DNS-filtrering via VPN stoppede indlæsningen af et websted: læs svaret
En filtrerende resolver kan blokere ét navn, mens tunnelen virker. Læs svartypen, find ud af, hvem der ejer resolveren, og ændr kun det, du selv styrer.
Ét navn fejler, mens tunnelen er oppe, og browseren kalder det en netværksfejl, selvom den egentlige årsag er det DNS-svar, resolveren returnerede. En filtrerende resolver kan tilbageholde, afvise eller omskrive et enkelt navn og lade alle andre opslag fungere. Tunnelen bærer forespørgslen; resolveren bestemmer svaret. Undersøg det svar, før du rører ved krypteringsindstillingerne.
Tunnelen er oppe, så kryptering er ikke den mistænkte
Forbindelsestilstanden fortæller, om pakker bevæger sig, ikke om et navn opløses. Opløsning er en forespørgsel til den server, klienten er konfigureret med, og en politik der kan besvare ét domæne anderledes end alle andre. Fra browserens side smelter alle de svar sammen til en generisk fejl, og derfor beviser statuslyset så lidt.
Skriv tre ting ned først: den resolver klienten brugte, svarkoden for det fejlende navn og den samme forespørgsel for et navn, der burde virke. Spørg resolveren direkte med dig example.com @10.20.0.1 og læs statuslinjen, ikke browserbeskeden. Hvis kontrollnavnet opløses, og det fejlende navn returnerer et politiksvar, er beviset komplet. Hvis begge fejler, er filteret endnu ikke involveret.
Fire svar, fire forskellige ejere
En filtrerende resolver har ikke én måde at sige nej på, og formen på afvisningen peger på et andet næste skridt. Skriv svarkoden ned, fordi browseren omskriver alle fire til noget, der lyder som en afbrudt forbindelse.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Sammenlign svaret med tabellen, før du tilskriver tunnelen noget. En afvisning og et tilbageholdt navn betyder begge, at resolveren har truffet en beslutning, mens tavshed betyder, at forespørgslen aldrig fik et svar. Den forskel afgør, om du jagter en politiksejer eller en netværksrute.
To browsere kan følge to politikker
En browser, der leverer sin egen krypterede resolver, behøver ikke bruge den server, styresystemet uddeler, så den kan ignorere den politik, tunnelen blev bygget til at anvende. Så er to browsere på samme maskine uenige om det samme værtsnavn, og ingen af dem er i stykker. Kontroller, hvilken resolver hver applikation er bundet til før du kalder filteret inkonsekvent.
Når begge applikationer bruger tunnelens resolver, og kun én fejler, ligger forskellen i applikationen, ikke i DNS. Skriv resolveradressen ned for hver applikation, fordi den detalje forsvinder, når vinduet lukkes.
Ændr det, du ejer, eskalér det, du ikke ejer
Dit næste skridt afhænger af, hvem der ejer den resolver, du peger på. En, du selv kører, er en funktion, du kan læse og konfigurere: tjek den dokumenterede filtreringsindstilling og dens undtagelser, og tillad derefter det ene navn. En, din arbejdsgiver eller udbyder kører, er en sag med domænet, det præcise svar og tidspunktet.
Byt aldrig til en offentlig resolver for at tvinge webstedet åbent, fordi private navne holder op med at opløses, og en bevidst politik holder op med at gælde. Den snævre ændring holder også beviset intakt, så ejeren kan holde din rapport op mod sine egne registreringer. Efter ændringen skal du gentage den oprindelige applikationstest i stedet for et opslag fra en shell.
En blokeringsside er ikke et betroet certifikat
En erstatningsside, der præsenterer sit eget certifikat, udløser en HTTPS-identitetsadvarsel, og omdirigeringen gør ikke det certifikat gyldigt. Klik ikke igennem den, fordi tunnelen er oppe; advarslen er en separat tillidsbeslutning, der stadig skal være korrekt.
Diagnosen lukkes, når det fejlende navn returnerer et politiksvar, og et kontrollnavn returnerer et normalt et gennem den samme resolver. På det tidspunkt er reparationen en politikændring, ikke en tunnelændring, og RFC 1035 svarkoderne er det, du citerer i rapporten. Hold begge navne og svar sammen; det er hele sagen.