web-dev-qa-db-ja.com

バインド用の非ドットワイルドカード(* -foo.example.com)?

bind*-foo.example.comをたとえばに解決する必要があることを伝える方法はないようです。 10.1.2.3*-bar.example.com10.2.3.4に解決されます。回避策はありますか?いくつかの名前を付けることができます。外部プログラムで解決しますか?または、bindをたとえばに変更する必要があります。 PowerDNS

別のSSLワイルドカード証明書の購入を避けようとしています。 (*.example.comなどのワイルドカード証明書では、*部分にドットを許可することはできません。)

ゾーンファイルですべての*-fooまたは*-bar名を指定することはオプションではありません。両方のタイプのアドレスをその場で作成できる必要があるためです。

10
tuomassalo

それが機能しない理由は、RFC内で定義された動作ではないためです。使用しているソフトウェアの拡張として実装する必要があります。 RFC4592 ワイルドカードレコードの定義をかなりしっかりと固めています:

2.1.1。ワイルドカードドメイン名とアスタリスクラベル

「ワイルドカードドメイン名」は、そのイニシャル(つまり、
左端または最下位)ラベルは、バイナリ形式で:

  0000 0001 0010 1010 (binary) = 0x01 0x2a (hexadecimal)

ここではlabelという用語に注意してください。ラベルはドットで区切られたエンティティです。ラベルにアスタリスク以外のものがある場合、それはワイルドカードではありません。

あなたはちょっとここで立ち往生しています。 DNS内で作業するには、避けようとしているドットが必要です。それ以外はすべて、サーバーソフトウェアの拡張機能と実装固有のものです。

11
Andrew B

RFC 6125 ネストされたサブドメインの汎用証明書を持つことを防ぎます。 RFC 4592 および RFC 1034 DNSエントリとして* -xxx.domain.comを使用できないようにします。

したがって、2つの代替手段しかありません(自動化しようとすると、これは適切ではありません)。

  • サブドメインごとに証明書を作成します(無料の代替手段がありますが、プラットフォームによっては複雑になる場合があります)。
  • サブサービスごとに完全なDNSエントリを作成します(サブサブドメインにはなりません)。
0
Ten