DNS Nedir, Nasıl Çalışır? Kayıt Türleri Rehberi

DNS ne işe yarar?

İnternetteki cihazlar birbirini IP adresleriyle bulur, insanlar ise adları hatırlar. DNS (Domain Name System), bu ikisi arasındaki çeviriyi yapan, dünyaya dağılmış dev bir veritabanıdır. Tarayıcıya bir alan adı yazdığınızda ilk yapılan iş, o adın hangi IP adresine karşılık geldiğini sormaktır; sayfa ancak bu cevap geldikten sonra yüklenmeye başlar.

DNS’i “internetin telefon rehberi” diye tanımlamak yaygındır ama eksiktir. DNS yalnızca web sitelerinin adresini değil, bir alan adına gelen e-postanın hangi sunucuya teslim edileceğini, o alan adı adına kimin e-posta göndermeye yetkili olduğunu, hangi kurumun sertifika üretebileceğini de söyler. Tek bir merkezde de tutulmaz: her alan adının kayıtlarından o alan adının sahibi sorumludur ve sistem yetkiyi aşağıya doğru devrederek çalışır. Bu hiyerarşiyi anlamak, DNS sorunlarının büyük bölümünü çözmenin anahtarıdır.

Bir DNS sorgusu adım adım nasıl çözülür?

Alan adları sağdan sola okunur. www.ornek.com.tr adında en üstte görünmeyen bir kök (nokta), altında tr, onun altında com.tr, sonra ornek ve en solda www bulunur. Çözümleme bu zinciri yukarıdan aşağıya izler:

1. Yerel önbellek: Tarayıcı ve işletim sistemi, aynı adı yakın zamanda sorup sormadığına bakar. Cevap önbellekteyse hiçbir ağ sorgusu yapılmaz.
2. Özyinelemeli çözümleyici (recursive resolver): Önbellekte yoksa soru, cihazınızda tanımlı DNS sunucusuna gider. Bu genellikle servis sağlayıcınızın ya da sizin seçtiğiniz bir açık DNS hizmetinin sunucusudur. Asıl işi o yapar.
3. Kök sunucular: Çözümleyici kök sunuculara sorar. Kök sunucu cevabı bilmez ama “tr uzantısından şu sunucular sorumlu” diye yönlendirir.
4. Üst düzey alan (TLD) sunucuları: Uzantının sunucuları da nihai cevabı vermez; “ornek.com.tr için yetkili ad sunucuları şunlardır” der. Bu bilgi, alan adını kaydederken ya da sonradan kayıt firması panelinden girdiğiniz NS bilgisidir.
5. Yetkili ad sunucusu (authoritative): Çözümleyici son olarak bu sunucuya sorar ve gerçek kaydı alır: “www.ornek.com.tr, 203.0.113.10 adresindedir.”
6. Önbelleğe alma: Çözümleyici cevabı, kayıtta yazan TTL süresi boyunca saklar ve aynı soruyu soran herkese önbellekten cevap verir.

Bütün bu tur genellikle onlarca milisaniye sürer; popüler adlar çoğu zaman zaten önbellekte olduğundan daha da hızlıdır. Dikkat edilmesi gereken nokta şudur: alan adınızın kayıtlarını nerede düzenleyeceğinizi belirleyen şey NS kayıtlarıdır. Ad sunucularınız bir CDN ya da barındırma firmasını gösteriyorsa, kayıt firmasının panelindeki DNS bölümünde yaptığınız değişikliklerin hiçbir etkisi olmaz.

Temel DNS kayıt türleri

A ve AAAA

En temel kayıtlardır. Aynı ad için birden fazla A kaydı tanımlanabilir; çözümleyiciler bunları sırayla dağıtarak basit bir yük paylaşımı sağlar. Sunucunuz IPv6 destekliyorsa AAAA kaydı da eklenir; desteklemiyorsa eklenmemelidir, aksi hâlde IPv6 tercih eden ziyaretçiler ulaşılamayan bir adrese yönlenir ve sayfa gecikmeli açılır.

CNAME ve kök alan adı kısıtı

CNAME, “bu adın cevabı için şu öteki ada bak” demektir. Bir adın CNAME kaydı varsa aynı adda başka hiçbir kayıt bulunamaz. Kök alan adında (ornek.com.tr) mutlaka SOA ve NS kayıtları bulunduğu için oraya standart bir CNAME konulamaz. Bazı DNS sağlayıcıları bu kısıtı aşmak için ALIAS, ANAME ya da “CNAME flattening” adıyla kendi çözümlerini sunar: hedef adı arka planda kendileri çözüp size A kaydı gibi sunarlar. Ayrıca MX ve NS kayıtlarının hedefi bir CNAME olmamalıdır.

MX ve öncelik değeri

MX kaydındaki sayı önceliktir ve küçük olan önce denenir. “10 mail1” ve “20 mail2” tanımlıysa gönderen sunucu önce mail1’e bağlanır, ulaşamazsa mail2’yi dener. MX kaydının hedefi bir IP adresi değil, A ya da AAAA kaydı bulunan bir ad olmalıdır.

TXT: SPF, DKIM, DMARC ve doğrulamalar

TXT kaydı bugün çoğunlukla e-posta güvenliği için kullanılır. SPF, alan adınız adına hangi sunucuların e-posta gönderebileceğini listeler. DKIM, giden iletilerin imzasını doğrulamak için açık anahtarı yayımlar. DMARC ise bu iki denetimden geçemeyen iletilere alıcının ne yapması gerektiğini bildirir. Arama motoru ve bulut hizmetlerinin “alan adı sizin mi?” doğrulamaları da genellikle bir TXT kaydı eklemenizi ister. Önemli bir kural: bir adda yalnızca tek SPF kaydı olmalıdır; iki ayrı SPF kaydı doğrulamanın tamamen başarısız olmasına yol açar. Yeni bir gönderim hizmeti eklerken mevcut kaydı genişletin, ikincisini açmayın.

TTL nedir, nasıl seçilir?

TTL (Time To Live), bir kaydın çözümleyiciler tarafından kaç saniye önbellekte tutulabileceğini söyler. 3600 değeri, “bu cevabı bir saat boyunca tekrar sormadan kullanabilirsin” demektir. Seçim bir dengedir:

• Uzun TTL (örneğin birkaç saat ya da bir gün): Sorgu sayısını azaltır, ad sunucunuz kısa süreli erişilemez olsa bile ziyaretçiler etkilenmez. Buna karşılık değişiklikler yavaş yayılır.
• Kısa TTL (örneğin 300 saniye): Değişiklikler hızla yansır, arıza anında başka sunucuya geçiş kolaylaşır. Bedeli daha fazla sorgu ve ad sunucusuna daha yüksek bağımlılıktır.

Sık değişmeyen kayıtlarda (MX, NS) uzun, taşınma ihtimali olan ya da yük dengeleme yapılan kayıtlarda kısa TTL kullanmak makul bir yaklaşımdır.

DNS yayılımı (propagation) aslında nedir?

“DNS’in yayılması 24–48 saat sürer” cümlesi yanıltıcıdır. Ortada bir yerden bir yere itilen bir güncelleme yoktur. Yetkili ad sunucunuzdaki değişiklik anında geçerlidir; gecikmenin nedeni, dünyadaki çözümleyicilerin eski cevabı TTL süresi dolana kadar önbelleklerinde tutmasıdır. Bu yüzden aynı anda bir kişi yeni sunucuyu, bir başkası eskisini görebilir.

Bundan iki pratik sonuç çıkar. Birincisi, bekleme süresini büyük ölçüde siz belirlersiniz: değişiklikten önceki TTL ne kadarsa en kötü durumda o kadar beklenir. İkincisi, ad sunucusu (NS) değişikliği farklıdır; buradaki devir bilgisi uzantının sunucularında tutulur ve TTL’i genellikle uzundur, bu nedenle bir-iki gün sürebilmesi gerçekçidir.

Kesintisiz sunucu taşıma için sıra

1. Taşımadan en az mevcut TTL süresi kadar önce, ilgili kayıtların TTL değerini 300 saniye gibi kısa bir değere indirin.
2. Eski TTL süresinin dolmasını bekleyin; artık bütün önbellekler kısa TTL’li kaydı taşıyor olacaktır.
3. Yeni sunucuyu tamamen hazır hâle getirin ve kaydı yeni IP adresine çevirin.
4. Eski sunucuyu hemen kapatmayın; TTL’e uymayan çözümleyiciler ve açık kalan bağlantılar için birkaç gün çalışır durumda bırakın.
5. Her şey yerine oturunca TTL’i yeniden normal değerine yükseltin.

Değişikliğin yansıyıp yansımadığını denetlerken kendi bilgisayarınızın önbelleğine güvenmeyin. Bir DNS kayıt sorgulama aracıyla doğrudan yetkili ad sunucusunun ve farklı açık çözümleyicilerin verdiği cevabı karşılaştırmak daha sağlıklı sonuç verir.

DNS ve güvenlik

Klasik DNS sorguları şifresiz gider; ağ üzerindeki herkes hangi adları sorduğunuzu görebilir ve kuramsal olarak cevabı değiştirebilir. İki ayrı teknoloji, iki ayrı sorunu çözer:

• DNSSEC, kayıtları dijital olarak imzalar. Çözümleyici, aldığı cevabın gerçekten yetkili kaynaktan geldiğini ve yolda değiştirilmediğini doğrulayabilir. Gizlilik sağlamaz, bütünlük sağlar. Yanlış yapılandırıldığında alan adını tümüyle erişilemez kılabildiği için ad sunucusu değiştirirken DNSSEC ayarlarına özellikle dikkat edilmelidir.
• DoH ve DoT (DNS over HTTPS / TLS), cihazınızla çözümleyici arasındaki sorguyu şifreler. Ağdaki üçüncü kişiler sorgularınızı göremez; ancak seçtiğiniz çözümleyici görmeye devam eder.

Alan adı sahipleri için en büyük risk ise teknik saldırılardan çok hesap güvenliğidir: DNS paneline ya da kayıt firması hesabına erişen biri, siteyi ve e-postayı dakikalar içinde başka yere yönlendirebilir. Bu hesaplarda iki adımlı doğrulama kullanmak temel önlemdir.

Sık yapılan hatalar ve özet

• Yanlış panelde kayıt düzenlemek: Önce NS kayıtlarına bakın; kayıtlar yalnızca yetkili ad sunucusunun panelinde geçerlidir.
• Kök alan adına CNAME eklemeye çalışmak: A/AAAA kaydı ya da sağlayıcının ALIAS benzeri özelliğini kullanın.
• Birden fazla SPF kaydı açmak: Tek kayıtta birleştirin.
• MX hedefine IP adresi yazmak: Hedef bir ad olmalı, o adın da A kaydı bulunmalıdır.
• Taşımadan önce TTL’i düşürmeyi unutmak: Değişiklik günü yapılan TTL indirimi işe yaramaz; eski uzun süre çoktan önbelleklere yazılmıştır.
• Çalışmayan AAAA kaydı bırakmak: IPv6 hizmeti vermiyorsanız kaydı kaldırın.
• Bazı DNS panellerinde ada bölge adını iki kez yazmak: Panel adı otomatik tamamlıyorsa “www” yazmak yeterlidir; tam adı sonuna nokta koymadan girmek “www.ornek.com.tr.ornek.com.tr” gibi hatalı bir kayıt üretebilir.

Özetle DNS, yetkinin kökten alan adı sahibine doğru devredildiği hiyerarşik bir sistemdir. Kayıt türleri hangi sorunun cevabını verdiğinizi, TTL o cevabın ne kadar süre ezberde kalacağını belirler. “Yayılım” denen şey bir dağıtım değil, önbelleklerin eskimesidir; bunu bilerek planlanan bir değişiklik çoğu zaman tek bir ziyaretçi bile fark etmeden tamamlanır.