A dnsmasq eldobja a privát DNS-választ: a rebinding-védelem áll a háttérben?

A vállalat DNS-kiszolgálója visszaadja a várt privát címet, a helyi továbbító feloldón keresztüli lekérdezés mégis meghiúsul. A válasz létezik, ami kizárja a felső zónát és magát a rekordot. Marad az a lépés, amelyben a feloldó eldönti, visszaadja-e a választ az ügyfélnek. Ha ez a feloldó a dnsmasq, az elutasítás valószínűleg már ott van a naplóban.

Választ kapni és a visszaadásáról dönteni két különböző lépés.

Hasonlítsa össze ugyanazt a nevet mindkét feloldón

Jegyezze fel, melyik feloldót használja valójában az alkalmazás, és a pontos gépnevet, amire kérdez. Ezután hasonlítsa össze a felső eredményt a továbbító feloldó ugyanarra a névre vonatkozó eseményével. A hiányzó felső válasz, a gyorsítótárazott negatív válasz és a naplózott elutasítás három különböző javítást igényel.

A közvetlen diagnosztikai lekérdezésben látható cím nem bizonyítja, hogy az alkalmazás a szokásos útvonalán kapta meg. A két lekérdezés indulhat különböző feloldóktól, vagy ugyanattól a feloldótól eltérő szabályok mellett. Írja le mindkét eredményt, mielőtt elméleteket gyárt, mert ebben a lépésben szokás az egyiket a másikkal helyettesíteni. Az összehasonlítás maga a diagnózis.

Az elutasítást olvassa, ne a tünetet

A dnsmasq stop-dns-rebind beállítása elutasítja a felülről érkező, megfelelő privát című válaszokat, és közben naplózza is őket. Ennek a védelemnek jó oka van: egy nyilvános név, amely hirtelen privát címre mutat, a klasszikus rebinding-támadás. Ugyanakkor szándékosan privát szolgáltatással is ütközik, és ez az ön esete.

Mielőtt bármit módosítana, keresse meg az elutasítást a naplóban, mert az üzenet megnevezi a mechanizmust.

Ha nincs elutasítás és nincs felső válasz, a rebinding-védelem nem az ön problémája, és a kikapcsolása olyan változtatás lenne, amely semmit nem javít, miközben növeli a kitettséget. Ez rosszabb az eredeti hibánál, mert eltávolít egy védelmet, és a hibát otthagyja. Először igazolja a konkrét naplósort. Utána döntsön.

Szűkítse a kivételt egyetlen domainre

Egy ellenőrzött domain esetében a dnsmasq kézikönyve domainre korlátozott kivételt kínál globális kapcsoló helyett.

rebind-domain-ok=corp.example

A fenti domain csak példa. Azt az adminisztratív domaint használja, amelyet valóban üzemeltet, és a beállítás alkalmazása előtt értse meg annak egyeztetési hatókörét, mert az utótagra vonatkozó szabály többet fed le, mint az az egy tesztelt gép. Az útválasztó konfigurációgenerátora ugyanezt a beállítást a saját vezérlőjén keresztül is kínálhatja nyers direktíva helyett. Mindkét út rendben van, ha a kapott hatókör a szándékolt.

A rebinding-érzékelés alóli kivétel pontosan egy dolgot tesz: átengedi annak a domainnek a válaszait.

Nem állít be split-DNS továbbítót, nem tesz elérhetővé egy elérhetetlen felső kiszolgálót, és nem hoz létre útvonalat a visszaadott címhez. Ezek mindegyike külön követelmény saját hibaalakzattal, és mindegyik másképp hibázik az ügyfélben.

Ellenőrizze a határ eltávolítása nélkül

Kérdezze le újra a gépnevet a továbbítási útvonalon, majd csatlakozzon a szolgáltatáshoz annak szokásos identitásellenőrzéseivel. A DNS-kivétel nem ok arra, hogy elfogadjon egy váratlan tanúsítványt, és a két hiba könnyen összekeverhető, amikor mindkettő böngészőhibaként jelenik meg. A nevet és a szolgáltatást külön tesztelje. Csak az egyikük volt valaha DNS-probléma.

Tartsa a kivétel okát a konfiguráció mellett, dátummal és felelőssel.

Ellenőrizze újra, ha a privát szolgáltatás átköltözik, vagy a domain megváltozik. A védelem globális kikapcsolása megváltoztatná a nem kapcsolódó válaszok kezelését, és az útvonal vagy szolgáltatás hibáját akkor is helyben hagyná, ha a rebinding soha nem volt az ok.