dnsmasq отфрла приватен DNS одговор: дали е виновна заштитата од rebinding?

DNS серверот на компанијата ја враќа очекуваната приватна адреса, а сепак барањето преку локалниот препраќачки резолвер сè уште не успева. Одговорот постои, што ја исклучува горната зона и самиот запис. Останува чекорот во кој резолверот одлучува дали ќе го врати тој одговор на клиентот. Ако тој резолвер е dnsmasq, одбивањето веројатно веќе е во дневникот.

Да примите одговор и да одлучите да го вратите се два различни чекори.

Споредете го истото име на двата резолвери

Запишете кој резолвер апликацијата навистина го користи и точното име на домаќинот што го бара. Потоа споредете го резултатот од горе со настанот на препраќачкиот резолвер за истото име. Недостапен одговор од горе, негативен одговор од кешот и одбивање во дневникот бараат три различни поправки.

Адреса видлива во директно дијагностичко барање не докажува дека апликацијата ја добила по својот вообичаен пат. Двете барања може да тргнат од различни резолвери или од истиот резолвер под различни правила. Запишете ги двата резултати пред да теоретизирате, зашто токму на овој чекор едното се заменува со другото. Споредбата е целата дијагноза.

Читајте го одбивањето, а не симптомот

Опцијата stop-dns-rebind во dnsmasq одбива соодветни одговори со приватна адреса што доаѓаат од горе и притоа ги запишува во дневникот. Таа заштита постои со добра причина: јавно име што одеднаш покажува на приватна адреса е класичниот rebinding напад. Таа се пресекува и со намерно приватна услуга, а тоа е вашиот случај.

Пребарајте го дневникот за одбивањето пред да промените нешто, зашто пораката го именува механизмот.

Ако нема одбивање и нема одговор од горе, заштитата од rebinding не е вашиот проблем, а нејзиното исклучување би било промена што ништо не поправа и притоа ја проширува изложеноста. Тоа е полошо од првичната грешка, зашто отстранува контрола и го остава дефектот. Најпрво потврдете го конкретниот ред во дневникот. Потоа одлучете.

Ограничете го исклучокот на еден домен

За проверен домен, прирачникот на dnsmasq нуди исклучок ограничен на доменот наместо глобален прекинувач.

rebind-domain-ok=corp.example

Доменот погоре е само пример. Користете го административниот домен што навистина го управувате и разберете го опсегот на совпаѓање на опцијата пред да ја примените, зашто правилото за суфикс покрива повеќе од еден тестиран домаќин. Генераторот на конфигурација на рутерот може да ја изложи истата поставка преку сопствена контрола наместо преку сурова директива. Двата пата се добри ако добиениот опсег е оној што сте го намеравале.

Исклучокот од откривањето на rebinding прави точно едно: ги пропушта одговорите на тој домен.

Тој не конфигурира препраќач за split-DNS, не прави недостапен извор од горе да биде достапен и не создава рута до вратената адреса. Секое од овие е посебно барање со сопствен потпис на дефект и секое не успева поинаку кај клиентот.

Проверете без да ја отстраните границата

Прашајте го името на домаќинот повторно по патот на препраќање, а потоа поврзете се со услугата со нејзините вообичаени проверки на идентитет. Исклучок во DNS не е причина да прифатите неочекуван сертификат, а двата дефекта лесно се мешаат кога обата се појавуваат како грешка во прелистувачот. Тестирајте го името и услугата одделно. Само едното од двете некогаш било DNS проблем.

Чувајте ја причината за исклучокот до конфигурацијата, со датум и одговорно лице.

Проверете го повторно кога приватната услуга се сели или доменот се менува. Глобалното исклучување на заштитата би го променило третманот на неповрзани одговори и сепак би го оставило дефектот во рутата или услугата ако rebinding никогаш не бил причината.