dnsmasq kastar eit privat DNS-svar: er det rebinding-vernet?

DNS-tenaren til firmaet returnerer den venta private adressa, og likevel feilar ei spørjing gjennom den lokale videresendande resolvaren. Svaret finst, noko som utelukkar sona oppstraums og sjølve posten. Det som står att, er steget der resolvaren avgjer om han vil gje svaret tilbake til klienten. Er resolvaren dnsmasq, står avvisinga truleg alt i loggen.

Å ta imot eit svar og å velje å gje det tilbake er to ulike steg.

Samanlikn same namn på begge resolvarane

Skriv ned kva resolvar programmet faktisk brukar, og det nøyaktige vertsnamnet det spør etter. Samanlikn så oppstraumsresultatet med hendinga til den videresendande resolvaren for same namn. Eit manglande oppstraumssvar, eit bufra negativt svar og ei logga avvising krev tre ulike rettingar.

Ei adresse som er synleg i ei direkte diagnostisk spørjing, provar ikkje at programmet fekk henne via den vanlege vegen sin. Dei to spørjingane kan gå ut frå ulike resolvarar, eller frå same resolvar under ulike retningslinjer. Skriv ned begge resultata før du teoretiserer, for det er her folk byter ut det eine med det andre. Samanlikninga er heile diagnosen.

Les avvisinga i staden for symptomet

stop-dns-rebind-valet i dnsmasq avviser kvalifiserande svar med private adresser som kjem oppstraums, og loggar dei når han gjer det. Vernet finst av ein god grunn: eit offentleg namn som plutseleg peikar på ei privat adresse, er det klassiske rebinding-åtaket. Det overlappar òg med ein medvite privat teneste, som er ditt tilfelle.

Søk i loggen etter avvisinga før du endrar noko, for meldinga namngjev mekanismen.

Viss det korkje finst avvising eller oppstraumssvar, er ikkje rebinding-vernet problemet ditt, og å slå det av ville vere ei endring som ikkje rettar noko og samstundes aukar eksponeringa. Det er verre enn den opphavlege feilen, fordi det fjernar ein kontroll og lèt feilen stå. Stadfest fyrst den konkrete logglinja. Bestem deg så.

Avgrens unntaket til eitt domene

For eit stadfesta domene gjev dnsmasq-manualen eit domenebegrensa unntak i staden for ein global brytar.

rebind-domain-ok=corp.example

Domenet ovanfor er berre eit døme. Bruk det administrative domenet du faktisk driv, og forstå treffomfanget til valet før du nyttar det, for ei suffiksregel dekkjer meir enn den eine verten du testa. Konfigurasjonsgeneratoren til ein rutar kan visa same innstillinga via sin eigen kontroll i staden for ei rå direktiv. Begge vegar er greie så lenge omfanget blir det tiltenkte.

Eit unntak frå rebinding-deteksjon gjer nøyaktig éin ting: det slepper svara frå det domenet gjennom.

Det konfigurerer ikkje ein split-DNS-videresendar, gjer ikkje ein utilgjengeleg oppstraum tilgjengeleg og opprettar ingen rute til adressa som blir returnert. Kvart av desse er eit eige krav med sin eigen feilsignatur, og kvart feilar ulikt i klienten.

Stadfest utan å fjerne grensa

Spør etter vertsnamnet igjen gjennom videresendingsvegen, og kople så til tenesta med dei vanlege identitetskontrollane hennar. Eit DNS-unntak er ikkje grunn til å godta eit uventa sertifikat, og dei to feila er lette å blande når begge viser seg som ein nettlesarfeil. Test namnet og tenesta kvar for seg. Berre éin av dei var nokon gong eit DNS-problem.

Oppbevar grunnen til unntaket ved sida av konfigurasjonen, med dato og ansvarleg.

Sjekk det på nytt når den private tenesta flyttar eller domenet blir endra. Å slå av vernet globalt ville endre korleis urelaterte svar blir handsama, og ville framleis late feilen i rute eller teneste stå om rebinding aldri var årsaka.