dig ve delv ile DNS Sorgulama: Kayıt Türleri, DNSSEC Doğrulama ve Sorun Giderme

Selamlar,

BIND 9 açığı (CVE-2026-94300) gündemdeyken DNS araçlarına sağlam bir giriş yapalım. dig ve delv, BIND projesinin parçası olan ve neredeyse her Linux dağıtımında bulunan iki sorgu aracı. dig her şeyi ham olarak gösterir; delv ise yanıtları DNSSEC zinciriyle doğrulamaya odaklanır. Bu rehberdeki tüm örnekleri kendi alan adlarınızda veya herkese açık örnek alan adlarında güvenle deneyebilirsiniz.

Konuda anlatılacaklar

1. Kurulum
   
2. dig temelleri ve çıktıyı okumak
   
3. Kayıt türleri: A, AAAA, MX, TXT, NS, CAA
   
4. +trace ile çözümleme yolunu izlemek
   
5. delv ile DNSSEC doğrulama
   
6. Sık kullanılan sorun giderme senaryoları
   

Kurulum

dig temelleri
Çıktıda bakılacak yerler:

• status: NOERROR (başarılı), NXDOMAIN (alan adı yok), SERVFAIL (sunucu yanıt üretemedi; DNSSEC hatası da olabilir).
  
• flags: qr (yanıt), rd (özyineleme istendi), ra (özyineleme sunuldu), aa (yetkili yanıt), ad (DNSSEC doğrulandı).
  
• ANSWER SECTION: kayıt ve TTL değeri.
  
• SERVER: yanıtı hangi çözümleyicinin verdiği.
  

Kısa çıktı için +short, belirli bir çözümleyici için @ kullanın:

Kayıt türleri
Kendi alan adınızda CAA kaydı yoksa, kurallara uyan herhangi bir CA sizin adınıza sertifika verebilir. CAA kaydıyla yalnızca kullandığınız CA'ları yetkilendirmek, yanlış veya sahte sertifika talebine karşı ucuz bir sertleştirmedir.

+trace ile çözümleme yolu
Kökten (.) başlayıp TLD'ye, oradan yetkili sunucuya kadar her adımı gösterir. "Bazı yerlerden çözülüyor, bazı yerlerden çözülmüyor" sorunlarında yanlış NS delegasyonunu bulmanın en hızlı yolu budur.

delv ile DNSSEC doğrulama
Başarılı doğrulamada çıktının başında "; fully validated" görürsünüz; imzasız zone'larda "; unsigned answer". dig ile de DO bitini isteyip ad bayrağına ve RRSIG kayıtlarına bakabilirsiniz:

Sorun giderme senaryoları

• Yeni kayıt görünmüyor: Yetkili sunucuya doğrudan sorun (dig @ns1.ornek.com kayit). Orada varsa sorun çözümleyici önbelleğinde; TTL dolmasını bekleyin.
  
• SERVFAIL ama başka çözümleyicide çalışıyor: dig +cd ile (checking disabled) tekrar sorun; +cd ile çalışıyorsa DNSSEC imza sorunu var.
  
• TCP/büyük yanıt sorunları: dig +tcp ile deneyin; güvenlik duvarı 53/TCP'yi engelliyor olabilir.
  

Hatırlatma: Başkasına ait DNS sunucularında zone transferi (AXFR) denemeleri izinsiz tarama sayılabilir; bu tür testleri yalnızca kendi sunucularınızda yapın.

DNS sorun gidermede en çok hangi dig seçeneğini kullanıyorsunuz? Favori tek satırlıklarınızı ekleyin.

Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.

Kaynaklar

• https://bind9.readthedocs.io/en/stable/manpages.html
  
• https://kb.isc.org/docs/cve-2026-94300
  
• https://www.rfc-editor.org/rfc/rfc4033