DNSSEC ile DNS Sunucusunda Veri Değişim Güvenliğini Artırma

[Neyse]

DNSSECi etkinleştirirken aşağıdaki senaryoyu günde en az bir kez test edin:
Bir test ortamı sunucusu (192.168.1.10) üzerinde example.local adında bir zone oluşturulacak ve bu zone, üst zone olan .local ile zincirleme imzalanacak.

1. DNS Manager’de DNSSEC’i Etkinleştirme​

1. DNS Manager’ı açın (Server Manager → Tools → DNS).
2. Sunucu adını sağ tıklayın → Properties.
3. Advanced sekmesinde Enable DNSSEC kutusunu işaretleyin.
4. Apply → OK.

2. Yeni Zone Oluşturma​

- Sağ tıklayın: **Action** → **New Zone**  
- Tip: Primary  
- Zone Name: example.local  
- File: örn\_example.local.dns  
- Forward Lookup Table: Allow only secure queries (Opsiyonel)  
- Finish

3. Kayıt İçin Anahtar Çifti Oluşturma​

Import-Module DnsServer
$dnsSecKey = New-DnsKey -ZoneName example.local -Algorithm RSASHA256 -KeySize 2048

Çıktıda KeyTag, ZSK (ZSK), KSK (KSK) bilgileri görülecek.

4. Zone’u İmzalama​

Set-DnsServerZone -Name example.local -ZoneSigningEnabled $true

İmzalama sonrası zone dosyalarına .dns.key, .dns.sign dosyaları eklenir.

5. DS Kaydı Oluşturma​

Mevcut example.local zone için DS kaydı elde etmek:

$ds = Get-DnsServerKey -ZoneName example.local | Select-Object -First 1
$ds

Çıktıdaki KeyTag, Algorithm, DigestType, Digest değerlerini not edin.

6. Üst Zone’a (local) DS Kaydı Eklemek​

Üst zone .local’da, example.local için DS kaydı ekleyin:

Add-DnsServerResourceRecordDS -Name example.local -ZoneName local -KeyTag $ds.KeyTag `
 -Algorithm $ds.Algorithm -DigestType $ds.DigestType -Digest $ds.Digest

Bu adım, DNSSEC zincirini tamamlar ve üst zone ile alt zone arasında güvenli bağ kurar.

7. Süreci Doğrulama​

1. nslookup ile dig komutuyla example.local için AA ve RRSIG kontrol edin.
2. dig +dnssec example.local A çıktısında SIG ve DNSKEY kartları görünmelidir.
3. İlgili hata kodu NXDOMAIN veya SERVFAIL gelmemesi gerekir.

8. Yedekleme ve İzleme​

• Zone dosyalarını ([I].dns) ve [/I].key dosyalarını düzenli olarak yedekleyin.
• Get-DnsServerLog ile DNSSEC imzalama hatalarını izleyin.

9. Güvenlik İpuçları​

• Kayıt altı Publish kontrollerini Secure Updates olarak ayarlayın.
• Kafaçık zaman damgası (Clock Skew) 5 dakikadan az olmalı; zaman senkronizasyonu için NTP kullanın.

Not: Üçüncü taraf zone dosyalarını (örnek: .com, .org) DNSSEC ile imzalamak mümkün değildir; sadece kendi kontrolünüzdeki zone’larda bu yöntemi kullanabilirsiniz.

Soru: DNSSEC’i etkinleştirirken kullandığınız anahtar algoritmalarını seçmekte zorlandınız mı? Deneyimlerinizi paylaşın.