dnsmasq descarta unha resposta DNS privada: é a protección contra o rebinding?

O servidor DNS da empresa devolve o enderezo privado agardado e, aínda así, unha consulta a través do resolutor de reenvío local falla. A resposta existe, o que descarta a zona de arriba e o propio rexistro. Queda o paso no que o resolutor decide se devolve esa resposta ao cliente. Se ese resolutor é dnsmasq, o rexeitamento probablemente xa está no rexistro.

Recibir unha resposta e escoller devolvela son dous pasos diferentes.

Compare o mesmo nome nos dous resolutores

Anote que resolutor usa realmente a aplicación e o nome de host exacto que consulta. Despois compare o resultado de arriba co evento do resolutor de reenvío para o mesmo nome. Unha resposta ausente de arriba, unha resposta negativa na caché e un rexeitamento rexistrado requiren tres correccións distintas.

Un enderezo visible nunha consulta de diagnóstico directa non demostra que a aplicación o recibise polo seu camiño habitual. As dúas consultas poden saír de resolutores distintos, ou do mesmo resolutor con políticas distintas. Anote os dous resultados antes de teorizar, porque é neste paso onde se substitúe un polo outro. A comparación é todo o diagnóstico.

Lea o rexeitamento e non o síntoma

A opción stop-dns-rebind do dnsmasq rexeita as respostas de enderezo privado que cumpren os requisitos e chegan de arriba, e rexístraas cando o fai. Esta protección existe por un bo motivo: un nome público que de súpeto se resolve nun enderezo privado é o ataque de rebinding clásico. Tamén se cruza cun servizo deliberadamente privado, e ese é o seu caso.

Busque o rexeitamento no rexistro antes de cambiar nada, porque a mensaxe nomea o mecanismo.

Se non hai rexeitamento nin resposta de arriba, a protección contra o rebinding non é o seu problema, e desactivala sería un cambio que non arranxa nada e amplía a exposición. É peor que o fallo orixinal, porque retira un control e deixa o defecto. Confirme primeiro a liña de rexistro concreta. Despois decida.

Limite a excepción a un só dominio

Para un dominio verificado, o manual do dnsmasq ofrece unha excepción limitada ao dominio en lugar dun interruptor global.

rebind-domain-ok=corp.example

O dominio de arriba só é un exemplo. Use o dominio administrativo que realmente xestiona, e entenda o alcance de coincidencia da opción antes de aplicala, porque unha regra de sufixo cobre máis que o único host probado. O xerador de configuración dun encamiñador pode expor o mesmo axuste desde o seu propio control en lugar dunha directiva crua. Os dous camiños valen se o alcance resultante é o que quería.

Unha excepción á detección de rebinding fai exactamente unha cousa: deixa pasar as respostas dese dominio.

Non configura ningún reenviador de split-DNS, non fai accesible unha orixe de arriba inaccesible nin crea ningunha ruta cara ao enderezo devolto. Cada un destes é un requisito separado coa súa propia sinatura de fallo, e cada un falla de xeito distinto no cliente.

Verifique sen eliminar a fronteira

Volva consultar o nome de host polo camiño de reenvío e despois conecte co servizo coas súas comprobacións de identidade habituais. Unha excepción DNS non é motivo para aceptar un certificado inesperado, e os dous fallos confúndense con facilidade cando ambos aparecen como un erro do navegador. Probe o nome e o servizo por separado. Só un dos dous foi algunha vez un problema de DNS.

Garde o motivo da excepción xunto á configuración, con data e responsable.

Volva comprobalo cando o servizo privado se mova ou o dominio cambie. Desactivar a protección globalmente cambiaría o trato de respostas non relacionadas e aínda deixaría o fallo de ruta ou de servizo se o rebinding nunca foi a causa.