Kısa cevap: DNSSEC'te DNSKEY ile DS aynı ekrana yazılan iki benzer kayıt değildir. DNS hizmetinin yayınladığı anahtar ile üst bölgedeki referansın eşleşmesi gerekir. Bu bağı anlamadan güvenlik özelliğini açmak, doğrulama yapan kullanıcıların alan adını çözememesine neden olabilir.
İki farklı yönetim sorumlusunu bulun
Alan adını kaydettiğiniz kuruluş ile nameserver hizmetini veren şirket aynı olmayabilir. Önce alan adı paneline kimin, aktif DNS bölgesine kimin eriştiğini belirleyin. Güncel bir iletişim listesi hazırlayın ve değişiklik penceresi kararlaştırın. Domain ve DNS kavramları bu görev ayrımının başlangıcıdır. Alan adı kaydını başka firmaya taşımakla DNS sağlayıcısını değiştirmek aynı işlem değildir.
DS ile DNSKEY hangi bağı kurar?
Cloudflare'ın doğrulama ve anahtar belgesi, üst bölgede bulunan DS ile DNS hizmetindeki anahtarın güven zincirindeki yerini açıklar. Burada amaç anahtar değerlerini ezberlemek değil doğru kaynağı doğru yere bağlamaktır. Kullanılan DNS sağlayıcısının ürettiği güncel parametreleri alın; ekran görüntüsünde örnek olarak gösterilen başka alan adına ait sayıları kullanmayın.
Açmadan önce çalışan durumun kaydını alın
Web, e-posta ve kritik alt alanların nasıl çözümlendiğini kaydedin. Mevcut DNS kayıtlarını dışa aktarın, fakat bunu DNSSEC özel anahtarlarını rastgele paylaşmak olarak yorumlamayın. MX ve posta kontrol planı e-postayı unutmamanıza yardımcı olur. İşlem anında erişilecek alternatif bir iletişim adresi bulunması yararlıdır; yalnız etkilenecek alan adına bağlı posta kutusuna güvenmeyin.
Sağlayıcının sırasını takip edin
DNSSEC yönetim belgesindeki sağlayıcıya özgü etkinleştirme adımlarını kullanın. Her panelin alan adları ve otomasyon davranışı aynı değildir. Etkinleşti düğmesi gördüğünüzde üst bölge yayınının da tamamlandığını varsaymayın. Kayıt kuruluşunuzun DS parametrelerini nasıl kabul ettiğini ve hangi sorumlunun yayınladığını teyit edin. Açıklayamadığınız hata varsa yeni anahtar üretmek yerine durumu inceletin.
Yalnız kendi tarayıcınızla test etmeyin
Doğrulama yapan bir çözümleyiciden cevap alınabildiğini kontrol ettirin. Web sitesinin bir ağda açılması bütün güven zincirinin doğru olduğunu kanıtlamaz. Linux DNS tanı rehberi uygulama ve ağ belirtilerini ayırır; SSL rehberi ise sertifika sorunlarını ayrı ele alır. Sonuç kaydına nameserver, DS kontrolü ve test zamanını ekleyin. Bu bilgiler daha sonraki anahtar veya sağlayıcı değişikliğinde başlangıç referansınız olur.
Bu konunun diğer kontrolleri
- Nameserver Değişiminden Sonra Site Açılmıyor: Eski DS Kaydı Kalmış Olabilir
- SERVFAIL DNSSEC Kaynaklı mı? Doğrulamalı ve Doğrulamasız Sorguyu Karşılaştırma
Sıkça Sorulan Sorular
DNSSEC SSL yerine geçer mi?
Hayır. DNS cevabının doğrulanması ile web bağlantısının TLS üzerinden korunması farklı katmanlardır. DNSSEC açılması sitenin sertifikasını yenilemez, sayfa içeriğini temizlemez veya web uygulamasındaki açıkları kapatmaz.
DS kaydını hosting paneline yazmam yeterli mi?
Üst bölgeye yayımlanacak DS işlemi genellikle alan adı kayıt kuruluşunun DNSSEC yönetimi üzerinden yapılır. Yerel DNS bölgesine rastgele eklenen aynı isimli kayıt bunun yerine geçmez. Kayıt kuruluşunuzun gerçek işlem yolunu kullanın.
Anahtar değerini başka bir alan adından kopyalayabilir miyim?
Hayır. Kullanılan bölgenin mevcut sağlayıcısına ait doğru parametreler gerekir. Anahtar etiketi, algoritma ve özet alanlarını birlikte doğrulayın. Eski sağlayıcının bilgilerini yeni bölgeye taşımayı güvenli varsaymayın.
DNSSEC açıldıktan sonra sadece ana sayfayı test etmek yeterli mi?
Hayır. Kritik web adları, posta hedefleri ve kullanılan uygulama alt alanları için beklenen DNS cevaplarını kontrol ettirin. Ardından ilgili hizmetlerin gerçek kullanım testlerini yapın. DNS doğrulamasının başarılı olması oturum açmanın, posta tesliminin veya uygulama işleminin başarılı olduğu anlamına gelmez. Sonuçları DNS aşaması ve hizmet aşaması olarak ayrı kaydetmek sonraki sorunlarda yararlıdır.