رکورد wildcard و مدیریت زیردامنه‌های پویا در DNS

رکورد wildcard چیست و چرا به آن نیاز دارید؟

تصور کنید سرویس SaaS چندمستأجری راه‌اندازی کرده‌اید و هر کاربر باید یک زیردامنه‌ی اختصاصی مثل customer1.example.com یا customer2.example.com دریافت کند. اگر قرار باشد برای هر مشتری یک رکورد A یا CNAME جداگانه در DNS ثبت کنید، به‌زودی با صدها و هزاران رکورد مواجه می‌شوید که مدیریت آن‌ها کابوس‌وار است. اینجا دقیقاً جایی است که رکورد wildcard وارد می‌شود.

رکورد wildcard یک رکورد DNS است که با علامت ستاره (*) در سمت چپ نام دامنه تعریف می‌شود و به تمام زیردامنه‌هایی که رکورد اختصاصی ندارند پاسخ می‌دهد. به عبارت ساده، با یک رکورد می‌توانید بینهایت زیردامنه را به یک مقصد مشخص هدایت کنید. این قابلیت برای سرویس‌های چندمستأجری، محیط‌های تست و استیجینگ، و حتی ریدایرکت‌های سراسری بسیار کاربردی است.

در این مقاله، ابتدا ساختار دقیق رکورد wildcard را با مثال‌های واقعی بررسی می‌کنیم، سپس کاربردهای اصلی آن را در سناریوهای عملی مرور می‌کنیم و در نهایت به ریسک‌ها و اشتباهات رایجی می‌پردازیم که می‌تواند امنیت و عملکرد سرویس شما را به خطر بیندازد.

ساختار و نحوه تعریف رکورد wildcard

رکورد wildcard در سطح DNS به شکل زیر تعریف می‌شود:

*.example.com.   3600   IN   A   185.10.10.10

در این مثال، تمام زیردامنه‌هایی که رکورد صریح ندارند (مثل test.example.com یا app.example.com) به آدرس IP مشخص‌شده هدایت می‌شوند. نکته مهم این است که wildcard فقط یک سطح را پوشش می‌دهد؛ یعنی *.example.com با sub.example.com مطابقت دارد اما با deep.sub.example.com نه. برای پوشش چند سطح باید رکوردهای جداگانه تعریف کنید.

انواع رکورد wildcard

رکورد wildcard را می‌توانید برای انواع مختلف رکوردهای DNS تعریف کنید:

• رکورد A: برای هدایت زیردامنه‌ها به یک آدرس IPv4 خاص.
• رکورد AAAA: برای هدایت به آدرس IPv6.
• رکورد CNAME: برای هدایت زیردامنه‌ها به یک نام دامنه دیگر (مثلاً یک CDN).
• رکورد MX: برای دریافت ایمیل در تمام زیردامنه‌ها (که معمولاً توصیه نمی‌شود).

نکته‌ی مهم: رکورد wildcard برای نوع NS و SOA قابل تعریف نیست و مرورگرها و کلاینت‌های DNS معمولاً wildcard را برای ریشه‌ی دامنه (خود example.com) اعمال نمی‌کنند. یعنی اگر کسی به example.com مراجعه کند، رکورد wildcard پاسخ نمی‌دهد و باید یک رکورد A جداگانه برای دامنه‌ی اصلی داشته باشید.

کاربردهای عملی رکورد wildcard

۱. سرویس‌های چندمستأجری (Multi-tenant SaaS)

فرض کنید یک پلتفرم مدیریت پروژه آنلاین دارید و هر سازمان باید زیردامنه‌ی خودش را داشته باشد. با یک رکورد wildcard به شکل زیر می‌توانید تمام زیردامنه‌ها را به سرور مرکزی هدایت کنید:

*.app.example.com.   3600   IN   CNAME   backend.example.com.

سپس در وب‌سرور (مثل Nginx یا Apache) بر اساس نام هاست، درخواست را به تیننت (tenant) مربوطه مسیردهی می‌کنید. این روش مقیاس‌پذیری بسیار خوبی دارد و نیازی به تغییر DNS هنگام ثبت‌نام مشتری جدید نیست.

۲. محیط‌های تست و استیجینگ

تیم‌های توسعه معمولاً برای هر feature branch یک زیردامنه‌ی موقت نیاز دارند. به‌جای ثبت دستی رکورد برای هر branch، می‌توانید از wildcard استفاده کنید و در لایه‌ی وب‌سرور، زیردامنه را به branch مربوطه نگاشت کنید. مثلاً:

*.staging.example.com.   300   IN   A   192.168.1.50

با TTL پایین (مثل ۳۰۰ ثانیه)، تغییرات سریع‌تر اعمال می‌شوند و تست‌ها روان‌تر پیش می‌روند.

۳. ریدایرکت سراسری و صفحات خطا

اگر دامنه‌ی قدیمی دارید و می‌خواهید تمام زیردامنه‌های آن را به دامنه‌ی جدید ریدایرکت کنید، یک رکورد wildcard می‌تواند کار را ساده کند. تمام ترافیک زیردامنه‌ها به یک سرور می‌رود و آن سرور با قانون 301 ریدایرکت، کاربر را به آدرس معادل در دامنه‌ی جدید می‌فرستد.

ریسک‌ها و مشکلات امنیتی رکورد wildcard

رکورد wildcard اگرچه بسیار کاربردی است، اما اگر بدون دقت استفاده شود می‌تواند به یک نقطه‌ضعف امنیتی جدی تبدیل شود. در ادامه مهم‌ترین ریسک‌ها را بررسی می‌کنیم.

۱. حملات Subdomain Takeover

این خطرناک‌ترین ریسک است. فرض کنید یک رکورد wildcard CNAME به cdn.example.com دارید و این زیردامنه به یک سرویس ابری (مثل CDN یا سرویس مدیریت محتوا) اشاره می‌کند. اگر آن سرویس غیرفعال شود یا مالکیت آن منقضی شود، یک مهاجم می‌تواند آن سرویس را ثبت کند و ترافیک تمام زیردامنه‌های شما را به سرور خودش هدایت کند. این حمله می‌تواند منجر به سرقت کوکی‌ها، اطلاعات کاربری و حتی گواهی‌های SSL شود.

راه‌حل: همیشه از فعال بودن سرویس‌هایی که به آن‌ها CNAME می‌دهید مطمئن شوید و به‌صورت دوره‌ای زیردامنه‌های خود را اسکن کنید.

۲. افزایش سطح حمله (Attack Surface)

با رکورد wildcard، هر زیردامنه‌ی تصادفی که مهاجم حدس بزند (مثل admin.example.com یا backup.example.com) به سرور شما هدایت می‌شود. اگر وب‌سرور شما به‌درستی پیکربندی نشده باشد، مهاجم ممکن است به صفحات مدیریتی یا فایل‌های حساس دسترسی پیدا کند.

راه‌حل: در وب‌سرور، قانون پیش‌فرض (default server) را طوری تنظیم کنید که به یک صفحه‌ی 404 یا ریدایرکت به دامنه‌ی اصلی برگردد و فقط زیردامنه‌های مشخص‌شده را سرویس دهید.

۳. مشکلات SSL/TLS

اگر از گواهی‌های SSL استفاده می‌کنید، رکورد wildcard به این معنی است که برای هر زیردامنه‌ی جدید باید گواهی معتبر داشته باشید. گواهی‌های wildcard (مثل *.example.com) این مشکل را حل می‌کنند، اما اگر از گواهی‌های جداگانه استفاده می‌کنید، هر زیردامنه‌ی جدید نیاز به صدور گواهی دارد و این می‌تواند باعث خطاهای امنیتی در مرورگر شود.

راه‌حل: از گواهی wildcard استفاده کنید یا فرایند صدور خودکار گواهی (مثل Let's Encrypt با DNS-01 challenge) را راه‌اندازی کنید.

اشتباهات رایج در استفاده از رکورد wildcard

در ادامه چند اشتباه رایج را مرور می‌کنیم که در عمل زیاد دیده می‌شود:

• استفاده از wildcard برای ایمیل: تعریف رکورد MX با wildcard باعث می‌شود تمام زیردامنه‌ها ایمیل دریافت کنند. این کار معمولاً غیرضروری است و باعث دریافت هرزنامه (spam) زیاد می‌شود. بهتر است فقط زیردامنه‌های مشخصی مثل mail.example.com رکورد MX داشته باشند.
• فراموش کردن رکورد ریشه: همان‌طور که گفتیم، wildcard برای خود دامنه‌ی اصلی کار نمی‌کند. اگر رکورد A برای example.com نداشته باشید، کاربرانی که بدون www وارد می‌شوند با خطا مواجه می‌شوند.
• TTL بیش از حد بالا: اگر TTL را روی ۸۶۴۰۰ (یک روز) تنظیم کنید و بعد بخواهید تغییراتی اعمال کنید، باید یک روز کامل صبر کنید تا تغییرات در سراسر اینترنت اعمال شود. برای محیط‌های پویا از TTL پایین (۳۰۰ تا ۶۰۰ ثانیه) استفاده کنید.
• عدم تطبیق wildcard با سطوح چندگانه: اگر نیاز به پوشش a.b.example.com دارید، رکورد *.example.com کافی نیست و باید *.b.example.com را نیز تعریف کنید.

نکات عیب‌یابی (Troubleshooting)

اگر رکورد wildcard شما کار نمی‌کند، مراحل زیر را بررسی کنید:

1. با دستور dig sub.example.com پاسخ DNS را بررسی کنید و ببینید آیا رکورد wildcard در پاسخ ظاهر می‌شود یا خیر.
2. از dig example.com ANY برای مشاهده‌ی تمام رکوردهای دامنه استفاده کنید و مطمئن شوید رکورد wildcard به‌درستی ثبت شده است.
3. کش DNS محلی (مثل systemd-resolved) را با sudo systemd-resolve --flush-caches پاک کنید.
4. اگر از CDN یا سرویس DNS خارجی استفاده می‌کنید، مطمئن شوید که wildcard در پنل آن‌ها به‌درستی ذخیره شده است.

یکی از مشکلات رایج این است که برخی ارائه‌دهندگان DNS اجازه‌ی تعریف wildcard را در سطح ریشه نمی‌دهند. در این صورت باید از یک DNS معتبر دیگر استفاده کنید یا رکورد را به‌صورت *.example.com در بخش Advanced Settings تعریف کنید.

جمع‌بندی

رکورد wildcard یک ابزار قدرتمند در DNS است که می‌تواند مدیریت زیردامنه‌های پویا را به‌شدت ساده کند. برای سرویس‌های چندمستأجری، محیط‌های تست و ریدایرکت‌های سراسری، این رکورد یک راه‌حل عملی و مقیاس‌پذیر است. با این حال، ریسک‌های امنیتی مثل Subdomain Takeover و افزایش سطح حمله را نباید نادیده گرفت. با پیکربندی صحیح وب‌سرور، استفاده از گواهی‌های wildcard و نظارت دوره‌ای، می‌توانید از مزایای این رکورد بهره‌مند شوید و خطرات آن را به حداقل برسانید.

اگر به دنبال زیرساختی هستید که بتواند این الگوهای DNS را به‌خوبی پشتیبانی کند، سرورنت گزینه‌های متنوعی برای مدیریت DNS و میزبانی وب ارائه می‌دهد که می‌توانید متناسب با نیاز خود انتخاب کنید.