סינון DNS דרך VPN עצר טעינת אתר: קראו את התשובה
מפענח מסנן יכול לחסום שם אחד בזמן שהמנהרה עובדת. קראו את סוג התשובה, גלו למי שייך המפענח, ושנו רק את מה שאתם שולטים בו.
שם אחד נכשל בזמן שהמנהרה פעילה, והדפדפן מכנה זאת שגיאת רשת, בעוד הסיבה האמיתית היא תשובת ה-DNS שהמפענח החזיר. מפענח מסנן יכול לעכב, לסרב או לשכתב שם אחד ולהשאיר כל שאילתה אחרת עובדת. המנהרה נושאת את השאילתה; המפענח קובע את התשובה. בדקו את התשובה הזאת לפני שאתם נוגעים בהגדרות ההצפנה.
המנהרה פעילה, ולכן ההצפנה אינה החשודה
מצב החיבור אומר לכם אם חבילות זזות, לא אם שם נפתר. פתרון הוא שאילתה לשרת שאליו הלקוח הוגדר, ומדיניות שם יכולה לענות לדומיין אחד אחרת מאשר לכל האחרים. מצד הדפדפן כל התשובות האלה מתמזגות לשגיאה כללית, ולכן נורית המצב מוכיחה כל כך מעט.
רשמו קודם שלושה דברים: המפענח שהלקוח השתמש בו, קוד התגובה לשם שנכשל, ואותה שאילתה לשם שאמור לעבוד. שאלו את המפענח ישירות עם dig example.com @10.20.0.1 וקראו את שורת המצב, לא את הודעת הדפדפן. אם שם הבקרה נפתר והשם שנכשל מחזיר תשובת מדיניות, ההוכחה שלמה. אם שניהם נכשלים, המסנן עדיין לא מעורב.
ארבע תשובות, ארבעה בעלים שונים
למפענח מסנן אין דרך אחת לומר לא, וצורת הסירוב מצביעה על צעד הבא אחר. רשמו את קוד התגובה, כי הדפדפן משכתב את כל הארבעה למשהו שנשמע כמו חיבור שנקטע.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
השוו את התשובה לטבלה לפני שאתם מייחסים משהו למנהרה. סירוב ושם מעוכב שניהם אומרים שהמפענח קיבל החלטה, בעוד שתיקה אומרת שהשאילתה מעולם לא קיבלה תשובה. ההבדל הזה קובע אם תרדפו אחרי בעל מדיניות או אחרי נתיב רשת.
שני דפדפנים יכולים לפעול לפי שתי מדיניות
דפדפן שמביא מפענח מוצפן משל עצמו אינו חייב להשתמש בשרת שמערכת ההפעלה מחלקת, ולכן הוא יכול להתעלם מהמדיניות שלשמה נבנתה המנהרה. אז שני דפדפנים באותו מחשב חלוקים על אותו שם מארח, ואף אחד מהם אינו מקולקל. בדקו לאיזה מפענח כל יישום קשור לפני שאתם מכנים את המסנן לא עקבי.
כששני היישומים משתמשים במפענח של המנהרה ורק אחד נכשל, ההבדל נמצא ביישום, לא ב-DNS. רשמו את כתובת המפענח לכל יישום, כי הפרט הזה נעלם כשהחלון נסגר.
שנו את מה ששלכם, הסלימו את מה שלא
הצעד הבא שלכם תלוי במי שמחזיק במפענח שאליו אתם מצביעים. אחד שאתם מפעילים בעצמכם הוא תכונה שאפשר לקרוא ולהגדיר: בדקו את אפשרות הסינון המתועדת ואת החריגים שלה, ואז אפשרו את השם הבודד. אחד שמעסיק או ספק מפעיל הוא כרטיס עם הדומיין, התשובה המדויקת והשעה.
לעולם אל תחליפו במפענח ציבורי כדי לכפות את פתיחת האתר, כי שמות פרטיים מפסיקים להיפתר ומדיניות מכוונת מפסיקה לחול. השינוי הצר גם שומר על ההוכחה שלמה, כדי שהבעלים יוכל להשוות את הדוח שלכם לרשומות שלו. אחרי השינוי, חזרו על מבחן היישום המקורי ולא על שאילתה ממעטפת.
עמוד חסימה אינו תעודה מהימנה
עמוד חלופי שמציג תעודה משל עצמו יעורר אזהרת זהות HTTPS, וההפניה אינה הופכת את התעודה לתקפה. אל תלחצו דרכו רק מפני שהמנהרה פעילה; האזהרה היא החלטת אמון נפרדת שעדיין חייבת להיות נכונה.
האבחון נסגר כשהשם שנכשל מחזיר תשובת מדיניות ושם בקרה מחזיר תשובה רגילה דרך אותו מפענח. בנקודה הזאת התיקון הוא שינוי מדיניות, לא שינוי מנהרה, ו-RFC 1035 קודי התגובה הם מה שאתם מצטטים בדוח. שמרו את שני השמות והתשובות יחד; זה כל המקרה.