Windows 11 memiliki DNS over HTTPS bawaan di Pengaturan, kebanyakan orang tidak pernah melihatnya, dan butuh sekitar lima menit untuk mengaktifkannya. Itulah argumen yang disampaikan artikel XDA baru-baru ini, dan mereka benar: DNS terenkripsi adalah upgrade privasi termurah di mesin Windows, namun mayoritas desktop masih mengirim kueri dalam teks biasa ke resolver mana pun yang diberikan router. Siapa pun di LAN yang sama, ISP, dan AP kafe dapat membaca setiap domain yang kami cari.
Kami menguji tujuh aplikasi dan setup untuk DNS terenkripsi di Windows, dari klien DoH bawaan di Windows 11 hingga klien pihak ketiga yang menambahkan penyaringan, aturan per-aplikasi, dan beralih antara DoH, DoT, dan DoQ. Semuanya menghentikan kebocoran DNS teks biasa. Perbedaannya terletak pada penyaringan, telemetri, dan berapa banyak kontrol yang kami dapatkan atas aplikasi mana yang berbicara dengan resolver mana.
Apa yang harus dicari dalam aplikasi DNS terenkripsi untuk Windows
Klien DNS terenkripsi yang baik di Windows harus melakukan lebih dari sekadar menerowong port 53:
- Dukungan untuk DoH (DNS over HTTPS) minimal, DoT (DNS over TLS) dan DoQ (over QUIC) sebagai bonus.
- Penyaringan per-profil (iklan, pelacak, konten dewasa, phishing) dengan daftar putih dan daftar hitam, sehingga resolver berfungsi ganda sebagai filter konten.
- Log nyata tentang apa yang diblokir, tanpa mengirim riwayat penjelajahan kami ke perantara.
- Perutean per-jaringan atau per-aplikasi, sehingga VPN kerja dapat memaksa kueri melalui terowongannya sementara semuanya lainnya menggunakan resolver kami.
- Dukungan split horizon atau domain lokal, sehingga nama host
.local,.internal, dan homelab masih terselesaikan. - Layanan yang sunyi dan hemat memori, karena daemon latar belakang yang menahan CPU adalah hal yang tidak dapat diterima.
Perbandingan cepat
| Aplikasi | Terbaik untuk | Platform | Paket gratis | Harga mulai/bln | Rating |
|---|---|---|---|---|---|
| NextDNS | Penyaringan yang dapat dikonfigurasi dengan profil per-jaringan | Windows, macOS, Linux | 300k kueri/bln | Langganan tahunan sederhana | 4.8 / 5 ulasan pengguna |
| ControlD | DNS kustom dengan aturan per-aplikasi dan geo-routing | Windows, macOS, Linux | Tier gratis sepenuhnya | Langganan tahunan sederhana | 4.8 / 5 |
| AdGuard DNS | Resolver berbasis daftar blokir | Windows, macOS, Linux | 300k kueri/bln | Langganan tahunan sederhana | 4.7 / 5 |
| Cloudflare WARP | Privasi tanpa konfigurasi dengan opsi terowongan | Windows, macOS, Linux | Sepenuhnya gratis | WARP+ bulanan sederhana | 4.5 / 5 |
| Simple DNSCrypt | Frontend DNSCrypt / DoH gratis | Windows | Sepenuhnya gratis, sumber terbuka | Gratis | Komunitas, GitHub |
| YogaDNS | Aturan DNS per-aplikasi | Windows | Uji coba | Lisensi satu kali sederhana | Utilitas berbayar |
| DNSCrypt-Proxy | Resolver headless untuk pengguna tingkat lanjut | Windows, macOS, Linux | Sepenuhnya gratis, sumber terbuka | Gratis | Proyek GitHub |
Klien DoH bawaan Windows 11 adalah pilihan kedelapan — bukan “aplikasi” dalam pengertian toko, tetapi merupakan baseline yang masuk akal. Kami membahasnya terakhir.
Aplikasi
1. NextDNS
NextDNS adalah pilihan jika kami menginginkan setup resolver yang dihosting ditambah kontrol resolver yang di-host sendiri seperti Pi-hole. Dashboard menampilkan kelompok filter (iklan, pelacak, konten dewasa, malware, phishing, cryptomining, perjudian, dating) dan setiap daftar blokir terbuka yang populer. Analitik per-profil menunjukkan domain mana yang dikueri dan mana yang diblokir, dan pengaturan retensi log dapat dimatikan sepenuhnya untuk tim yang tidak menginginkan catatan disimpan. Klien Windows menyiapkan DoH di OS dan switch per-profil untuk jaringan rumah versus kerja.
Di mana ia kekurangan: tier gratis dibatasi pada 300.000 kueri per bulan, yang kebanyakan desktop tunggal akan berada di bawah tetapi rumah tangga tidak akan. Dashboard telah tumbuh cukup luas untuk terasa seperti SIEM kecil.
Harga:
- Gratis: 300.000 kueri per bulan
- Berbayar: langganan tahunan sederhana untuk kueri tak terbatas
Platform: Windows, macOS, Linux, Android, iOS, router
Unduh: NextDNS
Garis bawah: pilihan yang masuk akal untuk mesin pengguna tunggal yang menginginkan penyaringan kuat dan analitik jujur.
2. ControlD
ControlD mengirimkan salah satu klien desktop terih di ruang ini dan pembeda adalah perutean per-aplikasi. Kami dapat mengarahkan Chrome ke satu profil, Steam ke profil lain, dan semuanya lainnya ke profil ketiga. Pembukaan blokir geo, aturan kustom per domain, dan tumpukan filter pra-buat (iklan, pelacak, malware, telemetri IoT) semuanya kelas satu. Perusahaan adalah spin-off dari tim VPN Windscribe, dan postur audit mencerminkan itu — tidak ada log kueri yang disimpan, uptime transparan, audit pihak ketiga.
Di mana ia kekurangan: tier gratis murah hati tetapi aturan granular hidup di paket berbayar. Aplikasi desktop membutuhkan waktu untuk membuka saat peluncuran pertama.
Harga:
- Gratis: tier gratis sepenuhnya dengan penyaringan inti
- Berbayar: langganan tahunan sederhana untuk aturan kustom dan perutean per-aplikasi
Platform: Windows, macOS, Linux, Android, iOS, router
Unduh: ControlD
Garis bawah: pilihan untuk siapa pun yang menginginkan Chrome dan VPN perusahaan berbicara dengan resolver berbeda.
3. AdGuard DNS
AdGuard DNS adalah resolver untuk seseorang yang menginginkan pemblokiran iklan dan pelacak sebagai default dan tidak banyak lagi untuk dikonfigurasi. Dua preset aman keluarga, endpoint DoH per-server, dan klien Windows yang mengikat setiap antarmuka jaringan ke upstream terenkripsi. Statistik dikirim ke dashboard AdGuard hanya jika kami memilih; resolver “tidak ada log” melewatkan analitik sepenuhnya.
Di mana ia kekurangan: permukaan kustomisasi lebih tipis daripada NextDNS atau ControlD. Jika kami sudah menjalankan AdGuard Home di server, ini berlebihan.
Harga:
- Gratis: 300.000 kueri per bulan
- Berbayar: langganan tahunan sederhana untuk kueri tak terbatas dan umpan filter premium
Platform: Windows, macOS, Linux, Android, iOS
Unduh: AdGuard DNS
Garis bawah: pilihan untuk DNS terenkripsi set-and-forget yang memblokir iklan dengan baik.
4. Cloudflare WARP
Cloudflare WARP adalah opsi gratis yang tidak memerlukan pemikiran. Instal klien, masuk dengan email, dan setiap kueri DNS di mesin goes melalui terowongan terenkripsi ke resolver 1.1.1.1 Cloudflare. Tier premium WARP+ meningkatkan transport ke terowongan Argo untuk keuntungan latensi nyata di wilayah jaringan buruk, dan WARP Zero Trust menambahkan kebijakan tingkat tim untuk penggunaan keluarga atau bisnis kecil. Ini berfungsi ganda sebagai VPN ringan, meskipun VPN nyata masih merupakan VPN yang lebih baik.
Di mana ia kekurangan: penyaringan terbatas pada daftar blokir 1.1.1.1 for Families Cloudflare. Segalanya tentang aplikasi mengasumsikan akun Cloudflare.
Harga:
- Gratis: DNS terenkripsi tak terbatas dan terowongan ringan
- Berbayar: langganan bulanan WARP+ sederhana untuk tier Argo
Platform: Windows, macOS, Linux, Android, iOS
Unduh: Cloudflare WARP
Garis bawah: DNS terenkripsi gratis dengan biaya setup terendah, dan pilihan teraman jika kami tidak dapat berkomitmen pada resolver berbayar.
5. Simple DNSCrypt
Simple DNSCrypt adalah frontend asli Windows sumber terbuka untuk DNSCrypt Proxy. Ia dikirim dengan daftar resolver publik yang dikurasi yang mendukung DNSCrypt v2, DoH, dan DoT, dan menghubungkannya ke resolver Windows melalui loopback. Karena semuanya berjalan lokal, tidak ada akun cloud dan tidak ada telemetri.
Di mana ia kekurangan: UI berfungsi, bukan dipoles. Perutean per-aplikasi bukan bagian darinya. Siapa pun yang menginginkan penyaringan harus memilih resolver yang upstream-nya sudah filter.
Harga:
- Gratis: sepenuhnya gratis, sumber terbuka
- Berbayar: tidak ada tier berbayar
Platform: Windows
Unduh: Simple DNSCrypt
Garis bawah: pilihan untuk siapa pun yang menginginkan DNS terenkripsi tanpa akun yang dihosting, dan tidak keberatan memilih resolver mereka sendiri.
6. YogaDNS
YogaDNS adalah utilitas Windows berbayar yang menyelesaikan masalah DNS per-aplikasi lebih menyeluruh daripada ControlD. Aturan dapat cocok pada nama proses, rentang IP, atau kueri DNS, dan merutkan setiap kecocokan ke upstream berbeda melalui DoH, DoT, DNSCrypt, atau UDP biasa untuk domain lokal. Bagi siapa pun yang menjalankan campuran layanan homelab, VPN kerja, dan browser pribadi di mesin yang sama, YogaDNS adalah alat yang menjaganya keluar dari tabel DNS satu sama lain.
Di mana ia kekurangan: UI menunjukkan warisan utilitas Windows-nya. Ini adalah utilitas berbayar bukan layanan yang dihosting, jadi penyaringan tergantung pada upstream mana kami mengarahkan aturan.
Harga:
- Gratis: uji coba
- Berbayar: lisensi satu kali sederhana untuk edisi Pro
Platform: Windows
Unduh: YogaDNS
Garis bawah: alternatif ketika model “satu resolver untuk semuanya” tidak cocok.
7. DNSCrypt-Proxy
DNSCrypt-Proxy adalah resolver baris perintah yang dibungkus Simple DNSCrypt, dan menjalankannya secara langsung adalah gerakan yang masuk akal bagi siapa pun yang nyaman di file konfigurasi. Ia mendukung DoH, DoT, DNSCrypt v2, Oblivious DoH, dan relai DNS yang dianonimkan. Di Windows, ia berjalan sebagai layanan, mendengarkan di loopback, dan mengambil config gaya nsswitch untuk merutkan aturan ke upstream. Bagi siapa pun yang membangun setup headless atau menulis skrip resolver untuk reproduktibilitas, ini adalah primitif yang digunakan.
Di mana ia kekurangan: tidak ada UI. Konfigurasi adalah file TOML. Kesalahan kecil dalam konfigurasi mendarat sebagai momen tanpa DNS di sore yang sibuk.
Harga:
- Gratis: sepenuhnya gratis, sumber terbuka
- Berbayar: tidak ada tier berbayar
Platform: Windows, macOS, Linux, BSD
Unduh: Rilis DNSCrypt-Proxy
Garis bawah: pilihan untuk menulis skrip seluruh stack DNS terenkripsi di bawah kontrol sumber.
8. Windows 11 DNS over HTTPS
Windows 11 mengirimkan klien DoH di Pengaturan → Jaringan & Internet → Ethernet atau Wi-Fi → Penugasan server DNS. Atur DNS ke 9.9.9.9 (Quad9), 1.1.1.1 (Cloudflare), 8.8.8.8 (Google), 76.76.2.0 (ControlD), atau 94.140.14.14 (AdGuard) dan alihkan enkripsi DNS dari Nonaktif ke “Terenkripsi saja (DNS over HTTPS)”. Resolver sistem mengambil alih dari sana, tidak ada klien pihak ketiga yang diperlukan. Ini adalah pengaturan yang artikel XDA keluarkan dan ini adalah baseline yang tepat.
Di mana ia kekurangan: picker hanya mengenali daftar kecil resolver terkenal. Endpoint DoH kustom untuk profil NextDNS atau resolver pribadi masih memerlukan klien pihak ketiga. Tidak ada penyaringan, analitik, atau aturan per-aplikasi.
Harga: disertakan dengan Windows 11
Platform: Windows 11 (Windows 10 memiliki klien DoH kualitas pratinjau di belakang flag)
Unduh: Panduan DoH Microsoft
Garis bawah: upgrade gratis lima menit setiap mesin Windows 11 harus aktif, apakah kami menambahkan klien pihak ketiga di atasnya atau tidak.
Cara memilih aplikasi DNS terenkripsi yang tepat di Windows
- Jika kami menginginkan setup tercepat tanpa akun: aktifkan Windows 11 DoH dan arahkan ke Cloudflare, Quad9, atau ControlD.
- Jika kami menginginkan penyaringan konten yang kuat dan analitik jujur: NextDNS adalah pilihan.
- Jika kami menjalankan Chrome, Steam, dan VPN kerja di kotak yang sama dan menginginkannya di resolver berbeda: ControlD atau YogaDNS.
- Jika pemblokiran iklan adalah keseluruhannya: AdGuard DNS.
- Jika kami menginginkan terowongan gratis dan resolver dalam satu: Cloudflare WARP.
- Jika kami menginginkan akun cloud nol: Simple DNSCrypt atau DNSCrypt-Proxy dengan resolver DoH publik.
Untuk kebanyakan orang, stack yang masuk akal adalah Windows 11 DoH menunjuk ke Cloudflare atau Quad9 sebagai baseline, ditambah NextDNS atau ControlD sebagai lapisan penyaringan untuk jaringan rumah. Dengan cara itu switch Wi-Fi ke jaringan hotel masih mendapatkan kueri terenkripsi, dan profil penyaringan mengikuti akun.
FAQ
Apakah Windows 11 DoH cukup baik sendiri? Untuk DNS terenkripsi tanpa penyaringan, ya. Ini menyembunyikan kueri dari LAN dan ISP. Jika kami menginginkan pemblokiran iklan atau pelacak, atau aturan per-aplikasi, kami masih menginginkan resolver pihak ketiga atau klien di atasnya.
Resolver DNS terenkripsi mana yang paling cepat di Windows? Cloudflare dan Google jatuh dalam beberapa milidetik satu sama lain pada sebagian besar koneksi rumah di AS dan UE. Jaringan anycast NextDNS dan ControlD kompetitif. Jawaban yang tepat adalah membandingkan terhadap jaringan kami sendiri, karena peering ISP lebih penting daripada papan peringkat.
Apakah DNS terenkripsi menggantikan VPN? Tidak. DNS terenkripsi menyembunyikan domain yang kami cari tetapi bukan IP yang kami hubungkan. VPN menyembunyikan IP tujuan juga. Untuk penjelajahan sehari-hari di jaringan rumah, DNS terenkripsi mencakup kebocoran terbesar. Untuk Wi-Fi publik, kami juga ingin VPN.
Dapatkah saya menjalankan DNS terenkripsi dengan Pi-hole rumah atau AdGuard Home? Ya. Arahkan upstream Pi-hole ke resolver DoH atau DoT, dan biarkan Windows menggunakan Pi-hole sebagai server DNS reguler di LAN. Beberapa setup menjalankan klien DoH ringan di desktop untuk hari kafe dan Pi-hole untuk rumah.
Apa perbedaan antara DoH, DoT, dan DoQ? DoH terowongan DNS melalui HTTPS di port 443, DoT terowongan DNS melalui TLS di port 853, dan DoQ terowongan melalui QUIC. Ketiga enkripsi kueri dan cegah penyadapan LAN atau ISP. DoH adalah yang paling didukung di Windows karena berbagi port 443 dengan lalu lintas HTTPS normal.
