dnsmasq தனிப்பட்ட DNS பதிலை வீசுகிறது: காரணம் rebinding பாதுகாப்பா?

நிறுவனத்தின் DNS சேவையகம் எதிர்பார்க்கப்பட்ட தனிப்பட்ட முகவரியைத் திருப்பித் தருகிறது, இருந்தாலும் உள்ளூர் முன்னனுப்பு தீர்வியின் வழியே வினவல் தோல்வியடைகிறது. பதில் உள்ளது, இது மேல்நிலை மண்டலத்தையும் பதிவையும் விலக்குகிறது. எஞ்சுவது தீர்வி இந்தப் பதிலை வாடிக்கையாளருக்குத் திருப்பித் தரலாமா எனத் தீர்மானிக்கும் படிநிலை. அந்தத் தீர்வி dnsmasq ஆக இருந்தால், நிராகரிப்பு ஏற்கனவே பதிவில் இருக்க வாய்ப்புள்ளது.

பதிலைப் பெறுவதும் அதைத் திருப்பித் தரத் தேர்வு செய்வதும் இரண்டு வெவ்வேறு படிநிலைகள்.

இரண்டு தீர்விகளிலும் அதே பெயரை ஒப்பிடுங்கள்

பயன்பாடு உண்மையில் எந்தத் தீர்வியைப் பயன்படுத்துகிறது, எந்தத் துல்லியமான புரவலன் பெயரைக் கேட்கிறது என்பதைப் பதிவு செய்யுங்கள். பிறகு மேல்நிலை முடிவை அதே பெயருக்கான முன்னனுப்பு தீர்வியின் நிகழ்வுடன் ஒப்பிடுங்கள். மேலிருந்து பதில் இல்லாதது, தற்காலிகச் சேமிப்பில் உள்ள எதிர்மறைப் பதில், பதிவில் உள்ள நிராகரிப்பு ஆகிய மூன்றும் வெவ்வேறு திருத்தங்களைக் கோருகின்றன.

நேரடிப் பரிசோதனை வினவலில் தெரியும் முகவரி, பயன்பாடு அதை அதன் வழக்கமான பாதையில் பெற்றது என்பதை நிரூபிக்காது. இரண்டு வினவல்களும் வெவ்வேறு தீர்விகளிலிருந்து அல்லது ஒரே தீர்வியிலிருந்து வெவ்வேறு கொள்கைகளுடன் புறப்படலாம். கோட்பாடு கற்பனை செய்வதற்கு முன் இரண்டு முடிவுகளையும் எழுதுங்கள், ஏனெனில் இந்தப் படிநிலையில்தான் ஒன்று மற்றொன்றால் இடம்பெயர்கிறது. ஒப்பீடே முழுப் பரிசோதனை.

அறிகுறியை அல்ல, நிராகரிப்பைப் படியுங்கள்

dnsmasq இன் stop-dns-rebind விருப்பம், மேலிருந்து வரும் நிபந்தனைகளைப் பூர்த்தி செய்யும் தனிப்பட்ட முகவரிப் பதில்களை நிராகரித்து, அவ்வாறு செய்யும்போது அவற்றைப் பதிவு செய்கிறது. இந்தப் பாதுகாப்பு நல்ல காரணத்திற்காக உள்ளது: திடீரென தனிப்பட்ட முகவரிக்குத் தீரும் பொது பெயரே வழக்கமான rebinding தாக்குதல். ஆனால் இது வேண்டுமென்றே தனிப்பட்ட சேவையுடனும் மோதுகிறது, அதுவே உங்கள் நிலை.

எதையும் மாற்றும் முன் பதிவில் நிராகரிப்பைத் தேடுங்கள், ஏனெனில் செய்தி இயங்குமுறையின் பெயரைக் கூறுகிறது.

நிராகரிப்பும் இல்லை, மேலிருந்து பதிலும் இல்லை என்றால், rebinding பாதுகாப்பு உங்கள் பிரச்சினை அல்ல, அதை அணைப்பது எதையும் சரிசெய்யாத, ஆபத்தை விரிவாக்கும் மாற்றமாக இருக்கும். இது மூலக் குறையை விட மோசம், ஏனெனில் ஒரு கட்டுப்பாட்டை நீக்கி குறையை அப்படியே விடுகிறது. முதலில் குறிப்பிட்ட பதிவு வரியை உறுதிப்படுத்துங்கள். பிறகு முடிவு செய்யுங்கள்.

விதிவிலக்கை ஒரே டொமைனுக்கு மட்டுப்படுத்துங்கள்

சரிபார்க்கப்பட்ட டொமைனுக்கு dnsmasq கையேடு உலகளாவிய விசைக்குப் பதிலாக டொமைன்-மட்டுப்படுத்தப்பட்ட விதிவிலக்கை வழங்குகிறது.

rebind-domain-ok=corp.example

மேலே உள்ள டொமைன் ஒரு எடுத்துக்காட்டு மட்டுமே. நீங்கள் உண்மையில் நிர்வகிக்கும் நிர்வாக டொமைனைப் பயன்படுத்துங்கள், விருப்பத்தைப் பயன்படுத்தும் முன் அதன் பொருந்தும் எல்லையைப் புரிந்து கொள்ளுங்கள், ஏனெனில் பின்னொட்டு விதி நீங்கள் சோதித்த ஒரு புரவலனை விட அதிகத்தை உள்ளடக்குகிறது. திசைவியின் கட்டமைப்பு உருவாக்கி அதே அமைப்பை மூல கட்டளைக்குப் பதிலாக அதன் சொந்தக் கட்டுப்பாட்டின் வழியே காட்டலாம். இதன் விளைவு எல்லை நீங்கள் நோக்கியதாக இருந்தால் இரு வழிகளும் சரியே.

rebinding கண்டறிதலில் இருந்து ஒரு விதிவிலக்கு சரியாக ஒரு காரியத்தைச் செய்கிறது: அந்த டொமைனின் பதில்களைக் கடக்க விடுகிறது.

அது split-DNS முன்னனுப்பியை அமைக்காது, அணுக முடியாத மேல்நிலை மூலத்தை அணுகக்கூடியதாக்காது, திருப்பித் தரப்பட்ட முகவரிக்கு வழித்தடத்தையும் உருவாக்காது. இவை ஒவ்வொன்றும் தனித்தனி தேவை, அதற்கே உரிய தோல்வி அடையாளத்துடன், ஒவ்வொன்றும் வாடிக்கையாளரில் வெவ்வேறாகத் தோல்வியடைகிறது.

எல்லையை நீக்காமல் சரிபாருங்கள்

புரவலன் பெயரை மீண்டும் முன்னனுப்பு பாதையில் கேளுங்கள், பிறகு சேவையுடன் அதன் வழக்கமான அடையாளச் சரிபார்ப்புகளுடன் இணையுங்கள். DNS விதிவிலக்கு எதிர்பாராத சான்றிதழை ஏற்கக் காரணமல்ல, இரண்டு தோல்விகளும் உலாவி பிழையாகத் தோன்றும்போது எளிதில் குழப்பமடையும். பெயரையும் சேவையையும் தனித்தனியாகச் சோதியுங்கள். அவற்றில் ஒன்று மட்டுமே எப்போதாவது DNS பிரச்சினையாக இருந்தது.

விதிவிலக்கிற்கான காரணத்தை கட்டமைப்பின் அருகில், தேதி மற்றும் பொறுப்பாளருடன் சேமியுங்கள்.

தனிப்பட்ட சேவை இடம் மாறும்போது அல்லது டொமைன் மாறும்போது மீண்டும் சரிபாருங்கள். பாதுகாப்பை உலகளவில் அணைப்பது தொடர்பற்ற பதில்களின் கையாளுதலை மாற்றும், rebinding ஒருபோதும் காரணமாக இல்லாவிட்டாலும் வழித்தடம் அல்லது சேவைக் குறையை அப்படியே விட்டுவிடும்.