Resolver DNS Anda sendiri.
Satu log yang tidak pernah terpikir untuk dipindahkan siapa pun.

Ada dua mesin yang sama sekali berbeda bersembunyi di balik frasa "server DNS saya sendiri", dan hampir semua tutorial membangun yang salah. Putuskan ini sebelum Anda memasang apa pun, karena itulah pembeda antara alat privasi dan sekadar proxy untuk kebijakan privasi milik orang lain.

Forwarder mengambil kueri Anda dan meneruskannya ke resolver lain — biasanya Cloudflare, Google, Quad9, atau ISP Anda — lalu menyimpan apa pun yang kembali ke dalam cache. Ini sederhana, ini cepat, dan ini menyerahkan seluruh aliran kueri Anda ke satu pihak ketiga. Setiap panduan yang berakhir dengan "sekarang atur upstream Anda ke 1.1.1.1" telah membangun salah satu dari ini.

Resolver rekursif mengerjakan semuanya sendiri. Untuk menemukan mail.example.com, ia bertanya ke server root siapa yang mengurus .com, bertanya ke server .com siapa yang mengurus example.com, lalu bertanya ke nameserver milik example.com sendiri untuk rekamannya. Tiga atau empat percakapan singkat dengan tiga atau empat operator berbeda, tak satu pun dari mereka diberi tahu apa pun soal yang lain. Dengan QNAME minimisation diaktifkan, ini melangkah lebih jauh lagi: root hanya ditanya soal .com, dan server .com hanya ditanya soal example.com. Nama lengkapnya hanya diungkap ke tepat satu pihak — pihak yang meng-hosting nama itu, yang toh akan menerima koneksi Anda tiga puluh milidetik kemudian.

Dua kolom sebelah kanan bukan pesaing — mereka adalah dua separuh dari build yang sama. AdGuard Home menguasai port 53, menerapkan blocklist, dan menerminasi transport terenkripsi; Unbound duduk di belakangnya pada loopback dan melakukan resolusi. Tak satu pun dari kedua separuh itu becus mengerjakan tugas yang lain, dan rangkaiannya menghabiskan sekitar seratus megabyte RAM secara total.

Jika Anda hanya mengambil satu hal dari halaman ini, ambil ini: resolver yang meneruskan ke penyedia DNS publik belum membuat DNS Anda privat. Ia hanya memindahkan lognya satu hop, dan menambah satu server ke daftar perawatan Anda. Rekursi itulah keseluruhan intinya.

Unbound adalah resolver yang memvalidasi, rekursif, dan menyimpan cache, dari NLnet Labs. Ia sudah tersedia sebagai paket di mana-mana, dan itulah yang sudah dijalankan sebagian besar internet, dan begitu dipasang ia langsung merekursi — Anda harus sengaja bersusah payah untuk mengubahnya jadi forwarder. Pasang bersamaan dengan paket root hints agar ia tahu di mana server root berada tanpa perlu mengambil daftar dari mana pun:

apt update && apt install -y unbound dns-root-data
unbound -V | head -2

Paket dns-root-data memasang root hints di /usr/share/dns/root.hints dan trust anchor root DNSSEC di /usr/share/dns/root.key, dan menjaga keduanya tetap terbarui lewat jalur paket normal. Itulah cara yang membosankan tapi benar untuk mendapatkannya; mengunduh root.hints dari sebuah URL lewat cron job adalah cara yang cepat atau lambat gagal secara diam-diam.

/etc/unbound/unbound.conf.d/nb-resolver.conf

server:
    # ---- Who may ask. Deny first, allow narrowly.
    interface: 127.0.0.1@5335
    interface: 10.8.0.1
    access-control: 0.0.0.0/0 refuse
    access-control: ::0/0 refuse
    access-control: 127.0.0.0/8 allow
    access-control: 10.8.0.0/24 allow

    # ---- Privacy of the recursion itself.
    qname-minimisation: yes
    qname-minimisation-strict: no
    hide-identity: yes
    hide-version: yes
    rrset-roundrobin: yes

    # ---- DNSSEC. The anchor is maintained by the dns-root-data package.
    auto-trust-anchor-file: "/var/lib/unbound/root.key"
    root-hints: "/usr/share/dns/root.hints"
    harden-dnssec-stripped: yes
    harden-glue: yes
    harden-below-nxdomain: yes
    harden-large-queries: yes
    harden-short-bufsize: yes
    aggressive-nsec: yes
    val-clean-additional: yes

    # ---- Do not be a reflector, even by accident.
    refuse-any: yes
    ratelimit: 1000
    ip-ratelimit: 200
    edns-buffer-size: 1232

    # ---- Cache. This is where the 4 GB actually earns its keep.
    msg-cache-size: 128m
    rrset-cache-size: 256m
    cache-min-ttl: 60
    cache-max-ttl: 86400
    prefetch: yes
    prefetch-key: yes
    serve-expired: yes
    serve-expired-ttl: 3600

    # ---- Never chase a name that has no business being on the internet.
    private-address: 10.0.0.0/8
    private-address: 172.16.0.0/12
    private-address: 192.168.0.0/16
    private-address: 169.254.0.0/16
    private-address: fd00::/8
    private-address: fe80::/10

    num-threads: 2
    so-reuseport: yes
    verbosity: 0
    logfile: ""

remote-control:
    control-enable: yes
    control-interface: /run/unbound.ctl

Empat dari baris-baris itu yang benar-benar melakukan kerjanya dan masing-masing layak mendapat satu kalimat.

• 01access-control: 0.0.0.0/0 refuse — jawaban default untuk internet adalah "tidak". Semua yang datang setelahnya adalah pengecualian yang Anda tulis dengan sengaja. Satu baris inilah yang menghentikan kisah amplifikasi dari langkah 02 bahkan sebelum firewall harus turun tangan.
• 02qname-minimisation: yes — server root hanya ditanya soal .com, bukan soal hostname lengkapnya. RFC 9156, aktif secara default di Unbound versi terkini, dan itulah alasan resolver rekursif bocor lebih sedikit daripada yang tersirat dari diagramnya. Biarkan strict mode tetap nonaktif: sejumlah kecil zona yang salah konfigurasi masih bisa rusak karenanya.
• 03refuse-any: yes — kueri ANY mengembalikan jawaban sebesar mungkin untuk pertanyaan sekecil mungkin, dan itu persis yang diinginkan serangan amplifikasi. Tidak ada kebutuhan sah yang memerlukannya.
• 04serve-expired: yes — saat server otoritatif tidak terjangkau, berikan jawaban basi (stale) itu dan segarkan di latar belakang alih-alih gagal. Inilah pengaturan yang mencegah gangguan yang jauh terlihat, bagi semua orang di rumah, seperti internet sedang mati.

Perhatikan dua listener-nya. Loopback di port 5335 adalah yang akan dipakai AdGuard Home di langkah berikutnya; 10.8.0.1 adalah alamat tunnel, sehingga klien di VPN bisa langsung mengueri Unbound jika Anda memutuskan untuk melewati lapisan penyaringan. Jika Anda belum menjalankan WireGuard, hapus dulu baris antarmuka kedua itu untuk sementara — Unbound tidak akan berjalan dengan alamat yang tidak ada di mesin tersebut.

Jalankan dan buktikan ia berfungsi:

unbound-checkconf
systemctl restart unbound && systemctl enable unbound

apt install -y dnsutils
dig @127.0.0.1 -p 5335 nordbastion.com +short

# DNSSEC: the first must come back with the "ad" flag set,
# the second must FAIL — its signatures are deliberately broken.
dig @127.0.0.1 -p 5335 dnssec-tools.org +dnssec | grep -E 'flags:|status:'
dig @127.0.0.1 -p 5335 dnssec-failed.org  | grep 'status:'

Flag ad pada jawaban pertama berarti Unbound memeriksa rantai tanda tangan dari root sampai ke rekamannya dan itu terbukti valid. SERVFAIL pada yang kedua berarti validasi menolak jawaban yang telah dirusak, alih-alih meneruskannya ke Anda. Jika yang kedua malah mengembalikan sebuah alamat, berarti validasinya tidak aktif dan trust anchor adalah hal pertama yang perlu diperiksa.

Resolver yang tidak bisa dijangkau siapa pun tidak berguna, dan resolver yang bisa dijangkau semua orang adalah mode kegagalan dari langkah 02. Ada tepat dua jawaban yang baik, dan kebanyakan orang akhirnya menjalankan keduanya — tunnel di rumah dan di laptop, DNS terenkripsi di ponsel dan di jaringan-jaringan yang menyaring UDP.

Opsi A — lewat WireGuard. Yang terbaik dari keduanya, dan alasan panduan ini terus mengarahkan Anda ke panduan WireGuard. Port 53 tetap tak terlihat dari internet, kuerinya sendiri tidak pernah melewati jaringan yang tidak dipercaya dalam bentuk apa pun, dan tidak ada sertifikat yang perlu diperpanjang. Jika VPS itu sudah menjadi exit VPN Anda, ini hanya satu baris di konfigurasi tiap peer:

# On the client, in the [Interface] section of the peer config:
DNS = 10.8.0.1

Ada satu hal detail yang sering menjebak orang: di Linux, wg-quick mengatur alamat itu lewat resolvconf atau systemd-resolved, dan jika tidak ada satu pun dari keduanya yang terpasang, ia diam-diam tidak melakukan apa-apa sementara tunnel-nya tetap naik dengan sempurna. Periksa dengan resolvectl status atau dengan membaca /etc/resolv.conf setelah tunnel-nya aktif — tunnel yang berfungsi tapi resolver lama masih terkonfigurasi persis adalah kebocoran yang menjadi inti seluruh latihan ini.

Opsi B — DNS-over-TLS dan DNS-over-HTTPS. Dibutuhkan saat perangkat tidak selalu bisa berada di tunnel. Keduanya diautentikasi dengan sertifikat, yang artinya butuh sebuah hostname: arahkan rekaman A ke VPS-nya, lalu biarkan AdGuard Home memegang sertifikatnya langsung, atau tempatkan di belakang reverse proxy yang sudah menerminasi TLS untuk Anda. Listener-nya adalah 853/tcp untuk DoT dan 443/tcp untuk DoH.

ufw allow 853/tcp                     # DNS-over-TLS
ufw allow 443/tcp                     # DNS-over-HTTPS
# 53/udp is still NOT open on the public interface. It never will be.
ufw status

Beri endpoint DoH itu sebuah path yang tidak mudah ditebak — AdGuard Home memungkinkan Anda menyajikannya di bawah /dns-query/<random>, dan path yang berbeda per orang berarti akses bisa dicabut satu orang setiap kalinya tanpa perlu merotasi apa pun untuk semua orang lainnya. Ini bukan autentikasi dalam pengertian yang kuat, tapi ini mencegah listener publik hanya menjadi open resolver dengan langkah tambahan.

Baris router adalah yang perlu dipikirkan matang-matang. Membagikan resolver Anda lewat DHCP mencakup semua perangkat di rumah sekaligus, termasuk yang tidak punya layar pengaturan — tapi hop dari router ke VPS kemudian menjadi DNS biasa yang melintasi internet terbuka, yaitu justru hal yang ingin Anda hentikan sejak awal. Jalankan tunnel langsung di routernya, atau terima bahwa mil terakhir itu tidak terenkripsi dan biarkan rekursi menjadi kemenangannya.

Satu konfigurasi terakhir yang perlu diketahui: browser yang mengaktifkan DNS-over-HTTPS akan memakai resolvernya sendiri dan diam-diam mengabaikan pengaturan sistem, tunnel ataupun bukan. Firefox dan Chrome, keduanya mengirimkan ini aktif secara default di sejumlah wilayah. Entah arahkan juga browser itu ke endpoint Anda, atau matikan DoH-nya agar ia mengikuti sistem operasi.

Resolver privat adalah peningkatan yang nyata dan bukan sebuah jubah tak terlihat. Siapa pun yang menjualnya seolah begitu sedang menjual sesuatu yang lain. Berikut daftar apa yang masih terlihat setelah semua di atas selesai dilakukan, karena mengetahui bentuk eksposur yang tersisa adalah pembeda antara sebuah pertahanan dan sekadar selimut penenang.

Koneksinya tetap terjadi. Semilidetik setelah pencarian, perangkat Anda membuka koneksi TCP ke alamat yang baru saja dipelajarinya. Siapa pun yang mengawasi jalur Anda melihat alamat itu. Untuk situs dengan IP-nya sendiri, alamat itu adalah situsnya. DNS terenkripsi menghilangkan pertanyaannya; ia tidak menghilangkan jawabannya.

Jabat tangan TLS biasanya menyebutkan nama situsnya. Server Name Indication dikirim dalam bentuk terang-benderang pada awal hampir setiap koneksi HTTPS, jadi pengamat pasif tetap bisa membaca hostname-nya. Encrypted Client Hello memperbaiki ini dan penerapannya tidak merata — di tempat browser maupun situsnya sama-sama mendukungnya, namanya tersembunyi, dan di tempat yang tidak, tidak. Jangan berasumsi ini sudah aktif.

Operator resolvernya kini adalah Anda, dan Anda adalah satu orang. Setiap server otoritatif yang diajak bicara resolver Anda melihat satu alamat IP yang bertanya tentang zona mereka. Di banyak zona, IP itu punya pola yang khas, dan pola itu adalah sebuah rumah tangga. Ini adalah biaya anonymity-set dari bab pertama, dan satu-satunya yang bisa menumpulkannya adalah IP itu tidak bisa dilacak ke sebuah nama — VPS bebas KYC yang dibayar dengan kripto — dan, idealnya, menjadi IP yang sama dengan tempat trafik Anda sudah keluar.

Penyedia bisa melihat paketnya, seperti biasa. VPS-nya berjalan di atas hardware milik orang lain, di datacenter milik orang lain. NordBastion tidak memeriksa trafik pelanggan, dan transparency report serta warrant canary-nya menjelaskan apa yang akan terjadi jika diminta — tapi pernyataan arsitektural yang jujur adalah bahwa mesin yang Anda sewa adalah mesin yang secara fisik bisa dijangkau orang lain. Yang diubah oleh self-hosting adalah tidak adanya log kueri tingkat produk, tidak ada pipeline analitik, dan tidak ada kebijakan privasi yang bisa diubah-ubah; yang ada hanyalah sebuah proses yang menyimpan cache di RAM, dikonfigurasi oleh Anda, di yurisdiksi yang Anda pilih dengan sengaja.

Apa yang sebenarnya Anda beli, secara tepat: satu-satunya sumber data perilaku tentang Anda yang paling kaya dan paling murah kini tidak lagi dikumpulkan oleh pihak yang model bisnisnya adalah mengumpulkan data itu. Itu klaim yang sempit, dan itu klaim yang nyata. Tidak ada apa pun di halaman ini yang bisa menggantikan Tor ketika model ancamannya memang menuntut Tor — dan untuk itu, panduan onion-service di bawah adalah bacaan lanjutan yang jujur.