Hvorfor et blokeret websted stadig indlæses, efter at VPN'en er afbrudt

Et websted var blokeret, virkede mens VPN'en var forbundet, og virker stadig, efter at VPN'en er afbrudt. Det er et lille stykke bevis for, hvor blokeringen lå, ikke et bevis for, at tunnelen blev ved med at gælde. Hvis blokeringen havde siddet på destinationsadressen, ville et cachet navn ikke have hjulpet, og forbindelsen ville stadig fejle. At siden indlæses peger i stedet på navneopløsning. At læse det spor rigtigt sparer dig for en lang omvej gennem firewallregler.

Der er to steder, en blokering kan sidde, og fra en browser ser de identiske ud.

To blokeringer, der ser ens ud i en browser

En navneblokering sker ved opløsningen. Resolveren returnerer en forkert adresse, et tomt svar eller en captive-portal-side, og browseren melder, at webstedet ikke kan nås.

En adresseblokering sker senere. Navnet opløses korrekt, og pakker til den rigtige adresse droppes, omdirigeres eller nulstilles. At skifte resolver gør ingenting her, fordi fejlen starter, efter at navnet allerede er besvaret.

Kun den første slags kan bæres af en cache, og det er det, der gør din observation nyttig.

Hvorfor svaret overlever tunnelen

Resolvercaches er nøglet på navn og opbevares i postens levetid. Styresystemet holder en, og browseren holder normalt en anden, så et enkelt navn kan gemmes to gange med to forskellige levetider. At forbinde eller afbryde en VPN tømmer ingen af dem; det ændrer kun, hvilken resolver fremtidige forespørgsler sendes til.

Mens tunnelen var oppe, gik opslaget til udbyderens resolver, som returnerede den korrekte adresse, og det svar blev gemt lokalt. Efter afbrydelsen spurgte browseren igen, den lokale cache svarede uden at spørge nogen, og siden blev indlæst.

Den bliver ved med at indlæse, indtil posten udløber, eller nogen rydder cachen, og så vender den gamle adfærd tilbage.

En test i tre trin, der skiller dem

Gør dem i rækkefølge, fordi det første er det eneste trin, der beviser, at cachen bar siden.

Ryd resolvercachen og browsercachen, og genindlæs derefter. Hvis webstedet fejler igen, var cachen grunden til, at det virkede. Spørg derefter efter det samme navn gennem den resolver, du havde før VPN'en, og gennem en anden, og sammenlign de to svar: uenighed placerer blokeringen i navngivningen. Hvis du kender adressen, så prøv at nå den uden navnet, fordi succes der bekræfter, at adressen selv ikke er filtreret.

Hvad hvert resultat betyder for dit næste skridt

For en navneblokering er den direkte ændring en anden resolver, og krypteret DNS ændrer, hvem der kan se og ændre de forespørgsler. VPN'en udførte det arbejde som en bivirkning.

For en blokering på adresseniveau er et resolverskift irrelevant, og cacheteorien er simpelthen forkert.

To grænser er værd at nævne, før du handler. Om du må skifte resolvere på et givet netværk, er et politisk spørgsmål snarere end et teknisk. Og ikke alle netværk blokerer via DNS, så et resultat beskriver det netværk, du testede, og ikke blokering generelt. Skriv ned, hvilken resolver du brugte, fordi netop den detalje gør testen gentagelig for den næste person.