DNS, internetin en eski ve en açık protokollerinden biridir: sorgular varsayılan olarak şifresiz gider. Yol üzerindeki herkes hangi siteye gittiğinizi görebilir ve yanıtı değiştirebilir. Şifreli DNS bunu kapatır — ve kurumsal ağlarda beklenmedik yan etkiler üretir.
Klasik DNS neden açık
Ad çözümleme, bağlantı kurulmadan önce yapılır ve düz metin taşınır. Şifreli bir siteye girseniz bile, hangi adı sorduğunuz açıkta kalır.
İki sonucu vardır. Birincisi gizliliktir: sorgu geçmişi yol üzerindeki herkes tarafından okunabilir. İkincisi ve daha kritik olanı bütünlüktür: sahte bir yanıt üretip trafiği başka bir adrese yönlendirmek mümkündür.
İşleyişin tamamı DNS nasıl çalışır yazısında.
DoH ile DoT farkı
İkisi de aynı şeyi yapar — DNS sorgusunu şifreler — ama nereden geçtikleri farklıdır ve fark tamamen operasyoneldir.
DoT, DNS’i kendi ayrılmış portunda (853) TLS içine alır. Trafik ayırt edilebilir: ağ yöneticisi onu görür, izleyebilir ve gerekiyorsa engelleyebilir.
DoH, DNS’i HTTPS içine gömer ve 443 numaralı porttan geçer. Sıradan web trafiğinden ayırt edilemez.
Bu ayrım, kurumsal tarafta DoH’un neden tartışmalı olduğunu açıklar: ağ düzeyinde engellenemez, çünkü engellemek için tüm HTTPS trafiğini incelemek gerekir.
Asıl sorun: tarayıcı kendi çözümleyicisini kullanırsa
Kurumlarda yaşanan arızaların büyük bölümü şifrelemeden değil, çözümleyicinin değişmesinden kaynaklanır.
Tarayıcılar, işletim sisteminin ayarladığı DNS sunucusunu atlayıp kendi belirledikleri bir sağlayıcıya sorgu göndermeye başlayabilir. Sonuç zincirleme olur.
İç adlar çözülmez. Dış bir çözümleyici, sizin iç alan adınızı bilmez. Kullanıcı iç uygulamalara erişemez ama internet çalışır — teşhisi zorlaştıran tam olarak budur.
Bölünmüş DNS bozulur. Aynı adın içeride ve dışarıda farklı adrese çözüldüğü kurulumlarda kullanıcı yanlış adrese gider.
İçerik süzme atlanır. DNS düzeyinde kurulmuş engelleme ve zararlı alan adı korumaları devre dışı kalır.
Görünürlük kaybolur. Ele geçirilmiş bir cihazın komuta sunucusuyla konuşması, DNS günlüklerinde artık görünmez. Bu sinyalin değeri günlük toplama yazısında.
Kurumsal ağa nasıl bildirilir
Tarayıcıların kendi çözümleyicisine kaymasını engellemenin iki meşru yolu vardır.
İlke ile kapatmak. Yönetilen cihazlarda tarayıcı ilkeleriyle bu davranış devre dışı bırakılır ve hangi çözümleyicinin kullanılacağı dayatılır. Dağıtım yolu grup ilkesi nedir ve mobilde MDM nedir yazılarında.
Kendi çözümleyicinizi şifreli yapmak. Doğru çözüm budur: iç çözümleyiciyi DoH/DoT destekleyecek biçimde kurmak ve istemcileri ona yönlendirmek.
Böylece hem şifreleme kazanılır hem de iç ad çözümleme, süzme ve görünürlük korunur. Şifrelemeyi kapatmak bir çözüm değil, erteleme olur.
Kurulum sırası
Şifreli DNS’e geçerken sıra şu olduğunda kesinti yaşanmaz.
Bir: İç çözümleyicilerin şifreli sorguyu desteklediğini doğrulayın ve sertifikalarını hazırlayın. Otomasyonu sertifikayı otomatik yenilemek yazısında.
İki: Küçük bir pilot grupta istemcileri iç çözümleyiciye şifreli olarak bağlayın.
Üç: Tarayıcı ilkeleriyle dış çözümleyiciye kaymayı kapatın.
Dört: Ağ tarafında bilinen dış DoT portunu kapatın ve DNS günlüklerinin akmaya devam ettiğini doğrulayın.
Dördüncü adım atlanırsa, ayarları değiştirilmiş tek bir cihaz sessizce kapsam dışına çıkar.
Yanlış anlaşılan taraf
Şifreli DNS, gittiğiniz siteyi tamamen gizlemez.
Sorgu şifreli olsa da bağlantı kurulduğunda hedef IP adresi görünür ve çoğu durumda hangi siteye gidildiği oradan anlaşılır. Kazanç, sorgunun değiştirilememesi ve gündelik dinlemeye kapanmasıdır — mutlak gizlilik değil.
Aynı yanılgının VPN tarafındaki karşılığı VPN nedir yazısında ele alınıyor.
Bir de dikkat edilecek nokta: şifreli DNS, çözümleyiciye duyulan güveni ortadan kaldırmaz — yalnızca kime güvendiğinizi değiştirir. Sorgularınız artık internet servis sağlayıcınıza değil, seçtiğiniz çözümleyici sağlayıcısına görünür.
Sorun giderirken
Kullanıcı “internet çalışıyor ama iç uygulamalara giremiyorum” diyorsa ilk bakılacak yer budur.
Tarayıcının ayarlarında güvenli DNS açık mı, hangi sağlayıcıya bakıyor? İşletim sistemi ile tarayıcının farklı çözümleyici kullanıp kullanmadığı, aynı adı iki taraftan sorgulayarak anlaşılır.
Yapılandırma hatalarının klasik listesi DNS’te en sık yapılan üç yapılandırma hatası yazısında.
Ev ve mobil cihazlarda
Kurum dışında, yönetilmeyen bir ağdan bağlanan cihazlarda şifreli DNS açık bir kazançtır: kafe ya da otel ağındaki bir tarafın sorguları görmesi ve değiştirmesi engellenir.
Bu yüzden yönetilen cihazlarda ilke iki durumu ayırmalıdır: kurumsal ağdayken iç çözümleyici, dışarıdayken şifreli bir çözümleyici. Modern istemciler bunu ağ profiline göre yapabilir.
Ayrımın kurulmadığı ortamlarda ekipler genelde şifrelemeyi tamamen kapatır — ve kullanıcı ofis dışındayken korumasız kalır. Sahte erişim noktası riskinin nasıl işlediği sahte erişim noktası yazısında.
Kısaca
DoH ve DoT, DNS sorgusunu şifreler; farkları geçtikleri porttadır ve DoH ağ düzeyinde ayırt edilemez.
Kurumsal ortamda sorun şifreleme değil, çözümleyicinin değişmesidir — iç adlar çözülmez, süzme atlanır, görünürlük kaybolur. Doğru yanıt şifrelemeyi kapatmak değil, kendi çözümleyicinizi şifreli hâle getirip istemcileri ona yönlendirmektir.