域名冲突影响及问题解析：从专用网络到全局DNS的挑战与解决方案

域名冲突有哪些影响？域名冲突引起什么问题？由从专用网络泄漏到全局dns的查询引起的域名冲突可能会产生许多意想不到的后果。如果查询响应为正，但结果来自全局DNS而不是预期的专用命名空间，则执行查询的应用程序将尝试连接到不属于专用网络的系统，连接可能成功，但也可能造成不便（导致域名解析延迟）。下面聚名网小编就带大家看看域名冲突有哪些影响和域名冲突引起什么问题。

域名冲突有哪些影响？域名冲突引起什么问题？（推荐阅读：什么样的域名比较有价值？如何找寻好域名？）

指向意外网站

假设用户在使用专用网络时在其Web浏览器中输入https://finance.ourcompany，则该网络将具有专用TLD ourcompany的命名空间。如果浏览器在查询域名finance.ourcompany时能够正确解析该域名，则浏览器已经获取了财务部内部web服务器的ip地址。假设虽然tld ourcompany也包含在全局dns中，但tld还包含一个辅助域名（sld）finance。如果查询被破坏，它将解析到一个不同的地址，而不是解析私有命名空间中的查询时获得的IP地址。现在，假设这个不同的IP地址被配置到Web服务器上。浏览器尝试连接到公用网络而不是专用网络上的Web服务器。

如前所述，即使在没有专用tld但使用搜索列表的网络中，也可能出现相同的问题。如果浏览器在用户有搜索列表（包括域名ourcompany.com）的网络上正常工作，则用户输入域名www.finance以访问主机www.finance.ourcompany.com。现在，假设咖啡店的一名员工正在移动设备上使用浏览器。如果查询泄漏到Internet，并且Internet上的TLD碰巧命名为Finance，则该查询可能解析为不同的IP地址，例如，全局DNS中域名的完全不同的主机地址www.finance。此查询可能导致浏览器尝试连接到与专用网络分析器中的查询完全不同的公用网络Web服务器。

在这种情况下，普通用户倾向于认为这是错误的站点并立即离开。但是，如果浏览器信任web服务器，因为它包含的域名与以前访问的web服务器完全相同，那么浏览器会向它泄漏大量信息。浏览器可能会自动输入登录信息或其他敏感数据，导致组织外部人员捕获或分析信息。在其他情况下（例如，对组织的蓄意攻击），浏览器可能连接到配置有恶意代码的网站，以便在计算机上安装危险程序。

请注意，使用TLS和数字证书可能无助于防止域名冲突造成的损害；事实上，由于这给用户带来了安全错觉，因此危害更大。许多在全局dns（ca）中为域名颁发证书的证书颁发机构也会在专用地址空间中为短而不合格的域名颁发证书，因此指向错误站点的用户仍然有可能看到有效的证书。

指向错误收件人的电子邮件

域名冲突的可能后果不限于Web浏览器。如果收件人地址的主机名相同，则可能会将要发送给一个收件人的电子邮件发送给另一个收件人；例如，如果我们公司是TLD，则在全局DNS中，发送给chris@support.ourcompany的电子邮件可能会发送到完全不同的用户帐户。即使邮件未成功发送到特定的电子邮件用户，也可能有人试图发送邮件，这可能会导致组织外部的人员捕获或分析电子邮件的内容。

许多网络设备，如防火墙、路由器甚至打印机，都可以配置为通过电子邮件发送通知或日志数据。如果您输入的电子邮件通知收件人全局DNS中存在域名冲突，则通知可能会发送到完全意外的收件人。可能在邮件正文中显示网络配置和主机行为的事件或日志数据可能会泄漏给意外的收件人。如果指定的数据接收者没有收到日志数据，或者如果无法调查或缓解触发通知的事件，则可能会中断IT人员的常规网络性能或流量分析。

安全性降低

未触发的域名冲突可能会对专用网络中的系统造成意外行为或风险。依赖域名解析进行正确操作并执行安全功能的系统可以使用fqdn可靠地执行来自全局dns解析的操作

例如，在防火墙中，安全规则通常基于数据包流的源或目标。数据包的源和目标是IPv4或IPv6地址，但许多防火墙也将它们作为域名输入。如果使用短的非限定域名，并且域名解析没有正确执行，则规则可能不会按照管理员的预期阻止或允许通信。类似地，防火墙日志通常使用域名，并且使用以不可预知的方式解析的短的非限定域名可能会影响事件监视、分析或响应。例如，由于日志中的短非限定域名基于创建日志的地址标识不同的主机（即，在日志中，相同的短非限定域名可能与两个或多个不同的IP地址相关联）。因此，审核日志的IT人员可能会误解事件的严重性。这可能很复杂，因为大多数防火墙都可以充当自己的dns解析器，或者允许管理员使用或配置搜索列表。

受域名冲突影响的系统应检查所有联网系统是否使用根在专用TLD中的主机名或基于搜索列表的主机名。所有这些&ldquo；use&rdquo；实例都需要更新以在全局dns中使用fqdn。要检查的系统或应用程序列表可能包括：

浏览器用户可以在Web浏览器上指定HTTP代理的位置，通常用于专用网络。检查用户或IT人员是否已设置自定义主页、书签或搜索引擎：此内容链接到专用网络上的服务器。一些浏览器还提供配置选项，允许您获取有关指向专用网络上主机名的ssl/tls证书的吊销信息。

Web服务器Web服务器提供包含嵌入在主机名中的链接和元数据的HTML内容。检查专用网络上的Web服务器是否包含带有短的非限定域名的内容。检查Web服务器的配置文件是否包含专用网络上其他主机的短的非限定域名。

电子邮件用户代理电子邮件客户端（如outlook和thunderbird）提供配置选项，允许您使用pop或imap协议接收电子邮件，并基于提交协议发送电子邮件，所有这些都可能在专用网络上使用主机名。检查这些应用程序是否配置为从分配了短的非限定域名的主机获取有关SSL/TLS证书的吊销信息。

电子邮件服务器检查电子邮件服务器的配置是否列出了其他本地主机（如备份电子邮件网关、脱机存储服务器等）的短的不合格域名。

证书检查使用X.509证书的应用程序（如电话和即时消息程序）是否具有使用短的非限定域名识别来获取有关SSL/TLS证书的吊销信息的配置数据。

其他应用程序自定义应用程序可能包含多个存储主机名的配置参数。最明显的空间可以在配置文件中，但是主机名可能出现在各种应用程序数据、社交媒体或wiki链接中，甚至可能在源代码中硬编码。检查配置数据是否使用短的非限定域名。

网络设备检查网络基础设施设备（防火墙、安全信息和事件管理[SIEM]系统、路由器、交换机、网络监视设备、入侵检测或预防系统、VPN服务器、DNS服务器、DHCP服务器、日志服务器），以确定这些设备是否配置了短的不合格域专用网络上其他设备的名称。

客户机管理检查集中的客户机管理工具，例如在由系统控制和重置的配置中，为不合格的短域名配置组织工作站和网络设备，特别是搜索列表。

手机和平板电脑等移动设备消费电子设备可能具有与上述一些应用程序相似的配置选项，因此可能存在包含来自本地网络的短的不合格域名的配置选项。

应该检查存储在所有这些系统中的短的不合格域名的配置数据，以确保在专用命名空间的根目录更改或不再使用搜索列表时可以更改这些域名。

如有其它的域名知识需要，详情请关注聚名网域名注册：http://www.juming.com/regym.htm