dnsmasq forkaster et privat DNS-svar: er det rebinding-beskyttelsen?

Firmaets DNS-server returnerer den forventede private adressen, og likevel feiler en spørring gjennom den lokale videresendende resolveren. Svaret finnes, noe som utelukker sonen oppstrøms og selve posten. Det som gjenstår er trinnet der resolveren avgjør om den vil gi svaret tilbake til klienten. Er den resolveren dnsmasq, står avvisningen sannsynligvis allerede i loggen.

Å motta et svar og å velge å returnere det er to forskjellige trinn.

Sammenlign samme navn på begge resolverne

Noter hvilken resolver programmet faktisk bruker, og det nøyaktige vertsnavnet det spør etter. Sammenlign deretter oppstrømsresultatet med den videresendende resolverens hendelse for samme navn. Et manglende oppstrømssvar, et bufret negativt svar og en logget avvisning krever tre forskjellige rettelser.

En adresse som er synlig i en direkte diagnostisk spørring beviser ikke at programmet mottok den via sin vanlige vei. De to spørringene kan gå ut fra forskjellige resolvere, eller fra samme resolver under ulike retningslinjer. Skriv ned begge resultatene før du teoretiserer, for det er her folk bytter ut det ene med det andre. Sammenligningen er hele diagnosen.

Les avvisningen i stedet for symptomet

dnsmasqs stop-dns-rebind-valg avviser kvalifiserende svar med private adresser som kommer oppstrøms, og logger dem når det gjør det. Beskyttelsen finnes av en god grunn: et offentlig navn som plutselig peker på en privat adresse, er det klassiske rebinding-angrepet. Den overlapper også en bevisst privat tjeneste, som er ditt tilfelle.

Søk i loggen etter avvisningen før du endrer noe, for meldingen navngir mekanismen.

Hvis det verken finnes avvisning eller oppstrømssvar, er ikke rebinding-beskyttelsen problemet ditt, og å slå den av ville være en endring som ikke retter noe og samtidig øker eksponeringen. Det er verre enn den opprinnelige feilen, fordi den fjerner en kontroll og lar feilen bli stående. Bekreft først den konkrete logglinjen. Bestem deg deretter.

Begrens unntaket til ett domene

For et verifisert domene tilbyr dnsmasq-manualen et domenebegrenset unntak i stedet for en global bryter.

rebind-domain-ok=corp.example

Domenet ovenfor er bare et eksempel. Bruk det administrative domenet du faktisk driver, og forstå treffomfanget til valget før du bruker det, for en suffiksregel dekker mer enn den ene verten du testet. Generatoren for ruterkonfigurasjon kan eksponere samme innstilling via sin egen kontroll i stedet for en rå direktiv. Begge veier er greie så lenge omfanget blir det tiltenkte.

Et unntak fra rebinding-deteksjon gjør nøyaktig én ting: det slipper svarene fra det domenet gjennom.

Det konfigurerer ikke en split-DNS-videresender, gjør ikke en utilgjengelig oppstrøm tilgjengelig og oppretter ingen rute til adressen som returneres. Hvert av disse er et eget krav med sin egen feilsignatur, og hvert feiler ulikt i klienten.

Verifiser uten å fjerne grensen

Spør etter vertsnavnet igjen gjennom videresendingsveien, og koble deretter til tjenesten med dens vanlige identitetskontroller. Et DNS-unntak er ikke grunn til å godta et uventet sertifikat, og de to feilene er lette å forveksle når begge viser seg som en nettleserfeil. Test navnet og tjenesten hver for seg. Bare én av dem var noen gang et DNS-problem.

Oppbevar grunnen til unntaket ved siden av konfigurasjonen, med dato og ansvarlig.

Sjekk det på nytt når den private tjenesten flytter eller domenet endres. Å slå av beskyttelsen globalt ville endre hvordan urelaterte svar behandles, og ville fortsatt la feilen i rute eller tjeneste stå hvis rebinding aldri var årsaken.