dnsmasq verwërft eng privat DNS-Äntwert: ass et de Rebinding-Schutz?

Den DNS-Server vun der Firma gëtt déi erwaart privat Adress zréck, an trotzdeem schléit eng Ufro iwwer de lokale Weiderleetungs-Resolver feel. D'Äntwert existéiert, wat d'Zone uewendriwwer an de Rekord selwer ausschléisst. Wat bleift, ass de Schrëtt, an deem de Resolver entscheet, ob hien dës Äntwert un de Client zréckgëtt. Wann dee Resolver dnsmasq ass, dann ass d'Refus wahrscheinlech schonn am Log.

Eng Äntwert ze kréien an ze entscheeden, se zréckzeginn, sinn zwee verschidde Schrëtt.

Vergläicht deen selwechten Numm op béide Resolver

Notéiert, wéi e Resolver d'Applikatioun tatsächlech benotzt an de genauen Hostnumm, no deem se freet. Vergläicht dann d'Resultat uewendriwwer mam Evenement vum Weiderleetungs-Resolver fir deen selwechten Numm. Eng feelend Äntwert uewendriwwer, eng negativ Äntwert aus dem Cache an eng Refus am Log brauchen dräi verschidde Korrekturen.

Eng Adress, déi an enger direkter Diagnos-Ufro ze gesinn ass, beweist net, datt d'Applikatioun se iwwer hire gewéinleche Wee kritt huet. Déi zwou Ufroen kënnen aus verschiddene Resolver kommen, oder aus demselwechte Resolver ënner verschiddene Politiken. Schreift béid Resultater op, ier dir Theorien opstellt, well genau an dësem Schrëtt gëtt dat eng duerch dat anert ersat. De Verglach ass déi ganz Diagnos.

Liest d'Refus an net de Symptom

D'Optioun stop-dns-rebind vun dnsmasq verwërft entspriechend Äntwerten mat privater Adress, déi vun uewen kommen, a loggt se, wann se dat mécht. Dëse Schutz gëtt et aus engem gudde Grond: en ëffentlechen Numm, dee plötzlech op eng privat Adress verweist, ass de klassesche Rebinding-Ugrëff. Hien iwwerschneid sech awer och mat engem bewosst private Service, an dat ass Äre Fall.

Sicht d'Refus am Log, ier dir eppes ännert, well d'Noriicht nennt de Mechanismus.

Wann et weder eng Refus nach eng Äntwert uewendriwwer gëtt, dann ass de Rebinding-Schutz net Äre Problem, an en auszeschalten wier eng Ännerung, déi näischt reparéiert an d'Expositioun vergréissert. Dat ass schlëmmer wéi de urspréngleche Fehler, well en eng Kontroll ewechhëlt an de Fehler stoe léisst. Bestätegt éischt déi konkret Loglinn. Dann entscheet.

Begrenzt d'Ausnam op eng eenzeg Domain

Fir eng verifizéiert Domain bitt den dnsmasq-Handbuch eng domainbegrenzt Ausnam amplaz vun engem globale Schalter.

rebind-domain-ok=corp.example

D'Domain hei uewen ass just en Exempel. Benotzt déi administrativ Domain, déi Dir tatsächlech bedreift, a versteht de Matcher-Beräich vun der Optioun, ier Dir se applizéiert, well eng Suffixregel méi wéi deen een geteste Host deckt. De Konfiguratiounsgenerator vun engem Router kann déiselwecht Astellung iwwer seng eege Steierung ubidden amplaz iwwer eng roh Direktiv. Béid Weeër si gutt, soulaang de resultéierende Beräich dee gewollten ass.

Eng Ausnam vun der Rebinding-Erkennung mécht genee eng Saach: se léisst d'Äntwerten vun där Domain duerch.

Se konfiguréiert keen split-DNS-Weiderleeter, mécht en onereechbare Source uewendriwwer net erreechbar a schaalt och keng Route op déi zréckginn Adress. Jiddereen dovun ass eng eegen Ufuerderung mat sengem eegenen Ausfallszeechen, a jiddereen dovun versot am Client anescht.

Verifizéiert, ouni d'Grenz ze entfernen

Frot den Hostnumm nach eng Kéier iwwer de Weiderleetungswee, a verbënnt Iech dann mam Service mat senge gewéinleche Identitéitskontrollen. Eng DNS-Ausnam ass kee Grond, en onerwaart Zertifikat ze akzeptéieren, an déi zwou Feeler sinn einfach ze verwiesselen, wann se allebéid als Browserfehler optrieden. Testt den Numm an de Service getrennt. Nëmmen eng vun deenen zwou war jeemools en DNS-Problem.

Hält de Grond fir d'Ausnam nieft der Konfiguratioun fest, mat Datum a Verantwortlechem.

Kuckt se nach eng Kéier no, wann de private Service sech verleet oder d'Domain ännert. De Schutz global auszeschalten géif d'Behandlung vun ongerelateerten Äntwerten änneren an géif de Fehler an der Route oder am Service trotzdeem stoe loossen, wann Rebinding ni d'Ursaach war.