NSD İsim Sunucusunda DNSSEC Kurulumu (Ubuntu 14.04 Üzerinde)

NSD İsim Sunucusunda DNSSEC Kurulumu (Ubuntu 14.04 Üzerinde)

Giriş ve DNSSEC Temelleri

İnternet’in temel taşlarından biri olan Alan Adı Sistemi (DNS), web sitelerinin ve diğer ağ kaynaklarının insan tarafından okunabilir isimlerini (örneğin, example.com) makine tarafından okunabilir IP adreslerine çevirir. Ancak, DNS’in ilk tasarımı güvenlik mekanizmalarını içermediği için, çeşitli saldırılara karşı savunmasızdır. Bu güvenlik açıkları, kullanıcıları yanlış web sitelerine yönlendirme, e-posta trafiğini ele geçirme veya diğer kötü niyetli faaliyetler için kullanılabilir. Bu tür saldırılara en bilinen örnek, bir DNS sunucusunun veya istemcisinin önbelleğini zehirleyerek (cache poisoning) kullanıcıları sahte bir siteye yönlendiren DNS zehirlenmesi saldırılarıdır.

DNSSEC (Domain Name System Security Extensions), DNS’e kriptografik güvenlik ekleyerek bu tür saldırılara karşı koruma sağlamak amacıyla geliştirilmiştir. DNSSEC, DNS yanıtlarının kimliğini doğrular ve veri bütünlüğünü garanti eder, böylece bir kullanıcının doğru IP adresine yönlendirildiğinden emin olunmasını sağlar. DNSSEC, mevcut DNS altyapısının üzerine inşa edilmiş bir dizi uzantıdır ve dijital imzalar kullanarak DNS verilerinin doğruluğunu kanıtlar. Bu, DNS sorgularının ve yanıtlarının değiştirilmediğini ve yetkili bir kaynaktan geldiğini doğrular.

DNSSEC’in sağladığı temel faydalar şunlardır:

* Veri Bütünlüğü: DNS verilerinin iletim sırasında değiştirilmediğini garanti eder.
* Kimlik Doğrulama: DNS yanıtlarının gerçekten yetkili bir isim sunucusundan geldiğini doğrular.
* Önbellek Zehirlenmesi Koruması: Kötü niyetli kişilerin DNS önbelleklerini zehirlemesini engeller.
* Güven Zinciri: Kök bölgeden başlayarak alt bölgelere doğru bir güven zinciri oluşturur.

DNSSEC’in çalışma prensibi, kriptografik anahtarlar ve dijital imzalar üzerine kuruludur. Her DNS bölgesi (zone), özel ve genel anahtar çiftleri oluşturur. Bölge dosyaları, özel anahtarlar kullanılarak imzalanır ve bu imzalar (RRSIG kayıtları) DNS yanıtlarına eklenir. Genel anahtarlar (DNSKEY kayıtları) ise DNS üzerinden yayınlanır. Bir DNS çözümleyicisi, bir DNS yanıtını aldığında, yanıtla birlikte gelen dijital imzayı, bölgenin genel anahtarını kullanarak doğrular. Eğer imza geçerliyse, yanıtın orijinal ve değiştirilmemiş olduğu kabul edilir. Bu güven zinciri, en üst düzeydeki kök bölgeden başlayarak aşağı doğru her bölgenin bir üst bölge tarafından imzalanmasıyla oluşur.

NSD ve DNSSEC Entegrasyonu

NSD (Name Server Daemon), birincil (primary) ve ikincil (secondary) DNS sunucusu olarak görev yapmak üzere tasarlanmış, açık kaynaklı, yetkili (authoritative) bir isim sunucusudur. Özellikle performans ve güvenlik odaklıdır. BIND gibi diğer yetkili isim sunucularına kıyasla daha az kaynak tüketir ve genellikle daha basittir. NSD, yalnızca yetkili DNS sorgularına yanıt vermek üzere optimize edilmiştir; yani recursive (özyinelemeli) sorguları çözmez. Bu, onu özellikle üst düzey etki alanları (TLD’ler) ve büyük ölçekli DNS altyapıları için ideal bir seçim haline getirir.

NSD, DNSSEC’i destekler ve bu makalede Ubuntu 14.04 üzerinde NSD kullanarak bir DNS bölgesini nasıl güvenli hale getireceğimizi ayrıntılı olarak inceleyeceğiz. Ubuntu 14.04, nispeten eski bir işletim sistemi sürümü olmasına rağmen, birçok üretim ortamında hala kullanılmaktadır. Bu nedenle, bu platform üzerindeki kurulum adımlarına özel dikkat göstereceğiz. NSD’nin DNSSEC desteği, zone dosyalarının imzalanmasını ve bu imzaların doğru bir şekilde yayınlanmasını sağlar.

Ön Hazırlıklar

DNSSEC kurulumuna başlamadan önce sistemin güncel olduğundan ve gerekli paketlerin kurulu olduğundan emin olmalıyız.

Sistem Güncelleme

İlk adım olarak, sistem paket listesini güncelleyelim ve mevcut paketleri yükseltelim:

sudo apt-get update
sudo apt-get upgrade -y

Gerekli Paketlerin Kurulumu

NSD’nin kendisi ve DNSSEC anahtarlarını oluşturmak ve bölgeleri imzalamak için ldnsutils paketine ihtiyacımız olacak. ldnsutils paketi, ldns-keygen ve ldns-signzone gibi araçları içerir.

sudo apt-get install nsd ldnsutils -y

Bu komut, NSD sunucusunu ve DNSSEC işlemleri için gerekli olan ldnsutils araçlarını kuracaktır.

NSD Yapılandırma Dosyası (nsd.conf) Temel Ayarları

NSD’nin temel yapılandırması /etc/nsd/nsd.conf dosyasında bulunur. Bu dosyayı düzenleyerek sunucunun dinleyeceği IP adreslerini, günlükleme ayarlarını ve yetkili olacağı bölgeleri belirleyeceğiz.

Örnek bir nsd.conf dosyası:

# /etc/nsd/nsd.conf

server:
    # NSD'nin dinleyeceği IP adresleri (IPv4 ve IPv6)
    ip-address: 192.168.1.100  # Kendi sunucunuzun IP adresini buraya yazın
    # ip-address: 2001:db8::1  # Eğer IPv6 kullanıyorsanız

    # Dinleyeceği port (varsayılan 53)
    port: 53

    # NSD'nin çalışacağı kullanıcı ve grup
    username: nsd
    chroot: "/etc/nsd"
    # pidfile: "/var/run/nsd/nsd.pid" # Ubuntu 14.04'te bu genellikle otomatik yönetilir
    # xfrdfile: "/var/lib/nsd/xfrd.state" # Zone transfer durumu
    # zonelistfile: "/var/lib/nsd/zone.list" # Yüklü bölgelerin listesi

    # Günlükleme ayarları
    hide-version: yes
    log-file: "/var/log/nsd.log"
    # verbosity: 1 # Detay seviyesi (0: kritik, 1: hata, 2: uyarı, 3: bilgi, 4: hata ayıklama)

    # DNSSEC için gerekli ayarlar
    # Bu ayar, NSD'nin DNSSEC kayıtlarını doğru bir şekilde sunmasını sağlar.
    # Bu ayar genellikle varsayılan olarak etkindir, ancak kontrol etmekte fayda var.
    # enable-dnssec: yes # NSD 4.x ve üzeri sürümlerde varsayılan olarak etkin olabilir.

    # Bölge tanımlamaları buraya gelecek
    # zone:
    #     name: "example.com"
    #     zonefile: "/etc/nsd/zones/example.com.zone"

Bu yapılandırmayı yaptıktan sonra, DNSSEC’i etkinleştireceğimiz bölgeyi tanımlayacağız.

Zone Dosyası Hazırlığı

DNSSEC’i uygulayacağımız bir bölge dosyasına ihtiyacımız var. Örnek olarak example.com alan adını kullanalım. Zone dosyalarını /etc/nsd/zones/ dizininde tutmak iyi bir uygulamadır.

sudo mkdir -p /etc/nsd/zones
sudo nano /etc/nsd/zones/example.com.zone

Örnek example.com.zone dosyası:

$TTL 3600
@ IN SOA ns1.example.com. admin.example.com. (
    2023102701 ; Serial
    7200       ; Refresh
    3600       ; Retry
    1209600    ; Expire
    3600       ; Minimum TTL
)
@            IN NS   ns1.example.com.
@            IN NS   ns2.example.com.
ns1          IN A    192.168.1.100
ns2          IN A    192.168.1.101
www          IN A    192.168.1.100
mail         IN A    192.168.1.100
@            IN MX 10 mail.example.com.

Bu dosyayı kaydettikten sonra, nsd.conf dosyasına bu bölge tanımını eklemeliyiz:

# /etc/nsd/nsd.conf içinde zone tanımı
zone:
    name: "example.com"
    zonefile: "/etc/nsd/zones/example.com.zone"
    # DNSSEC ile ilgili ayarlar buraya gelecek
    # allow-notify: 192.168.1.101 NOKEY
    # provide-xfr: 192.168.1.101 NOKEY

DNSSEC Anahtarlarının Oluşturulması

DNSSEC, iki ana türde anahtar kullanır:

1. KSK (Key Signing Key – Anahtar İmzalama Anahtarı): Bu anahtar, bölgenin DNSKEY kayıtlarını imzalamak için kullanılır. Daha uzun bir geçerlilik süresine sahiptir (genellikle 1-2 yıl) ve daha dikkatli bir şekilde yönetilir. Değişim sıklığı düşüktür.
2. ZSK (Zone Signing Key – Bölge İmzalama Anahtarı): Bu anahtar, bölgedeki tüm diğer DNS kayıtlarını (A, MX, NS vb.) imzalamak için kullanılır. Daha kısa bir geçerlilik süresine sahiptir (genellikle 1-3 ay) ve daha sık değiştirilir.

Her iki anahtar türü de ldns-keygen aracıyla oluşturulur. RSA/SHA256 algoritması yaygın olarak kullanılır.

cd /etc/nsd/zones/

KSK Oluşturma

KSK için genellikle 2048 bit veya daha büyük anahtarlar kullanılır. k (key) bayrağı, anahtarın bir KSK olduğunu belirtir.

sudo ldns-keygen -a RSASHA256 -b 2048 -n KSK example.com.

Bu komut, Kexample.com.+008+XXXXX.key (genel anahtar) ve Kexample.com.+008+XXXXX.private (özel anahtar) adında iki dosya oluşturacaktır. XXXXX kısmı, anahtarın benzersiz bir kimliğidir.

ZSK Oluşturma

ZSK için de genellikle 1024 bit veya 2048 bit anahtarlar kullanılır. z (zone) bayrağı, anahtarın bir ZSK olduğunu belirtir.

sudo ldns-keygen -a RSASHA256 -b 1024 -n ZSK example.com.

Bu komut da benzer şekilde Kexample.com.+008+YYYYY.key ve Kexample.com.+008+YYYYY.private dosyalarını oluşturacaktır.

Anahtarlar oluşturulduktan sonra, bu anahtar dosyalarının sahiplik ve izinlerini kontrol etmek önemlidir. NSD kullanıcısının bu dosyalara erişebilmesi gereklidir.

sudo chown nsd:nsd Kexample.com.*
sudo chmod 640 Kexample.com.*

Zone Dosyasının İmzalanması (Signing the Zone)

Anahtarları oluşturduktan sonra, zone dosyamızı bu anahtarları kullanarak imzalamalıyız. Bu işlem, bölgedeki her bir DNS kaydına (SOA, NS, A, MX vb.) bir RRSIG (Resource Record Signature) kaydı ekler ve ayrıca genel anahtarlarımızı (DNSKEY kayıtları) zone dosyasına ekler.

Bu işlemi ldns-signzone aracıyla yaparız. Bu araç, hem KSK hem de ZSK’yi kullanarak zone dosyasını imzalar.

sudo ldns-signzone -e $(date -v +1M +%Y%m%d%H%M%S) -f example.com.zone.signed example.com.zone Kexample.com.+008+XXXXX Kexample.com.+008+YYYYY

Komut Açıklaması:

* -e $(date -v +1M +%Y%m%d%H%M%S): Bu kısım, imzaların geçerlilik bitiş tarihini belirtir. date -v +1M macOS/BSD sözdizimidir. Linux’ta date -d "+1 month" +%Y%m%d%H%M%S kullanmanız gerekir. Bu, imzaların bir ay sonra sona ereceğini belirtir. Bu tarih, ZSK rotasyon periyodunuzla uyumlu olmalıdır.
* -f example.com.zone.signed: İmzalanmış zone dosyasının kaydedileceği dosya adıdır.
* example.com.zone: Orijinal, imzalanmamış zone dosyası.
* Kexample.com.+008+XXXXX: KSK’nin özel anahtar dosyasının adının ön eki (.private uzantısı olmadan).
* Kexample.com.+008+YYYYY: ZSK’nin özel anahtar dosyasının adının ön eki (.private uzantısı olmadan).

Bu komut çalıştırıldıktan sonra, /etc/nsd/zones/example.com.zone.signed adında yeni bir dosya oluşacaktır. Bu dosya, orijinal kayıtların yanı sıra DNSKEY, RRSIG, NSEC (veya NSEC3) gibi DNSSEC’e özel kayıtları içerecektir.

NSEC/NSEC3: ldns-signzone varsayılan olarak NSEC kayıtları ekler. NSEC kayıtları, bir bölgedeki mevcut kayıtlar arasındaki boşlukları kanıtlayarak “kayıt yok” yanıtlarının (NXDOMAIN) da güvenli bir şekilde doğrulanmasını sağlar. Ancak NSEC, bölge enumeration (bölgedeki tüm kayıtları listeleme) saldırılarına izin verebilir. Bu riski azaltmak için NSEC3 kullanabilirsiniz. ldns-signzone için -3 parametresi ile NSEC3 etkinleştirilebilir.

# NSEC3 kullanmak isterseniz:
sudo ldns-signzone -e $(date -d "+1 month" +%Y%m%d%H%M%S) -f example.com.zone.signed -3 1 example.com.zone Kexample.com.+008+XXXXX Kexample.com.+008+YYYYY

-3 1 parametresi NSEC3’ü etkinleştirir ve iterasyon sayısını 1 olarak ayarlar.

İmzalanmış zone dosyasının içeriğini inceleyebilirsiniz:

sudo less /etc/nsd/zones/example.com.zone.signed

Bu dosyada, her orijinal kaydın altında bir RRSIG kaydı ve en üstte DNSKEY kayıtları olduğunu göreceksiniz. DNSKEY kayıtları, KSK ve ZSK’mizin genel anahtarlarını içerir.

NSD’nin DNSSEC İçin Yapılandırılması

Artık imzalanmış bir zone dosyamız olduğuna göre, NSD’yi bu dosyayı kullanacak şekilde yapılandırmamız gerekiyor. /etc/nsd/nsd.conf dosyasını düzenleyerek example.com bölgesi için zonefile yolunu imzalanmış dosyaya yönlendirmeliyiz.

# /etc/nsd/nsd.conf içinde zone tanımı
zone:
    name: "example.com"
    zonefile: "/etc/nsd/zones/example.com.zone.signed" # İmzalanmış dosyayı kullan
    # DNSSEC için NSD'nin özel bir yapılandırmaya ihtiyacı yoktur,
    # çünkü imzalı dosyayı doğrudan sunar.
    # Ancak, güvenli transferler için ayarlar yapılabilir.
    # allow-notify: 192.168.1.101 NOKEY
    # provide-xfr: 192.168.1.101 NOKEY

nsd.conf dosyasını kaydettikten sonra, NSD yapılandırmasını kontrol edelim ve servisi yeniden başlatalım:

sudo nsd-checkconf /etc/nsd/nsd.conf
sudo service nsd restart

Eğer nsd-checkconf herhangi bir hata döndürmezse, yapılandırmanız doğru demektir. NSD servisini yeniden başlattıktan sonra, sunucunuz artık DNSSEC imzalı yanıtlar vermeye hazır olmalıdır.

Doğrulama ve Test Etme

NSD’nin DNSSEC’i doğru bir şekilde sunup sunmadığını kontrol etmek kritik bir adımdır.

Zone Dosyasının Doğru İmzalandığını Kontrol Etme

dig aracını kullanarak DNSSEC kayıtlarını sorgulayabiliriz:

dig @192.168.1.100 example.com. A +dnssec

Burada 192.168.1.100 sunucunuzun IP adresidir. Yanıtta RRSIG ve DNSKEY kayıtlarını görmelisiniz. Ayrıca ad (authenticated data) bayrağının ayarlı olması, yanıtın DNSSEC tarafından doğrulandığını gösterir (eğer sorguyu yapan çözümleyici de DNSSEC destekliyorsa).

Ayrıca, ldns-verify-zone aracıyla imzalanmış zone dosyasının geçerliliğini kontrol edebilirsiniz:

sudo ldns-verify-zone /etc/nsd/zones/example.com.zone.signed

Bu komut, imzaların geçerliliğini ve zone dosyasının bütünlüğünü kontrol edecektir. Herhangi bir hata yoksa, “Zone /etc/nsd/zones/example.com.zone.signed is verified” gibi bir mesaj görmelisiniz.

DS Kayıtlarının Üst Bölgeye Gönderilmesi

DNSSEC güven zincirinin tamamlanması için, üst bölgenin (parent zone) sizin KSK’nizin bir özetini (hash) içeren bir DS (Delegation Signer) kaydına sahip olması gerekir. Bu, üst bölgenin sizin alt bölgenizi imzaladığının kanıtıdır.

ldns-keygen aracı, KSK’niz için DS kaydını oluşturmanıza yardımcı olabilir:

sudo ldns-keygen -f KSK -s 2048 -a RSASHA256 -n KSK -r /dev/urandom example.com.

Bu komut aslında anahtar oluşturur. DS kaydını üretmek için varolan KSK dosyasını kullanmalıyız.
KSK anahtarınızın adını kullanarak (örneğin Kexample.com.+008+XXXXX.key) DS kaydını aşağıdaki şekilde oluşturabilirsiniz:

sudo ldns-gen-ds -f Kexample.com.+008+XXXXX.key example.com.

Bu komut, aşağıdaki gibi bir çıktı verecektir:

example.com. IN DS 12345 8 2 1234567890ABCDEF1234567890ABCDEF1234567890ABCDEF1234567890

Bu DS kaydını, alan adınızı kaydettiğiniz kayıt kuruluşunun (registrar) web arayüzü üzerinden üst bölgeye (örneğin .com bölgesi) göndermeniz gerekir. Bu adım tamamlandığında, example.com için DNSSEC güven zinciri tamamen kurulmuş olacaktır.

Çevrimiçi DNSSEC doğrulayıcıları da kullanabilirsiniz:
* [Verisign DNSSEC Analyzer](https://dnssec-analyzer.verisignlabs.com/)
* [DNSViz](https://dnsviz.net/)

Bu araçlar, alan adınız için DNSSEC kurulumunuzu analiz eder ve herhangi bir sorun olup olmadığını görsel olarak gösterir.

DNSSEC Anahtar Yönetimi ve Rotasyonu

DNSSEC’in etkin ve güvenli kalması için anahtar yönetimi ve düzenli anahtar rotasyonu hayati öneme sahiptir. Anahtarların sonsuza kadar geçerli kalması güvenlik riskleri taşır.

* ZSK Rotasyonu: ZSK’ler, KSK’lerden daha sık (genellikle 1-3 ayda bir) değiştirilir. ZSK rotasyonu, eski ZSK’nın imzalarının süresi dolmadan yeni bir ZSK ile bölgeyi imzalamayı ve eski ZSK’yı zone dosyasından kaldırmayı içerir. Bu işlem genellikle otomatize edilmiş betiklerle yapılır.
* KSK Rotasyonu: KSK’ler daha uzun ömürlüdür (1-2 yıl) ve rotasyonları daha karmaşıktır çünkü DS kaydının üst bölgede de güncellenmesini gerektirir. KSK rotasyonu, genellikle “önceden yayınlama” (pre-publication) veya “çift imzalama” (double-signing) gibi tekniklerle gerçekleştirilir. Bu süreç, yeni KSK’nın yayınlanmasını, DS kaydının üst bölgede güncellenmesini ve ardından eski KSK’nın kaldırılmasını içerir.

Manuel rotasyon adımları şunları içerir:
1. Yeni anahtar çiftini oluşturma.
2. Zone dosyasını hem eski hem de yeni anahtarlarla imzalama (KSK rotasyonunda DS kaydını güncelleme).
3. NSD’yi yeniden yükleme.
4. Eski anahtarı kaldırma.
5. Zone dosyasını sadece yeni anahtarla yeniden imzalama.
6. NSD’yi yeniden yükleme.

Bu işlemlerin karmaşıklığı nedeniyle, otomatize edilmiş DNSSEC araçları (örneğin BIND’deki dnssec-keymgr veya PowerDNS’deki pdnsutil) tercih edilir. NSD için, bu tür otomasyonları kendi betiklerinizle veya harici araçlarla sağlamanız gerekebilir.

Sık Karşılaşılan Sorunlar ve Çözümleri

DNSSEC kurulumu ve yönetimi sırasında bazı yaygın sorunlarla karşılaşılabilir:

* İmza Süresinin Dolması (Expired Signatures): Eğer zone dosyası düzenli olarak yeniden imzalanmazsa, RRSIG kayıtlarının geçerlilik süresi dolar. Bu durumda, DNSSEC doğrulayıcıları bölgenizi geçersiz olarak kabul eder ve DNS çözümlemesi başarısız olur.
* Çözüm: Zone dosyasını düzenli olarak (örneğin cron job ile) yeniden imzalayın ve NSD’yi yeniden yükleyin.
* Anahtar Uyumsuzlukları: Zone dosyasında tanımlanan DNSKEY kayıtları ile ldns-signzone komutunda kullanılan özel anahtarlar arasında uyumsuzluk olabilir.
* Çözüm: Anahtar dosyalarının doğru adlarını ve yollarını kullandığınızdan emin olun.
* DS Kayıt Hataları: Üst bölgedeki DS kaydı yanlışsa veya güncel değilse, güven zinciri kırılır.
* Çözüm: DS kaydının doğru olduğunu ve üst bölgede güncel olarak yayınlandığını doğrulayın. ldns-gen-ds ile oluşturduğunuz kaydı dikkatlice kopyalayın.
* NSD Hata Günlükleri: NSD’nin /var/log/nsd.log veya syslog dosyalarındaki günlükleri, sorun giderme için paha biçilmez bilgiler içerir.
* Çözüm: Hata günlüklerini düzenli olarak kontrol edin ve gördüğünüz hataları araştırın. nsd-checkconf ve nsd-control reload komutlarının çıktısını dikkatlice inceleyin.
* Dosya İzinleri: NSD’nin zone dosyalarına ve anahtar dosyalarına erişim izinleri yetersiz olabilir.
* Çözüm: chown ve chmod komutlarını kullanarak nsd kullanıcısının gerekli dosyalara okuma erişimine sahip olduğundan emin olun.

Sonuç

DNSSEC, internet güvenliği için kritik bir teknolojidir ve DNS zehirlenmesi gibi saldırılara karşı önemli bir koruma sağlar. NSD gibi yetkili bir isim sunucusuyla DNSSEC’i yapılandırmak, alan adınızın güvenliğini artırmanın etkili bir yoludur. Ubuntu 14.04 üzerinde NSD ile DNSSEC kurulumu, ldnsutils paketindeki ldns-keygen ve ldns-signzone gibi araçları kullanarak anahtarların oluşturulması, zone dosyasının imzalanması ve NSD’nin bu imzalı dosyayı sunacak şekilde yapılandırılması adımlarını içerir.

Başarılı bir DNSSEC dağıtımı, sadece ilk kurulumla bitmez; anahtar rotasyonu ve düzenli izleme gibi sürekli yönetim gerektirir. Bu makalede açıklanan adımları dikkatlice takip ederek ve gerekli yönetim süreçlerini uygulayarak, alan adınız için sağlam ve güvenli bir DNSSEC altyapısı oluşturabilirsiniz. DNSSEC’in benimsenmesi, internetin genel güvenliğini artırma yolunda önemli bir adımdır ve yetkili isim sunucusu operatörleri için birincil öncelik olmalıdır.