Enwau VPN preifat yn methu? Yr amddiffyniad rebind DNS yw’r sawl i’w amau

Ar y rhwydwaith lleol yn y swyddfa mae’r enw mewnol yn ateb ar unwaith. Yr eiliad y bydd y VPN i fyny mae’n rhoi’r gorau i weithio, mae’r rhaglen yn adrodd am derfyn amser, ac mae’r twnnel ei hun yn pasio traffig heb gwyno. Yr hyn a newidiodd yw’r datryswr, ac mae gan y datryswr hwnnw farn am gyfeiriadau preifat.

Mae amddiffyniad rebind yn bodoli i atal un tric penodol. Mae enw preifat a gyhoeddwyd yn fwriadol yn edrych yn ddigon tebyg nes bod yr amddiffyniad yn tanio.

Darllenwch yr ateb cyn darllen y polisi

Gofynnwch am yr enw i’r datryswr y mae’r VPN yn ei wthio mewn gwirionedd, nid i’r un y mae eich gliniadur yn ei ddefnyddio gartref. Cymharwch yr ateb â’r cofnod rydych yn ei ddisgwyl, a nodwch a yw’r ateb yn wag, wedi’i wrthod, neu’n llawn cyfeiriadau cyhoeddus na chynlluniodd neb hwy.

Mae’r symptomau’n gorgyffwrdd, felly siâp yr ateb sy’n penderfynu’r diagnosis. Cofnod coll yw NXDOMAIN, rheol mynediad yw REFUSED, camgymeriad polisi neu DNS holltiedig yw cyfeiriad cyhoeddus ar gyfer enw mewnol, ac mae cyfeiriad preifat cywir na all y cleient ei ddefnyddio yn broblem hollol wahanol. Nid yw cysylltiad a wrthodwyd na chais sydd wedi stalling yn profi dim ar ei ben ei hun, a dyna pam y dylai’r gorchymyn cyntaf yn unrhyw un o’r tocynnau hyn fod yn chwiliad yn hytrach nag yn ailgychwyn. Ysgrifennwch yr ateb cyn newid unrhyw beth.

Beth mae’r amddiffyniad yn ei atal mewn gwirionedd

Mae rebind DNS yn gweithio drwy newid beth mae enw’n datrys iddo ar ôl i’r cleient fod yn ymddiried ynddo eisoes. Mae tudalen yn llwytho o enw a reolir gan ymosodwr, mae’r ateb yn troi i gyfeiriad preifat, ac mae’r porwr yn cael ei dwyllo i siarad â rhywbeth ar y rhwydwaith lleol na fyddai byth wedi derbyn cysylltiad uniongyrchol ag ef. Yr amddiffyniad yw gwrthod atebion sy’n pwyntio i’r gofod preifat pan na ofynnwyd i’r datryswr wasanaethu gofod enwau preifat erioed. Yr anghymesuredd hwnnw yw’r ymosodiad cyfan.

Mae dnsmasq yn dogfennu’r ymddygiad hwnnw’n union, ynghyd ag eithriadau fesul parth. Mae ei dudalen lawlyfr yn disgrifio rebind-domain-ok fel y ffordd i enwi parthau a all ddychwelyd cyfryw gyfeiriadau’n gyfreithlon. Darllenwch hynny fel arwydd mai’r atgyweiriad a fwriadwyd yw caniatâd cyfyngedig, nid switsh byd-eang.

Cyfyngwch yr eithriad i’r gofod enwau

Trwsiwch y gofod enwau’n gyntaf, yna’r eithriad. Cadarnhewch fod yr enw sy’n methu yn perthyn i barth y mae’r sefydliad yn ei reoli ac fod y cofnod yn cael ei gynnal yn fwriadol. Mae cyfeiriad annisgwyl sy’n unig debyg i ystod rhwydwaith lleol gyfarwydd yn haeddu amheuaeth, nid eithriad, felly gwiriwch berchennog y parth cyn ysgrifennu unrhyw ganiatâd.

# ask the resolver the VPN pushed, and show the full answer
dig +noall +answer db.corp.example @10.40.0.1
dig +short db.corp.example @10.40.0.1

# dnsmasq: what does the running configuration already allow?
grep -R 'rebind' /etc/dnsmasq.d /etc/dnsmasq.conf

Yna ychwanegwch y caniatâd culaf sy’n cwmpasu’r enwau a fwriadwyd: un parth, neu un is-barth a dirprwywyd, yng nghyfluniad y datryswr y mae cleientiaid VPN yn gofyn iddo. Mae diffodd yr amddiffyniad ar gyfer pob enw ar y datryswr hwnnw yn tynnu’r amddiffyniad oddi arnynt i gyd ar unwaith, gan gynnwys yr enwau na fuont erioed ei angen.

Mae DNS holltiedig yn perthyn i’r un penderfyniad. Os dylid ateb y gofod enwau preifat yn y datryswr mewnol yn unig, cyhoeddwch ef yno a rhoi’r gorau i’w ollwng i ddatryswyr cyhoeddus, fel bod yr eithriad yn cwmpasu un llwybr yn hytrach na phob llwybr.

Ailbrofwch yr adnodd a’r amddiffyniad

Gofynnwch eto, yna cysylltwch â’r gwasanaeth a gweld beth mae’r cleient yn ei weld. Mae ateb preifat cywir gyda sesiwn sy’n gweithio yn golygu bod yr eithriad wedi glanio. Mae ateb cywir gyda sesiwn sydd wedi rhewi yn golygu mai’r llwybr neu hunaniaeth y gwasanaeth yw’r sawl nesaf i’w amau.

# the internal name and the public control should behave differently
dig +short db.corp.example @10.40.0.1
dig +short www.example.com @10.40.0.1

# and the service itself, with the certificate it presents
curl -sS -o /dev/null -w '%{http_code}\n' https://db.corp.example/health

Profwch enw cyhoeddus drwy’r un datryswr hefyd. Dylai’r amddiffyniad barhau i weithio ar gyfer enwau y tu allan i’r eithriad, ac os yw’r prawf hwnnw’n methu, roedd y newid yn ehangach na’r bwriad. Cadwch dilysu tystysgrif yn ddianaf drwy’r amser, oherwydd mae’n rhaid i enw sy’n datrys yn gywir gyd-fynd o hyd â’r dystysgrif y mae’r gwasanaeth yn ei chyflwyno.

Cofnodwch yr ateb a wrthodwyd, y parth, y datryswr a phwy sy’n berchen ar y polisi yn y tocyn. Y cofnod hwnnw sy’n troi toriad mewnol dirgel yn newid cyfluniad y gall rhywun ei adolygu.