dnsmasq hedh poshtë një përgjigje private DNS: a është mbrojtja anti-rebinding?

Serveri DNS i kompanisë kthen adresën private të pritur, dhe megjithatë një kërkesë përmes resolverit lokal të përcjelljes dështon. Përgjigja ekziston, gjë që përjashton zonën më lart dhe vetë regjistrimin. Mbetet hapi ku resolveri vendos nëse do ta kthejë atë përgjigje te klienti. Nëse ai resolver është dnsmasq, refuzimi ndoshta është tashmë në regjistër.

Marrja e një përgjigjeje dhe zgjedhja për ta kthyer atë janë dy hapa të ndryshëm.

Krahasoni të njëjtin emër në të dy resolverët

Shënoni cilin resolver përdor në të vërtetë aplikacioni dhe emrin e saktë të hostit që kërkon. Më pas krahasoni rezultatin nga lart me ngjarjen e resolverit të përcjelljes për të njëjtin emër. Një përgjigje që mungon nga lart, një përgjigje negative e ruajtur në cache dhe një refuzim i regjistruar kërkojnë tre korrigjime të ndryshme.

Një adresë e dukshme në një kërkesë diagnostike të drejtpërdrejtë nuk provon se aplikacioni e mori atë në rrugën e tij të zakonshme. Të dyja kërkesat mund të nisen nga resolverë të ndryshëm, ose nga i njëjti resolver sipas rregullave të ndryshme. Shënoni të dyja rezultatet para se të bëni teori, sepse pikërisht në këtë hap njëra zëvendësohet me tjetrën. Krahasimi është e gjithë diagnoza.

Lexoni refuzimin, jo simptomën

Opsioni stop-dns-rebind në dnsmasq refuzon përgjigjet me adresë private që plotësojnë kushtet dhe vijnë nga lart, dhe i regjistron kur e bën. Kjo mbrojtje ekziston për një arsye të mirë: një emër publik që papritur zgjidhet në një adresë private është sulmi klasik i rebinding. Ajo kryqëzohet edhe me një shërbim qëllimisht privat, dhe ky është rasti juaj.

Kërkoni refuzimin në regjistër përpara se të ndryshoni çdo gjë, sepse mesazhi emërton mekanizmin.

Nëse nuk ka as refuzim as përgjigje nga lart, mbrojtja anti-rebinding nuk është problemi juaj, dhe çaktivizimi i saj do të ishte një ndryshim që nuk rregullon asgjë dhe zgjeron ekspozimin. Kjo është më keq se defekti fillestar, sepse heq një kontroll dhe e lë defektin. Konfirmoni fillimisht rreshtin konkret të regjistrit. Më pas vendosni.

Kufizoni përjashtimin në një domen të vetëm

Për një domen të verifikuar, manuali i dnsmasq ofron një përjashtim të kufizuar në domen në vend të një çelësi global.

rebind-domain-ok=corp.example

Domeni më sipër është vetëm shembull. Përdorni domenin administrativ që administroni vërtet dhe kuptoni shtrirjen e përputhjes së opsionit përpara se ta zbatoni, sepse një rregull prapashtese mbulon më shumë se një host i testuar. Gjeneratori i konfigurimit të routerit mund të ekspozojë të njëjtin cilësim përmes kontrollit të vetë në vend të një direktive të papërpunuar. Të dyja rrugët janë në rregull, mjafton që shtrirja e marrë të jetë ajo e synuar.

Një përjashtim nga zbulimi i rebinding bën saktësisht një gjë: lejon të kalojnë përgjigjet e atij domeni.

Ai nuk konfiguron një përcjellës split-DNS, nuk e bën të arritshëm një burim të paarritshëm nga lart dhe nuk krijon një rrugë drejt adresës së kthyer. Secila prej këtyre është një kërkesë më vete, me shenjën e vet të defektit, dhe secila dështon ndryshe te klienti.

Verifikoni pa e hequr kufirin

Pyetni përsëri emrin e hostit përmes rrugës së përcjelljes dhe më pas lidhuni me shërbimin me kontrollet e tij të zakonshme të identitetit. Një përjashtim DNS nuk është arsye për të pranuar një certifikatë të papritur, dhe të dyja defektet ngatërrohen lehtë kur të dyja shfaqen si gabim i shfletuesit. Testoni emrin dhe shërbimin veçmas. Vetëm njëri prej tyre ishte ndonjëherë problem DNS.

Mbani arsyen e përjashtimit pranë konfigurimit, me datë dhe person përgjegjës.

Rikontrollojeni kur shërbimi privat zhvendoset ose domeni ndryshon. Çaktivizimi global i mbrojtjes do të ndryshonte trajtimin e përgjigjeve të palidhura dhe gjithsesi do ta linte defektin e rrugës ose të shërbimit në vend, nëse rebinding nuk ishte kurrë shkaku.