DNSSEC ve DNS güvenliğini ayarlama

Alan Adı Sistemi (DNS), google.com gibi kullanıcılar tarafından okunabilen alan adlarını 172.217.3.206 gibi bir web sitesinin makine tarafından okunabilen IP adresine çevirir. Alanınızda önbellek zehirleme saldırıları ve DNS adres sahteciliği gibi tehditleri önlemek için DNS Güvenlik Uzantıları'nı (DNSSEC) ayarlayın.

Alanınız için DNSSEC'yi etkinleştirme

Önemli:

Bazı Üst Düzey Alanlar (TLD), Yetki İmzalayıcı (DS) kayıtları yerine DNS Ortak Anahtarı (DNSKEY) kayıtlarını kabul eder.
Alan adınızı başlangıçta Google Domains'den satın aldıysanız DNSSEC zaten ayarlanmış olabilir.
Alanınızın ALIAS kaydı varsa DNSSEC'yi etkinleştiremezsiniz. ALIAS kayıtları hakkında daha fazla bilgi edinin.

Alanınızda DNSSEC'yi ayarlamak üzere DNS veya imzalama bölgenize belirli kaynak kayıtları eklemeniz ve bunları alanınız için yayınlamanız gerekir. Google Domains'in otomatik DNSSEC ayarlarını kullanıyorsanız her iki adımı sizin yerinize biz gerçekleştiririz. DNSSEC etkinleştirilmeden önce değişikliklerin internet genelinde güncellenmesi 24 saati bulabilir.

Google Domains'de oturum açın.
Alanınızı seçin.
Sol üstten Menü DNS'yi seçin.
Varsayılan alan adı sunucuları veya Özel alan adı sunucuları'nı seçin.
"DNSSEC" kartına veya kutusuna gidin.
- Varsayılan alan adı sunucuları için: Etkinleştir'i tıklayın. DNSSEC zaten açıksa "DNSSEC etkin" mesajı gösterilir.
- Özel alan adı sunucuları için: DS kayıtlarını yönet'i tıklayın ve DNS sağlayıcınızdaki bilgileri girin.
  1. Özel alan adı sunucusu DNSSEC veya DNSKEY için üçüncü taraf DNS sağlayıcınız tarafından verilen değerleri girin.
  2. Aynı anda birden çok kayıt eklemek için Yeni kayıt oluştur'u tıklayın.
  3. Kaydet'i tıklayın.

İpuçları:

DNSKEY kayıtlarınızın yayınlanmasını beklemek istemiyorsanız "DNSSEC" bölümünde DNSSEC kartını genişletip Kayıtları şimdi yayınla'yı tıklayın.
DNSSEC'yi etkinleştirdiğinizde Google Domains, DNS bölgenizi otomatik olarak imzalar ve Yetki İmzalayıcı (DS) kayıtlarınızı 2 saat içinde yayınlar.

Özel alan adı sunucusu DNSSEC için gereken değerler

Özel alan adı sunucuları kullanıyorsanız alanınızın DNS bölgesini imzalamak için üçüncü taraf DNS sağlayıcınızla birlikte çalışmanız gerekir. Her DNSKEY için DNS sağlayıcınızdan aşağıdaki değerleri edinin:

Anahtar etiketi: Mevcut bir DNSKEY kaydını belirten sayısal değer.
Algoritma: DNSKEY kaydındaki güvenlik anahtarını oluşturan şifreleme algoritması. Genellikle RSA/SHA1 gibi bir karma işleviyle eşlenir.
Özet türü: DNSKEY kaydının özetini oluşturan algoritma. Özet algoritması, özet karması veya özet karma işlevi olarak da adlandırılır.
Özet: Anahtarın değerini göstermeden DNSKEY kaydını benzersiz şekilde tanımlayan karma işlemi uygulanmış değer. Uzunluk, özet türüne göre aşağıdakilerden biri olabilir:
- SHA1: 40 onaltılık basamak
- SHA256: 64 onaltılık basamak
- SHA384: 96 onaltılık basamak

Özel alan adı sunucusu DNSKEY'leri için gereken değerler

Özel alan adı sunucuları kullanıyorsanız alanınızın DNS bölgelerinde oturum açmak için üçüncü taraf DNS sağlayıcınızla iletişime geçin. Her DNSKEY için DNS sağlayıcınızdan aşağıdaki değerleri edinin:

İşaretler: DNSKEY kaydının nasıl yorumlanması gerektiğini DNS ve çözümleyicilere bildiren bilgilerdir. Bu değer varsayılan olarak 256 veya 257'dir.
Protokol: Kullanılan DNSSEC'in sürümünü belirtir. Bu değer her zaman 3'tür.
Algoritma: Ortak veya özel anahtar çifti için kullanılan şifreleme algoritmasının türünü belirtir.
Ortak anahtar: DNS kayıtları üzerinde hiçbir fiziksel işlem yapılmadığını doğrulamak için DNS çözümleyiciler tarafından kullanılan anahtardır.

Alanınız için DNSSEC'yi devre dışı bırakma

Google Domains'de oturum açın.
Alanınızı seçin.
Menü DNS'yi seçin.
"DNSSEC" kartına veya kutusuna gidin.
- Varsayılan alan adı sunucuları için: Devre dışı bırak'ı seçin.
- Özel alan adı sunucuları için: Her kaydın yanındaki Sil'i tıklayın.
Kaydet'i seçin.

İpuçları:

Bölgenizdeki DNSSEC ile ilgili kaynak kayıtlarınızı kaldırmak istiyorsanız özel alan adı sunucuları için DNS sağlayıcınızla çalışabilirsiniz.
DNSSEC'yi devre dışı bıraktığınızda Google Domains, alanınızın DS kayıtlarını hemen yayından kaldırır. Bu değişiklik internet genelinde güncellendikten sonra alanınız artık DNSSEC tarafından korunmaz. Bu işlem 48 saat kadar sürebilir. DNSSEC'yi devre dışı bırakma işlemini tamamlamak için Google Domains, DNS bölgenizin imzasını kaldırabilir.

Dinamik DNS kullanma

Önemli: Dinamik DNS, IPv4 ve IPv6 adresleriyle birlikte çalışır ancak aynı anda çalışmaz.

Dinamik DNS sayesinde alan adınızı veya alt alan adınızı, bir ağ geçidinin arkasında yer alan ve dinamik olarak atanmış IP adresine sahip bir kaynağa yönlendirebilirsiniz. Dinamik DNS'yi kullanmak için Google Domains'in varsayılan alan adı sunucularını kullanmanız gerekir.

Dinamik DNS'yi Google Domains'le ayarlarsanız:

Alan adınız veya alt alan adınız için Google alan adı sunucularının dinamik IP beklemesini sağlayan bir A veya AAAA kaydı oluşturabilirsiniz.
Barındırıcınızın veya sunucunuzun, yeni IP adresini Google alan adı sunucularına iletmesi için kullanabileceği bir kullanıcı adı ve şifre oluşturabilirsiniz

Dinamik DNS oluşturduktan sonra barındırıcınızda, sunucunuzda veya ağ geçidinizde aşağıdaki işlemleri yapan bir istemci programı kurmanız gerekir:

IP adresi değişikliklerini algılama
Oluşturulan kullanıcı adını ve şifreyi kullanma
Yeni adresi Google alan adı sunucularına iletme

Dinamik DNS oluşturma

Bilgisayarınızda, Google Domains'de oturum açın.
Alanınızı seçin.
Menü DNS'yi tıklayın.
Varsayılan alan adı sunucuları Google Domains (Etkin)'i seçin.

"Özel alan adı sunucuları (Etkin)" seçiliyse zaten özel alan adı sunucularınız var demektir ve Google Domains'in Dinamik DNS hizmetini kullanamazsınız.

Gelişmiş ayarları göster seçeneğini tıklayın.
Dinamik DNS'i yönet Yeni kayıt oluştur'u tıklayın.
Dinamik IP atamak için alt alanın veya kök alanın adını girin.
Kaydet'i tıklayın.

Dinamik DNS'inizi yönetmek için kullanabileceğiniz diğer seçenekler şunlardır:

Kayıt değerlerini görüntülemek için: Kaydın yanındaki üçgeni tıklayın.
Bir kayıt için oluşturulan kullanıcı adını ve şifreyi görüntülemek için: Kimlik Bilgilerini Göster'i tıklayın.
Ağ geçidinizi veya istemci yazılımınızı Google alan adı sunucularıyla iletişim kuracak şekilde yapılandırmak için: Kayıt için oluşturulan kullanıcı adını ve şifreyi kullanın.
Bir kaydı silmek için:
1. "Kaynak kayıtları"na gidin.
2. "Dinamik DNS"in yanındaki üçgeni tıklayın.
3. Sil'i seçin.

Ağ geçidinizde, barındırıcınızda veya sunucunuzda istemci programı kurma

DDclient ve INADYN gibi yaygın olarak kullanılan birkaç dinamik DNS istemcisi bulunur. Çoğu yönlendirici, IP değişikliklerini algılayıp yerleşik yazılımları aracılığıyla alan adı sunucularına bunları iletebilir.

Dinamik DNS istemcinizi şu bilgilerle yapılandırın:

Sağlayıcı, DNS veya Hizmet: DNS sağlayıcınızın adıdır.
Kullanıcı adı veya kimlik bilgisi: Dinamik DNS kaydında oluşturulan kullanıcı adıdır.
Şifre veya kimlik bilgisi: Dinamik DNS kaydında oluşturulan şifredir.

Kaydı oluşturup istemci yazılımınızı yapılandırdıktan sonra kaydı test edin. Alt alan adını ve alan adını bir tarayıcıya veya uygun bir istemciye girin ve doğru kaynağa bağlandığından emin olun.

İpucu: Google Domains, dyndns2 protokolünü kullanır.

Örnekler

DDclient artık Google Domains'i desteklemektedir.

DDClient (Google Domains desteğiyle)

ddclient.conf girişleri:

ssl=yes

protocol=googledomains

login=generated_username

password=generated_password

your_resource.your_domain.tld

Genel istemci yapılandırma örnekleri:

DDclient
(Google Domains desteği olmadan) INADYN

Örnek ddclient.conf girişleri:

protocol=dyndns2

use=web

server=domains.google.com

ssl=yes

login=generated_username

password=generated_password

your_resource.your_domain.tld

Aşağıdakileri inadyn.conf dosyasına ekleyin:

system default@domains.google.com

username generated_username

password generated_password

alias sub.domain.tld

Dinamik DNS kaydınızı API ile güncelleme

Dinamik DNS istemci yazılımı, dinamik DNS kaydınızı otomatik olarak günceller. Aşağıdaki URL'ye bir POST isteği veya GET ekleyerek API ile manuel güncelleme yapabilirsiniz:

domains.google.com/nic/update

API ile güncelleme için HTTPS gerekir. Örnek istek:

https://username:password@domains.google.com/nic/update?hostname=subdomain.yourdomain.com&myip=1.2.3.4

Kullanıcı aracısı ayarlama

Önemli: İsteğinizde kullanıcı aracısı da belirlemeniz gerekir.

Doğrudan yukarıdaki URL (domains.google.com/nic/update) ile yapılan testlerde, web tarayıcıları genellikle sizin yerinize bir kullanıcı aracısı ekler. Sunucularımıza gönderilen son HTTP sorgusu şunun gibi olmalıdır:

Örnek HTTP sorgusu:

POST /nic/update?hostname=subdomain.yourdomain.com&myip=1.2.3.4 HTTP/1.1

      Host: domains.google.com

      Authorization: Basic base64-encoded-auth-string

      User-Agent: Chrome/41.0 your_email@yourdomain.com

İstek Parametreleri:

Parametre	Zorunlu veya İsteğe Bağlı	Açıklama
`username:password`	Gerekli	Güncellenecek barındırıcıyla ilişkilendirilen, önceden oluşturulmuş kullanıcı adı ve şifre.
`hostname`	Gerekli	Güncellenecek barındırıcının adı.
`myip`	IPv4 için isteğe bağlıdır. IPv6 adresiniz bulunuyorsa girilmesi gereklidir.	Barındırıcının ayarlandığı IP adresi. Bu bilgi sağlanmazsa isteği gönderen aracının IP adresi kullanılır. Önemli: Aracınız IPv6 adresi kullanıyorsa `myip` gerekir. Aracınızın IP adresini https://domains.google.com/checkip adresinden kontrol edebilirsiniz.
`offline`	İsteğe bağlı	Geçerli barındırıcının durumunu "çevrimdışı" olarak ayarlar. Çevrimdışı bir barındırıcıda güncelleme isteğinde bulunulursa barındırıcı çevrimdışı durumdan çıkar. İzin verilen değerler: `yes` `no`

İstek işleme alındıktan sonra aşağıdaki yanıtlardan biri döndürülür.

Önemli: Yanıtı doğru yorumladığınızdan emin olun. Aksi takdirde, istemcinizi sistemimizden engelleme tehlikesiyle karşılaşırsınız.

Yanıt	Durum	Açıklama
`good {kullanıcının IP adresi}`	Başarılı	Güncelleme işlemi başarılı olmuştur. IP adresiniz değişinceye kadar başka bir güncelleme işlemi başlatılmamalıdır.
`nochg {kullanıcının IP adresi}`	Başarılı	Sağlanan IP adresi, zaten bu barındırıcı için ayarlıdır. IP adresiniz değişinceye kadar başka bir güncelleme işlemi başlatılmamalıdır.
`nohost`	Hata	Barındırıcı adı mevcut değil veya Dinamik DNS etkin değildir.
`badauth`	Hata	Kullanıcı adı/şifre kombinasyonu, belirtilen barındırıcı için geçerli değildir.
`notfqdn`	Hata	Sağlanan barındırıcı adı, geçerli ve tam bir alan adı değildir.
`badagent`	Hata	Dinamik DNS istemciniz, hatalı istekler gönderir. Kullanıcı aracısının istekte ayarlandığından emin olun.
`abuse`	Hata	Önceki yanıtların doğru yorumlanamaması nedeniyle, barındırıcı için dinamik DNS erişimi engellenmiştir.
`911`	Hata	Oluşan sorun bizimle ilgilidir. 5 dakika bekleyip tekrar deneyin.
`conflict A conflict AAAA`	Hata	Özel bir A veya AAAA kaynak kaydı, güncellemeyle çakışıyor. DNS ayarları sayfasında belirtilen kaynak kaydını silin ve güncellemeyi tekrar deneyin.