DNS-filtrado per VPN haltigis ŝargon de retejo: legu la respondon
Filtra solvilo povas bloki unu nomon dum la tunelo funkcias. Legu la tipon de respondo, trovu kiu posedas la solvilon, kaj ŝanĝu nur tion, kion vi regas.
Unu nomo malsukcesas dum la tunelo funkcias, kaj la retumilo nomas tion reta eraro, kvankam la vera kaŭzo estas la DNS-respondo, kiun la solvilo redonis. Filtra solvilo povas reteni, rifuzi aŭ reskribi unu nomon kaj lasi ĉiun alian serĉon funkcii. La tunelo portas la peton; la solvilo decidas la respondon. Ekzamenu tiun respondon antaŭ ol tuŝi la agordojn de ĉifrado.
La tunelo funkcias, do ĉifrado ne estas la suspektato
La stato de la konekto diras al vi, ĉu pakaĵoj moviĝas, ne ĉu nomo solviĝas. Solvado estas peto al tiu servilo, per kiu la kliento estis agordita, kaj politiko tie povas respondi al unu domajno alie ol al ĉiu alia. De la flanko de la retumilo ĉiuj tiuj respondoj kunfandiĝas en ĝeneralan eraron, tial la statlumo pruvas tiel malmulte.
Notu unue tri aferojn: la solvilon, kiun la kliento uzis, la respondkodon por la malsukcesa nomo, kaj la saman peton por nomo, kiu devus funkcii. Demandu la solvilon rekte per dig example.com @10.20.0.1 kaj legu la statlinion, ne la mesaĝon de la retumilo. Se la kontrola nomo solviĝas kaj la malsukcesa redonas respondon de politiko, la pruvo estas kompleta. Se ambaŭ malsukcesas, la filtrilo ankoraŭ ne partoprenas.
Kvar respondoj, kvar malsamaj posedantoj
Filtra solvilo ne havas unu manieron diri ne, kaj la formo de la rifuzo montras al malsama sekva paŝo. Notu la respondkodon, ĉar la retumilo reskribas ĉiujn kvar en ion, kio sonas kiel interrompita konekto.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Komparu la respondon kun la tabelo antaŭ ol atribui ion al la tunelo. Rifuzo kaj retenita nomo ambaŭ signifas, ke la solvilo faris decidon, dum silento signifas, ke la peto neniam ricevis respondon. Tiu diferenco decidas, ĉu vi postkuras posedanton de politiko aŭ retan vojon.
Du retumiloj povas sekvi du politikojn
Retumilo, kiu alportas sian propran ĉifritan solvilon, ne devas uzi la servilon, kiun la operaciumo disdonas, do ĝi povas ignori la politikon, por kiu la tunelo estis konstruita. Tiam du retumiloj sur unu maŝino malkonsentas pri la sama gastignomo, kaj neniu el ili estas difektita. Kontrolu, al kiu solvilo ĉiu aplikaĵo estas ligita antaŭ ol nomi la filtrilon malkonsekvenca.
Kiam ambaŭ aplikaĵoj uzas la solvilon de la tunelo kaj nur unu malsukcesas, la diferenco estas en la aplikaĵo, ne en DNS. Notu la adreson de la solvilo por ĉiu aplikaĵo, ĉar tiu detalo malaperas, kiam la fenestro fermiĝas.
Ŝanĝu tion, kion vi posedas, eskalu tion, kion vi ne posedas
Via sekva paŝo dependas de tio, kiu posedas la solvilon, al kiu vi direktiĝas. Unu, kiun vi mem funkciigas, estas funkcio, kiun vi povas legi kaj agordi: kontrolu la dokumentitan filtradan opcion kaj ĝiajn esceptojn, poste permesu la unu nomon. Unu, kiun funkciigas via dunganto aŭ provizanto, estas bileto kun la domajno, la preciza respondo kaj la horo.
Neniam anstataŭigu publikan solvilon por devigi la retejon malfermiĝi, ĉar privataj nomoj ĉesas solviĝi kaj intenca politiko ĉesas validi. La mallarĝa ŝanĝo ankaŭ konservas la pruvon sendifekta, por ke la posedanto povu kompari vian raporton kun siaj propraj registroj. Post la ŝanĝo, ripetu la originan teston de la aplikaĵo anstataŭ serĉon el ŝelo.
Bloka paĝo ne estas fidinda atestilo
Anstataŭa paĝo, kiu prezentas sian propran atestilon, levos avertan signalon pri identeco de HTTPS, kaj la alidirektado ne faras tiun atestilon valida. Ne klaku tra ĝi nur ĉar la tunelo funkcias; la averto estas aparta decido pri fido, kiu tamen devas esti ĝusta.
La diagnozo fermiĝas, kiam la malsukcesa nomo redonas respondon de politiko kaj kontrola nomo redonas normalan tra la sama solvilo. En tiu punkto la riparo estas ŝanĝo de politiko, ne de tunelo, kaj la RFC 1035 respondkodoj estas tio, kion vi citas en la raporto. Tenu ambaŭ nomojn kaj respondojn kune; tio estas la tuta afero.