DNS zone transfer nedir?

DNS zone transfer, bir alan adının DNS bölgesindeki kayıtların yetkili bir DNS sunucusundan başka bir yetkili DNS sunucusuna aktarılmasıdır. Genellikle birincil DNS sunucusundaki kayıtları ikincil DNS sunucusuyla eşitlemek, yedeklilik sağlamak ve DNS hizmetinin tek sağlayıcıya bağlı kalmasını önlemek için kullanılır. Bu işlem alan adı taşıma işlemi veya DNS sorgusunun yönlendirilmesi değildir; doğrudan DNS sunucuları arasındaki kayıt senkronizasyonudur.

AXFR ve IXFR arasındaki fark​

Zone transfer için iki temel yöntem kullanılır:

• AXFR: Bölgenin tamamını aktarır. İlk senkronizasyon veya ikincil sunucunun mevcut verisini tamamen yenilemesi gerektiğinde kullanılır.
• IXFR: Son başarılı aktarımından sonra değişen kayıtları aktarır. Büyük bölgelerde gereksiz veri aktarımını azaltır.

Bir DNS altyapısında genellikle birincil sunucu bölgenin kaynak kopyasını tutar. İkincil sunucu, değişiklik bildirimi aldıktan sonra veya belirli aralıklarla birincil sunucudan güncel bölgeyi ister. Başarılı aktarımda SOA kaydındaki seri numarası da güncellenmiş veriyle birlikte değerlendirilir.

Aşağıdaki örnekte 192.0.2.53, yalnızca dokümantasyon amacıyla kullanılan varsayımsal birincil DNS sunucusudur. Gerçek bir sistemde bu adres yerine yalnızca yetkili olduğunuz DNS sunucusunu kullanın.

Yetkili bir sunucuda AXFR nasıl kontrol edilir?​

1. Zone transfer için izin verilmiş ikincil sunucunun IP adresini, TSIG anahtarını ve kullanılacak DNS bölgesini belirleyin. Örnek bölge example.com, varsayımsal DNS sunucusu ise 192.0.2.53 olsun.
2. BIND dig kurulu Unix benzeri ortamda, sunucunun tanıdığı TSIG anahtar dosyası mevcutsa aşağıdaki sorgu kullanılabilir. Dosya yolu örnektir; gerçek sırrı komut satırına -y ile yazmayın. Yalnız IP izni kullanılıyor ve TSIG gerekmiyorsa -k kısmı kullanılmaz:
   
   Bash:

   dig -k /guvenli/yol/transfer.key @192.0.2.53 example.com AXFR

3. Başarılı sonuçta bölgedeki kayıtlar, SOA kaydı ve genellikle bölgenin NS, A, AAAA, MX veya TXT kayıtları listelenir. Klasik AXFR TCP kullandığı için güvenlik duvarında DNS aktarım trafiğinin engellenmediğini kontrol edin.
4. Sonucu, ikincil DNS sunucusunun kayıtlarıyla ve SOA seri numarasıyla karşılaştırın. Kayıtlar aynı değilse değişikliğin doğru birincilde yapıldığını, SOA seri numarasının doğru ilerletildiğini, NOTIFY/refresh ayarlarını ve ikincil sunucu günlüklerini kontrol edin. Sebep anlaşılmadan seri numarasını rastgele artırmayın.

Beklenen başarı çıktısı, bölge kayıtlarının tamamının döndürülmesidir. REFUSED yanıtı çoğunlukla istemci IP adresinin zone transfer listesinde bulunmadığını veya TSIG doğrulamasının başarısız olduğunu gösterir. SERVFAIL, NOTAUTH ya da zaman aşımı ise yanlış sunucuya sorgu gönderildiğini, sunucunun bölge için yetkili olmadığını veya ağ/uygulama yapılandırmasında sorun bulunduğunu düşündürür. Yetkiniz olmayan üçüncü taraf sunucularda AXFR denemek doğru bir teşhis yöntemi değildir.

Mekanizmaları birbirinden ayırma​

Zone transfer erişimi nasıl sınırlandırılır?​

Zone transfer normal DNS sorgularından farklıdır; bölgedeki tüm kayıtları açığa çıkarabilir. Bu nedenle birincil sunucuda aktarım yalnızca belirlenen ikincil sunucu IP adreslerine izin verecek şekilde sınırlandırılmalıdır. TSIG, mesaj kaynağını ve bütünlüğünü doğrular; aktarım içeriğini şifrelemez. Ortak anahtar yalnız gereken sunucu ve yetkili istemcilerde korunmalı; hassas ortamlarda aktarım trafiğinin gizliliği için TLS tabanlı zone transfer seçenekleri değerlendirilmelidir. Varsayılan olarak herkese açık AXFR yapılandırması kullanılmamalıdır.

Karar verirken temel yaklaşım şöyledir: küçük veya ilk kez eşitlenen bölgede AXFR, düzenli küçük değişikliklerde IXFR, farklı DNS sağlayıcıları arasında yedeklilik isteniyorsa birincil-ikincil zone transfer mimarisi kullanılır. Ancak sağlayıcıların AXFR/IXFR, NOTIFY ve TSIG özelliklerini birlikte desteklediği doğrulanmadan DNS değişikliği yapılmamalıdır.

Sık sorulan sorular​

Zone transfer ile DNS kayıtlarını herkese açmak aynı şey midir?​

Hayır. Normal DNS sorgusu bir ad ve kayıt türü için yanıt ister; yanıtta birden fazla kayıt bulunabilir. Zone transfer ise yetkilendirilmiş sunucuya bölgenin geniş bir kopyasını aktarır. Yanlış yapılandırılmış AXFR, bölgedeki kayıtların topluca öğrenilmesine neden olabilir.

DNSSEC zone transfer yerine geçer mi?​

Hayır. DNSSEC, DNS yanıtlarının doğrulanmasına yardımcı olur; birincil ve ikincil sunucular arasındaki kayıt kopyalama işini zone transfer mekanizmaları gerçekleştirir.