dnsmasq hylkää yksityisen DNS-vastauksen: onko syynä rebinding-suoja?

Yrityksen DNS-palvelin palauttaa odotetun yksityisosoitteen, ja silti paikallisen välityspalvelimen kautta tehty kysely epäonnistuu. Vastaus on olemassa, mikä sulkee pois ylävirran vyöhykkeen ja itse tietueen. Jäljelle jää vaihe, jossa välityspalvelin päättää, palauttaako se vastauksen asiakkaalle. Jos tämä välityspalvelin on dnsmasq, hylkäys on todennäköisesti jo lokissa.

Vastauksen vastaanottaminen ja sen palauttamisen valitseminen ovat kaksi eri vaihetta.

Vertaa samaa nimeä molemmilla välityspalvelimilla

Kirjaa, mitä välityspalvelinta sovellus todella käyttää ja mitä tarkkaa isäntänimeä se kysyy. Vertaa sitten ylävirran tulosta välityspalvelimen tapahtumaan samalle nimelle. Puuttuva ylävirran vastaus, välimuistiin tallennettu kielteinen vastaus ja lokiin kirjattu hylkäys vaativat kolme eri korjausta.

Suorassa diagnostiikkakyselyssä näkyvä osoite ei todista, että sovellus sai sen tavallista reittiään pitkin. Kaksi kyselyä voivat lähteä eri välityspalvelimilta tai samalta palvelimelta eri käytäntöjen alaisina. Kirjoita molemmat tulokset muistiin ennen teoriointia, sillä tässä vaiheessa toinen korvataan toisella. Vertailu on koko diagnoosi.

Lue hylkäys oireen sijaan

dnsmasqin stop-dns-rebind-valinta hylkää kelvolliset yksityisosoitevastaukset, jotka tulevat ylävirrasta, ja kirjaa ne lokiin tehdessään niin. Suoja on olemassa hyvästä syystä: julkinen nimi, joka yhtäkkiä ratkeaa yksityisosoitteeksi, on klassinen rebinding-hyökkäys. Se osuu myös tahallaan yksityiseen palveluun, ja se on sinun tapauksesi.

Etsi hylkäys lokista ennen kuin muutat mitään, sillä viesti nimeää mekanismin.

Jos hylkäystä ei ole eikä ylävirran vastausta tule, rebinding-suoja ei ole ongelmasi, ja sen pois kytkeminen olisi muutos, joka ei korjaa mitään ja lisää altistusta. Se on pahempaa kuin alkuperäinen vika, koska se poistaa valvonnan ja jättää vian paikoilleen. Vahvista ensin tietty lokirivi. Päätä sitten.

Rajaa poikkeus yhteen verkkotunnukseen

Vahvistetulle verkkotunnukselle dnsmasqin käsikirja tarjoaa verkkotunnuskohtaisen poikkeuksen yleiskytkimen sijaan.

rebind-domain-ok=corp.example

Yllä oleva verkkotunnus on vain esimerkki. Käytä hallinnollista verkkotunnusta, jota todella ylläpidät, ja ymmärrä valinnan täsmäytyslaajuus ennen sen käyttöä, sillä pääte-ehto kattaa enemmän kuin yhden testatun isännän. Reitittimen asetusten luontityökalu voi tarjota saman asetuksen oman hallintansa kautta raa'an direktiivin sijaan. Kumpi tahansa käy, kunhan tuloksena oleva laajuus on aiottu.

Poikkeus rebinding-tunnistuksesta tekee täsmälleen yhden asian: se päästää kyseisen verkkotunnuksen vastaukset läpi.

Se ei määritä split-DNS-välitystä, tee saavuttamatonta ylävirtaa saavutettavaksi eikä luo reittiä palautettuun osoitteeseen. Jokainen näistä on erillinen vaatimus, jolla on oma vikakuvionsa, ja jokainen epäonnistuu asiakkaassa eri tavalla.

Vahvista poistamatta rajaa

Kysy isäntänimeä uudelleen välityspolun kautta ja yhdistä sitten palveluun sen tavallisilla identiteettitarkistuksilla. DNS-poikkeus ei ole syy hyväksyä odottamatonta varmennetta, ja kaksi vikaa on helppo sekoittaa, kun molemmat näkyvät selainvirheenä. Testaa nimi ja palvelu erikseen. Vain toinen niistä oli koskaan DNS-ongelma.

Säilytä poikkeuksen syy asetusten vieressä, päivämäärän ja vastuuhenkilön kanssa.

Tarkista se uudelleen, kun yksityinen palvelu siirtyy tai verkkotunnus muuttuu. Suojan kytkeminen pois päältä globaalisti muuttaisi riippumattomien vastausten käsittelyä ja jättäisi silti reitin tai palvelun vian paikoilleen, jos rebinding ei koskaan ollut syy.