Teknik Rehber · Bulut Altyapısı

Bulutta Private Endpoint ve DNS: Google Cloud, AWS, Azure

Private endpoint, bir bulut servisine özel ağ yolundan ulaşmayı sağlar. Google Cloud Private Service Connect, AWS interface endpoint/PrivateLink ve Azure Private Endpoint kapsamları aynı…

Teknik gözden geçirme: 2026-10-06

Mimari ve çalışma modeli

Private endpoint, bir bulut servisine özel ağ yolundan ulaşmayı sağlar. Google Cloud Private Service Connect, AWS interface endpoint/PrivateLink ve Azure Private Endpoint kapsamları aynı değildir. Endpoint oluşturulması DNS’in otomatik doğru olduğunu veya genel erişimin kapandığını kanıtlamaz.

İstemci isim çözümlemesini başlangıçtan izleyin: kurum resolver’ı, koşullu forwarder, bulut private zone ve endpoint adresi. Aynı FQDN kurum ağında özel, dışarıda genel cevap verebilir. Yetki ve ağ yolunu ayrı inceleyin; private erişim IAM yerine geçmez.

Google Cloud’da API endpoint adları ve DNS zone kapsamını, AWS’de hizmet/bölge ve private DNS davranışını, Azure’da hedef alt kaynak ve private zone bağını doğrulayın. Şirket ağına VPN/özel hat ulaşması yeterli değildir; DNS dönüş yolu ve forwarding döngüsü de test edilir.

1İstemci DNS
2Koşullu resolver
3Private zone/endpoint
4TLS ve IAM

Üç istemci yolundan DNS’i sınayın.

Tasarım parametreleri

Resolver kapsamı: Bulut VM, kurum istemcisi ve VPN istemcisi aynı resolver’ı kullanmayabilir; her birini test edin.
Yetki: Endpoint policy, servis IAM ve kaynak ACL katmanlarını ayrı kaydedin.
Genel erişim: Endpoint tamamlandıktan sonra genel yoldaki istenmeyen erişimi negatif testle doğrulayın.

Hesap ve uygulama örneği

Bir veri servisi 10.20.0.8 özel adresinden sunulsun. Bulut VM doğru özel cevap alırken kurum DNS’i genel cevap veriyorsa önce forwarder/zone bağlantısını düzeltin. TLS testi servisin gerçek FQDN’iyle yapılmalı; yalnız IP’ye curl çağrısı ad doğrulamasını bozabilir.

Örnek komutlar: laboratuvar değerlerini değiştirin; kullanmadan önce yetkiyi ve yazılım sürümünü doğrulayın.

dig service.example.test
getent ahosts service.example.test
# Lab only: keep Host/SNI while forcing the approved private IP.
curl --resolve service.example.test:443:10.20.0.8 https://service.example.test/health

Hata teşhisi

Belirti	Olası neden / ayrım	Doğrulama
Endpoint approved, HTTP 403	Yanlış DNS yolu veya servis yetkisi.	Çözümleme adresini, bağlantı hedefini ve IAM kararını ayrı kontrol edin.
Bulutta çalışıyor, kurumda yok	Forwarder veya private zone kapsamı.	Her resolver üzerinden aynı FQDN cevabını karşılaştırın.

Kabul ve doğrulama kontrolleri

Üç istemci yolundan DNS’i sınayın.
TLS adını koruyun.
Endpoint alt kaynağını doğrulayın.
IAM negatif testini yapın.
Genel erişimi ayrıca sınayın.
DNS failover’ını belgeleyin.

İlgili kavramlar

DNS önbelleği ve bağımlılık

DNS cevabı yalnız kaydın authoritative sunucudaki değerine bağlı değildir; istemci ve recursive resolver önbellekleri de sonucu etkiler. TTL değişikliği daha önce önbelleğe alınmış yanıtların ömrünü geriye dönük kısaltmaz. A/AAAA, CNAME, MX ve TXT kayıtları farklı işlevlere sahiptir. İç ve dış görünümü ayrı test edin; split DNS nedeniyle cevapların farklı olması tasarlanmış olabilir. Arıza araştırmasında kullanılan resolver, yanıt türü, TTL ve sorgu zamanını kaydedin. IP ile erişimin çalışması tek başına DNS yapılandırmasının doğru olduğunu göstermez.

IT/OT güvenlik bölgeleri

Bölge, benzer güvenlik ve işletim gereksinimlerini paylaşan varlık grubudur; bölgeler arasındaki iletişim kontrollü geçitlerden geçmelidir. OT cihazının erişilebilir olması, tarama veya güncelleme için güvenli olduğunu göstermez. Kontrol gecikmesi, emniyet, üretici desteği ve bakım penceresi kararları değiştirir. PLC ve SCADA iletişimini mevcut üretim akışından gözlemleyin; IT tarafındaki politikayı olduğu gibi aktarmayın. Uzaktan destek erişimine kimlik, süre, onay ve kayıt koşulları tanımlayın. Aktif test ve geçişleri üretim sorumlusuyla koordine edin.

Kimlik doğrulama ve oturum

Kimlik doğrulama kullanıcının veya iş yükünün kim olduğunu kanıtlar; yetkilendirme ise bu kimliğin ne yapabileceğini belirler. Başarılı oturum açma, bütün kaynaklara erişim izni anlamına gelmez. Kullanıcı oturumları, servis kimlikleri, API belirteçleri ve cihaz sertifikaları farklı yaşam döngülerine sahiptir. İlk giriş kadar oturum süresi, belirteç yenileme, işten ayrılma, kayıp cihaz ve acil erişim senaryolarını da tasarlayın. Kimlik sağlayıcı erişilemez olduğunda hangi oturumların süreceğini ve hangi yeni erişimlerin engelleneceğini ölçün.

Güven sınırı ve hata alanı

Güven sınırı, aynı erişim kararlarını paylaşan bileşenleri ayırır; hata alanı ise tek bir olayın birlikte etkileyebileceği kaynakları tanımlar. İki VLAN kullanmak, aralarında serbest yönlendirme varsa güçlü bir güven sınırı kurmaz. İki yedek aynı yönetici hesabıyla silinebiliyorsa da farklı klasörlerde bulunmaları ayrı hata alanı sağlamaz. Tasarımda fiziksel yer, kimlik sağlayıcı, yönetim hesabı, ağ yolu ve enerji kaynağını ayrı ayrı değerlendirin. Bir bileşen kaybedildiğinde hangi erişimlerin ve kurtarma seçeneklerinin ayakta kalacağını sınayın.

Bağımlılık ve geri açılış sırası

Bir hizmet çoğu zaman kimlik, DNS, zaman, ağ, veritabanı ve lisans servislerine bağlıdır. Bağımlılıkları yalnız cihaz listesi olarak değil, hangi hizmetin hangi koşulla çalışabildiğini gösteren bir grafik olarak kaydedin. Geri açılış sırası buna göre belirlenir; bazı döngüsel bağımlılıklar özel acil erişim gerektirir. Çalışan altyapı bileşenleri ile işin yeniden başlayabildiği anı ayırın. Her bağımlılığa sorumlu, doğrulama yöntemi ve alternatif erişim yolu atayın. Uçtan uca testte bir bileşeni bilerek erişilemez hale getirerek varsayımları sınayın.

Yüksek erişilebilirlik ile kurtarma ayrımı

Yüksek erişilebilirlik, belirli arızalarda hizmetin kısa kesintiyle sürmesini hedefler; yedekleme, kaybolan veya bozulan veriyi önceki bir noktadan geri getirir. Bir küme yanlış silinen kaydı diğer düğüme de aktarabilir. Bu nedenle HA ve backup birbirinin yerine geçmez. Hizmetin DNS, kimlik, ağ, depolama ve enerji bağımlılıklarını birlikte düşünün. Başarılı düğüm geçişi tek başına yeterli değildir: kullanıcı oturumunun, uygulama yazmasının ve dış entegrasyonların geçiş sonrası davranışı da ölçülmelidir.

Birincil teknik dokümantasyon

Doz Teknoloji teknik ekibi tarafından aşağıdaki birincil kaynaklar temel alınarak hazırlanmıştır. Hesaplar ve laboratuvar senaryoları varsayımlarını belirtir; uygulamadan önce kullanılan ürün sürümünü doğrulayın.

Bilgi Merkezi