Ainmneacha príobháideacha VPN ag teip? Is é cosaint rebind DNS an t-amhras

Ar LAN na hoifige freagraíonn an t-ainm inmheánach láithreach. An nóiméad a bhíonn an VPN suas stopann sé ag obair, tuairiscíonn an feidhmchlár teorainn ama, agus tá an tollán féin ag cur tráchta tríd gan gearán. Is é an réiteoir a d’athraigh, agus tá tuairim ag an réiteoir sin faoi sheoltaí príobháideacha.

Tá cosaint rebind ann chun cleas amháin ar leith a stopadh. Breathnaíonn ainm príobháideach a foilsíodh d’aon ghnó cosúil go leor agus scaoiltear an chosaint.

Léigh an freagra sula léann tú an polasaí

Fiafraigh den ainm ón réiteoir a bhrúnn an VPN i ndáiríre, ní ón gceann a úsáideann do ríomhaire glúine sa bhaile. Cuir an freagra i gcomparáid leis an taifead a bhfuil súil agat leis, agus tabhair faoi deara an bhfuil an freagra folamh, diúltaithe nó lán de sheoltaí poiblí nár phleanáil aon duine.

Forluíonn na hairíonna, mar sin cinneann cruth an fhreagra an diagnóis. Is é NXDOMAIN taifead atá ar iarraidh, is é REFUSED riail rochtana, is é seoladh poiblí d’ainm inmheánach earráid pholasaí nó DNS scoilte, agus is fíor-fhadhb eile ar fad é seoladh príobháideach ceart nach féidir leis an gcliant a úsáid. Ní chruthaíonn nasc diúltaithe ná iarraidh stoptha aon rud ann féin, agus is ar an ábhar sin ba cheart gurbh é an chéad ordú in aon cheann de na ticéid seo cuardach seachas atosú. Scríobh an freagra síos sula n-athraíonn tú aon rud.

Cad a stopann an chosaint i ndáiríre

Oibríonn rebind DNS trí athrú a dhéanamh ar a réitíonn ainm tar éis don chliant muinín a bheith aige ann cheana. Luchtaítear leathanach ó ainm atá faoi smacht an ionsaitheora, casann an freagra go seoladh príobháideach, agus mealltar an brabhsálaí chun labhairt le rud éigin ar an líonra áitiúil nach nglacfadh sé riamh le nasc díreach leis. Is í an chosaint ná freagraí a dhiúltú a dhíríonn isteach sa spás príobháideach nuair nár iarradh ar an réiteoir riamh spás ainmneacha príobháideach a fhreastal. Is é an neamhshiméadracht sin an t-ionsaí ar fad.

Déanann dnsmasq an t-iompar sin a dhoiciméadú go beacht, mar aon le heisceachtaí de réir fearainn. Cuireann a leathanach láimhleabhair síos ar rebind-domain-ok mar an bealach chun fearainn a ainmniú a fhéadann a leithéid de sheoltaí a thabhairt ar ais go dlisteanach. Léigh é sin mar chomhartha gurb é is réiteach beartaithe ann ceadúnas teoranta, ní lasc dhomhanda.

Cuir teorainn leis an eisceacht sa spás ainmneacha

Deisigh an spás ainmneacha ar dtús, ansin an eisceacht. Deimhnigh gur le fearann atá faoi smacht na heagraíochta an t-ainm atá ag teip agus go gcoinnítear an taifead d’aon ghnó. Tá seoladh gan choinne nach bhfuil ann ach cosúil le raon aithnidiúil LAN tuillte ag an amhras, ní ag eisceacht, mar sin seiceáil úinéir an chrios sula scríobhann tú aon cheadúnas.

# ask the resolver the VPN pushed, and show the full answer
dig +noall +answer db.corp.example @10.40.0.1
dig +short db.corp.example @10.40.0.1

# dnsmasq: what does the running configuration already allow?
grep -R 'rebind' /etc/dnsmasq.d /etc/dnsmasq.conf

Ansin cuir leis an gceadúnas is cúinge a chlúdaíonn na hainmneacha beartaithe: fearann amháin, nó fo-fhearann tarmligthe amháin, i gcumraíocht an réiteora a fhiafraíonn cliaint VPN de. Má mhúchtar an chosaint do gach ainm ar an réiteoir sin, baintear an chosaint de gach ceann acu ag an am céanna, lena n-áirítear na hainmneacha nár theastaigh sí riamh uathu.

Baineann DNS scoilte leis an gcinneadh céanna. Más ar an réiteoir inmheánach amháin ba cheart freagra a thabhairt ar an spás ainmneacha príobháideach, foilsigh é ansin agus stop ag sceitheadh chuig réiteoirí poiblí, ionas go gclúdóidh an eisceacht cosán amháin in ionad gach cosáin.

Ath-thástáil an acmhainn agus an chosaint

Fiafraigh arís, ansin ceangail leis an tseirbhís agus féach cad a fheiceann an cliant. Ciallaíonn freagra príobháideach ceart le seisiún atá ag obair gur éirigh leis an eisceacht. Ciallaíonn freagra ceart le seisiún stoptha gurb é an cosán nó céannacht na seirbhíse an chéad amhras eile.

# the internal name and the public control should behave differently
dig +short db.corp.example @10.40.0.1
dig +short www.example.com @10.40.0.1

# and the service itself, with the certificate it presents
curl -sS -o /dev/null -w '%{http_code}\n' https://db.corp.example/health

Tástáil ainm poiblí tríd an réiteoir céanna freisin. Ba cheart don chosaint feidhmiú fós d’ainmneacha lasmuigh den eisceacht, agus má theipeann ar an seiceáil sin, bhí an t-athrú níos leithne ná mar a bhí beartaithe. Coinnigh bailíochtú an teastais gan teagmháil i rith an ama, mar caithfidh ainm a réitíonn i gceart teacht fós leis an teastas a chuirtear i láthair na seirbhíse.

Taifead sa ticéad an freagra diúltaithe, an fearann, an réiteoir agus cé a shealbhaíonn an polasaí. Is é an taifead sin a iompaíonn briseadh inmheánach mistéireach ina athrú cumraíochta ar féidir le duine éigin é a athbhreithniú.