DNS over HTTPS (DoH) Kullanmalı mısınız? Performans ve Gizlilik Dengesi

DNS over HTTPS (DoH), DNS sorgularını şifreli bir HTTPS bağlantısı üzerinden ileterek klasik DNS trafiğini dışarıdan görünmez hale getirir. Gecikme tarafı round-trip ölçümünden ayrı okunmalıdır. Standart DNS'te her sorgu düz metin olarak gönderilir; şifreleme katmanı hijacking yüzeyini daraltır ama yok etmez, internet servis sağlayıcınız, ağ yöneticiniz ya da araya giren herhangi bir taraf hangi alan adlarını çözümlediğinizi kolayca görebilir. DoH bu açığı kapatır - ancak tam olarak nereyi kapattığı, nerede yeni sorular açtığı ve hangi senaryolarda işe yaramadığı dikkatli bir değerlendirme gerektirir.

Kararı vermeden önce şunu netleştirmek gerekir: DoH bir gizlilik katmanıdır, tam bir anonimlik çözümü değildir. Alan adı sorgusu şifreli gitse de TLS el sıkışmasındaki SNI (Server Name Indication) alanı çoğu sunucu için hâlâ açık metindir; bağlandığınız IP adresi de görünür kalır. DoH, gerçekten koruduğu şeyi net biçimde tanımlamazsanız beklentinin üzerinde bir güvence sunuyor gibi görünebilir.

Bununla birlikte DoH'ın somut faydaları vardır. DNS yanıltma saldırılarına (DNS spoofing) karşı güçlü bir bariyer kurar, geleneksel port 53 trafiğini izleyen araçların görüş alanını daraltır ve bazı bölgelerde yaygın olan port 53 tabanlı içerik engellemelerini atlamayı kolaylaştırır. Performans tarafındaki tablo daha karmaşık; bu konuya ayrı bir başlık altında dönülecek.

DoH Tarayıcı Düzeyinde Nasıl Çalışır?

Firefox, Chrome ve Edge kendi DoH istemcilerini yerleşik olarak sunar. Tarayıcı, işletim sisteminin DNS ayarlarından bağımsız hareket ederek seçilen DoH sunucusuna doğrudan bağlanır; sistem DNS'inizi değiştirmeseniz de tarayıcı kendi yapılandırmasını kullanır.

Aynı makinede birden fazla tarayıcı çalışıyorsa her biri farklı bir DoH sağlayıcısı kullanabilir ya da biri DoH açıkken diğeri kapalı olabilir. Sistem genelinde tutarlı bir politika istiyorsanız tarayıcı düzeyindeki DoH tek başına yeterli değildir. Kurumsal ağlarda ya da ebeveyn denetim sistemlerinde bu durum ciddi bir sorun yaratır; iç ad çözümlemesi private DNS katmanında kalmalıdır.: Ağ yöneticisi DNS sorgularını belirli bir filtreleme sunucusuna yönlendirmiş olabilir; tarayıcı DoH açıksa bu yönlendirmeyi devre dışı bırakır.

Firefox bu senaryoyu fark etmiş ve "canary domain" adını verdiği bir mekanizma geliştirmiştir. use-application-dns.net alan adı DNS yanıtında NXDOMAIN dönerse tarayıcı DoH'u otomatik devre dışı bırakır. Chrome benzer bir politika izlemez; kurumsal MDM profilleri veya grup politikaları gerekir. Bu fark, kurumsal ortamlarda tarayıcı seçimini DoH yönetimi açısından önemli bir değişkene dönüştürür.

İşletim Sistemi Düzeyinde DoH: Kapsam ve Kısıtlamalar

Windows 11 ve macOS Ventura itibarıyla her iki platform da sistem genelinde DoH desteği sunar. Bu yapılandırma, tarayıcı seçimine bakılmaksızın DNS sorgularının tamamını şifreler; e-posta istemcisi, uygulama güncellemeleri ve sistem servisleri dahil her şey bu kapsamın içine girer.

Windows'ta yapılandırma ağ bağdaştırıcısı ayarları üzerinden yapılır. Desteklenen DoH sunucularının IP adresleri önceden tanımlanmıştır; özel bir DoH uç noktası eklemek için kayıt defteri düzenlemesi gerekir. macOS'ta şifreli DNS, yapılandırma profili (.mobileconfig) biçiminde yüklenir ve kurumsal MDM ile dağıtılabilir; bu esneklik büyük ölçekli yönetimi kolaylaştırır.

Linux'ta tablo daha parçalı. systemd-resolved, stub resolver olarak DoH değil DoT (DNS over TLS) destekler; tam DoH için dnscrypt-proxy veya cloudflared gibi ek araçlar kurulur. Android 9 ve üstü DoT'u yerleşik olarak destekler, DoH ise yalnızca bazı üreticilerin özel uygulamalarında veya tarayıcı düzeyinde bulunur. iOS 14 itibarıyla şifreli DNS yapılandırma profili yüklenebilir; bu, kurumsal cihaz yönetimi açısından kullanışlı bir seçenektir.

Cloudflare, Google ve NextDNS Arasında Seçim

Üç sağlayıcının da DoH uç noktaları yaygın olarak kullanılır ve her birinin farklı güçlü yanları vardır.

Cloudflare (1.1.1.1), gizliliği ön plana çıkaran politikasıyla bilinir: sorgu günlüklerini 24 saat içinde sileceğini ve bağımsız denetime açık olduğunu açıklamıştır. DoH URL'si https://cloudflare-dns.com/dns-query biçimindedir. Çözümleme hızı genel olarak yüksektir çünkü anycast altyapısı kullanıcıyı coğrafi olarak yakın bir düğüme yönlendirir.

Google Public DNS (8.8.8.8) küresel ölçekte büyük önbelleklerden birine sahiptir; popüler alan adları için yanıt süreleri oldukça kısadır. Ancak Google'ın iş modeli veri analiziyle iç içe geçtiğinden gizlilik kaygısı olanlar için bu sağlayıcı tartışmalıdır. Günlük tutma politikası Cloudflare'inkinden farklıdır; tam anlamıyla karşılaştırmak için güncel gizlilik belgelerini incelemeniz önerilir.

NextDNS ise filtreleme ve özelleştirme odaklı bir konumda durur. Reklam ve izleme engelleyici listeleri, kategori bazlı içerik filtreleri ve ayrıntılı sorgu günlükleri sunar. Ücretsiz katmanda aylık sorgu sınırı vardır; bu sınırı aşınca şifresiz DNS'e geri döner, bu durumun farkında olmak gerekir. Aile ya da küçük ofis ağlarında DNS düzeyinde filtreleme isteyenler için güçlü bir alternatiftir. Birden fazla alan adı ve ağ yönetiyorsanız her ortam için ayrı NextDNS profili oluşturmak mümkündür.

Seçim kriteri olarak şu soruyu sorun: Önceliğiniz gizlilik mi, hız mı, yoksa filtreleme mi? Bu üçlü, resolver seçiminin aynı eksenidir. Gizlilik birincilse Cloudflare; hız ve ölçek ön plandaysa Google; filtreleme ve denetim gerekiyorsa NextDNS mantıklı bir başlangıç noktasıdır. Coğrafi konum da önemlidir; bir sağlayıcının bulunduğunuz ülkede yakın bir PoP'u (Point of Presence) olup olmadığını kontrol etmek faydalı olur.

DoH'ın Performansa Etkisi

DoH yavaşlatır mı? Kısa yanıt: bağlama göre değişir.

Standart DNS UDP üzerinden çalışır ve tek bir paket gidiş-gelişiyle yanıt alır. DoH ise HTTPS üzerinden çalışır; ilk bağlantı için TLS el sıkışması gerekir ve bu ek bir gecikme ekler. Ancak modern DoH istemcileri bağlantıyı açık tutar (connection reuse); tekrarlanan sorgular için başlangıç maliyeti önemsiz hale gelir.

Önbellekleme burada belirleyici bir rol oynar. Tarayıcı veya işletim sistemi DNS önbellekleme yaparsa DoH sunucusuna her sorgu gitmez; TTL (Time to Live) süresi dolmadan aynı alan adı yerel önbellekten çözümlenir. DNS zone yönetiminde TTL değerlerini dikkatli ayarlamak, hem standart DNS hem de DoH senaryolarında çözümleme hızını doğrudan etkiler.

Düşük gecikmeli, hızlı bir ISP DNS sunucusundan DoH'a geçerseniz ölçülebilir bir yavaşlama görebilirsiniz; çünkü coğrafi yakınlık faktörü değişmiştir. Tersi de mümkündür: Bazı ISP'lerin DNS altyapısı zayıf veya yavaşsa, iyi ölçeklendirilmiş bir DoH sağlayıcısına geçmek yanıt sürelerini kısaltabilir. Kesin bir "DoH daha hızlıdır" ya da "daha yavaştır" iddiası yanıltıcı olur; kendi ağ ortamınızda test etmek en güvenilir yoldur.

Kurumsal Ağlarda DoH: Ne Zaman Sorun Çıkarır?

Kurumsal ortamlar DoH için ayrı bir değerlendirme gerektirir. Pek çok şirket, DNS sorgularını iç filtreleme, DLP (Data Loss Prevention) veya tehdit algılama sistemlerine yönlendirir. Çalışanlar kendi cihazlarında DoH'u etkinleştirirse bu denetim mekanizmaları devre dışı kalır.

Güvenlik ekipleri bu durumu iki yönlü bir sorun olarak görür. Birincisi, kötü niyetli bir yazılım DoH kullanarak C2 (command and control) sunucularıyla iletişim kurabilir ve geleneksel DNS izleme araçlarından gizlenebilir. İkincisi, çalışanlar farkında olmadan şirket politikasını ihlal etmiş olur. Birçok kurum bu nedenle güvenlik duvarı kurallarıyla bilinen DoH uç noktalarını engeller ya da çıkış DNS trafiğini zorla iç DNS'e yönlendirir.

İç alan adı çözümlemesi de DoH ile uyumsuz olabilir. Şirkete özel .internal alan adları veya split-horizon DNS yapılandırmaları harici bir DoH sunucusundan çözümlenmez; DoH devredeyse bu alan adlarına erişim kesilir. Custom domain yapılandırmalarında DNS çözümleme sorunları zaten karmaşık bir alan; DoH bu karmaşıklığa ek bir katman ekler.

Ne Zaman DoH Gereksiz, Ne Zaman Ters Etki Yapar?

DoH her zaman doğru tercih değildir. Birkaç somut durumu ele alalım.

Güvenilir bir ağdaysanız - örneğin kendi yönettiğiniz izole bir ev ağı veya tam denetim altındaki bir ofis altyapısı - DNS sorgularını şifrelemek ekstra karmaşıklık getirir ama kayda değer bir güvenlik kazanımı sağlamaz. ISP tabanlı DNS izlemenin sizi etkilemediği ortamlarda DoH'un getirisi sınırlıdır.

Düşük kaynak kapasiteli gömülü sistemlerde veya eski ağ ekipmanında TLS yükü belirgin bir performans düşüşüne yol açabilir. Bu cihazlar için DoT (DNS over TLS) daha uygun olabilir; DoT, DoH'a kıyasla daha az protokol katmanı içerir ve bazı cihazlarda daha verimli çalışır.

Açık Wi-Fi ağlarında (kafe, havalimanı, otel) ise DoH son derece değerlidir. Bu ağlarda yerel router DNS sunucusunu güvenmediğiniz bir taraf işletiyor olabilir; sorgularınızın şifrelenmesi kimlik avı amaçlı DNS yanıltmalarına karşı somut bir koruma sağlar. DNS sansürünün yaygın olduğu ağ ortamları için de aynı gerekçe geçerlidir. DNS kayıtlarının e-posta teslimatına etkisi düşünüldüğünde, tüm DNS altyapısının güvenilir ve şifreli kanallar üzerinden yönetilmesi bütünsel bir güvenlik yaklaşımının parçasıdır.

DoH mu, DoT mu? Teknik Fark ve Pratik Seçim

DNS over TLS (DoT) aynı hedefi farklı bir yolla gerçekleştirir: DNS trafiğini port 853 üzerinden TLS tünelinden geçirir. DoH ise standart HTTPS portunu (443) kullanır ve DNS sorgularını web trafiğiyle aynı kanal üzerinden iletir.

Bu fark ağ görünürlüğü açısından önemlidir. DoT ayrı bir port kullandığından ağ yöneticileri bu trafiği kolayca tespit edebilir, izleyebilir veya engelleyebilir. Sıkı ağ politikaları olan ortamlarda DoT daha şeffaf bir seçenektir. DoH ise port 443'ü paylaştığından normal HTTPS trafiğine karışır; bu hem daha zor engellenir hem de ağ denetimi açısından daha az görünürdür.

Android'in "Private DNS" özelliği DoT kullanır; iOS yapılandırma profilleri her ikisini de destekler. Masaüstü işletim sistemlerinde sistem düzeyinde tercih genellikle DoH'a yönelir. Önceliğiniz şeffaf ağ yönetimi ve kurumsal uyumluluksa DoT daha iyi bir tercih olabilir; maksimum engel aşma kapasitesi istiyorsanız DoH öne geçer. Alan adı transferlerinde DNS değişikliklerinin takibi kritik bir süreç olduğu gibi, DoH veya DoT yapılandırmasındaki bir değişiklik de DNS çözümleme davranışını aniden etkileyebilir; değişiklikleri kayıt altına almak ve test etmek önemlidir.

Pratik Yapılandırma: Neyi, Nerede Etkinleştirmeli?

Kişisel kullanım için en hızlı yol tarayıcı düzeyinde yapılandırmaktır. Firefox'ta Ayarlar > Genel > Ağ Ayarları > DNS over HTTPS bölümünden sağlayıcı seçilir. Chrome'da chrome://settings/security adresindeki "Gelişmiş güvenli DNS kullan" seçeneği etkinleştirilir.

Sistem genelinde koruma istiyorsanız ve Windows 11 kullanıyorsanız, ağ bağdaştırıcısı ayarlarından DNS sunucusu olarak desteklenen bir DoH adresi girdikten sonra "Şifreli tercihli" veya "Yalnızca şifreli" seçeneğini belirtin. "Yalnızca şifreli" modunda DNS sunucusu DoH'u desteklemiyorsa bağlantı kesilir; sağlayıcının DoH uç noktasını önceden doğrulamak gerekir.

NextDNS kullanıyorsanız, oluşturduğunuz profilin benzersiz bir uç nokta URL'si olur (https://dns.nextdns.io/abcdef biçiminde). Bu URL'yi tarayıcı veya işletim sistemi ayarlarına girerken büyük-küçük harf duyarlılığına dikkat edin; yanlış biçim DoH bağlantısının başarısız olmasına yol açar ve sistem sessizce standart DNS'e geri döner.

Yapılandırmayı doğrulamak için sağlayıcının kendi test sayfasını kullanın; Cloudflare 1.1.1.1/help adresinde, NextDNS ise kontrol panelinde DoH'un etkin olup olmadığını gösterir. Bulut DNS altyapısında DNSSEC ve şifreli DNS yapılandırmalarını birlikte planlamak, bütünlüklü bir güvenlik mimarisi için mantıklı bir yaklaşımdır; DNSSEC alan adı yanıtlarının kaynağını doğrularken DoH sorgunun iletimini şifreler, ikisi birbirini tamamlar.

DoH'u benimseyip benimsememek, kullandığınız ağın güven düzeyine ve hangi tehdidi öncelikli gördüğünüze bağlıdır. Açık ağlarda, seyahatte veya DNS sansürünün yaygın olduğu ortamlarda doğrudan kazanım vardır. Yönetilen ve güvenilir bir ağda ise karmaşıklık-fayda dengesini dikkatli tartmak gerekir.

Kurumsal ortamlar için DoH'u denetim mekanizmalarını devre dışı bırakan bir araç olarak değil, politikayla bütünleşik biçimde yapılandırılmış bir bileşen olarak ele almak, hem güvenlik ekiplerinin hem de son kullanıcıların çıkarına hizmet eder. Hangi protokolü seçerseniz seçin, yapılandırmayı belgelemek ve düzenli aralıklarla test etmek, DNS altyapısının sessizce standart moda düşmesinin önüne geçer.