Cloudflare DNSSEC Nedir ve Nasıl Açılır?

DNSSEC, DNS yanıtının yetkili kaynaktan geldiğini doğrulamaya yardımcı olur. Cloudflare'deki imzalama ile domain kayıt kuruluşundaki DS kaydı uyumlu olmalıdır. Yanlış DS kaydı siteyi ve maili çözülemez hale getirebilir.

1. Mevcut zinciri kontrol edin

dig +short NS example.com
dig +dnssec DS example.com
dig @1.1.1.1 example.com A +dnssec

DNSSEC'i destekleyen çözümleyicide ad bayrağı doğrulanmış cevaba işaret edebilir. SERVFAIL tek başına DNSSEC kanıtı değildir; nameserver ve delegasyonu da kontrol edin.

2. Cloudflare'de etkinleştirin

DNS → Settings → DNSSEC bölümünde imzalamayı açın. Gösterilen key tag, algoritma, digest type ve digest değerlerini aynen kayıt kuruluşundaki DNSSEC/DS bölümüne girin. DNS panelindeki normal TXT kaydı olarak eklemeyin. Kayıt kuruluşu otomatik yönetiyorsa onun akışını izleyin.

3. Yayılım sonrası doğrulayın

DS sorgusunda kaydın görünmesini ve doğrulayan resolver'ın A/AAAA yanıtı verebilmesini bekleyin. Birden fazla çözümleyiciyle test edin. Kayıt kuruluşundaki değerleri elle kısaltmayın veya eski sağlayıcının DS'sini kullanmayın.

4. Nameserver değişiminde sırayı koruyun

DNS sağlayıcısı değiştirirken eski DS ile yeni imzasız/başka anahtarlı bölgeyi bırakmayın. Yeni sağlayıcının DNSSEC geçiş prosedürünü izleyin; gerekli ise DS'yi kaldırıp yayılımını bekleyin, nameserver geçişini yapın ve yeni zinciri kurun. Bu adımlar TTL ve sağlayıcıya bağlıdır, hepsini aynı anda rastgele değiştirmeyin.

Hata giderme

DNSSEC sonrası SERVFAIL başladıysa DS ile Cloudflare değerlerini karşılaştırın. Yanlış DS'yi kayıt kuruluşunda düzeltin; web sunucusunu yeniden başlatmak DNS zincirini çözmez.

SERVFAIL sonucunu karşılaştırmalı okuyun

dig @1.1.1.1 example.com A +dnssec
dig @1.1.1.1 example.com A +dnssec +cdflag

İlk istek SERVFAIL, doğrulama kontrolünü kapatan ikinci istek veri döndürüyorsa DNSSEC doğrulama zinciri güçlü şüphedir; tek başına kesin tanı değildir. +cdflag kalıcı istemci çözümü olarak kullanılmaz. DS değerini kayıt kuruluşunda, DNSKEY/imzayı yetkili DNS'te karşılaştırın. Nameserver erişilemezliği gibi başka arızaları da ayırın.