Filtrování DNS přes VPN zastavilo načítání webu: přečtěte si odpověď
Filtrující resolver může zablokovat jediné jméno, zatímco tunel funguje. Přečtěte si typ odpovědi, zjistěte, kdo resolver vlastní, a změňte jen to, co ovládáte.
Jedno jméno selhává, zatímco tunel běží, a prohlížeč to nazývá síťovou chybou, přitom skutečnou příčinou je odpověď DNS, kterou resolver vrátil. Filtrující resolver může jedno jméno zadržet, odmítnout nebo přepsat a nechat všechny ostatní dotazy fungovat. Tunel nese dotaz; resolver rozhoduje o odpovědi. Prohlédněte si tu odpověď, než sáhnete na nastavení šifrování.
Tunel běží, takže šifrování není podezřelý
Stav připojení říká, zda se pakety pohybují, ne zda se jméno překládá. Překlad je dotaz na server, kterým je klient nakonfigurován, a politika tam může odpovědět na jednu doménu jinak než na každou další. Z pohledu prohlížeče se všechny ty odpovědi slijí do obecné chyby, proto kontrolka stavu dokazuje tak málo.
Zapište nejprve tři věci: resolver, který klient použil, kód odpovědi pro selhávající jméno a stejný dotaz pro jméno, které by mělo fungovat. Zeptejte se resolveru přímo pomocí dig example.com @10.20.0.1 a čtěte stavový řádek, ne zprávu prohlížeče. Pokud se kontrolní jméno přeloží a selhávající vrátí odpověď politiky, je důkaz úplný. Pokud selžou obě, filtr ještě nezasahuje.
Čtyři odpovědi, čtyři různí vlastníci
Filtrující resolver nemá jediný způsob, jak říct ne, a forma odmítnutí ukazuje na jiný další krok. Zapište kód odpovědi, protože prohlížeč všechny čtyři přepisuje na něco, co zní jako přerušené spojení.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Porovnejte odpověď s tabulkou, než cokoli přisoudíte tunelu. Odmítnutí i zadržené jméno znamenají, že resolver učinil rozhodnutí, zatímco ticho znamená, že dotaz nikdy nedostal odpověď. Ten rozdíl rozhoduje, zda jdete po vlastníkovi politiky, nebo po síťové cestě.
Dva prohlížeče mohou následovat dvě politiky
Prohlížeč, který si nese vlastní šifrovaný resolver, nemusí používat server, který přiděluje operační systém, takže může ignorovat politiku, kvůli které byl tunel postaven. Dva prohlížeče na jednom stroji se pak neshodnou na stejném jménu hostitele a ani jeden není rozbitý. Ověřte, ke kterému resolveru je každá aplikace vázaná než filtr označíte za nekonzistentní.
Když obě aplikace používají resolver tunelu a selhává jen jedna, rozdíl je v aplikaci, ne v DNS. Zapište adresu resolveru pro každou aplikaci, protože tento detail zmizí, když se okno zavře.
Měňte to, co vlastníte, eskalujte to, co ne
Váš další krok závisí na tom, kdo vlastní resolver, na který míříte. Ten, který spravujete sami, je funkce, kterou můžete přečíst a nakonfigurovat: zkontrolujte dokumentovanou volbu filtrování a její výjimky, pak povolte jediné jméno. Ten, který spravuje váš zaměstnavatel nebo poskytovatel, je tiket s doménou, přesnou odpovědí a časem.
Nikdy nenahrazujte veřejný resolver, abyste web otevřeli silou, protože soukromá jména přestanou překládat a záměrná politika přestane platit. Úzká změna také udrží důkaz nedotčený, takže vlastník může váš report porovnat se svými záznamy. Po změně zopakujte původní test aplikace, ne dotaz z shellu.
Blokovací stránka není důvěryhodný certifikát
Náhradní stránka, která předkládá vlastní certifikát, vyvolá varování identity HTTPS, a přesměrování ten certifikát platným nečiní. Neklikejte skrz ni jen proto, že tunel běží; varování je samostatné rozhodnutí o důvěře, které stále musí být správné.
Diagnóza se uzavře, když selhávající jméno vrátí odpověď politiky a kontrolní jméno vrátí normální odpověď přes stejný resolver. V tu chvíli je oprava změnou politiky, ne tunelu, a RFC 1035 kódy odpovědí jsou to, co v reportu citujete. Držte obě jména i odpovědi pohromadě; to je celý případ.