dnsmasq zahadzuje súkromnú odpoveď DNS: je to ochrana proti rebindingu?

Firemný server DNS vracia očakávanú súkromnú adresu, a napriek tomu dotaz cez miestny preposielajúci resolver stále zlyháva. Odpoveď existuje, čo vylučuje nadradenú zónu aj samotný záznam. Zostáva krok, v ktorom sa resolver rozhoduje, či odpoveď klientovi vráti. Ak je tým resolverom dnsmasq, odmietnutie už pravdepodobne je v logu.

Prijať odpoveď a rozhodnúť sa ju vrátiť sú dva rôzne kroky.

Porovnajte rovnaký názov na oboch resolveroch

Zapíšte, ktorý resolver aplikácia skutočne používa, a presný názov hostiteľa, na ktorý sa pýta. Potom porovnajte výsledok z nadradeného servera s udalosťou preposielajúceho resolvera pre rovnaký názov. Chýbajúca odpoveď z nadradeného servera, negatívna odpoveď z vyrovnávacej pamäte a odmietnutie v logu vyžadujú tri rôzne opravy.

Adresa viditeľná v priamom diagnostickom dotaze nedokazuje, že ju aplikácia dostala svojou obvyklou cestou. Oba dotazy môžu vychádzať z rôznych resolverov alebo z toho istého resolvera podľa rôznych pravidiel. Zapíšte oba výsledky, kým začnete teoretizovať, pretože práve v tomto kroku sa jedno nahrádza druhým. Porovnanie je celá diagnóza.

Čítajte odmietnutie, nie symptóm

Voľba stop-dns-rebind v dnsmasq odmieta vyhovujúce odpovede so súkromnou adresou prijaté z nadradeného servera a pri tom ich loguje. Táto ochrana má dobrý dôvod: verejný názov, ktorý zrazu ukazuje na súkromnú adresu, je klasický útok rebinding. Zároveň sa prelína so zámerne súkromnou službou, a to je váš prípad.

Skôr než čokoľvek zmeníte, hľadajte v logu odmietnutie, pretože správa pomenúva mechanizmus.

Ak nie je žiadne odmietnutie ani odpoveď z nadradeného servera, ochrana proti rebindingu nie je váš problém a jej vypnutie by bola zmena, ktorá nič neopraví a zároveň rozšíri expozíciu. To je horšie ako pôvodná porucha, pretože odstráni kontrolu a ponechá závadu. Najprv potvrďte konkrétny riadok logu. Potom sa rozhodnite.

Obmedzte výnimku na jednu doménu

Pre overenú doménu ponúka manuál dnsmasq výnimku obmedzenú na doménu namiesto globálneho prepínača.

rebind-domain-ok=corp.example

Doména vyššie je len ilustratívna. Použite administratívnu doménu, ktorú skutočne prevádzkujete, a skôr ako voľbu použijete, pochopte rozsah jej porovnávania, pretože pravidlo prípony pokrýva viac než jeden testovaný hostiteľ. Generátor konfigurácie routera môže to isté nastavenie vystaviť vlastným ovládacím prvkom namiesto surovej direktívy. Obe cesty sú v poriadku, ak je výsledný rozsah ten zamýšľaný.

Výnimka z detekcie rebindingu robí presne jednu vec: prepustí odpovede tejto domény.

Nekonfiguruje preposielajúci server split-DNS, nesprístupní nedostupný nadradený server ani nevytvorí trasu k vrátenej adrese. Každá z týchto požiadaviek je samostatná, má vlastnú podobu zlyhania a každá zlyháva v klientovi inak.

Overte to bez odstránenia hranice

Opýtajte sa na názov hostiteľa znova cez preposielajúcu cestu a potom sa pripojte k službe s jej obvyklými kontrolami identity. Výnimka v DNS nie je dôvod prijať neočakávaný certifikát a obe poruchy sa ľahko zamentú, keď sa obe prejavia ako chyba prehliadača. Testujte názov a službu oddelene. Len jedno z nich bolo niekedy problémom DNS.

Uchovajte dôvod výnimky vedľa konfigurácie, s dátumom a zodpovednou osobou.

Skontrolujte ju znova, keď sa súkromná služba presunie alebo sa zmení doména. Globálne vypnutie ochrany by zmenilo zaobchádzanie s nesúvisiacimi odpoveďami a poruchu trasy alebo služby by aj tak nechalo na mieste, ak rebinding nikdy nebol príčinou.