தனியுரிமை VPN பெயர்கள் தோல்வியடைகிறதா? சந்தேகம் DNS ரீபைண்ட் பாதுகாப்பு மீது

அலுவலக LAN-இல் உள் பெயர் உடனடியாகப் பதிலளிக்கிறது. VPN இயக்கப்பட்ட நொடியில் அது செயல்படுவதை நிறுத்துகிறது, பயன்பாடு நேர முடிவைத் தெரிவிக்கிறது, சுரங்கப்பாதை தானே புகாரின்றி போக்குவரத்தைக் கடத்துகிறது. மாறியது தீர்வி, அந்தத் தீர்விக்கு தனியுரிமை முகவரிகள் குறித்து அதன் சொந்தக் கருத்து உண்டு.

ரீபைண்ட் பாதுகாப்பு ஒரு குறிப்பிட்ட தந்திரத்தை நிறுத்தவே உள்ளது. வேண்டுமென்றே வெளியிடப்பட்ட தனியுரிமைப் பெயர் பாதுகாப்பு இயங்கும் அளவுக்கு ஒத்ததாகத் தெரிகிறது.

கொள்கையைப் படிக்கும் முன் பதிலைப் படியுங்கள்

VPN உண்மையில் வழங்கும் தீர்வியிடம் பெயரைக் கேளுங்கள், வீட்டில் உங்கள் மடிக்கணினி பயன்படுத்தும் தீர்வியிடம் அல்ல. பதிலை நீங்கள் எதிர்பார்க்கும் பதிவுடன் ஒப்பிட்டு, பதில் காலியா, நிராகரிக்கப்பட்டதா, அல்லது யாரும் திட்டமிடாத பொது முகவரிகளால் நிரம்பியதா என்பதைப் பதிவு செய்யுங்கள்.

அறிகுறிகள் ஒன்றையொன்று மேற்பொருந்துகின்றன, எனவே பதிலின் வடிவமே கண்டறிதலைத் தீர்மானிக்கிறது. NXDOMAIN என்பது காணாமல் போன பதிவு, REFUSED என்பது அணுகல் விதி, உள் பெயருக்குப் பொது முகவரி என்பது கொள்கை அல்லது split-DNS பிழை, வாடிக்கையாளர் பயன்படுத்த முடியாத சரியான தனியுரிமை முகவரி முற்றிலும் வேறு பிரச்சினை. நிராகரிக்கப்பட்ட இணைப்போ நிறுத்தப்பட்ட கோரிக்கையோ தனியாக எதையும் நிரூபிக்காது, அதனால் இத்தகைய டிக்கெட்டுகளில் முதல் கட்டளை மறுதொடக்கம் அல்ல, தேடலாக இருக்க வேண்டும். எதையும் மாற்றும் முன் பதிலை எழுதி வையுங்கள்.

பாதுகாப்பு உண்மையில் தடுப்பது என்ன

DNS ரீபைண்ட், வாடிக்கையாளர் ஏற்கனவே பெயரை நம்பிய பிறகு அது எதற்குத் தீர்கிறது என்பதை மாற்றுவதன் மூலம் செயல்படுகிறது. தாக்குபவரின் கட்டுப்பாட்டிலுள்ள பெயரிலிருந்து பக்கம் ஏற்றப்படுகிறது, பதில் தனியுரிமை முகவரிக்குத் திரும்புகிறது, உலாவி நேரடி இணைப்பை ஒருபோதும் ஏற்காத உள்ளூர் வலையமைப்பில் உள்ள ஒன்றுடன் பேச ஏமாற்றப்படுகிறது. தீர்வியிடம் தனியுரிமைப் பெயர் இடத்திற்குச் சேவை செய்ய ஒருபோதும் கேட்கப்படாதபோது தனியுரிமை இடத்தைச் சுட்டும் பதில்களை நிராகரிப்பதே பாதுகாப்பு. அந்த சமச்சீரின்மையே முழுத் தாக்குதல்.

dnsmasq அதே நடத்தையை, களம் வாரியான விதிவிலக்குகளுடன் ஆவணப்படுத்துகிறது. அதன் கையேட்டில் அத்தகைய முகவரிகளைச் சட்டப்படி திருப்பித் தரக்கூடிய களங்களைப் பெயரிடும் வழியாக rebind-domain-ok விவரிக்கிறது. நோக்கமான திருத்தம் வரம்பிடப்பட்ட அனுமதி, உலகளாவிய சுவிட்சு அல்ல என்பதற்கான சமிக்ஞையாக அதைப் படியுங்கள்.

விதிவிலக்கை பெயர் இடத்திற்கு வரம்பிடுங்கள்

முதலில் பெயர் இடத்தைச் சரிசெய்யுங்கள், பிறகு விதிவிலக்கு. தோல்வியடையும் பெயர் அமைப்பு கட்டுப்படுத்தும் களத்திற்கு உரியது என்பதையும் பதிவு வேண்டுமென்றே பராமரிக்கப்படுவதையும் உறுதிப்படுத்துங்கள். பரிச்சயமான LAN வரம்பை ஒத்திருக்கும் மட்டுமேயான எதிர்பாராத முகவரி விதிவிலக்கல்ல, சந்தேகத்திற்குரியது, எனவே எந்த அனுமதியையும் எழுதும் முன் மண்டலத்தின் உரிமையாளரைச் சரிபாருங்கள்.

# ask the resolver the VPN pushed, and show the full answer
dig +noall +answer db.corp.example @10.40.0.1
dig +short db.corp.example @10.40.0.1

# dnsmasq: what does the running configuration already allow?
grep -R 'rebind' /etc/dnsmasq.d /etc/dnsmasq.conf

பிறகு நோக்கமான பெயர்களை உள்ளடக்கும் மிகக் குறுகிய அனுமதியைச் சேர்க்கவும்: ஒரு களம், அல்லது ஒரு ஒப்படைக்கப்பட்ட துணைக்களம், VPN வாடிக்கையாளர்கள் வினவும் தீர்வி உள்ளமைவில். அந்தத் தீர்வியில் ஒவ்வொரு பெயருக்கும் பாதுகாப்பை அணைப்பது அவை அனைத்திற்கும் ஒரே நேரத்தில் பாதுகாப்பை நீக்குகிறது, ஒருபோதும் தேவைப்படாத பெயர்கள் உட்பட.

Split DNS அதே முடிவின் பகுதி. தனியுரிமைப் பெயர் இடத்திற்கு உள் தீர்வி மட்டுமே பதிலளிக்க வேண்டுமெனில், அங்கே வெளியிட்டு பொது தீர்விகளுக்குக் கசிவதை நிறுத்துங்கள், அப்போது விதிவிலக்கு ஒவ்வொரு பாதையையும் அல்ல, ஒரு பாதையை உள்ளடக்கும்.

வளத்தையும் பாதுகாப்பையும் மீண்டும் சோதிக்கவும்

மீண்டும் கேளுங்கள், பிறகு சேவையுடன் இணைந்து வாடிக்கையாளர் என்ன பார்க்கிறார் என்பதைச் சரிபாருங்கள். செயல்படும் அமர்வுடன் சரியான தனியுரிமைப் பதில் என்பது விதிவிலக்கு நடைமுறைக்கு வந்தது. நிறுத்தப்பட்ட அமர்வுடன் சரியான பதில் என்பது அடுத்த சந்தேகம் பாதை அல்லது சேவையின் அடையாளம்.

# the internal name and the public control should behave differently
dig +short db.corp.example @10.40.0.1
dig +short www.example.com @10.40.0.1

# and the service itself, with the certificate it presents
curl -sS -o /dev/null -w '%{http_code}\n' https://db.corp.example/health

அதே தீர்வி வழியாகப் பொது பெயரையும் சோதியுங்கள். விதிவிலக்குக்கு வெளியேயுள்ள பெயர்களுக்குப் பாதுகாப்பு இன்னும் சரியாக நடந்துகொள்ள வேண்டும், அந்தச் சோதனை தோல்வியுற்றால் மாற்றம் நோக்கத்தை விட விரிவானது. சான்றிதழ் சரிபார்ப்பை இறுதிவரை தொடாமல் வையுங்கள், ஏனெனில் சரியாகத் தீர்க்கப்படும் பெயரும் சேவை வழங்கும் சான்றிதழுடன் பொருந்த வேண்டும்.

நிராகரிக்கப்பட்ட பதில், களம், தீர்வி மற்றும் கொள்கையின் உரிமையாளர் யார் என்பதை டிக்கெட்டில் பதிவு செய்யுங்கள். அந்தப் பதிவே மர்மமான உள் செயலிழப்பை யாராவது மறுபரிசீலனை செய்யக்கூடிய உள்ளமைவு மாற்றமாக மாற்றுகிறது.