Фільтраванне DNS праз VPN спыніла загрузку сайта: прачытайце адказ
Фільтруючы рэзалвер можа заблакаваць адно імя, пакуль тунель працуе. Прачытайце тып адказу, высветліце, хто валодае рэзалверам, і змяніце толькі тое, што кантралюеце.
Адно імя не працуе, пакуль тунель уключаны, і браўзер называе гэта памылкай сеткі, хаця сапраўдная прычына — адказ DNS, які вярнуў рэзалвер. Фільтруючы рэзалвер можа ўтрымаць, адхіліць або перапісаць адно імя і пакінуць усе іншыя запыты працаздольнымі. Тунель пераносіць запыт; рэзалвер вырашае адказ. Агледзьце гэты адказ, перш чым кранаць налады шыфравання.
Тунель уключаны, таму шыфраванне не падазроны
Стан злучэння паказвае, ці рухаюцца пакеты, а не ці развязана імя. Развязанне — гэта запыт да таго сервера, на які наладжаны кліент, і палітыка там можа адказаць на адзін дамен інакш, чым на ўсе іншыя. З боку браўзера ўсе гэтыя адказы зліваюцца ў агульную памылку, таму індыкатар стану так мала даказвае.
Спачатку запішыце тры рэчы: рэзалвер, які выкарыстаў кліент, код адказу для імя, што не працуе, і той жа запыт для імя, якое павінна працаваць. Спытайце рэзалвер напрамкі з dig example.com @10.20.0.1 і чытайце радок стану, а не паведамленне браўзера. Калі кантрольнае імя развязваецца, а тое, што не працуе, вяртае палітычны адказ, доказ поўны. Калі абодва не працуюць, фільтр яшчэ не ўдзельнічае.
Чатыры адказы, чатыры розныя ўладальнікі
Фільтруючы рэзалвер не мае аднаго спосабу сказаць «не», і форма адмовы паказвае на іншы наступны крок. Запішыце код адказу, бо браўзер перапісвае ўсе чатыры ў нешта, што гучыць як абарванае злучэнне.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Супастаўце адказ з табліцай, перш чым адносіць што-небудзь да тунеля. Адмова і ўтрыманае імя азначаюць, што рэзалвер прыняў рашэнне, а маўчанне азначае, што запыт не атрымаў адказу. Гэтая розніца вырашае, ці ганяцца вам за ўладальнікам палітыкі, ці за сеткавым шляхам.
Два браўзеры могуць ісці за дзвюма палітыкамі
Браўзер, які пастаўляе свой уласны зашыфраваны рэзалвер, не абавязаны выкарыстоўваць сервер, які выдае аперацыйная сістэма, таму ён можа ігнараваць палітыку, для якой будаваўся тунель. Тады два браўзеры на адной машыне разыходзяцца наконт аднаго імені хоста, і ні адзін не зламаны. Праверце, да якога рэзалвера прывязана кожная праграма перш чым называць фільтр супярэчлівым.
Калі абедзве праграмы выкарыстоўваюць рэзалвер тунеля і не працуе толькі адна, розніца ў праграме, а не ў DNS. Запішыце адрас рэзалвера для кожнай праграмы, бо гэтая дэталь знікае, калі акно зачыняецца.
Змяняйце тое, чым валодаеце, эскалюйце тое, чым не
Ваш наступны крок залежыць ад таго, хто валодае рэзалверам, на які вы накіраваны. Той, якім кіруеце вы самі, — гэта функцыя, якую можна прачытаць і наладзіць: праверце дакументаваную опцыю фільтрацыі і яе выключэнні, затым дазвольце адно імя. Той, якім кіруе ваш працадаўца або правайдар, — гэта заяўка з даменам, дакладным адказам і часам.
Ніколі не падстаўляйце публічны рэзалвер, каб сілай адкрыць сайт, бо прыватныя імёны перастаюць развязвацца і наўмысная палітыка перастае дзейнічаць. Вузкая змена таксама захоўвае доказы цэлымі, каб уладальнік мог суаднесці вашу справаздачу са сваімі запісамі. Пасля змены паўтарыце зыходны тэст праграмы, а не запыт з абалонкі.
Старонка блакіроўкі — не давераны сертыфікат
Старонка замены, якая прадстаўляе ўласны сертыфікат, выкліча папярэджанне аб ідэнтычнасці HTTPS, і перанакіраванне не робіць гэты сертыфікат сапраўдным. Не націскайце далей толькі таму, што тунель уключаны; папярэджанне — асобнае рашэнне аб даверы, якое ўсё яшчэ павінна быць правільным.
Дыягназ закрываецца, калі імя, што не працуе, вяртае палітычны адказ, а кантрольнае імя вяртае звычайны праз той жа рэзалвер. У гэты момант рамонт — гэта змена палітыкі, а не тунеля, і RFC 1035 — гэта коды адказу, якія вы цытуеце ў справаздачы. Трымайце абодва імёны і адказы разам; вось і ўся справа.