DNSSEC nedir?

Kısa cevap

DNSSEC (DNS Security Extensions), DNS yanıtlarının dijital imzayla doğrulanmasını sağlayan güvenlik uzantılarıdır (RFC 4033). Zone'un kayıtları private key ile imzalanır; doğrulama yapan resolver imzayı public key ile kontrol eder ve chain of trust'ı üst zone'daki DS kaydından alt zone'a doğru kurar. Böylece yolda değiştirilmiş ya da sahte yanıtlar reddedilir. DNSSEC gizlilik sağlamaz; yanıtlar şifrelenmez, yalnızca doğrulanır. TR7 GTM'de DNSSEC domain başına DNSSEC anahtarıyla açılır (varsayılan Disabled); açıldıktan sonra Domains listesindeki DNSSEC kilidine tıklanarak açılan DNSSEC Info for penceresinde üst zone'a iletilecek DS records tablosu ve DNS KEY satırı gösterilir.

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
GTM → GTM Services → servis adı → Domains → Add / Edit	DNSSEC (Enabled / Disabled, varsayılan Disabled)	Domain bazında imzalamayı açma ya da kapatma
GTM → GTM Services → servis adı → Domains (liste)	DNSSEC kolonu: DNSSEC açıksa yeşil kilit, kapalıysa gri açık kilit	Hangi domain'lerin imzalı olduğunu görme
Aynı liste → yeşil kilit	DNSSEC Info for penceresi: DS Records (Key tag, Algorithm, Digest type, Digest) ve DNS KEY (DNSSEC)	Registrar'a iletilecek DS değerleri ve zone'un public key'i

TR7'de DNSSEC'i Açmak

1. Domain'in formunda DNSSEC Enabled yapılır ve form kaydedilir; zone'un anahtarları üretilir ve kayıtlar imzalanır.
2. Domains listesindeki yeşil kilide tıklanır; DNSSEC info penceresindeki DS records değerleri registrar'a girilir.
3. Cluster'da her cihaz zone'u kendi anahtarıyla imzalar ve pencere her cihaz için ayrı bir DS tablosu gösterir; yanıtı hangi cihaz verirse versin doğrulanabilmesi için iki tablodaki DS kayıtları da üst zone'a iletilir.

• Bir DNS Forwarder Profiles profili atanmış serviste, üst sunuculara iletilen sorguların yanıtlarındaki DNSSEC kayıtları istemciye aktarılır ama doğrulanmaz.

Sık Karıştırılan Noktalar

• "DNSSEC DNS trafiğini şifreler." DNSSEC yalnızca doğrular; yanıtlar okunabilir kalır.
• "DNSSEC'i TR7'de açmak yeterlidir." DS kaydı üst zone'a, yani registrar'a iletilmeden chain of trust kurulmaz (DS kaydı nedir; DNSSEC'te neden registrar'a iletilir?).
• "Cluster'da tek DS kaydı yeterlidir." İki cihaz farklı anahtarla imzaladığından iki cihazın DS kayıtları da yayımlanır.

Dokümantasyonda nasıl yapılır

• Domains · DNSSEC
• Domains · Domains listeleme ekranı

İlgili sorular

• DS kaydı nedir; DNSSEC'te neden registrar'a iletilir?
• DNSKEY, RRSIG ve NSEC kayıtları nedir?
• Authoritative DNS sunucusu ile recursive resolver arasındaki fark nedir?