VPN izen pribatuek huts egiten dute? DNS rebind babesa da susmagarria

Bulegoko sare lokaleko izen internoak berehala erantzuten du. VPN-a martxan jartzen den unean funtzionatzeari uzten dio, aplikazioak denbora-muga bat jakinarazten du, eta tunelek berak trafikoa pasatzen jarraitzen du kexarik gabe. Aldatu dena ebazlea da, eta ebazle horrek iritzi bat du helbide pribatuei buruz.

Rebind babesa trikimailu zehatz bat gelditzeko dago. Nahita argitaratutako izen pribatu bat nahikoa antzekoa da, eta defentsa martxan jartzen da.

Irakurri erantzuna politikak irakurri baino lehen

Galdetu izenaren berri VPN-ak benetan bidaltzen duen ebazleari, zure ordenagailuak etxean erabiltzen duenari ez. Alderatu erantzuna espero duzun erregistroarekin, eta ohartu erantzuna hutsik, ukatuta edo inork aurreikusi gabeko helbide publikoekin betea dagoen.

Sintomek elkar gainjartzen dute, beraz erantzunaren formak erabakitzen du diagnosia. NXDOMAIN erregistro bat falta da, REFUSED sarbide-arau bat da, barne-izen baterako helbide publiko bat politika edo DNS zatituaren errorea da, eta bezeroak erabili ezin duen helbide pribatu zuzena guztiz beste arazo bat da. Ukatutako konexio batek edo trabatuta gelditutako eskaera batek berez ez du ezer frogatzen, horregatik txartel horietako edozeinetan lehen komandoak bilaketa bat izan behar du, ez berrabiaraztea. Idatzi erantzuna ezer aldatu aurretik.

Zer gelditzen duen defentsak benetan

DNS rebind-ak funtzionatzen du bezeroak izena jadanik fidatu ondoren, izen hori zertara ebazten den aldatuz. Orrialde bat erasotzaileak kontrolatutako izen batetik kargatzen da, erantzuna helbide pribatu batera aldatzen da, eta nabigatzailea sare lokaleko zerbaiti hitz egitera engainatzen da, inoiz konexio zuzen bat onartuko ez zukeenarekin. Defentsa espazio pribatura seinalatzen duten erantzunak ukatzea da, ebazleari inoiz eskatu ez zaionean izen-espazio pribatu bat zerbitzatzeko. Asimetria hori da eraso osoa.

dnsmasq-ek hain zuzen ere jokabide hori dokumentatzen du, domeinuko salbuespenekin batera. Bere manuel-orriak rebind-domain-ok deskribatzen du halako helbideak zilegi itzul ditzaketen domeinuak izendatzeko bide gisa. Irakurri hori konponbidea ustez baimen mugatua dela adierazteko, ez etengailu global bat.

Mugatu salbuespena izen-espaziora

Konpondu lehenengo izen-espazioa, gero salbuespena. Egiaztatu huts egiten duen izena erakundeak kontrolatzen duen domeinu batena dela eta erregistroa nahita mantentzen dela. Sare lokaleko barruti ezagun bat besterik gogorarazten duen helbide ustekabeak susmoa merezi du, ez salbuespen bat, beraz egiaztatu zonaren jabea edozein baimen idatzi aurretik.

# ask the resolver the VPN pushed, and show the full answer
dig +noall +answer db.corp.example @10.40.0.1
dig +short db.corp.example @10.40.0.1

# dnsmasq: what does the running configuration already allow?
grep -R 'rebind' /etc/dnsmasq.d /etc/dnsmasq.conf

Gero gehitu helburuko izenak estaltzen dituen baimen estuena: domeinu bat, edo delegatutako azpidomeinu bat, VPN bezeroek galdetzen dioten ebazlearen konfigurazioan. Ebazle horretako izen guztietarako babesa itzaltzeak denentzako defentsa kentzen du batera, inoiz behar izan ez zuten izenak barne.

DNS zatitua erabaki beraren parte da. Izen-espazio pribatuari barne-ebazlean soilik erantzun behar bazaio, argitaratu han eta utzi isurtzeari ebazle publikoei, salbuespenak bide bat estal dezan bide guztiak ordez.

Probatu berriro baliabidea eta defentsa

Galdetu berriro, gero konektatu zerbitzura eta ikusi bezeroak zer ikusten duen. Erantzun pribatu zuzena eta saio bat funtzionatzen badu, salbuespena heldu da. Erantzun zuzena baina saioa trabatuta badago, hurrengo susmagarria ibilbidea edo zerbitzuaren identitatea da.

# the internal name and the public control should behave differently
dig +short db.corp.example @10.40.0.1
dig +short www.example.com @10.40.0.1

# and the service itself, with the certificate it presents
curl -sS -o /dev/null -w '%{http_code}\n' https://db.corp.example/health

Probatu izen publiko bat ere ebazle beraren bidez. Babesak salbuespenetik kanpoko izenentzat ere funtzionatu behar du, eta egiaztapen horrek huts egiten badu, aldaketa aurreikusitakoa baino zabalagoa izan da. Eutsi ziurtagiriaren egiaztapenari ukitu gabe une oro, zeren zuzen ebazten duen izen batek oraindik zerbitzuak aurkezten duen ziurtagiriarekin bat egin behar baitu.

Erregistratu txartelean ukatutako erantzuna, domeinua, ebazlea eta politikaren jabea nor den. Erregistro hori da eten misteriotsu bat norbaiten berrikusi dezakeen konfigurazio-aldaketa bihurtzen duena.