dnsmasq odbacuje privatni DNS odgovor: je li to zaštita od rebindinga?

Poslužitelj DNS tvrtke vraća očekivanu privatnu adresu, a upit kroz lokalni prosljeđujući resolver ipak ne uspijeva. Odgovor postoji, što isključuje nadređenu zonu i sam zapis. Ostaje korak u kojem resolver odlučuje hoće li taj odgovor vratiti klijentu. Ako je taj resolver dnsmasq, odbijanje je vjerojatno već u zapisniku.

Primiti odgovor i odlučiti ga vratiti dva su različita koraka.

Usporedite isto ime na obama resolverima

Zapišite koji resolver aplikacija doista koristi i točno ime hosta koje traži. Zatim usporedite rezultat s nadređenog poslužitelja s događajem prosljeđujućeg resolvera za isto ime. Nedostajući odgovor odozgo, negativan odgovor iz predmemorije i odbijanje u zapisniku traže tri različita ispravka.

Adresa vidljiva u izravnom dijagnostičkom upitu ne dokazuje da ju je aplikacija primila svojim uobičajenim putem. Dva upita mogu krenuti s različitih resolvera ili s istog resolvera pod različitim pravilima. Zapišite oba rezultata prije nego počnete teoretizirati, jer se na ovom koraku jedno zamjenjuje drugim. Usporedba je cijela dijagnoza.

Čitajte odbijanje, a ne simptom

Opcija stop-dns-rebind u dnsmasq odbija valjane odgovore s privatnom adresom koji dolaze odozgo i pritom ih bilježi u zapisnik. Ta zaštita postoji s dobrim razlogom: javno ime koje odjednom pokazuje na privatnu adresu klasičan je napad rebindinga. Ona se presijeca i s namjerno privatnom uslugom, a to je vaš slučaj.

Pretražite zapisnik za odbijanjem prije nego što išta promijenite, jer poruka imenuje mehanizam.

Ako nema odbijanja ni odgovora odozgo, zaštita od rebindinga nije vaš problem, a njezino isključivanje bila bi promjena koja ništa ne popravlja i pritom povećava izloženost. To je gore od izvorne greške jer uklanja kontrolu i ostavlja kvar. Najprije potvrdite konkretan redak zapisnika. Zatim odlučite.

Ograničite iznimku na jednu domenu

Za provjerenu domenu dnsmasq priručnik nudi iznimku ograničenu na domenu umjesto globalne sklopke.

rebind-domain-ok=corp.example

Domena gore samo je primjer. Upotrijebite administrativnu domenu kojom doista upravljate i razumite opseg podudaranja opcije prije primjene, jer pravilo sufiksa pokriva više od jednog testiranog hosta. Generator konfiguracije usmjerivača može istu postavku izložiti vlastitim upravljačem umjesto sirovom direktivom. Oba su puta dobra ako je dobiveni opseg onaj koji ste namjeravali.

Iznimka od otkrivanja rebindinga čini točno jedno: propušta odgovore te domene.

Ona ne konfigurira prosljeđivač split-DNS, ne čini nedostupan nadređeni poslužitelj dostupnim i ne stvara rutu do vraćene adrese. Svaki je od tih zahtjeva zaseban, ima vlastiti potpis kvara i svaki u klijentu zataji drukčije.

Provjerite bez uklanjanja granice

Ponovno upitajte ime hosta kroz prosljeđujući put, a zatim se povežite s uslugom uz njezine uobičajene provjere identiteta. Iznimka u DNS-u nije razlog za prihvaćanje neočekivanog certifikata, a dvije je kvarove lako zamijeniti kad se oba pokažu kao pogreška preglednika. Testirajte ime i uslugu odvojeno. Samo je jedno od njih ikada bilo problem DNS-a.

Sačuvajte razlog iznimke uz konfiguraciju, s datumom i odgovornom osobom.

Provjerite je ponovno kada se privatna usluga preseli ili se domena promijeni. Globalno isključivanje zaštite promijenilo bi postupanje s nepovezanim odgovorima i ipak ostavilo kvar rute ili usluge na mjestu ako rebinding nikada nije bio uzrok.