DNSSEC I: Güven Zinciri

Kavram

DNSSEC, DNS yanıtlarına kriptografik imza ekleyerek çözümleyicinin yanıtın gerçekten iddia edilen yetkili kaynaktan geldiğini ve yolda değiştirilmediğini doğrulamasını sağlar. Güven zinciri, kök zondan aşağıya, her delegasyon seviyesindeki DS kayıtları (Delegation Signer) üzerinden son zonun DNSKEY'ine kadar kurulur. Zincirdeki tek bir halka bile eksik veya bozuksa, doğrulama tamamen başarısız olur.

Yaygın Yanlış Anlama

"DNSSEC'i açtım, iş bitti." Zon imzalamayı açmak işin sadece yarısıdır. DS kaydı üst zonda yayınlanmadan (genellikle kayıt firmasında ayrı, çoğu zaman manuel bir adım) tam güven zinciri kurulmaz ve doğrulayan çözümleyiciler bunu göremez.

Uygulamalı Alıştırma

Mevcut durumu kontrol etmek için laboratuvar ortamı zorunlu değil:

• marinadns.io/dnssec — zonunuzun imzalı olup olmadığını ve DS → DNSKEY zincirinin geçerli olup olmadığını kontrol eder.
• NODA (noda.marinadns.io) — DNSSEC Check (CAT-SEC) — domain skorlaması içinde aynısını yapar.

DNSSEC'i açma, üst zonda DS kaydının belirmesini izleme ve delv ile tam zincir doğrulaması alıştırması için bkz. Laboratuvar Ortamı sayfasındaki Ders 5.

Çalıştırılacak Komutlar

# İmzalamadan önce: henüz DNSKEY olmadığını doğrulayın
dig yourdomain.com DNSKEY +short

# Sağlayıcı panelinden DNSSEC'i etkinleştirin (Cloudflare/Route53/çoğu modern sağlayıcıda tek tıkla), ardından:
dig yourdomain.com DNSKEY +short
dig yourdomain.com DS +short          # ÜST ZONDAN sorgulanır

# Tam zincir doğrulaması (doğrulayan bir çözümleyici gerektirir)
delv yourdomain.com A                 # delv "fully validated" der veya zincirin tam olarak nerede koptuğunu gösterir

# Herkese açık, doğrulayan bir çözümleyicinin de aynı fikirde olduğunu doğrulayın
dig @1.1.1.1 yourdomain.com A +dnssec +cd    # AD bayrağının varlığı = doğrulandı