Setup DNSSEC: Panduan BIND9 di VPS

Domain kamu udah pakai SSL, firewall udah ketat, tapi ada satu lapisan yang sering kelewatan: DNS. Tanpa perlindungan tambahan, resolver DNS bisa ditipu buat ngasih jawaban palsu lewat teknik cache poisoning, yang ujungnya bikin pengunjung diarahkan ke server abal-abal meski alamat domain di address bar kelihatan benar. Setup DNSSEC di VPS jadi salah satu langkah yang mulai dianggap wajib di 2026, apalagi buat bisnis yang serius soal keamanan infrastruktur. Artikel ini bakal bahas cara aktifin DNSSEC pakai BIND9 di Ubuntu, dari generate key sampai verifikasi chain of trust ke registrar.

Kenapa Setup DNSSEC Penting Buat VPS Kamu

DNS awalnya didesain tanpa mikirin keamanan sama sekali, jadi siapa pun yang berhasil nyelip di jalur network antara client dan resolver bisa balikin jawaban palsu. Setup DNSSEC nambahin tanda tangan kriptografi ke setiap record DNS, sehingga resolver yang mendukung validasi bisa mastiin jawaban yang diterima itu asli dan nggak diutak-atik di tengah jalan.

Buat pemilik VPS yang jalanin domain sendiri, khususnya yang punya banyak subdomain atau layanan mail server, risiko cache poisoning bukan cuma teori. Serangan semacam ini bisa dipakai buat phishing terarah, membajak sesi login, sampai nyusupin malware lewat domain yang kelihatannya sah. Setup DNSSEC jadi lapisan pertahanan yang bekerja di level protokol, bukan cuma di level aplikasi kayak WAF atau firewall.

Persiapan Sebelum Setup DNSSEC di BIND9

Sebelum masuk ke konfigurasi, pastikan VPS kamu udah punya BIND9 jalan sebagai authoritative DNS server dengan minimal satu zone domain yang aktif. Kalau belum ada, install dulu paketnya:

sudo apt update
sudo apt install bind9 bind9utils bind9-doc dnsutils -y

Satu hal penting yang sering bikin orang stuck: direktori zone file default di /etc/bind biasanya nggak punya izin tulis buat proses BIND, padahal proses signing zone butuh nulis file kunci dan file zone yang udah ditandatangani. Solusinya, pindahin zone file ke direktori terpisah yang writable, misalnya /var/lib/bind/zones, lalu pastikan ownership-nya milik user bind.

Selain itu, cek juga apakah domain kamu sudah dikelola lewat registrar yang mendukung publikasi DS record, karena nggak semua panel domain murah punya menu DNSSEC. Kalau ternyata registrar kamu belum support, chain of trust nggak akan pernah terbentuk sekuat apa pun konfigurasi di sisi server.

Generate Key dan Setup DNSSEC dengan dnssec-policy

Versi BIND9 9.16 ke atas (sudah tersedia di Ubuntu 20.04 dan seterusnya) mendukung directive dnssec-policy yang bikin proses generate key, rotasi, sampai re-signing zone jalan otomatis, jadi kamu nggak perlu urus manual satu-satu. Tambahin konfigurasi berikut di zone definition kamu:

zone "domainmu.com" {
    type master;
    file "/var/lib/bind/zones/db.domainmu.com";
    dnssec-policy "default";
    inline-signing yes;
};

Setelah konfigurasi disimpan, restart BIND9 dan pantau log-nya buat mastiin key ke-generate dengan benar:

sudo named-checkconf
sudo systemctl restart bind9
sudo journalctl -u bind9 -f

Kalau kamu pakai versi BIND9 yang lebih lama atau mau kontrol manual di setiap tahap, ada juga pendekatan generate ZSK (Zone Signing Key) dan KSK (Key Signing Key) secara terpisah pakai perintah dnssec-keygen, tapi buat kebanyakan kasus, dnssec-policy udah cukup dan jauh lebih aman dari human error.

Publikasikan DS Record ke Registrar Domain

Setup DNSSEC di server aja belum cukup kalau chain of trust ke domain registrar belum terbentuk. Setelah zone ditandatangani, BIND9 bakal generate DS (Delegation Signer) record yang harus kamu submit manual ke panel domain registrar tempat kamu beli domain, biasanya ada di menu DNSSEC atau Advanced DNS Settings.

Tanpa langkah ini, DNSSEC di sisi server kamu jalan tapi resolver publik nggak akan tahu harus mempercayai signature yang kamu buat, karena belum ada rantai kepercayaan dari root zone sampai domain kamu. Proses propagasi DS record ke root biasanya makan waktu beberapa jam sampai satu hari tergantung TTL yang dipakai registrar.

Verifikasi Setup DNSSEC Pakai dig dan delv

Setelah DS record aktif, waktunya verifikasi apakah signature DNSSEC kamu valid dan bisa divalidasi resolver publik. Tool delv paling pas buat ini karena dia meniru logika validasi internal resolver BIND9 sendiri:

delv @1.1.1.1 domainmu.com A +dnssec

Kalau hasilnya menampilkan status fully validated, berarti chain of trust kamu udah terbentuk sempurna. Buat ngecek record signature mentahnya, pakai dig dengan flag +dnssec:

dig domainmu.com A +dnssec

Cari RRSIG di hasil output, itu tandanya zone kamu emang beneran ditandatangani dan bukan cuma konfigurasi kosong.

Troubleshooting Setup DNSSEC yang Sering Bermasalah

Ada beberapa masalah umum yang biasa nongol pas pertama kali setup DNSSEC:

Zone gagal disign otomatis: cek permission direktori zone file, karena BIND butuh akses tulis buat naruh file kunci dan file zone hasil signing. Pindahkan ke direktori seperti /var/lib/bind/zones kalau masih pakai /etc/bind.
Validasi gagal padahal DS record udah diinput: biasanya soal waktu propagasi. Tunggu beberapa jam, lalu cek ulang pakai delv dari resolver publik berbeda seperti 1.1.1.1 atau 8.8.8.8.
Domain jadi nggak bisa diakses sama sekali setelah publish DS record: ini biasanya karena algoritma atau digest type di DS record nggak cocok sama yang dipakai BIND9. Double-check dulu output dnssec-dsfromkey sebelum submit ke registrar.

Kalau kamu belum pernah bahas SSH hardening di server yang sama, ada baiknya sekalian baca panduan setup SSH key login tanpa password biar akses administratif ke VPS juga sama-sama terlindungi.

Penutup

Setup DNSSEC memang butuh sedikit ketelitian ekstra dibanding konfigurasi DNS biasa, tapi hasilnya sepadan buat mastiin domain kamu nggak gampang dipalsuin lewat cache poisoning. Mulai dari install BIND9, aktifin dnssec-policy, submit DS record ke registrar, sampai verifikasi pakai delv, semua langkah ini bikin infrastruktur DNS kamu jauh lebih kuat. Kalau butuh referensi resmi soal opsi konfigurasi lain, cek dokumentasi resmi Ubuntu Server soal DNSSEC.