Cara Setting DNS over TLS (DoT) di MikroTik RouterOS: Panduan Lengkap Keamanan Jaringan

Di era digital yang semakin kompleks, privasi data menjadi salah satu prioritas utama bagi pengguna internet. Salah satu celah keamanan yang sering terabaikan adalah sistem penamaan domain atau DNS (Domain Name System). Secara default, kueri DNS dikirimkan dalam bentuk teks biasa (plain text), yang berarti siapa pun di jalur komunikasi—termasuk ISP atau peretas dalam jaringan lokal—dapat mengintip situs apa yang Anda kunjungi. Untuk mengatasi masalah ini, Anda perlu mengetahui cara setting DNS over TLS (DoT) di MikroTik RouterOS.

Mengimplementasikan DNS over TLS pada router MikroTik bukan hanya soal mengikuti tren teknologi, melainkan langkah krusial untuk melindungi seluruh perangkat di bawah jaringan Anda dari serangan Man-in-the-Middle (MitM) dan penyadapan data. Dalam panduan komprehensif ini, kita akan mengupas tuntas langkah-langkah teknis, mulai dari dasar teori hingga eksekusi perintah di RouterOS, agar koneksi internet Anda menjadi jauh lebih privat dan aman.

Apa Itu DNS over TLS (DoT)?

DNS over TLS atau DoT adalah protokol keamanan yang mengenkripsi kueri DNS melalui protokol Transport Layer Security (TLS). Secara tradisional, DNS beroperasi pada port 53 menggunakan protokol UDP atau TCP tanpa enkripsi. Hal ini memudahkan pihak ketiga untuk melakukan DNS Hijacking atau memanipulasi jawaban DNS untuk mengarahkan pengguna ke situs palsu.

Dengan menerapkan cara setting DNS over TLS (DoT) di MikroTik RouterOS, kueri DNS Anda akan dibungkus dalam terowongan terenkripsi pada port 853. Ini memastikan bahwa permintaan resolusi nama domain Anda tidak dapat dibaca atau dimodifikasi oleh entitas luar. Teknologi ini serupa dengan cara HTTPS melindungi lalu lintas web Anda, namun khusus difokuskan pada tahap pencarian alamat IP.

Keuntungan Menggunakan DoT di MikroTik

Mengapa Anda harus repot-repot melakukan konfigurasi ini di level router daripada di masing-masing perangkat? Berikut adalah beberapa alasan kuatnya:

• Perlindungan Menyeluruh: Semua perangkat yang terhubung ke MikroTik (IoT, Smartphone, Laptop) secara otomatis mendapatkan manfaat enkripsi DNS tanpa perlu konfigurasi individual.
• Mencegah Sensor ISP: Banyak ISP menggunakan transparansi DNS untuk memblokir situs web. DoT membantu melewati sensor tersebut karena ISP tidak dapat melihat isi kueri Anda.
• Integritas Data: Anda mendapatkan jaminan bahwa IP yang diberikan oleh DNS server adalah benar dan tidak dimanipulasi (mencegah DNS Poisoning).
• Kinerja Stabil: MikroTik RouterOS memiliki manajemen resource yang baik untuk menangani enkripsi TLS tanpa membebani CPU secara signifikan pada model-model terbaru.

Persiapan Sebelum Konfigurasi

Sebelum kita masuk ke teknis cara setting DNS over TLS (DoT) di MikroTik RouterOS, pastikan Anda telah memenuhi persyaratan berikut untuk menghindari kegagalan sistem:

1. Versi RouterOS: Fitur DoT tersedia mulai dari RouterOS versi 6.47 ke atas. Sangat disarankan untuk menggunakan versi 7.x (Stable) untuk performa dan fitur keamanan terbaru.
2. Waktu Sistem (NTP): TLS sangat bergantung pada validitas waktu. Pastikan jam di MikroTik Anda akurat melalui fitur SNTP Client.
3. Akses Internet: Pastikan router sudah terkoneksi ke internet untuk mengunduh sertifikat dan melakukan resolusi awal.
4. Penyedia DNS: Siapkan alamat penyedia DNS yang mendukung DoT, seperti Cloudflare (1.1.1.1), Google (8.8.8.8), atau Quad9 (9.9.9.9).

Catatan Penting: Pastikan Anda memiliki backup konfigurasi MikroTik sebelum melakukan perubahan besar pada pengaturan DNS dan Firewall.

Langkah-langkah Cara Setting DNS over TLS (DoT) di MikroTik RouterOS

Berikut adalah panduan teknis langkah demi langkah untuk mengaktifkan DoT. Kita akan menggunakan Cloudflare sebagai contoh penyedia DNS karena reputasi kecepatan dan privasinya.

Langkah 1: Import Sertifikat Root CA

Agar MikroTik dapat memverifikasi identitas server DNS (misalnya Cloudflare), router memerlukan sertifikat Root CA. Tanpa sertifikat ini, koneksi TLS akan dianggap tidak valid dan akan gagal.

Buka terminal di Winbox dan jalankan perintah berikut untuk mengunduh sertifikat dari DigiCert (yang digunakan oleh Cloudflare):

/tool fetch url="https://cacerts.digicert.com/DigiCertGlobalRootCA.crt.pem" check-certificate=no
/certificate import file-name=DigiCertGlobalRootCA.crt.pem passphrase=""

Jika Anda menggunakan penyedia lain seperti Google DNS, Anda mungkin perlu mengunduh sertifikat dari Google Trust Services. Pastikan sertifikat muncul di menu System > Certificates dengan status “T” (Trusted).

Langkah 2: Konfigurasi DNS Server

Setelah sertifikat siap, langkah selanjutnya dalam cara setting DNS over TLS (DoT) di MikroTik RouterOS adalah mengatur alamat IP DNS server. Meskipun kita akan menggunakan DoT, memasukkan IP statis tetap diperlukan sebagai fallback atau dasar resolusi.

1. Buka menu IP > DNS.
2. Di bagian Servers, masukkan IP Cloudflare: 1.1.1.1 dan 1.0.0.1.
3. Centang opsi Allow Remote Requests agar perangkat klien bisa bertanya ke router.
4. Klik Apply.

Langkah 3: Mengaktifkan DNS over TLS

Sekarang kita akan mengarahkan kueri DNS untuk menggunakan jalur TLS. Masih di jendela IP > DNS:

• Cari field Use DoH Server (pada beberapa versi lama) atau langsung ke Static jika menggunakan metode script.
• Namun, cara terbaik di RouterOS terbaru adalah mengisi bagian DNS over TLS Server.
• Masukkan FQDN (Fully Qualified Domain Name) dari provider. Untuk Cloudflare, masukkan: cloudflare-dns.com.
• Pastikan port yang digunakan adalah 853 (standar DoT).
• Klik Apply dan OK.

Perintah CLI-nya adalah:

/ip dns set use-doh-server="" verify-doh-cert=no
/ip dns set servers=1.1.1.1,1.0.0.1
/ip dns set query-server-timeout=2s query-total-timeout=10s

Catatan: Pada versi 7.x, konfigurasi DoT lebih eksplisit di menu DNS settings. Pastikan Anda tidak mencampuradukkan antara DoH (port 443) dan DoT (port 853).

Verifikasi dan Pengujian Koneksi

Setelah melakukan cara setting DNS over TLS (DoT) di MikroTik RouterOS, Anda wajib memastikan bahwa kueri benar-benar terenkripsi. Anda bisa melakukan pengecekan dengan beberapa cara:

1. Torch di Winbox: Gunakan tool Torch pada interface WAN. Filter port 853. Jika muncul trafik saat Anda browsing, berarti DoT aktif. Sebaliknya, trafik pada port 53 seharusnya minimal atau tidak ada.
2. Cloudflare Help Page: Kunjungi 1.1.1.1/help. Lihat pada bagian “Using DNS over TLS (DoT)”, jika statusnya “Yes”, maka konfigurasi Anda berhasil.
3. Packet Sniffer: Gunakan tool sniffer bawaan MikroTik untuk melihat apakah kueri ke port 53 masih terjadi.

Optimasi Firewall untuk Keamanan Maksimal

Agar semua perangkat dipaksa menggunakan DoT dan tidak bisa menggunakan DNS manual yang tidak terenkripsi, kita perlu menambahkan aturan di Firewall NAT dan Filter.

1. Redirect DNS Lokal: Paksa semua trafik port 53 UDP/TCP dari klien ke IP lokal MikroTik.

/ip firewall nat add action=redirect chain=dstnat dst-port=53 protocol=udp to-ports=53
/ip firewall nat add action=redirect chain=dstnat dst-port=53 protocol=tcp to-ports=53

2. Blokir DNS Luar: Pastikan tidak ada kueri DNS teks biasa yang keluar ke internet selain dari router itu sendiri.

/ip firewall filter add action=drop chain=forward dst-port=53 protocol=udp out-interface-list=WAN
/ip firewall filter add action=drop chain=forward dst-port=53 protocol=tcp out-interface-list=WAN

Perbedaan DNS over TLS (DoT) vs DNS over HTTPS (DoH)

Mungkin Anda bertanya-tanya, mana yang lebih baik antara DoT dan DoH? Keduanya tersedia di MikroTik, namun memiliki karakteristik berbeda:

Fitur	DNS over TLS (DoT)	DNS over HTTPS (DoH)
Port	853 (Dedicated)	443 (Berbagi dengan HTTPS)
Privasi	Sangat Tinggi	Sangat Tinggi
Kemudahan Blokir	Mudah (karena port khusus)	Sulit (terlihat seperti trafik web biasa)
Efisiensi	Lebih efisien (overhead rendah)	Sedikit lebih berat (HTTP overhead)

Untuk penggunaan di router MikroTik, cara setting DNS over TLS (DoT) di MikroTik RouterOS seringkali lebih disukai oleh administrator jaringan karena portnya yang spesifik memudahkan monitoring dan manajemen trafik.

Pertanyaan yang Sering Diajukan (FAQ)

1. Apakah DoT membuat internet saya lebih lambat?

Secara teori, ada sedikit latensi tambahan karena proses TLS handshake. Namun, dengan fitur DNS Caching di MikroTik, perbedaan ini hampir tidak terasa oleh pengguna akhir setelah kueri pertama tersimpan di memori router.

2. Kenapa status DoT saya tetap “No” padahal sudah setting?

Penyebab paling umum adalah waktu (Clock) MikroTik yang tidak sinkron, sertifikat Root CA yang belum diimport, atau ISP Anda memblokir port 853. Pastikan jam router akurat dan sertifikat sudah terpasang dengan benar.

3. Bisakah saya menggunakan banyak provider DoT sekaligus?

Ya, Anda bisa memasukkan beberapa FQDN server di MikroTik untuk redundansi. Jika satu server down, MikroTik akan mencoba server berikutnya dalam daftar.

Kesimpulan dan Langkah Selanjutnya

Menguasai cara setting DNS over TLS (DoT) di MikroTik RouterOS adalah langkah besar menuju jaringan yang lebih aman dan privat. Dengan mengenkripsi kueri DNS, Anda menutup salah satu celah terbesar dalam privasi digital Anda, melindungi data dari ISP yang usil, dan mencegah serangan manipulasi DNS.

Sebagai langkah selanjutnya, pastikan Anda rutin memperbarui RouterOS Anda untuk mendapatkan patch keamanan terbaru terkait implementasi TLS. Selain itu, pertimbangkan untuk mengkombinasikan DoT dengan fitur keamanan MikroTik lainnya seperti Firewall Raw untuk menangkal serangan DDoS dan integrasi dengan Kid Control untuk manajemen konten keluarga.

Jangan biarkan data navigasi Anda menjadi konsumsi publik. Implementasikan DNS over TLS sekarang juga dan nikmati pengalaman internet yang lebih aman dan tenang!