DNS-filtrering deur 'n VPN het 'n webwerf laat vasdraai: lees die antwoord
'n Filtrerende oplosser kan een naam blokkeer terwyl die tonnel werk. Lees die tipe antwoord, vind uit wie die oplosser besit, en verander net wat jy beheer.
Een naam misluk terwyl die tonnel op is, en die blaaier noem dit 'n netwerkfout, terwyl die werklike oorsaak die DNS-antwoord is wat die oplosser teruggegee het. 'n Filtrerende oplosser kan een naam weerhou, weier of herskryf en elke ander opsoeking laat werk. Die tonnel dra die navraag; die oplosser besluit oor die antwoord. Ondersoek daardie antwoord voordat jy aan enkripsie-instellings raak.
Die tonnel is op, so enkripsie is nie die verdagte nie
Die verbindingstoestand sê of pakkette beweeg, nie of 'n naam opgelos word nie. Resolusie is 'n navraag aan watter bediener die kliënt ook al opgestel is, en 'n beleid daar kan een domein anders beantwoord as elke ander. Van die blaaier se kant val al daardie antwoorde saam in 'n generiese fout, en daarom bewys die statusliggie so min.
Teken eers drie dinge aan: die oplosser wat die kliënt gebruik het, die antwoordkode vir die mislukkende naam, en dieselfde navraag vir 'n naam wat behoort te werk. Vra die oplosser direk met dig example.com @10.20.0.1 en lees die statuslyn, nie die blaaierboodskap nie. As die kontrolenaam oplos en die mislukkende een 'n beleidsantwoord gee, is die bewys volledig. As albei misluk, is die filter nog nie betrokke nie.
Vier antwoorde, vier verskillende eienaars
'n Filtrerende oplosser het nie een manier om nee te sê nie, en die vorm van die weiering wys na 'n ander volgende stap. Skryf die antwoordkode neer, want die blaaier herskryf al vier in iets wat soos 'n onderbroke verbinding klink.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Pas die antwoord by die tabel voordat jy enigiets aan die tonnel toeskryf. 'n Weiering en 'n weerhoude naam beteken albei dat die oplosser 'n besluit geneem het, terwyl stilte beteken die navraag het nooit 'n antwoord gekry nie. Daardie verskil bepaal of jy 'n beleidseienaar of 'n netwerkroete agtervolg.
Twee blaaiers kan twee beleide volg
'n Blaaier wat sy eie geënkripteerde oplosser saambring, hoef nie die bediener te gebruik wat die bedryfstelsel uitdeel nie, so dit kan die beleid ignoreer waarvoor die tonnel gebou is. Twee blaaiers op een masjien verskil dan oor dieselfde gasheernaam, en nie een is stukkend nie. Kontroleer aan watter oplosser elke toepassing gebind is voordat jy die filter inkonsekwent noem.
Wanneer albei toepassings die tonneloplosser gebruik en net een misluk, sit die verskil in die toepassing, nie in DNS nie. Skryf die oplosseradres per toepassing neer, want daardie besonderheid verdwyn wanneer die venster sluit.
Verander wat jy besit, eskaleer wat jy nie besit nie
Jou volgende stap hang daarvan af wie die oplosser besit waarna jy wys. Een wat jy self bestuur, is 'n funksie wat jy kan lees en opstel: kyk na die gedokumenteerde filteropsie en sy uitsonderings, en laat dan die enkele naam toe. Een wat jou werkgewer of verskaffer bestuur, is 'n kaartjie met die domein, die presiese antwoord en die tyd.
Moet nooit 'n publieke oplosser inruil om die werf oop te forseer nie, want private name hou op oplos en 'n doelbewuste beleid hou op geld. Die nou verandering hou ook die bewys ongeskonde, sodat die eienaar jou verslag teen sy eie rekords kan lê. Herhaal ná die verandering die oorspronklike toepassingstoets eerder as 'n opsoeking uit 'n dop.
'n Blokbladsy is nie 'n vertroude sertifikaat nie
'n Vervangingsbladsy wat sy eie sertifikaat aanbied, sal 'n HTTPS-identiteitswaarskuwing laat opkom, en die herleiding maak daardie sertifikaat nie geldig nie. Moenie daardeur klik net omdat die tonnel op is nie; die waarskuwing is 'n aparte vertrouensbesluit wat steeds korrek moet wees.
Die diagnose sluit wanneer die mislukkende naam 'n beleidsantwoord gee en 'n kontrolenaam 'n normale een deur dieselfde oplosser gee. Op daardie punt is die herstelling 'n beleidsverandering, nie 'n tonnelverandering nie, en die RFC 1035-antwoordkodes is wat jy in die verslag aanhaal. Hou albei name en antwoorde bymekaar; dit is die hele saak.