A entrada DNS curinga é quebrada por uma entrada DNS mais específica (mas não correspondente)

Question

Tenho as seguintes entradas DNS para o domínio raiz example.com:

• *Registro CNAME apontando parafoo.com
• dummy.apiRegistro TXT contendo o valordummy

Quando tento resolver bla.foo.com, ele resolve corretamente para a entrada CNAME, mas quando tento resolver api.foo.com, o servidor DNS não consegue resolver. Isso faria sentido para mim se houvesse uma entrada TXT para api.foo.com, mas neste caso há apenas uma entrada TXT para o domínio mais específico dummy.api.foo.com.

É esperado que um domínio mais específico substitua uma correspondência curinga, mesmo que seja apenas uma correspondência parcial, como neste caso? E existe alguma maneira de corrigir isso além de adicionar um registro CNAME explícito para api?

Para contextualizar: isso está acontecendo no DNS do Azure e especificamente nos registros TXT _acme-challenge que estão sendo criados para Let's Encrypt.

Answer 1

Parece que esta situação é coberta pela seção 2.2.2 da RFC 4592 (https://www.rfc-editor.org/rfc/rfc4592), que afirma que o registro dummy.api.example.comresulta na existência implícita de um registro vazio api.example.com, e é por isso que a entrada curinga para de corresponder. Portanto, a única solução é adicionar uma entrada explícita api.example.comcom o mesmo CNAME do curinga.

Answer 2

Quando o registro DNS foi criado/alterado? Tente verificar a entrada em algo como: https://www.whatsmydns.net/

Como você está tentando resolver a entrada DNS?

Se você estiver usando um terminal Linux, tente algo como o seguinte:

dig a api.foo.com +trace

Isso fornecerá uma saída completa de todos os resolvedores DNS que sua solicitação percorre e mostrará a resposta final do servidor de nomes autoritativo, que deve descartar quaisquer problemas de cache.