dnsmasq zahazuje soukromou odpověď DNS: je to ochrana proti rebindingu?

Firemní server DNS vrací očekávanou soukromou adresu, a přesto dotaz přes místní předávající resolver stále selhává. Odpověď existuje, což vylučuje nadřazenou zónu i samotný záznam. Zbývá krok, ve kterém se resolver rozhoduje, zda odpověď klientovi vrátí. Pokud je tím resolverem dnsmasq, odmítnutí už pravděpodobně je v logu.

Přijmout odpověď a rozhodnout se ji vrátit jsou dva různé kroky.

Porovnejte stejný název na obou resolverech

Zapište, který resolver aplikace skutečně používá, a přesný název hostitele, na který se ptá. Potom porovnejte výsledek z nadřazeného serveru s událostí předávajícího resolveru pro stejný název. Chybějící odpověď z nadřazeného serveru, negativní odpověď z mezipaměti a odmítnutí v logu vyžadují tři různé opravy.

Adresa viditelná v přímém diagnostickém dotazu nedokazuje, že ji aplikace dostala svou obvyklou cestou. Oba dotazy mohou vycházet z různých resolverů nebo ze stejného resolveru podle různých zásad. Zapište oba výsledky, než začnete teoretizovat, protože právě v tomto kroku se jedno nahrazuje druhým. Porovnání je celá diagnóza.

Čtěte odmítnutí, ne symptom

Volba stop-dns-rebind v dnsmasq odmítá vyhovující odpovědi se soukromou adresou přijaté z nadřazeného serveru a při tom je loguje. Tato ochrana má dobrý důvod: veřejný název, který najednou ukazuje na soukromou adresu, je klasický útok rebinding. Zároveň se střetává se záměrně soukromou službou, což je váš případ.

Než cokoli změníte, hledejte v logu odmítnutí, protože zpráva pojmenovává mechanismus.

Pokud není žádné odmítnutí ani odpověď z nadřazeného serveru, ochrana proti rebindingu není váš problém a její vypnutí by byla změna, která nic neopraví a zároveň rozšíří expozici. To je horší než původní porucha, protože odstraní kontrolu a ponechá závadu. Nejprve potvrďte konkrétní řádek logu. Potom se rozhodněte.

Omezte výjimku na jednu doménu

Pro ověřenou doménu nabízí manuál dnsmasq výjimku omezenou na doménu místo globálního přepínače.

rebind-domain-ok=corp.example

Doména výše je jen ilustrativní. Použijte administrativní doménu, kterou skutečně provozujete, a než volbu použijete, pochopte rozsah jejího porovnávání, protože pravidlo přípony pokrývá víc než jeden testovaný hostitel. Generátor konfigurace routeru může stejné nastavení vystavit vlastním ovládacím prvkem místo surové direktivy. Obě cesty jsou v pořádku, pokud je výsledný rozsah ten zamýšlený.

Výjimka z detekce rebindingu dělá přesně jednu věc: propustí odpovědi této domény.

Nekonfiguruje předávající server split-DNS, nezpřístupní nedostupný nadřazený server ani nevytvoří trasu k vrácené adrese. Každý z těchto požadavků je samostatný, má vlastní podobu selhání a každý v klientovi selhává jinak.

Ověřte to, aniž byste odstranili hranici

Zeptejte se na název hostitele znovu přes předávající cestu a potom se připojte ke službě s jejími obvyklými kontrolami identity. Výjimka v DNS není důvod přijmout neočekávaný certifikát a obě poruchy se snadno zamění, když se obě projeví jako chyba prohlížeče. Testujte název a službu odděleně. Jen jedno z nich bylo někdy problém DNS.

Uchovejte důvod výjimky vedle konfigurace, s datem a odpovědnou osobou.

Zkontrolujte ji znovu, když se soukromá služba přesune nebo se změní doména. Globální vypnutí ochrany by změnilo zacházení s nesouvisejícími odpověďmi a poruchu trasy nebo služby by stejně nechalo na místě, pokud rebinding nikdy nebyl příčinou.