Wildcard DNS, bir DNS bölgesinde açıkça tanımlanmamış adları yıldız etiketli bir kayıtla eşleştirir. Örneğin *.example.com kaydı, yalnız sorgulanan ada daha yakın mevcut bir DNS adı bulunmadığında yanıtın kaynağı olabilir.

Bu davranış, yıldızın bütün alt alanları koşulsuz yakaladığı anlamına gelmez. DNS önce sorgulanan adın var olup olmadığını kontrol eder ve sorguyla en fazla ortak etikete sahip mevcut üst adı bulur. Yanıt, ancak bu adın hemen altında uygun bir wildcard kaydı bulunursa oluşturulur.

Wildcard DNS Nasıl Çalışır?

DNS çözümlemesi önce tam adı arar. Tam ad yoksa yetkili DNS sunucusu, sorgulanan ada en yakın mevcut üst adı belirler. Bu üst adın hemen altında yıldız etiketli uygun bir kayıt varsa DNS o kaydı kullanarak sorgulanan ad için yanıt oluşturabilir.

Örnek bir bölgede *.example.com için IPv4 adresini belirten bir A kaydı, api.example.com için de ayrı bir A kaydı bulunduğunu düşünün. test.example.com açıkça tanımlı değilse yanıt *.example.com kaydından oluşturulabilir. api.example.com sorgusunda ise açık kayıt kullanılır ve wildcard devreye girmez.

Daha derin bir adın alacağı yanıt, aradaki adların varlığına bağlıdır. api.example.com mevcutken deneme.api.example.com sorgulanırsa en yakın mevcut üst ad api.example.com olur. Bu durumda *.api.example.com kaydı yoksa daha yukarıdaki *.example.com kaydı kullanılmaz.

Wildcard yalnız tek seviyedeki eksik adlarla sınırlı değildir. Arada mevcut başka bir ad yoksa daha uzun bir sorgu adı da aynı wildcard kaydından yanıt alabilir. Kapsamı nokta sayısı değil, sorgu ile bölge arasındaki en yakın mevcut ad ilişkisi belirler.

Mevcut DNS Adları Wildcard Kaydından Neden Önceliklidir?

DNS açısından bir adın mevcut olması, o adda sorgulanan kayıt türünün de bulunacağı anlamına gelmez. Örneğin mail.example.com adında yalnız e-posta sunucularını belirten MX kaydı varsa bu ad için A kaydı sorgulandığında wildcard A kaydına geçilmez. DNS, adın var olduğunu ancak A kaydı bulunmadığını gösteren NODATA sonucunu döndürebilir. NODATA ayrı bir yanıt kodu değildir; bu durumda yanıt kodu NOERROR olur, istenen kayıt verisi bulunmaz.

Doğrudan kayıt taşımayan fakat altında başka adlar bulunduğu için DNS ağacında yer alan ara adlar da eşleşmeyi etkiler. Örneğin sunucu.eu.example.com kaydı varsa eu.example.com, kendisine ait kayıt bulunmasa bile mevcut sayılır. test.eu.example.com için *.example.com kullanılamaz; bu düzeyde eşleşme isteniyorsa *.eu.example.com kaydı gerekir.

Bu öncelik, açıkça tanımlanmış adların daha geniş bir wildcard kaydı tarafından geçersiz kılınmasını önler. Bir alt alan eklendikten sonra daha önce çalışan bazı derin wildcard yanıtlarının değişebilmesinin nedeni de budur.

Wildcard DNS Hangi Adları Kapsamaz?

Yıldız karakteri bütün alt alanların kapsandığını göstermez. Aşağıdaki durumlarda *.example.com kaydı tek başına yeterli değildir:

  • Bölge kökü: example.com ayrı bir addır ve kendi kaydına ihtiyaç duyar.
  • Açıkça tanımlanmış adlar: www.example.com gibi tanımlı bir ad kendi kayıtlarıyla değerlendirilir.
  • Mevcut ada bağlı daha derin adlar: api.example.com varsa x.api.example.com için daha yakın düzeyde bir wildcard gerekebilir.
  • Yetki devredilmiş alt bölgeler: sub.example.com başka DNS sunucularına devredilmişse altındaki adları o bölgenin kayıtları belirler.

Bu nedenle “her alt alanı yakalar” ifadesi teknik olarak eksiktir. Wildcard kapsamını mevcut adlar, sorguya en yakın üst ad ve istenen kayıt türü birlikte belirler.

Wildcard DNS Kayıtlarında A, AAAA ve CNAME Kullanımı

*.example.com gibi bir wildcard adı, normal DNS adları gibi farklı kayıt türlerini taşıyabilir. Wildcard A kaydı tanımlanmamış sorgu adını bir IPv4 adresiyle, wildcard AAAA kaydı ise bir IPv6 adresiyle eşleştirebilir. Wildcard CNAME kaydı, oluşturulan adı başka bir alan adına takma ad olarak bağlayabilir.

CNAME için normal DNS kısıtlamaları geçerlidir. Bir wildcard adı CNAME kaydı taşıyorsa aynı ad altında A, MX veya metin verileri taşıyan TXT gibi başka veri kayıtları kullanmayın. Aynı wildcard adı altında A, MX veya TXT gibi veri kayıtlarını birlikte kullanacaksanız yapıyı CNAME kullanmadan planlayın. DNS verisini imzalarla doğrulayan DNSSEC için gereken RRSIG imza kayıtları ve NSEC yokluk kanıtları bu kısıtlamanın dışındadır.

MX ve TXT kayıtları da wildcard adı altında tanımlanabilir; ancak her tür kendi işlevini korur. Wildcard A kaydı bulunması, aynı ad için kendiliğinden MX veya TXT yanıtı oluşturmaz. Wildcard A kaydı e-posta teslimini, wildcard TXT kaydı da web trafiğini kendiliğinden yapılandırmaz. Wildcard NS kaydının davranışı standartta açıkça tanımlanmadığı için bu kullanım önerilmez.

Wildcard DNS ile Wildcard TLS Sertifikası Arasındaki Farklar

Wildcard DNS ve wildcard TLS sertifikası farklı işlevlere sahiptir. DNS kaydı, bir ad sorgulandığında hangi DNS verisinin döneceğini belirler. TLS sertifikası ise şifreli bağlantı kurulurken sunucunun bağlantı kurulan alan adı için kimliğini doğrulamaya yarar. Sertifikadaki *.example.com ifadesi yalnız tek düzeydeki api.example.com gibi adları kapsar; example.com veya x.api.example.com adını kapsamaz. Bu adlar için sertifikada ayrıca uygun ad tanımları gerekir. DNS wildcard'ının daha derin adlara yanıt verebilmesi sertifikanın da bu adları kapsadığı anlamına gelmez.

Wildcard DNS kaydı oluşturmak kendiliğinden sertifika üretmez, mevcut sertifikanın kapsamını genişletmez veya HTTPS bağlantısını güvenli hale getirmez. DNS, web sunucusu ve TLS ayarlarını ayrı ayrı yapılandırmanız gerekir.

Wildcard Yapılandırması Nasıl Kontrol Edilir?

Yalnız rastgele bir alt alanı sorgulamak eşleşme sınırlarını göstermez. Açık kayıtları, mevcut olmayan adları ve daha yakın ara adları birlikte kontrol etmek gerekir.

  1. Bölge kökünün ve açıkça tanımlanmış önemli adların kendi kayıtlarını doğrulayın.
  2. Doğrudan alt seviyede bulunmayan örnek bir adı beklenen kayıt türüyle sorgulayın.
  3. Mevcut bir alt adın altında tanımlanmamış daha derin bir adı ayrıca kontrol edin.
  4. Yetki devri yapılan alt bölgeleri üst bölgeden ayrı değerlendirin.
  5. A, AAAA, CNAME ve diğer kayıt türlerini birbirinin yerine varsaymadan ayrı ayrı sorgulayın.

DNS Sorgulama aracı, seçilen ad ve kayıt türü için dönen veriyi incelemenize yardımcı olabilir. Aynı değerin dönmesi tek başına wildcard kullanıldığını kanıtlamaz; sonucu yetkili bölgedeki kayıtlarla ve farklı adlar için yapılan denemelerle birlikte değerlendirin.