DNS Nedir, Nasıl Çalışır?

Alan adı sistemi (Domain Name System - DNS), internet altyapısının temel yönlendirme omurgasını oluşturan ve alfasayısal web adreslerini makinelerin iletişim kurabildiği sayısal IP adreslerine dönüştüren dağıtık bir veritabanı protokolüdür. Web sitelerinin kesintisiz erişilebilirliği, kurumsal e-posta trafiğinin güvenliği ve bulut tabanlı altyapıların sürdürülebilirliği doğrudan DNS mimarisinin doğru yapılandırılmasına bağlıdır. Bu rehberde, DNS çalışma prensipleri, hiyerarşik sunucu katmanları, kritik kayıt türleri, DNSSEC tabanlı güvenlik standartları ve kurumsal ağlarda karşılaşılan yaygın çözümleme hatalarının giderilme yöntemleri teknik ve operasyonel boyutlarıyla incelenmektedir.

DNS (Domain Name System) Nedir?

Domain Name System (DNS), internet ağında yer alan sunucuların, istemcilerin ve ağ bileşenlerinin birbirini tanımlamasını sağlayan küresel ve hiyerarşik bir adlandırma sistemidir. İnternet protokolü (TCP/IP), cihazlar arasındaki veri paketlerinin iletimini sağlamak için 32 bitlik IPv4 (örneğin @@CODE0@@) veya 128 bitlik IPv6 (örneğin @@CODE1@@) biçimindeki benzersiz IP adreslerini kullanır. İnsan hafızasının binlerce sayısal IP kombinasyonunu akılda tutması mümkün olmadığından, DNS protokolü harflerden oluşan alan adlarını (örneğin webizm.com) ilgili sunucunun makine tarafından okunabilir IP adresine dönüştürür.

DNS mimarisi yalnızca web sitelerinin açılmasını sağlamakla kalmaz; kurumsal e-posta iletimi, alt alan adı (subdomain) yönlendirmeleri, içerik dağıtım ağları (CDN) entegrasyonu ve yük dengeleme (load balancing) operasyonlarında merkezi bir rol oynar. Dağıtık bir veritabanı şeklinde organize edilen sistem, tek bir merkezi sunucunun çökmesiyle tüm internetin durmasını engelleyecek yedekli ve katmanlı bir yapıya sahiptir.

İnternet üzerindeki her bir çözümleme işlemi milisaniyeler seviyesinde gerçekleşir. DNS altyapısındaki ufak bir gecikme süresi (latency) veya yapılandırma hatası, doğrudan web sayfası açılış hızlarını, kullanıcı deneyimini ve arama motoru optimizasyonu (SEO) performansını olumsuz etkiler. Bu nedenle DNS, salt bir ağ protokolü değil, doğrudan dijital iş sürekliliğini belirleyen kritik bir altyapı bileşenidir.

DNS Mimarisi Nasıl Çalışır? Adım Adım Çözümleme Süreci

Kullanıcı bir web tarayıcısına alan adını yazdığında ve "Enter" tuşuna bastığında, arka planda 4 ana sunucu türünün dahil olduğu adım adım bir DNS sorgu (query) döngüsü başlatılır. Bu döngü, daha önce önbelleğe alınmamış bir kayıt için tipik olarak aşağıdaki hiyerarşi üzerinden yürütülür:

1. DNS Çözümleyici (DNS Resolver / Recursor)

İstemci (bilgisayar, mobil cihaz veya sunucu) bir alan adına erişmek istediğinde ilk temas noktası yerel DNS çözümleyicidir. Genellikle İnternet Servis Sağlayıcı (ISS / ISP) tarafından yönetilen veya kurumsal tercihe göre Cloudflare (@@CODE0@@), Google (@@CODE1@@) gibi genel (public) çözümleyicilere yönlendirilen bu sunucu, istemci adına tüm interneti tarayarak doğru IP adresini bulmakla görevli bir aracıdır. Çözümleyici, sorguyu kendi önbelleğinde (cache) bulamazsa hiyerarşinin bir sonraki basamağına iletir.

2. Kök İsim Sunucusu (Root Name Server)

Kök isim sunucuları, DNS hiyerarşisinin en tepesinde yer alan ve alan adı çözümleme sürecindeki ilk resmi yönlendirici olan düğümlerdir (node). Dünya genelinde mantıksal olarak 13 adet kök sunucu kümesi (A'dan M'ye harflendirilmiş) bulunur; ancak bu kümeler Anycast yönlendirme teknolojisi sayesinde dünya çapında yüzlerce fiziksel sunucu noktası üzerinden yedekli olarak çalışır. Kök sunucu alan adının IP adresini doğrudan bilmez; bunun yerine sorguyu ilgili üst düzey alan adı (TLD) sunucusuna yönlendirir.

3. TLD (Üst Düzey Alan Adı) İsim Sunucusu

Top-Level Domain (TLD) sunucuları, alan adlarının uzantılarına göre organize edilmiş özel sunucu katmanlarıdır (@@CODE0@@, @@CODE1@@, @@CODE2@@ gibi genel TLD'ler ya da @@CODE3@@, @@CODE4@@, @@CODE5@@ gibi ülke kodlu ccTLD'ler). Örneğin @@CODE6@@ sorgusu kök sunucudan çıktıktan sonra @@CODE7@@ TLD sunucusuna gelir. TLD sunucusu, söz konusu alan adının kayıtlı olduğu yetkili isim sunucularının (Authoritative Name Servers) adresini çözümleyiciye bildirir.

4. Yetkili İsim Sunucusu (Authoritative Name Server)

Hiyerarşinin son durağı olan yetkili isim sunucusu, alan adına ait resmi DNS kayıtlarını (A, CNAME, MX vb.) fiziksel olarak barındıran sunucudur. Alan adının satın alındığı alan adı kayıt kuruluşunda (registrar) veya Cloudflare, AWS Route 53 gibi özel DNS yönetim sağlayıcılarında barındırılır. Yetkili sunucu, sorgulanan alan adının güncel IP adresini DNS çözümleyiciye iletir. Çözümleyici bu yanıtı istemciye ulaştırır, belirlenen TTL süresi boyunca önbelleğe alır ve istemci hedef web sunucusuyla TCP/IP el sıkışmasını (handshake) başlatır.

Temel DNS Kayıt Türleri ve Kurumsal İşlevleri

DNS bölge dosyaları (zone files), bir alan adının internet üzerindeki tüm işlevlerini yöneten metin tabanlı kayıt parametrelerinden oluşur. Kurumsal altyapıların kesintisiz ve güvenli şekilde çalışabilmesi için kullanılan temel DNS kayıt türleri şunlardır:

A ve AAAA Kayıtları (IPv4 ve IPv6 Yönlendirmeleri)

A (Address) kaydı, en temel DNS kaydı olup bir alan adını doğrudan 32 bitlik IPv4 adresine bağlar. Örneğin @@CODE0@@ adresinin @@CODE1@@ IP adresine yönlendirilmesini A kaydı sağlar. AAAA (Quad-A) kaydı ise aynı işlemi 128 bitlik yeni nesil IPv6 adresleri için gerçekleştirir. Günümüzde IPv4 adres havuzunun tükenmesi ve modern ağların IPv6 desteği gerektirmesi nedeniyle, her iki kaydın da eksiksiz tanımlanması global erişilebilirlik açısından standart bir gerekliliktir.

CNAME Kaydı (Kurallı Ad Yönlendirmesi)

Canonical Name (CNAME) kaydı, bir alt alan adını doğrudan bir IP adresine değil, başka bir alan adına (alias) yönlendirir. Örneğin @@CODE0@@ adresini harici bir barındırma platformunda çalışan @@CODE1@@ adresine eşlemek için CNAME kullanılır. Kök alan adı (@@CODE2@@ veya @@CODE3@@) için standart CNAME kullanılamaz; bu senaryolarda DNS sağlayıcısının desteklediği CNAME Flattening veya ANAME/ALIAS teknolojileri devreye girer.

MX Kaydı (E-posta Sunucusu Yönlendirmesi)

Mail Exchanger (MX) kaydı, alan adına gönderilen kurumsal e-postaların hangi posta sunucularına (Google Workspace, Microsoft 365, şirket içi Exchange vb.) iletileceğini belirler. MX kayıtları öncelik (priority) değerleriyle çalışır. Düşük sayısal değere sahip sunucu birincil (primary) posta sunucusuyken, yüksek değere sahip sunucular yedek (backup) olarak atanır. Hatalı MX yapılandırması tüm kurumsal iletişimin ve e-posta akışının tamamen durmasına yol açar.

TXT Kaydı (Güvenlik ve Doğrulama İşlevleri)

TXT (Text) kayıtları, harici sunucuların ve doğrulama mekanizmalarının okuyabileceği metin verilerini barındırır. Alan adı sahipliğinin doğrulanması (Google Search Console, SSL sertifika doğrulama süreçleri) ve kurumsal e-posta güvenliği protokolleri bu kayıt üzerinden yönetilir:

• SPF (Sender Policy Framework): Alan adı adına hangi IP adreslerinin e-posta gönderebileceğini tanımlar.

• DKIM (DomainKeys Identified Mail): E-postaların iletim sırasında değiştirilmediğini doğrulayan kriptografik imza genel anahtarını barındırır.

• DMARC (Domain-based Message Authentication): SPF ve DKIM politikalarının nasıl uygulanacağını belirler ve kimlik avı (phishing) saldırılarını engeller.

DNS Güvenliği: Kurumsal Ağlarda Karşılaşılan Riskler

DNS protokolü 1980'li yıllarda ilk tasarlandığında şifreleme ve kimlik doğrulama mekanizmalarından yoksun bir şekilde geliştirilmiştir. Bu mimari zafiyet, kötü niyetli aktörlerin DNS trafiğini manipüle etmesine ve kurumsal altyapılara ciddi siber saldırılar düzenlemesine olanak tanımaktadır:

DNS Önbellek Zehirlenmesi (DNS Spoofing / Cache Poisoning)

Saldırganların DNS çözümleyicilerin önbelleğine sahte IP eşleştirmeleri enjekte etmesi işlemidir. Bu saldırı başarılı olduğunda, kullanıcılar bankacılık veya kurumsal oturum açma sayfalarına gitmek istediklerinde farkında olmadan birebir kopyalanmış sahte web sitelerine (phishing) yönlendirilir. Veri sızıntısı ve kimlik avı saldırılarının önemli bir bölümü bu yöntemle icra edilir.

DNS Yönlendirme İhlalleri (DNS Hijacking)

Kayıt kuruluşu (registrar) hesaplarının ele geçirilmesi veya yetkili isim sunucularının ele geçirilmesi yoluyla alan adının tüm NS kayıtlarının yetkisiz üçüncü taraf sunuculara yönlendirilmesidir. DNS hijacking vakalarında saldırganlar sadece web trafiğini değil, MX kayıtlarını da ele geçirerek kurumsal e-posta iletişimini tamamen dinleyebilir veya taklit edebilir.

Dağıtık Hizmet Engelleme (DDoS) ve DNS Amplification

DNS sunucularına yönelik doğrudan DDoS saldırıları, sunucunun aşırı yüklenerek meşru sorgulara yanıt veremez hale gelmesine (erişim reddi) neden olur. Ayrıca DNS Amplification (Yükseltme) saldırılarında, savunmasız açık DNS çözümleyiciler kullanılarak küçük sorgularla hedef sunuculara devasa boyutlarda sahte yanıt paketleri fırlatılır ve hedef ağın bant genişliği tamamen kilitlenir.

DNSSEC (DNS Security Extensions) Kullanımının Önemi

DNSSEC, DNS yanıtlarına açık anahtarlı kriptografi (kriptografik dijital imzalar - RRSIG) ekleyerek çözümleyicinin aldığı yanıtın gerçekten yetkili sunucudan gelip gelmediğini ve yolda değiştirilip değiştirilmediğini doğrulamasını sağlar. DNSSEC, DNS zehirlenmesi ve aradaki adam (MitM) saldırılarını engellemede temel savunma katmanıdır.

DNS Önbelleği (Cache) Nedir ve Neden Temizlenmelidir?

DNS önbelleği (DNS Cache), daha önce çözümlenmiş alan adı ve IP eşleştirmelerinin işletim sisteminde (Windows, macOS, Linux), tarayıcılarda (Chrome, Firefox) ve yerel ağ yönlendiricilerinde (Router) geçici olarak saklandığı bellek alanıdır. Önbelleğin temel amacı, her web sitesi isteğinde kök ve yetkili sunuculara tekrar sorgu göndermeyerek ağ trafiğini azaltmak ve sayfa yükleme sürelerini hızlandırmaktır.

Her DNS kaydının bir TTL (Time to Live - Yaşam Süresi) değeri bulunur. Saniye cinsinden belirlenen bu süre (örneğin 300 saniye = 5 dakika, 86400 saniye = 24 saat), ilgili kaydın önbellekte ne kadar süreyle geçerli kabul edileceğini tanımlar. TTL süresi dolana kadar istemciler doğrudan yerel önbellekteki veriyi okur.

Bir web sitesi yeni bir sunucuya taşındığında veya DNS kayıtları güncellendiğinde, istemciler önbelleklerindeki eski IP adresine gitmeye çalışabilir. Bu durum "Siteye ulaşılamıyor", SSL sertifika uyuşmazlığı veya sitenin eski sürümünün yüklenmesi gibi sorunlara yol açar. Bu tür aksaklıkların giderilmesi için yerel işletim sistemi üzerinde DNS önbelleğinin temizlenmesi (DNS Flush) gerekir.

Sık Karşılaşılan DNS Hataları ve Profesyonel Çözüm Yaklaşımları

Web projelerinin yayınlanması, alan adı transferleri ve altyapı güncellemeleri sırasında karşılaşılan DNS kaynaklı erişim engelleri operasyonel kayıplara neden olur. En yaygın DNS hataları ve bunların kurumsal çözüm yaklaşımları şunlardır:

"DNS Sunucusu Yanıt Vermiyor" (DNS Server Not Responding)

İstemcinin yapılandırılmış olan DNS çözümleyici sunucusuyla iletişim kuramadığını gösterir.

• Nedenleri: İnternet servis sağlayıcısının DNS sunucularındaki arızalar, yerel ağ yönlendiricisindeki (modem/router) kilitlenmeler, hatalı güvenlik duvarı (firewall) kuralları veya antivirüs yazılımlarının DNS portunu (Port 53 UDP/TCP) engellemesi.

• Çözüm: Yerel ağ bağdaştırıcısı üzerinde DNS adresleri Cloudflare (@@CODE0@@ - @@CODE1@@) veya Google (@@CODE2@@ - @@CODE3@@) gibi güvenilir Anycast genel DNS adresleriyle değiştirilmeli, ağ yönlendiricisi yeniden başlatılmalı ve komut satırından ipconfig /flushdns çalıştırılmalıdır.

DNSPROBEFINISHED_NXDOMAIN Hatası

NXDOMAIN (Non-Existent Domain), sorgulanan alan adının yetkili DNS sunucularında hiçbir kaydının bulunmadığını ifade eden standart bir DNS yanıt kodudur.

• Nedenleri: Alan adının süresinin dolması (expired), alan adı kayıt kuruluşunda NS yönlendirmelerinin yapılmamış olması, DNS bölge dosyasında kök (@) A kaydının eksikliği veya alan adı yazım hataları.

• Çözüm: whois sorgulaması ile alan adının aktiflik durumu kontrol edilmeli, alan adı yönetim panelinden Name Server (NS) kayıtlarının doğru yetkili sunuculara işaret ettiği doğrulanmalı ve bölge dosyasındaki A/CNAME kayıtları test edilmelidir.