Anda mengaktifkannya kembali.

Mengapa tes WebRTC menampilkan alamat .local?

Itu perlindungan mDNS browser yang bekerja sebagaimana mestinya. Nama .local acak tersebut menyembunyikan IP LAN pribadi Anda dari situs web.