Yeni Başlayanlar İçin Cloudflare DNS Kurulumu Rehberi

Cloudflare DNS aslında ne yapar

Cloudflare, pek çok site sahibinin daha hızlı ve daha dayanıklı bir DNS’e doğru ilk adım olarak kullandığı, ücretsiz paketi de bulunan yetkili (authoritative) bir DNS hizmeti sunar. “Cloudflare’e geçtiğinizde” alan adı kaydınızı veya web sitenizi taşımış olmazsınız. Yalnızca kayıt firmanıza, alan adınızın DNS kayıtları için artık Cloudflare’in ad sunucularının yetkili kaynak olduğunu söylersiniz.

Bu ayrım önemlidir. Yenileme ve sahiplik işlerini hâlâ kayıt firmanız yürütür, web sitenizi hâlâ hosting firmanız çalıştırır, e-postanızı da hâlâ e-posta sağlayıcınız alır. Cloudflare bunların önünde durur; DNS sorgularını yanıtlar ve isterseniz web trafiğini kendi ağı üzerinden geçirir. DNS kavramı sizin için hâlâ bulanıksa önce DNS nasıl çalışır yazımızı okuyun.

Başlamadan önce: kısa bir kontrol listesi

• Kayıt firması erişimi. Alan adının kayıtlı olduğu hesaba giriş yapıp ad sunucularını değiştirebildiğinizden emin olun. 2FA eski bir telefona bağlıysa önce bu sorunu çözün.
• Mevcut bölgenizin bir kopyası. Bölge dosyasını (zone file) mevcut DNS sağlayıcınızdan dışa aktarın ya da en azından her kaydın ekran görüntüsünü alın.
• E-posta ayarlarınız. E-posta sağlayıcınızın belgelerinden MX kayıtlarını ve SPF, DKIM, DMARC TXT kayıtlarını not edin.
• DNSSEC durumu. Kayıt firmasında DNSSEC’in açık olup olmadığını kontrol edin. Geçişten önce kapatmanız ve ardından Cloudflare ile yeniden açmanız gerekecek.
• Zamanlama. Trafiğin düşük olduğu bir zaman dilimi seçin. Değişikliğin kendisi hızlıdır, ancak test etmek için zamana ihtiyacınız olur.

TLDix üzerinde bir WHOIS sorgusu, mevcut ad sunucularınızı ve kayıt firmanızı gösterir; böylece değişikliğin nerede yapılması gerektiğini teyit edersiniz.

1. Adım: Hesap oluşturun ve alan adınızı ekleyin

Cloudflare’e kaydolun, site eklemeyi seçin ve kök alan adınızı girin (örneğin www.example.com değil, example.com). Bir paket seçin; ücretsiz paket DNS’i, proxy’yi ve evrensel SSL’i içerir ve çoğu küçük site için yeterlidir. Cloudflare ardından yaygın ana bilgisayar adlarını tarar ve mevcut kayıtları içe aktarmaya çalışır.

2. Adım: İçe aktarılan DNS kayıtlarını gözden geçirin

Yeni başlayanların en çok aceleye getirdiği adım budur ve geçiş sonrası sorunların çoğu buradan çıkar. Otomatik tarama www, mail ve ftp gibi yaygın adları tahmin eder, ancak bölgenizdeki her kaydı göremez. Listeyi dışa aktardığınız bölgeyle dikkatlice karşılaştırın.

Tek tek kontrol edilmesi gereken kayıtlar

• Kök alan adı ve www için hosting firmanızın IP adreslerini gösteren A ve AAAA kayıtları.
• shop, blog gibi alt alan adları veya hizmet doğrulama adları için CNAME kayıtları.
• Doğru öncelik değerlerine sahip MX kayıtları.
• TXT kayıtları: SPF, DKIM seçicileri (çoğu zaman selector1._domainkey gibi uzun adlar), _dmarc altındaki DMARC ve site doğrulama dizeleri.
• Kullanıyorsanız SRV ve CAA kayıtları.

# ad sunucularını değiştirmeden önce karşılaştırın
dig +short MX example.com @old-ns1.provider.example
dig +short MX example.com @ada.ns.cloudflare.com
dig +short TXT _dmarc.example.com @ada.ns.cloudflare.com

Ad sunucusu adlarını eski sağlayıcınızınkilerle ve Cloudflare’in size atadığı iki sunucuyla değiştirin. Her ikisini doğrudan sorgulamak, hiçbir şey yayına girmeden önce bölgelerin eşleştiğini doğrulamanızı sağlar.

3. Adım: Turuncu ve gri bulutu anlayın

Her A, AAAA ve CNAME kaydının bir proxy durumu anahtarı vardır. Cloudflare DNS’teki en önemli kavram budur.

Proxy yalnızca belirli portlardaki HTTP ve HTTPS trafiğini işler. mail.example.com gibi e-posta için kullanılan bir ana bilgisayar adını proxy’den geçirirseniz e-posta istemcileriniz bağlanamaz. MX kayıtlarının kendisi proxy’lenemez, ancak işaret ettikleri ana bilgisayar adı gri bulutlu bir kayıt olmalıdır.

Gri bulutlu kayıtların kaynak sunucu IP’nizi açığa çıkardığını da unutmayın. Bir mail veya ftp kaydı web sitenizle aynı sunucuyu gösteriyorsa proxy kaynağı gizlemez. E-posta için ayrı sunucular kullanmayı veya kaynak sunucunun güvenlik duvarını Cloudflare IP aralıklarıyla sınırlamayı düşünün.

4. Adım: Kayıt firmanızda ad sunucularını değiştirin

Cloudflare, hesabınıza atanmış ada.ns.cloudflare.com ve bob.ns.cloudflare.com gibi adlara sahip iki ad sunucusu gösterir. Kayıt firmanıza giriş yapın, alan adının ad sunucusu ayarını bulun, özel ad sunucularını seçin ve mevcut olanları tam olarak bu ikisiyle değiştirin.

1. DNSSEC açıksa önce kayıt firmasında kapatın ve bu değişikliğin etkili olmasını bekleyin. Eski sağlayıcının anahtarlarını gösteren bir DS kaydı, doğrulama yapan çözümleyicilerde alan adınızın çözümlenememesine yol açar.
2. Tüm eski ad sunucularını kaldırın; Cloudflare’i önceki sağlayıcınızla karıştırmayın.
3. Kaydedin ve bekleyin. Cloudflare belirli aralıklarla kontrol eder ve bölge etkinleştiğinde size e-posta gönderir.

Etkinleşme çoğu zaman hızlıdır, ancak üst bölgedeki ad sunucusu kayıtları, uzantının TTL değerine bağlı olarak bir iki güne kadar önbellekte kalabilir. Bu süre boyunca bazı çözümleyiciler eski sunucuları kullanır; iki bölgenin de eşleşmesi gerekmesinin nedeni budur. İlgili önbellekleme sürecini DNS yayılımı yazımızda açıklıyoruz.

dig +short NS example.com
dig +trace example.com

Ad sunucusu ayarını panelde bulmak

Kayıt firmalarının panelleri birbirinden farklıdır ve bu ayar “Ad Sunucuları”, “Nameserver”, “DNS Yönetimi” ya da “Alan adı ayarları” gibi farklı adlarla karşınıza çıkabilir. Bazı firmalarda önce “kendi DNS’imizi kullan” seçeneğini kapatıp “özel ad sunucusu” seçeneğini işaretlemeniz gerekir. .com.tr gibi .tr uzantılı alan adlarında da değişiklik kayıt firmanızın paneli üzerinden yapılır, ancak süreç ve onay adımları firmaya göre değişebilir; emin değilseniz firmanızın yardım sayfasına bakın. Değişikliği kaydettikten sonra panelde yeni sunucuların gerçekten görüntülendiğini kontrol edin.

5. Adım: SSL/TLS ayarlarını doğru yapın

Trafik proxy’den geçtiğinde iki şifreli bağlantı vardır: ziyaretçiden Cloudflare’e ve Cloudflare’den kaynak sunucunuza. SSL/TLS modu ikinci bağlantıyı kontrol eder.

• Off / Flexible: Cloudflare kaynak sunucunuzla düz HTTP üzerinden konuşur. HTTP’yi zaten HTTPS’e yönlendiren sitelerde Flexible kullanmaktan kaçının; genellikle yönlendirme döngülerine yol açar ve kaynak sunucu bağlantısını şifresiz bırakır.
• Full: kaynak sunucuya kadar şifrelidir, ancak kaynak sunucu sertifikası doğrulanmaz.
• Full (strict): hem şifreli hem doğrulanmıştır. Önerilen ayar budur. Kaynak sunucuda herkesçe güvenilen bir sertifika ya da ücretsiz bir Cloudflare Origin CA sertifikası kullanın.

Geçişten sonra “Always Use HTTPS” seçeneğini açın ve sitenizin karışık içerik (mixed content) uyarıları olmadan yüklendiğini kontrol edin.

6. Adım: DNSSEC’i yeniden açın ve ortalığı toparlayın

Cloudflare panelinde DNSSEC’i etkinleştirin ve gösterilen DS kaydı bilgilerini kopyalayın. Bu DS kaydını kayıt firmanıza ekleyin; Cloudflare ile entegre çalışan bazı kayıt firmaları bunu otomatik yapar. Ardından:

• Alan adınıza ve alan adınızdan bir test e-postası gönderin, başlıklarda SPF, DKIM ve DMARC sonuçlarının pass olduğunu kontrol edin.
• Yönetim panelleri ve API’ler dahil kullandığınız her alt alan adını test edin.
• Geri dönmeniz gerekebileceği için eski DNS bölgesine birkaç gün dokunmayın, ardından kaldırın.

Yeni başlayanların sık yaptığı hatalar

• Tarama bulamadığı için eksik kalan DKIM veya doğrulama TXT kayıtları; bu da postaların spam klasörüne düşmesine yol açar.
• E-posta, FTP veya SSH gibi web dışı ana bilgisayar adlarını proxy’den geçirmek.
• Flexible SSL kullanıp “çok fazla yönlendirme” (too many redirects) hataları almak.
• Geçiş sırasında kayıt firmasında eski DS kaydıyla DNSSEC’i açık bırakmak.
• Yenilemeyi unutmak. Cloudflare DNS alan adınızı yenilemez. Kayıt sona ererse ad sunucularının hiçbir önemi kalmaz. Yenileme tarihinden çok önce uyarı almak için bitiş tarihlerini TLDix alan adı panelinizde takip edin.

Bir şey bozulursa nasıl geri dönülür

Geçişten sonra kritik bir hizmet çalışmazsa ve nedenini hızla bulamazsanız, en güvenli hamle genellikle ad sunucularını geri almak değil, kaydı Cloudflare’de düzeltmektir; çünkü geri dönüş de önbelleklerin yenilenmesini beklemek zorundadır. Önce kayıt türünü, değerini ve proxy durumunu kontrol edin; tek bir yanlış anahtar kesintilerin çoğunu açıklar. Gerçekten geri dönmeniz gerekiyorsa eski ad sunucularını kayıt firmasında geri yükleyin, trafik tamamen geri dönene kadar Cloudflare bölgesini yerinde tutun ve eski DS kaydını yalnızca önceki sağlayıcınızda DNSSEC etkinse yeniden ekleyin. Olay sırasında yaptığınız her değişikliği not edin ki geçişi daha sonra temiz biçimde tekrarlayabilesiniz.

Sırada keşfetmeye değer özellikler

• Hangi sayfaların uçta (edge) ne kadar süre önbelleğe alınacağını belirleyen önbellek kuralları.
• Bot koruması ve giriş sayfaları için temel güvenlik duvarı kuralları gibi güvenlik ayarları.
• DNS sorgu hacmini ve en çok trafik alan ana bilgisayar adlarını gösteren analizler.
• Kayıt değişikliklerini otomatikleştirmek için, tek bir bölgeyle ve aracın ihtiyaç duyduğu izinlerle sınırlandırılmış API token’ları.

Bu özellikleri kademeli olarak açın ve her değişiklikten sonra test edin; böylece hangi ayarın farka yol açtığını her zaman bilirsiniz. Ücretsiz paket temel ihtiyaçları karşılar; ücretli paketler daha fazla kural ve özellik ekler, bu yüzden yükseltmeden önce güncel paket ayrıntılarını kontrol edin.

Her şey oturduktan sonra TTL ayarlarına göz atın; proxy’li kayıtlar otomatik TTL kullanırken yalnızca DNS kayıtlarında değeri siz seçebilirsiniz. Mantıklı değerler için TTL rehberimize bakın.