Apa Itu Pelacakan VPN? Bagaimana Cara Mencegah Dilacak?

Pendahuluan: Mengapa VPN Bukan "Jimat Kebal"

Anggapan umumnya begini: pasang NordVPN / Surfshark / WireGuard yang di-host sendiri, ganti IP keluar, dan "tidak ada lagi yang tahu siapa Anda". Itu pola pikir era 2010-an. Teknologi pelacakan sudah lama melampaui "lapisan IP":

• Mendeteksi bahwa "Anda memakai VPN" adalah kemampuan dasar sistem kontrol risiko (memeriksa apakah IP milik ASN penyedia VPN — hampir semua rentang datacenter VPN komersial sudah ditandai)
• Mengenali "IP asli Anda sebelumnya" cukup dari lapisan IP — kebocoran WebRTC / IPv6 / DNS / CDN origin bypass — dan sekali saja lengah, Anda ditandai permanen dengan cookie
• Mengenali "siapa tepatnya Anda" sama sekali tidak bergantung pada IP — melainkan pada sidik jari browser, pola perilaku, dan korelasi lintas akun
• Dalam kasus ekstrem, bantuan hukum (surat panggilan / penyelidikan lintas negara) dapat memaksa penyedia VPN menyerahkan log

Dengan kata lain, yang melacak Anda bukan satu celah tunggal — melainkan irisan dari N dimensi — Anda harus bertahan di setiap dimensi, sementara pelacak cukup berhasil di salah satunya. Itulah sebabnya "anonimitas penuh" hampir mustahil dari sisi rekayasa, tetapi "mengurangi korelasi secara signifikan" bisa dicapai — artikel ini menunjukkan caranya.

① Kebocoran Lapisan IP — IP Asli Anda Terekspos Langsung

Kasus paling klasik dan paling umum. VPN hanya mengambil alih lalu lintas HTTP / TCP browser, tetapi saluran berikut dapat melewati VPN sepenuhnya dan langsung menyerahkan IP publik rumah Anda ke pihak lain:

1.1 Kebocoran WebRTC

WebRTC bawaan browser (dipakai untuk panggilan video) secara aktif memakai protokol STUN untuk mengetahui IP publik yang dilihatnya, dan JavaScript dapat langsung membaca nilai tersebut. Proxy HTTP / SOCKS hanya menangani TCP, sedangkan STUN berjalan di atas UDP, melewati proxy sepenuhnya melalui adaptor jaringan rumah Anda dan mengekspos IP asli Anda.

Pertahanan: Gunakan VPN mode TUN (Mihomo / Clash Premium / WireGuard TUN / Tailscale) yang mengambil alih semua lalu lintas TCP+UDP pada adaptor jaringan virtual. Jika hanya memakai proxy di browser, batasi WebRTC dengan kebijakan alih-alih menghapusnya: kebijakan enterprise Chrome / Edge WebRtcIPHandling = disable_non_proxied_udp; Brave: aktifkan "Disable Non-Proxied UDP"; Firefox: about:config → media.peerconnection.ice.proxy_only_if_behind_proxy = true.

Uji langsung: Gunakan detektor kebocoran /leak kami untuk memeriksa apakah IP publik yang dikembalikan WebRTC STUN sama dengan jalur keluar HTTP Anda.

1.2 Kebocoran IPv6 Dual-Stack

VPN Anda hanya mem-proxy IPv4, tetapi broadband rumah Anda juga memiliki IPv6 — browser lebih memilih keluar lewat IPv6, sepenuhnya melewati VPN. Ini celah yang sangat umum bagi pengguna broadband rumah China Telecom.

Pertahanan: Gunakan VPN yang mem-proxy IPv4 sekaligus IPv6, atau nonaktifkan IPv6 di tingkat sistem / browser. Di Windows, ubah registry; di macOS, gunakan networksetup.

1.3 Kebocoran DNS (dibahas terpisah, lihat ② Lapisan DNS)

1.4 Akses Langsung ke Origin CDN

Jika situs memakai CDN seperti Cloudflare, sebenarnya Anda mengakses IP node edge CDN — tetapi jika penyerang memperoleh IP server origin yang aslisitus tersebut, mereka dapat melewati CDN dan mengaksesnya secara langsung. Kebalikannya juga berlaku bagi pelacak: jika node CDN yang Anda akses berada di Tiongkok, tetapi ada aset statis dalam sesi yang sama yang diambil langsung dari origin (tidak dicakup CDN), IP asli Anda akan tercatat di log akses server origin.

Pertahanan: Kasus tepi ini terutama bergantung pada ketatnya konfigurasi situs target itu sendiri — hanya sedikit yang dapat dilakukan pengguna dari sisinya.

② Kebocoran Lapisan DNS — Domain yang Anda Kueri Mengungkap Identitas Anda

Lalu lintas IP Anda melewati VPN, tetapi kueri DNS mungkin masih lewat ISP lokal Anda. Ada dua cara kebocoran ini terjadi:

2.1 Negara Resolver Tidak Cocok

Jalur keluar VPN Anda berada di Belanda, tetapi saat sistem Anda melakukan kueri DNS, stub resolver memakai DNS yang dikonfigurasi oleh penyedia broadband rumah Anda (China Telecom). Saat nameserver otoritatif menerima kueri, yang terlihat adalah IP sumber dari China Telecom — sehingga lokasi asli Anda terungkap kepada operator di balik setiap domain yang Anda kunjungi.

2.2 Kebocoran Subnet ECS

Resolver rekursif publik (8.8.8.8 milik Google mengaktifkan EDNS Client Subnet secara bawaan) meneruskan subnet /24 asli Anda ke server otoritatif tujuan untuk "routing CDN berbasis lokasi". Namun pada saat itu, subnet Anda sudah diungkapkan kepada otoritas jarak jauh — lebih presisi daripada IP keluar resolver, menunjuk langsung ke subnet lingkungan tempat tinggal Anda.

Pertahanan:

• Paksa klien VPN Anda memakai DNS kustom — gunakan DNS milik penyedia VPN sendiri (NordVPN / Mullvad / ProtonVPN semuanya menyediakannya)
• Jangan biarkan kueri DNS bocor ke luar tunnel — resolver akan melihat IP asli Anda, yang tidak cocok dengan lalu lintas web Anda dan langsung membongkar identitas Anda. Perhatikan bahwa 1.1.1.1 / 8.8.8.8 bersifat anycast: selama kueri melewati tunnel, ia akan tiba di dekat jalur keluar VPN Anda dan tidak mengungkap apa pun. Masalah sebenarnya adalah sistem yang melewati tunnel untuk menghubunginya secara langsung
• Jika Anda memilih resolver rekursif publik, setidaknya pastikan resolver tersebut berada di negara yang sama dengan jalur keluar VPN Anda
• Gunakan DoH (DNS-over-HTTPS) untuk memaksa enkripsi kueri DNS dan mencegah pemeriksaan man-in-the-middle oleh ISP

Uji langsung: Alat deteksi kebocoran DNS /leak kami menjalankan nameserver otoritatif sendiri, sehingga kueri browser Anda benar-benar diarahkan ke server kami dan Anda dapat melihat IP resolver + subnet ECS. Untuk mekanisme lengkapnya, lihat panduan lengkap resolver DNS publik.

③ Sidik Jari TLS (ja3 / ja4) — Siapa Klien Anda

Saat handshake HTTPS, klien mengirim paket ClientHello ke server, berisi daftar versi TLS, cipher suite, ekstensi, kurva eliptik, dan lainnya yang didukungnya. Urutan dan isi persis field-field ini berbeda di setiap klien (Chrome 124 vs Firefox 123 vs curl vs Python requests), dan sidik jari gabungan yang dihasilkan dikenal di industri sebagai ja3 / ja4.

Situs dapat mencatat sidik jari ja3 / ja4 setiap pengunjung dan membandingkannya dengan User-Agent — jika UA Anda mengaku Chrome 124 tetapi sidik jari ja3 Anda cocok dengan Python requests, itu lalu lintas bot atau skrip. Ini juga salah satu sinyal inti yang dipakai layanan anti-bot seperti Cloudflare dan Akamai.

Pertahanan:

• Gunakan browser arus utama yang asli (Chrome / Firefox / Edge) — jangan jalankan Selenium / Puppeteer apa adanya, sidik jari ja3 keduanya sangat khas
• Jika perlu otomatisasi, gunakan undetected-chromedriver / Playwright + curl-impersonate
• Jangan pasang ekstensi browser "anti-sidik jari" — justru membuat ja3 Anda lebih khas daripada Chrome biasa, sama saja menandai diri sendiri sebagai pengguna alat anti-pelacakan

④ Sidik Jari HTTP / Browser — Canvas / WebGL / Font / Zona Waktu

Sidik jari yang terekspos di lapisan aplikasi lebih kaya, dan lebih sulit ditangkal:

Jebakan utama: Zona waktu / bahasa / font yang tidak cocok dengan negara jalur keluar VPN Anda merupakan sinyal "memakai VPN" yang sangat kuat. VPN Anda berpindah ke AS, tetapi zona waktu browser masih Asia/Shanghai dan bahasanya zh-CN — langsung ketahuan.

Pertahanan:

• "Terlihat biasa" — jangan pasang ekstensi anti-sidik jari di browser Anda, karena itu sendiri sudah tidak wajar. Sidik jari Chrome polos milik pengguna biasa adalah penyamaran terbaik.
• Pisahkan penggunaan: pakai browser utama untuk identitas asli Anda, dan profil browser / VM / Tails / Whonix terpisah untuk aktivitas yang sensitif privasi
• Samakan negara jalur keluar VPN, zona waktu sistem, dan bahasa browser — setidaknya jangan sampai membocorkan sinyal "saya pengguna Tiongkok yang lewat VPN AS"
• Tor Browser dirancang khusus untuk ini — setiap pengguna terlihat identik, dengan mengorbankan performa

Uji langsung: Gunakan pemeriksa sidik jari browser /fingerprint kami untuk melihat keunikan 14 dimensi sidik jari Anda sendiri.

⑤ Sidik Jari Lapisan TCP/IP — Initial Window / TTL / MTU

Bahkan sebelum mencapai lapisan aplikasi, sidik jari sudah ada di lapisan jaringan. Implementasi stack TCP/IP setiap sistem operasi sedikit berbeda:

• TTL awal: default Windows 128, Linux 64, macOS 64, iOS 64
• TCP Initial Window Size: Windows 64KB, Linux 14600, macOS 65535
• Urutan opsi TCP: tiap OS mengirim opsi MSS / SACK / Timestamp dengan urutan berbeda
• MTU: broadband rumah biasa 1500, PPPoE 1492, tunnel VPN biasanya 1380-1450

Alat p0f (passive OS fingerprinting) memanfaatkan persis field-field ini untuk menentukan sistem operasi pihak lawan tanpa mengirim paket probe apa pun. Situs dapat mengumpulkan informasi ini dan membandingkannya dengan UA yang Anda klaim — jika UA Anda menyebut Mac Safari, tetapi TTL-nya 128 dan Initial Window cocok dengan nilai Windows, berarti Anda sebenarnya memakai Windows dengan UA Mac palsu.

MTU juga dapat membocorkan bahwa "Anda memakai VPN" — karena tunnel VPN biasanya memiliki MTU di bawah 1500, lalu lintasnya jelas berbeda dari broadband biasa.

Pertahanan:

• Gunakan VPN mode TUN: stack milik server VPN yang mengambil alih, sehingga sidik jari TCP/IP yang dilihat situs adalah milik server VPN, bukan klien Anda
• OpenVPN / WireGuard memakai mode TUN secara bawaan; proxy HTTP/SOCKS tidak — inilah perbedaan utamanya
• Jangan memaksa MTU tunnel naik ke 1500 hanya agar "tidak terlihat seperti VPN" — enkapsulasi tunnel sendiri sudah memakan puluhan byte, dan nilai yang kebesaran memicu fragmentasi atau black hole PMTUD (paket besar macet, halaman hanya termuat sebagian). Pertahankan nilai default klien Anda (WireGuard 1420, OpenVPN otomatis)

⑥ Analisis Perilaku — Waktu Lalu Lintas + Kebiasaan Input

Ini dimensi yang paling sulit ditangkal, karena sama sekali tidak bergantung pada sidik jari teknis apa pun, melainkan sepenuhnya pada machine learning:

• Distribusi waktu akses: jika jam online harian Anda konsisten di beberapa akun, itu orang yang sama
• Lintasan mouse / kecepatan gulir / ritme ketikan: unik bagi setiap orang, dan dikumpulkan oleh bank / sistem anti-penipuan
• Durasi sesi / pola navigasi: kebiasaan menjelajah Anda bersifat unik
• Ciri teks yang diketik: tingkat salah ketik, preferensi pilihan kata, dan tata bahasa Anda

Pertahanan:

• Pisahkan secara ketat jam penggunaan antar-akun — jangan masuk ke "akun A + akun B" pada waktu yang sama; beri jeda beberapa jam
• Saat Anda benar-benar membutuhkan anonimitas, ganti perangkat (dari laptop ke ponsel / tablet)
• Mustahil bertahan sepenuhnya, tetapi Anda dapat membuat korelasi jauh lebih sulit

⑦ Log Penyedia VPN + Yurisdiksi Hukum

Bagi VPN, inilah dosa asal. Anda percaya penyedia VPN tidak menyimpan log, tetapi kenyataannya:

• Penyedia VPN komersial bisa diakuisisi (Avast diakuisisi oleh NortonLifeLock → kebijakan privasinya berubah)
• Penyedia bisa diam-diam mengumpulkan log (pada 2017, PureVPN menyerahkan log pengguna kepada FBI, padahal sebelumnya mengklaim "no-log")
• Surat panggilan hukum dapat memaksa kerja sama — AS / Inggris / Kanada / Australia / Selandia Baru (Five Eyes) semuanya menerima penyelidikan lintas negara
• Nine Eyes = Five Eyes + Denmark / Prancis / Belanda / Norwegia
• Fourteen Eyes = Nine Eyes + Jerman / Belgia / Italia / Spanyol / Swedia

Kriteria pemilihan:

VPN yang di-host sendiri memberi Anda kendali lebih besar — tetapi penyedia VPS (Vultr / Hetzner / DigitalOcean) menyimpan log sendiri dan juga bisa bekerja sama dengan penyelidikan. Anonimitas sejati menuntut membeli VPS dengan uang tunai / mata uang kripto plus mendaftar dengan identitas palsu, dan itu membutuhkan upaya rekayasa yang sangat besar.

⑧ Korelasi Lintas Akun — Banyak Akun Berbagi Cookie / Sidik Jari

Setelah login ke akun A, browser menyimpan cookie / localStorage / cache. Jika Anda beralih ke akun B di browser yang sama, situs langsung tahu bahwa Anda orang yang sama.

• Sidik jari yang sama + login ke banyak akun dalam waktu singkat = korelasi lintas akun
• Pelacakan cookie lintas situs (meskipun browser modern mulai membatasinya)
• Skrip pelacak pihak ketiga (Google Analytics / Facebook Pixel) menautkan aktivitas lintas situs

Pertahanan:

• Ekstensi Firefox Multi-Account Containers memberi setiap akun cookie / penyimpanan yang terisolasi
• Beberapa profil di Chrome (avatar kanan atas → tambah pengguna)
• Langkah ekstrem: jalankan akun berbeda di mesin virtual terpisah, tiap VM memakai jalur keluar VPN yang berbeda

Tabel Ringkasan Strategi Pertahanan

Saran Praktis: Seberapa Anonim Anda Sebenarnya Perlu?

Sebelum menentukan seberapa dalam pertahanan yang diperlukan, pahami dulu siapa sebenarnya yang melacak Anda:

• Pengiklan + broker data (intensitas rendah): uBlock Origin + menolak cookie pihak ketiga + VPN biasa sudah cukup untuk sebagian besar skenario sehari-hari
• Kontrol risiko anti-fraud (intensitas sedang): semua di atas + DNS VPN yang konsisten + zona waktu/bahasa yang sesuai + profil browser yang terisolasi
• Pesaing bisnis / web scraper (intensitas sedang-tinggi): semua di atas + mode TUN + browser asli (tanpa jejak Selenium) + membersihkan sisa cookie
• Pemerintah / penyelidikan lintas negara (intensitas ekstrem): semua di atas hanyalah dasar. Anda membutuhkan Tor / Whonix / Tails / VPS yang dibeli tunai + XMR + perangkat yang sepenuhnya terisolasi

Kebanyakan orang hanya membutuhkan level 1-2; level 3 ke atas adalah ranah spesialis. Jangan bebani pemakaian sehari-hari dengan anonimitas yang sebenarnya tidak Anda perlukan.