做DNS解析时，经常有人问：配置了泛解析后，之前单独设置过的子域名解析记录会不会失效？这这个问题会直接影响到域名解析和业务能不能正常访问。下面国科云根据多年DNS服务经验，简单介绍下这个问题。
一、什么是子域名？
子域名是主域名下的一层。比如主域名是example.com，www.example.com和mail.example.com是二级子域名，test.www.example.com是三级子域名。子域名解析就是给某个子域名单独配DNS记录，让它指向指定地址。企业给官网配www.example.com，给邮件配mail.example.com，不同子域名用不同IP，各业务互不影响。
二、什么是泛解析？
泛解析是用通配符“”作为主机记录，把主域名下没有单独配置的子域名都指向同一个IP。比如配置“.example.com”后，没有单独设置解析的a.example.com、test.example.com会按这条记录解析。电商、SaaS等子域名多的场景常用，可以少配很多记录。多数DNS服务商的默认泛解析（*.example.com）只覆盖一级子域名，如a.example.com、b.example.com，不覆盖二级及以上，如1.a.example.com，除非另外配置规则。
三、泛解析会不会覆盖子域名解析？
按DNS协议，泛解析不会覆盖已经单独配置的子域名记录。DNS的基本规则是，单独配置的域名解析优先于泛解析。DNS服务器收到查询后，优先级从高到低是：本地配置（hosts文件）、单独配置的子域名记录、泛解析记录、其他记录。比如“*.example.com”指向192.168.1.1，mail.example.com的A记录指向192.168.1.2，访问mail.example.com时返回192.168.1.2，不会走泛解析。
四、可能造成泛解析覆盖子域名的几种情况
基本规则是单独记录优先。实际中有些情况会看起来像泛解析“覆盖”了子域名解析。
（1）DNS缓存。第一次访问没有单独配置的子域名时，DNS返回泛解析结果，并被各级缓存记住。之后管理员给这个子域名加了单独记录，但TTL没到期，浏览器、系统或ISP的DNS缓存还会返回原来的泛解析IP。这是缓存没刷新，不是泛解析真的覆盖了单独记录。把TTL设短些，比如300到600秒，新记录生效会快些。
（2）智能线路解析。有些DNS服务商按联通、电信、移动等线路返回不同结果。泛解析命中某个线路，而单独子域名记录配在默认线路时，默认线路下的单独记录会生效。如果不清楚线路匹配和域名匹配谁先谁后，就容易把结果不对当成泛解析覆盖。
（3）配置有遗漏。管理员以为泛解析会把某个子域名转到指定服务器，但这个子域名已经有一条指向别的IP的A记录，可能是配泛解析前加的，后来忘了。这是配置管理没做好，不是泛解析覆盖。
五、泛解析和子域名解析同时使用的配置建议
核心业务子域名要单独配记录，比如www、mail、api这些要指向固定服务器的。非核心、经常新增的子域名可以交给泛解析作为默认结果。这样做能保证关键业务解析准确，也能减少日常配置量。
泛解析的记录类型要注意。配了CNAME泛解析时，如果某个子域名又有A记录，有些DNS解析器可能报错，因为同一域名下CNAME和A记录不能同时存在。建议泛解析和子域名解析用同一种记录类型，减少出错。
安全上，泛解析配得不好，可能被攻击者用来注册没使用的子域名，做流量劫持或钓鱼。企业要定期检查DNS配置，确认没有未授权的泛解析记录，重要子域名必须有单独记录。启用DNSSEC可以提高解析安全。
六、子域名解析不对时怎么检查？
（1）用dig命令分别查泛解析记录和具体子域名记录，看返回的IP是不是一样。如果子域名返回了泛解析的IP，说明单独记录可能没配或没生效。
（2）检查DNS服务商后台，检查子域名的解析记录是否存在以及记录类型、线路、TTL等参数是否正确。
（3）如果单独记录已经配好但解析还是不对，可以把TTL值修改小点，等待缓存过期。
（4）如果以上做法都没能生效，可以联系域名托管的DNS服务商，需求专业人员的帮助。
推荐阅读：
