DNSSEC, DNS yanıtlarının doğruluğunu imzalar üzerinden kontrol etmeye yardımcı olur. Site dosyalarını şifrelemez ve HTTPS sertifikasının yerini almaz. Kurulumun iki tarafı vardır: DNS sağlayıcısı bölgeyi imzalar; kayıt operatöründe ilgili DS bilgisi üst bölgeye iletilir. Yalnızca panelde bir anahtarı açmak, bütün doğrulama zincirinin çalıştığını göstermeyebilir. Bu rehber, kendi alan adınızda desteklenen bir DNSSEC kurulumunu kontrollü biçimde yapmak içindir.
Ön hazırlık
Yetkili nameserverları ve DNS bölgesini hangi firmada yönettiğinizi belirleyin. Kayıt operatörünüzün ilgili uzantı için DS ekleme yöntemini kontrol edin. DNS ve domain yönetim hesaplarına erişiminiz yoksa işlemi yetkili kişiye aktarın. Mevcut DS kaydını ve DNSSEC durumunu kaydedin; önceden çalışan bir kurulum üzerine rastgele ikinci anahtar eklemeyin. Otomatik anahtar yönetimi varsa sağlayıcının güncel talimatını izleyin.
Kurulum adımları
DNS sağlayıcınızın DNSSEC desteğini ve alan adının aktif bölgesini doğrulayın. Aynı adı içeren eski bir hesapta imzalamayı açmanız canlı bölgeyi değiştirmez. Nameserver sorgusu ve sağlayıcının alan adı durumu birlikte kontrol edilmelidir. Henüz nameserver taşıması sürüyorsa önce geçiş planını tamamlayın; iki değişikliği sonuçlarını ayıramayacağınız biçimde aynı anda başlatmayın.
Sağlayıcının sunduğu imzalama işlemini başlatın. Oluşturulan DS alanlarını eksiksiz kaydedin: anahtar etiketi, algoritma, özet türü ve özet değeri birbirinin yerine kullanılamaz. Bazı arayüzler bütün DS satırını, bazıları ayrı kutuları ister. Örnek bir rehberde gördüğünüz sayısal değerleri kendi domaininize kopyalamayın; her kurulumun gerçek anahtarı esas alınmalıdır.
Kayıt operatöründe doğru alan adının DNSSEC bölümünü açın ve sağlayıcının verdiği DS bilgisini girin. Bu işlem normal TXT kaydı eklemek değildir. Domain sahibi hesabıyla yetkili işlem yaptığınızdan emin olun. Kaydedilen değerleri yeniden okuyup özellikle uzun özet alanını karşılaştırın. Destek aracılığıyla işlem yapılıyorsa tamamlandığına ilişkin kayıt ve uygulanan değerleri isteyin.
Yetkili DNS yanıtında DNSKEY ve imza bilgilerini, üst bölgedeki DS kaydını kontrol edin. Ardından DNSSEC doğrulayan bir çözümleyici veya zinciri inceleyen bir araç kullanın.
dig +dnssecçıktısında imza bulunması tek başına bütün zincirin başarılı doğrulandığı anlamına gelmez. Yanıtın kaynağı, doğrulama durumu ve varsa hata açıklaması birlikte değerlendirilmelidir.
Başarıyı nasıl anlarsınız?
Normal DNS sorgusu beklenen web adresini döndürmeli; doğrulama aracı DS, DNSKEY ve imzalar arasında uyumsuzluk göstermemelidir. HTTPS sayfasını ve e-posta çözümlemesini ayrıca deneyin. İşlem saati, kullanılan nameserverlar ve kontrol sonuçlarını not edin. Bir doğrulayan çözümleyicide SERVFAIL, başka birinde başarılı yanıt görülüyorsa yalnızca çalışan sonucu seçip kurulumu tamamlandı saymayın; doğrulama zincirindeki hatayı araştırın.
Taşıma ve sorun giderme
DNS sağlayıcısı değiştirildiğinde eski DS ile yeni sağlayıcının anahtarı uyuşmayabilir. Standart geçişte önce kayıt operatöründeki DS kaldırılır, eski bölge imzalamayı sürdürür ve üst bölgedeki DS önbellek süresinin dolması beklenir. Sonraki adımlar sağlayıcının geçiş yöntemine göre yürütülür. Yeni bölge hazır olduğunda yeni DS kurulup tekrar doğrulanır. Özel çoklu imzalayıcı işlemleri ayrı bir plan gerektirir; gelişigüzel anahtar değişimi yapmayın.
Sık sorulan sorular
DNSSEC açıkken neden bazı kullanıcılar siteye ulaşamıyor?
Yanlış veya eski DS, anahtar değişikliği ya da imza sorunu doğrulayan çözümleyicilerde hataya yol açabilir. Alan adını, yetkili nameserverı ve hata saatini destek ekibine iletin. SSL yenilemek DNSSEC zincirindeki hatayı düzeltmez; doğru katmanda inceleme gerekir.
DNSSEC kapatmak için yalnızca DNS panelindeki düğmeyi kapatayım mı?
Üst bölgede DS varken imzalamayı durdurmak erişimi bozabilir. Sağlayıcının kaldırma sırasını uygulayın; DS kaldırılması ve önbelleklerin sona ermesi doğrulandıktan sonra gerekli diğer değişiklikleri yapın. Sabit bir bekleme süresinin bütün domainlerde geçerli olduğunu varsaymayın.
İlgili işlemler
Müşteri paneliniz üzerinden hizmetinizi ve destek taleplerinizi açabilir, bilgi bankasında diğer rehberlere ulaşabilirsiniz. Yeni bir hizmet için hosting paketlerini ve alan adı seçeneklerini inceleyin.
Resmî kaynaklar
Süreç özeti
DNSSEC nasıl etkinleştirilir ve DS kaydı doğrulanır?
| Adım | Kontrol |
|---|---|
| 1 | DNS sağlayıcısını doğrula |
| 2 | İmzalamayı etkinleştir |
| 3 | DS kaydını operatöre ekle |
| 4 | Doğrulama zincirini test et |