Itinatapon ng dnsmasq ang pribadong sagot ng DNS: proteksyon sa rebinding ba?

Ibinabalik ng DNS server ng kumpanya ang inaasahang pribadong address, ngunit nabibigo pa rin ang query sa lokal na forwarding resolver. Umiiral ang sagot, na nag-aalis sa zone sa itaas at sa record mismo. Ang natitira ay ang hakbang kung saan nagpapasya ang resolver kung ibabalik ang sagot na iyon sa kliyente. Kung ang resolver na iyon ay dnsmasq, malamang nasa log na ang pagtanggi.

Ang pagtanggap ng sagot at ang pagpiling ibalik ito ay dalawang magkaibang hakbang.

Ihambing ang parehong pangalan sa dalawang resolver

Itala kung aling resolver ang talagang ginagamit ng aplikasyon at ang eksaktong hostname na hinihingi nito. Pagkatapos ay ihambing ang resulta mula sa itaas sa kaganapan ng forwarding resolver para sa parehong pangalan. Ang kawalan ng sagot mula sa itaas, negatibong sagot na naka-cache at naitalang pagtanggi ay nangangailangan ng tatlong magkaibang pagwawasto.

Ang address na nakikita sa direktang diagnostic na query ay hindi nagpapatunay na natanggap ito ng aplikasyon sa karaniwang landas nito. Ang dalawang query ay maaaring lumabas mula sa magkaibang resolver, o mula sa parehong resolver sa ilalim ng magkaibang patakaran. Isulat ang parehong resulta bago magteorya, dahil sa hakbang na ito pinapalitan ang isa ng isa pa. Ang paghahambing ang buong diagnosis.

Basahin ang pagtanggi, hindi ang sintomas

Tinatanggihan ng opsyong stop-dns-rebind ng dnsmasq ang mga sagot na may pribadong address na karapat-dapat at nagmumula sa itaas, at inilalagay ang mga ito sa log kapag ginagawa iyon. May magandang dahilan ang proteksyong ito: ang pampublikong pangalan na biglang nagiging pribadong address ay ang klasikong atake ng rebinding. Ngunit nagsasalubong din ito sa isang serbisyong sadyang pribado, at iyon ang iyong kaso.

Hanapin ang pagtanggi sa log bago baguhin ang anuman, dahil pinapangalanan ng mensahe ang mekanismo.

Kung walang pagtanggi at walang sagot mula sa itaas, hindi ang proteksyon sa rebinding ang problema mo, at ang patayin ito ay isang pagbabagong walang inaayos at nagpapalawak ng pagkakalantad. Iyon ay mas masahol pa sa orihinal na sira, dahil tinatanggal nito ang isang kontrol at iniiwan ang depekto. Tiyakin muna ang partikular na linya sa log. Pagkatapos ay magpasya.

Limitahan ang eksepsyon sa isang domain

Para sa beripikadong domain, nag-aalok ang manwal ng dnsmasq ng eksepsyon na limitado sa domain sa halip na pandaigdigang switch.

rebind-domain-ok=corp.example

Ang domain sa itaas ay halimbawa lamang. Gamitin ang administratibong domain na talagang pinapamahalaan mo, at unawain ang saklaw ng pagtutugma ng opsyon bago ito ilapat, dahil ang tuntunin sa suffix ay sumasaklaw nang higit sa isang host na sinubukan. Maaaring ipakita ng generator ng configuration ng router ang parehong setting sa pamamagitan ng sarili nitong kontrol sa halip na hilaw na direktiba. Pareho lang mabuti ang dalawang landas basta ang resultang saklaw ay ang nilalayon mo.

Ang eksepsyon sa pag-detect ng rebinding ay gumagawa ng eksaktong isang bagay: pinapalusot nito ang mga sagot ng domain na iyon.

Hindi ito nagko-configure ng split-DNS forwarder, hindi ginagawang maabot ang isang hindi maabot na pinagmulan sa itaas, at hindi gumagawa ng ruta patungo sa ibinalik na address. Bawat isa sa mga ito ay hiwalay na pangangailangan na may sariling tandaan ng pagkasira, at bawat isa ay nabibigo nang iba sa kliyente.

I-verify nang hindi tinatanggal ang hangganan

Itanong muli ang hostname sa landas ng forwarding, pagkatapos ay kumonekta sa serbisyo kasama ang karaniwang pagsusuri ng pagkakakilanlan nito. Ang eksepsyon sa DNS ay hindi dahilan upang tanggapin ang hindi inaasahang sertipiko, at ang dalawang pagkasira ay madaling mapagkamalan kapag parehong lumabas bilang error ng browser. Subukan nang hiwalay ang pangalan at ang serbisyo. Isa lang sa kanila ang naging problema sa DNS.

Itago ang dahilan ng eksepsyon sa tabi ng configuration, may petsa at may responsable.

Suriin muli ito kapag lumipat ang pribadong serbisyo o nagbago ang domain. Ang pandaigdigang pagpatay sa proteksyon ay magbabago sa pagtrato sa mga walang kaugnayang sagot at iiwan pa rin ang sira sa ruta o serbisyo kung ang rebinding ay hindi kailanman naging dahilan.