dnsmasq zavrne zasebni odgovor DNS: je to zaščita pred rebindingom?

Podjetniški strežnik DNS vrne pričakovani zasebni naslov, pa vendar poizvedba prek lokalnega posredovalnega resolverja še vedno ne uspe. Odgovor obstaja, kar izključuje nadrejeno območje in sam zapis. Ostane korak, v katerem se resolver odloča, ali bo odgovor vrnil odjemalcu. Če je ta resolver dnsmasq, je zavrnitev verjetno že v dnevniku.

Prejeti odgovor in se odločiti, da ga vrnete, sta dva različna koraka.

Primerjajte isto ime na obeh resolverjih

Zapišite, kateri resolver aplikacija dejansko uporablja, in točno ime gostitelja, po katerem sprašuje. Nato primerjajte rezultat z nadrejenega strežnika z dogodkom posredovalnega resolverja za isto ime. Manjkajoč odgovor od zgoraj, negativen odgovor iz predpomnilnika in zavrnitev v dnevniku zahtevajo tri različne popravke.

Naslov, viden v neposredni diagnostični poizvedbi, ne dokazuje, da ga je aplikacija prejela po svoji običajni poti. Poizvedbi lahko izhajata iz različnih resolverjev ali iz istega resolverja pod različnimi pravilniki. Zapišite oba rezultata, preden začnete teoretizirati, saj na tem koraku ljudje enega nadomestijo z drugim. Primerjava je celotna diagnoza.

Berite zavrnitev, ne simptoma

Možnost stop-dns-rebind v dnsmasq zavrne ustrezne odgovore z zasebnim naslovom, ki pridejo od zgoraj, in jih pri tem zapiše v dnevnik. Ta zaščita ima dober razlog: javno ime, ki nenadoma kaže na zasebni naslov, je klasičen napad rebinding. Prepleta pa se tudi z namenoma zasebno storitvijo, kar je vaš primer.

Preden karkoli spremenite, poiščite v dnevniku zavrnitev, saj sporočilo poimenuje mehanizem.

Če ni zavrnitve in ni odgovora od zgoraj, zaščita pred rebindingom ni vaš problem, in če bi jo izklopili, bi bila to sprememba, ki ne odpravi ničesar in hkrati poveča izpostavljenost. To je slabše od prvotne okvare, ker odstrani nadzor in pusti napako. Najprej potrdite konkretno vrstico dnevnika. Nato se odločite.

Omejite izjemo na eno domeno

Za preverjeno domeno priročnik dnsmasq ponuja izjemo, omejeno na domeno, namesto globalnega stikala.

rebind-domain-ok=corp.example

Domena zgoraj je le ponazoritev. Uporabite skrbniško domeno, ki jo res upravljate, in pred uporabo razumejte obseg ujemanja možnosti, ker pravilo pripone pokriva več kot enega preizkušenega gostitelja. Generator konfiguracije usmerjevalnika lahko isto nastavitev izpostavi prek svojega krmilnika namesto s surovo direktivo. Obe poti sta v redu, če je nastali obseg tisti, ki ste ga nameravali.

Izjema pri zaznavanju rebindinga naredi natanko eno: spusti odgovore te domene skozi.

Ne nastavi posredovalnika split-DNS, ne naredi nedosegljivega nadrejenega strežnika dosegljivega in ne ustvari poti do vrnjenega naslova. Vsaka od teh zahtev je ločena in ima svoj podpis okvare, vsaka pa v odjemalcu odpove drugače.

Preverite, ne da bi odstranili mejo

Ponovno vprašajte za ime gostitelja po posredovalni poti in se nato povežite s storitvijo z njenimi običajnimi preverjanji identitete. Izjema DNS ni razlog za sprejetje nepričakovanega potrdila, obe okvari pa je lahko zamenjati, ko se obe pokažeta kot napaka brskalnika. Preizkusite ime in storitev ločeno. Le eno od obeh je bilo kdaj težava DNS.

Razlog za izjemo shranite ob konfiguraciji, z datumom in odgovorno osebo.

Znova jo preverite, ko se zasebna storitev preseli ali se domena spremeni. Globalni izklop zaščite bi spremenil obravnavo nepovezanih odgovorov in bi okvaro poti ali storitve vseeno pustil na mestu, če rebinding nikoli ni bil vzrok.