【DNS】域名级别和泛域名SSL证书

www.example.com 是几级域名？

www.example.com 是一个三级域名。

域名级别详解：

域名的级别是从右向左逐级划分的，每个点（.）分隔的部分代表一个级别：

• 顶级域名（TLD）：最右边的部分，例如 .com、.org 等。在 www.example.com 中，com 是顶级域名（TLD）。
• 二级域名（SLD）：紧邻 TLD 左侧的部分，通常是注册的域名主体，例如 example。在 www.example.com 中，example 是二级域名。
• 三级域名（子域名）：二级域名的左侧部分，用于进一步细分或指定服务，例如 www。在 www.example.com 中，www 是三级域名（常见的子域名，表示万维网服务）。

因此，www.example.com 的结构为：

• 三级域名：www
• 二级域名：example
• 顶级域名：com

为什么是三级？

• 域名级别是由标签（labels）的数量决定的：www.example.com 有三个标签（www、example、com），所以是三级域名。
• 作为比较：
  • example.com 只有两个标签（example 和 com），是二级域名。
  • mail.www.example.com （如果有）则会是四级域名。

注意：

• www 是一个常见的子域名，但并非必须；它可以替换为其他名称（如 blog.example.com），或省略（直接使用 example.com）。
• 在域名系统（DNS）中，子域名（如 www）可以由域名持有者自由创建，无需额外注册。

www.xyz.example.com.cn 是几级域名？

www.xyz.example.com.cn 是一个五级域名。

域名级别详解：

域名的级别是从右向左逐级划分的（每个点号.分隔的部分称为一个标签），级别从顶级域名（TLD）开始计数。以下是该域名的完整分解：

1. 顶级域名（TLD，第一级）：最右边的部分。

   • 这里是 .cn（国家代码顶级域名，代表中国）。

2. 二级域名（SLD，第二级）：直接位于 TLD 左侧的部分。

   • 在 .cn TLD 下，.com 是二级域名。常见的域名如 xxx.com.cn 中，.com 是二级域名主体。

3. 三级域名（第三级）：位于二级域名左侧的部分。

   • 在 .com.cn 下，example 是三级域名（例如，完整的 example.com.cn 通常被视为一个三级域名实体）。

4. 四级域名（第四级）：位于三级域名左侧的部分。

   • 在 example.com.cn 下，xyz 是四级域名（这是一个子域名，用于进一步细分）。

5. 五级域名（第五级）：最左侧的部分。

   • 在 xyz.example.com.cn 下，www 是五级域名（常见的子域名，通常用于表示万维网服务）。

因此，www.xyz.example.com.cn 的完整层级结构为：

• 五级域名：www
• 四级域名：xyz
• 三级域名：example
• 二级域名：com
• 顶级域名：cn

为什么是五级？

• 域名级别由标签（labels）的数量决定：www.xyz.example.com.cn 包含 5 个标签（www、xyz、example、com、cn），因此是五级域名。
• 作为比较：
  • example.com.cn：三级域名（标签：example、com、cn）。
  • www.example.com：三级域名（标签：www、example、com）。
  • mail.www.example.com.cn：六级域名（如果有）。

注意事项：

• 在域名系统（DNS）中，子域名（如 www、xyz）可以由域名持有者自由创建，无需额外注册。
• .com.cn 是一个常见的商业域名格式，其中 .cn 是顶级域名，.com 是二级域名，这与纯粹的 .com（如 example.com）不同，后者是二级域名。
• 实际使用中，www.xyz.example.com.cn 可能用于企业或组织的内部服务细分（例如，不同部门或地理位置）。

为什么 *.example.com 的泛域名SSL证书无法给 www.xyz.example.com 这个域名使用？

原因解析：泛域名 SSL 证书的匹配规则

*.example.com 的泛域名 SSL 证书无法保护 www.xyz.example.com，主要原因在于泛域名证书的匹配机制限制：

1. 泛域名证书的星号（*）仅匹配单层子域名

• 泛域名证书（如 *.example.com）中的星号 * 仅代表一个层级的任意子域名，不能跨越多个层级。
• 它只能保护与 example.com 直接相邻的子域名：
  • ✅ 有效匹配：
    www.example.com、mail.example.com、shop.example.com（单层子域名）。
  • ❌ 无效匹配：
    www.xyz.example.com、test.xyz.example.com（多层子域名）。

2. 域名层级的结构分析

以 www.xyz.example.com 为例：

• *.example.com 证书仅覆盖 以 example.com 为直接父域的单层子域名（即 任意标签.example.com）。
• www.xyz.example.com 需要匹配的是 两个层级：
  • 第一层：xyz（三级域名）
  • 第二层：www（四级域名）
    而 *.example.com 的星号无法同时覆盖这两层。

3. 技术限制：RFC 6125 标准

根据 SSL/TLS 证书的行业标准（RFC 6125）：

泛域名证书的星号 * 只能出现在域名最左侧，且仅替代一个标签（label）。
例如：

• *.example.com 合法 ✅
• *.*.example.com 或 www.*.example.com 非法 ❌（不被任何 CA 支持）。

解决方案：如何保护多层子域名？

1. 申请多层泛域名证书（需分开处理）：

   • 为 xyz.example.com 单独申请证书：
     *.xyz.example.com（可保护 www.xyz.example.com、mail.xyz.example.com 等）。
   • 组合使用：
     *.example.com + *.xyz.example.com（两个独立证书）。

2. 使用多域名证书（SAN/UCC 证书）：

   • 将 www.xyz.example.com 作为主题备用名称（SAN） 添加到证书中，与 *.example.com 共存于同一张证书（适合明确知道需要保护的多级子域名）。

3. 通配符 SAN 扩展（部分 CA 支持）：

   • 少数证书颁发机构（如 DigiCert）支持 通配符 SAN，但成本较高且仍有层级限制（例如 *.*.example.com 仍不被允许）。

实际案例验证

• 证书：*.example.com
  • 有效域名：a.example.com、b.example.com
  • 无效域名：a.b.example.com（解析失败，浏览器提示 SSL 名称不匹配错误）。

总结

因此，若需保护多层子域名（如 www.xyz.example.com），必须为每一层子域单独配置泛域名证书或使用多域名证书（SAN）。