Mae dnsmasq yn gollwng ateb DNS preifat: ai amddiffyniad rebinding yw e?

Mae gweinydd DNS y cwmni yn dychwelyd y cyfeiriad preifat a ddisgwylir, ac eto mae ymholiad drwy'r datryswr anfon lleol yn methu. Mae'r ateb yn bodoli, sy'n diystyru'r parth uwchben a'r cofnod ei hun. Yr hyn sy'n weddill yw'r cam lle mae'r datryswr yn penderfynu ai dychwelyd yr ateb hwnnw i'r cleient ai peidio. Os mai dnsmasq yw'r datryswr hwnnw, mae'r gwrthodiad yn debygol o fod eisoes yn y log.

Mae derbyn ateb a dewis ei ddychwelyd yn ddau gam gwahanol.

Cymharwch yr un enw ar y ddau ddatryswr

Nodwch ba ddatryswr y mae'r rhaglen yn ei ddefnyddio mewn gwirionedd a'r union enw gwesteiwr y mae'n gofyn amdano. Yna cymharwch y canlyniad o uchod â digwyddiad y datryswr anfon ar gyfer yr un enw. Mae ateb coll o uchod, ateb negyddol wedi'i storio a gwrthodiad wedi'i gofnodi yn gofyn am dri chywiriad gwahanol.

Nid yw cyfeiriad sy'n weladwy mewn ymholiad diagnostig uniongyrchol yn profi bod y rhaglen wedi'i dderbyn ar ei llwybr arferol. Gall y ddau ymholiad ddod o ddatryswyr gwahanol, neu o'r un datryswr dan bolisïau gwahanol. Ysgrifennwch y ddau ganlyniad cyn damcaniaethu, oherwydd yn y cam hwn y disodlir y naill gan y llall. Y gymhariaeth yw'r holl ddiagnosis.

Darllenwch y gwrthodiad, nid y symptom

Mae opsiwn stop-dns-rebind dnsmasq yn gwrthod atebion cyfeiriad preifat cymwys sy'n dod o uchod, ac yn eu cofnodi pan fydd yn gwneud hynny. Mae'r amddiffyniad hwn yn bodoli am reswm da: mae enw cyhoeddus sy'n datrys yn sydyn i gyfeiriad preifat yn ymosodiad rebinding clasurol. Ond mae hefyd yn croesi gwasanaeth a fwriedir yn breifat, a dyna eich achos chi.

Chwiliwch y log am y gwrthodiad cyn newid unrhyw beth, oherwydd mae'r neges yn enwi'r mecanwaith.

Os nad oes gwrthodiad na chofnod o uchod, nid amddiffyniad rebinding yw eich problem, a byddai ei ddiffodd yn newid nad yw'n trwsio unrhyw beth ac yn ehangu'r amlygiad. Mae hynny'n waeth na'r methiant gwreiddiol, oherwydd mae'n tynnu rheolaeth ac yn gadael y diffyg. Cadarnhewch y llinell log benodol yn gyntaf. Yna penderfynwch.

Cyfyngwch yr eithriad i un parth

Ar gyfer parth wedi'i wirio, mae llawlyfr dnsmasq yn cynnig eithriad wedi'i gyfyngu i'r parth yn lle switsh byd-eang.

rebind-domain-ok=corp.example

Mae'r parth uchod yn enghraifft yn unig. Defnyddiwch y parth gweinyddol rydych chi'n ei reoli mewn gwirionedd, a deallwch gwmpas cyfatebol yr opsiwn cyn ei gymhwyso, oherwydd mae rheol ôl-ddodiad yn cwmpasu mwy na'r un gwesteiwr a brofwyd gennych. Gall generadur ffurfweddiad llwybrydd gynnig yr un gosodiad drwy ei reolaeth ei hun yn lle cyfarwyddeb crai. Mae'r ddwy ffordd yn iawn cyhyd â bod y cwmpas sy'n deillio ohoni yr un a fwriadwyd.

Mae eithriad i synhwyro rebinding yn gwneud un peth yn union: mae'n gadael atebion y parth hwnnw drwodd.

Nid yw yn ffurfweddu anfonwr split-DNS, nid yw'n gwneud tarddiad uchod na ellir ei gyrraedd yn gyrraeddadwy, ac nid yw'n creu llwybr i'r cyfeiriad a ddychwelwyd. Mae pob un o'r rhain yn ofyniad ar wahân gyda'i lofnod methiant ei hun, ac mae pob un yn methu'n wahanol yn y cleient.

Gwirio heb dynnu'r ffin

Gofynnwch am yr enw gwesteiwr eto drwy'r llwybr anfon, yna cysylltwch â'r gwasanaeth gyda'i wiriannau hunaniaeth arferol. Nid yw eithriad DNS yn rheswm i dderbyn tystysgrif annisgwyl, ac mae'n hawdd drysu rhwng y ddau fethiant pan fyddant ill dau yn ymddangos fel gwall porwr. Profwch yr enw a'r gwasanaeth ar wahân. Dim ond un o'r ddau a fu erioed yn broblem DNS.

Cadwch y rheswm dros yr eithriad wrth ymyl y ffurfweddiad, gyda dyddiad a pherson cyfrifol.

Ail-wiriwch ef pan fydd y gwasanaeth preifat yn symud neu'r parth yn newid. Byddai diffodd yr amddiffyniad yn fyd-eang yn newid y ffordd y caiff atebion anghysylltiedig eu trin, ac yn gadael y methiant llwybr neu wasanaeth yn ei le pe na bai rebinding erioed wedi bod yn achos.