dnsmasq membuang jawaban DNS privat: apakah ini perlindungan rebinding?

Server DNS perusahaan mengembalikan alamat privat yang diharapkan, namun kueri melalui resolver penerusan lokal tetap gagal. Jawabannya ada, yang menyingkirkan zona di atas dan record itu sendiri. Yang tersisa adalah langkah tempat resolver memutuskan apakah akan mengembalikan jawaban itu ke klien. Jika resolver itu adalah dnsmasq, penolakannya mungkin sudah ada di log.

Menerima jawaban dan memilih mengembalikannya adalah dua langkah berbeda.

Bandingkan nama yang sama di kedua resolver

Catat resolver mana yang sebenarnya dipakai aplikasi dan nama host persis yang ditanyakannya. Lalu bandingkan hasil dari atas dengan peristiwa resolver penerusan untuk nama yang sama. Tidak adanya jawaban dari atas, jawaban negatif yang tersimpan di cache, dan penolakan yang tercatat menuntut tiga perbaikan berbeda.

Alamat yang terlihat dalam kueri diagnostik langsung tidak membuktikan aplikasi menerimanya lewat jalur biasanya. Kedua kueri bisa keluar dari resolver berbeda, atau dari resolver yang sama di bawah kebijakan berbeda. Catat kedua hasil sebelum berteori, karena di langkah inilah yang satu digantikan oleh yang lain. Perbandingan itulah seluruh diagnosis.

Bacalah penolakannya, bukan gejalanya

Opsi stop-dns-rebind dnsmasq menolak jawaban alamat privat yang memenuhi syarat dari atas, dan mencatatnya saat melakukannya. Perlindungan ini ada karena alasan bagus: nama publik yang tiba-tiba mengarah ke alamat privat adalah serangan rebinding klasik. Namun ia juga bersinggungan dengan layanan yang sengaja privat, dan itulah kasus Anda.

Cari penolakan di log sebelum mengubah apa pun, karena pesannya menyebut mekanismenya.

Jika tidak ada penolakan dan tidak ada jawaban dari atas, perlindungan rebinding bukan masalah Anda, dan mematikannya akan menjadi perubahan yang tidak memperbaiki apa pun sekaligus memperluas paparan. Itu lebih buruk daripada kegagalan awal, karena menghapus sebuah kendali dan membiarkan cacatnya. Pastikan dulu baris log yang spesifik. Baru kemudian putuskan.

Batasi pengecualian ke satu domain

Untuk domain yang terverifikasi, manual dnsmasq menyediakan pengecualian terbatas domain alih-alih sakelar global.

rebind-domain-ok=corp.example

Domain di atas hanyalah contoh. Gunakan domain administratif yang benar-benar Anda kelola, dan pahami cakupan pencocokan opsi sebelum menerapkannya, karena aturan sufiks mencakup lebih dari satu host yang diuji. Generator konfigurasi router dapat menampilkan pengaturan yang sama lewat kendalinya sendiri alih-alih direktif mentah. Kedua jalur sama baiknya asalkan cakupan yang dihasilkan adalah yang Anda maksud.

Pengecualian terhadap deteksi rebinding melakukan tepat satu hal: meloloskan jawaban domain itu.

Ia tidak mengonfigurasi penerus split-DNS, tidak membuat sumber di atas yang tak terjangkau menjadi terjangkau, dan tidak membuat rute ke alamat yang dikembalikan. Masing-masing adalah persyaratan terpisah dengan tanda kegagalannya sendiri, dan masing-masing gagal secara berbeda di klien.

Verifikasi tanpa menghapus batasnya

Tanyakan lagi nama host lewat jalur penerusan, lalu sambungkan ke layanan dengan pemeriksaan identitas biasanya. Pengecualian DNS bukan alasan menerima sertifikat tak terduga, dan kedua kegagalan mudah tertukar ketika keduanya muncul sebagai kesalahan peramban. Uji nama dan layanan secara terpisah. Hanya satu di antaranya yang pernah menjadi masalah DNS.

Simpan alasan pengecualian di samping konfigurasi, lengkap dengan tanggal dan penanggung jawab.

Periksa ulang saat layanan privat berpindah atau domain berubah. Mematikan perlindungan secara global akan mengubah penanganan jawaban tak terkait dan tetap membiarkan kegagalan rute atau layanan bila rebinding tidak pernah menjadi penyebabnya.