Àwọn orúkọ VPN aládàáni ń kùnà? Ààbò àtakò DNS rebinding ni a fura sí

Ní LAN ọ́fíìsì, orúkọ inú ń dáhùn ní kíákíá. Ní àkókò tí VPN bá wà lórí, ó dá ṣíṣe dúró, ohun èlò náà ń ròyìn àkókò tí ó tán, ọ̀nà náà fúnra rẹ̀ sì ń gbé ìrìnàjò lọ láìsí ẹ̀dùn. Ohun tí ó yí padà ni olùyẹ́sí, olùyẹ́sí yẹn sì ní èrò tirẹ̀ nípa àwọn àdírẹ́sì aládàáni.

Ààbò àtakò rebinding wà láti dẹ́kun ẹ̀tàn kan pàtó. Orúkọ aládàáni tí a tẹ̀ jáde mọ̀ọ́mọ̀ dà bí ẹni pé ó jọra tó kí ààbò lè ṣiṣẹ́.

Ka ìdáhùn kí o tó ka ìlànà

Bi orúkọ náà lọ́wọ́ olùyẹ́sí tí VPN ń pín gan-an, kì í ṣe èyí tí kọ̀mpútà rẹ ń lò nílé. Fi ìdáhùn wé àkọsílẹ̀ tí o ń retí, kí o sì kọ bí ìdáhùn náà bá ṣófo, tí a kọ̀, tàbí tí ó kún fún àwọn àdírẹ́sì gbangba tí ẹnikẹ́ni kò gbèrò.

Àwọn àmì náà ń gun ara wọn, nítorí náà ìrísí ìdáhùn ni ó ń pinnu ìwádìí. NXDOMAIN jẹ́ àkọsílẹ̀ tí ó sọnù, REFUSED jẹ́ ìlànà ìwọlé, àdírẹ́sì gbangba fún orúkọ inú jẹ́ àṣìṣe ìlànà tàbí split-DNS, àdírẹ́sì aládàáni tí ó tọ̀nà tí aláìsàn kò lè lò jẹ́ ìṣòro mìíràn pátápátá. Ìsopọ̀ tí a kọ̀ tàbí ìbéèrè tí ó dúró kò fi ohunkóhun hàn fúnra rẹ̀, ìdí nìyẹn tí àṣẹ àkọ́kọ́ nínú irú àwọn tíkẹ́ẹ̀tì bẹ́ẹ̀ yẹ kí ó jẹ́ ìwádìí, kì í ṣe àtúnbẹ̀rẹ̀. Kọ ìdáhùn náà sílẹ̀ kí o tó yí ohunkóhun padà.

Ohun tí ààbò ń dẹ́kun gan-an

DNS rebinding ń ṣiṣẹ́ nípa yíyí ohun tí orúkọ kan ń yanjú sí lẹ́yìn tí aláìsàn ti gbẹ́kẹ̀ lé e tẹ́lẹ̀. Ojú-ìwé ń gbé wá láti orúkọ tí olùkọlù ń ṣàkóso, ìdáhùn náà ń yí padà sí àdírẹ́sì aládàáni, a sì ń tan bùràúṣà jẹ́ kí ó bá ohun kan sọ̀rọ̀ lórí nẹ́tíwọ́kì àdúgbò tí kò ì bá gbà ìsopọ̀ tààrà pẹ̀lú rẹ̀ rárá. Ààbò ni láti kọ àwọn ìdáhùn tí ó ń tọ́ka sí inú ilé aládàáni nígbà tí a kò tí ì béèrè lọ́wọ́ olùyẹ́sí pé kí ó sin orúkọ ilé aládàáni. Àìdọ́gba yẹn ni gbogbo ìkọlù náà.

dnsmasq ń kọ irú ìhùwàsí yẹn gan-an sílẹ̀, pẹ̀lú àwọn ìyọkù fún ẹ̀kọ̀ọ̀kan agbègbè. Nínú ìwé ìtọ́sọ́nà rẹ̀, ó ń ṣàlàyé rebind-domain-ok gẹ́gẹ́ bí ọ̀nà láti dárúkọ àwọn agbègbè tí ó lè dá àwọn àdírẹ́sì bẹ́ẹ̀ padà lọ́nà tòótọ́. Ka ìyẹn gẹ́gẹ́ bí àmì pé àtúnṣe tí a gbèrò ni àṣẹ tí ó ní ààlà, kì í ṣe yíyí gbogbo ẹ̀rọ.

Dín ìyọkù kù sí orúkọ ilé

Tún orúkọ ilé ṣe kí ó tó tún ìyọkù ṣe. Jẹ́rìí pé orúkọ tí ń kùnà jẹ́ ti agbègbè tí àjọ ń ṣàkóso àti pé a ń tọ́jú àkọsílẹ̀ náà mọ̀ọ́mọ̀. Àdírẹ́sì àìròtẹ́lẹ̀ tí ó kàn jọ ìgbèríko LAN tí a mọ̀ yẹ fún àìnígbàgbọ́, kì í ṣe ìyọkù, nítorí náà yẹ ìpínlẹ̀ náà wò kí o tó kọ àṣẹ èyíkéyìí.

# ask the resolver the VPN pushed, and show the full answer
dig +noall +answer db.corp.example @10.40.0.1
dig +short db.corp.example @10.40.0.1

# dnsmasq: what does the running configuration already allow?
grep -R 'rebind' /etc/dnsmasq.d /etc/dnsmasq.conf

Lẹ́yìn náà fi àṣẹ tí ó dín jùlọ tí ó bo àwọn orúkọ tí a gbèrò kún: agbègbè kan, tàbí subdomain kan tí a fún ní àṣẹ, nínú ìṣètò olùyẹ́sí tí àwọn aláìsàn VPN ń béèrè. Pípa ààbò fún gbogbo orúkọ lórí olùyẹ́sí yẹn ń yọ ààbò kúrò fún gbogbo wọn ní ẹ̀ẹ̀kan, pẹ̀lú àwọn orúkọ tí kò tí ì nílò rẹ̀ rárá.

Split DNS wà nínú ìpinnu kan náà. Bí orúkọ ilé aládàáni yẹ kí olùyẹ́sí inú dáhùn fún nìkan, tẹ̀ ẹ́ jáde níbẹ̀ kí o sì dá àgbájo rẹ̀ sí àwọn olùyẹ́sí gbangba dúró, kí ìyọkù lè bo ọ̀nà kan dípò gbogbo ọ̀nà.

Tún orísun àti ààbò dán wò

Béèrè lẹ́ẹ̀kan sí i, lẹ́yìn náà so mọ́ iṣẹ́ náà kí o wo ohun tí aláìsàn ń rí. Ìdáhùn aládàáni tí ó tọ̀nà pẹ̀lú ìpàdé tí ń ṣiṣẹ́ túmọ̀ sí pé ìyọkù ti wọlé. Ìdáhùn tí ó tọ̀nà pẹ̀lú ìpàdé tí ó dúró túmọ̀ sí pé afurakankan tókàn ni ọ̀nà tàbí ìdánimọ̀ iṣẹ́ náà.

# the internal name and the public control should behave differently
dig +short db.corp.example @10.40.0.1
dig +short www.example.com @10.40.0.1

# and the service itself, with the certificate it presents
curl -sS -o /dev/null -w '%{http_code}\n' https://db.corp.example/health

Tún orúkọ gbangba dán wò nípasẹ̀ olùyẹ́sí kan náà. Ààbò yẹ kí ó ṣì hùwà tòótọ́ fún àwọn orúkọ tí ó wà ní ìta ìyọkù, bí ìwádìí yẹn bá sì kùnà, ìyípadà náà tóbi ju ohun tí a gbèrò lọ. Má fi ọwọ́ kan ìjẹ́rìí ìwé-ẹ̀rí ní gbogbo àkókò, nítorí orúkọ tí ó yanjú tòótọ́ ṣì gbọdọ̀ bá ìwé-ẹ̀rí tí iṣẹ́ náà gbé kalẹ̀ mu.

Kọ ìdáhùn tí a kọ̀, agbègbè, olùyẹ́sí àti ẹni tí ó ni ìlànà náà sínú tíkẹ́ẹ̀tì. Àkọsílẹ̀ yẹn ni ó ń yí ìdàrúdàpọ̀ inú àṣírí padà sí ìyípadà ìṣètò tí ẹnìkan lè yẹ̀wò.