Cara Setting DNS over HTTPS (DoH) di OpenWrt: Browsing Lebih Cepat dan Privasi Terjaga

Setiap kali kamu buka situs, router kamu mengirim permintaan DNS — semacam "buku telepon internet" yang mengubah nama domain seperti google.com menjadi alamat IP. Masalahnya, DNS biasa dikirim polos tanpa enkripsi. Artinya, ISP dan siapa pun yang menguping jaringan bisa melihat semua situs yang kamu kunjungi, meski situsnya sendiri sudah HTTPS.

Solusinya adalah DNS over HTTPS (DoH): permintaan DNS dibungkus di dalam koneksi HTTPS terenkripsi, jadi tidak ada lagi yang bisa mengintip daftar situs yang kamu buka. Kabar baiknya, di OpenWrt kamu bisa mengaktifkan DoH untuk seluruh perangkat di rumah sekaligus — HP, laptop, smart TV, semuanya ikut terlindungi tanpa setting satu per satu. Artikel ini memandu kamu langkah demi langkah sampai selesai, lengkap dengan perintah yang tinggal copy-paste.

Yang Kamu Butuhkan

Router yang sudah terpasang OpenWrt versi 23.05 atau yang lebih baru, koneksi internet yang aktif, dan akses ke router lewat SSH atau LuCI (antarmuka web OpenWrt). Kalau router kamu belum pakai OpenWrt, baca dulu panduan Tutorial OpenWrt Lengkap: Flash, Setting Internet & WiFi dari Nol yang sudah pernah kami bahas di blog ini.

Langkah 1: Install Paket https-dns-proxy

Paket yang kita pakai bernama https-dns-proxy. Paket ini menjadi penerjemah antara dnsmasq (server DNS bawaan OpenWrt) dan resolver DoH di internet. Masuk ke router lewat SSH, lalu jalankan:

opkg update
opkg install https-dns-proxy luci-app-https-dns-proxy

Paket kedua, luci-app-https-dns-proxy, menambahkan menu pengaturan di LuCI sehingga kamu bisa mengganti resolver nanti lewat browser, tanpa SSH lagi. Tunggu sampai instalasi selesai tanpa pesan error.

Langkah 2: Konfigurasi Resolver DoH

Setelah terpasang, paket ini langsung membuat file konfigurasi di /etc/config/https-dns-proxy. Kita akan mengisinya dengan dua resolver sekaligus — Cloudflare sebagai utama dan Google sebagai cadangan — supaya kalau satu bermasalah, DNS tetap jalan. Buka file konfigurasinya:

vi /etc/config/https-dns-proxy

Hapus isi lama, lalu ganti dengan konfigurasi berikut:

config https-dns-proxy
        option bootstrap_dns '1.1.1.1,8.8.8.8'
        option resolver_url 'https://cloudflare-dns.com/dns-query'
        option listen_addr '127.0.0.1'
        option listen_port '5053'
        option user 'nobody'
        option group 'nogroup'

config https-dns-proxy
        option bootstrap_dns '8.8.8.8,8.8.4.4'
        option resolver_url 'https://dns.google/dns-query'
        option listen_addr '127.0.0.1'
        option listen_port '5054'
        option user 'nobody'
        option group 'nogroup'

Penjelasan singkatnya: resolver_url adalah alamat server DoH yang dipakai, bootstrap_dns adalah DNS biasa yang hanya dipakai sekali di awal untuk menemukan alamat IP si resolver (karena untuk menghubungi resolver lewat HTTPS, router harus tahu dulu IP-nya), dan listen_port adalah port lokal tempat proxy mendengarkan — 5053 untuk Cloudflare, 5054 untuk Google. Simpan file, lalu tekan Esc dan ketik :wq lalu Enter.

Langkah 3: Arahkan dnsmasq ke Proxy DoH

Sekarang kita suruh dnsmasq — server DNS yang dipakai semua perangkat di LAN — untuk meneruskan semua permintaan DNS ke proxy DoH, bukan lagi ke DNS ISP. Buka file /etc/config/dhcp:

vi /etc/config/dhcp

Cari bagian config dnsmasq, lalu pastikan isinya seperti ini. Hapus baris list server lama kalau ada, dan ganti dengan dua baris berikut:

config dnsmasq
        option domainneeded '1'
        option localise_queries '1'
        option rebind_protection '1'
        option rebind_localhost '1'
        option local '/lan/'
        option domain 'lan'
        option expandhosts '1'
        option authoritative '1'
        option readethers '1'
        option leasefile '/tmp/dhcp.leases'
        option resolvfile '/tmp/resolv.conf.d/resolv.conf.auto'
        option noresolv '1'
        list server '127.0.0.1#5053'
        list server '127.0.0.1#5054'

Dua baris kuncinya: option noresolv '1' membuat dnsmasq berhenti memakai DNS dari ISP yang tertulis di /etc/resolv.conf, dan list server '127.0.0.1#5053' mengarahkan semua query ke proxy DoH di port 5053 (dan 5054 sebagai cadangan). Simpan dengan :wq.

Langkah 4: Restart Service dan Cek Status

Restart kedua service agar konfigurasi baru aktif:

/etc/init.d/https-dns-proxy restart
/etc/init.d/dnsmasq restart

Lalu periksa apakah proxy berjalan dengan benar:

/etc/init.d/https-dns-proxy status
logread -e https-dns-proxy | tail -20

Kalau log menampilkan baris seperti daemon started tanpa pesan error, berarti proxy sudah aktif. Kamu juga bisa memastikan port-nya mendengarkan dengan perintah:

netstat -tulpn | grep 5053

Langkah 5: Verifikasi — Apakah DoH Benar-Benar Jalan?

Jangan langsung percaya setting sudah benar sebelum diuji. Jalankan tes berikut dari router:

nslookup example.com 127.0.0.1
nslookup google.com 127.0.0.1

Kedua perintah harus mengembalikan alamat IP dengan cepat. Kalau muncul pesan connection timed out atau no servers could be reached, berarti dnsmasq belum terhubung ke proxy — kembali ke Langkah 3 dan periksa lagi baris list server-nya.

Untuk memastikan DNS kamu benar-benar terenkripsi dan tidak bocor ke ISP, buka dari laptop atau HP yang terhubung ke WiFi router: kunjungi https://one.one.one.one/help — kalau tertulis Connected to 1.1.1.1: Yes dan Using DNS over HTTPS (DoH): Yes, berarti DoH sudah aktif. Tes tambahan: buka https://www.dnsleaktest.com, klik Extended test, dan pastikan server yang muncul hanya Cloudflare atau Google, bukan nama ISP kamu.

Tips Memilih Resolver DoH

Tidak ada resolver yang sempurna untuk semua orang — pilih sesuai kebutuhanmu. Cloudflare (1.1.1.1) paling cepat di sebagian besar wilayah Indonesia dan tidak menyimpan log alamat IP. Google (8.8.8.8) sangat stabil dan jarang down, tapi datanya masuk ke ekosistem Google. Quad9 (9.9.9.9) memblokir domain berbahaya secara otomatis — cocok kalau di rumah ada anak-anak; URL-nya https://dns.quad9.net/dns-query dengan bootstrap 9.9.9.9,149.112.112.112. Kamu bisa mengganti resolver_url dan bootstrap_dns di Langkah 2 dengan salah satu dari ketiganya, lalu restart service-nya.

Satu catatan penting: DoH mengenkripsi isi permintaan DNS, tapi ISP masih bisa melihat alamat IP server yang kamu hubungi setelahnya (kecuali kamu memakai VPN). Jadi DoH bukan pengganti VPN — ia adalah lapisan privasi dasar yang sebaiknya selalu aktif. Kalau kamu juga butuh akses aman ke jaringan rumah dari luar, baca panduan Cara Setting WireGuard VPN di OpenWrt di blog ini.

Kombinasikan dengan AdBlock, Biar Makin Maksimal

DoH dan AdBlock adalah pasangan yang serasi: DoH mengenkripsi permintaan DNS, AdBlock memblokir domain iklan dan pelacak di level DNS sebelum sempat dimuat. Dengan keduanya aktif, iklan hilang di semua perangkat dan jejak browsing kamu jauh lebih sulit dilacak. Kalau kamu belum memasang AdBlock, ikuti panduan Cara Setting AdBlock di OpenWrt yang sudah kami tulis sebelumnya — urutan instalasinya tidak masalah, keduanya bisa jalan berdampingan tanpa konflik.

Kalau kamu tidak mau repot mengutak-atik konfigurasi satu per satu, ada jalan pintasnya: konfigurasi siap pakai untuk internet rumah — termasuk WiFi, AdBlock, dan QoS yang sudah dioptimasi — bisa kamu dapatkan di openwrt.my.id. Tinggal import, dan semua setting langsung jalan.

Troubleshooting: Kalau DoH Tidak Jalan

Internet mati total setelah setting. Kemungkinan besar dnsmasq tidak bisa menghubungi proxy. Cek dulu apakah service-nya hidup dengan /etc/init.d/https-dns-proxy status, lalu lihat log-nya dengan logread -e https-dns-proxy. Kalau service tidak mau start, periksa ketik di file konfigurasi — satu spasi yang salah di file UCI bisa membuat seluruh service gagal dibaca.

Browsing terasa lebih lambat. Ini biasanya karena bootstrap DNS tidak bisa dijangkau atau resolver yang dipilih lambat dari lokasimu. Coba ganti resolver ke Cloudflare, lalu uji kecepatan DNS dengan time nslookup example.com 127.0.0.1 — waktu jawab yang sehat berada di bawah 100 milidetik.

Sebagian situs tetap bocor ke DNS ISP. Perangkat yang memakai DNS sendiri (misalnya HP Android dengan Private DNS aktif, atau browser dengan DoH bawaan) akan melewati router. Matikan Private DNS di HP dan nonaktifkan DoH bawaan di browser, atau aktifkan fitur force_dns di https-dns-proxy supaya semua query port 53 dialihkan paksa ke proxy.

DoH hilang setelah update firmware. Paket dari opkg tidak ikut tersimpan saat sysupgrade kecuali kamu mencentang Keep settings dan paketnya terdaftar di daftar paket yang dipertahankan. Setelah update, install ulang paketnya dan restore file konfigurasi dari backup. Panduan update yang aman ada di artikel Cara Update Firmware OpenWrt dengan Aman.

Penutup

Dengan lima langkah di atas, seluruh jaringan rumah kamu sekarang memakai DNS terenkripsi — ISP tidak lagi bisa melihat situs apa saja yang dibuka keluargamu, dan kamu tetap bisa memilih resolver sesuai kebutuhan, dari Cloudflare yang cepat sampai Quad9 yang memblokir situs berbahaya. Setting ini sekali pasang, berlaku untuk semua perangkat, dan hampir tidak butuh perawatan.

Kalau kamu ingin internet rumah yang langsung beres tanpa utak-atik manual — WiFi sudah diatur, AdBlock aktif, dan QoS diprioritaskan untuk game dan streaming — Paket Config OpenWRT Rumahan seharga Rp49.000 di openwrt.my.id adalah pilihan paling pas. Konfigurasinya tinggal di-import ke router OpenWrt kamu, dan kamu bisa menambahkan sendiri setting DoH dari panduan ini di atasnya. Selamat mencoba, dan sampai jumpa di artikel OpenWrt berikutnya!

Cari Blog Ini

RPL UNITED BLOG