DNS-filtern fan in VPN stoppe it laden fan in webside: lês it antwurd
In filterjende resolver kin ien namme blokkearje wylst de tunnel wurket. Lês it type antwurd, fyn út wa't de resolver besit, en feroarje allinnich wat jo sels kontrolearje.
Ien namme mislearret wylst de tunnel oan stiet, en de browser neamt it in netwurkflater, wylst de echte oarsaak it DNS-antwurd is dat de resolver weromjoech. In filterjende resolver kin ien namme tsjinhâlde, wegerje of oerskriuwe en elke oare opfrege namme wurkje litte. De tunnel draacht de fraach; de resolver beslút it antwurd. Undersykje dat antwurd foardat jo de fersiferingsynstellingen oanreitsje.
De tunnel stiet oan, dus fersifering is net de fertochte
De ferbiningsstatus fertelt jo oft pakketten bewege, net oft in namme oplost wurdt. Oplossen is in fraach oan de tsjinner dêr't de klant op ynsteld is, en in belied dêr kin ien domein oars beäntwurdzje as alle oaren. Fan de browserkant ôf falle al dy antwurden tegearre yn ien algemiene flater, dêrom bewiist it statuslampke sa min.
Skriuw earst trije dingen op: de resolver dy't de klant brûkte, de antwurdkoade foar de mislearjende namme, en deselde fraach foar in namme dy't wurkje moat. Freegje de resolver direkt mei dig example.com @10.20.0.1 en lês de statusrigel, net it browserberjocht. As de kontrôlenamme oplost en de mislearjende ien in beliedsantwurd jout, is it bewiis folslein. As beide mislearje, is it filter noch net belutsen.
Fjouwer antwurden, fjouwer ferskillende eigners
In filterjende resolver hat net ien manier om nee te sizzen, en de foarm fan de wegering wiist nei in oare folgjende stap. Skriuw de antwurdkoade op, want de browser skriuwt alle fjouwer oer yn iets dat klinkt as in ôfbrutsen ferbining.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Fergelykje it antwurd mei de tabel foardat jo eat oan de tunnel taskriuwe. In wegering en in tsjinhâlden namme betsjutte beide dat de resolver in beslút naam hat, wylst stilte betsjut dat de fraach nea in antwurd krige. Dat ferskil beslút oft jo in beliedseigner of in netwurkpaad efterfolgje.
Twa browsers kinne twa beliedden folgje
In browser dy't syn eigen fersifere resolver meibringt hoecht net de tsjinner te brûken dy't it bestjoeringssysteem útdielt, dus kin it it belied negearje wêrfoar de tunnel boud is. Dan binne twa browsers op ien masine it net iens oer deselde hostnamme, en gjinien is stikken. Kontrolearje oan hokker resolver elk programma bûn is foardat jo it filter ynkonsistint neame.
As beide programma's de resolver fan de tunnel brûke en mar ien mislearret, sit it ferskil yn it programma, net yn DNS. Skriuw it resolveradres per programma op, want dat detail ferdwynt as it finster slút.
Feroarje wat jo besitte, eskaleare wat jo net besitte
Jo folgjende stap hinget ôf fan wa't de resolver besit dêr't jo op rjochte binne. Ien dy't jo sels rinne is in funksje dy't jo lêze en ynstelle kinne: kontrolearje de dokumintearre filteropsje en syn útsûnderingen, en stean dan de iene namme ta. Ien dy't jo wurkjouwer of provider rint is in kaartsje mei it domein, it krekte antwurd en de tiid.
Ferwikselje nea in iepenbiere resolver om de side mei geweld iepen te krijen, want priveenammen hâlde op mei oplossen en in bewust belied hâldt op mei jilding. De smelle feroaring hâldt it bewiis ek yntakt, sadat de eigner jo rapport njonken syn eigen records lizze kin. Werhelje nei de feroaring de oarspronklike programmatest ynstee fan in opfrege fan in shell.
In blokside is gjin fertroude sertifikaat
In ferfangende side dy't syn eigen sertifikaat presintearret sil in HTTPS-identiteitswarskôging jouwe, en de trochferwizing makket dat sertifikaat net jildich. Klikje der net trochhinne om't de tunnel oan stiet; de warskôging is in aparte fertrouwensbeslissing dy't dochs kloppje moat.
De diagnoaze slút as de mislearjende namme in beliedsantwurd jout en in kontrôlenamme in normaal ien fia deselde resolver. Op dat punt is de reparaasje in beliedsferoaring, net in tunnelferoaring, en de RFC 1035 antwurdkoades binne wat jo yn it rapport sitearje. Hâld beide nammen en antwurden byinoar; dat is de hiele saak.