Einkatengd VPN-nöfn bila? Vörnin gegn DNS-endurvarpi er grunaður

Á skrifstofunetinu svarar innra nafnið samstundis. Um leið og VPN er komið upp hættir það að virka, forritið tilkynnir tímafrest og göngin sjálf flytja umferð án kvartana. Það sem breyttist er uppflettingarþjónninn, og sá þjónn hefur skoðun á einkavistföngum.

Vörnin gegn endurvarpi er til að stöðva eitt tiltekið bragð. Viljandi útgefið einkanafn lítur nógu svipað út til að vörnin grípi inn í.

Lestu svarið áður en þú lest stefnuna

Flettaðu nafninu upp hjá þeim uppflettingarþjóni sem VPN ýtir í raun, ekki þeim sem fartölvan þín notar heima. Berðu svarið saman við skrána sem þú býst við og athugaðu hvort svarið er tómt, hafnað eða fullt af opinberum vistföngum sem enginn ráðgerði.

Einkennin skarast, svo lögun svarsins ráður greiningunni. NXDOMAIN er skrá sem vantar, REFUSED er aðgangsregla, opinbert vistfang fyrir innra nafn er stefnu- eða split-DNS-villa, og rétt einkavistfang sem biðlarinn getur ekki notað er allt annað vandamál. Hafnað tenging eða stöðvuð beiðni sannar ekkert eitt sér, sem er ástæðan fyrir því að fyrsta skipunin í öllum slíkum málum ætti að vera uppfletting en ekki endurræsing. Skrifaðu svarið niður áður en þú breytir nokkru.

Hvað vörnin stöðvar í raun

DNS-endurvarp virkar með því að breyta því í hvað nafn leysist eftir að biðlarinn hefur þegar treyst því. Síða hleðst frá nafni sem árásarmaður stjórnar, svarinu er snúið yfir í einkavistfang og vafrinn er blekktur til að tala við eitthvað á staðarnetinu sem hann hefði aldrei samþykkt beina tengingu við. Vörnin felst í að hafna svörum sem benda inn í einkarýmið þegar uppflettingarþjónsins var aldrei beðinn um að þjóna einkanafnarými. Sú ósamhverfa er öll árásin.

dnsmasq lýsir nákvæmlega þessari hegðun, ásamt undantekningum fyrir hvert lén. Í handbók sinni lýsir það rebind-domain-ok sem leiðinni til að nefna lén sem mega löglega skila slíkum vistföngum. Lestu það sem merki um að ætluð lagfæring sé afmörkuð heimild, ekki alhliða rofi.

Afmarkaðu undantekið við nafnarýmið

Lagaðu fyrst nafnarýmið, svo undantekið. Staðfestu að nafnið sem bilar tilheyri léni sem samtökin stjórna og að skráin sé viðhaldið viljandi. Óvænt vistfang sem líkist bara kunnuglegu LAN-bili á skilið grunsemdir, ekki undantekningu, svo athugaðu eiganda svæðisins áður en þú skrifar nokkra heimild.

# ask the resolver the VPN pushed, and show the full answer
dig +noall +answer db.corp.example @10.40.0.1
dig +short db.corp.example @10.40.0.1

# dnsmasq: what does the running configuration already allow?
grep -R 'rebind' /etc/dnsmasq.d /etc/dnsmasq.conf

Bættu síðan við þrengstu heimild sem nær yfir ætluðu nöfnin: eitt lén, eða eitt framselt undirlén, í uppflettingarstillingunni sem VPN-biðlararnir spyrja. Að slökkva á vörninni fyrir hvert nafn á þeim uppflettingarþjóni fjarlægir vörnina fyrir þau öll í einu, þar á meðal nöfnin sem aldrei þurftu á henni að halda.

Split DNS á heima í sömu ákvörðun. Ef einkanafnarýmið á aðeins að vera svarað á innri uppflettingarþjóninum, birtu það þar og hættu að leka því til opinberra uppflettingarþjóna, svo undantekið nái yfir eina leið í stað hverrar leiðar.

Prófaðu auðlindina og vörnina aftur

Flettaðu upp aftur, tengdu þig svo við þjónustuna og athugaðu hvað biðlarinn sér. Rétt einkasvar með vinnandi lotu þýðir að undantekið hafi komið til framkvæmda. Rétt svar með stöðvaðri lotu þýðir að leiðin eða auðkenni þjónustunnar sé næsti grunaði.

# the internal name and the public control should behave differently
dig +short db.corp.example @10.40.0.1
dig +short www.example.com @10.40.0.1

# and the service itself, with the certificate it presents
curl -sS -o /dev/null -w '%{http_code}\n' https://db.corp.example/health

Prófaðu líka opinbert nafn í gegnum sama uppflettingarþjón. Vörnin ætti áfram að haga sér rétt fyrir nöfn utan undantekningarinnar, og ef sú prófun mistekst var breytingin víðtækari en ætlað var. Haltu staðfestingu skírteina ósnortinni allan tímann, því nafn sem leysist rétt verður samt að passa við skírteinið sem þjónustan leggur fram.

Skráðu hafnaða svarið, lénið, uppflettingarþjóninn og hver á stefnuna í miðann. Sú skrá er það sem breytir dularfullu innra niðurfalli í stillingarbreytingu sem einhver getur yfirfarið.