DNS-Filterung über VPN verhinderte das Laden einer Website: So lesen Sie die Antwort
Ein filternder Resolver kann einen einzelnen Namen blockieren, während der Tunnel funktioniert. Lesen Sie den Antworttyp, finden Sie heraus, wem der Resolver gehört, und ändern Sie nur, was Sie selbst kontrollieren.
Ein Name schlägt fehl, während der Tunnel steht, und der Browser nennt es einen Netzwerkfehler, obwohl die eigentliche Ursache die DNS-Antwort ist, die der Resolver zurückgegeben hat. Ein filternder Resolver kann einen einzelnen Namen zurückhalten, ablehnen oder umschreiben und jede andere Abfrage weiter funktionieren lassen. Der Tunnel transportiert die Abfrage; der Resolver entscheidet über die Antwort. Prüfen Sie diese Antwort, bevor Sie die Verschlüsselungseinstellungen anfassen.
Der Tunnel steht, also ist die Verschlüsselung nicht verdächtig
Der Verbindungsstatus sagt Ihnen, ob Pakete fließen, nicht ob ein Name aufgelöst wird. Auflösung ist eine Abfrage an den Server, mit dem der Client konfiguriert wurde, und eine Richtlinie dort kann eine Domain anders beantworten als jede andere. Aus Sicht des Browsers fallen all diese Antworten zu einem allgemeinen Fehler zusammen, deshalb beweist die Statusanzeige so wenig.
Notieren Sie zuerst drei Dinge: den Resolver, den der Client verwendet hat, den Antwortcode für den fehlschlagenden Namen und dieselbe Abfrage für einen Namen, der funktionieren sollte. Fragen Sie den Resolver direkt mit dig example.com @10.20.0.1 und lesen Sie die Statuszeile, nicht die Browsermeldung. Wenn der Kontrollname aufgelöst wird und der fehlschlagende eine Richtlinienantwort liefert, ist der Beweis vollständig. Wenn beide fehlschlagen, ist der Filter noch nicht beteiligt.
Vier Antworten, vier verschiedene Eigentümer
Ein filternder Resolver hat nicht nur eine Art, Nein zu sagen, und die Form der Ablehnung zeigt auf einen anderen nächsten Schritt. Schreiben Sie den Antwortcode auf, denn der Browser schreibt alle vier in etwas um, das wie eine abgebrochene Verbindung klingt.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Vergleichen Sie die Antwort mit der Tabelle, bevor Sie irgendetwas dem Tunnel zuschreiben. Eine Ablehnung und ein zurückgehaltener Name bedeuten beide, dass der Resolver eine Entscheidung getroffen hat, während Stille bedeutet, dass die Abfrage nie eine Antwort erhalten hat. Dieser Unterschied entscheidet, ob Sie einem Richtlinieneigentümer oder einem Netzwerkpfad nachgehen.
Zwei Browser können zwei Richtlinien folgen
Ein Browser, der seinen eigenen verschlüsselten Resolver mitbringt, muss nicht den Server verwenden, den das Betriebssystem verteilt, also kann er die Richtlinie ignorieren, für die der Tunnel gebaut wurde. Dann sind sich zwei Browser auf einem Rechner über denselben Hostnamen uneinig, und keiner ist defekt. Prüfen Sie, an welchen Resolver jede Anwendung gebunden ist, bevor Sie den Filter als inkonsistent bezeichnen.
Wenn beide Anwendungen den Resolver des Tunnels verwenden und nur eine fehlschlägt, liegt der Unterschied in der Anwendung, nicht in DNS. Notieren Sie die Resolveradresse pro Anwendung, denn dieses Detail verschwindet, wenn das Fenster geschlossen wird.
Ändern Sie, was Ihnen gehört, eskalieren Sie, was Ihnen nicht gehört
Ihr nächster Schritt hängt davon ab, wem der Resolver gehört, auf den Sie zeigen. Einen, den Sie selbst betreiben, können Sie lesen und konfigurieren: Prüfen Sie die dokumentierte Filteroption und ihre Ausnahmen und erlauben Sie dann den einzelnen Namen. Einen, den Ihr Arbeitgeber oder Anbieter betreibt, ist ein Ticket mit der Domain, der genauen Antwort und der Uhrzeit.
Tauschen Sie niemals einen öffentlichen Resolver ein, um die Website gewaltsam zu öffnen, denn private Namen werden dann nicht mehr aufgelöst und eine bewusste Richtlinie gilt nicht mehr. Die enge Änderung hält auch den Beweis intakt, sodass der Eigentümer Ihren Bericht mit seinen eigenen Aufzeichnungen abgleichen kann. Wiederholen Sie nach der Änderung den ursprünglichen Anwendungstest statt einer Abfrage aus einer Shell.
Eine Blockseite ist kein vertrauenswürdiges Zertifikat
Eine Ersatzseite, die ihr eigenes Zertifikat vorzeigt, löst eine HTTPS-Identitätswarnung aus, und die Weiterleitung macht dieses Zertifikat nicht gültig. Klicken Sie nicht durch, nur weil der Tunnel steht; die Warnung ist eine separate Vertrauensentscheidung, die trotzdem korrekt sein muss.
Die Diagnose schließt sich, wenn der fehlschlagende Name eine Richtlinienantwort und ein Kontrollname eine normale über denselben Resolver zurückgibt. Dann ist die Reparatur eine Richtlinienänderung, keine Tunneländerung, und die RFC 1035-Antwortcodes sind das, was Sie im Bericht zitieren. Halten Sie beide Namen und Antworten zusammen; das ist der ganze Fall.