dnsmasq shaxsiy DNS javobini tashlab yuboradi: sabab rebinding himoyasimi?

Kompaniya DNS serveri kutilgan shaxsiy manzilni qaytaradi, ammo mahalliy yo‘naltiruvchi rezolver orqali so‘rov baribir muvaffaqiyatsiz bo‘ladi. Javob mavjud, bu yuqoridagi zonani va yozuvning o‘zini istisno qiladi. Rezolver bu javobni mijozga qaytarish-qaytarmaslikni hal qiladigan qadam qoladi. Agar bu rezolver dnsmasq bo‘lsa, rad javob jurnalda allaqachon bo‘lishi mumkin.

Javob olish va uni qaytarishni tanlash ikki xil qadamdir.

Bir xil nomni ikkala rezolverda solishtiring

Ilova aslida qaysi rezolverdan foydalanishini va so‘rayotgan aniq xost nomini yozib qo‘ying. So‘ng yuqoridan kelgan natijani yo‘naltiruvchi rezolverning xuddi shu nom uchun hodisasi bilan solishtiring. Yuqoridan javob yo‘qligi, keshdagi inkor javob va jurnaldagi rad javob uch xil tuzatishni talab qiladi.

To‘g‘ridan-to‘g‘ri diagnostik so‘rovda ko‘rinadigan manzil ilova uni odatdagi yo‘li bilan olganini isbotlamaydi. Ikki so‘rov turli rezolverlardan yoki bir rezolverdan turli qoidalar bilan chiqishi mumkin. Nazariya qurishdan oldin ikkala natijani yozib qo‘ying, chunki aynan shu qadamda biri ikkinchisi bilan almashtiriladi. Taqqoslash butun tashxisdir.

Alomatni emas, rad javobni o‘qing

dnsmasqning stop-dns-rebind parametri yuqoridan kelgan va shartlarga mos shaxsiy manzilli javoblarni rad etadi va buni qilganda ularni jurnalga yozadi. Bu himoya yaxshi sabab bilan mavjud: birdan shaxsiy manzilga aylanadigan ommaviy nom klassik rebinding hujumidir. U ataylab shaxsiy xizmat bilan ham kesishadi va bu sizning holatingiz.

Biror narsani o‘zgartirishdan oldin jurnalda rad javobni qidiring, chunki xabar mexanizmni nomlaydi.

Na rad javob, na yuqoridan javob bo‘lmasa, rebinding himoyasi sizning muammoingiz emas va uni o‘chirish hech narsani tuzatmaydigan, shu bilan birga ta’sir doirasini kengaytiradigan o‘zgartirish bo‘lardi. Bu dastlabki nosozlikdan yomonroq, chunki nazoratni olib tashlaydi va nuqsonni joyida qoldiradi. Avval aniq jurnal satrini tasdiqlang. Keyin qaror qiling.

Istisnoni bitta domenga cheklang

Tasdiqlangan domen uchun dnsmasq qo‘llanmasi global kalit o‘rniga domen bilan cheklangan istisno taklif qiladi.

rebind-domain-ok=corp.example

Yuqoridagi domen faqat misol. Haqiqatan boshqaradigan ma’muriy domeningizni ishlating va parametrning moslik qamrovini qo‘llashdan oldin tushunib oling, chunki qo‘shimcha qoidasi sinab ko‘rgan bitta xostdan ko‘proq narsani qamrab oladi. Marshrutizatorning konfiguratsiya generatori xuddi shu sozlamani xom direktiva o‘rniga o‘z boshqaruv elementi orqali ko‘rsatishi mumkin. Natijada olingan qamrov ko‘zda tutilgani bo‘lsa, ikkala yo‘l ham yaroqli.

Rebinding aniqlashiga qo‘yilgan istisno aynan bitta ish qiladi: o‘sha domenning javoblarini o‘tkazadi.

U split-DNS yo‘naltirgichini sozlamaydi, yetib bo‘lmaydigan yuqori manbani yetib boriladigan qilmaydi va qaytarilgan manzilga marshrut yaratmaydi. Bularning har biri o‘z nosozlik imzosiga ega alohida talabdir va har biri mijozda boshqacha muvaffaqiyatsiz bo‘ladi.

Chegarani olib tashlamasdan tekshiring

Xost nomini yo‘naltirish yo‘li orqali yana so‘rang, so‘ng xizmatga odatdagi identifikatsiya tekshiruvlari bilan ulanib ko‘ring. DNS istisnosi kutilmagan sertifikatni qabul qilish uchun asos emas va ikkala nosozlik ham brauzer xatosi sifatida ko‘ringanda oson aralashtiriladi. Nomni va xizmatni alohida sinab ko‘ring. Faqat bittasi hech qachon DNS muammosi bo‘lgan.

Istisno sababini konfiguratsiya yonida, sana va mas’ul shaxs bilan saqlang.

Shaxsiy xizmat ko‘chganda yoki domen o‘zgarganda uni qayta tekshiring. Himoyani global o‘chirish aloqasiz javoblarning ishlanishini o‘zgartirardi va rebinding hech qachon sabab bo‘lmagan bo‘lsa, marshrut yoki xizmat nosozligini baribir joyida qoldirardi.