dnsmasq একটি ব্যক্তিগত DNS উত্তর ফেলে দিচ্ছে: কারণ কি rebinding সুরক্ষা?

কোম্পানির DNS সার্ভার প্রত্যাশিত ব্যক্তিগত ঠিকানা ফেরত দেয়, তবুও স্থানীয় ফরওয়ার্ডিং রিজলভারের মাধ্যমে কোয়েরি ব্যর্থ হয়। উত্তরটি বিদ্যমান, যা উপরের জোন এবং রেকর্ডটিকেই বাদ দেয়। বাকি থাকে সেই ধাপ যেখানে রিজলভার সিদ্ধান্ত নেয় এই উত্তরটি ক্লায়েন্টকে ফেরত দেবে কি না। যদি সেই রিজলভার dnsmasq হয়, প্রত্যাখ্যান সম্ভবত ইতিমধ্যে লগে আছে।

উত্তর গ্রহণ করা এবং তা ফেরত দেওয়ার সিদ্ধান্ত নেওয়া দুটি ভিন্ন ধাপ।

দুই রিজলভারে একই নাম তুলনা করুন

অ্যাপটি আসলে কোন রিজলভার ব্যবহার করে এবং কোন নির্দিষ্ট হোস্টনাম জিজ্ঞাসা করে তা লিখে রাখুন। তারপর উপরের ফলাফলটি একই নামের জন্য ফরওয়ার্ডিং রিজলভারের ঘটনার সঙ্গে তুলনা করুন। উপরে থেকে উত্তর না আসা, ক্যাশে রাখা নেতিবাচক উত্তর এবং লগে নথিভুক্ত প্রত্যাখ্যান তিনটি ভিন্ন সংশোধন দাবি করে।

সরাসরি ডায়াগনস্টিক কোয়েরিতে দেখা যাওয়া ঠিকানা প্রমাণ করে না যে অ্যাপটি তা তার স্বাভাবিক পথে পেয়েছে। দুই কোয়েরি ভিন্ন রিজলভার থেকে বা একই রিজলভার থেকে ভিন্ন নীতিতে বের হতে পারে। তত্ত্ব তৈরির আগে দুটি ফলাফলই লিখে রাখুন, কারণ এই ধাপেই একটির জায়গায় অন্যটি বসানো হয়। তুলনাই সম্পূর্ণ রোগনির্ণয়।

উপসর্গ নয়, প্রত্যাখ্যান পড়ুন

dnsmasq-এর stop-dns-rebind অপশন উপরে থেকে আসা এবং শর্তপূরণকারী ব্যক্তিগত ঠিকানার উত্তর প্রত্যাখ্যান করে এবং তা করার সময় সেগুলো লগে লেখে। এই সুরক্ষা একটি ভালো কারণে আছে: হঠাৎ ব্যক্তিগত ঠিকানায় গিয়ে দাঁড়ানো একটি প্রকাশ্য নামই ক্লাসিক rebinding আক্রমণ। তবে এটি ইচ্ছাকৃত ব্যক্তিগত সেবার সঙ্গেও সংঘর্ষ করে, আর সেটিই আপনার ক্ষেত্র।

কিছু বদলানোর আগে লগে প্রত্যাখ্যান খুঁজুন, কারণ বার্তাটি প্রক্রিয়াটির নাম বলে।

যদি প্রত্যাখ্যান না থাকে আর উপরে থেকে উত্তরও না আসে, তবে rebinding সুরক্ষা আপনার সমস্যা নয়, আর এটি বন্ধ করা এমন পরিবর্তন হবে যা কিছুই সারায় না এবং ঝুঁকি বাড়ায়। এটি মূল ত্রুটির চেয়েও খারাপ, কারণ এটি একটি নিয়ন্ত্রণ সরিয়ে দেয় এবং ত্রুটি রেখে দেয়। প্রথমে নির্দিষ্ট লগ লাইনটি নিশ্চিত করুন। তারপর সিদ্ধান্ত নিন।

ব্যতিক্রমটি একটিমাত্র ডোমেইনে সীমিত করুন

যাচাই করা ডোমেইনের জন্য dnsmasq-এর নির্দেশিকা বিশ্বব্যাপী সুইচের বদলে ডোমেইন-সীমিত ব্যতিক্রম দেয়।

rebind-domain-ok=corp.example

উপরের ডোমেইনটি কেবল উদাহরণ। আপনি সত্যিই যে প্রশাসনিক ডোমেইন চালান সেটি ব্যবহার করুন, এবং অপশন প্রয়োগের আগে তার মিলকরণের পরিসর বুঝুন, কারণ প্রত্যয় নিয়ম পরীক্ষিত একটি হোস্টের চেয়ে বেশি কভার করে। রাউটারের কনফিগারেশন জেনারেটর একই সেটিং কাঁচা নির্দেশনার বদলে নিজের নিয়ন্ত্রণে দেখাতে পারে। দুটি পথই ঠিক, যতক্ষণ ফলাফল পরিসরটি অভিপ্রেত হয়।

rebinding শনাক্তকরণে ব্যতিক্রম ঠিক একটি কাজ করে: সেই ডোমেইনের উত্তরগুলো যেতে দেয়।

এটি split-DNS ফরওয়ার্ডার কনফিগার করে না, না দুর্গম উপরের উৎসকে নাগালের মধ্যে আনে এবং না ফেরত দেওয়া ঠিকানায় কোনো পথ তৈরি করে। এর প্রত্যেকটি নিজস্ব ত্রুটি-চিহ্নসহ আলাদা দাবি, এবং প্রত্যেকটি ক্লায়েন্টে ভিন্নভাবে ব্যর্থ হয়।

সীমানা না সরিয়ে যাচাই করুন

হোস্টনাম আবার ফরওয়ার্ডিং পথে জিজ্ঞাসা করুন, তারপর সেবার স্বাভাবিক পরিচয় যাচাই নিয়ে সংযোগ করুন। DNS ব্যতিক্রম অপ্রত্যাশিত সার্টিফিকেট গ্রহণের কারণ নয়, এবং দুটি ত্রুটি সহজেই গুলিয়ে যায় যখন দুটোই ব্রাউজার ত্রুটি হিসেবে দেখা যায়। নাম ও সেবা আলাদাভাবে পরীক্ষা করুন। এদের মধ্যে কেবল একটি-ই কখনো DNS সমস্যা ছিল।

ব্যতিক্রমের কারণ কনফিগারেশনের পাশে, তারিখ ও দায়িত্বপ্রাপ্ত ব্যক্তিসহ রাখুন।

ব্যক্তিগত সেবা সরে গেলে বা ডোমেইন বদলালে আবার যাচাই করুন। সুরক্ষা বিশ্বব্যাপী বন্ধ করলে অসংলগ্ন উত্তরগুলোর আচরণ বদলে যাবে এবং rebinding কখনো কারণ না হলে পথ বা সেবার ত্রুটি তবুও যথাস্থানে থাকবে।