dnsmasq хувийн DNS хариултыг хаяж байна: rebinding хамгаалалт уу?

Компанийн DNS сервер хүлээгдэж буй хувийн хаягийг буцааж байхад орон нутгийн дамжуулах шийдвэрлэгчээр дамжсан асуулга бүтэлгүйтсээр байна. Хариулт байгаа нь дээд бүсийг болон бичлэгийг өөрийг нь үгүйсгэж байна. Шийдвэрлэгч энэ хариултыг клиентэд буцаах эсэхийг шийдэх алхам үлдлээ. Хэрэв тэр шийдвэрлэгч dnsmasq бол татгалзал бүртгэлд аль хэдийн байх магадлалтай.

Хариулт хүлээн авах, түүнийг буцаахаар сонгох нь хоёр өөр алхам.

Ижил нэрийг хоёр шийдвэрлэгч дээр харьцуулна уу

Аппликейшн яг аль шийдвэрлэгчийг ашиглаж байгаа, ямар нарийн хост нэр асууж байгааг тэмдэглэнэ үү. Дараа нь дээд талын үр дүнг дамжуулах шийдвэрлэгчийн мөн тэр нэр дээрх үйл явдалтай харьцуулна уу. Дээд талаас хариулт байхгүй, кэш дэх сөрөг хариулт, бүртгэл дэх татгалзал гэсэн гурвын засвар өөр өөр.

Шууд оношилгооны асуулгад харагдах хаяг нь аппликейшн түүнийг ердийн замаар авсан гэдгийг нотлохгүй. Хоёр асуулга өөр шийдвэрлэгчээс эсвэл нэг шийдвэрлэгчээс өөр дүрмээр гарч болно. Онол бүтээхээс өмнө хоёр үр дүнг бичиж авна уу, учир нь яг энэ алхамд нэгийг нь нөгөөгөөр сольдог. Харьцуулалт бол бүх оношилгоо.

Шинж тэмдгийг биш, татгалзлыг уншаарай

dnsmasq-ийн stop-dns-rebind сонголт нь дээд талаас ирсэн, нөхцөл хангасан хувийн хаягтай хариултыг татгалзаж, үүнийг хийхдээ бүртгэлд бичдэг. Энэ хамгаалалт сайн шалтгаантай: гэнэт хувийн хаяг руу шилжих нийтийн нэр бол сонгодог rebinding халдлага. Гэхдээ энэ нь санаатай хувийн үйлчилгээтэй ч огтлолцдог бөгөөд энэ нь таны тохиолдол.

Ямар нэгэн зүйлийг өөрчлөхөөс өмнө бүртгэлээс татгалзлыг хайна уу, учир нь мессеж механизмыг нэрлэдэг.

Татгалзал ч, дээд талын хариулт ч байхгүй бол rebinding хамгаалалт таны асуудал биш бөгөөд түүнийг унтраах нь юу ч засдаггүй, харин өртөлтийг нэмэгдүүлдэг өөрчлөлт болно. Энэ нь анхны гэмтлээс дор, учир нь хяналтыг арилгаад гэмтлийг хэвээр үлдээдэг. Эхлээд тодорхой бүртгэлийн мөрийг баталгаажуулна уу. Дараа нь шийднэ үү.

Үл хамаарах зүйлийг нэг домэйн болгон хязгаарлана уу

Баталгаажсан домэйны хувьд dnsmasq гарын авлага глобал унтраалгын оронд домэйнээр хязгаарлагдсан үл хамаарах зүйлийг санал болгодог.

rebind-domain-ok=corp.example

Дээрх домэйн зөвхөн жишээ. Өөрөө үнэхээр удирддаг административ домэйноо ашиглаж, сонголтын тохирлын хүрээг хэрэглэхээс өмнө ойлгоорой, учир нь дагавар дүрэм туршсан нэг хостоос илүүг хамардаг. Маршруулагчийн тохиргооны үүсгэгч мөн тэр тохиргоог түүхий зааварчилгааны оронд өөрийн удирдлагаар харуулж болно. Үр дүнгийн хүрээ нь зорьсон хүрээ бол л хоёр зам тохиромжтой.

Rebinding илрүүлэлтээс хийсэн үл хамаарах зүйл яг нэг зүйл хийнэ: тэр домэйны хариултыг нэвтрүүлнэ.

Энэ нь split-DNS дамжуулагчийг тохируулахгүй, хүрэх боломжгүй дээд эх сурвалжийг хүртээмжтэй болгохгүй, буцаасан хаяг руу маршрут үүсгэхгүй. Эдгээр нь тус бүр өөрийн гэмтлийн гарын үсэгтэй тусдаа шаардлага бөгөөд тус бүр клиент дээр өөрөөр бүтэлгүйтдэг.

Хилийг арилгахгүйгээр шалгана уу

Хост нэрийг дамжуулах замаар дахин асууж, дараа нь үйлчилгээнд түүний ердийн таних шалгалтуудтай холбогдоно уу. DNS үл хамаарах зүйл нь гэнэтийн сертификатыг хүлээж авах үндэслэл биш бөгөөд хоёр гэмтэл хоёулаа хөтчийн алдаа болж харагдвал амархан андуурдаг. Нэр болон үйлчилгээг тусад нь шалгана уу. Зөвхөн нэг нь л хэзээ нэгэн цагт DNS-ийн асуудал байсан.

Үл хамаарах зүйлийн шалтгааныг тохиргооны хажууд, огноо болон хариуцсан хүний хамт хадгална уу.

Хувийн үйлчилгээ нүүх эсвэл домэйн өөрчлөгдөх үед дахин шалгана уу. Хамгаалалтыг глобалаар унтраах нь хамааралгүй хариултын боловсруулалтыг өөрчлөх бөгөөд rebinding хэзээ ч шалтгаан болоогүй бол маршрут эсвэл үйлчилгээний гэмтлийг хэвээр үлдээх байсан.