DNSSEC Nedir? Hosting’te Kurulum Faydaları ve Doğrulama Testleri

DNSSEC (Domain Name System Security Extensions), alan adınızı DNS üzerinden taklit edilmeden doğrulanabilir hâle getirir. Saldırganların DNS cevaplarını manipüle etmesi ve yönlendirme zincirinde “yanlış IP’ye” gitme riskini azaltır. Bu rehberde DNSSEC’in ne yaptığını, hosting ve domain tarafında kurulumdan sonra atmanız gereken adım adım doğrulama testlerini anlatıyorum. Hedef; “kuruldu mu, doğru çalışıyor mu?” sorusuna sayısal ve tekrarlanabilir yöntemlerle yanıt verebilmek.

DNSSEC neyi değiştirir? Mantık ve beklenen sonuç

DNSSEC, DNS yanıtlarının bütünlüğünü dijital imzalarla sağlar. Çalışma modeli özetle şöyledir:

Alan adınızın DNS kayıtları (A/AAAA/CNAME vb.) imzalanır.
İmzalar, ilgili DNSKEY/DS kayıtları üzerinden doğrulanır.
Doğrulama yapan çözümleyiciler (recursive resolver) imza zincirini kontrol eder.

Önemli nokta: DNSSEC tek başına “trafik şifreler” demek değildir. TLS/HTTPS ile farklı konulardır. DNSSEC ise “DNS doğru cevap mı verdi?” katmanında doğrulama ekler. Doğru kurulduğunda beklenen davranış: DNSSEC doğrulama yapan resolver’lar alan adınız için güven zincirini kurup doğrular.

DNSSEC açıkken hata olursa ne olur?

DNSSEC yanlış/eksik kurulduğunda genellikle şu senaryolar görülür:

Doğrulama başarısız olur ve resolver tarafında yanıt filtrelenir.
Bazı kullanıcılar alan adınızı çözümleyemez; bu özellikle daha katı doğrulama yapan ağlarda netleşir.
Yanlış DS kaydı veya yanlış anahtar senaryoları “güven zinciri kırılması” oluşturur.

Bu nedenle kurulumdan sonra doğrulama testleri bir kontrol listesi gibi ele alınmalıdır.

Hosting tarafında DNSSEC kurulumuna giden yol

DNSSEC kurulumu tek adım değildir; çoğunlukla 3 katmanda ilerlersiniz: domain registrar (DS yönlendirmesi), authoritative DNS (alan adınızın DNS sunucuları) ve doğrulama/servis kesintisi yönetimi.

1) Yetki modelini netleştirin (authoritative DNS nerede?)

DNSSEC’i imzalayan taraf “authoritative DNS” olmalıdır. Şu soruları yanıtlayın:

Alan adınızın DNS sunucuları sağlayıcı tarafında mı (ör. sağlayıcının DNS paneli)?
Kendi DNS sunucularınızı mı kullanıyorsunuz (BIND/NSD/PowerDNS vb.)?
Hosting kontrol panelinde DNS yönetimi var mı, yoksa registrar yalnızca yönlendirme mi yapıyor?

NetKıyas açısından pratik ölçüm: DNS yönetimi neredeyse orada yapılacak işin kapsamı değişir. DNS kaydını hosting panelinde giriyor olabilirsiniz; fakat authoritative rol sağlayıcıda olmayabilir.

2) Anahtar yönetimi: KSK/ZSK mantığını bilin

DNSSEC’te iki anahtar tipi yaygındır:

KSK (Key Signing Key): Zincirin üst halkalarıyla ilişkili doğrulama için kullanılır.
ZSK (Zone Signing Key): Alan adınızın kayıtlarının imzalanmasında rol alır.

Birçok kontrol paneli bunları otomatik yönetir. Yine de “anahtar değişimi (key rollover)” ve sürelerin (TTL, imza yaşam döngüsü) nasıl ele alındığını anlamak geçiş riskini düşürür.

3) DS kaydı (Delegation Signer) nerede görünecek?

DNSSEC zinciri genelde şu mantıkla kuruludur:

Kendi authoritative DNS’iniz zone’u imzalar.
Domain registrar (veya üst seviye ile ilişki kuran taraf) DS kaydını tutar.
Doğrulayıcılar DS ve DNSKEY üzerinden zinciri doğrular.

Bu nedenle kurulum adımı genelde iki parçadır: authoritative tarafında imzalama, registrar tarafında DS girilmesi.

DNSSEC kurmanın adım adım faydaları: Kurulumdan geçişe net kazanımlar

DNSSEC’in faydalarını “soyut güvenlik” diye değil, operasyonel sonuçlar olarak tanımlayalım.

Faydalar (beklenen teknik çıktılar)

DNS sahtekarlığı (spoofing) ve cache poisoning senaryolarında doğrulama sağlar.
Doğru zincir kurulduğunda “yanlış cevap” yerine doğrulama başarısızlığı görülür; bu, hatalı yönlendirmeyi engeller.
Kurulum doğruysa geçiş sonrası doğrulanabilir durum elde edersiniz; testlerle bunu ölçersiniz.

Kurulum adım adım iş akışı (checklist)

Aşağıdaki akış, hosting ve domain işlerini birlikte düşünür:

Authoritative DNS sağlayıcınızı belirleyin (hosting paneli mi, harici DNS mi?).
DNSSEC’i kontrol panelinden açın (varsa “DNSSEC / DNS Security / DNSSEC signing” menüsü).
Sistem tarafından oluşturulan DNSKEY/DS bilgilerini kaydedin.
Domain registrar tarafında DS kaydını ekleyin (KSK’ye karşılık gelen DS değerleri).
TTL’leri ve geçiş penceresini dikkate alarak test başlatın.
Son olarak doğrulama testleriyle “başarılı doğrulama” durumunu kanıtlayın.

Hosting DNSSEC doğrulama testleri: “Kuruldu mu?” sorusunu kanıtlayın

Kurulumun doğruluğu; farklı resolver’larda tutarlı görünmelidir. Tek bir araç çıktısına güvenmek yerine, en az iki aşamada test yapın.

Test 1: DNSSEC durumunu zincir düzeyinde kontrol edin

En pratik yöntemlerden biri doğrulama yapan servisler veya komut satırı testleridir.

İnternetten doğrulama yapan araçlarda “DNSSEC: secure / bogus / indeterminate” benzeri ifadeleri kontrol edin.
Kayıtların imzalı göründüğünden emin olmak için DNSKEY/DS zincirine odaklanın.

Eğer terminal kullanıyorsanız genel mantık şu sorgulara dayanır:

DS kaydı var mı?
DNSKEY var mı?
Zone imzaları (RRSIG) görünüyor mu?

Örnek sorgu mantığı (sunucuya göre komutlar değişebilir):

# DS kontrolü (örnek)
dig DS ornek-alanadi.com +dnssec

# DNSKEY kontrolü (örnek)
dig DNSKEY ornek-alanadi.com +dnssec

# RRSIG kontrolü (örnek)
dig A ornek-alanadi.com +dnssec

Not: dig çıktısında AD (Authenticated Data) bitinin görülebilmesi, doğrulanan yanıtın işaretini verebilir. Ancak asıl hedef, zincirin doğrulandığını ve beklenen status’ı aldığınızı görmektir.

Test 2: Farklı resolver’larla doğrulama tutarlılığını ölçün

Bir ağ tek başına “güvenli” görünüp diğerinde sorun çıkarabilir. Bu nedenle iki farklı resolver ile test yapın.

Aşağıdaki iki yaklaşımı uygulayın:

Resolver A: DNSSEC doğrulamasını sıkı yapan bir resolver.
Resolver B: farklı bir sağlayıcı/resolver.

Sonuçları birlikte değerlendirin:

Her iki tarafta da DNSSEC doğrulama “secure” görünüyorsa kurulum sağlıklıdır.
Biri “secure”, diğeri “indeterminate/bogus” diyorsa zincir veya DS/DNSKEY eşleşmesi kontrol edilmelidir.

Test 3: Negatif senaryoyu yakalayın (RRSIG/DS uyumsuzluğu)

DNSSEC kurulu ama bozuk durumdaysa genelde DS ile zone imzası arasında zaman uyumsuzluğu veya yanlış değer riski olur. Bu durumda şunları kontrol edin:

DS kaydı değerleri authoritative taraftaki DNSKEY ile eşleşiyor mu?
Geçiş sırasında DS güncellemesi yapıldıktan sonra authoritative imzalar gerçekten aktif mi?
TTL/propagation gecikmesi nedeniyle bazı bölgelerde kısa süreli belirsizlik var mı?

Pratik kural: Kurulum sonrası ilk testleri hemen değil, authoritative tarafın imzaları basıp DS’in üst seviye ile eşleşmesini tamamlamasından sonra yapın. Bunu özellikle yoğun DNS trafiğinde daha net görürsünüz.

Doğrulama testlerini hızlandıran pratik yöntemler

DNSSEC testleri sadece “çalışıyor mu?” değil, doğru çalışıyor mu ve ne kadar hızlı yayılıyor sorularına yanıt vermelidir.

TTL ve geçiş penceresi

DNS TTL’leri, doğrulama testlerinizin zamanlamasını etkiler. Eğer TTL yüksekse, eski durum uzun süre görülebilir.

Geçiş planlarken TTL’leri daha kısa seviyeye indirmek (mümkünse) test süresini kısaltır.
Ancak kayıtlar tekrar değişeceği için kısa TTL sonrası başka ayarlara girmemeye dikkat edin.

RRSIG ve kayıt bütünlüğü odaklı kontrol

Aşağıdaki alan adları/rekor türleri DNSSEC açısından kritik kontrol listesi gibidir:

A/AAAA kayıtları
CNAME zincirleri (özellikle apex -> subdomain dönüşümleri)
NS kayıtları (zone’un authoritative yapısı)

Bu kayıtlar imzalı görünmüyorsa, DNSSEC açılmış olsa bile zone tarafında signing etkin olmayabilir.

Sık yapılan hatalar (hosting ve domain tarafında) ve hızlı düzeltme

DS kaydı eksik/yanlış: KSK ile eşleşmeyen DS, zinciri kırar.
Authoritative DNS yanlış yerde: Registrar’da DS eklersiniz ama zone’u imzalayan doğru DNS sunucusu aktif değildir.
Geçiş sırasında kademeli değişiklik: Önce DS sonra zone imzası gibi sıra hataları belirsizlik yaratır.
TTL’leri göz ardı etmek: Test yaptığınız anda propagation tamamlanmadıysa “sorun var” sanabilirsiniz.

Hızlı düzeltme yaklaşımı: - Önce authoritative tarafı (DNSSEC signing) doğrulayın. - Sonra DS kaydını doğrulayın. - En son farklı resolver’larla tutarlılığı test edin.

DNSSEC’i aktif etme kararını netleştirmek için karşılaştırma çerçevesi

DNSSEC kurmak “tek başına maliyet” değil; operasyonel bir kontrol süreci demektir. Aşağıdaki tablo, hosting tarafında karar verirken hangi unsurların değiştiğini gösterir.

Kriter	DNSSEC açıkken beklenti	Doğrulama testi gerektirir mi?	Tipik risk
DS yönetimi (registrar)	DS doğru olmalı	Evet	Yanlış DS → zincir kırılması
Zone signing (authoritative)	RRSIG/DNSKEY görünmeli	Evet	Signing aktif değil
TTL/proagation	Geçişte kısa belirsizlik olabilir	Evet	Hatalı “kurulmadı” yorumu
Resolver uyumu	DNSSEC doğrulaması yapan resolver’larda sonuç net olur	Evet	Bir resolver’da secure, diğerinde sorun

Sonuç: DNSSEC’i açın, ama doğrulayın

DNSSEC, alan adınızın DNS katmanında bütünlük ve doğrulanabilirlik sağlar. Hosting tarafında kritik olan, sadece “DNSSEC’i açtım” demek değil; authoritative imzalama + DS eşleşmesi tamamlandıktan sonra farklı resolver’larda zincir durumunu test etmektir. Önümüzdeki adım olarak, önce authoritative DNS yerinizi netleştirin, sonra DS kaydını ekleyin ve en az iki aşamalı doğrulama testi çalıştırın. Eğer testler “secure” ile uyumlu görünmüyorsa, sırayı tersine çevirmeden önce authoritative signing ve DS değerlerini kontrol edin.