DNS Nedir, Nasıl Çalışır? A, CNAME, MX ve TXT Kayıtları

İnternette her sunucu ve cihaz sayısal bir IP adresiyle tanınır. İnsanlar ise 203.0.113.10 gibi sayıları değil, alanadiniz.com gibi adları hatırlar. DNS (Domain Name System, Alan Adı Sistemi), alan adlarını IP adreslerine ve diğer bilgilere çeviren dağıtık bir sistemdir. Tarayıcıya bir alan adı yazdığınızda, e-posta gönderdiğinizde veya bir uygulama bir sunucuya bağlandığında arka planda önce bir DNS sorgusu yapılır.

Bu rehberde DNS’in nasıl çalıştığını, en sık kullanılan kayıt türlerini ve DNS değişikliklerinin neden hemen her yerde görünmediğini anlatıyoruz.

DNS nasıl çalışır?

DNS tek bir merkezde tutulan bir liste değildir. Kayıtlar hiyerarşik olarak dağıtılmıştır ve her seviye bir alttaki seviyenin nerede olduğunu bilir. Bir ziyaretçi www.alanadiniz.com adresini açtığında süreç kabaca şöyle işler:

1. Tarayıcı ve işletim sistemi önce kendi önbelleğine bakar. Adres yakın zamanda sorgulandıysa yanıt buradan gelir.
2. Önbellekte yoksa soru özyinelemeli çözümleyiciye (recursive resolver) gider. Bu genellikle internet servis sağlayıcınızın veya cihazınızda tanımlı genel bir DNS hizmetinin sunucusudur.
3. Çözümleyici, yanıt kendi önbelleğinde yoksa kök sunuculara (root) sorar. Kök sunucular, .com uzantısından sorumlu sunucuların adresini verir.
4. Çözümleyici bu kez uzantı (TLD) sunucularına sorar. Bunlar alanadiniz.com için yetkili nameserver’ların hangileri olduğunu söyler.
5. Çözümleyici son olarak yetkili nameserver’a (authoritative) sorar ve www.alanadiniz.com kaydının değerini alır.
6. Yanıt tarayıcıya iletilir ve TTL süresi boyunca çözümleyicinin önbelleğinde saklanır.

Bu adımların tamamı çoğunlukla milisaniyeler içinde tamamlanır. Önbellekleme sayesinde popüler adresler için kök ve uzantı sunucularına her seferinde gidilmez.

DNS sorguları geleneksel olarak şifrelenmeden iletilir; bu nedenle aynı ağdaki biri hangi alan adlarını sorguladığınızı görebilir. DNS over HTTPS (DoH) ve DNS over TLS (DoT) gibi yöntemler, cihaz ile çözümleyici arasındaki sorguları şifreler. Güncel tarayıcıların ve işletim sistemlerinin çoğu bu yöntemleri destekler.

Nameserver ve DNS bölgesi (zone)

Bir alan adının DNS kayıtlarının nerede tutulacağını, alan adına tanımlanan nameserver (NS) adresleri belirler. Alan adını kaydettiğiniz firmanın panelinde ns1 ve ns2 gibi adresler girersiniz. Bu adresler uzantının kayıt otoritesine bildirilir ve dünyadaki tüm çözümleyiciler alan adınızla ilgili soruları bu sunuculara yöneltir.

Alan adınıza ait tüm kayıtların toplamına DNS bölgesi (zone) denir. Bölge, nameserver’ların bulunduğu yerde yönetilir. Örneğin alan adınızı bir firmadan kaydedip nameserver’ları hosting firmanıza yönlendirdiyseniz, DNS kayıtlarını hosting firmanızın panelinden düzenlersiniz; alan adı firmasının panelindeki DNS kayıtları bu durumda etkisizdir. DNS sorunlarının önemli bir kısmı, kayıtların yanlış yerde düzenlenmesinden kaynaklanır.

Kendi alan adınızı nameserver adı olarak kullanmak istiyorsanız (ns1.alanadiniz.com gibi), bu adların IP adreslerinin uzantının kayıt otoritesine de bildirilmesi gerekir. Bu kayıtlara glue kaydı veya child nameserver denir ve alan adı kayıt firmanızın panelinden tanımlanır. Reseller hosting gibi kendi markasıyla hizmet veren işletmeler bu yöntemi sık kullanır.

Alan adı kaydı ile DNS barındırma ayrı hizmetlerdir. Alan adınız bir firmada kayıtlı olabilir, DNS’iniz ise başka bir sağlayıcıda tutulabilir. YetkinBulutNet’te kayıtlı alan adlarında DNS yönetimi ücretsizdir; başka firmada kayıtlı alan adları için de DNS Yönetimi hizmeti kullanılabilir.

En sık kullanılan DNS kayıt türleri

A ve AAAA kayıtları

A kaydı DNS’in en temel kaydıdır ve bir adı IPv4 adresine bağlar. Web sitenizi yeni bir sunucuya taşıdığınızda değiştirdiğiniz kayıt genellikle budur. Alan adının kendisi (kök ya da apex, örneğin alanadiniz.com) ve www gibi alt adlar için ayrı kayıtlar tanımlanabilir. AAAA kaydı aynı işi IPv6 adresleri için yapar. Sunucunuz IPv6 destekliyorsa iki kaydı birlikte tanımlamak, IPv6 kullanan ağlardaki ziyaretçilerin de doğrudan bağlanmasını sağlar.

CNAME kaydı

CNAME, bir adın başka bir adın takma adı olduğunu söyler. Örneğin www.alanadiniz.com için alanadiniz.com değerinde bir CNAME tanımlarsanız, ana adın IP adresi değiştiğinde www otomatik olarak yeni adrese gider. CNAME kullanırken iki kurala dikkat edin:

• Alan adının kökünde (apex) CNAME kaydı kullanılamaz, çünkü kökte zorunlu olarak NS ve SOA kayıtları bulunur. Bazı DNS sağlayıcıları bu ihtiyaç için ALIAS veya ANAME adlı özel kayıt türleri sunar.
• CNAME kaydı olan bir adda başka bir kayıt türü bulunamaz. Örneğin aynı ad için hem CNAME hem MX tanımlanamaz.

MX kaydı

MX kaydı, alan adınıza gönderilen e-postaların hangi sunucuya teslim edileceğini belirler. Her MX kaydının bir öncelik değeri vardır; sayı ne kadar küçükse öncelik o kadar yüksektir. Birincil sunucu yanıt vermezse gönderen sunucu sıradaki önceliğe geçer. MX kaydının değeri bir IP adresi değil, A veya AAAA kaydı olan bir sunucu adı olmalıdır ve bu ad bir CNAME olmamalıdır.

Web siteniz bir yerde, e-postanız başka bir yerde olabilir. Bu durumda A kaydı web sunucusunu, MX kaydı e-posta sunucusunu gösterir. Örneğin kurumsal e-posta hizmetine geçerken web sitenizin A kaydına dokunmadan yalnızca MX ve ilgili TXT kayıtlarını değiştirirsiniz.

TXT kaydı

TXT kaydı, alan adına serbest metin eklemek için kullanılır. Bugün en yaygın kullanım alanları şunlardır:

• SPF: Alan adınız adına hangi sunucuların e-posta gönderebileceğini belirtir. Bir alan adında yalnızca bir SPF kaydı bulunmalıdır.
• DKIM: E-postaların dijital imzasını doğrulamak için kullanılan açık anahtarı içerir. Genellikle seçici._domainkey biçimindeki bir alt adda yayımlanır.
• DMARC: SPF ve DKIM kontrolünden geçemeyen e-postalara ne yapılacağını belirtir ve _dmarc alt adında yayımlanır.
• Doğrulama: Arama motoru konsolları, e-posta hizmetleri ve SSL sertifika otoriteleri alan adı sahipliğini TXT kaydıyla doğrulayabilir.

NS, SOA, CAA ve PTR

NS kayıtları bölgenin yetkili sunucularını, SOA kaydı ise bölgeye ait yönetim bilgilerini (birincil sunucu, seri numarası, yenileme süreleri) tutar. CAA kaydı, alan adınız için yalnızca belirlediğiniz sertifika otoritelerinin SSL düzenleyebilmesini sağlayarak yetkisiz sertifika riskini azaltır. PTR kaydı ise bir IP adresinden ada ters çözümleme yapar. Bu kayıt alan adınızın bölgesinde değil, IP adresinin sahibi olan firma tarafından yönetilir ve e-posta sunucuları için önemlidir.

Örnek bir DNS bölgesi

Web sitesi bir hosting sunucusunda, e-postası ise ayrı bir kurumsal e-posta hizmetinde bulunan bir şirketin DNS bölgesi kabaca şöyle görünür:

Bu yapıda web sunucusu değiştiğinde yalnızca ilk satırdaki A kaydı güncellenir; www adresi CNAME sayesinde kendiliğinden yeni sunucuya gider. E-posta sağlayıcısı değiştiğinde ise A kaydına dokunulmaz, yalnızca MX ve TXT kayıtları değişir.

TTL ve DNS yayılımı

Her DNS kaydının bir TTL (Time to Live) değeri vardır. TTL, çözümleyicilerin bu kaydı önbellekte kaç saniye tutabileceğini belirtir. 3600 değeri bir saat, 86400 değeri bir gün anlamına gelir.

Bir kaydı değiştirdiğinizde yeni değer yetkili nameserver’a hemen yazılır. Ancak kaydı daha önce sorgulayan çözümleyiciler, TTL süresi dolana kadar eski değeri kullanmaya devam eder. Halk arasında "DNS yayılımı" denen bekleme süresi aslında bu önbelleklerin süresinin dolmasıdır. Bu nedenle:

• Planlı bir değişiklikten, örneğin sunucu taşımadan önce ilgili kaydın TTL değerini 300 saniye gibi düşük bir değere indirin ve eski TTL süresi kadar bekleyin.
• Değişiklik tamamlandıktan sonra TTL’i yeniden 3600 gibi daha yüksek bir değere çıkarın. Çok düşük TTL sorgu sayısını artırır ve önbelleğin faydasını azaltır.
• Nameserver değişikliklerinde uzantı sunucularındaki kayıtların TTL’i genellikle 24 ila 48 saat arasındadır ve sizin tarafınızdan değiştirilemez.

Değişikliğin farklı noktalardan nasıl göründüğünü kontrol etmek için komut satırında nslookup veya dig araçlarını kullanabilirsiniz. Örneğin dig alanadiniz.com MX komutu, alan adının MX kayıtlarını önbellekte kalan TTL süresiyle birlikte gösterir.

Benzer bir önbellekleme "kayıt yok" yanıtları için de geçerlidir. Yeni oluşturduğunuz bir alt alan adı daha önce sorgulandıysa, o andaki "böyle bir kayıt yok" yanıtı SOA kaydında belirtilen süre boyunca önbellekte tutulabilir. Bu nedenle yeni bir kaydı eklemeden önce sorgulamamak, beklemeyi kısaltır.

DNS güvenliği ve DNSSEC

Klasik DNS, yanıtların doğruluğunu kontrol eden bir mekanizmaya sahip değildir. Bu boşluk, saldırganların çözümleyici önbelleğine sahte kayıt yerleştirmesine (önbellek zehirleme) imkân tanıyabilir. DNSSEC, DNS kayıtlarını kriptografik olarak imzalar; çözümleyici yanıtın gerçekten yetkili sunucudan geldiğini ve yolda değiştirilmediğini doğrulayabilir.

DNSSEC’in çalışması için hem DNS sağlayıcısının bölgeyi imzalaması hem de alan adı kayıt firmasının DS kaydını uzantının kayıt otoritesine iletmesi gerekir. DNSSEC açıkken nameserver değiştirmek dikkat ister: eski DS kaydı kaldırılmadan yeni sağlayıcıya geçilirse alan adı, DNSSEC doğrulaması yapan ağlarda çözümlenemez hale gelebilir.

DNS kayıtlarının bulunduğu altyapı da önemlidir. Anycast yapısındaki DNS ağlarında aynı IP adresi birden çok konumdan yayınlanır ve sorgular kullanıcıya yakın bir noktadan yanıtlanır. YetkinBulutNet DNS Yönetimi hizmetinde DNSSEC desteklenir; Pro ve Kurumsal paketlerde Anycast ağ da bulunur.

Sık yapılan DNS hataları

• Kaydı yanlış panelde düzenlemek: Nameserver’lar hangi sağlayıcıyı gösteriyorsa kayıtlar orada düzenlenmelidir.
• Nameserver değiştirirken kayıtları taşımamak: Yeni sağlayıcıda MX ve TXT kayıtları eksikse e-posta trafiği durur.
• MX kaydına IP adresi yazmak: MX kaydının değeri bir sunucu adı olmalıdır. IP adresi yazılan MX kayıtları birçok gönderen sunucu tarafından geçersiz sayılır.
• Birden fazla SPF kaydı tanımlamak: İki ayrı SPF kaydı, SPF kontrolünün hata vermesine yol açar. Tüm gönderim kaynakları tek bir kayıtta birleştirilmelidir.
• Kökte CNAME kullanmaya çalışmak: Alan adının kendisi için A kaydı veya sağlayıcı destekliyorsa ALIAS kaydı kullanılmalıdır.
• Tam adın sonundaki noktayı karıştırmak: Bazı panellerde tam adın sonuna nokta konmazsa alan adı otomatik eklenir ve mail.alanadiniz.com.alanadiniz.com gibi hatalı kayıtlar oluşur.
• TTL’i hiç düşürmeden taşıma yapmak: Yüksek TTL ile yapılan değişikliklerde bazı ziyaretçiler saatlerce eski sunucuya gitmeye devam eder.
• DNSSEC’i hesaba katmadan nameserver değiştirmek: Eski DS kaydı kaldırılmazsa alan adı, doğrulama yapan ağlarda çözümlenemez.

Sonuç

DNS, alan adınızın web sitesi, e-posta ve diğer hizmetlerle bağlantısını kuran sistemdir. A kaydı sitenin, MX kaydı e-postanın nereye gideceğini belirler; TXT kayıtları ise e-posta güvenliği ve doğrulama için kullanılır. Kayıtların nerede yönetildiğini bilmek ve değişikliklerden önce TTL’i planlamak, DNS kaynaklı kesintilerin çoğunu önler. Bir değişiklik yapmadan önce mevcut bölgenin bir kopyasını almak da hatalı bir düzenlemede hızlı geri dönüş sağlar. Alan adı seçimi ve kaydı hakkında bilgi için alan adı rehberimize göz atabilirsiniz.