Το dnsmasq πετάει μια ιδιωτική απάντηση DNS: φταίει η προστασία κατά του rebinding;

Ο διακομιστής DNS της εταιρείας επιστρέφει την αναμενόμενη ιδιωτική διεύθυνση, και όμως ένα ερώτημα μέσω του τοπικού resolver προώθησης αποτυγχάνει. Η απάντηση υπάρχει, κάτι που αποκλείει τη ζώνη ανάντη και την ίδια την εγγραφή. Απομένει το βήμα όπου ο resolver αποφασίζει αν θα επιστρέψει αυτή την απάντηση στον πελάτη. Αν αυτός ο resolver είναι το dnsmasq, η απόρριψη είναι πιθανότατα ήδη στο αρχείο καταγραφής.

Το να λάβεις μια απάντηση και το να επιλέξεις να την επιστρέψεις είναι δύο διαφορετικά βήματα.

Συγκρίνετε το ίδιο όνομα και στους δύο resolvers

Καταγράψτε ποιον resolver χρησιμοποιεί πραγματικά η εφαρμογή και το ακριβές όνομα κεντρικού υπολογιστή που ζητά. Στη συνέχεια συγκρίνετε το αποτέλεσμα ανάντη με το συμβάν του resolver προώθησης για το ίδιο όνομα. Μια απούσα απάντηση ανάντη, μια αρνητική απάντηση από την προσωρινή μνήμη και μια καταγεγραμμένη απόρριψη απαιτούν τρεις διαφορετικές διορθώσεις.

Μια διεύθυνση που φαίνεται σε άμεσο διαγνωστικό ερώτημα δεν αποδεικνύει ότι η εφαρμογή την έλαβε από τη συνήθη διαδρομή της. Τα δύο ερωτήματα μπορεί να ξεκινούν από διαφορετικούς resolvers ή από τον ίδιο resolver με διαφορετικές πολιτικές. Καταγράψτε και τα δύο αποτελέσματα πριν κάνετε θεωρίες, γιατί σε αυτό το βήμα το ένα αντικαθίσταται από το άλλο. Η σύγκριση είναι ολόκληρη η διάγνωση.

Διαβάστε την απόρριψη και όχι το σύμπτωμα

Η επιλογή stop-dns-rebind του dnsmasq απορρίπτει απαντήσεις με ιδιωτική διεύθυνση που πληρούν τις προϋποθέσεις και έρχονται ανάντη, και τις καταγράφει όταν το κάνει. Αυτή η προστασία υπάρχει για καλό λόγο: ένα δημόσιο όνομα που ξαφνικά επιλύεται σε ιδιωτική διεύθυνση είναι η κλασική επίθεση rebinding. Διασταυρώνεται όμως και με μια σκόπιμα ιδιωτική υπηρεσία, και αυτή είναι η δική σας περίπτωση.

Αναζητήστε την απόρριψη στο αρχείο καταγραφής πριν αλλάξετε οτιδήποτε, γιατί το μήνυμα ονομάζει τον μηχανισμό.

Αν δεν υπάρχει ούτε απόρριψη ούτε απάντηση ανάντη, η προστασία κατά του rebinding δεν είναι το πρόβλημά σας, και η απενεργοποίησή της θα ήταν μια αλλαγή που δεν διορθώνει τίποτα και διευρύνει την έκθεση. Είναι χειρότερο από την αρχική βλάβη, γιατί αφαιρεί έναν έλεγχο και αφήνει το σφάλμα. Επιβεβαιώστε πρώτα τη συγκεκριμένη γραμμή του αρχείου καταγραφής. Μετά αποφασίστε.

Περιορίστε την εξαίρεση σε έναν τομέα

Για έναν επαληθευμένο τομέα, το εγχειρίδιο του dnsmasq προσφέρει εξαίρεση περιορισμένη στον τομέα αντί για καθολικό διακόπτη.

rebind-domain-ok=corp.example

Ο τομέας παραπάνω είναι μόνο ενδεικτικός. Χρησιμοποιήστε τον διαχειριστικό τομέα που όντως διαχειρίζεστε και κατανοήστε το εύρος αντιστοίχισης της επιλογής πριν την εφαρμόσετε, γιατί ένας κανόνας επιθήματος καλύπτει περισσότερα από τον έναν κεντρικό υπολογιστή που δοκιμάσατε. Η γεννήτρια ρυθμίσεων ενός δρομολογητή μπορεί να εκθέσει την ίδια ρύθμιση μέσω του δικού της χειριστηρίου αντί για μια ακατέργαστη οδηγία. Και οι δύο διαδρομές είναι εντάξει αρκεί το εύρος που προκύπτει να είναι το επιθυμητό.

Μια εξαίρεση από την ανίχνευση rebinding κάνει ακριβώς ένα πράγμα: αφήνει να περάσουν οι απαντήσεις αυτού του τομέα.

Δεν ρυθμίζει forwarder split-DNS, δεν κάνει προσβάσιμη μια μη προσβάσιμη πηγή ανάντη και δεν δημιουργεί διαδρομή προς τη διεύθυνση που επιστρέφεται. Καθεμία από αυτές είναι ξεχωριστή απαίτηση με το δικό της ίχνος βλάβης, και καθεμία αποτυγχάνει διαφορετικά στον πελάτη.

Επαληθεύστε χωρίς να αφαιρέσετε το όριο

Ρωτήστε ξανά το όνομα κεντρικού υπολογιστή μέσω της διαδρομής προώθησης και μετά συνδεθείτε στην υπηρεσία με τους συνήθεις ελέγχους ταυτότητας. Μια εξαίρεση DNS δεν είναι λόγος να δεχτείτε ένα απρόσμενο πιστοποιητικό, και οι δύο βλάβες συγχέονται εύκολα όταν και οι δύο εμφανίζονται ως σφάλμα προγράμματος περιήγησης. Δοκιμάστε το όνομα και την υπηρεσία χωριστά. Μόνο ένα από τα δύο ήταν ποτέ πρόβλημα DNS.

Κρατήστε τον λόγο της εξαίρεσης δίπλα στη διαμόρφωση, με ημερομηνία και υπεύθυνο.

Ελέγξτε την ξανά όταν η ιδιωτική υπηρεσία μετακινηθεί ή ο τομέας αλλάξει. Η καθολική απενεργοποίηση της προστασίας θα άλλαζε τον τρόπο χειρισμού άσχετων απαντήσεων και θα άφηνε πάντως τη βλάβη στη διαδρομή ή την υπηρεσία αν το rebinding δεν ήταν ποτέ η αιτία.