Pemfilteran DNS lewat VPN membuat situs gagal dimuat: baca jawabannya
Resolver penyaring dapat memblokir satu nama saat terowongan berfungsi. Baca jenis jawabannya, cari tahu siapa pemilik resolver, dan ubah hanya yang Anda kendalikan.
Satu nama gagal saat terowongan aktif, dan peramban menyebutnya kesalahan jaringan, padahal penyebab sebenarnya adalah jawaban DNS yang dikembalikan resolver. Resolver penyaring dapat menahan, menolak, atau menulis ulang satu nama dan membiarkan setiap pencarian lain berfungsi. Terowongan membawa kueri; resolver menentukan jawabannya. Periksa jawaban itu sebelum menyentuh pengaturan enkripsi.
Terowongan aktif, jadi enkripsi bukan tersangkanya
Status koneksi memberi tahu apakah paket bergerak, bukan apakah sebuah nama terurai. Resolusi adalah kueri ke server tempat klien dikonfigurasi, dan kebijakan di sana dapat menjawab satu domain berbeda dari yang lain. Dari sisi peramban semua jawaban itu melebur menjadi kegagalan umum, karena itu lampu status membuktikan begitu sedikit.
Catat tiga hal lebih dulu: resolver yang dipakai klien, kode respons untuk nama yang gagal, dan kueri yang sama untuk nama yang seharusnya berfungsi. Tanyakan langsung ke resolver dengan dig example.com @10.20.0.1 dan baca baris status, bukan pesan peramban. Jika nama kontrol terurai dan nama yang gagal mengembalikan jawaban kebijakan, buktinya lengkap. Jika keduanya gagal, penyaring belum terlibat.
Empat jawaban, empat pemilik berbeda
Resolver penyaring tidak punya satu cara untuk mengatakan tidak, dan bentuk penolakannya menunjuk langkah berikut yang berbeda. Catat kode respons, karena peramban menulis ulang keempatnya menjadi sesuatu yang terdengar seperti koneksi terputus.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Cocokkan jawaban dengan tabel sebelum menyalahkan terowongan. Penolakan dan nama yang ditahan keduanya berarti resolver mengambil keputusan, sedangkan keheningan berarti kueri tidak pernah mendapat jawaban. Perbedaan itu menentukan apakah Anda mengejar pemilik kebijakan atau jalur jaringan.
Dua peramban dapat mengikuti dua kebijakan
Peramban yang membawa resolver terenkripsi sendiri tidak harus memakai server yang dibagikan sistem operasi, sehingga dapat mengabaikan kebijakan yang menjadi alasan terowongan dibangun. Dua peramban di satu mesin lalu berbeda pendapat tentang nama host yang sama, dan tidak ada yang rusak. Periksa resolver mana yang terikat pada setiap aplikasi sebelum menyebut penyaring tidak konsisten.
Ketika kedua aplikasi memakai resolver terowongan dan hanya satu yang gagal, perbedaannya ada di aplikasi, bukan di DNS. Catat alamat resolver per aplikasi, karena detail itu hilang saat jendela ditutup.
Ubah yang Anda miliki, eskalasi yang bukan milik Anda
Langkah berikutnya bergantung pada siapa pemilik resolver yang Anda tuju. Yang Anda jalankan sendiri adalah fitur yang dapat dibaca dan dikonfigurasi: periksa opsi penyaringan yang terdokumentasi dan pengecualiannya, lalu izinkan nama tunggal itu. Yang dijalankan pemberi kerja atau penyedia Anda adalah tiket dengan domain, jawaban persis, dan waktunya.
Jangan pernah menukar dengan resolver publik untuk memaksa situs terbuka, karena nama privat berhenti terurai dan kebijakan yang disengaja berhenti berlaku. Perubahan sempit juga menjaga bukti tetap utuh, agar pemilik dapat membandingkan laporan Anda dengan catatannya sendiri. Setelah perubahan, ulangi uji aplikasi asli alih-alih pencarian dari shell.
Halaman blokir bukan sertifikat tepercaya
Halaman pengganti yang menyajikan sertifikatnya sendiri akan memunculkan peringatan identitas HTTPS, dan pengalihan tidak membuat sertifikat itu sah. Jangan mengkliknya hanya karena terowongan aktif; peringatan itu keputusan kepercayaan terpisah yang tetap harus benar.
Diagnosis tertutup ketika nama yang gagal mengembalikan jawaban kebijakan dan nama kontrol mengembalikan yang normal melalui resolver yang sama. Pada titik itu perbaikannya adalah perubahan kebijakan, bukan perubahan terowongan, dan RFC 1035 kode respons adalah yang Anda kutip dalam laporan. Simpan kedua nama dan jawabannya bersama; itulah seluruh kasusnya.