Το φιλτράρισμα DNS μέσω VPN σταμάτησε τη φόρτωση ιστοτόπου: διαβάστε την απάντηση
Ένας φιλτράρων διακομιστής επίλυσης μπορεί να αποκλείσει ένα μόνο όνομα ενώ η σήραγγα λειτουργεί. Διαβάστε τον τύπο απάντησης, βρείτε ποιος κατέχει τον διακομιστή επίλυσης και αλλάξτε μόνο ό,τι ελέγχετε.
Ένα όνομα αποτυγχάνει ενώ η σήραγγα είναι ενεργή, και το πρόγραμμα περιήγησης το αποκαλεί σφάλμα δικτύου, ενώ η πραγματική αιτία είναι η απάντηση DNS που επέστρεψε ο διακομιστής επίλυσης. Ένας φιλτράρων διακομιστής επίλυσης μπορεί να κρατήσει, να αρνηθεί ή να ξαναγράψει ένα μόνο όνομα και να αφήσει κάθε άλλη αναζήτηση να λειτουργεί. Η σήραγγα μεταφέρει το ερώτημα, ο διακομιστής επίλυσης αποφασίζει την απάντηση. Εξετάστε αυτή την απάντηση πριν αγγίξετε τις ρυθμίσεις κρυπτογράφησης.
Η σήραγγα είναι ενεργή, άρα η κρυπτογράφηση δεν είναι ο ύποπτος
Η κατάσταση της σύνδεσης σας λέει αν κινούνται πακέτα, όχι αν ένα όνομα επιλύεται. Η επίλυση είναι ένα ερώτημα προς τον διακομιστή με τον οποίο έχει ρυθμιστεί ο πελάτης, και μια πολιτική εκεί μπορεί να απαντήσει σε έναν τομέα διαφορετικά από κάθε άλλον. Από την πλευρά του προγράμματος περιήγησης όλες αυτές οι απαντήσεις συμπίπτουν σε ένα γενικό σφάλμα, γι’ αυτό η ενδεικτική λυχνία αποδεικνύει τόσο λίγα.
Καταγράψτε πρώτα τρία πράγματα: τον διακομιστή επίλυσης που χρησιμοποίησε ο πελάτης, τον κωδικό απόκρισης για το όνομα που αποτυγχάνει και το ίδιο ερώτημα για ένα όνομα που θα έπρεπε να λειτουργεί. Ρωτήστε απευθείας τον διακομιστή επίλυσης με dig example.com @10.20.0.1 και διαβάστε τη γραμμή κατάστασης, όχι το μήνυμα του προγράμματος περιήγησης. Αν το όνομα ελέγχου επιλύεται και το αποτυγχάνον επιστρέφει απάντηση πολιτικής, η απόδειξη είναι πλήρης. Αν αποτύχουν και τα δύο, το φίλτρο δεν εμπλέκεται ακόμη.
Τέσσερις απαντήσεις, τέσσερις διαφορετικοί ιδιοκτήτες
Ένας φιλτράρων διακομιστής επίλυσης δεν έχει έναν μόνο τρόπο να πει όχι, και η μορφή της άρνησης δείχνει διαφορετικό επόμενο βήμα. Σημειώστε τον κωδικό απόκρισης, γιατί το πρόγραμμα περιήγησης ξαναγράφει και τις τέσσερις σε κάτι που ακούγεται σαν διακοπείσα σύνδεση.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Ταιριάξτε την απάντηση με τον πίνακα πριν αποδώσετε οτιδήποτε στη σήραγγα. Η άρνηση και το κρατημένο όνομα σημαίνουν και τα δύο ότι ο διακομιστής επίλυσης πήρε απόφαση, ενώ η σιωπή σημαίνει ότι το ερώτημα δεν πήρε ποτέ απάντηση. Αυτή η διαφορά καθορίζει αν κυνηγάτε ιδιοκτήτη πολιτικής ή διαδρομή δικτύου.
Δύο προγράμματα περιήγησης μπορούν να ακολουθούν δύο πολιτικές
Ένα πρόγραμμα περιήγησης που φέρνει τον δικό του κρυπτογραφημένο διακομιστή επίλυσης δεν χρειάζεται να χρησιμοποιεί τον διακομιστή που μοιράζει το λειτουργικό σύστημα, οπότε μπορεί να αγνοεί την πολιτική για την οποία χτίστηκε η σήραγγα. Τότε δύο προγράμματα περιήγησης στον ίδιο υπολογιστή διαφωνούν για το ίδιο όνομα κεντρικού υπολογιστή, και κανένα δεν είναι χαλασμένο. Ελέγξτε σε ποιον διακομιστή επίλυσης είναι δεμένη κάθε εφαρμογή πριν χαρακτηρίσετε το φίλτρο ασυνεπές.
Όταν και οι δύο εφαρμογές χρησιμοποιούν τον διακομιστή επίλυσης της σήραγγας και μόνο μία αποτυγχάνει, η διαφορά βρίσκεται στην εφαρμογή, όχι στο DNS. Σημειώστε τη διεύθυνση του διακομιστή επίλυσης ανά εφαρμογή, γιατί αυτή η λεπτομέρεια εξαφανίζεται όταν κλείσει το παράθυρο.
Αλλάξτε ό,τι σας ανήκει, κλιμακώστε ό,τι δεν σας ανήκει
Το επόμενο βήμα σας εξαρτάται από το ποιος κατέχει τον διακομιστή επίλυσης στον οποίο δείχνετε. Ένας που τρέχετε εσείς οι ίδιοι είναι λειτουργία που μπορείτε να διαβάσετε και να ρυθμίσετε: ελέγξτε την τεκμηριωμένη επιλογή φιλτραρίσματος και τις εξαιρέσεις της, και μετά επιτρέψτε το συγκεκριμένο όνομα. Ένας που τρέχει ο εργοδότης ή ο πάροχός σας είναι ένα δελτίο με τον τομέα, την ακριβή απάντηση και την ώρα.
Μην αντικαθιστάτε ποτέ με δημόσιο διακομιστή επίλυσης για να ανοίξετε τον ιστότοπο με το ζόρι, γιατί τα ιδιωτικά ονόματα σταματούν να επιλύονται και μια σκόπιμη πολιτική σταματά να εφαρμόζεται. Η στενή αλλαγή διατηρεί και την απόδειξη άθικτη, ώστε ο ιδιοκτήτης να μπορεί να αντιπαραβάλει την αναφορά σας με τα δικά του αρχεία. Μετά την αλλαγή, επαναλάβετε την αρχική δοκιμή της εφαρμογής αντί για αναζήτηση από κέλυφος.
Μια σελίδα αποκλεισμού δεν είναι έμπιστο πιστοποιητικό
Μια σελίδα αντικατάστασης που παρουσιάζει το δικό της πιστοποιητικό θα προκαλέσει προειδοποίηση ταυτότητας HTTPS, και η ανακατεύθυνση δεν κάνει αυτό το πιστοποιητικό έγκυρο. Μην κάνετε κλικ μέσα από αυτήν επειδή η σήραγγα είναι ενεργή, η προειδοποίηση είναι ξεχωριστή απόφαση εμπιστοσύνης που πρέπει ακόμη να είναι σωστή.
Η διάγνωση κλείνει όταν το όνομα που αποτυγχάνει επιστρέφει απάντηση πολιτικής και ένα όνομα ελέγχου επιστρέφει κανονική μέσω του ίδιου διακομιστή επίλυσης. Σε εκείνο το σημείο η επισκευή είναι αλλαγή πολιτικής, όχι αλλαγή σήραγγας, και οι RFC 1035 κωδικοί απόκρισης είναι αυτό που παραθέτετε στην αναφορά. Κρατήστε και τα δύο ονόματα και τις απαντήσεις μαζί, αυτή είναι όλη η υπόθεση.