dnsmasq membuang jawapan DNS peribadi: adakah ia perlindungan rebinding?

Pelayan DNS syarikat memulangkan alamat peribadi yang dijangka, namun pertanyaan melalui penyelesai penghantaran setempat masih gagal. Jawapannya wujud, yang menyingkirkan zon di atas dan rekod itu sendiri. Yang tinggal ialah langkah tempat penyelesai memutuskan sama ada hendak memulangkan jawapan itu kepada klien. Jika penyelesai itu ialah dnsmasq, penolakannya mungkin sudah ada dalam log.

Menerima jawapan dan memilih untuk memulangkannya ialah dua langkah berbeza.

Bandingkan nama yang sama pada kedua-dua penyelesai

Catat penyelesai mana yang sebenarnya digunakan aplikasi dan nama hos tepat yang ditanyakannya. Kemudian bandingkan hasil dari atas dengan peristiwa penyelesai penghantaran untuk nama yang sama. Ketiadaan jawapan dari atas, jawapan negatif yang disimpan dalam cache dan penolakan yang direkodkan memerlukan tiga pembetulan berbeza.

Alamat yang kelihatan dalam pertanyaan diagnostik langsung tidak membuktikan aplikasi menerimanya melalui laluan biasa. Kedua-dua pertanyaan boleh keluar dari penyelesai berbeza, atau dari penyelesai yang sama di bawah dasar berbeza. Catat kedua-dua hasil sebelum membuat teori, kerana pada langkah inilah satu digantikan oleh yang lain. Perbandingan itulah keseluruhan diagnosis.

Bacalah penolakan, bukan gejalanya

Pilihan stop-dns-rebind dalam dnsmasq menolak jawapan alamat peribadi yang memenuhi syarat dari atas, dan merekodkannya apabila berbuat demikian. Perlindungan ini wujud atas sebab yang baik: nama awam yang tiba-tiba menyelesaikan kepada alamat peribadi ialah serangan rebinding klasik. Namun ia juga bersilang dengan perkhidmatan yang sengaja peribadi, dan itulah kes anda.

Cari penolakan dalam log sebelum mengubah apa-apa, kerana mesej itu menamakan mekanismenya.

Jika tiada penolakan dan tiada jawapan dari atas, perlindungan rebinding bukan masalah anda, dan mematikannya ialah perubahan yang tidak membaiki apa-apa sambil meluaskan pendedahan. Itu lebih buruk daripada kegagalan asal, kerana ia membuang satu kawalan dan membiarkan kecacatan itu. Sahkan dahulu baris log yang khusus. Kemudian putuskan.

Hadkan pengecualian kepada satu domain

Untuk domain yang disahkan, manual dnsmasq menyediakan pengecualian terbatas domain dan bukan suis global.

rebind-domain-ok=corp.example

Domain di atas hanyalah contoh. Gunakan domain pentadbiran yang benar-benar anda kendalikan, dan fahami skop pemadanan pilihan itu sebelum menerapkannya, kerana peraturan akhiran meliputi lebih daripada satu hos yang diuji. Penjana konfigurasi penghala mungkin memaparkan tetapan yang sama melalui kawalannya sendiri dan bukan arahan mentah. Kedua-dua laluan baik asalkan skop yang terhasil ialah yang anda maksudkan.

Pengecualian kepada pengesanan rebinding melakukan tepat satu perkara: ia meloloskan jawapan domain itu.

Ia tidak mengkonfigurasi penghantar split-DNS, tidak menjadikan sumber di atas yang tidak dapat dicapai sebagai boleh dicapai, dan tidak mencipta laluan ke alamat yang dipulangkan. Setiap satu daripadanya ialah keperluan berasingan dengan tandanya sendiri kegagalan, dan setiap satu gagal secara berbeza pada klien.

Sahkan tanpa membuang sempadan

Tanya semula nama hos melalui laluan penghantaran, kemudian sambung ke perkhidmatan dengan pemeriksaan identiti biasanya. Pengecualian DNS bukan alasan untuk menerima sijil tidak dijangka, dan kedua-dua kegagalan mudah dikelirukan apabila kedua-duanya muncul sebagai ralat pelayar. Uji nama dan perkhidmatan secara berasingan. Hanya satu daripadanya pernah menjadi masalah DNS.

Simpan sebab pengecualian di sebelah konfigurasi, berserta tarikh dan penanggungjawab.

Semak semula apabila perkhidmatan peribadi berpindah atau domain berubah. Mematikan perlindungan secara global akan mengubah cara jawapan tidak berkaitan dikendalikan dan tetap membiarkan kegagalan laluan atau perkhidmatan jika rebinding tidak pernah menjadi punca.