dnsmasq smyt in privee DNS-antwurd fuort: is it de rebinding-befeiliging?

De DNS-tsjinner fan it bedriuw jout it ferwachte privee adres werom, en dochs mislearret in query fia de lokale trochstjoer-resolver. It antwurd bestiet, wat de boppeste sône en it record sels útslút. Wat oerbliuwt is de stap wêryn de resolver beslút oft er dat antwurd oan de klant weromjout. As dy resolver dnsmasq is, stiet de ôfwizing wierskynlik al yn it log.

In antwurd ûntfange en beslute it werom te jaan binne twa ferskate stappen.

Fergelykje deselde namme op beide resolvers

Skriuw op hokker resolver de applikaasje echt brûkt en de krekte hostnamme dy't er freget. Fergelykje dêrnei it resultaat fan boppen mei it barren fan de trochstjoer-resolver foar deselde namme. In ûntbrekkend antwurd fan boppen, in negatyf antwurd út de cache en in registrearre ôfwizing freegje trije ferskate korreksjes.

In adres dat te sjen is yn in direkte diagnostyske query bewiist net dat de applikaasje it fia syn gewoane paad krigen hat. De twa queries kinne fan ferskate resolvers komme, of fan deselde resolver ûnder ferskillend belied. Skriuw beide resultaten op foardat jo teoryen foarmje, want yn dizze stap wurdt it iene troch it oare ferfongen. De fergeliking is de hiele diagnoaze.

Lês de ôfwizing ynstee fan it symptoom

De opsje stop-dns-rebind fan dnsmasq wiist geskikte antwurden mei in privee adres fan boppen ôf, en registrearret se yn it log as er dat docht. Dy befeiliging bestiet om in goede reden: in iepenbiere namme dy't hommels nei in privee adres ferwiist, is de klassike rebinding-oanfal. Mar hy krúst ek mei in bewust privee tsjinst, en dat is jo gefal.

Sykje de ôfwizing yn it log foardat jo wat feroarje, want it berjocht neamt it meganisme.

As der gjin ôfwizing en gjin antwurd fan boppen is, dan is de rebinding-befeiliging net jo probleem, en it útsette soe in feroaring wêze dy't neat reparearret en de bleatstelling fersterket. Dat is slimmer as de oarspronklike stoaring, want it hellet in kontrôle fuort en lit it mank gean. Befêstigje earst de konkrete logline. Beslis dêrnei.

Behein de útsûndering ta ien domein

Foar in ferifiearre domein biedt de dnsmasq-hantlieding in domeinbeheinde útsûndering ynstee fan in globale skeakel.

rebind-domain-ok=corp.example

It domein hjirboppe is mar in foarbyld. Brûk it bestjoerlike domein dat jo echt beheare, en begryp it berik fan de opsje foardat jo him tapasse, want in efterheakselregel dekt mear as de iene host dy't jo testen. De konfiguraasjegenerator fan in router kin deselde ynstelling fia syn eigen kontrôle oanbiede ynstee fan in rau rjochtline. Beide wegen binne goed salang't it resultaat it bedoelde berik is.

In útsûndering op rebinding-deteksje docht krekt ien ding: it lit de antwurden fan dat domein troch.

Hy konfigurearret gjin split-DNS-trochstjoerder, makket in ûnberikbere boppeste boarne net berikber en makket gjin rûte nei it weromjûn adres. Elk dêrfan is in aparte eask mei syn eigen stoaringsteken, en elk ferslimmet oars yn de klant.

Ferifiearje sûnder de grins fuort te heljen

Fregje de hostnamme nochris fia it trochstjoerpaad, en ferbyn jo dan mei de tsjinst mei syn gewoane identiteitskontrôles. In DNS-útsûndering is gjin reden om in ûnferwacht sertifikaat te akseptearjen, en de twa stoarings binne maklik te betiizjen as beide as browserflater ferskine. Test de namme en de tsjinst apart. Mar ien fan beide wie ea in DNS-probleem.

Bewarje de reden foar de útsûndering njonken de konfiguraasje, mei datum en ferantwurdlike.

Kontrolearje it opnij as de privee tsjinst ferhuzet of it domein feroaret. De befeiliging globaal útsette soe de behanneling fan net-relatearre antwurden feroarje en soe de stoaring yn 'e rûte of tsjinst dochs litte stean as rebinding nea de oarsaak wie.