dnsmasq atmet privātu DNS atbildi: vai vainojama rebinding aizsardzība?

Uzņēmuma DNS serveris atgriež gaidīto privāto adresi, un tomēr vaicājums caur vietējo pārsūtīšanas resolveri joprojām neizdodas. Atbilde pastāv, kas izslēdz augšējo zonu un pašu ierakstu. Paliek solis, kurā resolveris izlemj, vai atgriezt šo atbildi klientam. Ja šis resolveris ir dnsmasq, noraidījums, iespējams, jau ir žurnālā.

Saņemt atbildi un izlemt to atgriezt ir divi dažādi soļi.

Salīdziniet to pašu nosaukumu abos resolveros

Pierakstiet, kuru resolveri lietotne faktiski izmanto, un precīzo resursdatora nosaukumu, ko tā vaicā. Pēc tam salīdziniet rezultātu no augšas ar pārsūtīšanas resolvera notikumu tam pašam nosaukumam. Trūkstoša atbilde no augšas, negatīva atbilde no kešatmiņas un noraidījums žurnālā prasa trīs dažādus labojumus.

Adrese, kas redzama tiešā diagnostikas vaicājumā, nepierāda, ka lietotne to saņēma ierastajā ceļā. Abi vaicājumi var nākt no dažādiem resolveriem vai no viena resolvera ar atšķirīgiem noteikumiem. Pierakstiet abus rezultātus, pirms veidojat teorijas, jo tieši šajā solī vienu aizstāj ar otru. Salīdzinājums ir visa diagnostika.

Lasiet noraidījumu, nevis simptomu

Opcija stop-dns-rebind dnsmasq noraida atbilstošas privāto adrešu atbildes, kas nāk no augšas, un to darot ieraksta tās žurnālā. Šai aizsardzībai ir labs iemesls: publisks nosaukums, kas pēkšņi norāda uz privātu adresi, ir klasiskais rebinding uzbrukums. Tā arī krustojas ar tīši privātu pakalpojumu, un tas ir jūsu gadījums.

Pirms kaut ko maināt, meklējiet žurnālā noraidījumu, jo ziņojums nosauc mehānismu.

Ja nav ne noraidījuma, ne atbildes no augšas, rebinding aizsardzība nav jūsu problēma, un tās izslēgšana būtu izmaiņa, kas neko nelabo un palielina pakļautību. Tas ir sliktāk par sākotnējo kļūmi, jo noņem kontroli un atstāj defektu. Vispirms apstipriniet konkrēto žurnāla rindu. Pēc tam izlemiet.

Ierobežojiet izņēmumu ar vienu domēnu

Apstiprinātam domēnam dnsmasq rokasgrāmata piedāvā domēnam ierobežotu izņēmumu, nevis globālu slēdzi.

rebind-domain-ok=corp.example

Iepriekš minētais domēns ir tikai piemērs. Izmantojiet administratīvo domēnu, kuru jūs patiešām pārvaldāt, un pirms opcijas lietošanas saprotiet tās atbilstības diapazonu, jo sufiksa noteikums aptver vairāk nekā vienu pārbaudīto resursdatoru. Maršrutētāja konfigurācijas ģenerators var parādīt to pašu iestatījumu ar savu vadīklu, nevis ar neapstrādātu direktīvu. Abi ceļi ir piemēroti, ja iegūtais diapazons ir tas, ko vēlējāties.

Izņēmums no rebinding noteikšanas dara tieši vienu: laiž cauri šī domēna atbildes.

Tas ne konfigurē split-DNS pārsūtītāju, nepadara nesasniedzamu augšējo avotu sasniedzamu un neveido maršrutu uz atgriezto adresi. Katra no šīm prasībām ir atsevišķa, tai ir sava kļūmes pazīme, un katra klientā izpaužas citādi.

Pārbaudiet, nenoņemot robežu

Vēlreiz vaicājiet resursdatora nosaukumu pa pārsūtīšanas ceļu un pēc tam pieslēdzieties pakalpojumam ar tā parastajām identitātes pārbaudēm. DNS izņēmums nav iemesls pieņemt negaidītu sertifikātu, un abas kļūmes ir viegli sajaukt, kad abas parādās kā pārlūka kļūda. Pārbaudiet nosaukumu un pakalpojumu atsevišķi. Tikai viens no tiem kādreiz bija DNS problēma.

Glabājiet izņēmuma iemeslu blakus konfigurācijai, ar datumu un atbildīgo personu.

Pārbaudiet to vēlreiz, kad privātais pakalpojums pārceļas vai domēns mainās. Globāla aizsardzības izslēgšana mainītu nesaistītu atbilžu apstrādi un joprojām atstātu maršruta vai pakalpojuma kļūmi, ja rebinding nekad nebija iemesls.