Wildcard DNS kayıtları ve kullanım alanları

Wildcard kaydı nedir ve neden ihtiyacınız var?

Çok kiracılı bir SaaS hizmeti başlattığınızı ve her kullanıcının customer1.example.com veya customer2.example.com gibi özel bir alt alan adı alması gerektiğini düşünün. Her müşteri için DNS'te ayrı bir A veya CNAME kaydı oluşturmanız gerekirse, kısa sürede yönetimi kabusa dönüşen yüzlerce ve binlerce kayıtla karşı karşıya kalırsınız. İşte tam bu noktada wildcard kaydı devreye girer.

Wildcard kaydı, alan adı adının sol tarafında yıldız işareti (*) ile tanımlanan ve özel kaydı olmayan tüm alt alan adlarına yanıt veren bir DNS kaydıdır. Basitçe söylemek gerekirse, tek bir kayıtla sınırsız sayıda alt alan adını belirli bir hedefe yönlendirebilirsiniz. Bu özellik, çok kiracılı hizmetler, test ve hazırlık ortamları ve hatta genel yönlendirmeler için oldukça kullanışlıdır.

Bu makalede, önce wildcard kaydının tam yapısını gerçek örneklerle inceleyeceğiz, ardından pratik senaryolardaki ana kullanım alanlarını gözden geçireceğiz ve son olarak hizmetinizin güvenliğini ve performansını tehlikeye atabilecek risklere ve yaygın hatalara değineceğiz.

Wildcard kaydının yapısı ve tanımlanması

Wildcard kaydı DNS düzeyinde şu şekilde tanımlanır:

*.example.com.   3600   IN   A   185.10.10.10

Bu örnekte, açık kaydı olmayan tüm alt alan adları (örneğin test.example.com veya app.example.com) belirtilen IP adresine yönlendirilir. Önemli bir nokta, wildcard'ın yalnızca bir düzeyi kapsamasıdır; yani *.example.com, sub.example.com ile eşleşir ancak deep.sub.example.com ile eşleşmez. Birden fazla düzeyi kapsamak için ayrı kayıtlar tanımlamanız gerekir.

Wildcard kaydı türleri

Wildcard kaydını farklı DNS kayıt türleri için tanımlayabilirsiniz:

• A kaydı: Alt alan adlarını belirli bir IPv4 adresine yönlendirmek için.
• AAAA kaydı: IPv6 adresine yönlendirmek için.
• CNAME kaydı: Alt alan adlarını başka bir alan adına (örneğin bir CDN) yönlendirmek için.
• MX kaydı: Tüm alt alan adlarında e-posta almak için (genellikle önerilmez).

Önemli not: Wildcard kaydı NS ve SOA türleri için tanımlanamaz ve tarayıcılar ile DNS istemcileri genellikle wildcard'ı alan adının köküne (yani example.com'un kendisine) uygulamaz. Yani biri example.com'a giderse, wildcard kaydı yanıt vermez ve ana alan adı için ayrı bir A kaydınızın olması gerekir.

Wildcard kaydının pratik kullanım alanları

1. Çok kiracılı hizmetler (Multi-tenant SaaS)

Çevrimiçi bir proje yönetimi platformunuz olduğunu ve her kuruluşun kendi alt alan adına sahip olması gerektiğini varsayalım. Aşağıdaki gibi tek bir wildcard kaydıyla tüm alt alan adlarını merkezi sunucuya yönlendirebilirsiniz:

*.app.example.com.   3600   IN   CNAME   backend.example.com.

Ardından web sunucusunda (Nginx veya Apache gibi) ana bilgisayar adına göre isteği ilgili kiracıya (tenant) yönlendirirsiniz. Bu yöntem çok iyi ölçeklenebilirlik sağlar ve yeni müşteri kaydolduğunda DNS değişikliği gerektirmez.

2. Test ve hazırlık ortamları

Geliştirme ekipleri genellikle her özellik dalı (feature branch) için geçici bir alt alan adına ihtiyaç duyar. Her dal için kaydı manuel olarak oluşturmak yerine wildcard kullanabilir ve web sunucusu katmanında alt alan adını ilgili dala eşleyebilirsiniz. Örneğin:

*.staging.example.com.   300   IN   A   192.168.1.50

Düşük TTL (örneğin 300 saniye) ile değişiklikler daha hızlı uygulanır ve testler daha sorunsuz ilerler.

3. Genel yönlendirme ve hata sayfaları

Eski bir alan adınız varsa ve tüm alt alan adlarını yeni alan adına yönlendirmek istiyorsanız, bir wildcard kaydı işi kolaylaştırabilir. Tüm alt alan adı trafiği tek bir sunucuya gider ve bu sunucu 301 yönlendirme kuralıyla kullanıcıyı yeni alan adındaki karşılık gelen adrese gönderir.

Wildcard kaydının riskleri ve güvenlik sorunları

Wildcard kaydı çok kullanışlı olsa da dikkatli kullanılmazsa ciddi bir güvenlik açığına dönüşebilir. Şimdi en önemli riskleri inceleyelim.

1. Alt Alan Adı Devralma (Subdomain Takeover) saldırıları

Bu en tehlikeli risktir. cdn.example.com'a işaret eden bir wildcard CNAME kaydınız olduğunu ve bu alt alan adının bir bulut hizmetine (CDN veya içerik yönetim hizmeti gibi) yönlendirildiğini varsayalım. Bu hizmet devre dışı kalırsa veya sahipliği sona ererse, bir saldırgan bu hizmeti kaydedebilir ve tüm alt alan adlarınızın trafiğini kendi sunucusuna yönlendirebilir. Bu saldırı; çerezlerin, kullanıcı bilgilerinin ve hatta SSL sertifikalarının çalınmasına yol açabilir.

Çözüm: CNAME verdiğiniz hizmetlerin her zaman aktif olduğundan emin olun ve alt alan adlarınızı düzenli olarak tarayın.

2. Saldırı yüzeyinin artması (Attack Surface)

Wildcard kaydıyla, saldırganın tahmin ettiği herhangi bir rastgele alt alan adı (örneğin admin.example.com veya backup.example.com) sunucunuza yönlendirilir. Web sunucunuz doğru yapılandırılmamışsa, saldırgan yönetim sayfalarına veya hassas dosyalara erişebilir.

Çözüm: Web sunucusunda varsayılan sunucu (default server) kuralını, 404 sayfasına veya ana alan adına yönlendirme yapacak şekilde ayarlayın ve yalnızca belirtilen alt alan adlarına hizmet verin.

3. SSL/TLS sorunları

SSL sertifikaları kullanıyorsanız, wildcard kaydı her yeni alt alan adı için geçerli bir sertifikanız olması gerektiği anlamına gelir. Wildcard sertifikaları (örneğin *.example.com) bu sorunu çözer, ancak ayrı sertifikalar kullanıyorsanız her yeni alt alan adı için sertifika düzenlenmesi gerekir ve bu, tarayıcıda güvenlik hatalarına neden olabilir.

Çözüm: Wildcard sertifikası kullanın veya otomatik sertifika düzenleme sürecini (örneğin DNS-01 doğrulamalı Let's Encrypt) başlatın.

Wildcard kaydı kullanımında yaygın hatalar

Aşağıda pratikte sıkça görülen birkaç yaygın hatayı inceleyelim:

• E-posta için wildcard kullanımı: Wildcard ile MX kaydı tanımlamak, tüm alt alan adlarının e-posta almasına neden olur. Bu genellikle gereksizdir ve çok fazla spam (istenmeyen e-posta) alınmasına yol açar. Yalnızca mail.example.com gibi belirli alt alan adlarının MX kaydına sahip olması daha iyidir.
• Kök kaydını unutmak: Daha önce de belirttiğimiz gibi, wildcard ana alan adının kendisi için çalışmaz. example.com için bir A kaydınız yoksa, www olmadan giren kullanıcılar hatayla karşılaşır.
• Çok yüksek TTL: TTL'yi 86400 (bir gün) olarak ayarlarsanız ve ardından değişiklik yapmak isterseniz, değişikliklerin tüm internette uygulanması için tam bir gün beklemeniz gerekir. Dinamik ortamlar için düşük TTL (300-600 saniye) kullanın.
• Wildcard'ın çoklu düzeylerle uyumsuzluğu: a.b.example.com'u kapsamanız gerekiyorsa, *.example.com kaydı yeterli değildir ve *.b.example.com kaydını da tanımlamanız gerekir.

Sorun giderme (Troubleshooting) ipuçları

Wildcard kaydınız çalışmıyorsa, aşağıdaki adımları kontrol edin:

1. dig sub.example.com komutuyla DNS yanıtını kontrol edin ve wildcard kaydının yanıtta görünüp görünmediğine bakın.
2. Alan adının tüm kayıtlarını görmek için dig example.com ANY komutunu kullanın ve wildcard kaydının doğru şekilde kaydedildiğinden emin olun.
3. Yerel DNS önbelleğini (örneğin systemd-resolved) sudo systemd-resolve --flush-caches komutuyla temizleyin.
4. CDN veya harici DNS hizmeti kullanıyorsanız, wildcard'ın panelde doğru şekilde kaydedildiğinden emin olun.

Yaygın sorunlardan biri, bazı DNS sağlayıcılarının wildcard'ı kök düzeyde tanımlamaya izin vermemesidir. Bu durumda başka bir güvenilir DNS kullanmanız veya kaydı Gelişmiş Ayarlar bölümünde *.example.com olarak tanımlamanız gerekir.

Özet

Wildcard kaydı, DNS'te dinamik alt alan adlarının yönetimini büyük ölçüde basitleştirebilecek güçlü bir araçtır. Çok kiracılı hizmetler, test ortamları ve genel yönlendirmeler için bu kayıt pratik ve ölçeklenebilir bir çözümdür. Ancak, Subdomain Takeover ve saldırı yüzeyinin artması gibi güvenlik riskleri göz ardı edilmemelidir. Web sunucusunu doğru yapılandırarak, wildcard sertifikaları kullanarak ve düzenli izleme yaparak bu kaydın avantajlarından yararlanabilir ve riskleri en aza indirebilirsiniz.

Bu DNS desenlerini iyi destekleyebilecek bir altyapı arıyorsanız, ServerNet size ihtiyaçlarınıza göre seçebileceğiniz çeşitli DNS yönetimi ve web barındırma seçenekleri sunar.