Adres çubuğuna bir alan adı yazıp Enter’a bastığınızla sayfanın açılması arasında genelde 50 milisaniyeden az süre geçer. O sürede bilgisayarınız, adı bir IP adresine çevirmek için birkaç ayrı sunucuya danışmış olabilir. DNS bu çeviriyi yapan sistemdir ve internetin en sessiz ama en kritik parçasıdır.
Neden gerekli
Bilgisayarlar birbirine IP adresleriyle ulaşır. İnsanlar ise adları hatırlar. DNS ikisi arasındaki sözlüktür.
Ama işlevi sadece kolaylık değil. IP adresi değiştiğinde — sunucu taşındığında, yük dengeleyici arkasına alındığında — kullanıcıların hiçbir şeyi değiştirmesi gerekmez. Adres sabit kalır, arkasındaki IP değişir. Bu esneklik olmadan modern altyapı yönetilemezdi.
Çözümleme zinciri
Bir adı çözmek dört basamaklı bir zincirdir.
İstemci önbelleği. Bilgisayarınız daha önce sorduğu adları kısa süre saklar. İlk bakılan yer burasıdır; bu yüzden ikinci ziyaret her zaman daha hızlıdır.
Özyinelemeli çözümleyici. Önbellekte yoksa istemci, kendisine tanımlı DNS sunucusuna sorar. Bu sunucu işin ağır kısmını üstlenir: yanıtı sizin adınıza bulup getirir.
Kök ve üst düzey sunucular. Çözümleyici de bilmiyorsa yukarı doğru sorar. Önce kök sunuculara “.com alanına kim bakıyor” diye, sonra .com sunucularına “ornek.com alanına kim bakıyor” diye.
Yetkili sunucu. Zincirin sonunda, o alan adının gerçek kayıtlarını tutan sunucu vardır. Kesin yanıt buradan gelir.
Bu zincirin her adımı önbelleklendiği için pratikte çoğu sorgu ilk iki basamakta biter.
TTL: yanıtın raf ömrü
Her DNS kaydının bir TTL değeri vardır: yanıtın kaç saniye önbellekte tutulabileceği. 3600 yazıyorsa, bir çözümleyici o yanıtı bir saat boyunca yeniden sormadan kullanır.
TTL bir takas noktasıdır. Uzun TTL sorgu sayısını azaltır ve hızlandırır; ama bir değişiklik yaptığınızda dünyanın onu görmesi o kadar gecikir. Kısa TTL değişikliği hızlandırır, sorgu yükünü artırır.
Pratik sonucu şudur: sunucu taşıma planlıyorsanız TTL’i taşımadan bir hafta önce düşürmelisiniz — çünkü TTL değişikliğinin kendisi de eski TTL süresince yayılır. Bu ayrıntı DNS geçiş planlayıcı aracında adım adım hesaplanıyor, kesinti süresine etkisi ise kurtarma hedefi planlayıcı aracında görünüyor.
İç DNS ile dış DNS ayrı işlerdir
Kurumsal ağlarda iki ayrı dünya vardır. Dış DNS internetteki adınızı çözer. İç DNS ağınızdaki makineleri çözer ve Active Directory’nin çalışması için zorunludur.
En sık yapılan hata, etki alanına katılmış makinelere genel bir çözümleyici tanımlamaktır. Genel çözümleyici, etki alanı denetleyicilerini bulmaya yarayan SRV kayıtlarını bilmez; sonuç yavaş oturum açma ve uygulanmayan grup ilkeleridir. Doğrusu, iç DNS’in internet sorgularını bir iletici üzerinden dışarı vermesidir.
Bu ve iki yaygın hata daha DNS’te en sık yapılan üç yapılandırma hatası rehberinde ele alınıyor.
Kayıt türleri kısaca
Bir alan adı tek bir kayıt değildir; farklı işler için farklı kayıt türleri tutar. A adresi IPv4’e, AAAA IPv6’ya bağlar. CNAME bir adı başka bir ada yönlendirir. MX posta sunucusunu söyler. TXT doğrulama ve güvenlik kayıtlarını taşır. PTR ise ters yönde çalışır: IP’den ada.
Hangi kaydın ne işe yaradığı ve nerede tuzak barındırdığı DNS kayıt türleri yazısında ayrıntılı. Canlı bir alan adının kayıtlarını görmek için DNS sorgulama aracını kullanabilirsiniz.
Olumsuz yanıt da önbelleklenir
Az bilinen ama sık başa dert olan bir davranış: “böyle bir kayıt yok” yanıtı da saklanır. Buna olumsuz önbellekleme denir ve süresini bölgenin SOA kaydındaki bir alan belirler.
Pratik sonucu şudur: bir kaydı henüz oluşturmadan önce adresi sorguladıysanız, kaydı oluşturduktan sonra bile bir süre “yok” yanıtı almaya devam edersiniz. Yeni bir hizmet yayına alırken “kayıt doğru ama çözülmüyor” şikâyetinin sessiz nedeni budur.
Aynı mekanizma yeni yayımlanan bir sayfada da işler; kenar önbelleği ile birleştiğinde iki katmanlı bir gecikme oluşur.
Çözüm beklemektir — ya da kaydı yayına almadan önce sorgulamamak.
DNS artık şifrelenebiliyor
Klasik DNS sorguları düz metindir; aradaki herkes hangi siteye gittiğinizi görür. Bunu kapatmak için iki yaygın yöntem var: DNS’i TLS içinde taşımak (DoT) ya da HTTPS içinde taşımak (DoH).
Kurumsal ağlarda bunun bir yan etkisi vardır: tarayıcı kendi DoH ayarını kullanırsa, iç DNS’i atlar ve etki alanı adlarını çözemez. Ayrıca içerik süzme ve günlükleme de devre dışı kalır. Çoğu kurum bu yüzden tarayıcı düzeyinde DoH’u ilkeyle kapatır ve şifrelemeyi kendi çözümleyicisinde uygular.
Sorun çıktığında
DNS sorunları nadiren “çalışmıyor” biçiminde görünür. Genelde “yavaş” ya da “bazen” biçiminde görünür — çünkü bir çözümleyici yanıt vermediğinde istemci zaman aşımını bekleyip sıradakine geçer.
Teşhiste sıra şudur: önce istemcinin hangi DNS sunucusunu kullandığına bakın, sonra önbelleği temizleyip yeniden deneyin, sonra doğrudan yetkili sunucuya sorun. Üçü farklı yanıt veriyorsa sorun önbellektedir; üçü de aynı yanlış yanıtı veriyorsa sorun kayıttadır.
Ağ tarafında daha derine inmek gerektiğinde paket yakalama ne zaman gerekir rehberi, hangi portun ne işe yaradığını hatırlamak için port sözlüğü aracı işinizi görür.
Kısaca
DNS, adları IP’ye çeviren katmanlı ve önbellekli bir sistemdir. Katmanlı olduğu için hızlıdır, önbellekli olduğu için değişiklikler gecikmeli yayılır. Bu iki özelliği aklınızda tutarsanız hem beklenmedik yavaşlıkları hem de “değiştirdim ama hâlâ eskisi geliyor” durumlarını rahatça açıklayabilirsiniz.