Majina ya VPN ya kibinafsi yanashindwa? Kinga ya DNS rebinding ndiyo inayoshukiwa

Kitatuzi kinachokataa majibu ya nafasi ya kibinafsi huvunja majina ya ndani, sio handaki. Soma jibu, weka mipaka ya kibali, weka kinga mahali pengine.

Kwenye LAN ya ofisi jina la ndani hujibu papo hapo. Mara VPN inapowaka linaacha kufanya kazi, programu huripoti kuisha kwa muda, na handaki yenyewe husafirisha trafiki bila malalamiko. Kilichobadilika ni kitatuzi, na kitatuzi hicho kina maoni yake kuhusu anwani za kibinafsi.

Kinga ya rebinding ipo ili kusimamisha hila moja mahususi. Jina la kibinafsi lililochapishwa kwa makusudi linaonekana sawa vya kutosha hivi kwamba ulinzi unashika.

Soma jibu kabla ya sera

Uliza jina kwa kitatuzi ambacho VPN inasambaza kweli, sio kile ambacho kompyuta yako mkononi hutumia nyumbani. Linganisha jibu na rekodi unayotarajia, na andika kama jibu ni tupu, limekataliwa, au limejaa anwani za umma ambazo hakuna aliyepanga.

Dalili zinaingiliana, kwa hiyo umbo la jibu huamua utambuzi. NXDOMAIN ni rekodi inayokosekana, REFUSED ni kanuni ya ufikiaji, anwani ya umma kwa jina la ndani ni hitilafu ya sera au split-DNS, na anwani ya kibinafsi sahihi ambayo mteja hawezi kuitumia ni tatizo tofauti kabisa. Muunganisho uliokataliwa au ombi lililokwama halithibitishi chochote peke yake, ndiyo sababu amri ya kwanza katika tiketi kama hizo inapaswa kuwa utafutaji na sio kuwasha upya. Andika jibu kabla ya kubadilisha chochote.

Ulinzi huzuia nini kwa kweli

DNS rebinding hufanya kazi kwa kubadilisha jina linatatuliwa kwenda wapi baada ya mteja kuwa tayari ameliamini. Ukurasa hupakiwa kutoka jina linalodhibitiwa na mshambuliaji, jibu hupinduka kwenda anwani ya kibinafsi, na kivinjari hudanganywa kuzungumza na kitu kwenye mtandao wa ndani ambacho kingekuwa hakiwezi kukubali muunganisho wa moja kwa moja. Ulinzi ni kukataa majibu yanayoelekeza kwenye nafasi ya kibinafsi wakati kitatuzi hakikuombwa kamwe kuhudumia nafasi ya majina ya kibinafsi. Utengano huo ndio shambulio lote.

dnsmasq huandika tabia hiyo hasa, pamoja na vipengele maalum kwa kila kikoa. Katika mwongozo wake inaeleza rebind-domain-ok kama njia ya kutaja vikoa vinavyoweza kurudisha anwani kama hizo kwa halali. Soma hilo kama ishara kwamba marekebisho yaliyokusudiwa ni idhini yenye mipaka, sio swichi ya jumla.

Weka mipaka ya kibali kwenye nafasi ya majina

Rekebisha kwanza nafasi ya majina, kisha kibali. Thibitisha kwamba jina linaloshindwa ni la kikoa kinachodhibitiwa na shirika na kwamba rekodi inatunzwa kwa makusudi. Anwani isiyotarajiwa inayofanana tu na kipimo kinachojulikana cha LAN inastahili shaka, sio kibali, kwa hiyo angalia mmiliki wa eneo kabla ya kuandika idhini yoyote.

# ask the resolver the VPN pushed, and show the full answer
dig +noall +answer db.corp.example @10.40.0.1
dig +short db.corp.example @10.40.0.1

# dnsmasq: what does the running configuration already allow?
grep -R 'rebind' /etc/dnsmasq.d /etc/dnsmasq.conf

Kisha ongeza idhini nyembamba zaidi inayofunika majina yaliyokusudiwa: kikoa kimoja, au kikoa kimoja kidogo kilichokabidhiwa, katika usanidi wa kitatuzi unaoulizwa na wateja wa VPN. Kuzima ulinzi kwa kila jina kwenye kitatuzi hicho huondoa ulinzi kwa wote mara moja, ikiwemo majina ambayo hayakuhitaji kamwe.

Split DNS ni sehemu ya uamuzi huo. Ikiwa nafasi ya majina ya kibinafsi inapaswa kujibiwa tu kwenye kitatuzi cha ndani, ichapishe hapo na acha kuivujisha kwa vitatuzi vya umma, ili kibali kifunike njia moja badala ya kila njia.

Pima upya rasilimali na ulinzi

Uliza tena, kisha unganisha na huduma na angalia kile mteja anachokiona. Jibu sahihi la kibinafsi lenye kipindi kinachofanya kazi linamaanisha kibali kilifanya kazi. Jibu sahihi lenye kipindi kilichokwama linamaanisha mshukiwa anayefuata ni njia au utambulisho wa huduma.

# the internal name and the public control should behave differently
dig +short db.corp.example @10.40.0.1
dig +short www.example.com @10.40.0.1

# and the service itself, with the certificate it presents
curl -sS -o /dev/null -w '%{http_code}\n' https://db.corp.example/health

Pima pia jina la umma kupitia kitatuzi hicho hicho. Ulinzi unapaswa bado kujiendesha sawa kwa majina yaliyo nje ya kibali, na ikiwa ukaguzi huo unashindwa mabadiliko yalikuwa mapana kuliko yaliyokusudiwa. Usiguse uthibitishaji wa vyeti wakati wote, kwa sababu jina linalotatuliwa sawa bado linapaswa kuendana na cheti ambacho huduma inawasilisha.

Andika kwenye tiketi jibu lililokataliwa, kikoa, kitatuzi na nani anamiliki sera. Rekodi hiyo ndiyo inayobadilisha hitilafu ya ndani isiyoeleweka kuwa mabadiliko ya usanidi ambayo mtu anaweza kuyapitia.

Makala zinazohusiana