Privat VPN-Nimm funktionéiert net? De Schutz virum DNS-Rebinding ass verdächteg

E Resolver, deen Äntwerten aus dem private Beräich refuséiert, brécht intern Nimm, net den Tunnel. Liest d'Äntwert, begrenz d'Ausnam, behält de Schutz soss.

Am Büro-LAN äntwert den internen Numm sofort. Soubal de VPN ugeschalt ass, hält en op ze funktionéieren, d'Applikatioun mellt en Timeout, an den Tunnel selwer transportéiert den Traffic ouni ze klacken. Wat sech geännert huet, ass de Resolver, an dee Resolver huet eng Meenung iwwer privat Adressen.

De Schutz virum Rebinding existéiert, fir een bestëmmten Trick ze stoppen. E bewosst publizéierten privat Numm gesäit ähnlech genuch aus, datt d'Verdeedegung ausléist.

Liest d'Äntwert ier s du d'Politik liest

Frot den Numm beim Resolver, deen de VPN tatsächlech verdeelt, net deen, deen dengen Laptop doheem benotzt. Vergläich d'Äntwert mat dem Rekord, deen s du erwaart, a notéier ob d'Äntwert eidel, refuséiert oder volle öffentlechen Adressen ass, déi kee geplangt hat.

D'Symptomer iwwerlappen sech, dofir entscheet d'Form vun der Äntwert iwwer d'Diagnos. En NXDOMAIN ass e fehlende Rekord, e REFUSED ass eng Zougriffsregel, eng öffentlech Adress fir en internen Numm ass e Politik- oder Split-DNS-Fehler, an eng korrekt privat Adress, déi de Client net ka benotzen, ass eng komplett aner Problematik. Eng refuséiert Verbindung oder eng hänke bliwwen Ufro beweist eleng näischt, dofir sollt déi éischt Kommando an esou Ticketen eng Ufro sinn an net en Neistart. Schreif d'Äntwert op, ier s du eppes änderst.

Wat d'Verdeedegung tatsächlech stoppt

DNS-Rebinding funktionéiert, andeems en ännert, op wat en Numm sech opléist, nodeems de Client him schonn vertraut huet. Eng Säit luedt vun engem Numm, deen den Ugräifer kontrolléiert, d'Äntwert kippt op eng privat Adress, an de Browser gëtt bedreet, mat eppes am lokalen Netz ze schwätzen, mat deem en ni eng direkt Verbindung akzeptéiert hätt. D'Verdeedegung besteet doran, Äntwerten ze refuséieren, déi an de private Raum weisen, wann de Resolver ni gefrot gouf, en private Nummraum ze déngen. Déi Asymmetrie ass deen ganzen Ugrëff.

dnsmasq dokumentéiert genee dat Verhalen, zesumme mat Ausname pro Domain. A senger Manuel beschreift en rebind-domain-ok als de Wee, fir Domainen ze nennen, déi esou Adressen legal kënnen zréckschécken. Liest dat als Zeechen, datt de geduechte Fix eng begrenzt Erlabnes ass an net e globale Schalter.

Begrenz d'Ausnam op den Nummraum

Fixéier fir d'éischt den Nummraum, dann d'Ausnam. Bestäteg, datt den Numm, deen net funktionéiert, zu enger Domain gehéiert, déi d'Organisatioun kontrolléiert, an datt de Rekord bewosst ënnerhal gëtt. Eng onerwaart Adress, déi nëmmen engem bekannten LAN-Beräich gläicht, verdéngt Misstrauen an net eng Ausnam, dofir kontrolléier den Eegentemer vun der Zone, ier s du eng Erlabnes schreifs.

# ask the resolver the VPN pushed, and show the full answer
dig +noall +answer db.corp.example @10.40.0.1
dig +short db.corp.example @10.40.0.1

# dnsmasq: what does the running configuration already allow?
grep -R 'rebind' /etc/dnsmasq.d /etc/dnsmasq.conf

Dann setz déi schmuelst Erlabnes derbäi, déi déi geduecht Nimm deckt: eng Domain oder eng delegéiert Subdomain, an der Resolver-Konfiguratioun, déi d'VPN-Cliente froen. De Schutz fir all Numm op deem Resolver auszeschalten, hëlt d'Verdeedegung fir all gläichzäiteg ewech, och fir d'Nimm, déi en ni gebraucht hunn.

Split DNS gehéiert an déiselwecht Entscheedung. Wann de privat Nummraum just um internen Resolver soll geäntwert ginn, publizéier en do a hal s op, en op déi öffentlech Resolver ze leeden, sou datt d'Ausnam ee Wee deckt an net all Wee.

Test d'Ressource an d'Verdeedegung nei

Frot nach eng Kéier, verbann dech dann mam Service a kontrolléier, wat de Client gesäit. Eng korrekt privat Äntwert mat enger funktionéierender Sessioun bedeit, datt d'Ausnam ukomm ass. Eng korrekt Äntwert mat enger hänke bliwwener Sessioun bedeit, datt d'Route oder d'Identitéit vum Service déi nächst Verdächteg ass.

# the internal name and the public control should behave differently
dig +short db.corp.example @10.40.0.1
dig +short www.example.com @10.40.0.1

# and the service itself, with the certificate it presents
curl -sS -o /dev/null -w '%{http_code}\n' https://db.corp.example/health

Test och en öffentlechen Numm duerch dee selwechte Resolver. De Schutz soll sech fir Nimm ausserhalb vun der Ausnam nach ëmmer richteg verhalen, a wann dee Check feelt, war d'Ännerung méi wäit wéi geduecht. Halt d'Zertifikatsvalidéierung déi ganzen Zäit onverännert, well en Numm, deen sech richteg opléist, nach ëmmer mam Zertifikat muss iwwerenee stëmmen, dee de Service presentéiert.

Schreif déi refuséiert Äntwert, d'Domain, de Resolver a wien d'Politik huet an den Ticket. Dee Rekord ass et, wat eng mysteriéis intern Stéierung an eng Konfiguratiounsännerung verwandelt, déi een iwwerkucke kann.

Ähnlech Artikelen