تصفية DNS عبر VPN أوقفت تحميل موقع: اقرأ الإجابة
يمكن لخادم تحليل مُصفٍّ أن يحجب اسمًا واحدًا بينما يعمل النفق. اقرأ نوع الإجابة، واعرف من يملك خادم التحليل، وغيّر ما تملكه فقط.
يفشل اسم واحد بينما النفق يعمل، ويسمّيه المتصفح خطأ في الشبكة، بينما السبب الحقيقي هو إجابة DNS التي أعادها خادم التحليل. يمكن لخادم تحليل مُصفٍّ أن يحجب اسمًا واحدًا أو يرفضه أو يعيد كتابته ويترك كل استعلام آخر يعمل. النفق ينقل الاستعلام؛ وخادم التحليل يقرر الإجابة. افحص تلك الإجابة قبل أن تمسّ إعدادات التشفير.
النفق يعمل، إذن التشفير ليس المشتبه به
تخبرك حالة الاتصال بما إذا كانت الحزم تتحرك، لا بما إذا كان الاسم يُحلّ. التحليل استعلام إلى الخادم الذي ضُبط العميل عليه، وسياسة هناك يمكن أن تجيب عن نطاق واحد بشكل مختلف عن أي نطاق آخر. من جهة المتصفح تنهار كل تلك الإجابات في خطأ عام، ولهذا لا يثبت ضوء الحالة إلا القليل.
سجّل ثلاثة أشياء أولًا: خادم التحليل الذي استخدمه العميل، ورمز الاستجابة للاسم الفاشل، والاستعلام نفسه لاسم يُفترض أن يعمل. اسأل خادم التحليل مباشرة باستخدام dig example.com @10.20.0.1 واقرأ سطر الحالة، لا رسالة المتصفح. إذا حُلّ اسم الضبط وأعاد الاسم الفاشل إجابة سياسة، فالدليل كامل. وإذا فشل الاثنان، فالمُصفّي ليس طرفًا بعد.
أربع إجابات، وأربعة مالكين مختلفين
لا يملك خادم التحليل المُصفّي طريقة واحدة لقول لا، وشكل الرفض يشير إلى خطوة تالية مختلفة. اكتب رمز الاستجابة، لأن المتصفح يعيد كتابة الأربعة جميعًا إلى شيء يشبه اتصالًا منقطعًا.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
طابق الإجابة مع الجدول قبل أن تنسب أي شيء إلى النفق. الرفض والاسم المحجوب كلاهما يعني أن خادم التحليل اتخذ قرارًا، بينما الصمت يعني أن الاستعلام لم يحصل على إجابة. هذا الفرق يحدد ما إذا كنت تتبع مالك السياسة أو مسار الشبكة.
متصفحان يمكن أن يتبعا سياستين
المتصفح الذي يحمل خادم تحليل مشفّرًا خاصًا به ليس مضطرًا لاستخدام الخادم الذي يوزعه نظام التشغيل، لذا يمكنه تجاهل السياسة التي بُني النفق لتطبيقها. عندها يختلف متصفحان على الجهاز نفسه حول اسم المضيف ذاته، وليس أي منهما معطلًا. تحقق من خادم التحليل الذي يرتبط به كل تطبيق قبل أن تصف المُصفّي بالتناقض.
عندما يستخدم التطبيقان خادم تحليل النفق ويفشل واحد فقط، يكون الفرق في التطبيق لا في DNS. اكتب عنوان خادم التحليل لكل تطبيق، لأن تلك التفصيلة تختفي عند إغلاق النافذة.
غيّر ما تملكه، وصعّد ما لا تملكه
تتوقف خطوتك التالية على من يملك خادم التحليل الذي تشير إليه. الخادم الذي تديره بنفسك ميزة يمكنك قراءتها وضبطها: راجع خيار التصفية الموثق واستثناءاته، ثم اسمح بالاسم الواحد. والخادم الذي يديره صاحب العمل أو المزود تذكرة تحمل النطاق والإجابة الدقيقة والوقت.
لا تستبدل أبدًا بخادم تحليل عام لإجبار الموقع على الفتح، لأن الأسماء الخاصة تتوقف عن التحليل والسياسة المتعمدة تتوقف عن التطبيق. التغيير الضيق يحفظ الدليل سليمًا أيضًا، ليتمكن المالك من مطابقة تقريرك بسجلاته. وبعد التغيير، أعد اختبار التطبيق الأصلي بدلًا من استعلام من صدفة.
صفحة الحجب ليست شهادة موثوقة
الصفحة البديلة التي تعرض شهادتها الخاصة ستثير تحذير هوية HTTPS، وإعادة التوجيه لا تجعل تلك الشهادة صالحة. لا تنقر للمتابعة لأن النفق يعمل؛ التحذير قرار ثقة منفصل يجب أن يظل صحيحًا.
يُغلق التشخيص عندما يعيد الاسم الفاشل إجابة سياسة ويعيد اسم الضبط إجابة عادية عبر خادم التحليل نفسه. عند تلك النقطة يكون الإصلاح تغييرًا في السياسة، لا في النفق، و RFC 1035 رموز الاستجابة هي ما تقتبسه في التقرير. أبقِ الاسمين والإجابتين معًا؛ فهذه هي القضية كلها.