El filtrado DNS por VPN impidió cargar un sitio web: lea la respuesta
Un resolutor filtrante puede bloquear un solo nombre mientras el túnel funciona. Lea el tipo de respuesta, averigüe quién es dueño del resolutor y cambie solo lo que usted controla.
Un nombre falla mientras el túnel está activo, y el navegador lo llama error de red, cuando la causa real es la respuesta DNS que devolvió el resolutor. Un resolutor filtrante puede retener, rechazar o reescribir un solo nombre y dejar funcionando cualquier otra consulta. El túnel transporta la consulta; el resolutor decide la respuesta. Examine esa respuesta antes de tocar los ajustes de cifrado.
El túnel está activo, así que el cifrado no es el sospechoso
El estado de la conexión le dice si los paquetes se mueven, no si un nombre se resuelve. La resolución es una consulta al servidor con el que se configuró el cliente, y una política allí puede responder a un dominio de forma distinta que a cualquier otro. Desde el lado del navegador, todas esas respuestas se funden en un fallo genérico, y por eso el indicador de estado demuestra tan poco.
Anote primero tres cosas: el resolutor que usó el cliente, el código de respuesta del nombre que falla y la misma consulta para un nombre que debería funcionar. Pregunte directamente al resolutor con dig example.com @10.20.0.1 y lea la línea de estado, no el mensaje del navegador. Si el nombre de control se resuelve y el que falla devuelve una respuesta de política, la prueba está completa. Si ambos fallan, el filtro todavía no interviene.
Cuatro respuestas, cuatro dueños distintos
Un resolutor filtrante no tiene una sola forma de decir no, y la forma del rechazo apunta a un paso siguiente distinto. Anote el código de respuesta, porque el navegador reescribe los cuatro en algo que suena a conexión cortada.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Compare la respuesta con la tabla antes de atribuir nada al túnel. Un rechazo y un nombre retenido significan ambos que el resolutor tomó una decisión, mientras que el silencio significa que la consulta nunca obtuvo respuesta. Esa diferencia decide si persigue a un dueño de política o a una ruta de red.
Dos navegadores pueden seguir dos políticas
Un navegador que trae su propio resolutor cifrado no tiene por qué usar el servidor que entrega el sistema operativo, así que puede ignorar la política para la que se construyó el túnel. Entonces dos navegadores en la misma máquina no coinciden sobre el mismo nombre de host, y ninguno está roto. Compruebe a qué resolutor está ligada cada aplicación antes de llamar incoherente al filtro.
Cuando ambas aplicaciones usan el resolutor del túnel y solo una falla, la diferencia está en la aplicación, no en DNS. Anote la dirección del resolutor por aplicación, porque ese detalle desaparece cuando se cierra la ventana.
Cambie lo que posee, escale lo que no
Su siguiente paso depende de quién es dueño del resolutor al que apunta. Uno que ejecuta usted mismo es una función que puede leer y configurar: revise la opción de filtrado documentada y sus excepciones, y luego permita el nombre concreto. Uno que ejecuta su empleador o proveedor es un tique con el dominio, la respuesta exacta y la hora.
Nunca sustituya por un resolutor público para forzar la apertura del sitio, porque los nombres privados dejan de resolverse y una política deliberada deja de aplicarse. El cambio estrecho también mantiene la prueba intacta, para que el dueño pueda comparar su informe con sus propios registros. Después del cambio, repita la prueba original de la aplicación en lugar de una consulta desde un shell.
Una página de bloqueo no es un certificado de confianza
Una página de reemplazo que presenta su propio certificado provocará una advertencia de identidad HTTPS, y la redirección no hace válido ese certificado. No haga clic a través de ella solo porque el túnel está activo; la advertencia es una decisión de confianza aparte que aún debe ser correcta.
El diagnóstico se cierra cuando el nombre que falla devuelve una respuesta de política y un nombre de control devuelve una normal a través del mismo resolutor. En ese punto la reparación es un cambio de política, no un cambio de túnel, y los RFC 1035 códigos de respuesta son lo que cita en el informe. Mantenga ambos nombres y las respuestas juntos; ese es todo el caso.