Windows Server 2025’e Şifreli DNS Geliyor: DNS over HTTPS (DoH) Public Preview Yayında

Microsoft, kurumsal ağ güvenliği tarafında önemli bir adım attı. Windows Server 2025 için DNS over HTTPS (DoH) desteği artık Public Preview olarak kullanıma açıldı. Bu gelişmeyle birlikte Windows DNS Server, şifreli ve kimliği doğrulanmış DNS sorgularını desteklemeye başlıyor.

Başka bir deyişle: Kurum içi DNS trafiği artık “düz metin” taşınmak zorunda değil.

DNS Neden Bu Kadar Kritik?

DNS, bir ağın omurgasıdır. Kullanıcılar fark etmese de her uygulama, her bağlantı, her servis önce DNS’e danışır. Sorun şu: Geleneksel DNS trafiği UDP/TCP 53 portu üzerinden açık (unencrypted) şekilde iletilir.

Bu da şu riskleri doğurur:

• Ağ trafiğini dinleyen biri hangi sistemlerin hangi servislere eriştiğini görebilir.
• DNS tabanlı keşif ve istihbarat saldırıları kolaylaşır.
• Kullanıcı davranışları analiz edilebilir.
• DNS spoofing ve MITM (Man-in-the-Middle) saldırıları için zemin oluşur.

Yani DNS, görünmez ama son derece stratejik bir zayıf halka olabilir.

DoH Nedir?

IETF iki standart tanımladı:

• RFC 8484 – DNS over HTTPS (DoH)
• RFC 7858 – DNS over TLS (DoT)

Microsoft bu aşamada Windows DNS Server tarafında DoH desteğini devreye alıyor.

DoH, DNS sorgularını HTTPS paketleri içine yerleştirir. HTTPS zaten TLS ile şifrelenmiş olduğu için DNS trafiği de otomatik olarak şifrelenmiş olur.

Bu iki kritik kazanım sağlar:

Kimlik Doğrulama:
İstemci, bağlandığı DNS sunucusunun gerçekten doğru sunucu olduğunu sertifika doğrulaması ile teyit eder.

Gizlilik:
DNS sorgu ve yanıtları ağ üzerinde şifreli taşınır.

Bu adım, Microsoft’un Zero Trust DNS yaklaşımının bir parçası. Daha önce Windows 11 istemci tarafında gelen şifreli DNS özellikleri, artık sunucu tarafına da taşınıyor.

Hangi Sürümler Destekliyor?

DoH desteği, 10 Şubat 2026 tarihli aylık güncelleme ile birlikte Windows Server 2025’e geldi.

Ancak önemli bir not:

• Özellik varsayılan olarak kapalı geliyor.
• Public Preview aşamasında.
• Production ortamda desteklenmiyor.
• GA öncesi breaking change olabilir.

Teknik Davranış Nasıl?

DoH etkinleştirildiğinde:

• Varsayılan olarak 443 portu üzerinden gelen DNS sorguları HTTPS içinde şifrelenir.
• 443 portu üzerinden gelen tüm DoH trafiği encrypted olur.
• Sunucunun upstream DNS’e (örneğin conditional forwarder veya başka bir resolver) gönderdiği sorgular ise şu an için şifrelenmez ve 53 portu üzerinden gider.

Yani şu anki mimari:

Client → DNS Server = Şifreli (DoH)
DNS Server → Upstream = Şifrelenmemiş (Port 53)

Microsoft, upstream forwarder tarafında şifreleme desteğinin ilerleyen preview sürümlerde geleceğini belirtiyor.

Eğer UDP/TCP 53 portu açık bırakılırsa, bu porttan gelen trafik klasik (unencrypted) DNS olarak çalışmaya devam eder. Yani DoH, mevcut DNS fonksiyonlarını bozmaz. Paralel çalışabilir.

Mevcut DNS Fonksiyonları Etkileniyor mu?

Hayır.

Microsoft özellikle şu başlıkların değişmeyeceğini belirtiyor:

• Name resolution davranışı
• Zone yönetimi
• Forwarding mantığı
• Günlük DNS operasyonları

Ancak DoH ile birlikte:

• Yeni PowerShell cmdlet’ler
• Yeni event log kayıtları
• Yeni performance counter’lar

eklenmiş durumda.

Bu, özellikle senin gibi DNS log analizi ve event takibi yapan birisi için ilginç bir alan olabilir. Şifreli DNS’in performans etkisini ölçmek ciddi bir mühendislik konusu.

U.S. Federal ve Zero Trust Bağlantısı

Microsoft özellikle OMB Memo M-22-09 gereksinimlerine atıf yapıyor. ABD Federal kurumlarında hem endpoint hem resolver tarafında şifreli DNS zorunlu hale geliyor. Bu adım, kurumsal Zero Trust mimarisinde DNS’i artık “güvenli varsay” yerine “sıfır güven” modeliyle ele alıyor. DNS artık sadece çözümleyici değil, güvenlik kontrol noktası.

Nasıl Aktif Edilir?

Öncelikle:

• Windows Server 2025
• 10 Şubat 2026 güncellemesi yüklü olmalı
• Public Preview erişimi talep edilmeli

Ardından DoH özelliği manuel olarak etkinleştiriliyor. Microsoft ayrıca Feedback Hub üzerinden geri bildirim talep ediyor. Geri bildirim başlığına “[DoH]” eklenmesi isteniyor.

Güvenlik Perspektifinden Değerlendirme

Bu gelişme teknik olarak küçük görünebilir. Ama stratejik olarak büyük.

DNS artık:

• Network visibility aracı
• Threat hunting kaynağı
• Data exfiltration kanalı
• Command & Control yolu

haline geldi.

Şifreli DNS, hem saldırganların pasif dinleme kabiliyetini düşürür hem de kimlik doğrulaması sayesinde spoofing riskini azaltır. Ancak dikkat edilmesi gereken nokta şu: Şifreleme görünürlüğü azaltır. Bu da IDS/IPS ve network monitoring çözümleri için yeni mimari planlamalar gerektirir. Güvenliği artırırken gözlem kabiliyetini kaybetmemek ayrı bir mühendislik meselesidir.