VPN bidezko DNS iragazketa webgune baten karga gelditu zuen: irakurri erantzuna
Iragazten duen ebazle batek izen bakarra blokea dezake tunela martxan dagoen bitartean. Irakurri erantzun mota, jakin nor den ebazlearen jabea, eta aldatu zuk kontrolatzen duzuna soilik.
Izen batek huts egiten du tunela aktibo dagoela, eta nabigatzaileak sare-errore deitzen dio, benetako arrazoia ebazleak itzulitako DNS erantzuna den arren. Iragazten duen ebazle batek izen bakarra atxiki, ukatu edo berridatzi dezake eta beste bilaketa guztiak funtzionatzen utzi. Tunelak kontsulta garraiatzen du; ebazleak erabakitzen du erantzuna. Aztertu erantzun hori zifratze-ezarpenak ukitu aurretik.
Tunela aktibo dago, beraz zifratzea ez da susmagarria
Konexioaren egoerak paketeak mugitzen diren esaten dizu, ez izen bat ebazten den. Ebazpena bezeroa konfiguratuta dagoen zerbitzariari egindako kontsulta da, eta han dagoen politikak domeinu bati beste guztiei ez bezala erantzun diezaioke. Nabigatzailearen aldetik erantzun horiek guztiek huts egite orokor batean bat egiten dute, horregatik frogatzen du hain gutxi egoera-argiak.
Idatzi lehenengo hiru gauza: bezeroak erabili zuen ebazlea, huts egiten duen izenaren erantzun-kodea eta funtzionatu beharko lukeen izen baterako kontsulta bera. Galdetu ebazleari zuzenean dig example.com @10.20.0.1 erabiliz eta irakurri egoera-lerroa, ez nabigatzailearen mezua. Kontrol-izena ebazten bada eta huts egiten duenak politika-erantzuna itzultzen badu, froga osoa da. Biak huts egiten badute, iragazkia ez dago oraindik tartean.
Lau erantzun, lau jabe desberdin
Iragazten duen ebazleak ez du ezetz esateko modu bakarra, eta ukatzearen formak hurrengo urrats desberdina adierazten du. Idatzi erantzun-kodea, nabigatzaileak laurak moztutako konexio baten antza duen zerbaitetara berridazten baititu.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Konparatu erantzuna taularekin tunelari ezer egotzi aurretik. Ukatzeak eta atxikitako izenak biak esan nahi dute ebazleak erabaki bat hartu duela, bitartean isiltasunak esan nahi du kontsultak ez zuela inoiz erantzunik jaso. Alde horrek erabakitzen du politika-jabe baten atzetik zoazen edo sare-bide baten atzetik.
Bi nabigatzailek bi politika jarrai ditzakete
Bere ebazle zifratua dakarren nabigatzaileak ez du sistema eragileak banatzen duen zerbitzaria erabili beharrik, beraz tunela aplikatzeko eraiki zen politika alde batera dezake. Orduan makina bereko bi nabigatzaile ez datoz bat host-izen berari buruz, eta bat ere ez dago hondatuta. Egiaztatu zein ebazleri dagoen lotuta aplikazio bakoitza iragazkia koherente ez dela esan aurretik.
Bi aplikazioek tunelaren ebazlea erabiltzen dutenean eta bakarra huts egiten duenean, aldea aplikazioan dago, ez DNSean. Idatzi ebazlearen helbidea aplikazio bakoitzeko, xehetasun hori leihoa ixtean desagertzen baita.
Aldatu zure jabetzakoa dena, eskailatu ez dena
Zure hurrengo urratsa seinalatzen ari zaren ebazlearen jabearen araberakoa da. Zeuk kudeatzen duzuna irakurri eta konfigura dezakezun funtzio bat da: egiaztatu dokumentatutako iragazketa-aukera eta haren salbuespenak, eta gero baimendu izen bakarra. Zure enpresaburuak edo hornitzaileak kudeatzen duena domeinua, erantzun zehatza eta ordua dituen tiket bat da.
Ez ordezkatu inoiz ebazle publiko batekin gunea indarrez irekitzeko, izen pribatuek ebazteari uzten baitiote eta politika deliberatuak aplikatzeari uzten baitio. Aldaketa estuak frogak osorik mantentzen ditu, jabeak zure txostena bere erregistroekin konpara dezan. Aldaketaren ondoren, errepikatu aplikazioaren jatorrizko proba, shell batetik egindako bilaketa baten ordez.
Blokeo-orrialdea ez da konfiantzazko ziurtagiria
Bere ziurtagiria aurkezten duen ordezko orrialde batek HTTPS identitate-abisua sortuko du, eta birbideratzeak ez du ziurtagiri hori baliozkoa egiten. Ez egin klik bertan tunela aktibo dagoelako; abisua konfiantza-erabaki bereizi bat da eta oraindik zuzena izan behar du.
Diagnostikoa ixten da huts egiten duen izenak politika-erantzuna itzultzen duenean eta kontrol-izen batek arrunta itzultzen duenean ebazle beraren bidez. Puntu horretan konponketa politika-aldaketa da, ez tunel-aldaketa, eta RFC 1035 erantzun-kodeak dira txostenean aipatzen dituzunak. Eutsi bi izenak eta erantzunak elkarrekin; hori da kasu osoa.