El filtratge DNS per VPN va aturar la càrrega d’un lloc web: llegiu la resposta
Un resolutor filtrant pot bloquejar un sol nom mentre el túnel funciona. Llegiu el tipus de resposta, esbrineu qui és el propietari del resolutor i canvieu només el que controleu.
Un nom falla mentre el túnel està actiu, i el navegador ho anomena error de xarxa, quan la causa real és la resposta DNS que va retornar el resolutor. Un resolutor filtrant pot retenir, rebutjar o reescriure un sol nom i deixar funcionant qualsevol altra consulta. El túnel transporta la consulta; el resolutor decideix la resposta. Examineu aquesta resposta abans de tocar la configuració de xifratge.
El túnel està actiu, així que el xifratge no és el sospitós
L’estat de la connexió us diu si els paquets es mouen, no si un nom es resol. La resolució és una consulta al servidor amb què el client està configurat, i una política allà pot respondre a un domini de manera diferent que a qualsevol altre. Des del costat del navegador, totes aquestes respostes es converteixen en una fallada genèrica, i per això el llum d’estat demostra tan poc.
Anoteu primer tres coses: el resolutor que va fer servir el client, el codi de resposta per al nom que falla i la mateixa consulta per a un nom que hauria de funcionar. Pregunteu directament al resolutor amb dig example.com @10.20.0.1 i llegiu la línia d’estat, no el missatge del navegador. Si el nom de control es resol i el que falla retorna una resposta de política, la prova és completa. Si tots dos fallen, el filtre encara no hi intervé.
Quatre respostes, quatre propietaris diferents
Un resolutor filtrant no té una única manera de dir no, i la forma del rebuig assenyala un pas següent diferent. Anoteu el codi de resposta, perquè el navegador reescriu tots quatre en una cosa que sona com una connexió tallada.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Compareu la resposta amb la taula abans d’atribuir res al túnel. Un rebuig i un nom retingut signifiquen tots dos que el resolutor ha pres una decisió, mentre que el silenci significa que la consulta no va obtenir mai cap resposta. Aquesta diferència decideix si perseguiu un propietari de política o un camí de xarxa.
Dos navegadors poden seguir dues polítiques
Un navegador que porta el seu propi resolutor xifrat no cal que faci servir el servidor que el sistema operatiu reparteix, així que pot ignorar la política per a la qual es va construir el túnel. Llavors dos navegadors en una mateixa màquina no coincideixen sobre el mateix nom d’amfitrió, i cap dels dos no està trencat. Comproveu a quin resolutor està lligada cada aplicació abans de qualificar el filtre d’incoherent.
Quan totes dues aplicacions fan servir el resolutor del túnel i només una falla, la diferència és a l’aplicació, no al DNS. Anoteu l’adreça del resolutor per aplicació, perquè aquest detall desapareix quan es tanca la finestra.
Canvieu el que posseïu, escaleu el que no
El vostre pas següent depèn de qui posseeix el resolutor al qual apunteu. Un que executeu vosaltres mateixos és una funció que podeu llegir i configurar: reviseu l’opció de filtratge documentada i les seves excepcions, i després permeteu el nom concret. Un que executa el vostre ocupador o proveïdor és un tiquet amb el domini, la resposta exacta i l’hora.
No substituïu mai per un resolutor públic per forçar l’obertura del lloc, perquè els noms privats deixen de resoldre’s i una política deliberada deixa d’aplicar-se. El canvi estret també manté la prova intacta, perquè el propietari pugui comparar el vostre informe amb els seus registres. Després del canvi, repetiu la prova original de l’aplicació en lloc d’una consulta des d’una shell.
Una pàgina de bloqueig no és un certificat de confiança
Una pàgina de substitució que presenta el seu propi certificat provocarà un avís d’identitat HTTPS, i la redirecció no fa vàlid aquest certificat. No hi feu clic només perquè el túnel estigui actiu; l’avís és una decisió de confiança separada que encara ha de ser correcta.
El diagnòstic es tanca quan el nom que falla retorna una resposta de política i un nom de control retorna una de normal a través del mateix resolutor. En aquest punt la reparació és un canvi de política, no un canvi de túnel, i els RFC 1035 codis de resposta són el que citeu a l’informe. Mantingueu tots dos noms i les respostes junts; aquest és tot el cas.