DNS REFUSED Hatası Nedir ve Nasıl Giderilir?

Sesli Dinle — Makale

DNS sorgusuna REFUSED yanıtı verilmesi, hedef DNS sunucusunun isteği aldığını ancak istenen DNS işlemini yapmayı reddettiğini gösterir. Bu durum çoğunlukla sunucunun erişim politikası, yetki kapsamı veya izin verilen sorgu türleriyle ilgilidir.

REFUSED, geçerli bir DNS yanıtının alınmadığı zaman aşımıyla aynı değildir. Sunucunun sorguyu tamamlayamadığını bildiren SERVFAIL yanıtından da farklıdır; REFUSED, sunucunun isteği politika gereği reddettiğini açıkça bildirir.

REFUSED yanıtını kaldırmak için güvenlik kontrollerini gevşetmeyin. Önce sorgunun doğru sunucuya, doğru amaçla ve izin verilen kaynaktan gönderilip gönderilmediğini belirleyin. Kesin nedeni belirlemek için canlı sorgu sonucunu, sunucu yapılandırmasını ve günlükleri birlikte inceleyin.

REFUSED ile Diğer DNS Sonuçları Arasındaki Farklar

DNS sorunlarını giderirken REFUSED gibi yanıt kodlarını, hiç yanıt alınmaması ve alan adının bulunamaması gibi durumlardan ayırın. Bir web sitesine erişememek, birbirinden farklı DNS sonuçlarından kaynaklanabilir. Sorunun kaynağı recursive resolver (özyinelemeli DNS çözümleyicisi), yetkili DNS sunucusu veya ağ yolu olabilir.

Aşağıdaki karşılaştırma, her sonuçta önce hangi noktaların kontrol edileceğini gösterir.

Zaman aşımı ile REFUSED aynı değildir. REFUSED yanıtında DNS sunucusu ilgili hata kodunu gönderir; yanıt yoksa sunucunun paketi alıp almadığını ve ağın yanıtı taşıyıp taşımadığını ayrı ayrı kontrol edin.

DNS REFUSED Hatasının Yaygın Nedenleri

REFUSED yalnız bir nedenden kaynaklanmaz. Farklı sunucu rolleri ve güvenlik politikaları aynı yanıtı üretebilir; bu nedenle sorgunun hedefini, kaynağını ve türünü birlikte değerlendirmek gerekir.

Recursive Resolver Hizmetinin Kapalı veya Yalnız Belirli Ağlara Açık Olması

Recursive resolver, istemci adına tam yanıtı bulur; kullanılabilir önbellek verisi yoksa başka DNS sunucularına başvurur. Bir sunucuda bu hizmet kapalıysa veya yalnız belirli ağlara açıksa, sunucunun yetkili olmadığı alan adları için gönderilen recursive sorgulara REFUSED yanıtı verilebilir.

Yalnız yetkili DNS hizmeti veren bir sunucunun başka alan adları için sorgu kabul etmemesi normaldir. Bu sunucuyu herkese açık bir recursive resolver haline getirmeyin. Bunun yerine istemcinin ayarlarında bu amaç için kullanılması gereken DNS sunucusunu seçin.

Kaynak Ağın Erişim Listesinde Bulunmaması

ACL (erişim kontrol listesi), hangi IP adreslerinin veya ağların belirli DNS işlemlerini kullanabileceğini sınırlar. İstemcinin kaynak IP adresi değişirse sorgu izin listesiyle eşleşmeyebilir. VPN bağlantısı veya paketlerdeki IP adreslerini çeviren NAT, DNS sunucusunun gördüğü kaynak adresin değişmesine yol açabilir. Yeni bir ağın erişim listesine eklenmemesi de aynı sonuca yol açar.

Bu durumda DNS sunucusu bir ağdan gelen sorguya geçerli yanıt verirken başka bir ağdan gelen aynı sorguya REFUSED yanıtı verebilir. Bir web sitesinin gördüğü genel IP adresi, DNS sunucusunun gördüğü kaynak adresle aynı olmak zorunda değildir. Erişim listesiyle karşılaştırılacak kaynak adresi DNS sunucusunun günlüklerinden belirleyin.

Yetkisiz DNS Bölgesi Aktarımı

AXFR, DNS bölgesinin tamamını; IXFR ise önceki sürümden sonraki değişiklikleri aktarmak için kullanılır. Yetkili DNS sunucuları bu istekleri çoğunlukla yalnız ikincil sunuculardan veya açıkça yetkilendirilmiş yönetim istemcilerinden geldiğinde kabul eder.

Normal kayıt sorgusundan geçerli yanıt alınırken aktarım sorgusuna REFUSED yanıtı verilmesi bu nedenle beklenen bir politika sonucu olabilir. Bölge aktarımını herkese açmak, DNS bölgesindeki bilgileri gereksiz biçimde görünür hale getirebileceğinden uygun bir çözüm değildir.

Sorguyu Yanlış DNS Sunucusuna Gönderme

Sorgu, alan adının yetkili DNS sunucusu olmayan bir DNS sunucusuna gönderilmiş olabilir. Bu sunucu recursive resolver hizmeti de vermiyorsa, istenen yanıtı başka sunuculardan bulmak yerine sorguyu reddedebilir.

Sorunun kaynağını bulmak için alan adının yetkili DNS sunucularını, sorgunun gerçekte gönderildiği sunucuyla karşılaştırmak gerekir. Özellikle bir DNS değişikliği veya sunucu geçişi sonrasında eski DNS sunucusu adreslerinin kullanılmaya devam etmesi yanlış sunucuya başvurulmasına yol açabilir.

DNS Sunucusunun Sorgu Türüne veya İşleme İzin Vermemesi

A ve AAAA kayıtları IPv4 ve IPv6 adreslerini, MX e-posta sunucularını, NS ise yetkili DNS sunucularını belirtir. Bu kayıtları sorgulamak ile AXFR gibi yönetim amaçlı işlemler aynı izin modelini kullanmayabilir. Sunucu standart kayıt sorgularına yanıt verirken bölge aktarımını, DNS kayıtlarını bir istemcinin isteğiyle ekleyen veya değiştiren dinamik güncellemeyi ya da başka bir yönetim işlemini reddedebilir.

Sorunu incelerken yalnız alan adını not etmek yeterli değildir. Hedef DNS sunucusunu, istenen kayıt veya işlem türünü ve sorguyu gönderen kaynağı birlikte not edin.

Yönetilen DNS Hizmetindeki Ek Kısıtlamalar

Yönetilen bir DNS hizmeti kullanıyorsanız DNS sağlayıcısının ek kuralları da REFUSED yanıtına yol açabilir. Kurumsal recursive resolver hizmetleri ve barındırma platformları, belirli istemcilerden gelen, belirli alan adlarını hedefleyen veya belirli işlem türlerinde yapılan sorguları güvenlik politikası gereği reddedebilir.

DNS yöneticisi, sorgunun hangi kural nedeniyle reddedildiğini sunucu yapılandırmasını ve günlükleri inceleyerek belirleyebilir. İstemcideki belirtiler yalnız olası nedenleri daraltır.

DNS REFUSED Hatasını Giderme Yöntemleri

Sorunu giderirken önce yanlış DNS sunucusu ve yanlış işlem türü olasılıklarını kontrol edin. Ardından erişim ve politika ayarlarını inceleyin. Bu yaklaşım, erişim güvenliğini zayıflatabilecek gereksiz yapılandırma değişikliklerini önler.

1. Yanıt kodunun doğrulanması: Uygulamanın genel hata mesajıyla yetinmeyin; DNS sorgusuna verilen yanıt koduna bakın. Zaman aşımı, SERVFAIL, NXDOMAIN ve NODATA farklı inceleme adımları gerektirir.
2. Hedef DNS sunucusunun belirlenmesi: Sorgunun modemdeki DNS hizmetine, kurumun DNS sunucusuna, internet servis sağlayıcısının DNS sunucusuna veya alan adının yetkili DNS sunucusuna mı gönderildiğini belirleyin.
3. Sunucu rolü ile sorgunun eşleştirilmesi: Genel alan adlarına ait kayıtları recursive resolver bulur; belirli bir alan adının kayıtlarını ise o alanın yetkili DNS sunucusundan doğrudan doğrulayabilirsiniz. Bu sunucunun herkese açık recursive resolver hizmeti vermemesi normaldir.
4. Sorgu türünün denetlenmesi: Normal kayıt sorgusuyla bölge aktarımı aynı işlem değildir. AXFR veya IXFR isteğinin gerçekten gerekli olduğunu ve sorguyu gönderen kaynağın yetkili olduğunu kontrol edin.
5. Kaynak IP adresinin erişim listesiyle karşılaştırılması: Sorun yalnız belirli bir ofiste, VPN bağlantısında, alt ağda veya internet bağlantısında görülüyorsa DNS yöneticisi erişim kontrol listesinde bu kaynağın hangi kuralla eşleştiğine bakmalıdır. NAT kullanıldığında DNS sunucusunun gördüğü adres, istemcinin yerel IP adresinden farklı olabilir.
6. Recursive resolver erişim izninin doğrulanması: İstemcinin bu sunucudan recursive resolver hizmeti alması gerekiyorsa kaynak ağın izin listesinde bulunması gerekir. Sunucu yalnız yetkili DNS hizmeti veriyorsa istemci doğru recursive resolver hizmetini kullanmalıdır.
7. Yetkili DNS sunucusundaki bölge kapsamının incelenmesi: DNS yöneticisi, alan adının DNS bölgesinin hedef sunucuda tanımlı ve hizmete açık olup olmadığını kontrol etmelidir. Yanlış sunucuya gönderilen veya sunucunun yetkili olmadığı bölgeyi hedefleyen sorgular reddedilebilir.
8. Sunucu yapılandırmasının denetlenmesi: DNS yöneticisi erişim kontrol listelerini, dinleme arayüzlerini, recursive resolver kurallarını, bölge kapsamını ve aktarım yetkilerini mevcut güvenlik politikasıyla karşılaştırmalıdır. Hangi DNS ürününü kullandığınızı belirlemeden belirli bir yazılıma ait komutu veya yapılandırma satırını uygulamayın.
9. Hedef DNS sunucusuna doğrudan sorgu gönderme: Yönetici, sorun görülen kaynak ağdan aynı alan adı ve sorgu türü için hedef DNS sunucusuna doğrudan sorgu göndermelidir. Hedef sunucuyu açıkça seçen bir DNS sorgu uygulaması, tarayıcı önbelleğinin veya istemcide varsayılan olarak seçilmiş başka bir DNS sunucusunun etkisini ayırmaya yardımcı olur. Bu test hedef recursive resolver önbelleğini temizlemez; ağdaki bir cihaz sorguları başka sunucuya yönlendiriyorsa bu davranış da ayrıca incelenmelidir.
10. Normal DNS yolunun yeniden kontrolü: Doğrudan sorgudan beklenen yanıtı aldıktan sonra günlük kullanımda izlenen DNS yolunu da yeniden kontrol edin. İki test farklı sonuç veriyorsa istemcinin kullandığı DNS sunucusu, yerel önbellek veya ağ ayarı DNS sonucunu değiştiriyor olabilir.

DNS REFUSED Hatasını Erişim Kurallarını Gevşetmeden Giderme

REFUSED yanıtını kaldırmak için recursive resolver hizmetini tüm internete açmak, gereğinden geniş bir IP adresi aralığını erişim listesine eklemek veya bölge aktarımına bütün istemciler için izin vermek doğru değildir. Bu değişiklikler, açık recursive resolver hizmetinin kötüye kullanılmasına, yetkisiz işlemlere veya DNS bölgesi verisinin gereksiz yere açığa çıkmasına yol açabilir.

Yalnız gerekli istemciye, sunucu rolüne ve sorgu türüne en dar yetkiyi verin.

Gerekli yönetim yetkisine sahip değilseniz alan adını, hedef sunucuyu, sorgu türünü, sorgunun yaklaşık zamanını, kaynak ağı ve alınan REFUSED yanıtını DNS sağlayıcısına veya DNS yöneticisine gönderin. Aynı sorguyu başka bir ağdan tekrarlamak, REFUSED yanıtının erişim kontrol listesinden mi yoksa genel hizmet politikasından mı kaynaklandığını anlamaya yardımcı olur.

Düzeltmeden Sonra DNS Yanıtını Doğrulama

REFUSED kodunun kaybolması tek başına düzeltmenin başarılı olduğunu göstermez. Doğru sunucuya aynı alan adı ve sorgu türüyle yeniden sorgu gönderin ve beklenen DNS sonucunu aldığınızı doğrulayın. Sorgudan istenen kaydı içeren bir yanıt, NXDOMAIN veya alan adı mevcutken ilgili türde veri bulunmadığını gösteren NODATA alınabilir.

Bir ağda sorun düzelirken başka bir ağda REFUSED yanıtı alınmaya devam ediyorsa kaynak IP adresi veya erişim kontrol listesi farklı olabilir ya da sorgu başka bir DNS yolunu izliyor olabilir. Bu durumda iki ağın kullandığı DNS sunucularını ve sunucu günlüklerinde görünen kaynak IP adreslerini karşılaştırın.