如何配置DNS通配符CNAME记录以排除特定子域名解析

核心匹配规则 #

同权威DNS区域内，精确匹配的子域名解析记录优先级永远高于通配符记录，这是DNS RFC 1034规范明确的基础逻辑，不需要为了规避覆盖做特殊兼容配置。

认知误区澄清 #

你会担心添加通配符记录覆盖已有博客解析，本质是对通配符的生效范围存在偏差：

通配符*.example.com的匹配范围，仅覆盖所有没有配置独立精确解析规则的子域名。只要blog.example.com在同一套权威DNS系统内配置了独立的精确解析记录，查询该域名时会优先命中精确规则，不会触发通配符匹配，不存在覆盖问题。

具体操作步骤 #

• 完整保留已有的博客解析记录 blog.example.com CNAME example.helpsite.com，不做删除或修改
• 在同一权威DNS控制台，正常添加所需的通配符CNAME记录 *.example.com CNAME example.com
• 配置完成后做双向验证：
• 查询blog.example.com的解析结果，确认返回原有规则指向的example.helpsite.com对应IP，和未添加通配符记录时的表现完全一致
• 随机选择一个从未配置过解析的子域名（比如test123.example.com）发起查询，确认返回通配符规则指向的example.com对应IP，证明通配符规则正常生效

常见配置异常原因 #

实际操作中如果真的出现通配符覆盖精确记录的情况，基本和通配符本身的规则无关，通常是以下两类配置问题导致：

• 跨系统拆分配置：如果blog.example.com的解析是配置在旧DNS服务商、CDN平台，而通配符记录是在域名当前托管的权威DNS控制台配置的，权威DNS系统内不存在blog.example.com的精确记录，才会将通配符规则匹配到这个域名上，出现预期外的覆盖效果
• 同域名记录类型冲突：如果同一个子域名下同时配置了CNAME与其他类型（A、MX等）的解析记录，会触发DNS解析冲突，这是CNAME记录本身的规范限制，和通配符配置没有关联

内容的提问来源于stack exchange，提问作者Tamdim