Прыватныя імёны VPN не працуюць? Падазроны — абарона ад DNS rebinding

У офіснай лакальнай сетцы ўнутранае імя адказвае імгненна. Як толькі ўзнімаецца VPN, яно перастае працаваць, праграма паведамляе пра тайм-аўт, а сам тунэль прапускае трафік без скаргаў. Змяніўся рэзалвер, і ў гэтага рэзалвера ёсць думка пра прыватныя адрасы.

Абарона ад rebinding існуе, каб спыніць адзін канкрэтны труку. Наўмысна апублікаванае прыватнае імя выглядае дастаткова падобна, і абарона спрацоўвае.

Спачатку прачытайце адказ, потым палітыку

Запрасіце імя ў рэзалвера, які VPN сапраўды выдае, а не ў таго, які ваш ноўтбук выкарыстоўвае дома. Параўнайце адказ з запісам, які вы чакаеце, і адзначце, ці адказ пусты, адхілены або поўны публічных адрасоў, якія ніхто не планаваў.

Сімптомы перакрываюцца, таму форму адказу вызначае дыягназ. NXDOMAIN — гэта адсутны запіс, REFUSED — правіла доступу, публічны адрас для ўнутранага імя — памылка палітыкі або падзелу DNS, а правільны прыватны адрас, якім кліент не можа скарыстацца, — зусім іншая праблема. Адхіленае злучэнне або застойны запыт самі па сабе нічога не даказваюць, таму першая каманда ў любой такой заяўцы павінна быць пошукам, а не перазапускам. Запішыце адказ, перш чым нешта змяняць.

Ад чаго насамрэч абараняе абарона

DNS rebinding працуе, змяняючы тое, куды развязаецца імя пасля таго, як кліент ужо даверыўся яму. Старонка загружаецца з імя, якім кіруе зламыснік, адказ пераключаецца на прыватны адрас, і браўзер падманваюць, каб ён звярнуўся да нечага ў лакальнай сетцы, з чым ён ніколі не прыняў бы прамога злучэння. Абарона — адхіляць адказы, якія паказваюць у прыватную прастору, калі рэзалвер ніколі не прасілі абслугоўваць прыватную прастору імёнаў. Уся атака і ёсць у гэтай асіметрыі.

dnsmasq дакументуе менавіта такія паводзіны разам з выключэннямі на кожны дамен. Яго старонка дапаможніка апісвае rebind-domain-ok як спосаб назваць дамены, якія могуць законна вяртаць такія адрасы. Чытайце гэта як знак таго, што задуманае выпраўленне — абмежаваны дазвол, а не глабальны перамыкач.

Абмяжуйце выключэнне прасторай імёнаў

Спачатку выпраўце прастору імёнаў, потым выключэнне. Пераканайцеся, што якое падае імя належыць дамену, якім кіруе арганізацыя, і што запіс вядзецца наўмысна. Нечаканы адрас, які проста нагадвае знаёмы дыяпазон лакальнай сеткі, заслугоўвае падазрэння, а не выключэння, таму праверце ўладальніка зоны, перш чым пісаць любы дазвол.

# ask the resolver the VPN pushed, and show the full answer
dig +noall +answer db.corp.example @10.40.0.1
dig +short db.corp.example @10.40.0.1

# dnsmasq: what does the running configuration already allow?
grep -R 'rebind' /etc/dnsmasq.d /etc/dnsmasq.conf

Затым дадайце самы вузкі дазвол, які пакрывае патрэбныя імёны: адзін дамен або адзін дэлегаваны паддамен у канфігурацыі рэзалвера, да якога звяртаюцца кліенты VPN. Выключэнне абароны для кожнага імя на гэтым рэзалверы забірае абарону ўсім адразу, уключаючы імёны, якім яна ніколі не была патрэбна.

Падзел DNS належыць да таго ж рашэння. Калі на прыватную прастору імёнаў павінен адказваць толькі ўнутраны рэзалвер, апублікуйце яе там і спыніце ўцечку да публічных рэзалвераў, каб выключэнне пакрывала адзін шлях замест усіх шляхоў.

Пераправерце рэсурс і абарону

Запрасіце зноў, потым падключыцеся да сэрвісу і паглядзіце, што бачыць кліент. Правільны прыватны адказ з працоўнай сесіяй азначае, што выключэнне спрацавала. Правільны адказ з застойнай сесіяй азначае, што наступны падазроны — маршрут або ідэнтычнасць сэрвісу.

# the internal name and the public control should behave differently
dig +short db.corp.example @10.40.0.1
dig +short www.example.com @10.40.0.1

# and the service itself, with the certificate it presents
curl -sS -o /dev/null -w '%{http_code}\n' https://db.corp.example/health

Праверце таксама публічнае імя праз той жа рэзалвер. Абарона павінна па-ранейшаму дзейнічаць для імёнаў па-за выключэннем, і калі гэтая праверка не ўдаецца, змена была шырэйшай, чым задумана. Трымайце праверку сертыфіката нязменнай увесь час, бо імя, якое правільна развязваецца, усё яшчэ павінна адпавядаць сертыфікату, які падае сэрвіс.

Запішыце ў заяўку адхілены адказ, дамен, рэзалвер і таго, хто валодае палітыкай. Менавіта гэты запіс ператварае загадкавае ўнутранае адключэнне ў змену канфігурацыі, якую хтосьці можа прагледзець.