A VPN-en átmenő DNS-szűrés megakadályozta egy webhely betöltését: olvassa el a választ
Egy szűrő feloldó egyetlen nevet is blokkolhat, miközben az alagút működik. Olvassa el a válasz típusát, derítse ki, kié a feloldó, és csak azt módosítsa, amit Ön irányít.
Egy név meghiúsul, miközben az alagút működik, és a böngésző hálózati hibának nevezi, holott a valódi ok a feloldó által visszaadott DNS-válasz. Egy szűrő feloldó egyetlen nevet visszatarthat, elutasíthat vagy átírhat, és minden más lekérdezést működni hagyhat. Az alagút szállítja a lekérdezést; a feloldó dönt a válaszról. Vizsgálja meg ezt a választ, mielőtt a titkosítási beállításokhoz nyúlna.
Az alagút működik, tehát a titkosítás nem gyanús
A kapcsolat állapota azt mondja meg, mozognak-e a csomagok, nem azt, hogy feloldódik-e egy név. A feloldás lekérdezés ahhoz a kiszolgálóhoz, amelyre az ügyfél be van állítva, és az ottani szabályzat egy tartományt másképp válaszolhat meg, mint bármelyik mást. A böngésző oldaláról ezek a válaszok általános hibába folynak össze, ezért bizonyít olyan keveset az állapotjelző.
Először jegyezzen fel három dolgot: a feloldót, amelyet az ügyfél használt, a meghiúsuló név válaszkódját és ugyanazt a lekérdezést egy névre, amelynek működnie kellene. Kérdezze meg a feloldót közvetlenül a dig example.com @10.20.0.1 paranccsal, és az állapotsort olvassa, ne a böngésző üzenetét. Ha a kontrollnév feloldódik, és a meghiúsuló szabályzatválaszt ad, a bizonyíték teljes. Ha mindkettő meghiúsul, a szűrő még nem érintett.
Négy válasz, négy különböző tulajdonos
Egy szűrő feloldónak nincs egyetlen módja a nemet mondásra, és az elutasítás formája más következő lépésre mutat. Jegyezze fel a válaszkódot, mert a böngésző mind a négyet valami olyasmivé írja át, ami megszakadt kapcsolatnak hangzik.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Hasonlítsa össze a választ a táblázattal, mielőtt bármit az alagútnak tulajdonítana. Az elutasítás és a visszatartott név is azt jelenti, hogy a feloldó döntést hozott, miközben a csend azt jelenti, hogy a lekérdezés soha nem kapott választ. Ez a különbség dönti el, hogy szabályzattulajdonos vagy hálózati útvonal után megy-e.
Két böngésző két szabályzatot követhet
Egy böngésző, amely saját titkosított feloldót hoz magával, nem köteles az operációs rendszer által kiosztott kiszolgálót használni, így figyelmen kívül hagyhatja azt a szabályzatot, amelyhez az alagutat építették. Ekkor két böngésző ugyanazon a gépen ugyanabban a gazdagépnévben nem ért egyet, és egyik sem hibás. Ellenőrizze, melyik feloldóhoz van kötve az egyes alkalmazások mielőtt a szűrőt következetlennek nevezné.
Amikor mindkét alkalmazás az alagút feloldóját használja, és csak az egyik hiúsul meg, a különbség az alkalmazásban van, nem a DNS-ben. Jegyezze fel a feloldó címét alkalmazásonként, mert ez a részlet eltűnik, amikor az ablak bezárul.
Amit birtokol, azt változtassa; amit nem, azt eszkalálja
A következő lépés attól függ, kié a feloldó, amelyre mutat. Az, amelyet Ön maga üzemeltet, olyan funkció, amelyet olvashat és beállíthat: ellenőrizze a dokumentált szűrési beállítást és kivételeit, majd engedélyezze az adott nevet. Az, amelyet a munkáltatója vagy a szolgáltatója üzemeltet, jegy a tartománnyal, a pontos válasszal és az időponttal.
Soha ne cseréljen nyilvános feloldóra, hogy erővel megnyissa az oldalt, mert a privát nevek feloldása leáll, és a szándékos szabályzat nem érvényesül tovább. A szűk változtatás a bizonyítékot is érintetlenül tartja, hogy a tulajdonos összevethessen a jelentését a saját nyilvántartásaival. A változtatás után ismételje meg az alkalmazás eredeti próbáját, ne egy héjból indított lekérdezést.
A blokkoló oldal nem megbízható tanúsítvány
Egy helyettesítő oldal, amely a saját tanúsítványát mutatja, HTTPS-identitásfigyelmeztetést vált ki, és az átirányítás nem teszi érvényessé azt a tanúsítványt. Ne kattintson át rajta csak azért, mert az alagút működik; a figyelmeztetés külön bizalmi döntés, amelynek továbbra is helyesnek kell lennie.
A diagnózis akkor zárul, amikor a meghiúsuló név szabályzatválaszt ad, és egy kontrollnév normálisat ad ugyanazon a feloldón keresztül. Ezen a ponton a javítás szabályzatváltozás, nem alagútváltozás, és a RFC 1035 válaszkódok azok, amelyeket a jelentésben idéz. Tartsa együtt a két nevet és a válaszokat; ez az egész eset.