DNS Proxy

DNS proxy, istemci cihazlardan gelen DNS sorgularını yakalayan, işleyen ve upstream DNS resolver'lara ileten bir ara sunucudur; tüm DNS trafiği için bir ağ geçidi görevi görür. Temel işlevi, DNS çözümleme isteklerini yetkili DNS sunucularına ulaşmadan önce yönetmek ve optimize etmektir; böylece güçlendirilmiş güvenlik, daha iyi performans ve DNS işlemleri üzerinde merkezi denetim sağlar.

DNS çözümlemesi nasıl çalışır

Bir DNS proxy'yi anlamak için standart DNS çözümleme sürecini kavramak şarttır:

1. Bir istemci uygulaması (örneğin web tarayıcısı) bir kaynağa hostname ile erişmeye çalışır (örneğin www.example.com).
2. İstemcinin işletim sistemi yerel DNS önbelleğini kontrol eder. Kayıt bulunmazsa, yapılandırılmış yerel DNS resolver'a (genellikle bir ISP tarafından ya da Google DNS veya Cloudflare DNS gibi bir genel DNS hizmeti tarafından sağlanır) bir DNS sorgusu gönderir.
3. Yerel DNS resolver önce kök DNS sunucularını, ardından Üst Düzey Alan Adı (TLD) DNS sunucularını (örneğin .com) ve en sonunda alan adının (example.com) yetkili DNS sunucularını sorgular.
4. Yetkili DNS sunucusu, hostname'e karşılık gelen IP adresini döndürür.
5. Yerel DNS resolver bu kaydı önbelleğe alır ve istemciye geri gönderir.
6. İstemci IP adresini alır ve hedef sunucuya bağlantı başlatır.

Bir DNS proxy nasıl çalışır

DNS proxy kendini bu sürecin arasına yerleştirir. İstemci doğrudan bir upstream DNS resolver'ı sorgulamak yerine tüm DNS isteklerini proxy sunucusuna gönderir. Sonraki adımları proxy üstlenir:

1. İstemci sorgusu: İstemci cihaz, birincil DNS sunucusu olarak DNS proxy'nin IP adresini kullanacak şekilde yapılandırılır. İstemcinin bir hostname'i çözümlemesi gerektiğinde proxy'ye bir DNS sorgusu gönderir.
2. Proxy'de işleme: Sorguyu alan DNS proxy, yapılandırmasına göre çeşitli işlemler yapar:
   • Önbellekleme: İstenen kayıt için yerel önbelleğini kontrol eder. Kayıt varsa ve geçerliyse, upstream sorgularını atlayarak önbellekteki kaydı doğrudan istemciye döndürür.
   • Filtreleme/politika uygulama: Sorguyu tanımlı kurallara göre değerlendirir (örneğin zararlı alan adları için blocklist'ler, ebeveyn denetimi filtreleri). Alan adı engelliyse proxy, var olmayan alan adı (NXDOMAIN) yanıtı, belirli bir hata sayfası IP'si döndürebilir ya da sorguyu yönlendirebilir.
   • Günlükleme: Sorguyu denetim, analiz veya hata ayıklama amacıyla kaydeder.
   • Protokol dönüştürme: Standart UDP DNS sorgularını (DNS over UDP/TCP), upstream'e iletmeden önce şifreli DNS sorgularına (DNS over HTTPS/TLS) dönüştürebilir.
   • Yük dengeleme: Birden fazla upstream resolver ile yapılandırıldıysa, performansı optimize etmek veya yedeklilik sağlamak için sorguları bunlar arasında dağıtabilir.
3. İletme: Kayıt önbellekte değilse ya da daha ileri çözümleme gerekiyorsa, proxy sorguyu yapılandırılmış upstream DNS resolver'lara iletir. Bu upstream resolver'lar genel DNS hizmetleri, ISP DNS sunucuları veya kurum içi şirket DNS sunucuları olabilir.
4. Upstream çözümleme: Upstream DNS resolver standart özyinelemeli DNS çözümleme sürecini yürütür.
5. Yanıtın işlenmesi: Upstream resolver IP adresini DNS proxy'ye geri gönderir.
6. Proxy yanıtı: Proxy yanıtı alır, uygunsa önbelleğe koyar, varsa son politikaları uygular ve ardından IP adresini asıl istemciye geri gönderir.

Örnek istemci yapılandırması (Linux resolv.conf)

192.168.1.1 adresindeki bir DNS proxy'yi kullanacak şekilde yapılandırılmış bir istemci cihazda şuna benzer bir satır bulunur:

# /etc/resolv.conf
nameserver 192.168.1.1

Örnek DNS proxy yapılandırması (kavramsal dnsmasq)

Önbellekleyen ve ileten bir DNS proxy olarak çalışan basit bir dnsmasq yapılandırması:

# /etc/dnsmasq.conf
cache-size=10000        # 10.000 DNS kaydına kadar önbelleğe al
listen-address=192.168.1.1 # Sorguları bu IP üzerinde dinle
server=8.8.8.8          # Sorguları Google Public DNS'e ilet
server=1.1.1.1          # İkincil upstream olarak Cloudflare DNS kullan
log-queries             # Tüm DNS sorgularını günlüğe yaz

Temel özellikler ve avantajlar

DNS proxy'ler birkaç avantaj sunar:

Güvenlik

• Filtreleme ve engelleme: Proxy'ler, bilinen zararlı alan adlarına (kötü amaçlı yazılım, phishing, botnet) erişimi DNS düzeyinde engellemek için tehdit istihbaratı akışlarıyla entegre olabilir.
• Politika uygulama: Belirli içerik kategorilerini engellemek veya güvenli aramayı zorunlu kılmak gibi erişim politikalarını hayata geçirir.
• DNSSEC doğrulaması: Bazı proxy'ler istemciler adına DNSSEC doğrulaması yaparak DNS yanıtlarının özgünlüğünü ve bütünlüğünü güvence altına alabilir.
• Şifreli DNS ağ geçidi: İstemcilerden gelen şifresiz DNS sorgularını upstream resolver'lar için DNS over HTTPS (DoH) veya DNS over TLS (DoT) sorgularına dönüştüren bir ağ geçidi görevi görerek DNS trafiğini şifreler ve gizliliği artırır.

Performans

• Önbellekleme: Sık istenen DNS kayıtlarını önbelleğe alan proxy'ler, upstream sunucuları sorgulama ihtiyacını azaltır; gecikmeyi düşürür ve sonraki isteklerde çözümleme hızını artırır.
• Yük dengeleme: DNS sorgularını birden fazla upstream resolver'a dağıtarak tek bir arıza noktasını önler ve yanıt sürelerini optimize eder.
• Azalan upstream yükü: Sorguları bir proxy üzerinden merkezileştirmek, upstream DNS sunucularındaki doğrudan sorgu yükünü azaltır.

Gizlilik

• Sorgu anonimleştirme: Upstream DNS resolver, sorguları tek tek istemci IP'lerinden değil, proxy sunucusunun IP adresinden geliyormuş gibi görür; bu da istemci gizliliğini artırır.
• Şifreleme ağ geçidi: Belirtildiği gibi, şifresiz istemci sorgularını upstream'de DoH/DoT'a dönüştürmek DNS trafiğini dinlemeye ve manipülasyona karşı korur.

Denetim ve görünürlük

• Merkezi yönetim: Tüm DNS trafiği tek bir noktadan geçer; bu da yapılandırma ve yönetimi basitleştirir.
• Günlükleme ve denetim: Kapsamlı DNS sorgu günlükleri ağ etkinliğine dair içgörü sağlar, sorun gidermeye yardımcı olur ve uyumluluk gereksinimlerini destekler.
• Özel yanıtlar: Belirli sorgular için özel yanıtlar tanımlayın; örneğin dahili alan adlarını özel IP adreslerine yönlendirin ya da özel hata sayfaları döndürün.

DNS proxy türleri

"DNS proxy" terimi genellikle bir forward proxy'yi ifade etse de uygulamalar farklılık gösterir:

• Yerel DNS proxy (istemci tarafı): Doğrudan istemci cihazda çalışan yazılım (örneğin Linux'ta systemd-resolved, Windows'ta DNS istemci hizmetleri); sorguları önbelleğe alır ve yapılandırılmış resolver'lara iletir.
• Ağ düzeyinde DNS proxy (yönlendirici/güvenlik duvarı): Yönlendirici, güvenlik duvarı veya özel DNS cihazları gibi ağ donanımlarına entegredir. Yerel ağ segmentindeki tüm istemcilere hizmet eder.
• Bulut tabanlı DNS proxy: Üçüncü taraf sağlayıcıların sunduğu, DNS sorgularını küresel ölçekte yakalayıp işleyen ve genellikle gelişmiş güvenlik, filtreleme ve performans özellikleri sunan hizmetler. İstemciler DNS ayarlarını bulut hizmetinin IP adreslerini gösterecek şekilde yapılandırır.

DNS proxy ile geleneksel DNS resolver karşılaştırması

Yaygın kullanım senaryoları

• Reklam engelleme ve kötü amaçlı yazılım koruması: Reklam ve zararlı alan adlarının blocklist'lerini tutan bir DNS proxy, istemcilerin bu alan adlarını çözümlemesini engelleyebilir; böylece reklamları etkili biçimde engeller ve tehditlere karşı korur.
• Ebeveyn denetimi ve içerik filtreleme: Önceden tanımlı kurallara göre belirli web sitesi kategorilerine (örneğin yetişkin içeriği, sosyal medya) erişimi kısıtlar.
• Coğrafi engel kaldırma (Smart DNS): Bazı proxy'ler DNS yanıtlarını değiştirerek, tüm trafiği bir VPN üzerinden geçirmeden, coğrafi kısıtlamalı içeriğin farklı bir konumdan erişilebilir görünmesini sağlayabilir.
• Dahili ağ yönetimi: Kurumsal ortamlarda bir DNS proxy, dahili alan adı sorgularını yetkili bir dahili DNS sunucusuna iletirken dış sorguları genel resolver'lara yönlendirebilir; bu da hibrit ortamları basitleştirir.
• Yük dengeleme ve yük devretme: Yüksek erişilebilirlik ve en iyi performans için DNS sorgularını birden fazla upstream resolver'a dağıtır.
• Günlükleme ve denetim: Güvenlik izleme, uyumluluk ve ağ hata ayıklaması için DNS sorgu günlüklerini merkezileştirir.
• DNS over HTTPS/TLS (DoH/DoT) ağ geçidi: DoH/DoT'u yerel olarak desteklemeyen cihazlara şifreli DNS sağlar ve tüm ağ trafiği için gizliliği artırır.