dnsmasq loại bỏ một câu trả lời DNS riêng tư: có phải do bảo vệ rebinding?

Máy chủ DNS của công ty trả về địa chỉ riêng tư như mong đợi, vậy mà truy vấn qua bộ phân giải chuyển tiếp cục bộ vẫn thất bại. Câu trả lời tồn tại, điều đó loại trừ vùng phía trên và chính bản ghi. Còn lại là bước mà bộ phân giải quyết định có trả câu trả lời đó cho máy khách hay không. Nếu bộ phân giải đó là dnsmasq, từ chối có lẽ đã nằm trong nhật ký.

Nhận một câu trả lời và chọn trả nó lại là hai bước khác nhau.

So sánh cùng một tên trên cả hai bộ phân giải

Ghi lại bộ phân giải mà ứng dụng thực sự dùng và tên máy chủ chính xác mà nó hỏi. Sau đó so sánh kết quả phía trên với sự kiện của bộ phân giải chuyển tiếp cho cùng tên đó. Thiếu câu trả lời từ phía trên, câu trả lời phủ định đã lưu trong bộ đệm và một từ chối được ghi lại cần ba cách sửa khác nhau.

Một địa chỉ hiện ra trong truy vấn chẩn đoán trực tiếp không chứng minh rằng ứng dụng nhận được nó qua đường đi thường lệ. Hai truy vấn có thể xuất phát từ bộ phân giải khác nhau, hoặc từ cùng một bộ phân giải dưới chính sách khác nhau. Hãy ghi cả hai kết quả trước khi lý luận, vì chính ở bước này người ta thay cái này bằng cái kia. Việc so sánh chính là toàn bộ chẩn đoán.

Hãy đọc từ chối chứ không phải triệu chứng

Tùy chọn stop-dns-rebind của dnsmasq từ chối các câu trả lời địa chỉ riêng tư đủ điều kiện đến từ phía trên, và ghi chúng vào nhật ký khi làm vậy. Bảo vệ này có lý do chính đáng: một tên công khai đột nhiên phân giải thành địa chỉ riêng tư chính là cuộc tấn công rebinding kinh điển. Nhưng nó cũng giao với một dịch vụ cố ý riêng tư, và đó là trường hợp của bạn.

Hãy tìm từ chối trong nhật ký trước khi thay đổi bất cứ điều gì, vì thông báo nêu tên cơ chế.

Nếu không có từ chối và không có câu trả lời từ phía trên, bảo vệ rebinding không phải vấn đề của bạn, và tắt nó sẽ là một thay đổi không sửa được gì mà còn mở rộng phơi nhiễm. Điều đó tệ hơn lỗi ban đầu, vì nó gỡ bỏ một biện pháp kiểm soát và để nguyên khiếm khuyết. Trước hết hãy xác nhận dòng nhật ký cụ thể. Sau đó quyết định.

Giới hạn ngoại lệ cho một tên miền

Với một tên miền đã xác minh, hướng dẫn của dnsmasq đưa ra ngoại lệ giới hạn theo tên miền thay vì một công tắc toàn cục.

rebind-domain-ok=corp.example

Tên miền ở trên chỉ là ví dụ. Hãy dùng tên miền quản trị mà bạn thực sự vận hành, và hiểu phạm vi khớp của tùy chọn trước khi áp dụng, vì quy tắc hậu tố bao trùm nhiều hơn một máy chủ đã thử. Bộ tạo cấu hình của router có thể hiển thị cùng thiết lập qua điều khiển riêng thay vì một chỉ thị thô. Cả hai cách đều ổn miễn là phạm vi thu được đúng như bạn định.

Một ngoại lệ đối với việc phát hiện rebinding làm đúng một việc: nó cho các câu trả lời của tên miền đó đi qua.

Nó không cấu hình bộ chuyển tiếp split-DNS, không làm một nguồn phía trên không thể tới trở nên tới được, và không tạo tuyến đến địa chỉ được trả về. Mỗi điều trong số đó là một yêu cầu riêng với dấu hiệu lỗi riêng, và mỗi điều hỏng theo cách khác nhau ở máy khách.

Xác minh mà không gỡ bỏ ranh giới

Hỏi lại tên máy chủ qua đường chuyển tiếp, rồi kết nối tới dịch vụ với các kiểm tra danh tính thường lệ. Một ngoại lệ DNS không phải lý do để chấp nhận chứng chỉ bất ngờ, và hai lỗi này dễ bị nhầm khi cả hai hiện ra như lỗi trình duyệt. Hãy kiểm tra tên và dịch vụ riêng rẽ. Chỉ một trong hai từng là vấn đề DNS.

Giữ lý do của ngoại lệ bên cạnh cấu hình, kèm ngày và người chịu trách nhiệm.

Kiểm tra lại khi dịch vụ riêng tư di chuyển hoặc tên miền thay đổi. Tắt bảo vệ trên toàn cục sẽ thay đổi cách xử lý các câu trả lời không liên quan, và vẫn để nguyên lỗi tuyến hoặc dịch vụ nếu rebinding chưa bao giờ là nguyên nhân.