VPN से DNS फ़िल्टरिंग ने वेबसाइट लोड होना रोक दिया: जवाब पढ़ें
फ़िल्टर करने वाला रिज़ॉल्वर टनल चालू रहने पर एक नाम को ब्लॉक कर सकता है। जवाब का प्रकार पढ़ें, पता लगाएँ कि रिज़ॉल्वर किसका है, और सिर्फ़ वही बदलें जो आप नियंत्रित करते हैं।
टनल चालू रहने पर एक नाम विफल होता है, और ब्राउज़र इसे नेटवर्क त्रुटि कहता है, जबकि असली कारण रिज़ॉल्वर द्वारा लौटाया गया DNS जवाब है। फ़िल्टर करने वाला रिज़ॉल्वर एक नाम को रोक सकता है, मना कर सकता है या फिर से लिख सकता है और बाकी हर लुकअप काम करता रह सकता है। टनल प्रश्न ढोता है; रिज़ॉल्वर जवाब तय करता है। एन्क्रिप्शन सेटिंग्स को छूने से पहले उस जवाब की जाँच करें।
टनल चालू है, इसलिए एन्क्रिप्शन संदिग्ध नहीं है
कनेक्शन की स्थिति बताती है कि पैकेट चल रहे हैं या नहीं, यह नहीं कि कोई नाम हल हो रहा है। रिज़ॉल्यूशन उस सर्वर को भेजा गया प्रश्न है जिसके साथ क्लाइंट कॉन्फ़िगर है, और वहाँ की नीति एक डोमेन का जवाब बाकी सबसे अलग दे सकती है। ब्राउज़र की ओर से ये सारे जवाब एक सामान्य विफलता में मिल जाते हैं, इसलिए स्थिति लाइट इतना कम साबित करती है।
पहले तीन चीज़ें लिखें: क्लाइंट ने जो रिज़ॉल्वर इस्तेमाल किया, विफल नाम का रिस्पॉन्स कोड, और उसी नाम के लिए वही प्रश्न जो काम करना चाहिए। रिज़ॉल्वर से सीधे dig example.com @10.20.0.1 के साथ पूछें और स्टेटस लाइन पढ़ें, ब्राउज़र का संदेश नहीं। अगर नियंत्रण नाम हल होता है और विफल नाम नीति-जवाब देता है, तो सबूत पूरा है। अगर दोनों विफल हों, तो फ़िल्टर अभी शामिल नहीं है।
चार जवाब, चार अलग मालिक
फ़िल्टर करने वाले रिज़ॉल्वर के पास ना कहने का एक ही तरीका नहीं है, और मना करने का रूप अलग अगले कदम की ओर इशारा करता है। रिस्पॉन्स कोड लिख लें, क्योंकि ब्राउज़र चारों को कटे हुए कनेक्शन जैसा लगने वाला कुछ बना देता है।
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
टनल पर कुछ भी थोपने से पहले जवाब को तालिका से मिलाएँ। मना करना और रोका गया नाम दोनों का मतलब है कि रिज़ॉल्वर ने फ़ैसला लिया है, जबकि ख़ामोशी का मतलब है कि प्रश्न को कभी जवाब नहीं मिला। यही अंतर तय करता है कि आप नीति-मालिक के पीछे जाएँ या नेटवर्क पथ के।
दो ब्राउज़र दो नीतियाँ अपना सकते हैं
जो ब्राउज़र अपना एन्क्रिप्टेड रिज़ॉल्वर साथ लाता है उसे ऑपरेटिंग सिस्टम जो सर्वर बाँटता है वही इस्तेमाल करना ज़रूरी नहीं, इसलिए वह उस नीति को नज़रअंदाज़ कर सकता है जिसके लिए टनल बना था। तब एक ही मशीन पर दो ब्राउज़र एक ही होस्टनाम पर असहमत होते हैं, और कोई भी ख़राब नहीं है। जाँचें कि हर ऐप्लिकेशन किस रिज़ॉल्वर से बँधा है फ़िल्टर को असंगत कहने से पहले।
जब दोनों ऐप्लिकेशन टनल का रिज़ॉल्वर इस्तेमाल करते हैं और सिर्फ़ एक विफल होता है, तो अंतर ऐप्लिकेशन में है, DNS में नहीं। हर ऐप्लिकेशन के लिए रिज़ॉल्वर का पता लिखें, क्योंकि विंडो बंद होते ही वह ब्यौरा ग़ायब हो जाता है।
जो आपका है उसे बदलें, जो नहीं है उसे ऊपर भेजें
आपका अगला कदम इस पर निर्भर है कि जिस रिज़ॉल्वर की ओर आप इशारा कर रहे हैं वह किसका है। जो आप ख़ुद चलाते हैं वह ऐसी सुविधा है जिसे आप पढ़ और कॉन्फ़िगर कर सकते हैं: दस्तावेज़ी फ़िल्टरिंग विकल्प और उसके अपवाद देखें, फिर उस एक नाम की अनुमति दें। जो आपका नियोक्ता या प्रदाता चलाता है वह डोमेन, सटीक जवाब और समय के साथ एक टिकट है।
साइट को ज़बरदस्ती खोलने के लिए कभी सार्वजनिक रिज़ॉल्वर न लगाएँ, क्योंकि निजी नाम हल होना बंद हो जाते हैं और जानबूझकर बनाई नीति लागू होना बंद हो जाती है। सीमित बदलाव सबूत को भी सुरक्षित रखता है, ताकि मालिक आपकी रिपोर्ट को अपने रिकॉर्ड से मिला सके। बदलाव के बाद शेल से लुकअप के बजाय मूल ऐप्लिकेशन परीक्षण दोहराएँ।
ब्लॉक पेज भरोसेमंद प्रमाणपत्र नहीं है
अपना प्रमाणपत्र दिखाने वाला रिप्लेसमेंट पेज HTTPS पहचान चेतावनी देगा, और रीडायरेक्ट उस प्रमाणपत्र को वैध नहीं बनाता। सिर्फ़ इसलिए उस पर क्लिक न करें कि टनल चालू है; चेतावनी एक अलग भरोसा-निर्णय है जो फिर भी सही होना चाहिए।
निदान तब बंद होता है जब विफल नाम नीति-जवाब देता है और नियंत्रण नाम उसी रिज़ॉल्वर से सामान्य जवाब देता है। उस बिंदु पर मरम्मत नीति का बदलाव है, टनल का नहीं, और रिपोर्ट में आप जो RFC 1035 रिस्पॉन्स कोड उद्धृत करते हैं वही हैं। दोनों नाम और जवाब साथ रखें; पूरा मामला यही है।