DHCP konsolunda yer alan DNS Dynamic Update Credentials alanı hakkında sık sık soru alıyorum. İlk bakışta yalnızca bir kullanıcı adı ve parola girdiğimiz bu bölüm, Active Directory entegre DNS ortamlarında kayıtların kim tarafından oluşturulduğunu, kimin değiştirebildiğini ve DHCP sunucularından biri değiştiğinde kayıtların güncellenip güncellenemeyeceğini doğrudan etkiliyor. Bu yazıda hem menünün ne yaptığını hem de güvenli yapılandırmayı adım adım ele alacağım.
Bu konunun temeli DNS dinamik kayıt ve scavenging mantığıdır. Önceki ayrıntılı makalemi okumak isterseniz: Active Directory DNS Aging and Scavenging.
Güncelleme notu (2026): İçerik Windows Server 2019, 2022 ve 2025 DHCP yönetim mantığına göre gözden geçirilmiştir. Ekran görüntüleri orijinal makaleden korunmuştur. Örnek etki alanı, sunucu ve IP adresleri temsili olup laboratuvar doğrulaması iddiası içermez.
DHCP, DNS A ve PTR kayıtlarını neden günceller?
Alan adına üye bir Windows istemcisi DNS Client hizmeti aracılığıyla kendi A kaydını güncelleyebilir. PTR kaydının DHCP tarafından yazılması yaygındır. Ancak yazıcılar, IP telefonlar, mobil cihazlar ve farklı işletim sistemleri aynı dinamik güncelleme davranışını göstermeyebilir. DHCP sunucusunun istemci adına kayıt oluşturması bu noktada önem kazanır.
İstemci ve DHCP sunucusu arasındaki işlemde DHCP FQDN Option 81 önemlidir. İstemcinin talebine ve DHCP sunucusunun DNS sekmesindeki seçimine göre A ve PTR kayıtlarının sorumluluğu değişir. “DHCP açıksa her kaydı mutlaka oluşturur” demek doğru değildir; DNS bölgesindeki izinler, kayıt sahipliği ve güncelleme politikası da sonucu belirler.
DHCP konsolunda DNS sekmesi
Enable DNS dynamic updates according to the settings below
Bu seçenek DHCP sunucusunun DNS dinamik güncellemelerine katılmasını sağlar. Hemen altında istemcinin talebine bağlı davranış veya A ve PTR kayıtlarının her zaman DHCP tarafından güncellenmesinin denenmesi seçilebilir.
- Dynamically update DNS A and PTR records only if requested by the DHCP clients: DHCP, istemcinin FQDN talebi doğrultusunda güncelleme yapar; tipik Windows istemcisinde A kaydını istemci, PTR kaydını DHCP üstlenebilir.
- Always dynamically update DNS A and PTR records: DHCP sunucusu istemci talebinden bağımsız olarak A ve PTR kayıtlarını kendisi güncellemeyi dener. Başarı için DNS erişimi ve doğru yetki gerekir.
- Discard A and PTR records when lease is deleted: Kira kaydı silindiğinde ya da süresi dolduğunda DHCP’nin ilişkili kayıtları kaldırmayı denemesini sağlar; kayıt izinleri ve gerçek sahipliği nedeniyle her durumda silme garantisi değildir.
- Dynamically update DNS A and PTR records for DHCP clients that do not request updates: FQDN güncellemesi istemeyen veya Option 81 kullanmayan eski ya da farklı istemciler için DHCP tarafında güncelleme yapılmasını sağlar. Bu, yalnızca önbellek veya yalnızca PTR ayarı değildir.
- Disable DNS PTR record updates: Bazı yönetim sürümlerinde PTR güncellemelerini ayrıca devre dışı bırakma seçeneği bulunur; kapsamın politikasına göre değerlendirilmelidir.
Önemli ayrım: İlk ve son kutucuk “biri kayıt oluşturur, öteki sadece mevcut kaydı günceller” şeklinde ayrılmaz. Her ikisi de dinamik DNS kayıt işleminin hangi istemci koşullarında yapılacağını etkiler.
DNS Dynamic Update Credentials neden gerekli?
Active Directory entegre ve Secure only dinamik güncellemeye izin veren DNS bölgelerinde kayıtların güvenlik tanımlayıcıları (ACL) önemlidir. Bir DHCP sunucusu kendi bilgisayar hesabıyla kayıt oluşturursa başka bir DHCP sunucusunun aynı kaydı değiştirmeye yetkisi olmayabilir. Failover, sunucu yenileme ve taşıma senaryolarında “DNS kaydı kaldı ama güncellenmiyor” problemi burada ortaya çıkar.
Bunun için yalnızca bu işe ayrılmış standart bir Active Directory kullanıcı hesabı oluşturup, DNS kayıtlarını istemciler adına yöneten DHCP sunucularına aynı kimliği tanımlamak genellikle daha güvenli ve daha yönetilebilir bir yaklaşımdır. Bu hesaba Domain Admins veya DNSAdmins üyeliği vermeyin; normal kullanıcı hesabı olması amaçlanır. Kullanıcı adı ve parolayı kurumun kimlik ve parola rotasyonu politikasıyla yönetin.
DHCP sunucusuna hesabın tanımlanması
- Active Directory Users and Computers üzerinde, yalnızca DHCP DNS güncellemeleri için kullanılacak standart bir kullanıcı oluşturun.
- DHCP konsolunda ilgili sunucuya sağ tıklayın ve Properties → Advanced → Credentials yolunu açın.
- Kullanıcı adı, etki alanı ve parolayı girin. Birden fazla DHCP sunucunuz varsa, DNS güncellemesini birlikte yönetmeleri için uygun sunucularda aynı ayrılmış hesabı yapılandırın.
- DNS bölgesinin AD-integrated ve gerekiyorsa Secure only olduğunu; DHCP’nin doğru DNS sunucularına eriştiğini doğrulayın.
- Var olan kayıtların sahipliğinin sihirli biçimde değişmeyeceğini unutmayın: Yeni hesap eski ACL sorununun otomatik onarımı değildir.
Domain Controller üzerinde DHCP çalışıyorsa: Eski yazımdaki “ayrı hesap tanımlamayın” uyarısını düzeltiyorum. Microsoft, DHCP hizmeti bir domain controller üzerinde çalıştığında özellikle ayrı DNS güncelleme hesabı kullanılmasını öneriyor. Aksi durumda hizmet domain controller’ın geniş yetkileriyle güvenli DNS kayıtlarını değiştirebilir. Güvenlik ve rol ayrımı açısından DHCP hizmetini ayrı bir üye sunucuda çalıştırmak da değerlendirilmelidir.
DnsUpdateProxy grubu ne işe yarar?
DnsUpdateProxy, bir DHCP sunucusunun oluşturduğu kayıtların diğer DHCP sunucularınca devralınabilmesine yardım eden eski yöntemlerden biridir. Ancak bu grubun oluşturduğu kayıtların güvenlik davranışı nedeniyle AD entegre Secure only bölgelerde tek başına kullanılmasını varsayılan çözüm olarak önermiyorum. Microsoft, gerekirse bu grupla birlikte ayrılmış DNS kayıt hesabının kullanılmasını açıklıyor. Pratikte önceliğim ortak, düşük yetkili kimlik bilgileridir.
Özellikle DNS güncellemesi için tanımladığınız kullanıcı hesabını DnsUpdateProxy grubuna üye yapmayın; bu kayıt sahipliği ve güvenlik davranışını etkileyebilir.
Name Protection neyi korur?
DHCP Name Protection, farklı DHCP istemcilerinin aynı DNS ismine sahip olmasını engellemeye yardımcı olmak için DHCID kaynak kayıtlarını kullanır. DHCP’nin denetlediği isim üzerinde çakışma oluşursa diğer istemcinin aynı adı kullanarak kaydı değiştirmesi engellenebilir. Bununla birlikte Name Protection, DNS bölgesindeki bütün isimleri genel amaçlı koruyan bir erişim kontrol sistemi veya mevcut tüm DNS kayıtları için mutlak bir güvenlik garantisi değildir.
Name Protection’ı özellikle BYOD ve farklı işletim sistemlerinin yoğun olduğu ağlarda değerlendirin. Devreye almadan önce mevcut çakışan isimleri, kayıt sahipliklerini ve DHCP politika/kapsam ayarlarını test edin. Kullanacağınız ayarlar DHCP sunucusu veya kapsam seviyesinde farklı olabilir.
Mevcut DNS kayıtlarına ne olur?
Daha önce Windows istemcisi tarafından oluşturulan A kaydının ACL’si, DHCP hesabına güncelleme izni vermeyebilir. Benzer şekilde önceki DHCP bilgisayar hesabınca oluşturulan bir kaydı yeni ortak hesap ilk anda değiştiremeyebilir. Dolayısıyla Credentials alanını doldurmak mevcut tüm kayıtların otomatik sahiplik aktarımı anlamına gelmez. Kayıt bazında gerçek sahipliği ve izinleri incelemek, gerekli değişiklikleri kontrollü yapmak gerekir.
DNS kayıtlarını topluca silmek veya tüm bölgenin ACL’sini gevşetmek, üretim ortamında isim çözümleme ve güvenlik sorunlarına yol açabilir. Eski ve bozuk kayıtları temizlemeden önce DNS bölge yedeği, ilgili DHCP kiralama verileri, scavenging ayarları ve yetki bilgileri kontrol edilmelidir.
PowerShell ile yapılandırmayı doğrulama
Aşağıdaki komutlar yalnızca mevcut DHCP DNS ayarlarını görüntüler; üretim ortamındaki ayarları değiştirmez. Sunucu ve kapsam adlarını kendi ortamınızla değiştirin.
Get-DhcpServerv4DnsSetting -ComputerName "dhcp01.contoso.com"
Get-DhcpServerv4DnsSetting -ComputerName "dhcp01.contoso.com" -ScopeId 10.10.10.0
Get-DhcpServerDnsCredential -ComputerName "dhcp01.contoso.com"Örnek olarak bir kapsam için DNS güncelleme tercihini değiştiren komut aşağıdadır. Bu komut ayarı değiştirir; önce bakım/onay sürecinden geçirip test ortamında doğrulayın.
Set-DhcpServerv4DnsSetting -ComputerName "dhcp01.contoso.com" -ScopeId 10.10.10.0 -DynamicUpdates OnClientRequest -NameProtection $trueTüm istemciler için DNS A/PTR güncellemesini DHCP’ye devretmek istiyorsanız -DynamicUpdates Always seçeneği vardır. Ancak bu seçim kayıtların sahipliğini ve istemcilerin doğrudan DNS güncelleme davranışını etkileyebileceğinden varsayılan olarak her ortamda kullanılmamalıdır.
En sık karşılaşılan hatalar ve kontrol listesi
- DNS kaydı hiç oluşmuyor: DHCP DNS ayarları, istemcinin FQDN Option 81 davranışı, DNS bölgesinin dinamik güncelleme ilkesi ve yetkili DNS sunucusuna erişim kontrol edilmeli.
- Kayıt var ama IP değişmiyor: Eski kayıt sahibi ve ACL, aynı isimle ikinci istemci, DHCID çakışması ve DNS güncelleme hesabı incelenmeli.
- DHCP failover sonrası kayıt güncellenmiyor: İki sunucuda aynı ayrılmış hesabın kullanılıp kullanılmadığı ve mevcut kaydın sahipliği araştırılmalı.
- Güncellemeler gecikiyor: Scope üzerinden dağıtılan DNS sunucuları dinamik güncellemeyi desteklemiyorsa DHCP güncellemeleri kuyruğa alınarak gecikebilir.
- İstemcide ipconfig /registerdns kullandım ama sorun büyüdü: Microsoft, DHCP’nin yönettiği Windows istemcilerinde doğrudan kayıt sahipliğini etkileyebilen bu işlem yerine uygun senaryoda
ipconfig /renewyaklaşımını öneriyor.
Sonuç
DHCP üzerinde DNS Dynamic Update Credentials tanımlamak küçük bir ayar gibi görünse de, Active Directory entegre DNS bölgelerinde kayıt sahipliği, DHCP failover ve güvenli dinamik güncelleme açısından önemlidir. Benim yaklaşımım; önce hangi istemcinin A/PTR güncellemesini yönettiğini anlamak, uygun senaryolarda ortak ve düşük yetkili DHCP hesabı kullanmak, DnsUpdateProxy ve Name Protection ayarlarını güvenlik etkileriyle değerlendirmek ve mevcut kayıtların sahipliğini kontrol etmektir. Umarım faydalı bir yazı olmuştur.
