• DoH ve DoT ile DNS güvenliği nedir? DoH DoT kavramları ve temel farklar
• Neden DoH DoT DNS güvenliği küçük ve orta ölçekli sunucular için önemli?
• Küçük ve Orta Ölçekli Sunucular İçin Adım Adım DoH DoT Yapılandırma Rehberi
• DoH DoT DNS Güvenliğinde Performans, Log ve İzleme Nasıl Sağlanır?
• Gerçek Dünya Uygulamaları ve Senaryolar
• Sık Sorulan Sorular (DoH DoT DNS Güvenliği)
• Sonuç ve Çağrı

DoH ve DoT ile DNS güvenliği nedir? DoH DoT kavramları ve temel farklar

DoH (DNS-over-HTTPS) ve DoT (DNS-over-TLS) hem DNS sorgularını şifreleyerek güvenliği artırır hem de verilerin üçüncü taraflarca izlenmesini zorlaştırır. DoH, DNS sorgularını HTTPS üzerinden taşıyarak mevcut web trafiğiyle aynı protokolü kullanır ve port 443 üzerinde çalışır. Bu sayede güvenlik ve uyumluluk açısından modern web altyapılarıyla uyumlu bir çözümdür. DoT ise doğrudan TLS üzerinden çalışır ve genelde port 853 kullanır; DNS trafiğini ayrı bir protokolle şifreler, fakat web trafiğinden bağımsızdır.

Her iki yaklaşım da veri bütünlüğünü ve gizliliğini artırır; ancak bazı farklılıklar vardır. DoH daha esnek ve kolay konuşlandırılabilir bir yapıya sahibken, DoT daha net bir DNS trafiği izolasyonu sağlar. Peki ya kis aylarinda? Kesin olmamakla birlikte, DoH çoğu kurum ve servis sağlayıcısı için yaygın olarak tercih edilirken, DoT daha sık kendi ağ altyapısında güvenli bir şekilde yönetilen küçük ve orta ölçekli ortamlar için popülerdir. Uzmanlarin belirttigine göre, uygun bir yapılandırmayla her iki yöntemi de aynı anda veya ayrı uçlarda kullanmak mümkündür.

DoH ve DoT arasındaki temel farklar

• Port ve protokol: DoH HTTPS üzerinden çalışır (443), DoT TLS üzerinden (853).
• Entegrasyon: DoH, Web trafiğiyle aynı kanalda roller üstlenebilir; DoT ise bağımsız bir DNS taşıyıcısı olarak daha sade bir izolasyon sunar.
• Güvenlik yaklaşımları: Her iki durumda da sorgu gizliliği ve bütünlük hedeflenir; log yönetimi ve performans etkileri farklı senaryolarda değişebilir.

Neden DoH DoT DNS güvenliği küçük ve orta ölçekli sunucular için önemli?

Hepimizin basına gelebilir: bir şirkette çalışanlar uzak ağlardan bağlandığında DNS sorgularını korumasız bırakmak güvenlik risklerini artırır. DoH DoT ile DNS trafiğini şifrelemek, dışarıdan izinsiz dinlemeyi ve manipülasyonu zayıflatır. Özellikle akıllı cihazlar, ev ofis kullanıcıları ve bulut tabanlı altyapılar için bu koruma hemen fark edilir şekilde etkilidir. Ayrıca, güvenlik politikaları modern işletim sistemleri ve güvenlik ekipleri için standart bir gereklilik haline gelmiştir. Yapılan arastirmalara göre, şifreli DNS çözümleri cihazlar arasında istikrarı ve güvenlik farkındalığını artırır.

Bir diğer önemli nokta, loglama ve uyumluluk tarafıdır. DoH DoT çözümleri, izlerin nasıl tutulduğunu ve ne kadar süreyle saklandığını belirler. DoT tarafında yerel çözümler, firmaların kendi ağ üzerinde tam kontrol sağlar; DoH tarafında ise merkezi bir uç nokta üzerinden izleme ve analitik daha kolay olabilir. Su anda en iyi yöntem, ihtiyaçlarınıza ve teknik kapasitenize göre ikisini de dengeli kullanmaktır. Bu sayede hem gizlilik hem de denetlenebilirlik sağlanır.

Küçük ve Orta Ölçekli Sunucular İçin Adım Adım DoH DoT Yapılandırma Rehberi

Ana hedef: güvenli, izlenebilir ve güvenilir bir DNS altyapısı kurmak. Aşağıdaki adımlar, çoğu SME (Small and Medium Enterprise) için uygulanabilir temel bir yol haritası sunar. Not: bu süreçte hatasız çalışacağı garantisi olmasa da, adım adım yaklaşım çoğu problemi önceden görmenize yardımcı olur.

• Planlama ve hedef belirleme: Hangi uçların DoT’u ya da DoH’u kullanacağını belirleyin. İç DNS çözümleyici olarak Unbound veya Knot kullanmayı düşünebilirsiniz. Ayrıca, hangi uç noktaların DoH üzerinden erişeceğini ve hangi uç noktaların DoT ile güvenli iletişim kuracağını netleştirin.
• TLS sertifikaları: DoH uç noktaları için TLS sertifikası gerekir. Let’s Encrypt gibi CA’lar kısa sürede geçerli sertifikalar sağlar. Sertifikaların 90 gün gibi kısa yenileme süreleriyle yönetilmesi gerektiğini unutmayın; otomatik yenileme iş akımı kurun.
• Ağ güvenliği ve port yönetimi: DoT için 853, DoH için 443 portlarını güvenli şekilde açın. Gereksiz trafiği engelleyin ve yalnızca yetkili IP aralıklarından erişime izin verin. Yerel DNS çözümleyiciye (ör. 127.0.0.1) yönlendirme kurun.
• Yapılandırma ve uç noktaları izleme: DoH uç noktası ve DoT çözücüsünün günlüklerini (log) merkezi bir hedefe yönlendirin. Aynı zamanda gizlilik ayarlarını yapılandırın; kullanıcı kimliklerini mümkün olduğunca maskeleyin.
• Test ve validasyon: Aygıtlarınızın DNS taleplerinin DoH/DoT üzerinden doğru şekilde çözümlendiğini test edin. Örneğin, dig komutuyla DoT uç noktasına karşı test yapmak yerine güvenli uç noktalara uygun sorgular deneyin ve performans ölçümlerini kaydedin.
• Dokümantasyon ve süreçler: Yapılandırma adımlarını, sertifika yönetimini ve log politikalarını yazılı olarak kaydedin. Böylece ekip içinde bilgi paylaşımı kolaylaşır ve gelecekte bakım da hızlanır.

DoT için Unbound veya Knot gibi yerel çözücü kullanımı

DoT için dosya tabanlı veya konfigürasyon tabloları üzerinden TLS bağlantılarını yönetebilirsiniz. Unbound, DoT ile uyumlu olarak çalışabilir ve yerel ağınıza güvenli DNS çözümlemesi sağlar. Uygulamadan bağımsız olarak TLS ile güvenli iletişimi sağlamak için kapsamlı TLS ayarları ve sertifika yönetimi gerekir. DoT kurulumunu basitleştirmek için, küçük ortamlar için üretici belgelerine göre adım adım ilerlemek daha güvenlidir.

DoH uç noktası kurulumunun temel yaklaşımları

DoH için uç noktası kurarken, genelde iki yaklaşım söz konusu olur: kendi DoH sunucunuzu kurmak veya güvenilir bir üçüncü taraf uç noktası kullanmak. Kendi uç noktanızı kurduğunuzda, tamamen kontrol sizde olur; üçüncü taraf ise daha hızlı devreye alınır ve bakım maliyetlerini düşürür. Hangi yolu seçeceğiniz, güvenlik politikalarınıza ve operasyonel kapasitenize bağlıdır. Ayrıca, DoH için uygun bir HTTP sunucusu (Nginx, Apache) ile DNS sorgularını yönlendiren bir aracı katman kurmanız gerekebilir.

DoH DoT DNS Güvenliğinde Performans, Log ve İzleme Nasıl Sağlanır?

Şifreli DNS trafiği, ek işlem gücü ve bellek talebinde bulunabilir. SME ortamlarında, birden fazla uç noktaya hizmet verecek şekilde backbone kapasitesini düşünün. Genel tavsiyeler:

• CPU ve bellek kapasitesi: Küçük sunucular için en az 1 vCPU ve 2–4 GB RAM başlangıç göstergesi olarak düşünün; orta ölçekli ortamlar için 2 vCPU ve 4–8 GB RAM veya daha fazlası önerilir.
• Performans izleme: En kritik metricler HTTPs/TLS handshake süresi, yanıt süresi ve sorgu işleme başına zamanlardır. Bu verileri bir yönetime entegre edin ve 1–5 dakikalık ortalamalarla takip edin.
• Log yönetimi: DoT ve DoH işlemlerinden elde edilen loglar güvenlik analitiği için değerlidir. Ancak veri koruma nedeniyle kimlik ve kullanıcı bilgilerini anonimleştirin. Log saklama sürelerini yasal gerekliliklerle uyumlu olarak ayarlayın.
• Güvenlik politikaları: DNSSEC ile entegrasyon mümkünse, güvenliği daha da güçlendirebilirsiniz. Ayrıca, logların merkezi bir SIEM sistemine iletilmesi izleme ve anomali tespiti için faydalıdır.

Gerçek Dünya Uygulamaları ve Senaryolar

Bir e-ticaret platformu ve bir SaaS hizmet sağlayıcısı düşünelim. Küçük bir ekip, kendi veri merkezinde Unbound tabanlı DoT çözümleyici kurdu ve dünya genelindeki ofislerden gelen DNS isteklerini bu uç noktaya yönlendirdi. Hizmet kesintisini azaltmak için DoT ile temel güvenlik sağlandı; bölgeler arası gecikme ise yerel DNS sorguları üzerinden optimize edildi. Benzer bir senaryoda, bir kurum bulut hizmetleri kullanıyorsa DoH uç noktalarını kendi DMZ’sinde barındırabilir ve mevcut güvenlik duvarı politikalarını bozmadan güvenliği artırabilir. Bu tür uygulamalarda test ve validasyon süreçlerini sıkı tutmak, problem tespitini hızlandırır ve hatalı yönlendirmeleri engeller.

Sık Sorulan Sorular (DoH DoT DNS Güvenliği)

1. DoH ve DoT için hangi işletim sistemi daha uygundur? Çoğu ana akım Linux dağıtımları (Ubuntu, Debian, CentOS/RHEL) hem DoT hem DoH çözümlerini destekler. Windows Server tarafında da DoH/DoT yapılandırmaları mümkün olsa da, üçüncü taraf araçlar ve sertifika yönetimi gerektirebilir.
2. Performans üzerinde hangi etkiler beklenir? Şifreleme işlemleri ek CPU kullanımı getirir; SME tarafında 1–2 çekirdekli bir CPU’ya sahip bir sunucu için DoT/DoH ile çalışırken yaklaşık %5–%15 arası ek yük olabileceği öngörülür. Ancak doğru konfigürasyonla yanıt süreleri çoğu durumda kabul edilebilir kalır.
3. Loglar nasıl yönetilir ve güvenli tutulur? Loglar merkezi bir güvenlik izleme altyapısına yönlendirilmeli ve mümkünse anonimleştirilmelidir. Log saklama süresi, yerel mevzuat ve iş gereksinimlerine göre belirlenmelidir; ayrıca log güvenliği için erişim kontrolleri ve şifreli aktarım kullanılması önerilir.

Sonuç ve Çağrı

DoH ve DoT, DNS güvenliğini güçlendirmek için güçlü araçlar sunar. Küçük ve orta ölçekli sunucular için, doğru planlama, güvenli uç noktaların kurulumu, sertifika yönetimi ve etkili log/izleme ile güvenlik anlamında önemli bir adım atılmış olur. Sizin için en uygun yaklaşım, mevcut altyapınız ve güvenlik politikalarınızla uyumlu bir kombinasyon bulmaktır. Deneyimlerimize göre, DoT ile yerel kontrol ve DoH ile esneklik arasındaki denge en iyi sonuçları verir. Unutmayın: güvenlik sürekli bir süreçtir ve düzenli güncellemeler, testler ve denetimler bu sürecin çekirdeğini oluşturur.

İsterseniz bu konuyu kendi sunucularınız üzerinde uygulamaya geçirebilmeniz için profesyonel destek veya yönlendirme alabilirsiniz. Aşağıdaki aksiyonlarla başlayın: altyapı envanterinizi çıkarın, güvenli uç noktaların taslağını oluşturun ve bir pilot proje ile adımları test edin. İsterseniz bu içeriği paylaşarak arkadaşlarınızın da faydalanmasını sağlayabilirsiniz.

Çağrı: DoH DoT DNS güvenliği konusunda daha derin bir yol haritası için iletişime geçin veya yorumlarınızı paylaşın. Sizin için özel bir yapılandırma planı oluşturmamızı ister misiniz?

DoH DoT DNS Güvenliği: Uygulama Rehberi yazısı ilk önce Sunucu 101 üzerinde ortaya çıktı.