Wildcard DNS (*.domen.uz): qachon foydali, qachon xavfli

Oddiy holatda har bir subdomen uchun DNS'da alohida yozuv qo'shiladi: www, shop, mail va hokazo. Wildcard, ya'ni yulduzchali yozuv esa bitta qator bilan zonada aniq yozilmagan barcha nomlarga javob beradi. Masalan, *.example.uz uchun A yozuvi qo'yilsa, abc.example.uz, test.example.uz va hatto xato terilgan wwww.example.uz ham shu serverga yo'naltiriladi. Bu juda qulay vosita, ammo uning qoidalarini va yon ta'sirlarini bilmasdan ishlatish saytga ham, pochtaga ham muammo keltirishi mumkin.

Yulduzcha qanday mos keladi

Wildcard yozuvi zonada aniq mavjud bo'lmagan nomlar uchungina ishlaydi. Agar shop.example.uz uchun alohida yozuv bo'lsa, unga yulduzcha ta'sir qilmaydi. Muhim nozik jihat shundaki, nomda istalgan turdagi yozuv bo'lsa, masalan faqat TXT yozuvi, bu nom "mavjud" hisoblanadi va uning uchun A so'rovi wildcard javobini olmaydi, balki bo'sh javob qaytadi. Shuningdek, yulduzcha domenning o'ziga, ya'ni example.uz apeksiga ta'sir qilmaydi, u uchun alohida yozuv kerak.

example.uz.      3600  IN  A      203.0.113.10
*.example.uz.    3600  IN  A      203.0.113.10
shop.example.uz. 3600  IN  A      203.0.113.20

Ko'pchilik bilmaydigan yana bir qoida bor: yulduzcha faqat bir daraja uchun emas, chuqurroq nomlar uchun ham ishlashi mumkin. a.b.example.uz so'ralganda, agar zonada b.example.uz nomi umuman bo'lmasa, javob *.example.uz yozuvidan olinadi. Lekin b.example.uz mavjud bo'lsa, uning ostidagi nomlar uchun yuqoridagi yulduzcha ishlamaydi va kerak bo'lsa *.b.example.uz alohida yoziladi. Tekshirish oson:

dig +short A tasodifiy-nom.example.uz
dig +short A a.b.example.uz
dig +short A shop.example.uz

Qayerda haqiqatan foydali

Eng klassik holat ko'p mijozli xizmatlardir. Masalan, Toshkentdagi startap kichik do'konlar uchun onlayn vitrina platformasini ishga tushirdi va har bir do'kon dokon-nomi.misol.uz ko'rinishidagi manzil oladi. Har yangi mijoz uchun DNS yozuvi qo'shish o'rniga, bitta wildcard yozuvi barcha subdomenlarni ilova serveriga yo'naltiradi, ilova esa so'rovdagi Host sarlavhasiga qarab kerakli do'konni ko'rsatadi. Yangi do'kon ro'yxatdan o'tgan zahoti uning manzili ishlay boshlaydi.

Ikkinchi holat ishlab chiqish va test muhitlari. Dasturchilar har bir o'zgarish yoki branch uchun feature-123.dev.example.uz kabi vaqtinchalik manzil yaratadi va ularni har safar DNS'ga qo'shib o'tirmaydi. Bu holda wildcard odatda alohida test subdomeni ostida, masalan *.dev.example.uz ko'rinishida qo'yiladi, asosiy zonaga emas.

Veb-serverda ham bu nomlarni qabul qilish kerak. Nginx'da server_name yulduzchani yoki muntazam ifodani qabul qiladi, ikkinchisi subdomen nomini o'zgaruvchiga ajratib olish imkonini beradi:

server {
    listen 443 ssl;
    server_name ~^(?<tenant>[a-z0-9-]+)\.misol\.uz$;
    root /var/www/platform/public;
    location / {
        fastcgi_param TENANT $tenant;
        # ...
    }
}

Wildcard yozuvining xavflari

Birinchi xavf SEO bilan bog'liq. Agar wildcard asosiy saytga yo'naltirilsa va server har qanday nomga bir xil sahifani qaytarsa, istalgan-soz.example.uz ko'rinishidagi cheksiz takroriy sahifalar paydo bo'ladi. Qidiruv tizimlari ularni topib qolsa, takroriy kontent muammosi yuzaga keladi. Yechim oddiy: noma'lum subdomenlar uchun server 404 qaytarishi yoki asosiy domenga 301 yo'naltirishi kerak.

Ikkinchi xavf ishonch va fishing bilan bog'liq. Wildcard bo'lsa, login-bank.example.uz kabi har qanday nom sizning serveringizga ochiladi. Agar ilovada foydalanuvchi kiritgan ma'lumotni sahifada aks ettiradigan zaiflik bo'lsa, hujumchi ishonchli ko'rinadigan subdomen bilan havola tarqatishi mumkin. Uchinchi xavf xatolarni yashirishdir: xato yozilgan api2.example.uz manzili "domen topilmadi" xatosini bermaydi, balki noto'g'ri serverga tushadi va muammo kech aniqlanadi.

To'rtinchi xavf pochta va xizmat yozuvlari bilan bog'liq. Wildcard MX yozuvi mavjud bo'lmagan subdomenlarga yuborilgan xatlarni ham qabul qilishga urinadi va spam oqimini oshiradi. Wildcard TXT yozuvi esa SPF va boshqa tekshiruvlarni chalkashtirib yuborishi mumkin. Shuning uchun pochta bilan bog'liq yozuvlarda yulduzchadan qochish tavsiya etiladi. Bundan tashqari, *.example.uz CNAME orqali tashqi xizmatga yo'naltirilgan bo'lsa va u xizmat hisobi yopilsa, istalgan subdomenni boshqa odam egallab olish xavfi paydo bo'ladi.

Wildcard SSL sertifikati

DNS'dagi yulduzcha va SSL sertifikatidagi yulduzcha alohida narsalar. *.example.uz sertifikati faqat bir darajadagi subdomenlarni qamraydi: shop.example.uz uchun ishlaydi, lekin a.b.example.uz uchun ham, domenning o'zi uchun ham ishlamaydi, shuning uchun odatda sertifikatga ikkala nom qo'shiladi. Let's Encrypt wildcard sertifikatni faqat DNS-01 tekshiruvi orqali beradi: siz zonaga _acme-challenge nomli TXT yozuvi qo'yishingiz kerak.

certbot certonly --manual --preferred-challenges dns \
  -d example.uz -d '*.example.uz'

Qo'lda rejimda sertifikatni yangilash ham qo'lda bajariladi, shuning uchun amalda DNS provayderining API'si bilan ishlaydigan plagin yoki avtomatlashtirilgan tizim ishlatiladi. sayt.uz xostingidagi bepul Let's Encrypt sertifikatlari avtomatik yangilanadi; wildcard sertifikat kerak bo'lsa, imkoniyatni kabinetdan yoki texnik yordam orqali aniqlang.

Xavfsiz ishlatish bo'yicha amaliy qoidalar

• Wildcard'ni iloji boricha tor joyga qo'ying: *.example.uz o'rniga *.app.example.uz yoki *.dev.example.uz.
• Muhim subdomenlar, masalan www, mail va api uchun doim aniq yozuv qo'shing.
• Veb-server noma'lum nomlarga 404 yoki asosiy domenga yo'naltirish bilan javob bersin.
• MX va TXT yozuvlarida yulduzchani ishlatmang.

Wildcard yozuvini sayt.uz kabinetidagi DNS bo'limida nom maydoniga * yozish orqali qo'shish mumkin. Qo'shgandan keyin bir nechta tasodifiy nomni dig bilan tekshirib, ular kutilgan manzilga va kutilgan sahifaga olib borayotganiga ishonch hosil qiling.