DNS-suodatus VPN:n kautta esti verkkosivun latautumisen: lue vastaus
Suodattava resolveri voi estää yhden nimen, kun tunneli toimii. Lue vastauksen tyyppi, selvitä kuka resolverin omistaa ja muuta vain sitä, mitä itse hallitset.
Yksi nimi epäonnistuu, kun tunneli on päällä, ja selain kutsuu sitä verkkovirheeksi, vaikka todellinen syy on DNS-vastaus, jonka resolveri palautti. Suodattava resolveri voi pidättää, hylätä tai kirjoittaa uudelleen yhden nimen ja jättää kaikki muut haut toimimaan. Tunneli kuljettaa kyselyn; resolveri päättää vastauksen. Tutki tätä vastausta ennen kuin kosket salausasetuksiin.
Tunneli on päällä, joten salaus ei ole epäilty
Yhteyden tila kertoo, liikkuvatko paketit, ei sitä, ratkeaako nimi. Ratkaisu on kysely palvelimelle, johon asiakas on määritetty, ja siellä oleva käytäntö voi vastata yhdelle verkkotunnukselle eri tavalla kuin kaikille muille. Selainten puolelta kaikki nuo vastaukset sulautuvat yleiseksi virheeksi, siksi tilavalo todistaa niin vähän.
Kirjaa ensin kolme asiaa: resolveri, jota asiakas käytti, epäonnistuvan nimen vastauskoodi ja sama kysely nimelle, jonka pitäisi toimia. Kysy resolverilta suoraan komennolla dig example.com @10.20.0.1 ja lue tilarivi, älä selaimen viestiä. Jos kontrollinimi ratkeaa ja epäonnistuva palauttaa käytäntövastauksen, todiste on täydellinen. Jos molemmat epäonnistuvat, suodatin ei ole vielä mukana.
Neljä vastausta, neljä eri omistajaa
Suodattavalla resolverilla ei ole vain yhtä tapaa sanoa ei, ja hylkäyksen muoto osoittaa eri seuraavaan vaiheeseen. Kirjoita vastauskoodi ylös, koska selain kirjoittaa kaikki neljä uudelleen joksikin, joka kuulostaa katkenneelta yhteydeltä.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Vertaa vastausta taulukkoon ennen kuin liität mitään tunneliin. Hylkäys ja pidätetty nimi tarkoittavat molemmat, että resolveri teki päätöksen, kun taas hiljaisuus tarkoittaa, ettei kysely saanut koskaan vastausta. Tämä ero ratkaisee, jahtaatko käytännön omistajaa vai verkkopolkua.
Kaksi selainta voi noudattaa kahta käytäntöä
Selain, joka tuo mukanaan oman salatun resolverinsa, ei tarvitse käyttää palvelinta, jonka käyttöjärjestelmä jakaa, joten se voi jättää huomiotta käytännön, jota varten tunneli rakennettiin. Silloin kaksi selainta samalla koneella ovat eri mieltä samasta isäntänimestä, eikä kumpikaan ole rikki. Tarkista, mihin resolveriin kukin sovellus on sidottu ennen kuin kutsut suodatinta epäjohdonmukaiseksi.
Kun molemmat sovellukset käyttävät tunnelin resolveria ja vain toinen epäonnistuu, ero on sovelluksessa, ei DNS:ssä. Kirjoita resolverin osoite sovelluskohtaisesti, koska se yksityiskohta katoaa, kun ikkuna sulkeutuu.
Muuta sitä, minkä omistat, eskaloi se, mitä et omista
Seuraava siirtosi riippuu siitä, kuka omistaa resolverin, johon osoitat. Itse ylläpitämäsi on ominaisuus, jonka voit lukea ja määrittää: tarkista dokumentoitu suodatusasetus ja sen poikkeukset ja salli sitten yksittäinen nimi. Työnantajasi tai palveluntarjoajasi ylläpitämä on tiketti, jossa on verkkotunnus, tarkka vastaus ja kellonaika.
Älä koskaan vaihda julkiseen resolveriin pakottaaksesi sivuston auki, koska yksityiset nimet lakkaavat ratkeamasta ja tarkoituksellinen käytäntö lakkaa pätenemästä. Kapea muutos pitää myös todisteen ehjänä, jotta omistaja voi verrata raporttiasi omiin tietoihinsa. Toista muutoksen jälkeen sovelluksen alkuperäinen testi kuoren komennon sijaan.
Estosivu ei ole luotettu varmenne
Korvaava sivu, joka esittää oman varmenteensa, nostaa HTTPS-identiteettivaroituksen, eikä uudelleenohjaus tee siitä varmenteesta kelvollista. Älä klikkaa sen läpi vain siksi, että tunneli on päällä; varoitus on erillinen luottamuspäätös, jonka on silti oltava oikein.
Diagnoosi sulkeutuu, kun epäonnistuva nimi palauttaa käytäntövastauksen ja kontrollinimi palauttaa normaalin saman resolverin kautta. Siinä vaiheessa korjaus on käytännön muutos, ei tunnelin muutos, ja RFC 1035 -vastauskoodit ovat se, mitä raportissa lainaat. Pidä molemmat nimet ja vastaukset yhdessä; siinä on koko tapaus.