FortiGate DNS Troubleshooting: IP Çalışıyor Ama Domain Çalışmıyor

İlgili yazılar

FortiGate Session Table: Policy Değişti Ama Trafik Neden Eski Davranıyor?

7 gün önce

FortiGate Troubleshooting: Trafik Gerçekten Nerede Kesiliyor?

2 hafta önce

FortiGate NAT Troubleshooting: Policy Doğru Ama Trafik Neden Çıkmıyor?

3 hafta önce

IP adresine erişebiliyor ancak aynı servise domain/FQDN üzerinden ulaşamıyorsanız sorun her zaman firewall policy değildir.

Örneğin:

IP → Çalışıyor ✅
FQDN → Çalışmıyor ❌

Bu durumda önce şu ayrımı yapmak gerekir:

Sorun network erişimi mi, yoksa DNS resolution mı?

1. DNS Sorgusu Gerçekten Çıkıyor mu?

FortiGate üzerinden UDP/TCP 53 trafiğini kontrol etmek için:

diagnose sniffer packet any 'port 53' 4 0 l

Burada:

Client → DNS Server Query
ve ardından
DNS Server → Client Response

görülmelidir.

Fortinet de DNS troubleshooting sırasında query’nin çıkıp response’un geri gelip gelmediğinin packet capture ile doğrulanmasını öneriyor.

2. Doğru DNS Server mı Kullanılıyor?

Client’ın hangi DNS sunucusuna sorgu gönderdiğini kontrol edin.

Özellikle:

VPN → Internal DNS
LAN → Internal DNS
Internet → Public/Corporate DNS

senaryolarında yanlış DNS atanması çok sık sorun oluşturur.

Burada önemli ayrıntı:

FortiGate üzerinde:

config system dns

altındaki DNS server’lar öncelikle FortiGate’in kendi DNS sorguları içindir.

Client’ın firewall üzerinden geçen DNS trafiği ise ilgili firewall policy ve client DNS konfigürasyonuna göre ilerler.

3. DNS Cevabı Doğru mu?

Sorgu gidiyor ve cevap geliyor olabilir ama cevap beklediğiniz IP olmayabilir.

Özellikle Split-DNS ortamlarında:

app.example.com

internal network’ten:

10.10.20.15

dönerken internet tarafında:

203.0.113.15

dönebilir.

Yanlış resolver kullanılırsa kullanıcı doğru domain’i sorgulasa bile yanlış IP’ye yönlenebilir.

Bu nedenle sadece:

“DNS cevap verdi mi?”

değil,

“Hangi IP’yi döndürdü?”

sorusuna da bakılmalıdır.

4. Firewall Policy DNS Trafiğine İzin Veriyor mu?

Client’ın DNS server’a erişmesi için gerekli policy bulunmalıdır.

Kontrol:

Source → Destination DNS Server → UDP/TCP 53 → Policy → Route

Modern ortamlarda ayrıca DoT (TCP/853) veya DoH kullanımı varsa klasik port 53 capture’ı bütün DNS trafiğini göstermeyebilir. Fortinet de güncel FortiOS sürümlerinde DNS protocol ayarının kontrol edilmesini öneriyor.

5. DNS Filter Trafiği Engelliyor mu?

Policy üzerinde DNS Filter profile bağlıysa domain kategorisi veya reputation sonucunda sorgu engellenebilir.

Bu yüzden:

Policy doğru + DNS server erişilebilir

olsa bile DNS Filter logları kontrol edilmelidir.

Web Filter için ise küçük bir ayrım vardır:

DNS Filter → DNS resolution aşamasını etkileyebilir.
Web Filter → Genellikle domain çözüldükten sonraki HTTP/HTTPS erişimini kontrol eder.

Dolayısıyla FQDN hiç resolve olmuyorsa ilk şüphe Web Filter değil, DNS akışıdır.

6. FortiGate DNS Proxy Kullanılıyorsa

FortiGate DNS server/proxy görevi görüyorsa:

diagnose test application dnsproxy 2

ile istatistikler incelenebilir.

Daha detaylı debug:

diagnose debug reset
diagnose debug application dnsproxy -1
diagnose debug enable

İşlem bittikten sonra:

diagnose debug disable
diagnose debug reset

kullanılmalıdır. Fortinet bu komutları DNS proxy troubleshooting için doğrudan öneriyor.

Hızlı Troubleshooting Akışı

Client DNS → Query → DNS Server → Response → DNS Filter → Returned IP → Route/Policy → Application

En kritik soru:

🔥 “IP çalışıyor ama domain çalışmıyor” ise önce isim çözümlemesini doğrulayın.

Çünkü troubleshooting’de:

“Erişim yok.”

ile:

“İsim çözülemiyor.”

aynı problem değildir.

Bu ayrımı ilk birkaç dakikada yapmak gereksiz firewall, NAT ve routing kontrollerini ciddi şekilde azaltır.