Webmaster

DNS Nedir? Nasıl Çalışır?

İnternette adresler isimle, yönlendirme ise sayıyla yapılır. DNS bu ikisi arasındaki çeviriyi, dünyaya dağılmış binlerce sunucudan oluşan bir hiyerarşiyle milisaniyeler içinde halleder.

Yazar

Yayınlanma
Okuma
yaklaşık 5 dk

Kısa cevap

DNS (Alan Adı Sistemi), "real.com.tr" gibi isimleri bilgisayarların kullandığı IP adreslerine çeviren dağıtık bir veri tabanıdır. Sorgu, bilgisayarınızdan özyinelemeli çözümleyiciye gider; oradan kök sunuculara, üst düzey alan adı sunucularına ve son olarak yetkili sunucuya ulaşır. Yanıtlar TTL süresi boyunca önbellekte tutulur.

Öne çıkan bilgiler

  • DNS, 1987 yılı Kasım ayında yayımlanan RFC 1034 ve RFC 1035 belgeleriyle tanımlanmıştır.
  • Etiketler en çok 63 oktet, tam alan adı en çok 255 oktet uzunluğunda olabilir; UDP mesajları 512 okteti aşamaz.
  • 53 numaralı port hem UDP hem TCP için ayrılmıştır; bölge aktarımı TCP gerektirir, kesilen yanıtlar TCP ile yeniden istenir.
  • EDNS(0) uzantısı daha büyük UDP yanıtlarına izin verir; başlangıç değeri olarak 4096 oktet önerilir.
  • Kök bölgeyi a'dan m'ye 13 adlandırılmış yetkili sunucu sunar; bunlar 12 bağımsız kuruluş tarafından işletilir.
  • Anycast sayesinde bu 13 kimlik çok sayıda örneğe karşılık gelir: 28 Ekim 2026 itibarıyla 2.049 örnek çalışıyordu.
  • DNSSEC verinin kaynağını ve bütünlüğünü imzayla doğrular; gizlilik sağlamaz, bunun için DoT ya da DoH gerekir.

Tarayıcıya bir adres yazıp Enter'a bastığınızda, sayfa gelmeden önce görünmeyen bir soru-cevap zinciri işler: "Bu ismin sayısal adresi nedir?" Bu zinciri yürüten sisteme DNS denir ve internetin en sessiz, en kritik altyapısıdır.

DNS nedir?

DNS (Domain Name System / Alan Adı Sistemi), alan adlarını IP adreslerine çeviren dağıtık bir veri tabanıdır. Temelini, Paul Mockapetris'in Kasım 1987'de yayımlanan iki belgesi oluşturur: RFC 1034 kavramları ve olanakları, RFC 1035 ise uygulamayı ve belirtimi tanımlar.[1][2] Aradan kırk yıla yakın zaman geçmesine karşın bu iki belge hâlâ sistemin omurgasıdır.

Bir sorgu adım adım nasıl ilerler?

  1. Bilgisayarınızdaki çözümleyici (stub resolver) sorguyu, ayarlarda tanımlı DNS sunucusuna yönlendirir.
  2. Özyinelemeli çözümleyici (genellikle internet sağlayıcınızın ya da seçtiğiniz bir hizmetin sunucusu) cevabı önbelleğinde arar. Bulursa iş orada biter.
  3. Bulamazsa kök sunuculara sorar: "com.tr'yi kim yönetiyor?"
  4. Gelen yanıtla üst düzey alan adı sunucularına gider: "real.com.tr'nin yetkili sunucuları hangileri?"
  5. Son olarak yetkili sunucuya sorar ve istenen kaydı alır.
  6. Yanıt, kaydın TTL süresi boyunca önbellekte tutulur; aynı soru tekrar gelirse zincir baştan işlemez.

RFC 1035 bu sistemin sayısal sınırlarını da koyar: etiketler en çok 63 oktet, tam alan adı en çok 255 oktet, TTL ise işaretli 32 bitlik bir sayının pozitif değeri olabilir.[2]

Kayıt türleri

Sık kullanılan DNS kayıt türleri
TürKodİşlevi
A1Alan adını IPv4 adresine eşler
AAAA28Alan adını 128 bitlik IPv6 adresine eşler
CNAME5Bir adı başka bir ada yönlendirir
MX15E-posta sunucusunu belirtir
TXT16Serbest metin; doğrulama ve e-posta politikalarında kullanılır
NS2Bölgenin yetkili ad sunucularını gösterir
SOA6Bölgenin yetki başlangıcı bilgilerini taşır
PTR12IP adresinden ada doğru ters çözümleme

A, NS, CNAME, SOA, PTR, MX ve TXT kayıtlarının tür kodları RFC 1035'te tanımlanmıştır; AAAA kaydı Ekim 2003 tarihli RFC 3596 ile eklenmiştir.[2][3]

53 numaralı port, UDP ve TCP

DNS, 53 numaralı portu hem UDP hem TCP için kullanır. Sorgularda UDP tercih edilir, çünkü hızlıdır; ancak bölge aktarımı güvenilir iletim gerektirdiği için TCP ile yapılır.[2] UDP yanıtı 512 okteti geçerse mesaj kesilir ve kesilme biti (TC) işaretlenir; bu, istemcinin aynı sorguyu TCP ile yeniden sormasının klasik tetikleyicisidir.[2]

Bu sınır bugün EDNS(0) uzantısıyla aşılır. RFC 6891 (STD 75), istemcinin daha büyük UDP yükü bildirmesine izin verir ve başlangıç değeri olarak 4096 oktet önerir; doğrudan TCP'ye geçmek yerine daha küçük değerlere düşerek denemeyi tavsiye eder.[4]

Kök sunucular: "dünyada 13 sunucu" doğru mu?

Kök bölgeyi a.root-servers.net'ten m.root-servers.net'e kadar 13 adlandırılmış yetkili sunum noktası sunar.[5] Bu 13 kimlik, 12 bağımsız kuruluş tarafından işletilir: Verisign (A ve J), USC-ISI (B), Cogent (C), Maryland Üniversitesi (D), NASA Ames (E), ISC (F), ABD Savunma Bakanlığı NIC (G), ABD Ordusu Araştırma Laboratuvarı (H), Netnod (I), RIPE NCC (K), ICANN (L) ve WIDE Project (M).[5][6]

Kök bölgedeki üst düzey alan adı sayısı da sabit değildir: IANA'nın yayımladığı listede 27 Ekim 2026 tarihli sürümde 1.437 uzantı bulunuyordu.[7] Kök bölge veri tabanı sayfasında ise emekliye ayrılmış uzantılar dahil 1.603 kayıt listelenir.[8]

DNSSEC: imza, ama gizlilik değil

DNS'in özgün tasarımında yanıtın gerçekten yetkili sunucudan geldiğini doğrulayan bir mekanizma yoktu. Mart 2005 tarihli RFC 4033 ile tanımlanan DNSSEC, kayıt kümelerini dijital imzayla imzalayarak veri kaynağının doğrulanmasını ve bütünlüğünü sağlar. Belge sınırlarını da açıkça yazar: DNSSEC gizlilik sağlamaz ve hizmet engelleme saldırılarına karşı koruma getirmez.[9]

Kök bölgenin imzalanması da gelişen bir süreçtir: 11 Ekim 2026'da 14.00 UTC'de yeni kök imza anahtarı (KSK-2024) kök bölgeyi imzalamaya başlamış, ICANN yaygın bir aksaklık bildirilmediğini duyurmuştur.[10]

Gizlilik isteniyorsa başka iki standart devreye girer: DNS over TLS (DoT), Mayıs 2016 tarihli RFC 7858 ile tanımlanır ve 853 numaralı TCP portunu kullanır; DNS over HTTPS (DoH) ise Ekim 2018 tarihli RFC 8484 ile tanımlanır ve sorguları HTTPS üzerinden taşır.[11][12]

Saldırı ve arıza biçimleri

  • Önbellek zehirlenmesi: Saldırgan, gerçek yanıttan önce sahte bir yanıt yetiştirmeye çalışır. Ocak 2009 tarihli RFC 5452 bu riski sayıyla ortaya koyar: mesaj kimliği en çok 65.536 farklı değer alabilir, kaynak port rastgeleleştirmesi buna yaklaşık 64.000 olasılık daha ekler. Rastgeleleştirme olmadığında, 300 saniyelik bir TTL'e karşı saniyede yaklaşık 4 Mbit'lik sahte trafikle bir saat içinde %50 başarı olasılığı hesaplanmıştır.[13]
  • DNS ele geçirme: ICANN, 22 Şubat 2019'da alan adlarının delegasyon yapısında yetkisiz değişiklikler yapılarak hedef sunucu adreslerinin saldırgan denetimindeki makinelerle değiştirildiği saldırılara karşı tüm imzasız alan adlarında DNSSEC kullanılması çağrısında bulunmuştur.[14]
  • NXDOMAIN: "Böyle bir ad yok" anlamına gelen yanıt kodudur; sunucunun çöktüğü anlamına gelmez. RFC 2308, bu olumsuz yanıtların da önbelleğe alınmasını düzenler.[15]

Alan adı yönetimi ve ".tr"

Kök bölgenin yönetimi ICANN/IANA tarafından yürütülür. Ülke kodu uzantıları ise ilgili ülkedeki yetkili kuruluşa delege edilir.

".tr" uzantısı 1991'de Orta Doğu Teknik Üniversitesi'ne delege edilmişti. 21 Aralık 2018'de ODTÜ ile BTK arasında devir anlaşması imzalanmış, IANA'nın 17 Nisan 2019 tarihli raporuyla devir süreci belgelenmiştir.[16] IANA'nın delegasyon kaydında yönetici hâlâ BTK olarak görünür.[17]

Ancak güncel durum farklıdır: TRABİS'in kendi bilgilendirmesine göre 24 Temmuz 2026'da kabul edilen ve 31 Temmuz 2026'da yürürlüğe giren 7590 sayılı kanun, 5809 sayılı Elektronik Haberleşme Kanunu ile 7545 sayılı Siber Güvenlik Kanunu'nda değişiklik yaparak ".tr" alan adlarının tahsisi ve yönetimine ilişkin yetkiyi Siber Güvenlik Başkanlığı'na devretmiştir; ilgili mevzuattaki BTK atıfları bu kuruma yapılmış sayılır.[18]

TRABİS 14 Eylül 2022'de faaliyete geçmiştir.[19] 27 Ekim 2026 tarihli istatistiklere göre 1.360.276 etkin ".tr" alan adı bulunuyordu; bunların 1.040.533'ü com.tr, 204.924'ü doğrudan ".tr", 32.584'ü org.tr uzantılıydı.[20]

Hangi DNS sunucusunu kullanmalı?

Sağlayıcınızın sunucusu dışında herkese açık çözümleyiciler de vardır: Google Public DNS 8.8.8.8 ve 8.8.4.4 adreslerini (IPv6 tarafında 2001:4860:4860::8888 ve ::8844), Cloudflare ise 1.1.1.1 ve 1.0.0.1 adreslerini kullanır.[21][22] Seçim bir ödünleşmedir: çözümleyiciyi değiştirmek hız ve güvenilirliği etkileyebilir, ama sorgularınızı kimin gördüğünü de değiştirir. Gizlilik önemliyse DoT ya da DoH destekleyen bir çözümleyici tercih edilmelidir.[11][12]

İlgili içerikler

Sık sorulan sorular

DNS nedir ve nasıl çalışır?
DNS, alan adlarını IP adreslerine çeviren dağıtık bir veri tabanıdır. Sorgu bilgisayarınızdan özyinelemeli çözümleyiciye gider; çözümleyici yanıtı önbelleğinde bulamazsa sırasıyla kök sunuculara, üst düzey alan adı sunucularına ve yetkili sunucuya sorar. Gelen yanıt, kaydın TTL süresi boyunca önbellekte tutulur. Sistemin temeli Kasım 1987 tarihli RFC 1034 ve RFC 1035 belgeleridir.
Dünyada kaç kök DNS sunucusu var?
Kök bölgeyi a'dan m'ye 13 adlandırılmış yetkili sunum noktası sunar ve bunlar 12 bağımsız kuruluş tarafından işletilir. Ancak fiziksel sunucu sayısı 13 değildir: anycast yönlendirme sayesinde her kimlik dünyaya dağılmış birçok örnekle sunulur. 28 Ekim 2026 itibarıyla sistem 2.049 örnekten oluşuyordu.
DNSSEC DNS trafiğimi şifreler mi?
Şifrelemez. DNSSEC, kayıtları dijital imzayla imzalayarak verinin kaynağını ve bütünlüğünü doğrular; RFC 4033 gizlilik sağlamadığını ve hizmet engelleme saldırılarına karşı koruma getirmediğini açıkça belirtir. Sorguların şifrelenmesi için DNS over TLS (RFC 7858, TCP 853) ya da DNS over HTTPS (RFC 8484) kullanılır.
DNS neden 53 numaralı portu kullanır, TCP ne zaman devreye girer?
53 numaralı port, RFC 1035'te DNS için hem UDP hem TCP erişimi için ayrılmıştır. Sorgularda hız nedeniyle UDP tercih edilir. Bölge aktarımı güvenilir iletim gerektirdiği için TCP ile yapılır. Ayrıca UDP yanıtı 512 okteti geçerse mesaj kesilir ve kesilme biti işaretlenir; istemci sorguyu TCP ile yeniler. EDNS(0) uzantısı daha büyük UDP yanıtlarına izin verdiği için bugün TCP'ye düşme ihtiyacı azalmıştır.
".tr" alan adlarını kim yönetiyor?
".tr" 1991'de ODTÜ'ye delege edilmiş, 2018–2019 sürecinde BTK'ya devredilmişti. TRABİS'in bilgilendirmesine göre 31 Temmuz 2026'da yürürlüğe giren 7590 sayılı kanunla ".tr" alan adlarının tahsisi ve yönetimine ilişkin yetki Siber Güvenlik Başkanlığı'na geçmiştir. IANA'nın delegasyon kaydında yönetici bilgisi bu yazının hazırlandığı tarihte hâlâ BTK olarak görünüyordu.
NXDOMAIN hatası ne anlama gelir?
NXDOMAIN, "böyle bir ad yok" anlamındaki yanıt kodunun yaygın adıdır; sunucunun çökmesiyle ilgisi yoktur. Yetkili sunucunun o adın mevcut olmadığını bildirmesidir ve RFC 2308 uyarınca bu olumsuz yanıt da önbelleğe alınabilir. Bu yüzden yeni oluşturulan bir kayıt, önbellekteki olumsuz yanıt süresi dolmadan görünmeyebilir.

Kaynaklar

  1. RFC 1034: Domain Names — Concepts and Facilities — IETF (erişim: 28 Ekim 2026)
  2. RFC 1035: Domain Names — Implementation and Specification — IETF (erişim: 28 Ekim 2026)
  3. RFC 3596: DNS Extensions to Support IP Version 6 — IETF (erişim: 28 Ekim 2026)
  4. RFC 6891: Extension Mechanisms for DNS (EDNS(0)), STD 75 — IETF (erişim: 28 Ekim 2026)
  5. Root Name Servers — IANA (erişim: 28 Ekim 2026)
  6. Root Server System Operational Information — root-servers.org (erişim: 28 Ekim 2026)
  7. tlds-alpha-by-domain.txt (kök bölge uzantı listesi) — IANA (erişim: 28 Ekim 2026)
  8. Root Zone Database — IANA (erişim: 28 Ekim 2026)
  9. RFC 4033: DNS Security Introduction and Requirements — IETF (erişim: 28 Ekim 2026)
  10. Root Zone KSK Rollover — ICANN (erişim: 28 Ekim 2026)
  11. RFC 7858: Specification for DNS over Transport Layer Security (TLS) — IETF (erişim: 28 Ekim 2026)
  12. RFC 8484: DNS Queries over HTTPS (DoH) — IETF (erişim: 28 Ekim 2026)
  13. RFC 5452: Measures for Making DNS More Resilient against Forged Answers — IETF (erişim: 28 Ekim 2026)
  14. ICANN Calls for Full DNSSEC Deployment (erişim: 28 Ekim 2026)
  15. RFC 2308: Negative Caching of DNS Queries — IETF (erişim: 28 Ekim 2026)
  16. Report on the Transfer of the .TR (Turkey) ccTLD to BTK — IANA (erişim: 28 Ekim 2026)
  17. Delegation Record for .TR — IANA (erişim: 28 Ekim 2026)
  18. Hakkında — TRABİS — Siber Güvenlik Başkanlığı (erişim: 28 Ekim 2026)
  19. Kayıt Kuruluşları — TRABİS (erişim: 28 Ekim 2026)
  20. İstatistik (Özet) — TRABİS (erişim: 28 Ekim 2026)
  21. Get Started — Google Public DNS (erişim: 28 Ekim 2026)
  22. 1.1.1.1 IP addresses — Cloudflare (erişim: 28 Ekim 2026)

Bu yazı yapay zekâ desteğiyle taslak olarak hazırlanmış; kaynakları ve bilgileri editörümüz tarafından kontrol edilmiştir. Yapay zekâ kullanım politikamız

İlgili yazılar