Private VPN-nammen mislearje? DNS-rebindbeskerming is de fertochte

Op it kantoar-LAN antwurdet de ynterne namme fuortendaliks. Op it stuit dat de VPN oan stiet, hâldt er op mei wurkjen, de applikaasje meldt in tiidferstriken, en de tunnel sels ferfiert ferkear sûnder klacht. Wat feroare is de resolver, en dy resolver hat in miening oer privee-adressen.

Rebindbeskerming bestiet om ien bepaald trúkje te stopjen. In mei opsetsin publisearre privee namme liket genôch, dat de ferdigening ôfgietsje.

Lês it antwurd eardat jo it belied lêze

Freegje de namme by de resolver dy’t de VPN echt trochstjoert, net by dy’t jo laptop thús brûkt. Fergelykje it antwurd mei it record dat jo ferwachtsje, en notearje oft it antwurd leech is, wegere of fol mei publike adressen dy’t nimmen pland hie.

De symptomen oerlaapje, dus de foarm fan it antwurd bepaalt de diagnoaze. In NXDOMAIN is in ûntbrekkend record, in REFUSED is in tagongsregel, in publike adres foar in ynterne namme is in belieds- of split-DNS-flater, en in korrekt privee-adres dat de klant net brûke kin is in hiel oar probleem. In wegere ferbining of in fêstrûne oanfraach bewiist op himsels neat, dêrom moat it earste kommando yn elk fan dizze tickets in opfrege wêze en net in werstart. Skriuw it antwurd op eardat jo eat feroarje.

Wat de ferdigening echt stopsit

DNS-rebinding wurket troch te feroarjen wêr’t in namme nei oplost nei’t de klant it al fertroud hat. In side laden fan in namme dy’t de oanfaller beheart, it antwurd skeakelet nei in privee-adres, en de browser wurdt ferrifelen om te praten mei eat op it lokale netwurk dêr’t er nea in direkte ferbining mei akseptearre hie. De ferdigening is om antwurden te wegerjen dy’t nei de privee-romte wize, as de resolver nea frege is om in privee nammeromte te betsjinjen. Krekt dy asymmetry is de hiele oanfal.

dnsmasq dokumintearret krekt dat gedrach, tegearre mei útsûnderingen per domein. Syn hânliedingside beskriuwt rebind-domain-ok as de manier om domeinen te neamen dy’t sokke adressen legit weromjaan meie. Lês dat as in sinjaal dat de bedoelde oplossing in beheinde tastimming is, net in globale skeakel.

Behein de útsûndering ta de nammeromte

Reparearje earst de nammeromte, dan de útsûndering. Befêstigje dat de mislearjende namme by in domein heart dat de organisaasje beheart en dat it record mei opsetsin ûnderhâlden wurdt. In ûnferwachte adres dat allinnich mar liket op in fertroud LAN-berik fertsjinnet erchtinken, net in útsûndering, dus kontrolearje de eigener fan de sône eardat jo hokker tastimming dan ek skriuwe.

# ask the resolver the VPN pushed, and show the full answer
dig +noall +answer db.corp.example @10.40.0.1
dig +short db.corp.example @10.40.0.1

# dnsmasq: what does the running configuration already allow?
grep -R 'rebind' /etc/dnsmasq.d /etc/dnsmasq.conf

Foegje dan de smelste tastimming ta dy’t de bedoelde nammen dekt: ien domein, of ien delegarre subdomein, yn de resolverkonfiguraasje dy’t de VPN-klanten freegje. De beskerming útskeakelje foar elke namme op dy resolver hellet de ferdigening foar allegear tagelyk fuort, ek foar de nammen dy’t it nea nedich hiene.

Split-DNS heart by deselde beslissing. As de privee nammeromte allinnich op de ynterne resolver beantwurde wurde moat, publisearje dy dêr en stopje it lekken nei publike resolvers, sadat de útsûndering ien paad dekt ynstee fan elk paad.

Test it boarnepunt en de ferdigening opnij

Freegje opnij, ferbine dan mei de tsjinst en sjoch wat de klant sjocht. In korrekt privee-antwurd mei in wurkjende sesje betsjut dat de útsûndering oanslein is. In korrekt antwurd mei in fêstrûne sesje betsjut dat de rûte of de identiteit fan de tsjinst de folgjende fertochte is.

# the internal name and the public control should behave differently
dig +short db.corp.example @10.40.0.1
dig +short www.example.com @10.40.0.1

# and the service itself, with the certificate it presents
curl -sS -o /dev/null -w '%{http_code}\n' https://db.corp.example/health

Test ek in publike namme troch deselde resolver. De beskerming moat foar nammen bûten de útsûndering noch hieltyd wurkje, en as dy kontrôle mislearret, wie de feroaring breder as bedoeld. Hâld de sertifikaatfalidaasje allegear ûnoanroerd, want in namme dy’t korrekt oplost moat noch hieltyd oerienkomme mei it sertifikaat dat de tsjinst oanbiedt.

Skriuw it wegere antwurd, it domein, de resolver en wa’t it belied hat yn it ticket. Krekt dy registraasje makket fan in mysterieuze ynterne útlêzing in konfiguraasjeferoaring dy’t immen neisjen kin.