Magacyada VPN-ka gaarka ah ma guuldareystaan? Ilaalinta DNS rebinding ayaa laga shakiyay

LAN-ka xafiiska magaca gudaha isla markiiba ayuu jawaabaa. Marka VPN-ku shidmo ayuu joojiyaa shaqada, barnaamijku wuxuu soo sheegaa waqti-dhaaf, tunnelka laftiisuna wuxuu qaadaa taraafikada isagoo aan caban. Waxa isbeddelay waa xalliyaha, xalliyahaasna waxay leeyihiin aragti ku saabsan cinwaannada gaarka ah.

Ilaalinta rebinding waxay u jirtaa inay joojiso hal khiyaano gaar ah. Magac gaar ah oo si ula kac ah loo daabacay wuxuu u eg yahay si difaacu u kaco.

Akhri jawaabta ka hor siyaasadda

Magaca wax ka weydii xalliyaha VPN-ku dhab ahaan qaybiyo, ee ma aha kan laptopkaagu guriga ku isticmaalo. Isbarbardhig jawaabta diiwaanka aad filayso, oo qor haddii jawaabtu madhan tahay, la diiday, ama ay ka buuxdo cinwaanno dadweyne oo aan qofna qorshayn.

Calaamadaha way is-dul-saaran yihiin, marka qaabka jawaabtu waa kan go'aamiya ogaanshaha. NXDOMAIN waa diiwaan maqan, REFUSED waa qaaciddo gelitaan, cinwaan dadweyne oo magac gudaha ah waa khalad siyaasad ama split-DNS, cinwaan gaar ah oo sax ah oo macmiilku isticmaali karin waa mushkilad gebi ahaan kale. Xiriir la diiday ama codsi hakaday keligiis waxba ma caddeeyo, sidaas darteed amarka koowaad ee tigidhada noocan ah waa inuu noqdaa raadin halkii dib u bilaabid. Qor jawaabta ka hor intaadan wax beddelin.

Waxa difaacu dhab ahaan joojiyo

DNS rebinding wuxuu shaqeeyaa isagoo beddela waxa magacu u xalliyo ka dib markii macmiilku hore u aaminay. Bogga waxaa laga soo rarayaa magac uu weeraryahanku maamulo, jawaabtu waxay u leexataa cinwaan gaar ah, browserkana waa la khiyaaneeyaa si uu ula hadlo wax ku yaal shabakadda maxalliga ah oo uusan waligiis aqbali lahayn xiriir toos ah. Difaacu waa in la diido jawaabaha tilmaamaya booska gaarka ah markii xalliyaha aan waligiis la weydiin inuu u adeego meel magacyo gaar ah. Isku-dheelitir la'aantaas waa weerarka oo dhan.

dnsmasq wuxuu si sax ah u diiwaangeliyay dhaqankaas, oo ay la socdaan ka-tagyo domain kasta. Buugiisa gacmeedka wuxuu rebind-domain-ok ku sharraxayaa inuu yahay dariiqa loo magacaabo domain-yada si sharci ah u soo celin kara cinwaannadaas. U akhri calaamad ah in hagaajinta loogu talagalay ay tahay fasax xaddidan, ee ma aha shidid caalami ah.

Ka-tagga ku xaddid meesha magacyada

Marka hore hagaaji meesha magacyada, ka dib ka-tagga. Xaqiiji in magaca guuldareysta uu ka tirsan yahay domain ay hay'addu maamusho iyo in diiwaanka si ula kac ah loo hayo. Cinwaan lama filaan ah oo uun u eg xad LAN la yaqaan wuxuu mudan yahay shaki, ee ma aha ka-tag, sidaas darteed hubi milkiilaha aagga ka hor intaadan qorin wax fasax ah.

# ask the resolver the VPN pushed, and show the full answer
dig +noall +answer db.corp.example @10.40.0.1
dig +short db.corp.example @10.40.0.1

# dnsmasq: what does the running configuration already allow?
grep -R 'rebind' /etc/dnsmasq.d /etc/dnsmasq.conf

Kadib ku dar fasaxa ugu cidhiidhsan ee daboolaya magacyada loogu talagalay: hal domain, ama hal subdomain la wakiishay, habaynta xalliyaha ay weydiiyaan macmiillada VPN. Daminta ilaalinta magac kasta oo xalliyahaas ku yaal waxay meesha ka saaraysaa difaaca dhammaantood hal mar, oo ay ku jiraan magacyada aan waligood u baahnayn.

Split DNS waxay ka mid tahay go'aankaas. Haddii meesha magacyada gaarka ah ay tahay inuu kaliya ka jawaabo xalliyaha gudaha, halkaas ku daabac oo jooji u daadanaya xalliyeyaasha dadweynaha, si ka-taggu u daboolo hal waddo halkii waddo kasta.

Dib u tijaabi kheyraadka iyo difaaca

Dib u weydii, ka dib ku xidh adeegga oo hubi waxa macmiilku arko. Jawaab gaar ah oo sax ah oo leh kalfadhi shaqaynaysa waxay ka dhigan tahay in ka-taggu dhaqan galay. Jawaab sax ah oo leh kalfadhi hakaday waxay ka dhigan tahay in shakiga xiga uu yahay waddada ama aqoonsiga adeegga.

# the internal name and the public control should behave differently
dig +short db.corp.example @10.40.0.1
dig +short www.example.com @10.40.0.1

# and the service itself, with the certificate it presents
curl -sS -o /dev/null -w '%{http_code}\n' https://db.corp.example/health

Sidoo kale ku tijaabi magac dadweyne isla xalliyahaas. Ilaalintu waa inay weli si sax ah u dhaqanto magacyada ka-tagga ka baxsan, haddii baaritaankaas guuldareysto isbeddelku wuxuu ahaa mid ka ballaaran kii loogu talagalay. Ha taaban xaqiijinta shahaadooyinka waqtiga oo dhan, sababtoo ah magac si sax ah u xallima wali waa inuu la jaanqaado shahaadada uu adeeggu soo bandhigo.

Tigidhka ku qor jawaabta la diiday, domainka, xalliyaha iyo cidda leh siyaasadda. Diiwaankaas ayaa beddela cilad gudaha oo qarsoodi ah isbeddel habayn oo qof ku eegi karo.