පෞද්ගලික VPN නාම අසාර්ථකද? සැකකරු DNS රීබයින්ඩ් ආරක්ෂාවයි

කාර්යාල LAN තුළ අභ්‍යන්තර නාමය වහාම පිළිතුරු දෙයි. VPN සක්‍රීය වූ මොහොතේ එය ක්‍රියා කිරීම නවතී, යෙදුම කාල ඉක්මවීමක් වාර්තා කරයි, ටනලයම පැමිණිලි නොකර ගමන් ප්‍රවාහය ගෙන යයි. වෙනස් වූයේ විසඳන්නාය, එම විසඳන්නාට පෞද්ගලික ලිපින ගැන තමන්ගේම මතයක් ඇත.

රීබයින්ඩ් ආරක්ෂාව ඇත්තේ එක් නිශ්චිත උපායක් නැවැත්වීමටය. හිතාමතා ප්‍රකාශිත පෞද්ගලික නාමය ආරක්ෂාව ක්‍රියාත්මක වන තරමට සමාන ලෙස පෙනේ.

ප්‍රතිපත්තියට පෙර පිළිතුර කියවන්න

VPN සැබවින්ම බෙදාහරින විසඳන්නාගෙන් නාමය අසන්න, ඔබේ ලැප්ටොප් නිවසේ භාවිතා කරන එකෙන් නොව. ඔබ බලාපොරොත්තු වන වාර්තාව සමඟ පිළිතුර සසඳන්න, සහ පිළිතුර හිස්ද, ප්‍රතික්ෂේපද, නැතහොත් කිසිවෙකු සැලසුම් නොකළ පොදු ලිපිනවලින් පිරී ඇත්ද යන්න සටහන් කරන්න.

රෝග ලක්ෂණ එකිනෙක මත ලාංඡන වේ, එබැවින් නිර්ණය තීරණය කරන්නේ පිළිතුරේ හැඩයයි. NXDOMAIN යනු නැති වූ වාර්තාවකි, REFUSED යනු ප්‍රවේශ නියමයකි, අභ්‍යන්තර නාමයකට පොදු ලිපිනයක් යනු ප්‍රතිපත්ති හෝ split-DNS දෝෂයකි, සහ සේවාදායකයාට භාවිත කළ නොහැකි නිවැරදි පෞද්ගලික ලිපිනයක් සම්පූර්ණයෙන්ම වෙනත් ගැටලුවකි. ප්‍රතික්ෂේප වූ සම්බන්ධතාවයක් හෝ නතර වූ ඉල්ලීමක් තනිව කිසිවක් ඔප්පු නොකරයි, එබැවින් එවැනි ටිකට්වල පළමු විධානය නැවත ආරම්භ කිරීම නොව සෙවීම විය යුතුය. කිසිවක් වෙනස් කිරීමට පෙර පිළිතුර ලියා තබන්න.

ආරක්ෂාව සැබවින්ම නවත්වන්නේ කුමක්ද

DNS රීබයින්ඩ් ක්‍රියා කරන්නේ සේවාදායකයා දැනටමත් නාමය විශ්වාස කළ පසු එය විසඳෙන දිශාව වෙනස් කිරීමෙනි. පිටුවක් ප්‍රහාරකයාගේ පාලනයේ ඇති නාමයකින් පූරණය වේ, පිළිතුර පෞද්ගලික ලිපිනයකට හැරෙයි, සහ බ්‍රව්සරය සෘජු සම්බන්ධතාවයක් කිසිදා පිළිගන්නා නොතිබූ දේශීය ජාලයේ යමක් සමඟ කතා කිරීමට රවටනු ලැබේ. ආරක්ෂාව යනු විසඳන්නාගෙන් පෞද්ගලික නාම අවකාශයක් සේවය කරන ලෙස කිසිදා නොඉල්ලූ විට පෞද්ගලික අවකාශයට යොමු වන පිළිතුරු ප්‍රතික්ෂේප කිරීමයි. එම අසමමිතිය මුළු ප්‍රහාරයයි.

dnsmasq හරියටම එම හැසිරීම, ඩොමේන් අනුව ව්‍යතිරේක සමඟ ලේඛනගත කරයි. එහි අත්පොතෙහි එවැනි ලිපින නීත්‍යානුකූලව ආපසු දිය හැකි ඩොමේන් නම් කිරීමේ ක්‍රමය ලෙස rebind-domain-ok විස්තර කරයි. අපේක්ෂිත නිවැරදි කිරීම සීමිත අවසරයක් මිස ගෝලීය ස්විචයක් නොවන බවට සංඥාවක් ලෙස එය කියවන්න.

ව්‍යතිරේකය නාම අවකාශයට සීමා කරන්න

මුලින්ම නාම අවකාශය නිවැරදි කරන්න, පසුව ව්‍යතිරේකය. අසාර්ථක වන නාමය සංවිධානය පාලනය කරන ඩොමේනයකට අයත් බවත් වාර්තාව හිතාමතා නඩත්තු කරන බවත් තහවුරු කරන්න. හුරුපුරුදු LAN පරාසයකට සමාන පමණක් වන අනපේක්ෂිත ලිපිනයක් ව්‍යතිරේකයක් නොව සැකයට සුදුසුය, එබැවින් කිසිදු අවසරයක් ලිවීමට පෙර කලාපයේ හිමිකරු පරීක්ෂා කරන්න.

# ask the resolver the VPN pushed, and show the full answer
dig +noall +answer db.corp.example @10.40.0.1
dig +short db.corp.example @10.40.0.1

# dnsmasq: what does the running configuration already allow?
grep -R 'rebind' /etc/dnsmasq.d /etc/dnsmasq.conf

පසුව අපේක්ෂිත නාම ආවරණය කරන පටුම අවසරය එක් කරන්න: එක් ඩොමේනයක්, හෝ එක් පැවරූ උප ඩොමේනයක්, VPN සේවාදායකයන් විමසන විසඳන්නා සැකසුම තුළ. එම විසඳන්නා මත සෑම නාමයකටම ආරක්ෂාව අක්‍රිය කිරීම ඒ සියල්ලටම එකවර ආරක්ෂාව ඉවත් කරයි, කිසිදා අවශ්‍ය නොවූ නාම ඇතුළුව.

Split DNS එකම තීරණයට අයත් වේ. පෞද්ගලික නාම අවකාශය පිළිතුරු දිය යුත්තේ අභ්‍යන්තර විසඳන්නාට පමණක් නම්, එය එහි ප්‍රකාශයට පත් කර පොදු විසඳන්නන් වෙත එය කාන්දු වීම නවත්වන්න, එවිට ව්‍යතිරේකය සෑම මාර්ගයක්ම නොව එක් මාර්ගයක් ආවරණය කරයි.

සම්පත් සහ ආරක්ෂාව නැවත පරීක්ෂා කරන්න

නැවත අසන්න, පසුව සේවාවට සම්බන්ධ වී සේවාදායකයා දකින දේ පරීක්ෂා කරන්න. ක්‍රියාකාරී සැසියක් සමඟ නිවැරදි පෞද්ගලික පිළිතුරක් යනු ව්‍යතිරේකය බලාත්මක වූ බවයි. නතර වූ සැසියක් සමඟ නිවැරදි පිළිතුරක් යනු ඊළඟ සැකකරු මාර්ගය හෝ සේවාවේ අනන්‍යතාවයයි.

# the internal name and the public control should behave differently
dig +short db.corp.example @10.40.0.1
dig +short www.example.com @10.40.0.1

# and the service itself, with the certificate it presents
curl -sS -o /dev/null -w '%{http_code}\n' https://db.corp.example/health

එම විසඳන්නා හරහා පොදු නාමයක්ද පරීක්ෂා කරන්න. ව්‍යතිරේකයෙන් පිටත නාම සඳහා ආරක්ෂාව තවමත් නිවැරදිව හැසිරිය යුතුය, එම පරීක්ෂාව අසාර්ථක නම් වෙනස අපේක්ෂිත ප්‍රමාණයෙන් ඔබ්බට ගොස් ඇත. සහතික වලංගුකරණය පුරාම නොසලකා නොහරින්න, මන්ද නිවැරදිව විසඳෙන නාමයක් වුවද සේවාව ඉදිරිපත් කරන සහතිකයට ගැළපිය යුතුය.

ප්‍රතික්ෂේප වූ පිළිතුර, ඩොමේනය, විසඳන්නා සහ ප්‍රතිපත්තියේ හිමිකරු කවුද යන්න ටිකට් එකේ සටහන් කරන්න. එම වාර්තාවයි අභිරහස් අභ්‍යන්තර බිඳවැටීමක් යමෙකුට සමාලෝචනය කළ හැකි වින්‍යාස වෙනසක් බවට පත් කරන්නේ.