dnsmasq özel bir DNS yanıtını düşürüyor: suçlu rebinding koruması mı?

Şirketin DNS sunucusu beklenen özel adresi döndürüyor, yine de yerel yönlendirici çözümleyici üzerinden yapılan sorgu başarısız oluyor. Yanıt var, bu da üstteki bölgeyi ve kaydın kendisini eler. Geriye çözümleyicinin bu yanıtı istemciye verip vermemeye karar verdiği adım kalıyor. Bu çözümleyici dnsmasq ise ret muhtemelen günlükte zaten vardır.

Bir yanıt almak ile onu geri vermeyi seçmek iki ayrı adımdır.

Aynı adı iki çözümleyicide karşılaştırın

Uygulamanın gerçekte hangi çözümleyiciyi kullandığını ve sorduğu tam ana bilgisayar adını not edin. Sonra üstten gelen sonucu, yönlendirici çözümleyicinin aynı ad için kaydettiği olayla karşılaştırın. Üstten yanıt gelmemesi, önbellekteki olumsuz yanıt ve günlükteki ret üç ayrı düzeltme gerektirir.

Doğrudan tanılama sorgusunda görünen bir adres, uygulamanın onu her zamanki yoluyla aldığını kanıtlamaz. İki sorgu farklı çözümleyicilerden ya da aynı çözümleyiciden farklı ilkelerle çıkabilir. Kuram kurmadan önce iki sonucu da yazın, çünkü bu adımda biri diğerinin yerine konur. Karşılaştırma tanının tamamıdır.

Belirtiyi değil reddi okuyun

dnsmasq'ın stop-dns-rebind seçeneği, üstten gelen ve koşulları karşılayan özel adres yanıtlarını reddeder ve bunu yaptığında günlüğe yazar. Bu koruma iyi bir nedenle var: birden özel bir adrese çözülen genel bir ad, klasik rebinding saldırısıdır. Ancak bilerek özel bir hizmetle de kesişir ve sizin durumunuz budur.

Bir şeyi değiştirmeden önce günlükte reddi arayın, çünkü ileti mekanizmayı adlandırır.

Ne ret ne de üstten yanıt varsa, rebinding koruması sizin sorununuz değildir ve onu kapatmak hiçbir şeyi düzeltmeyen, maruziyeti artıran bir değişiklik olur. Bu, özgün arızadan daha kötüdür, çünkü bir denetimi kaldırır ve kusuru yerinde bırakır. Önce belirli günlük satırını doğrulayın. Sonra karar verin.

İstisnayı tek bir alan adıyla sınırlayın

Doğrulanmış bir alan adı için dnsmasq kılavuzu, genel bir anahtar yerine alan adıyla sınırlı bir istisna sunar.

rebind-domain-ok=corp.example

Yukarıdaki alan adı yalnızca örnektir. Gerçekten yönettiğiniz yönetim alan adını kullanın ve seçeneğin eşleşme kapsamını uygulamadan önce anlayın, çünkü sonek kuralı test ettiğiniz tek ana bilgisayardan fazlasını kapsar. Bir yönlendiricinin yapılandırma üreteci aynı ayarı ham bir yönerge yerine kendi denetimiyle sunabilir. Elde edilen kapsam amaçladığınız kapsam olduğu sürece iki yol da uygundur.

Rebinding algılamasına getirilen bir istisna tam olarak tek bir şey yapar: o alan adının yanıtlarını geçirir.

O, split-DNS yönlendiricisi yapılandırmaz, erişilemeyen bir üst kaynağı erişilebilir kılmaz ve döndürülen adrese bir yol oluşturmaz. Bunların her biri kendi arıza imzasına sahip ayrı bir gereksinimdir ve her biri istemcide farklı biçimde başarısız olur.

Sınırı kaldırmadan doğrulayın

Ana bilgisayar adını yönlendirme yoluyla yeniden sorgulayın, ardından hizmete her zamanki kimlik denetimleriyle bağlanın. Bir DNS istisnası beklenmeyen bir sertifikayı kabul etmek için gerekçe değildir ve iki arıza da tarayıcı hatası olarak göründüğünde kolayca karıştırılır. Adı ve hizmeti ayrı ayrı test edin. Yalnızca biri hiçbir zaman bir DNS sorunu değildi.

İstisnanın gerekçesini yapılandırmanın yanında, tarih ve sorumlu ile birlikte saklayın.

Özel hizmet taşındığında veya alan adı değiştiğinde yeniden denetleyin. Korumayı genel olarak kapatmak ilgisiz yanıtların nasıl ele alındığını değiştirir ve rebinding hiç neden olmadıysa yine de yönlendirme veya hizmet arızasını yerinde bırakır.