DNS филтриране през VPN спря зареждането на сайт: прочетете отговора
Филтриращ резолвер може да блокира едно име, докато тунелът работи. Прочетете типа на отговора, открийте кой притежава резолвера и променете само това, което контролирате.
Едно име се проваля, докато тунелът работи, и браузърът го нарича мрежова грешка, а истинската причина е DNS отговорът, който резолверът е върнал. Филтриращ резолвер може да задържи, откаже или пренапише едно име и да остави всяко друго търсене да работи. Тунелът носи заявката; резолверът решава отговора. Прегледайте този отговор, преди да пипате настройките за криптиране.
Тунелът работи, така че криптирането не е заподозряното
Състоянието на връзката показва дали пакетите се движат, не дали име се разрешава. Разрешаването е заявка към сървъра, с който клиентът е конфигуриран, и политика там може да отговори на един домейн различно от всеки друг. От страна на браузъра всички тези отговори се сливат в обща грешка, затова индикаторът за състояние доказва толкова малко.
Запишете първо три неща: резолвера, който клиентът е използвал, кода на отговора за провалящото се име и същата заявка за име, което би трябвало да работи. Попитайте резолвера директно с dig example.com @10.20.0.1 и четете реда за състояние, а не съобщението на браузъра. Ако контролното име се разрешава, а провалящото се връща отговор по политика, доказателството е пълно. Ако и двете се провалят, филтърът още не участва.
Четири отговора, четири различни собственика
Филтриращият резолвер няма един начин да каже „не“, и формата на отказа сочи към различна следваща стъпка. Запишете кода на отговора, защото браузърът пренаписва и четирите в нещо, което звучи като прекъсната връзка.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Съпоставете отговора с таблицата, преди да припишете нещо на тунела. Отказът и задържаното име и двете означават, че резолверът е взел решение, докато тишината означава, че заявката така и не е получила отговор. Тази разлика решава дали да гоните собственика на политиката, или мрежовия път.
Два браузъра могат да следват две политики
Браузър, който носи собствен криптиран резолвер, не е длъжен да използва сървъра, който операционната система раздава, така че може да игнорира политиката, за която тунелът е построен. Тогава два браузъра на една машина се разминават за едно и също име на хост и нито един не е счупен. Проверете към кой резолвер е вързано всяко приложение преди да наречете филтъра непоследователен.
Когато и двете приложения използват резолвера на тунела и само едно се проваля, разликата е в приложението, не в DNS. Запишете адреса на резолвера за всяко приложение, защото тази подробност изчезва, когато прозорецът се затвори.
Променяйте това, което притежавате, ескалирайте това, което не
Следващата ви стъпка зависи от това кой притежава резолвера, към който сте насочени. Този, който управлявате сами, е функция, която можете да прочетете и конфигурирате: проверете документираната опция за филтриране и нейните изключения, след което разрешете единственото име. Този, който управлява работодателят или доставчикът ви, е заявка с домейна, точния отговор и времето.
Никога не подменяйте с публичен резолвер, за да отворите сайта насила, защото частните имена спират да се разрешават и умишлена политика спира да се прилага. Тясната промяна също запазва доказателството непокътнато, така че собственикът да съпостави доклада ви със своите записи. След промяната повторете първоначалния тест на приложението, а не търсене от шел.
Страница за блокиране не е доверен сертификат
Страница заместител, която представя собствен сертификат, ще предизвика предупреждение за идентичност по HTTPS, и пренасочването не прави този сертификат валиден. Не кликвайте през нея, защото тунелът работи; предупреждението е отделно решение за доверие, което все още трябва да е правилно.
Диагнозата се затваря, когато провалящото се име върне отговор по политика, а контролното име върне нормален през същия резолвер. В този момент поправката е промяна в политиката, не в тунела, и RFC 1035 кодовете за отговор са това, което цитирате в доклада. Дръжте двете имена и отговорите заедно; това е целият случай.