ప్రైవేట్ VPN పేర్లు విఫలమవుతున్నాయా? అనుమానం DNS రీబైండ్ రక్షణపై

కార్యాలయ LANలో అంతర్గత పేరు తక్షణమే సమాధానం ఇస్తుంది. VPN ఆన్ అయిన క్షణంలో అది పనిచేయడం ఆపేస్తుంది, అప్లికేషన్ టైమ్అవుట్ నివేదిస్తుంది, టన్నెల్ స్వయంగా ఫిర్యాదు లేకుండా ట్రాఫిక్ను మోసుకెళ్తోంది. మారినది రిజాల్వర్, ఆ రిజాల్వర్కు ప్రైవేట్ చిరునామాలపై దాని సొంత అభిప్రాయం ఉంది.

రీబైండ్ రక్షణ ఒక నిర్దిష్ట ఉపాయాన్ని ఆపడానికే ఉంది. ఉద్దేశపూర్వకంగా ప్రచురించిన ప్రైవేట్ పేరు రక్షణ ప్రేరేపించబడేంత సమానంగా కనిపిస్తుంది.

విధానాన్ని చదవకముందే సమాధానం చదవండి

VPN నిజంగా పంపిణీ చేసే రిజాల్వర్ను పేరు అడగండి, ఇంట్లో మీ ల్యాప్టాప్ ఉపయోగించేది కాదు. మీరు ఆశించే రికార్డుతో సమాధానాన్ని పోల్చి, సమాధానం ఖాళీగా ఉందా, తిరస్కరించబడిందా, లేదా ఎవరూ ప్రణాళిక వేసుకోని పబ్లిక్ చిరునామాలతో నిండి ఉందా అని నమోదు చేయండి.

లక్షణాలు ఒకదానిపై ఒకటి అతివ్యాప్తి చెందుతాయి, కాబట్టి నిర్ధారణను సమాధానం ఆకారమే నిర్ణయిస్తుంది. NXDOMAIN అంటే లేని రికార్డు, REFUSED అంటే యాక్సెస్ నియమం, అంతర్గత పేరుకు పబ్లిక్ చిరునామా అంటే విధానం లేదా split-DNS పొరపాటు, మరియు క్లయింట్ ఉపయోగించలేని సరైన ప్రైవేట్ చిరునామా పూర్తిగా వేరే సమస్య. తిరస్కరించిన కనెక్షన్ లేదా నిలిచిపోయిన అభ్యర్థన దానంతట అదే ఏమీ నిరూపించదు, అందుకే ఇలాంటి టిక్కెట్లలో మొదటి ఆదేశం పునఃప్రారంభం కాకుండా శోధన ఉండాలి. ఏదైనా మార్చే ముందు సమాధానాన్ని రాసుకోండి.

రక్షణ నిజంగా ఆపేది ఏమిటి

DNS రీబైండ్ క్లయింట్ ఇప్పటికే పేరును నమ్మిన తర్వాత అది ఏ చిరునామాకు పరిష్కరించబడుతుందో మార్చడం ద్వారా పనిచేస్తుంది. దాడి చేసేవాడు నియంత్రించే పేరు నుండి పేజీ లోడ్ అవుతుంది, సమాధానం ప్రైవేట్ చిరునామాకు మళ్లుతుంది, బ్రౌజర్ నేరుగా కనెక్షన్ను ఎప్పుడూ అంగీకరించని స్థానిక నెట్వర్క్లోని ఏదో ఒకదానితో మాట్లాడేలా మోసగించబడుతుంది. రిజాల్వర్ను ప్రైవేట్ పేర్ల స్థలానికి సేవ చేయమని ఎప్పుడూ అడగనప్పుడు ప్రైవేట్ స్థలాన్ని సూచించే సమాధానాలను తిరస్కరించడమే రక్షణ. ఆ అసమానతే మొత్తం దాడి.

dnsmasq సరిగ్గా ఆ ప్రవర్తనను, డొమైన్ వారీగా మినహాయింపులతో నమోదు చేస్తుంది. దాని మాన్యువల్లో అలాంటి చిరునామాలను చట్టబద్ధంగా తిరిగి ఇవ్వగల డొమైన్లకు పేరు పెట్టే మార్గంగా rebind-domain-ok వివరిస్తుంది. ఉద్దేశించిన సవరణ పరిమిత అనుమతి, ప్రపంచ స్విచ్ కాదు అనే సంకేతంగా దాన్ని చదవండి.

మినహాయింపును పేర్ల స్థలానికి పరిమితం చేయండి

మొదట పేర్ల స్థలాన్ని సరిచేయండి, తర్వాత మినహాయింపు. విఫలమయ్యే పేరు సంస్థ నియంత్రించే డొమైన్కు చెందినదని, రికార్డు ఉద్దేశపూర్వకంగా నిర్వహించబడుతున్నదని నిర్ధారించుకోండి. తెలిసిన LAN పరిధిని పోలిన మాత్రమే ఊహించని చిరునామా మినహాయింపు కాదు, అనుమానానికి అర్హం, కాబట్టి ఏ అనుమతిని రాసే ముందు జోన్ యజమానిని తనిఖీ చేయండి.

# ask the resolver the VPN pushed, and show the full answer
dig +noall +answer db.corp.example @10.40.0.1
dig +short db.corp.example @10.40.0.1

# dnsmasq: what does the running configuration already allow?
grep -R 'rebind' /etc/dnsmasq.d /etc/dnsmasq.conf

తర్వాత ఉద్దేశించిన పేర్లను కవర్ చేసే అత్యంత సన్నని అనుమతిని జోడించండి: ఒక డొమైన్, లేదా ఒక అప్పగించిన సబ్డొమైన్, VPN క్లయింట్లు ప్రశ్నించే రిజాల్వర్ కాన్ఫిగరేషన్లో. ఆ రిజాల్వర్పై ప్రతి పేరుకు రక్షణను ఆఫ్ చేయడం వాటన్నింటికీ ఒకేసారి రక్షణను తొలగిస్తుంది, ఎప్పుడూ అవసరం లేని పేర్లతో సహా.

Split DNS అదే నిర్ణయంలో భాగం. ప్రైవేట్ పేర్ల స్థలానికి అంతర్గత రిజాల్వర్ మాత్రమే సమాధానం ఇవ్వాలంటే, అక్కడే ప్రచురించి పబ్లిక్ రిజాల్వర్లకు లీక్ కావడం ఆపండి, అప్పుడు మినహాయింపు ప్రతి మార్గాన్ని కాదు, ఒక మార్గాన్ని కవర్ చేస్తుంది.

వనరు మరియు రక్షణను తిరిగి పరీక్షించండి

మళ్లీ అడగండి, తర్వాత సేవకు కనెక్ట్ అయ్యి క్లయింట్ ఏమి చూస్తుందో తనిఖీ చేయండి. పనిచేసే సెషన్తో సరైన ప్రైవేట్ సమాధానం అంటే మినహాయింపు అమలులోకి వచ్చింది. నిలిచిపోయిన సెషన్తో సరైన సమాధానం అంటే తదుపరి అనుమానం మార్గం లేదా సేవ గుర్తింపు.

# the internal name and the public control should behave differently
dig +short db.corp.example @10.40.0.1
dig +short www.example.com @10.40.0.1

# and the service itself, with the certificate it presents
curl -sS -o /dev/null -w '%{http_code}\n' https://db.corp.example/health

అదే రిజాల్వర్ ద్వారా పబ్లిక్ పేరును కూడా పరీక్షించండి. మినహాయింపు వెలుపలి పేర్లకు రక్షణ ఇంకా సరిగ్గా ప్రవర్తించాలి, ఆ తనిఖీ విఫలమైతే మార్పు ఉద్దేశించిన దానికంటే విస్తృతమైంది. సర్టిఫికెట్ ధ్రువీకరణను చివరి వరకు ముట్టుకోకండి, ఎందుకంటే సరిగ్గా పరిష్కరించబడే పేరు కూడా సేవ అందించే సర్టిఫికెట్తో సరిపోలాలి.

తిరస్కరించిన సమాధానం, డొమైన్, రిజాల్వర్ మరియు విధానం యజమాని ఎవరో టిక్కెట్లో నమోదు చేయండి. ఆ నమోదే మర్మమైన అంతర్గత వైఫల్యాన్ని ఎవరైనా సమీక్షించగల కాన్ఫిగరేషన్ మార్పుగా మారుస్తుంది.