Gyro DNS'te DNSSEC: açma, DS kaydını kayıt firmasına girme ve güvenli kapatma
1. DNSSEC nedir?
DNSSEC, DNS yanıtlarınızı dijital olarak imzalar. Doğrulama yapan çözümleyiciler (birçok internet sağlayıcısı ve 1.1.1.1, 8.8.8.8 gibi genel çözümleyiciler) imzayı kontrol eder; yolda değiştirilmiş ya da sahte bir yanıtı reddeder. Böylece ziyaretçileriniz sahte bir IP adresine yönlendirilemez.
DNSSEC iki parçadan oluşur:
- Zone imzası: Gyro DNS zone'unuzu imzalar (ECDSA P-256). Bunu panelden açarsınız.
- DS kaydı: imzanın sizin olduğunu üst alan adına (ör.
.com) bildiren kayıt. Bunu alan adının kayıtlı olduğu firmaya girersiniz.
DS kaydı girilene kadar zone imzalı ama zincir kurulmamıştır; bu durum hiçbir şeyi bozmaz.
2. Başlamadan önce
- Zone yayında olmalı ve alan adının ad sunucuları Gyro DNS'i göstermelidir. Ad sunucuları başka yerdeyken DS kaydı girmeyin.
- Zone'da ALIAS kaydı varsa DNSSEC açılamaz; ALIAS ile DNSSEC birlikte desteklenmez. ALIAS'ı A/AAAA kayıtlarına çevirin ya da DNSSEC'i açmayın.
- Kayıt firmanızın DNSSEC desteklediğinden emin olun (çoğu firma "DNSSEC", "DS kaydı" ya da "Güvenlik" başlığı altında sunar).
3. DNSSEC'i açın
- Gyro DNS hizmetinizde Yönetim → DNSSEC'i açın.
- Zone seçicisinden zone'u seçin.
- DNSSEC'i aç'a basın. Durum DNSSEC açık olur.
- Kayıt firmasına girilecek DS kayıtları başlığı altında DS satırları görünür; kopyalama düğmesiyle alın.
DS satırı dört parçadan oluşur, örnek:
12345 13 2 9F86D081884C7D659A2FEAA0C55AD015A3BF4F1B2B0B822CD15D6C15B0F00A08
| Parça | Anlamı |
|---|---|
12345 |
Anahtar etiketi (key tag) |
13 |
Algoritma (ECDSA P-256 SHA-256) |
2 |
Özet türü: 2 = SHA-256, 4 = SHA-384 |
| Kalan uzun değer | Özet (digest) |
Genellikle SHA-256 (tip 2) satırı yeterlidir. Kayıt firması bazen DS yerine anahtarın kendisini (DNSKEY) ister; o durumda bayrak 257, protokol 3, algoritma 13 ve açık anahtarı girin (bu değerler gyro dns dnssec status çıktısında da yer alır).
4. DS kaydını kayıt firmasına girin
Alan adınız Gyro Hosting'de kayıtlıysa: DS satırını (tip 2) bir destek talebiyle iletin; ekibimiz alan adınıza ekler ve talepte bildirir.
Alan adınız başka bir firmadaysa:
- Kayıt firmanızın paneline girip alan adını açın.
- DNSSEC ya da DS kayıtları bölümünü bulun.
- Yeni DS kaydı ekleyin: Anahtar etiketi
12345, Algoritma13, Özet türü2, Özet değeri (panelden kopyaladığınız uzun değer). - Kaydedin.
Üst alan adının DS'yi yayınlaması dakikalar ile birkaç saat sürebilir.
Değeri elle yazmayın, kopyalayın. Yanlış bir DS kaydı, doğrulama yapan çözümleyicilerde alan adınızın tamamen çözülemez olmasına yol açar (site ve e-posta dahil).
5. Çalıştığını doğrulayın
# Üst alan adında DS görünüyor mu?
dig +short DS ornekfirma.com @1.1.1.1
# Doğrulayan çözümleyici yanıtı onaylıyor mu? ("flags" satırında "ad" bayrağını arayın)
dig +dnssec ornekfirma.com A @1.1.1.1
ad (authenticated data) bayrağı görünüyorsa zincir tamamdır. İsterseniz alan adınızı DNSSEC analiz sitelerinde (ör. "DNSViz") de kontrol edebilirsiniz.
6. DNSSEC'i güvenli kapatma
Kapatma sırası önemlidir: önce DS, sonra imza.
- Kayıt firmanızdaki DS kaydını silin (Gyro'da kayıtlıysa destek talebiyle isteyin).
- En az 2 gün bekleyin. DS kaydı çözümleyicilerin önbelleğinden bu sürede düşer.
dig +short DS ornekfirma.com @1.1.1.1boş dönüyorsa Gyro DNS'te Yönetim → DNSSEC'e girip DNSSEC'i kapat'a basın.
DS kaydı kayıt firmasında dururken DNSSEC'i Gyro DNS'te kapatırsanız doğrulayan çözümleyiciler yanıtlarınızı reddeder ve alan adınız tamamen çözülemez olur. Gyro DNS'ten başka bir DNS sağlayıcısına geçerken de aynı sırayı izleyin.
7. Sık sorulan sorular
DNSSEC'i açmak sitemi yavaşlatır mı?
Fark edilir bir etkisi yoktur. Yanıtlar biraz büyür, ama ziyaretçi tarafında hissedilmez.
DNSSEC açıkken kayıt ekleyip değiştirebilir miyim?
Evet. Her değişiklik otomatik imzalanır; sizin bir şey yapmanız gerekmez.
DNSSEC hangi pakette var?
Gyro DNS Ücretsiz ve Pro paketlerinin ikisinde de vardır.
Zone'da ALIAS kaydım var, neden DNSSEC'i açamıyorum?
ALIAS ile DNSSEC birlikte desteklenmez. Kökteki ALIAS'ı hedef sunucunun IP'sini gösteren A/AAAA kayıtlarına çevirirseniz DNSSEC'i açabilirsiniz.
Hosting hesabımdan gelen (salt okunur) zone'da DNSSEC açabilir miyim?
Hayır, DNSSEC aracı yalnız Gyro DNS'te eklediğiniz zone'larda çalışır.
DNSSEC'i Terraform'da tek satırla açabilirsiniz: gyro_dns_zone kaynağında dnssec = true yazın, ds_records çıktısını kayıt firmasına girin. Ayrıntı: Gyro DNS'i API, CLI ve Terraform ile yönetin.
Sıradaki adım
- Kesintiye karşı önlem alın: Sağlık kontrollü DNS kaydı
- Paketler ve fiyatlar: Gyro DNS
Geri bildiriminiz için teşekkürler!