dnsmasq descarta una resposta DNS privada: és la protecció contra el rebinding?

El servidor DNS de l'empresa retorna l'adreça privada esperada i, tot i així, una consulta a través del resolutor de reenviament local falla. La resposta existeix, cosa que descarta la zona superior i el registre mateix. Queda el pas en què el resolutor decideix si retorna aquesta resposta al client. Si aquest resolutor és dnsmasq, el rebuig probablement ja és al registre.

Rebre una resposta i triar tornar-la són dos passos diferents.

Compareu el mateix nom als dos resolutors

Anoteu quin resolutor fa servir realment l'aplicació i el nom d'amfitrió exacte que consulta. Després compareu el resultat de dalt amb l'esdeveniment del resolutor de reenviament per al mateix nom. Una resposta absent de dalt, una resposta negativa a la memòria cau i un rebuig registrat requereixen tres correccions diferents.

Una adreça visible en una consulta de diagnòstic directa no demostra que l'aplicació l'hagi rebuda pel seu camí habitual. Les dues consultes poden sortir de resolutors diferents, o del mateix resolutor amb polítiques diferents. Anoteu tots dos resultats abans de teoritzar, perquè és en aquest pas que se substitueix un per l'altre. La comparació és tot el diagnòstic.

Llegiu el rebuig, no el símptoma

L'opció stop-dns-rebind del dnsmasq rebutja les respostes d'adreça privada que compleixen els requisits i arriben de dalt, i les registra quan ho fa. Aquesta protecció existeix per un bon motiu: un nom públic que de cop es resol a una adreça privada és l'atac de rebinding clàssic. També es creua amb un servei deliberadament privat, i aquest és el vostre cas.

Cerqueu el rebuig al registre abans de canviar res, perquè el missatge anomena el mecanisme.

Si no hi ha rebuig ni resposta de dalt, la protecció contra el rebinding no és el vostre problema, i desactivar-la seria un canvi que no arregla res i amplia l'exposició. És pitjor que la fallada original, perquè treu un control i deixa el defecte. Confirmeu primer la línia de registre concreta. Després decidiu.

Limiteu l'excepció a un sol domini

Per a un domini verificat, el manual del dnsmasq ofereix una excepció limitada al domini en lloc d'un interruptor global.

rebind-domain-ok=corp.example

El domini de dalt només és un exemple. Feu servir el domini administratiu que realment gestioneu, i enteneu l'abast de coincidència de l'opció abans d'aplicar-la, perquè una regla de sufix cobreix més que l'amfitrió que heu provat. El generador de configuració d'un encaminador pot exposar el mateix paràmetre des del seu propi control en lloc d'una directiva crua. Tots dos camins van bé si l'abast resultant és el que volíeu.

Una excepció a la detecció de rebinding fa exactament una cosa: deixa passar les respostes d'aquell domini.

No configura cap reenviador de split-DNS, no fa accessible un origen de dalt inaccessible ni crea cap ruta cap a l'adreça retornada. Cadascun d'aquests és un requisit separat amb la seva pròpia signatura de fallada, i cadascun falla de manera diferent al client.

Verifiqueu sense eliminar la frontera

Torneu a consultar el nom d'amfitrió pel camí de reenviament i després connecteu-vos al servei amb les seves comprovacions d'identitat habituals. Una excepció DNS no és cap motiu per acceptar un certificat inesperat, i les dues fallades es confonen fàcilment quan totes dues apareixen com un error del navegador. Proveu el nom i el servei per separat. Només un dels dos va ser mai un problema de DNS.

Guardeu el motiu de l'excepció al costat de la configuració, amb data i responsable.

Torneu a comprovar-ho quan el servei privat es mogui o el domini canviï. Desactivar la protecció globalment canviaria el tracte de respostes no relacionades i encara deixaria la fallada de ruta o de servei si el rebinding no va ser mai la causa.