dnsmasq verwirft eine private DNS-Antwort: Ist es die Rebinding-Schutzfunktion?

Der DNS-Server des Unternehmens liefert die erwartete private Adresse, und doch schlägt eine Abfrage über den lokalen Weiterleitungs-Resolver fehl. Die Antwort existiert, was die vorgelagerte Zone und den Datensatz selbst ausschließt. Übrig bleibt der Schritt, in dem der Resolver entscheidet, ob er diese Antwort an den Client zurückgibt. Wenn dieser Resolver dnsmasq ist, steht die Ablehnung wahrscheinlich bereits im Protokoll.

Eine Antwort zu empfangen und sie zurückgeben zu wollen, sind zwei verschiedene Schritte.

Vergleichen Sie denselben Namen auf beiden Resolvern

Halten Sie fest, welchen Resolver die Anwendung tatsächlich nutzt und welchen genauen Hostnamen sie abfragt. Vergleichen Sie dann das Ergebnis der vorgelagerten Auflösung mit dem Ereignis des Weiterleitungs-Resolvers für denselben Namen. Eine fehlende Antwort von oben, eine zwischengespeicherte negative Antwort und eine protokollierte Ablehnung erfordern drei verschiedene Korrekturen.

Eine in einer direkten Diagnoseabfrage sichtbare Adresse beweist nicht, dass die Anwendung sie über ihren üblichen Pfad erhalten hat. Die beiden Abfragen können von verschiedenen Resolvern ausgehen oder vom selben Resolver unter unterschiedlichen Richtlinien. Schreiben Sie beide Ergebnisse auf, bevor Sie Theorien bilden, denn an dieser Stelle wird eines durch das andere ersetzt. Der Vergleich ist die eigentliche Diagnose.

Lesen Sie die Ablehnung statt des Symptoms

Die Option stop-dns-rebind von dnsmasq weist qualifizierende private Adressantworten zurück, die von vorgelagerten Servern eintreffen, und protokolliert sie dabei. Dieser Schutz hat einen guten Grund: Ein öffentlicher Name, der plötzlich auf eine private Adresse zeigt, ist der klassische Rebinding-Angriff. Er berührt aber auch einen absichtlich privaten Dienst, und das ist Ihr Fall.

Suchen Sie im Protokoll nach der Ablehnung, bevor Sie irgendetwas ändern, denn die Meldung benennt den Mechanismus.

Wenn es keine Ablehnung und keine Antwort von oben gibt, ist der Rebinding-Schutz nicht Ihr Problem, und ihn abzuschalten wäre eine Änderung, die nichts behebt und zugleich die Angriffsfläche vergrößert. Das ist schlimmer als der ursprüngliche Fehler, weil sie eine Kontrolle entfernt und den Fehler bestehen lässt. Bestätigen Sie zuerst die konkrete Protokollzeile. Dann entscheiden Sie.

Begrenzen Sie die Ausnahme auf eine Domain

Für eine geprüfte Domain bietet das dnsmasq-Handbuch eine domainbezogene Ausnahme statt eines globalen Schalters.

rebind-domain-ok=corp.example

Die obige Domain ist nur ein Beispiel. Verwenden Sie die administrative Domain, die Sie tatsächlich betreiben, und verstehen Sie den Abgleichumfang der Option, bevor Sie sie anwenden, denn eine Suffixregel umfasst mehr als den einen getesteten Host. Der Konfigurationsgenerator eines Routers zeigt dieselbe Einstellung möglicherweise über ein eigenes Bedienelement statt über eine Rohdirektive an. Beide Wege sind in Ordnung, solange der resultierende Umfang der gewünschte ist.

Eine Ausnahme von der Rebinding-Erkennung bewirkt genau eines: Sie lässt die Antworten dieser Domain durch.

Sie konfiguriert keinen Split-DNS-Forwarder, macht ein unerreichbares Upstream nicht erreichbar und legt keine Route zu der zurückgegebenen Adresse an. Jede davon ist eine eigene Anforderung mit eigener Fehlersignatur, und jede versagt im Client anders.

Prüfen Sie nach, ohne die Grenze zu entfernen

Fragen Sie den Hostnamen erneut über den Weiterleitungspfad ab und verbinden Sie sich dann mit dem Dienst samt seinen üblichen Identitätsprüfungen. Eine DNS-Ausnahme ist kein Grund, ein unerwartetes Zertifikat zu akzeptieren, und die beiden Fehler sind leicht zu verwechseln, wenn beide als Browserfehler erscheinen. Testen Sie den Namen und den Dienst getrennt. Nur einer von beiden war je ein DNS-Problem.

Bewahren Sie den Grund für die Ausnahme neben der Konfiguration auf, mit Datum und Verantwortlichem.

Prüfen Sie ihn erneut, wenn der private Dienst umzieht oder sich die Domain ändert. Den Schutz global abzuschalten würde die Behandlung unabhängiger Antworten verändern und den Fehler in Route oder Dienst weiter bestehen lassen, falls Rebinding nie die Ursache war.