dnsmasq ایک نجی DNS جواب رد کر رہا ہے: کیا وجہ rebinding تحفظ ہے؟

کمپنی کا DNS سرور متوقع نجی پتہ واپس کرتا ہے، اور پھر بھی مقامی فارورڈنگ ریزولور کے ذریعے استفسار ناکام ہوتا ہے۔ جواب موجود ہے، جو اوپری زون اور خود ریکارڈ کو خارج کرتا ہے۔ باقی وہ مرحلہ ہے جہاں ریزولور فیصلہ کرتا ہے کہ یہ جواب کلائنٹ کو واپس دینا ہے یا نہیں۔ اگر وہ ریزولور dnsmasq ہے تو ردِعمل غالباً پہلے ہی لاگ میں موجود ہے۔

جواب وصول کرنا اور اسے واپس دینے کا انتخاب کرنا دو مختلف مراحل ہیں۔

دونوں ریزولوروں پر اسی نام کا موازنہ کریں

لکھیں کہ ایپلیکیشن واقعی کون سا ریزولور استعمال کرتی ہے اور کون سا عین میزبان نام پوچھتی ہے۔ پھر اوپر سے آنے والے نتیجے کا موازنہ فارورڈنگ ریزولور کے اسی نام کے واقعے سے کریں۔ اوپر سے جواب نہ آنا، کیش میں محفوظ منفی جواب، اور لاگ میں درج ردِعمل تین مختلف اصلاحات چاہتے ہیں۔

براہِ راست تشخیصی استفسار میں نظر آنے والا پتہ یہ ثابت نہیں کرتا کہ ایپلیکیشن نے اسے اپنے معمول کے راستے سے حاصل کیا۔ دونوں استفسار مختلف ریزولوروں سے یا ایک ہی ریزولور سے مختلف پالیسیوں کے تحت نکل سکتے ہیں۔ نظریہ قائم کرنے سے پہلے دونوں نتائج لکھ لیں، کیونکہ اسی مرحلے پر ایک کو دوسرے سے بدلا جاتا ہے۔ موازنہ ہی پوری تشخیص ہے۔

علامت کے بجائے ردِعمل پڑھیں

dnsmasq کا stop-dns-rebind اختیار اوپر سے آنے والے شرائط پورے کرنے والے نجی پتہ والے جوابات مسترد کرتا ہے اور ایسا کرتے وقت انہیں لاگ میں درج کرتا ہے۔ یہ تحفظ ایک اچھی وجہ سے موجود ہے: ایک عوامی نام جو اچانک نجی پتے کی طرف اشارہ کرنے لگے، کلاسیکی rebinding حملہ ہے۔ تاہم یہ جان بوجھ کر نجی سروس سے بھی ٹکراتا ہے، اور یہی آپ کا معاملہ ہے۔

کچھ بھی بدلنے سے پہلے لاگ میں ردِعمل تلاش کریں، کیونکہ پیغام میکانزم کا نام لیتا ہے۔

اگر نہ ردِعمل ہو اور نہ اوپر سے جواب، تو rebinding تحفظ آپ کا مسئلہ نہیں، اور اسے بند کرنا ایسی تبدیلی ہوگی جو کچھ ٹھیک نہیں کرتی اور بے پردگی بڑھاتی ہے۔ یہ اصل خرابی سے بدتر ہے، کیونکہ یہ ایک کنٹرول ہٹا دیتی ہے اور نقص کو باقی رکھتی ہے۔ پہلے مخصوص لاگ لائن کی تصدیق کریں۔ پھر فیصلہ کریں۔

استثنا کو ایک ہی ڈومین تک محدود کریں

تصدیق شدہ ڈومین کے لیے dnsmasq کا دستور عالمی سوئچ کے بجائے ڈومین تک محدود استثنا پیش کرتا ہے۔

rebind-domain-ok=corp.example

اوپر والا ڈومین صرف مثال ہے۔ وہ انتظامی ڈومین استعمال کریں جو آپ واقعی چلاتے ہیں، اور اختیار کا مطابقت دائرہ لاگو کرنے سے پہلے سمجھیں، کیونکہ لاحقہ قاعدہ آزمائے گئے ایک میزبان سے زیادہ کو محیط ہوتا ہے۔ راؤٹر کا کنفیگریشن جنریٹر وہی ترتیب خام ہدایت کے بجائے اپنے کنٹرول سے دکھا سکتا ہے۔ دونوں راستے ٹھیک ہیں بشرطیکہ حاصل دائرہ وہی ہو جو آپ کا مقصود تھا۔

rebinding کی نشاندہی سے استثنا بالکل ایک کام کرتا ہے: اس ڈومین کے جوابات گزرنے دیتا ہے۔

یہ split-DNS فارورڈر ترتیب نہیں دیتا، نہ ناقابلِ رسائی اوپری ماخذ کو قابلِ رسائی بناتا ہے اور نہ واپس کیے گئے پتے تک کوئی راستہ بناتا ہے۔ ان میں سے ہر ایک الگ تقاضا ہے جس کا اپنا خرابی کا نشان ہے، اور ہر ایک کلائنٹ میں مختلف انداز میں ناکام ہوتا ہے۔

حد ہٹائے بغیر تصدیق کریں

میزبان نام کو دوبارہ فارورڈنگ راستے سے پوچھیں، پھر سروس سے اس کے معمول کے شناختی جانچوں کے ساتھ جڑیں۔ DNS استثنا غیر متوقع سرٹیفکیٹ قبول کرنے کی وجہ نہیں، اور دونوں خرابیاں آسانی سے خلط ہو جاتی ہیں جب دونوں براؤزر کی غلطی کے طور پر ظاہر ہوں۔ نام اور سروس کو الگ الگ جانچیں۔ ان میں سے صرف ایک کبھی DNS مسئلہ تھا۔

استثنا کی وجہ کنفیگریشن کے ساتھ، تاریخ اور ذمہ دار کے ساتھ رکھیں۔

جب نجی سروس منتقل ہو یا ڈومین بدلے تو اسے دوبارہ جانچیں۔ تحفظ کو عالمی طور پر بند کرنا غیر متعلقہ جوابات کے سلوک کو بدل دے گا اور اگر rebinding کبھی وجہ نہ تھا تو راستے یا سروس کی خرابی پھر بھی اپنی جگہ رہے گی۔