DNS (Alan Adı Sistemi): adları adreslere çeviren altyapı

DNS nedir?

DNS (Domain Name System, Alan Adı Sistemi), insanın okuyabildiği alan adlarını bilgisayarların kullandığı IP adreslerine çeviren dağıtık bir adres defteridir. Tarayıcıya bir site adı yazdığınızda cihazınız o adın hangi sunucuya ait olduğunu DNS'ten öğrenir ve bağlantıyı ancak ondan sonra kurar.

DNS tek bir merkezde duran bir liste değildir. Bilgi, hiyerarşik olarak çok sayıda sunucuya dağıtılmıştır: en üstte kök sunucular, onun altında .com ya da .tr gibi üst düzey alan adı sunucuları, en altta ise ilgili alan adının kendi kayıtlarını tutan yetkili sunucular bulunur. Bu yapı hem ölçeklenmeyi hem de tek noktadan çökme riskinin azalmasını sağlar.

Bir alan adı nasıl çözülür?

Adım adım akış şöyledir: • Cihazınızdaki istemci (stub resolver) önce kendi önbelleğine bakar. • Bulamazsa, internet sağlayıcısının ya da kurumun belirlediği özyinelemeli çözücüye (recursive resolver) sorar. • Çözücü de önbelleğinde yoksa kök sunucuya, oradan üst düzey alan adı sunucusuna, oradan da alan adının yetkili sunucusuna gider. • Yetkili sunucu kaydı verir; çözücü yanıtı cihaza iletir ve belirli bir süre önbelleğe alır.

Bu sürenin adı TTL'dir (time to live). Kayıtla birlikte gelir ve "bu yanıtı ne kadar saklayabilirsin" demektir. Önbellek sayesinde aynı adı tekrar tekrar sormak gerekmez, ağ yükü ve gecikme azalır.

Temel kayıt türleri

Bir alan adının DNS bölgesi (zone) farklı amaçlara hizmet eden kayıtlardan oluşur: • A ve AAAA: Alan adını sırasıyla eski ve yeni sürüm IP adresine bağlar. • CNAME: Bir adı başka bir adın takma adı yapar. • MX: O alan adı için e-postanın hangi sunucuya teslim edileceğini söyler. • TXT: Serbest metin taşır; alan adı sahipliği doğrulamaları ve e-posta kimlik doğrulama politikaları genellikle burada tutulur. • NS: Alan adının yetkili sunucularını gösterir.

Bir kuralı hatırlamak işe yarar: CNAME, bölgenin kök adında (www'suz ana ad) diğer kayıtlarla birlikte bulunamaz. Bu yüzden bulut sağlayıcıları kök ad için kendi "takma ad" (alias) kayıt çeşitlerini sunar.

Örnek senaryo: sunucu taşıma

Örneğin bir şirket web sitesini eski barındırmadan yenisine taşıyor. Taşımadan bir süre önce ekip, ilgili A kaydının TTL değerini düşürür. Böylece geçiş günü kayıt değiştirildiğinde dünyadaki çözücüler eski adresi uzun süre önbellekte tutmaz. Geçişten sonra TTL tekrar yükseltilir ve sorgu yükü azalır.

Bu hazırlık yapılmadığında bazı kullanıcılar eski sunucuya, bazıları yeni sunucuya düşer. Buna sık sık "DNS yayılımı" denir, ama gerçekte kayıtlar yayılmaz; her çözücünün önbelleğindeki eski yanıtın süresi kendi hızında dolar.

Sık karşılaşılan sorunlar

• Eski yanıtın önbellekte kalması: Değişiklik yapıldı ama bazı kullanıcılar eski adrese gidiyor.
• Yanlış ya da eksik kayıt: Yazım hatalı bir MX kaydı e-postaların düşmesine yol açar.
• Yetkili sunucuların uyumsuzluğu: Alan adı kayıt kuruluşundaki NS bilgisi ile gerçek bölge sunucusu farklıysa çözümleme tutarsız olur.
• Kurum içi ve dışı farklı yanıtlar: Kurumlar bazen aynı adı iç ağda başka, internette başka adrese çözer (split-horizon). Yanlış yapılandırıldığında yalnızca bir tarafta çalışan servisler ortaya çıkar.

Sorun gidermede genellikle sırayla yetkili sunucuya, sonra çözücüye sorgu atılır ve yanıtlar karşılaştırılır; fark nerede başlıyorsa kaynak odur.

DNS güvenliği

Klasik DNS sorguları şifresiz ve doğrulamasız taşınır; bu yüzden sahte yanıt enjeksiyonu (cache poisoning) ve sorgu dinleme riskleri vardır. DNSSEC, yanıtları dijital imzalarla doğrulayarak verinin değiştirilmediğini kanıtlamaya yarar; gizlilik sağlamaz. DoH (DNS over HTTPS) ve benzeri şifreli taşıma yöntemleri ise sorgunun ağ üzerinde okunmasını engeller.

Kurumlarda DNS ayrıca bir tespit noktasıdır: zararlı alan adlarına yapılan sorgular, veri sızdırma girişimleri ya da yetkisiz servis kullanımı DNS kayıtlarından izlenebilir. Bu nedenle DNS, yalnızca bir altyapı bileşeni değil, güvenlik izleme verisi kaynağıdır.

Mindset programlarında bu konu

Mindset kataloğunda DNS ile ilgili eğitimler yer alır. Kurumsal DNS Mimarisi ve Sorun Giderme eğitiminin modülleri DNS protokolü ve çözümleme zinciri, bölge yönetimi ve kayıt tipleri, split-horizon ile DNSSEC ve güvenlik kayıtları, dayanıklılık ve sorun giderme konularını kapsar. Amazon Route 53 ile DNS ve Trafik Yönlendirme eğitimi yönlendirme politikalarını ve sağlık kontrollerini, DNS Güvenliği ve Koruma eğitimi ise DNSSEC ve şifreli DNS politikalarını ele alır.