Por que un sitio bloqueado segue cargando despois de desconectar a VPN

Un sitio estaba bloqueado, funcionaba mentres a VPN estaba conectada e segue funcionando despois de desconectar a VPN. Iso é unha pequena peza de evidencia sobre onde estaba o bloqueo, non unha proba de que o túnel seguise vixente. Se o bloqueo estivese no enderezo de destino, un nome na caché non axudaría e a conexión seguiría fallando. A carga da páxina apunta, polo contrario, á resolución de nomes. Ler ben esa pista aforra unha longa volta polas regras da devasa.

Hai dous lugares onde pode estar un bloqueo, e desde un navegador vense idénticos.

Dous bloqueos que se ven igual nun navegador

Un bloqueo de nomes ocorre na resolución. O resolutor devolve un enderezo erróneo, unha resposta baleira ou unha páxina de portal cativo, e o navegador informa de que non se pode chegar ao sitio.

Un bloqueo de enderezos ocorre máis tarde. O nome resólvese correctamente e os paquetes cara ao enderezo real descártanse, rediríxense ou restablécese. Cambiar o resolutor non fai nada aquí, porque o fallo comeza despois de que o nome xa foi respondido.

Só o primeiro tipo pode ser transportado por unha caché, e iso é o que fai útil a túa observación.

Por que a resposta sobrevive ao túnel

As cachés do resolutor indéxanse por nome e gárdanse durante o tempo de vida do rexistro. O sistema operativo garda unha, e o navegador adoita gardar outra, así que un só nome pode almacenarse dúas veces con dúas vidas distintas. Conectar ou desconectar unha VPN non baleira ningunha das dúas; só cambia a que resolutor se envían as consultas futuras.

Mentres o túnel estaba activo, a consulta foi ao resolutor do provedor, que devolveu o enderezo correcto, e esa resposta gardouse localmente. Tras a desconexión o navegador preguntou de novo, a caché local respondeu sen consultar a ninguén e a páxina cargou.

Seguirá cargando ata que a entrada caduque ou alguén baleire a caché, e entón volve o comportamento antigo.

Unha proba de tres pasos que os separa

Faino en orde, porque o primeiro é o único paso que demostra que a caché estaba transportando a páxina.

Baleira a caché do resolutor e a do navegador, e recarga. Se o sitio volve fallar, a caché era a razón de que funcionase. Despois consulta o mesmo nome polo resolutor que tiñas antes da VPN e por outro distinto, e compara as dúas respostas: unha discrepancia sitúa o bloqueo no nomeado. Se coñeces o enderezo, tenta chegar a el sen o nome, porque o éxito alí confirma que o enderezo en si non está filtrado.

Que significa cada resultado para o teu seguinte paso

Para un bloqueo de nomes, o cambio directo é outro resolutor, e o DNS cifrado cambia quen pode ver e alterar esas consultas. A VPN facía ese traballo como efecto secundario.

Para un bloqueo a nivel de enderezo, cambiar o resolutor é irrelevante e a teoría da caché é sinxelamente errónea.

Dúas fronteiras merecen mención antes de que actúes. Se podes cambiar de resolutor nunha rede dada é unha cuestión de política e non técnica. E non todas as redes bloquean mediante DNS, así que un resultado describe a rede que probaches e non o bloqueo en xeral. Anota que resolutor usaches, porque ese detalle é o que fai a proba repetible para a seguinte persoa.