İçeriğe atla
Bilgi Merkezi/Makale
Makale

DNS Nedir, Nasıl Çalışır? DNS Sunucusu ve Kayıt Türleri

Alan adının IP adresine nasıl çevrildiğini, çözümleyici ile yetkili sunucu farkını, kayıt türlerini, kurumda DNS'i ve DNS güvenliğini anlattık.

Oğuzhan Gerçek··8 dk okuma
DNS Nedir, Nasıl Çalışır? DNS Sunucusu ve Kayıt Türleri

Kısa cevap: DNS (Domain Name System, alan adı sistemi), example.com gibi alan adlarını IP adreslerine çeviren, dünyaya dağılmış hiyerarşik bir ad sistemidir. Cihaz cevabı önbellekte bulamazsa bir çözümleyiciye (recursive resolver) sorar; çözümleyici kök, TLD ve yetkili (authoritative) sunucuya sırayla gider ve cevabı TTL süresi boyunca saklar. Neyin saklandığını kayıt türü belirler: IPv4 adresi için A, IPv6 için AAAA, e-posta sunucusu için MX. Kurumlarda Active Directory de DNS'e dayanır. DNSSEC cevabın değiştirilmediğini doğrular, DoT ve DoH sorguyu şifreler.

DNS nedir?

DNS'in temel tanımı Kasım 1987 tarihli RFC 1034 ve RFC 1035 belgelerinde; ikisi bugün de İnternet Standardı (STD 13). RFC 1034 sistemi üç bileşene ayırıyor: ağaç biçimindeki ad alanı ve adlara bağlı kayıtlar (resource record), bu bilgiyi tutan ad sunucuları (name server) ve istemcinin isteği üzerine ad sunucularından bilgi çeken çözümleyiciler (resolver).

DNS, Microsoft'un Türkçe belgelerinde Etki Alanı Adı Sistemi diye geçer. Cihazın kendi IP adresini nasıl aldığını DHCP yazımızda, paketin yolunu nasıl bulduğunu router yazımızda anlattık.

DNS nasıl çalışır? Bir sorgunun yolu

Cloudflare'in anlattığı tipik bir sorgu, önbellekte cevap yoksa şu yolu izler:

  1. Tarayıcı adı işletim sistemindeki DNS istemcisine (stub resolver) sorar; istemci önce kendi önbelleğine bakar.
  2. Cevap yoksa sorgu cihazda tanımlı çözümleyiciye gider; bu adres elle girilir ya da DHCP ile gelir (RFC 2132, 6 numaralı seçenek).
  3. Çözümleyici kök sunucuya sorar; kök, .com gibi üst düzey alanın (TLD) sunucusunu gösterir.
  4. TLD sunucusu, alan adının yetkili sunucusunu gösterir.
  5. Yetkili sunucu IP adresini verir; çözümleyici onu tarayıcıya iletir ve önbelleğe yazar.

Cihazın sorgusu recursive'dir: cevabı ya da hata mesajını bekler. Kök ve TLD sunucuları ise iterative çalışır: bilmedikleri adı bir alt katmandan sorumlu sunucuya yönlendirirler. DNS, RFC 1035'e göre UDP ve TCP'de 53 numaralı portu kullanır (port yazımız).

Önbellek ve TTL: DNS değişikliği neden hemen görünmez?

RFC 1034'e göre TTL, bir kaydın atılmadan önce ne kadar süre önbellekte tutulabileceğini belirler. Kayıt değişse de çözümleyiciler eski cevabı bu süre dolana kadar verebilir. RFC 2308'e göre "böyle bir ad yok" (NXDOMAIN) cevabı da önbelleğe alınır ve süresi SOA kaydından gelir.

AWS'nin Route 53 rehberi TTL seçimini bir ödünleşim olarak anlatıyor. Kısa TTL değişikliği hızlı yayar ama sorgu sayısını artırır; uzun TTL'de cevap daha sık önbellekten gelir, bu da genellikle daha hızlı ve daha ucuzdur. NS ve MX gibi seyrek değişen kayıtlarda bir saat ile bir gün arası, failover'da kullanılan kayıtlarda 60 ya da 120 saniye yaygın. AWS, kritik değişikliklerden önce TTL değerini geçici olarak kısaltmayı öneriyor.

DNS sunucusu nedir? Çözümleyici, kök, TLD ve yetkili sunucu

Cloudflare'e göre DNS sunucuları dört gruba ayrılır:

  • Çözümleyici (recursive resolver): Sorgunun ilk durağı. İstemci adına öteki sunuculara sorar ve cevabı önbelleğe alır.
  • Kök sunucu (root): IANA'ya göre kök bölgede 13 adlı otorite olarak tanımlı. root-servers.org'a göre bu 13 adın arkasında, 13 Ekim 2026 itibarıyla 12 bağımsız işletmecinin çalıştırdığı 2.047 kopya (instance) var.
  • TLD sunucusu: RFC 9499'un tanımıyla TLD, kökün bir altındaki bölgedir (zone): "com" ya da "jp" gibi.
  • Yetkili sunucu (authoritative): Bir bölgenin içeriğini başka sunucuya sormadan bilen sunucu; zincirin son halkası.

Yetkili sunucunun ikincil (secondary) kopyası, bölgeyi birincilden bölge aktarımıyla (zone transfer) alır. RFC 2182 (BCP 16) her bölge için en az iki sunucunun zorunlu olduğunu hatırlatıyor ve ikincillerin topolojik ve coğrafi olarak dağıtılmasını istiyor.

DNS kayıt türleri

Sık kullanılan türler ve IANA'nın kayıt listesindeki RFC'leri şunlar:

  • A (RFC 1035): Adın IPv4 adresi.
  • AAAA (RFC 3596): Adın IPv6 adresi.
  • CNAME (RFC 1035): Takma adı asıl (kanonik) ada bağlar. RFC 1034'e göre CNAME bulunan adda başka veri olmamalı; AWS'ye göre alan adının kendisi (zone apex) CNAME olamaz.
  • MX (RFC 1035): Alanın postasını kabul eden sunucu.
  • TXT (RFC 1035): Serbest metin. RFC 7208'e göre SPF yalnızca TXT kaydı olarak yayımlanır; MX, SPF, DKIM ve DMARC'ı kurumsal e-posta yazımızda anlattık.
  • NS ve SOA (RFC 1035): Bölgenin yetkili ad sunucuları ve bölgenin başlangıcı.
  • PTR (RFC 1035): IP adresinden ada ters çözümleme; IPv4'te in-addr.arpa, IPv6'da ip6.arpa (RFC 3596) alanında.
  • SRV (RFC 2782): Belirli bir protokol ve alan için hizmeti veren sunucuların yeri.
  • CAA (RFC 8659): Alan adına sertifika vermeye yetkili sertifika otoriteleri (SSL yazımız).

Kurumda DNS: iç ve dış DNS, Active Directory

Kurumsal bir ağda aynı alan adı içeriden ve dışarıdan farklı görünebilir: RFC 9499'a göre split DNS'te (split-horizon) yetkili sunucular, sorgunun kaynağına göre kısmen ya da tamamen farklı cevap verir. Microsoft'un örneğinde bir kariyer sitesine iç kullanıcılar iç IP adresinden, internetteki kullanıcılar genel IP adresinden ulaşıyor.

Microsoft'a göre DNS, Active Directory Etki Alanı Hizmetleri (AD DS) için vazgeçilmez: oturum açan istemci, etki alanı denetleyicisini DNS'e sorarak bulur. DC locator belgesine göre denetleyiciler DNS'e SRV kayıtları yazar; Windows Server 2025'ten itibaren NetBIOS tabanlı arama varsayılan olarak kapalı. İç ve dış DNS tasarımını ağ ve trafik mühendisliği, DNS sunucularının işletimini altyapı yönetimi hizmetimizde ele alıyoruz.

DNS güvenliği: önbellek zehirleme, DNSSEC, DoT ve DoH

Cloudflare'in tanımıyla önbellek zehirleme (DNS spoofing), bir DNS önbelleğine sahte bilgi sokmaktır. RFC 5452 (Ocak 2009), sahte cevabın soruyla, 16 bitlik ID alanıyla, adresle ve portla eşleşmesi gerektiğini yazıyor; önbellekli sunucu bir kez kabul ettiği sahte cevabı tekrarlamaya devam eder. RFC bu yüzden çözümleyicinin tahmin edilemeyen bir kaynak port kullanmasını zorunlu tutuyor.

DNSSEC (RFC 4033-4035, Mart 2005), cevabın bölgenin sahibinden geldiğini ve yolda değişmediğini imzayla doğrular. RFC 4033'e göre gizlilik sağlamaz, hizmet engelleme saldırılarına karşı da korumaz. Şifrelemeyi iki ayrı protokol üstlenir: DoT (RFC 7858, Mayıs 2016) cihaz ile çözümleyici arasındaki sorguyu 853 numaralı portta TLS ile, DoH (RFC 8484, Ekim 2018) HTTPS ile taşır. Cloudflare'e göre ağ yöneticisi DoT'u izleyip engelleyebilir, ama 443 numaralı portu kullanan DoH sıradan HTTPS trafiğinin içinde kaybolur. NSA'ya göre tarayıcılar şifreli DNS ile kurumun DNS tabanlı savunmalarını atlayabilir. NSA, Ocak 2021'de kurum DNS trafiğinin yalnızca belirlenen kurum çözümleyicisine gönderilmesini ve ötekilerin engellenmesini önerdi.

DNS'e bağlı riskler: ele geçirilen hesap, DDoS ve kesinti

DNS kayıtlarını değiştirebilen hesap, trafiğin nereye gideceğini belirler. CISA'nın ED 19-01 direktifinden türettiği rehbere göre saldırgan böyle bir hesabı ele geçirince hizmetin meşru adresini kendi adresiyle değiştirebiliyor, alan adına geçerli sertifika alıp yönlendirdiği trafiği çözebiliyor. CISA kayıtların denetlenmesini, bu hesaplarda parola değişikliğini ve MFA'yı, Certificate Transparency kayıtlarının izlenmesini öneriyor. Herkese açık çözümleyicilerin (open resolver) DDoS'ta yansıtıcı olarak kullanılmasını DDoS yazımızda anlattık; bu katmanı ağ koruması hizmetimizde ele alıyoruz.

Bozuk bir DNS kaydı, arkasındaki hizmete ulaşılmasını tek başına engelleyebilir. AWS'nin resmî özetine göre 19 Ekim 2025'te 23:48'de (PDT) DynamoDB'nin DNS yönetim sistemindeki gizli bir yarış koşulu, us-east-1 bölgesindeki uç noktanın DNS kaydını boş bıraktı. Bu uç noktaya bağlanması gereken bütün sistemler DNS hatası almaya başladı. Bağımlılık tarafını üçüncü taraf kesintileri yazımızda ele aldık.

Sık sorulan sorular

DNS ne demek? Domain Name System, yani alan adı sistemi demek; Microsoft'un Türkçe belgelerinde Etki Alanı Adı Sistemi olarak geçer. Alan adlarını IP adreslerine çevirir.

DNS sunucusu nedir? Alan adı sorgularına cevap veren sunucudur: çözümleyici cevabı istemci adına arar, yetkili sunucu alanın kayıtlarını kendi bilgisinden verir.

DNS ne işe yarar? İnsanların hatırladığı adları cihazların kullandığı IP adreslerine çevirir. E-postanın hangi sunucuya gideceği ve Active Directory'de etki alanı denetleyicisinin bulunması da DNS kayıtlarına dayanır.

DNS ile DHCP arasındaki fark nedir? DNS adı IP adresine çevirir. DHCP ise cihaza IP adresini ve kullanacağı DNS sunucusunu da içeren ağ ayarlarını verir.

Kaynaklar