dnsmasq atmeta privatų DNS atsakymą: ar tai rebinding apsauga?

Įmonės DNS serveris grąžina laukiamą privatų adresą, o užklausa per vietinį persiuntimo resolverį vis tiek nepavyksta. Atsakymas egzistuoja, o tai atmeta aukštesnę zoną ir patį įrašą. Lieka žingsnis, kuriame resolveris nusprendžia, ar grąžinti tą atsakymą klientui. Jei tas resolveris yra dnsmasq, atmetimas tikriausiai jau yra žurnale.

Gauti atsakymą ir nuspręsti jį grąžinti yra du skirtingi žingsniai.

Palyginkite tą patį vardą abiejuose resolveriuose

Užsirašykite, kurį resolverį programa iš tikrųjų naudoja, ir tikslų prieglobos vardą, kurio klausia. Tada palyginkite rezultatą iš viršaus su persiuntimo resolverio įvykiu tam pačiam vardui. Trūkstamas atsakymas iš viršaus, neigiamas atsakymas iš podėlio ir atmetimas žurnale reikalauja trijų skirtingų pataisymų.

Adresas, matomas tiesioginėje diagnostinėje užklausoje, neįrodo, kad programa jį gavo įprastu keliu. Abi užklausos gali išeiti iš skirtingų resolverių arba iš to paties resolverio pagal skirtingas taisykles. Užsirašykite abu rezultatus prieš kurdami teorijas, nes būtent šiame žingsnyje vienas pakeičiamas kitu. Palyginimas yra visa diagnostika.

Skaitykite atmetimą, o ne simptomą

Parinktis stop-dns-rebind dnsmasq atmeta tinkamus privačius adresų atsakymus, gautus iš viršaus, ir tai darydama įrašo juos į žurnalą. Ši apsauga egzistuoja dėl geros priežasties: viešas vardas, kuris staiga nurodo privatų adresą, yra klasikinė rebinding ataka. Ji taip pat susikerta su sąmoningai privačia paslauga, o tai yra jūsų atvejis.

Prieš ką nors keisdami, ieškokite žurnale atmetimo, nes pranešimas įvardija mechanizmą.

Jei nėra nei atmetimo, nei atsakymo iš viršaus, rebinding apsauga nėra jūsų problema, o jos išjungimas būtų pokytis, kuris nieko neištaiso ir padidina pavojų. Tai blogiau nei pradinis gedimas, nes pašalina kontrolę ir palieka defektą. Pirmiausia patvirtinkite konkretų žurnalo įrašą. Tada nuspręskite.

Apribokite išimtį vienu domenu

Patvirtintam domenui dnsmasq vadovas siūlo domenu apribotą išimtį, o ne visuotinį jungiklį.

rebind-domain-ok=corp.example

Aukščiau pateiktas domenas yra tik pavyzdys. Naudokite administracinį domeną, kurį iš tikrųjų valdote, ir prieš taikydami supraskite parinkties atitikimo apimtį, nes priesagos taisyklė apima daugiau nei vieną išbandytą prieglobą. Maršrutizatoriaus konfigūracijos generatorius gali parodyti tą patį nustatymą per savo valdiklį, o ne per neapdorotą direktyvą. Abu keliai tinka, jei gauta apimtis yra ta, kurios norėjote.

Išimtis iš rebinding aptikimo daro tiksliai vieną dalyką: praleidžia to domeno atsakymus.

Ji ne konfigūruoja split-DNS persiuntėjo, nepadaro nepasiekiamo šaltinio iš viršaus pasiekiamo ir nesukuria maršruto į grąžintą adresą. Kiekvienas iš šių reikalavimų yra atskiras, turi savo gedimo požymį, ir kiekvienas kliente pasireiškia skirtingai.

Patikrinkite nepašalindami ribos

Dar kartą užklauskite prieglobos vardą persiuntimo keliu, tada prisijunkite prie paslaugos su įprastomis tapatybės patikromis. DNS išimtis nėra priežastis priimti netikėtą sertifikatą, o abu gedimus lengva supainioti, kai abu pasirodo kaip naršyklės klaida. Tikrinkite vardą ir paslaugą atskirai. Tik vienas iš jų kada nors buvo DNS problema.

Laikykite išimties priežastį šalia konfigūracijos su data ir atsakingu asmeniu.

Patikrinkite ją iš naujo, kai privati paslauga persikelia arba domenas pasikeičia. Visuotinis apsaugos išjungimas pakeistų nesusijusių atsakymų tvarkymą ir vis tiek paliktų maršruto ar paslaugos gedimą, jei rebinding niekada nebuvo priežastis.