Wildcard DNS: når det er nyttig og når det er farlig

Et wildcard i DNS gjør at alle subdomener som ikke har egne poster, svarer med samme verdi. Det er et effektivt verktøy i testmiljøer, men kan skape alvorlige problemer i produksjon. Her får du vite hva wildcard DNS er, når det lønner seg, og når du bør la være.

Kortversjonen: Et wildcard er en post med en stjerne i navnet, for eksempel *.example.no. Den fanger opp alle navn under domenet som ikke finnes fra før. Bruk den gjerne til testmiljøer og omdirigering, men unngå den på e-post og sertifikatutstedelse.

Hva er wildcard DNS?

DNS, Domain Name System, er systemet som oversetter domenenavn til IP-adresser. En wildcard-post er en DNS-post der den venstreste delen av navnet er en stjerne, for eksempel *.example.no. Når noen spør om et navn som ikke finnes som egen post, svarer wildcardet med verdien sin. Reglene for dette er definert i RFC 4592, som er standarden alle DNS-servere følger.

Slik virker et wildcard

Et wildcard er ikke en fangst-løsning som dekker alt. Flere detaljer avgjør om posten faktisk blir brukt:

Wildcardet svarer bare for navn som ikke har egne poster. Har du en A-post for foo.example.no, brukes den i stedet.
Det gjelder ikke hoveddomenet. example.no trenger egne poster, et wildcard dekker bare nivåene under.
Stjernen kan stå for flere ledd. *.example.no dekker både app.example.no og test.app.example.no.
Hvis du har flere wildcards, vinner det mest spesifikke. Et wildcard på *.test.example.no overstyrer *.example.no for navn under test.

Når wildcard DNS er nyttig

Wildcard er først og fremst et tidsbesparende verktøy for miljøer der du ikke vet antall navn på forhånd. I stedet for å opprette én post per subdomene, definerer du ett villkort og lar resten skje automatisk.

Testmiljøer og staging

Et vanlig oppsett er *.staging.example.no som peker på staging-serveren. Hver gang noen lager et nytt testmiljø, fungerer adressen umiddelbart uten at noen trenger å opprette en ny DNS-post.

Catch-all-omdirigering

Vil du at alle skrevne undereksempler skal havne på forsiden, kan et wildcard CNAME fra *.example.no til example.no gjøre jobben. Det er nyttig i perioder hvor du migrerer eller bygger om strukturen på domenet.

Midlertidige og geografiske undereksempler

Skal du lansere noe raskt, eller dekke et navn som ryddes opp senere, kan et wildcard være den enkleste veien. Merk det godt i sonefilen slik at noen husker å fjerne det igjen. En post som ingen vet om, blir stående lenge.

Når wildcard DNS er farlig

Problemet oppstår når wildcardet møter systemer som tar beslutninger basert på navnet. E-post og TLS-sertifikater er de to viktigste eksemplene.

E-post som havner feil sted

MX-posten forteller hvilken server som skal ta imot e-post. Har du bare et wildcard av type A og ingen MX, vil e-post til alle undereksempler bli forsøkt levert til den IP-adressen wildcardet peker på, fordi mottakerserveren faller tilbake på A-posten når MX mangler. Resultatet kan bli e-post for navn du ikke kjenner, med bounces og tilbakesendinger. Et wildcard kan også svekke SPF, som skal hindre at andre sender e-post i ditt navn, hvis det peker på en delt IP-adresse.

Sertifikater på delte IP-adresser

TLS, Transport Layer Security, er protokollen som krypterer trafikken mellom nettleser og server. For å få utstedt et sertifikat må du bevise at du kontrollerer domenet, ofte ved å svare på en valideringsforespørsel på en bestemt adresse. Peker wildcardet mot en delt IP-adresse hos en leverandør, kan en annen kunde på samme IP svare på en slik forespørsel for dine undereksempler. Da kan de stå igjen med et gyldig sertifikat for navn du ikke har godkjent. Unngå derfor å peke wildcardet mot IP-adresser du ikke kontrollerer.

Wildcardet maskerer feil

Det største praktiske problemet er at et wildcard skjuler manglende poster. En stavefeil i et domenenavn svarer fortsatt, og det er lett å tro at alt er riktig konfigurert. Feilsøking blir vanskeligere fordi du ikke lenger kan stole på at et svar betyr at posten faktisk finnes.

Det finnes også en cache-felle. Hvis klienter har fått NXDOMAIN, altså svar om at navnet ikke finnes, blir det svaret lagret i TTL-en, time to live, som er hvor lenge et svar skal caches. Legger du til et wildcard senere, kan enkelte klienter fortsatt få det gamle svaret til TTL-en går ut.

Slik setter du opp wildcard DNS trygt

Når du registrerer et .no-domene hos Feno, kan du administrere poster direkte i kontrollpanelet. Et .no-domene starter på 99 kr i året. Slik legger du til et wildcard på riktig måte:

Vurder behovet. Bruk wildcard bare der antall navn er ukjent på forhånd.
Begrens omfanget. Legg wildcardet på et eget nivå, for eksempel *.test.example.no, i stedet for *.example.no.
Opprett posten. I DNS-editoren setter du navn til *.example.no og velger type A eller CNAME.
Test det. Spør om et navn som ikke finnes, for eksempel med dig test123.example.no. Svarer den med riktig verdi, virker wildcardet.
Dokumenter og overvåk. Feno sender varsel ved endringer, så du får beskjed hvis noen forandrer sonen din.

Noen tommelfingerregler for å holde deg på trygg side:

Unngå wildcard MX og catch-all-e-post i produksjon.
Pek aldri wildcardet mot en delt IP-adresse du ikke styrer.
Fjern wildcardet når det ikke lenger trengs. Dersom du administrerer DNS-en din i Feno sitt kontrollpanel, er det ett klikk å endre sonen.
Husk at DNSSEC fungerer sammen med wildcard. Feno signerer sonen automatisk, så svarene kan fortsatt verifiseres kryptografisk.

Ofte stilte spørsmål om wildcard DNS

Dekker et wildcard hoveddomenet?

Nei. En post med *.example.no gjelder bare nivåene under, ikke example.no selv. Hoveddomenet trenger egne A- og MX-poster.

Virker wildcard sammen med DNSSEC?

Ja. DNSSEC, som gjør at svar fra DNS kan verifiseres kryptografisk, støtter wildcard-poster. Sonen signeres som vanlig, og beviset for at andre navn ikke finnes, ivaretas av NSEC- og NSEC3-postene. Hos Feno skjer signingen automatisk.

Hvorfor svarer ikke alle navn på wildcardet?

Det vanligste er at navnet har egne poster som har forrang, eller at du spør om hoveddomenet. Et annet vanlig problem er at klienter har cachet NXDOMAIN-svar fra tiden før wildcardet ble lagt til.

Konklusjon

Wildcard DNS er et kraftig verktøy med to sider. Det sparer tid i testmiljøer og gjør dynamiske oppsett enkle, men det krever at du vet nøyaktig hva du peker på, og hvem som kontrollerer målet. Med full oversikt over sonen din er det en trygg teknikk. Sjekk prisen på ditt nye .no-domene hos Feno og få et moderne DNS-kontrollpanel, automatisk DNSSEC og varsling ved endringer fra første dag.