VPN-i kaudu DNS-i filtreerimine peatas veebisaidi laadimise: lugege vastust
Filtreeriv resolver võib blokeerida ühe nime, samal ajal kui tunnel töötab. Lugege vastuse tüüpi, tehke kindlaks, kellele resolver kuulub, ja muutke ainult seda, mida ise kontrollite.
Üks nimi nurjub, kui tunnel on üleval, ja brauser nimetab seda võrguveaks, kuigi tegelik põhjus on DNS-vastus, mille resolver tagastas. Filtreeriv resolver võib ühe nime kinni hoida, keelduda või ümber kirjutada ning jätta kõik teised päringud tööle. Tunnel kannab päringut; resolver otsustab vastuse. Uurige seda vastust enne, kui puudutate krüpteerimise seadeid.
Tunnel on üleval, seega krüpteerimine ei ole kahtlusalune
Ühenduse olek ütleb, kas paketid liiguvad, mitte kas nimi laheneb. Lahendamine on päring serverile, millega klient on seadistatud, ja sealne poliitika võib ühele domeenile vastata teisiti kui kõigile teistele. Brauseri poolelt sulanduvad kõik need vastused üldiseks veaks, seepärast tõestab olekuriba nii vähe.
Kirjutage kõigepealt üles kolm asja: resolver, mida klient kasutas, nurjuva nime vastusekood ja sama päring nime kohta, mis peaks töötama. Küsige resolverilt otse käsuga dig example.com @10.20.0.1 ja lugege olekurida, mitte brauseri teadet. Kui kontrollnimi laheneb ja nurjuv nimi tagastab poliitikavastuse, on tõend täielik. Kui mõlemad nurjuvad, ei ole filter veel mängus.
Neli vastust, neli erinevat omanikku
Filtreerival resolveril ei ole ainult üht viisi ei öelda, ja keeldumise vorm osutab erinevale järgmisele sammule. Kirjutage vastusekood üles, sest brauser kirjutab kõik neli ümber millekski, mis kõlab katkenud ühendusena.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Sobitage vastus tabeliga enne, kui omistate midagi tunnelile. Keeldumine ja kinnipeetud nimi tähendavad mõlemad, et resolver tegi otsuse, samas kui vaikus tähendab, et päring ei saanud kunagi vastust. See erinevus otsustab, kas ajate taga poliitikaomanikku või võrguteed.
Kaks brauserit võivad järgida kahte poliitikat
Brauser, mis toob kaasa oma krüpteeritud resolveri, ei pea kasutama serverit, mille operatsioonisüsteem välja jagab, seega võib ta eirata poliitikat, mille jaoks tunnel ehitati. Siis on kaks brauserit samas masinas sama hostinime osas eriarvamusel ja kumbki ei ole katki. Kontrollige, millise resolveriga iga rakendus on seotud enne, kui nimetate filtri ebajärjekindlaks.
Kui mõlemad rakendused kasutavad tunneli resolverit ja ainult üks nurjub, on erinevus rakenduses, mitte DNS-is. Kirjutage resolveri aadress iga rakenduse kohta üles, sest see detail kaob, kui aken sulgub.
Muutke seda, mis on teie oma, eskaleerige seda, mis ei ole
Teie järgmine samm sõltub sellest, kellele kuulub resolver, millele te osutate. See, mida ise käitate, on funktsioon, mida saate lugeda ja seadistada: kontrollige dokumenteeritud filtreerimisvalikut ja selle erandeid, seejärel lubage üks nimi. See, mida käitab teie tööandja või teenusepakkuja, on pilet domeeni, täpse vastuse ja ajaga.
Ärge kunagi vahetage sisse avalikku resolverit, et saiti jõuga avada, sest privaatsed nimed lakkavad lahenemast ja tahtlik poliitika lakkab kehtimast. Kitsas muudatus hoiab ka tõendi puutumatuna, nii et omanik saab teie aruande oma kirjetega kõrvutada. Pärast muudatust korrake rakenduse algset testi, mitte kesta päringut.
Blokeerimisleht ei ole usaldusväärne sertifikaat
Asendusleht, mis esitab oma sertifikaadi, tekitab HTTPS-i identiteedihoiatuse, ja ümbersuunamine ei muuda seda sertifikaati kehtivaks. Ärge klõpsake sellest läbi ainult seetõttu, et tunnel on üleval; hoiatus on eraldi usaldusotsus, mis peab ikkagi õige olema.
Diagnoos sulgub, kui nurjuv nimi tagastab poliitikavastuse ja kontrollnimi tagastab sama resolveri kaudu tavalise. Sel hetkel on parandus poliitika muudatus, mitte tunneli muudatus, ja RFC 1035 vastusekoodid on see, mida aruandes tsiteerite. Hoidke mõlemad nimed ja vastused koos; see on kogu juhtum.