Aynı Ağdaki Cihazlar Neden Farklı DNS Yanıtı Alır?
Aynı modem veya Wi-Fi ağına bağlı olmak, iki cihazın aynı alan adı için mutlaka aynı DNS sonucunu göreceği anlamına gelmez. DNS, alan adlarına ait IP adresi ve diğer kayıtların bulunmasını sağlar. Sonuç yalnız yerel ağa bağlı değildir; kullanıcı adına DNS yanıtını bulan recursive resolver (özyinelemeli DNS çözümleyicisi) hizmeti, önbellek durumu, uygulama ayarı ve sorgu zamanı da sonucu etkiler.
Bu yüzden bir cihaz bir IPv4 ya da IPv6 adresi görürken diğeri farklı bir IP adresi, bir adın bulunmadığını belirten NXDOMAIN ya da sorgunun tamamlanamadığını gösteren SERVFAIL yanıtı alabilir. Farkın kaynağını belirlemek için aynı alan adını ve kayıt türünü, her cihazın kullandığı recursive resolver hizmetini ve sorgu zamanlarını karşılaştırın.
Aynı Wi-Fi Ağı Aynı Recursive Resolver Hizmetini Garanti Etmez
Yerel ağda IP adresi ve ağ ayarı dağıtan DHCP sunucusu, cihazlara kullanabilecekleri DNS sunucularının adreslerini bildirebilir. Ancak aynı ağdaki her istemcinin bu adresleri aynı biçimde kullanacağı garanti değildir; bir cihazda elle girilmiş DNS ayarı, yönetim profili, trafiği başka bir ağa tünelleyen VPN yapılandırması veya uygulamaya özel çözümleme yolu bulunabilir.
Dolayısıyla iki cihazın aynı modemden IP adresi alması, DNS sorgularının aynı sunucuya gittiğini kanıtlamaz. Bu farkı araştırırken ayar ekranındaki DNS adresiyle yetinmeyin; sorgunun gerçekte hangi recursive resolver hizmetine ulaştığını belirleyin.
Güvenli DNS ve Uygulamaya Özel Sorgu Yolları
DoH (DNS over HTTPS), DNS sorgularını istemci ile DNS hizmeti arasında şifreli HTTPS bağlantısıyla taşır. Bir tarayıcıda bu özellik ayrı etkinleştirilmişse tarayıcı, işletim sisteminin kullandığı DNS sunucusundan farklı bir hizmete sorgu gönderebilir; aynı cihazdaki iki uygulama bile bu nedenle aynı alan adı için farklı sonuç görebilir.
Bu durum özellikle komut satırındaki DNS sorgusu ile tarayıcıda görülen sonuç birbirini tutmadığında önemlidir. Kendi DNS sorgusunu oluşturan bir tanılama aracı, işletim sisteminin önbelleğini veya uygulamanın izlediği yolu kullanmayabilir. İşletim sistemi sorgusu yerel ağın DNS sunucusuna giderken tarayıcı başka bir DoH hizmeti kullanıyorsa iki sonuç aynı DNS sorgu yolundan alınmış gibi değerlendirilemez.
VPN Profilinin DNS Yoluna Etkisi
Bir VPN bağlantısı, yapılandırmasına bağlı olarak DNS sorgularını tünel içindeki veya kurum tarafından belirlenen bir DNS sunucusuna gönderebilir. VPN yalnız bir cihazda açıksa, iki cihaz aynı Wi-Fi üzerinde kalsa bile DNS açısından farklı ağ koşullarında çalışıyor olabilir.
Bazı VPN profilleri tüm DNS sorgularını farklı bir sunucuya yönlendirirken bazıları yalnız belirli alan adları veya ağ bağlantıları için farklı DNS ayarları uygular. DNS sunucusu adresi değişmese bile sorgunun tünelden geçmesi, çıkış IP adresini veya ulaşılan sunucu düğümünü değiştirebilir. Bu yüzden yalnız DNS ayarına değil, sorgunun gerçekten hangi yoldan gittiğine de bakın.
Önbellek ve DNSSEC Doğrulamasının Yanıta Etkisi
DNS kaydının TTL değeri, önbelleğin bu kaydı normal koşullarda yeniden sorgulamadan kullanabileceği süreyi belirler. Bu nedenle bir cihaz daha önce aldığı geçerli DNS yanıtını kullanmaya devam ederken başka bir cihazın önbelleği boş olabilir ve aynı alan adı için daha yeni bir yanıt alabilir.
Önbellek yalnız cihazda bulunmaz. İşletim sistemi, uygulama ve recursive resolver hizmeti ayrı önbellekler kullanabilir; bu nedenle iki istemcinin aynı anda yaptığı sorgular bile farklı yaşta verilere dayanabilir. Alan adının DNS kayıtları yakın zamanda değiştiyse bu fark daha görünür hale gelir.
NXDOMAIN ve SERVFAIL Yanıtlarının Farklı Olması
Recursive resolver hizmetleri NXDOMAIN gibi olumsuz DNS yanıtlarını ve SERVFAIL gibi çözümleme hatalarını geçici olarak önbelleğe alır. Bu yüzden bir cihaz yeni ve geçerli bir yanıt alırken başka bir cihazın kullandığı recursive resolver hizmeti daha önce önbelleğe aldığı olumsuz yanıtı veya hata sonucunu yeniden kullanabilir. NXDOMAIN her zaman bir arıza değildir; henüz eklenmemiş veya gerçekten var olmayan bir adı bildiriyor olabilir.
Tek cihazda görülen NXDOMAIN veya SERVFAIL, diğer cihazların da aynı hatayı alacağını kanıtlamaz. Önbelleği temizlemeden önce iki cihazın aynı kayıt türünü ve aynı recursive resolver hizmetini kullanıp kullanmadığını karşılaştırın.
DNS kayıtlarının kaynağını ve bütünlüğünü imzalarla denetleyen DNSSEC doğrulaması da sonucu değiştirebilir. İmzası hatalı bir kayıt, doğrulama yapan bir recursive resolver hizmetinde reddedilirken doğrulama yapmayan bir hizmetten alınabilir. Böyle bir durumda DNSSEC doğrulamasını kapatmak sorunu düzeltmez.
A ve AAAA Kayıtları Farklı Adres Ailelerini Gösterir
Bir alan adının IPv4 adresi A kaydında, IPv6 adresi ise AAAA kaydında tutulur. Aynı adın hem A hem AAAA kaydı varsa bir cihazın IPv4 adresini, diğerinin IPv6 adresini göstermesi tek başına çelişkili DNS yanıtı değildir; cihazlar veya uygulamalar farklı kayıt türlerini sorguluyor ya da bağlantı için farklı adres ailesini seçiyor olabilir.
Bu nedenle “iki cihaz farklı IP adresi gösteriyor” karşılaştırmasında önce iki tarafta da aynı kayıt türünü karşılaştırın. A kaydını AAAA kaydıyla karşılaştırırsanız normal IPv4 ve IPv6 farkını DNS tutarsızlığı sanabilirsiniz.
Ayrıca DNS yanıtı ile bağlantı sonucunu birbirinden ayırın. İki cihaz aynı A ve AAAA kayıtlarını aldığı halde yalnız biri siteye ulaşabiliyorsa sorun DNS çözümlemesinden sonra kullanılan IPv4 veya IPv6 bağlantı yolu, güvenlik duvarı ya da başka bir ağ katmanında olabilir.
Farklı DNS Yanıtlarının Kaynağını Bulma
Tanılama sırasında önce mevcut ayarları ve alınan yanıtları kaydedin. Aşağıdaki karşılaştırmalar, hangi olasılığın araştırılacağını gösterir; tek bir gözlem kesin nedeni kanıtlamaz. Kurumsal VPN, güvenlik yazılımı veya ebeveyn denetimi gibi korumaları kapatmadan, yetkili yöneticiyle test koşullarını belirleyin.
| Gözlem | Öncelikli olasılık | Karşılaştırılacak nokta |
|---|---|---|
| Tarayıcıdaki sonuç sistem sorgusundan farklı | Uygulama önbelleği veya güvenli DNS | Tarayıcının kullandığı recursive resolver hizmeti |
| VPN'in açık olduğu cihaz farklı sonuç veriyor | VPN'in DNS profili | VPN profilindeki DNS kuralları ve sorgunun gerçekten izlediği yol |
| Bir cihaz IPv4 adresi, diğeri IPv6 adresi gösteriyor | A ve AAAA ayrımı | Her iki cihazda aynı kayıt türü |
| Biri eski IP adresini, diğeri yeni IP adresini gösteriyor | Önbellek yaşı veya sorgu zamanı | Aynı recursive resolver hizmetinde yakın zamanlı sorgu |
| Bir cihazda hata, diğerinde IP adresi görülüyor | Farklı DNS hizmeti, doğrulama veya filtreleme politikası ya da önbelleğe alınmış hata | Recursive resolver hizmeti, kayıt türü ve sorgu zamanı |
| DNS kayıtları aynı, erişim sonucu farklı | DNS dışındaki bağlantı farkı | IPv4/IPv6 erişimi ve ağ bağlantısı |
İki Cihazda Aynı DNS Sorgu Koşullarını Oluşturma
İki cihazı karşılaştırırken önce aynı tam alan adını ve aynı kayıt türünü sorgulayın. Ardından VPN, güvenli DNS ve elle tanımlanmış DNS sunucusu gibi cihazdan cihaza değişebilen sorgu yollarını belirleyin. Ağ politikasının izin verdiği durumlarda iki cihazdan aynı DNS sunucusuna sorgu gönderip sonuçları yakın zamanlarda karşılaştırın; bu testin tarayıcının veya uygulamanın kendi DNS yolunu temsil etmeyebileceğini unutmayın.
Aynı koşullar altında sonuçlar eşitleniyorsa fark büyük olasılıkla cihazın sorgu yolundan veya önbellek durumundan kaynaklanır. Aynı alan adı, kayıt türü ve recursive resolver hizmeti kullanıldığı halde fark sürüyorsa ulaşılan sunucu düğümünü, hizmetin önbelleğini ve istemciye göre uygulanan yanıt politikasını inceleyin. Coğrafi yönlendirme veya iç ağ için ayrı yanıt üretme gibi tanımlı politikalarda farklı kayıtlar geçerli olabilir; bütün yanıtların aynı olması gerekmez.
