Quad9 (9.9.9.9) DNS Nedir

Çoğu siber saldırının ilk adımı, tarayıcının ya da bir programın bir alan adını çözümlemesidir. Kullanıcı sahte bir bankacılık bağlantısına tıkladığında, bir zararlı yazılım komuta sunucusuna bağlanmaya çalıştığında ya da bir e-posta ekindeki makro dışarıya veri sızdırmak istediğinde, önce o alan adının IP adresini öğrenmesi gerekir. İşte tam bu noktada devreye giren güvenlik odaklı DNS servislerinden biri Quad9'dur. Adını, kolayca akılda kalan 9.9.9.9 çözümleyici adresinden alır.

Quad9, sıradan bir DNS çözümleyicisi gibi çalışır ama arka planda küresel tehdit istihbaratı beslemelerini kullanarak bilinen zararlı, dolandırıcılık (phishing) ve botnet alan adlarını çözümlemeyi reddeder. Yani kötü amaçlı bir siteye giden yolu daha kimse o siteye bağlanmadan, ismin IP'ye çevrilme aşamasında keser. Bu rehberde Quad9'un ne olduğunu, tehdit engellemeyi nasıl yaptığını, Google ve Cloudflare gibi çözümleyicilere göre güvenlik farkını, adım adım kurulumunu ve gizlilik ilkelerini kıdemli bir sistem yöneticisinin gözünden ele alacağız. DNS'in temel çalışma mantığını hatırlamak isterseniz önce DNS nedir yazımıza göz atabilirsiniz.

Quad9 Nedir ve 9.9.9.9 Ne Anlama Gelir?#

Quad9, 2017 yılında kâr amacı gütmeyen bir vakıf yapısıyla kurulmuş, ücretsiz ve herkese açık bir özyinelemeli DNS çözümleyicisidir (recursive resolver). Merkezi İsviçre'de bulunur ve bu, servisin güçlü Avrupa gizlilik yasaları (özellikle İsviçre veri koruma mevzuatı) altında çalışması anlamına gelir. Servisin en belirgin özelliği, çözümleme sırasında bir güvenlik katmanı uygulamasıdır; sıradan çözümleyiciler yalnızca "bu ismin IP'si nedir?" sorusuna cevap verirken, Quad9 aynı zamanda "bu isme gitmek güvenli mi?" sorusunu da sorar.

İsimdeki "Quad9" ifadesi, dört kez tekrarlanan 9 rakamından yani 9.9.9.9 IPv4 adresinden gelir. Bu adres bilinçli olarak seçilmiştir: akılda tutması kolaydır ve tıpkı Google'ın 8.8.8.8'i ya da Cloudflare'in 1.1.1.1'i gibi tek satırda yazılabilir. Quad9, dünya çapında yüzlerce noktada anycast yöntemiyle yayınlanır; yani 9.9.9.9'a gönderdiğiniz sorgu otomatik olarak size ağ topolojisi açısından en yakın sunucuya yönlenir. Bu sayede hem düşük gecikme hem de yüksek dayanıklılık elde edilir.

Quad9'un sunduğu değer, DNS çözümleme adımının güvenlik zincirinde ne kadar erken olduğunu anlamakla ilgilidir. Bir kullanıcı zararlı bir bağlantıya tıkladığında, tarayıcı HTTP isteği göndermeden önce alan adını çözmek zorundadır. Quad9 o ismi zaten kara listesinde tutuyorsa, cevabı NXDOMAIN (böyle bir alan adı yok) olarak döndürür ve bağlantı hiç kurulmaz. Bu, antivirüs veya güvenlik duvarı katmanlarına ek, tamamen bağımsız bir savunma hattıdır.

Quad9 Tehdit İstihbaratını Nasıl Kullanır?#

Quad9'un kalbinde, birden fazla siber güvenlik firmasından ve tehdit istihbaratı ortağından beslenen bir kara liste bulunur. Bu ortaklar, dünya genelinde tespit edilen zararlı yazılım dağıtım siteleri, phishing kampanyaları, botnet komuta-kontrol (C2) sunucuları ve dolandırıcılık alan adlarını sürekli olarak Quad9'a bildirir. Servis bu beslemeleri gerçek zamanlıya yakın bir hızla birleştirir ve tek bir engelleme listesine dönüştürür. Böylece yeni ortaya çıkan bir zararlı alan adı, saatler içinde tüm Quad9 kullanıcıları için otomatik olarak engellenmiş olur.

Mantığı basit bir örnekle görelim. Diyelim ki guvenli-bankam-giris.example adında bir phishing sitesi bir istihbarat beslemesi tarafından işaretlendi. Bu isim Quad9'un engelleme listesine girdikten sonra, o alan adını çözmeye çalışan herhangi bir Quad9 kullanıcısı IP adresini alamaz:

# Zararlı olarak işaretlenmiş bir isim Quad9'da çözülmez
dig @9.9.9.9 guvenli-bankam-giris.example +short
# (boş yanıt / status: NXDOMAIN)

# Aynı isim filtresiz bir çözümleyicide çözülebilir
dig @9.9.9.10 guvenli-bankam-giris.example +short
# 203.0.113.66

Buradaki kritik nokta, engellemenin alan adı düzeyinde olmasıdır; Quad9 sitenin içeriğine bakmaz, sadece ismin bilinen bir tehdit olup olmadığını değerlendirir. Bu yaklaşımın büyük avantajı, zararlı yazılımın hangi bağlantı noktasını (port) veya protokolü kullandığından bağımsız çalışmasıdır. Bir fidye yazılımı bulaşmış bilgisayar bile komuta sunucusunun IP'sini alamadığı için şifreleme anahtarını çekemez ya da veri sızdıramaz. DNS tabanlı engelleme, uç noktadaki antivirüsün gözden kaçırdığı yeni varyantlara karşı bu yüzden değerlidir.

Quad9'un yaptığı engellemeyi bir tablo ile özetleyebiliriz:

Quad9, engelleme listelerine ek olarak DNSSEC doğrulaması da yapar. Bu, bir alan adının DNS yanıtının yolda değiştirilmediğini kriptografik olarak garanti eder; imzası geçersiz olan yanıtları reddeder. Yani hem "bu isim zararlı mı?" hem de "bu cevap gerçekten yetkili sunucudan mı geldi?" sorularının ikisi birden yanıtlanır.

Quad9 ile Google ve Cloudflare DNS Karşılaştırması#

En sık sorulan soru, Quad9'un Google (8.8.8.8) ve Cloudflare (1.1.1.1) çözümleyicilerinden hangi açıdan farklı olduğudur. Üçü de hızlı, anycast tabanlı ve DNS over HTTPS/TLS destekli servislerdir; ancak varsayılan davranışları ve önceliklendirdikleri değerler birbirinden ayrışır. Temel fark, güvenlik filtrelemesinin varsayılan olarak açık olup olmadığıdır.

Google Public DNS ve Cloudflare'in standart 1.1.1.1 servisi, temelde tarafsız çözümleyicilerdir: ne isterseniz onu çözerler, zararlı olsun olmasın. Cloudflare, güvenlik filtreli bir alternatif olarak ayrı bir adres (1.1.1.2) sunar; ama bu, kullanıcının bilinçli olarak seçmesi gereken bir üründür. Quad9 ise güvenliği varsayılan davranışı yapar; 9.9.9.9'u kullandığınız anda tehdit engelleme zaten devrededir, ekstra bir yapılandırmaya gerek yoktur. Bu, teknik olmayan kullanıcılar ve kurumsal cihaz filoları için önemli bir farktır.

Performans açısından üçü de birbirine yakındır; küresel anycast ağları sayesinde çoğu bölgede yanıt süreleri birkaç milisaniye farkla değişir. Bu yüzden seçim genelde hıza değil, önceliğe dayanır. Maksimum ham hız ve filtresiz çözümleme istiyorsanız Cloudflare 1.1.1.1 genelde en düşük gecikmeyi verir. Google'ın altyapısıyla bütünleşik geniş bir ekosistem istiyorsanız 8.8.8.8 mantıklıdır. Ama önceliğiniz güvenlikse ve kullanıcıları kendilerini korumaları için bir şey yapmaya zorlamadan zararlı sitelerden uzak tutmak istiyorsanız Quad9 varsayılan tercihtir. Otoritatif ve özyinelemeli çözümleyici ayrımını daha derinlemesine anlamak, bu servislerin nerede konumlandığını netleştirir.

Quad9 Kurulumu Adım Adım#

Quad9'a geçmek, cihazınızın DNS ayarlarında yalnızca çözümleyici adresini değiştirmekten ibarettir. Hiçbir yazılım kurmanız gerekmez. Aşağıda başlıca platformlar için pratik adımları bulacaksınız. Değişiklikten sonra eski, önbelleğe alınmış kayıtların temizlenmesi için sistemin DNS önbelleğini boşaltmanız önerilir; bunun ayrıntılı yöntemlerini DNS önbellek temizleme yazımızda anlattık.

Kullanacağınız adresler şunlardır:

# Birincil IPv4
9.9.9.9
# İkincil IPv4
149.112.112.112
# IPv6
2620:fe::fe
2620:fe::9

Windows (10/11): Ayarlar > Ağ ve İnternet > bağlantınız > IP ayarlarını düzenle yolunu izleyin, DNS'i "El ile" yapın ve tercih edilen sunucuyu 9.9.9.9, alternatifi 149.112.112.112 olarak girin. Komut satırını tercih ediyorsanız yönetici PowerShell'inde:

# Aktif arayüz adını öğren (ör. "Ethernet")
Get-DnsClientServerAddress

# Quad9'u ata
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses ("9.9.9.9","149.112.112.112")

# Önbelleği temizle
ipconfig /flushdns

macOS: Sistem Ayarları > Ağ > bağlantınız > Ayrıntılar > DNS bölümüne gidip mevcut sunucuları kaldırın ve Quad9 adreslerini ekleyin. Terminalden hızlı doğrulama:

# Wi-Fi arayüzüne Quad9 ata
networksetup -setdnsservers Wi-Fi 9.9.9.9 149.112.112.112

# Önbelleği temizle
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Linux (systemd-resolved): Çoğu modern dağıtımda çözümleme systemd-resolved tarafından yönetilir. Kalıcı yapılandırma için:

# /etc/systemd/resolved.conf
[Resolve]
DNS=9.9.9.9 149.112.112.112 2620:fe::fe
FallbackDNS=
DNSOverTLS=yes
DNSSEC=yes

Ardından servisi yeniden başlatın:

sudo systemctl restart systemd-resolved
resolvectl status | grep "DNS Servers"
resolvectl query clou.tr

Yönlendirici (Router): En etkili yöntem, DNS'i tek tek cihazlarda değil doğrudan modem/router üzerinde değiştirmektir. Böylece o ağa bağlanan her cihaz — telefonlar, akıllı TV'ler, IoT aygıtları dâhil — otomatik olarak Quad9 üzerinden çözümleme yapar. Router yönetim panelinde WAN/DHCP ayarları altında DNS sunucularını 9.9.9.9 ve 149.112.112.112 olarak girin. Bu, özellikle DNS ayarını değiştiremeyeceğiniz akıllı ev cihazlarını da koruma altına aldığı için ev ve küçük ofis ağlarında en verimli yaklaşımdır.

Kurulumun doğru olduğunu Quad9'un test sayfası mantığıyla ya da basit bir sorguyla teyit edebilirsiniz. Zararlı olarak işaretlenmiş bir test alan adının çözülmemesi, filtrenin çalıştığını gösterir.

Quad9'un Sunucu Adresleri ve Şifreli DNS (DoH/DoT)#

Quad9 tek bir adresten ibaret değildir; farklı ihtiyaçlara göre birkaç varyant sunar. Bunları bilmek, servisi doğru senaryoda kullanmanızı sağlar. En yaygın kullanılan üç profil şöyledir:

Çoğu kullanıcı için doğru seçim 9.9.9.9'dur: güvenlik filtresi açık, DNSSEC doğrulaması var ve gizlilik için istemci alt ağ bilgisi (ECS) dışarı verilmez. İçerik dağıtım ağlarının (CDN) sizi coğrafi olarak en yakın sunucuya yönlendirmesinden yararlanmak istiyorsanız 9.9.9.11 daha iyi performans verebilir, çünkü yaklaşık konum bilgisini yetkili sunucuya iletir. Filtre olmadan tamamen tarafsız bir çözümleyici gerekiyorsa (örneğin bir güvenlik testi ortamında) 9.9.9.10 kullanılır — ama bu durumda tehdit engelleme avantajını kaybedersiniz.

Quad9, düz (şifresiz) DNS'in yanı sıra DNS over TLS (DoT) ve DNS over HTTPS (DoH) protokollerini de destekler. Bu şifreli protokoller, DNS sorgularınızın ağdaki üçüncü tarafların (ISS, halka açık Wi-Fi operatörü vb.) tarafından okunmasını ya da değiştirilmesini engeller. DoT için sunucu adı dns.quad9.net, DoH uç noktası ise https://dns.quad9.net/dns-query adresidir. Örneğin bir Linux sunucusunda stubby gibi bir DoT istemcisiyle yapılandırma şöyle görünür:

# /etc/stubby/stubby.yml (özet)
upstream_recursive_servers:
  - address_data: 9.9.9.9
    tls_auth_name: "dns.quad9.net"
  - address_data: 149.112.112.112
    tls_auth_name: "dns.quad9.net"

Şifreli DNS, kafe veya otel gibi güvenilmeyen ağlarda sorgularınızın izlenmesini önlemek için önemlidir; tehdit engelleme ise zaten Quad9'un çözümleme katmanında yapıldığı için DoT/DoH kullansanız da devrede kalır. Yani iki koruma birbirini tamamlar: içeriğin gizliliği (şifreleme) ve varış noktasının güvenliği (filtreleme).

Gizlilik İlkeleri ve Veri Politikası#

Bir DNS çözümleyicisini seçerken güvenlik kadar önemli olan bir başka konu da servisin sorgularınızla ne yaptığıdır. Sonuçta ziyaret ettiğiniz her alan adı çözümleyiciden geçer; bu, kişinin çevrimiçi davranışının hassas bir portresidir. Quad9'un öne çıkan iddialarından biri, kullanıcı IP adreslerini kaydetmemesidir. Servis, kendi tehdit istihbaratını iyileştirmek için hangi alan adlarının sorgulandığına dair toplu (anonim) istatistik tutabilir, ancak bu verileri sorguyu yapan kişinin IP adresiyle ilişkilendirmez ve pazarlama amacıyla üçüncü taraflara satmaz.

Bu gizlilik duruşu, servisin yasal çatısıyla da güçlenir. Quad9 kâr amacı gütmeyen bir vakıf olarak İsviçre'de yapılandırılmıştır; bu, ticari reklam gelirine dayanmadığı ve güçlü Avrupa/İsviçre veri koruma rejimine tabi olduğu anlamına gelir. Reklam modeliyle çalışan bir servisin aksine, Quad9'un iş modeli sorgu verilerinizi para kazanmaya çevirmek üzerine kurulu değildir. Şifreli DNS (DoT/DoH) kullandığınızda ise sorgularınız yalnızca çözümleyiciye ulaşana kadar da ağ üzerinde okunamaz hâle gelir; böylece hem taşıma sırasında hem de çözümleyici tarafında mahremiyet korunur.

Yine de gerçekçi olmak gerekir: hiçbir üçüncü taraf çözümleyici, kendi altyapınızda çalıştırdığınız bir çözümleyici kadar tam kontrol sunmaz. Kurumsal bir ortamda maksimum gizlilik ve denetim istiyorsanız kendi özyinelemeli çözümleyicinizi barındırıp Quad9'u yukarı akış (upstream) olarak kullanabilir ya da tamamen bağımsız çözümleyebilirsiniz. Kendi sunucunuzda çözümleyici işletmek, hem gizlilik hem de performans üzerinde en yüksek kontrolü verir; bu tür bir kurulum için sunucu yönetimi hizmetimiz ya da bir VDS sunucu üzerinde yapılandırma iyi bir başlangıç noktasıdır.

Quad9'un Sınırları ve Ne Zaman Kullanmalısınız?#

Quad9 güçlü bir güvenlik katmanıdır ama sihirli bir kalkan değildir; sınırlarını bilmek gerçekçi bir savunma stratejisi kurmak için şarttır. Her şeyden önce Quad9, yalnızca bilinen tehditleri engeller. Henüz hiçbir istihbarat beslemesine düşmemiş, yepyeni (zero-day) bir phishing alan adı, listelere girene kadar çözülmeye devam eder. Dolayısıyla Quad9'u tek başına bir güvenlik çözümü olarak değil, uç nokta antivirüsü, güvenlik farkındalığı eğitimi ve sunucu tarafı korumalarla birlikte çalışan bir katman olarak düşünmek doğrudur.

İkinci sınır, engellemenin ismin bilinen bir tehdit olmasına bağlı olmasıdır. Meşru bir sitenin ele geçirilip zararlı içerik sunması durumunda, alan adının kendisi hâlâ "temiz" göründüğü için Quad9 onu engellemeyebilir. Ayrıca Quad9 bir ebeveyn kontrolü ya da içerik filtreleme (reklam engelleme, yetişkin içeriği engelleme vb.) servisi değildir; sadece güvenlik tehditlerine odaklanır. İçerik kategorisi bazında filtreleme istiyorsanız bunun için tasarlanmış farklı servislere veya kendi çözümlerinize ihtiyaç duyarsınız.

Peki Quad9 kimler için en mantıklı? Aşağıdaki senaryolarda güçlü bir kazanç sağlar:

• Ev ve küçük ofis ağları: Router düzeyinde tanımlandığında, teknik bilgisi olmayan aile bireylerini ya da çalışanları phishing bağlantılarına karşı otomatik korur.
• Cihaz filoları: Okullar, dernekler ya da BYOD (kendi cihazını getir) ortamlarında, her cihaza tek tek yazılım kurmadan temel bir güvenlik tabanı sağlar.
• Sunucu ve hosting altyapıları: Bir web sunucusunun ya da uygulama sunucusunun dışarıya yaptığı çağrılarda (örneğin bir webhook, bir bağımlılık indirme) zararlı alan adlarına ulaşmasını engelleyerek tedarik zinciri saldırılarına karşı ek bir kalkan oluşturur.

Web varlıklarınızın bütüncül güvenliğini düşünüyorsanız, DNS filtreleme yalnızca bir parçadır. Gelen trafiği uygulama katmanında süzen bir web uygulama güvenlik duvarı (WAF), hacimsel saldırılara karşı DDoS koruma ve trafiği uçtan uca şifreleyen bir SSL sertifikası ile birlikte kullanıldığında, hem sunucunuza gelen hem de sunucunuzdan çıkan trafiği katmanlı biçimde korumuş olursunuz. Barındırma tarafında bu güvenlik katmanlarının hazır geldiği bir hosting paketi, çoğu işletme için pratik bir başlangıçtır.

Sıkça Sorulan Sorular#

Quad9 kullanmak internetimi yavaşlatır mı?#

Hayır, pratikte fark edilir bir yavaşlama beklenmez. Quad9 dünya çapında yüzlerce anycast noktasından yayın yaptığı için sorgularınız size en yakın sunucuya yönlenir ve yanıt süreleri genellikle birkaç milisaniye seviyesindedir. Tehdit kontrolü çözümleme sırasında yerel olarak yapıldığından ek bir gecikme yaratmaz. Nadir durumlarda ISS'nizin varsayılan çözümleyicisi coğrafi olarak çok yakınsa ham gecikme birazcık artabilir, ancak bunun karşılığında kazandığınız güvenlik bu farkı fazlasıyla telafi eder.

Quad9 meşru bir siteyi yanlışlıkla engellerse ne yaparım?#

Böyle bir yanlış pozitif (false positive) çok nadirdir çünkü Quad9 alan adı temelinde ve birden çok istihbarat kaynağının teyidiyle çalışır. Yine de bir sitenin haksız yere engellendiğini düşünüyorsanız, Quad9'un yanlış sınıflandırma bildirim mekanizması üzerinden itirazda bulunabilirsiniz; incelendikten sonra liste güncellenir. Acil erişim gerekiyorsa, filtresiz 9.9.9.10 adresini geçici olarak kullanarak sitenin gerçekten Quad9 tarafından mı yoksa başka bir nedenle mi engellendiğini teyit edebilirsiniz.

Quad9 ile Cloudflare'in 1.1.1.1'i arasındaki temel fark nedir?#

En temel fark varsayılan davranıştır. Cloudflare'in standart 1.1.1.1 adresi filtresizdir, yani zararlı olsun olmasın her alan adını çözer; güvenlik filtresi için ayrı olarak 1.1.1.2'yi seçmeniz gerekir. Quad9'un 9.9.9.9 adresi ise güvenlik filtresini varsayılan olarak açık getirir, ekstra bir seçim gerektirmez. Ayrıca Quad9 kâr amacı gütmeyen bir vakıf tarafından İsviçre'de yönetilirken Cloudflare ticari bir ABD şirketidir; bu, yasal çatı ve gizlilik önceliği açısından farklı bir konumlanma anlamına gelir.

Quad9 reklamları veya yetişkin içeriğini engeller mi?#

Hayır. Quad9 bir güvenlik servisidir; yalnızca zararlı yazılım, phishing ve botnet gibi güvenlik tehditlerini engeller. Reklam engelleme, sosyal medya ya da yetişkin içeriği filtreleme gibi içerik kategorisi bazlı kısıtlamalar Quad9'un kapsamında değildir. Bu tür kategori filtrelemesi istiyorsanız bunun için tasarlanmış ayrı bir DNS servisi kullanmanız ya da kendi çözümleyicinizde kategori listeleri tanımlamanız gerekir.

Quad9'u değiştirdikten sonra hemen etkili olur mu?#

Ayar değişikliği anında geçerli olur, ancak işletim sisteminiz ya da tarayıcınız eski çözümleyiciden aldığı bazı yanıtları önbellekte tutuyor olabilir. Bu yüzden değişiklikten sonra DNS önbelleğini temizlemeniz önerilir. Windows'ta ipconfig /flushdns, macOS'ta sudo killall -HUP mDNSResponder komutu bu işi görür; ayrıntılı adımlar için DNS önbellek temizleme rehberimize bakabilirsiniz. Önbellek temizlendikten sonra tüm yeni sorgular Quad9 üzerinden çözülür.

Quad9'u kendi sunucumda upstream çözümleyici olarak kullanabilir miyim?#

Evet, bu yaygın ve önerilen bir kurumsal senaryodur. Kendi sunucunuzda unbound ya da systemd-resolved gibi bir çözümleyici çalıştırıp yukarı akış (upstream) olarak Quad9'u tanımlayabilirsiniz. Böylece hem yerel önbellek performansından hem de Quad9'un tehdit engelleme ve DNSSEC doğrulama katmanından yararlanırsınız. DoT ile yukarı akış trafiğini şifrelerseniz, sunucunuz ile Quad9 arasındaki sorgular da ağda okunamaz hâle gelir. Bu tür yapılandırmaları kendi sanal sunucu ya da VDS ortamınızda kolayca kurabilirsiniz.

Kapanış#

Quad9, 9.9.9.9 adresiyle sunulan, güvenliği varsayılan hâle getiren ve bunu ücretsiz olarak sağlayan ender DNS çözümleyicilerinden biridir. Zararlı, phishing ve botnet alan adlarını daha çözümleme aşamasında keserek antivirüs ve güvenlik duvarı katmanlarına bağımsız bir savunma hattı ekler; DNSSEC doğrulaması ve şifreli DNS (DoT/DoH) desteğiyle hem yanıtların bütünlüğünü hem de sorguların gizliliğini korur. Google ve Cloudflare'e kıyasla temel farkı, güvenlik filtresini kullanıcıya seçtirmeden açık getirmesidir. Router düzeyinde tek bir ayar değişikliğiyle bütün ağınızı koruma altına alabilir, kendi sunucunuzda upstream olarak tanımlayarak kurumsal düzeyde kullanabilirsiniz.

Ne var ki DNS filtreleme, katmanlı bir güvenlik stratejisinin yalnızca bir parçasıdır. Web varlıklarınızı uçtan uca korumak istiyorsanız Clou.TR'nin WAF, DDoS koruma ve SSL çözümlerini güvenli bir hosting ya da VDS sunucu altyapısıyla birleştirebilir; ölçeklenen kurulumlar için sunucu yönetimi hizmetimizle DNS, güvenlik ve performans yapılandırmasını uzman ekibimize bırakabilirsiniz. Güvenli bir altyapının ilk adımı, çoğu zaman doğru DNS ve barındırma tercihiyle başlar.