dnsmasq odbacuje privatni DNS odgovor: je li kriva zaštita od rebindinga?

Poslužitelj DNS kompanije vraća očekivanu privatnu adresu, a upit kroz lokalni prosljeđujući resolver ipak ne uspijeva. Odgovor postoji, što isključuje nadređenu zonu i sam zapis. Ostaje korak u kojem resolver odlučuje hoće li taj odgovor vratiti klijentu. Ako je taj resolver dnsmasq, odbijanje je vjerovatno već u dnevniku.

Primiti odgovor i odlučiti ga vratiti dva su različita koraka.

Uporedite isto ime na oba resolvera

Zapišite koji resolver aplikacija zaista koristi i tačno ime hosta koje traži. Zatim uporedite rezultat odozgo sa događajem prosljeđujućeg resolvera za isto ime. Nedostajući odgovor odozgo, negativan odgovor iz keša i odbijanje u dnevniku traže tri različita ispravka.

Adresa vidljiva u izravnom dijagnostičkom upitu ne dokazuje da ju je aplikacija primila svojim uobičajenim putem. Dva upita mogu krenuti s različitih resolvera ili s istog resolvera pod različitim pravilima. Zapišite oba rezultata prije nego počnete teoretizirati, jer se na ovom koraku jedno zamjenjuje drugim. Poređenje je cijela dijagnoza.

Čitajte odbijanje, a ne simptom

Opcija stop-dns-rebind u dnsmasq odbija valjane odgovore s privatnom adresom koji dolaze odozgo i pritom ih bilježi u dnevnik. Ta zaštita postoji s dobrim razlogom: javno ime koje odjednom pokazuje na privatnu adresu klasičan je napad rebindinga. Ona se presijeca i sa namjerno privatnom uslugom, a to je vaš slučaj.

Pretražite dnevnik za odbijanjem prije nego što išta promijenite, jer poruka imenuje mehanizam.

Ako nema odbijanja ni odgovora odozgo, zaštita od rebindinga nije vaš problem, a njeno isključivanje bila bi promjena koja ništa ne popravlja i pritom povećava izloženost. To je gore od izvorne greške jer uklanja kontrolu i ostavlja kvar. Najprije potvrdite konkretan redak dnevnika. Zatim odlučite.

Ograničite izuzetak na jednu domenu

Za provjerenu domenu dnsmasq priručnik nudi izuzetak ograničen na domenu umjesto globalne sklopke.

rebind-domain-ok=corp.example

Domena gore je samo primjer. Upotrijebite administrativnu domenu kojom zaista upravljate i razumite obim podudaranja opcije prije primjene, jer pravilo sufiksa pokriva više od jednog testiranog hosta. Generator konfiguracije usmjerivača može istu postavku izložiti vlastitim upravljačem umjesto sirovom direktivom. Oba su puta dobra ako je dobiveni obim onaj koji ste namjeravali.

Izuzetak od otkrivanja rebindinga čini tačno jedno: propušta odgovore te domene.

Ona ne konfiguriše prosljeđivač split-DNS, ne čini nedostupan nadređeni poslužitelj dostupnim i ne stvara rutu do vraćene adrese. Svaki je od tih zahtjeva zaseban, ima vlastiti potpis kvara i svaki u klijentu zakaže drukčije.

Provjerite bez uklanjanja granice

Ponovo upitajte ime hosta kroz prosljeđujući put, a zatim se povežite s uslugom uz njene uobičajene provjere identiteta. Izuzetak u DNS-u nije razlog za prihvatanje neočekivanog certifikata, a dva je kvara lako zamijeniti kad se oba pokažu kao greška preglednika. Testirajte ime i uslugu odvojeno. Samo je jedno od njih ikada bilo problem DNS-a.

Sačuvajte razlog izuzetka uz konfiguraciju, s datumom i odgovornom osobom.

Provjerite je ponovo kada se privatna usluga preseli ili se domena promijeni. Globalno isključivanje zaštite promijenilo bi postupanje s nepovezanim odgovorima i ipak ostavilo kvar rute ili usluge na mjestu ako rebinding nikada nije bio uzrok.