O filtrado DNS por VPN impediu cargar un sitio web: lea a resposta
Un resolutor filtrante pode bloquear un só nome mentres o túnel funciona. Lea o tipo de resposta, descubra quen é o dono do resolutor e cambie só o que controla.
Un nome falla mentres o túnel está activo, e o navegador chámao erro de rede, cando a causa real é a resposta DNS que devolveu o resolutor. Un resolutor filtrante pode reter, rexeitar ou reescribir un só nome e deixar funcionando calquera outra consulta. O túnel transporta a consulta; o resolutor decide a resposta. Examine esa resposta antes de tocar os axustes de cifrado.
O túnel está activo, así que o cifrado non é o sospeitoso
O estado da conexión dille se os paquetes se moven, non se un nome se resolve. A resolución é unha consulta ao servidor co que se configurou o cliente, e unha política alí pode responder a un dominio de forma distinta que a calquera outro. Desde o lado do navegador, todas esas respostas funden nun fallo xenérico, e por iso o indicador de estado demostra tan pouco.
Anote primeiro tres cousas: o resolutor que usou o cliente, o código de resposta do nome que falla e a mesma consulta para un nome que debería funcionar. Pregunte directamente ao resolutor con dig example.com @10.20.0.1 e lea a liña de estado, non a mensaxe do navegador. Se o nome de control se resolve e o que falla devolve unha resposta de política, a proba está completa. Se ambos fallan, o filtro aínda non intervén.
Catro respostas, catro donos distintos
Un resolutor filtrante non ten unha soa forma de dicir non, e a forma do rexeitamento apunta a un paso seguinte distinto. Anote o código de resposta, porque o navegador reescribe os catro en algo que soa a conexión cortada.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Compare a resposta coa táboa antes de atribuír nada ao túnel. Un rexeitamento e un nome retido significan ambos que o resolutor tomou unha decisión, mentres que o silencio significa que a consulta nunca obtivo resposta. Esa diferenza decide se persegue un dono de política ou unha ruta de rede.
Dous navegadores poden seguir dúas políticas
Un navegador que trae o seu propio resolutor cifrado non ten por que usar o servidor que entrega o sistema operativo, así que pode ignorar a política para a que se construíu o túnel. Entón dous navegadores na mesma máquina non coinciden sobre o mesmo nome de host, e ningún está roto. Comprobe a que resolutor está ligada cada aplicación antes de chamar incoherente ao filtro.
Cando ambas aplicacións usan o resolutor do túnel e só unha falla, a diferenza está na aplicación, non en DNS. Anote o enderezo do resolutor por aplicación, porque ese detalle desaparece cando se pecha a xanela.
Cambie o que posúe, escale o que non
O seu seguinte paso depende de quen é o dono do resolutor ao que apunta. Un que executa vostede mesmo é unha función que pode ler e configurar: revise a opción de filtrado documentada e as súas excepcións, e despois permita o nome concreto. Un que executa o seu empregador ou provedor é un tícket co dominio, a resposta exacta e a hora.
Nunca substitúa por un resolutor público para forzar a apertura do sitio, porque os nomes privados deixan de resolverse e unha política deliberada deixa de aplicarse. O cambio estreito tamén mantén a proba intacta, para que o dono poida comparar o seu informe cos seus propios rexistros. Despois do cambio, repita a proba orixinal da aplicación en lugar dunha consulta desde unha shell.
Unha páxina de bloqueo non é un certificado de confianza
Unha páxina de substitución que presenta o seu propio certificado provocará un aviso de identidade HTTPS, e a redirección non fai válido ese certificado. Non faga clic a través dela só porque o túnel está activo; o aviso é unha decisión de confianza aparte que aínda debe ser correcta.
O diagnóstico péchase cando o nome que falla devolve unha resposta de política e un nome de control devolve unha normal a través do mesmo resolutor. Nese punto a reparación é un cambio de política, non un cambio de túnel, e os RFC 1035 códigos de resposta son o que cita no informe. Manteña ambos nomes e as respostas xuntos; ese é todo o caso.