Warum eine blockierte Seite nach dem Trennen des VPN weiter lädt

Eine Seite war gesperrt, funktionierte, solange das VPN verbunden war, und funktioniert auch nach dem Trennen des VPN weiter. Das ist ein kleines Stück Beleg dafür, wo die Sperre saß, kein Beweis, dass der Tunnel weiter galt. Hätte die Sperre auf der Zieladresse gelegen, hätte ein zwischengespeicherter Name nicht geholfen und die Verbindung würde weiterhin scheitern. Dass die Seite lädt, deutet stattdessen auf Namensauflösung hin. Diesen Hinweis richtig zu lesen erspart dir einen langen Umweg durch Firewallregeln.

Es gibt zwei Stellen, an denen eine Sperre sitzen kann, und in einem Browser sehen sie gleich aus.

Zwei Sperren, die im Browser gleich aussehen

Eine Namenssperre geschieht bei der Auflösung. Der Resolver liefert eine falsche Adresse, eine leere Antwort oder eine Captive-Portal-Seite, und der Browser meldet, dass die Seite nicht erreichbar ist.

Eine Adresssperre geschieht später. Der Name wird korrekt aufgelöst, und Pakete an die echte Adresse werden verworfen, umgeleitet oder zurückgesetzt. Den Resolver zu wechseln bringt hier nichts, weil der Fehler erst beginnt, nachdem der Name bereits beantwortet wurde.

Nur die erste Art kann von einem Cache getragen werden, und genau das macht deine Beobachtung nützlich.

Warum die Antwort den Tunnel überlebt

Resolver-Caches sind nach Namen geschlüsselt und werden für die Lebensdauer des Eintrags gehalten. Das Betriebssystem hält einen, und der Browser hält meist einen weiteren, sodass ein einziger Name zweimal mit zwei verschiedenen Laufzeiten gespeichert sein kann. Ein VPN zu verbinden oder zu trennen leert keinen von beiden; es ändert nur, an welchen Resolver künftige Anfragen gehen.

Solange der Tunnel stand, ging die Abfrage an den Resolver des Anbieters, der die richtige Adresse zurückgab, und diese Antwort wurde lokal gespeichert. Nach dem Trennen fragte der Browser erneut, der lokale Cache antwortete, ohne jemanden zu konsultieren, und die Seite lud.

Sie lädt weiter, bis der Eintrag abläuft oder jemand den Cache leert, und dann kehrt das alte Verhalten zurück.

Ein Test in drei Schritten, der sie trennt

Mach diese der Reihe nach, denn der erste ist der einzige Schritt, der beweist, dass der Cache die Seite trug.

Leere den Resolver-Cache und den Browser-Cache und lade dann neu. Scheitert die Seite wieder, war der Cache der Grund, dass sie funktionierte. Frage dann denselben Namen über den Resolver ab, den du vor dem VPN hattest, und über einen anderen, und vergleiche die beiden Antworten: eine Abweichung verortet die Sperre in der Namensgebung. Wenn du die Adresse kennst, versuche sie ohne den Namen zu erreichen, denn Erfolg dort bestätigt, dass die Adresse selbst nicht gefiltert wird.

Was jedes Ergebnis für deinen nächsten Schritt bedeutet

Bei einer Namenssperre ist die direkte Änderung ein anderer Resolver, und verschlüsseltes DNS ändert, wer diese Anfragen sehen und verändern kann. Das VPN erledigte diese Aufgabe als Nebenwirkung.

Bei einer Sperre auf Adressebene ist ein Resolverwechsel irrelevant, und die Cache-Theorie ist schlicht falsch.

Zwei Grenzen sind erwähnenswert, bevor du handelst. Ob du in einem bestimmten Netz Resolver wechseln darfst, ist eine politische und keine technische Frage. Und nicht jedes Netz sperrt über DNS, ein Ergebnis beschreibt also das getestete Netz und nicht Sperren im Allgemeinen. Notiere, welchen Resolver du benutzt hast, denn genau dieses Detail macht den Test für die nächste Person wiederholbar.