Pourquoi un site bloqué se charge encore après la déconnexion du VPN

Un site était bloqué, fonctionnait tant que le VPN était connecté, et fonctionne encore après la déconnexion du VPN. C'est un petit morceau de preuve sur l'endroit où se trouvait le blocage, pas la preuve que le tunnel soit resté en vigueur. Si le blocage avait porté sur l'adresse de destination, un nom en cache n'aurait pas aidé et la connexion échouerait toujours. Le chargement de la page pointe plutôt vers la résolution de noms. Lire correctement cet indice vous épargne un long détour par les règles du pare-feu.

Il y a deux endroits où un blocage peut se trouver, et depuis un navigateur ils semblent identiques.

Deux blocages qui semblent identiques dans un navigateur

Un blocage de noms se produit lors de la résolution. Le résolveur renvoie une adresse erronée, une réponse vide ou une page de portail captif, et le navigateur signale que le site est inaccessible.

Un blocage d'adresses se produit plus tard. Le nom se résout correctement et les paquets vers la véritable adresse sont abandonnés, redirigés ou réinitialisés. Changer de résolveur ne fait rien ici, car la panne commence après que le nom a déjà reçu une réponse.

Seul le premier type peut être porté par un cache, et c'est ce qui rend votre observation utile.

Pourquoi la réponse survit au tunnel

Les caches de résolveur sont indexés par nom et conservés pendant la durée de vie de l'enregistrement. Le système d'exploitation en garde un, et le navigateur en garde généralement un autre, si bien qu'un même nom peut être stocké deux fois avec deux durées différentes. Connecter ou déconnecter un VPN ne vide ni l'un ni l'autre ; cela change seulement le résolveur auquel les futures requêtes sont envoyées.

Pendant que le tunnel était actif, la requête est allée au résolveur du fournisseur, qui a renvoyé l'adresse correcte, et cette réponse a été stockée localement. Après la déconnexion, le navigateur a de nouveau demandé, le cache local a répondu sans consulter personne, et la page s'est chargée.

Elle continuera de se charger jusqu'à l'expiration de l'entrée ou jusqu'à ce que quelqu'un vide le cache, puis l'ancien comportement revient.

Un test en trois étapes qui les sépare

Faites-les dans l'ordre, car le premier est la seule étape qui prouve que le cache portait la page.

Videz le cache du résolveur et celui du navigateur, puis rechargez. Si le site échoue de nouveau, le cache était la raison de son fonctionnement. Interrogez ensuite le même nom via le résolveur que vous aviez avant le VPN et via un autre, et comparez les deux réponses : une divergence situe le blocage dans le nommage. Si vous connaissez l'adresse, essayez de l'atteindre sans le nom, car y réussir confirme que l'adresse elle-même n'est pas filtrée.

Ce que chaque résultat signifie pour votre prochaine étape

Pour un blocage de noms, le changement direct est un autre résolveur, et le DNS chiffré change qui peut voir et modifier ces requêtes. Le VPN faisait ce travail comme effet secondaire.

Pour un blocage au niveau de l'adresse, un changement de résolveur est sans objet et la théorie du cache est tout simplement fausse.

Deux limites méritent d'être énoncées avant d'agir. Savoir si vous pouvez changer de résolveur sur un réseau donné est une question de politique et non de technique. Et tous les réseaux ne bloquent pas via le DNS, donc un résultat décrit le réseau que vous avez testé et non le blocage en général. Notez quel résolveur vous avez utilisé, car ce détail est ce qui rend le test reproductible pour la personne suivante.