Hvers vegna endurleiðir hotspot DNS áður en VPN-tenging verður?
Hotspot endurskrifar uppflettingar á eigin neti, og endapunktur hýsilnafns er leystur áður en nokkur jarðgöng eru til. Rekjaðu hvaða leysir svaraði hverri fyrirspurn.
Að tengjast hótelneti setur tvær DNS-ákvarðanir fyrir þig á mismunandi augnablikum: uppflettingarnar sem tækið gerir við innskráningu og uppflettingarnar sem gerðar eru eftir að jarðgöngin standa. Hotspot getur haft áhrif á þær fyrri í gegnum netið sem það stjórnar. Þær seinni ráðast af stefnu biðlarans sjálfs, sem er aðskilið atriði sem þarf að skoða.
Farðu í gegnum tenginguna í röð, frá fyrstu DHCP-leigunni til fyrirspurnarinnar sem leysti einkanafl. Þá aðskiljast tvö mistök sem líta eins út í þjónustubeiðni skýrt: annað átti sér stað áður en jarðgöngin voru til, hitt inni í þeim.
Hvað hotspot getur og getur ekki snert
Aðgangsnetið úthlutar leysiaðsetu í DHCP og getur handsamað port 53 í átt að þeirri aðsetu. Það nægir til að svara hverri óvarinni uppflettingu með gáttarðsetu eða blokkunarsíðu. Það nægir líka til að brjóta VPN-biðlara sem hefur endapunktinn skrifaðan sem hýsilnafn.
Það sem hotspot getur ekki gert er að lesa eða endurskrifa fyrirspurn þegar hún fer inni í uppsettum jarðgöngum, að því gefnu að jarðgöngin beri hana í raun. Handsamað byggist á að sjá spurninguna í skýru texta.
Fyrirspurnir yfirgefa samt jarðgöngin af ástæðum sem tengjast hotspotinu ekki: örugg DNS-stilling vafrans, split-DNS-regla sem heldur fyrirtækisviðskeyti hjá staðbundnum leysi, eða biðlari sem er stilltur til að útiloka DNS frá jarðgöngunum. Hver þeirra er val á biðlarahlið og hver þeirra lítur út eins og afskipti hotspots þegar litið er utan frá.
| Path | Who answers | What a failure looks like |
|---|---|---|
| Lookup before the tunnel is up | The network's resolver | The client never reaches its endpoint |
| Lookup inside the tunnel | The resolver pushed by the client | Local policy or tunnel DNS is misconfigured |
| Browser secure DNS | A DoH provider over port 443 | Both the hotspot and the tunnel policy are bypassed |
Upphafsuppflettingin á sér stað áður en jarðgöngin eru til
Biðlari sem fær hýsilnafn verður fyrst að leysa það, og á því augnabliki verndar engin jarðgöng fyrirspurnina. Ef hotspot svarar með gáttarðsetu mistekst samningaviðræðan eða hangir. Ef það svarar engu tilkynnir biðlarinn nafnvillu og jarðgöngin byrja aldrei. Hvor sem niðurstaðan er skýrir hún tóma jarðgangaskrá sem annars virðist saklaus.
Stýrikerfi keyra líka eigin tengingarprófanir og gáttaruppgötvun, sem lýst er í RFC 8910 og RFC 8952, og þær beiðnir fara út áður en nokkur VPN er uppi. Að sjá þær í milliþjónaskrá er væntanleg hegðun en ekki sönnun um leka.
Hagnýta lausnin er að gefa biðlaranum endapunkt sem þarf enga uppflettingu. Þegar það er ómögulegt, kláraðu innskráninguna fyrst og tengdu svo.
Finndu út hvaða leysir svaraði
Spurðu kerfið frekar en vafrann og keyrðu fyrirspurnina tvisvar: einu sinni í gegnum hvaða leysi sem tækið notar núna, einu sinni gegn föstum kennistafi.
resolvectl query vpn.example.com dig +short vpn.example.com dig +short vpn.example.com @1.1.1.1
Svar frá fyrstu skipuninni sem er frábrugðið þriðju segir þér að staðbundni leysirinn skili einhverju öðru, sem er einmitt það sem endurleiðandi hotspot gerir. Mistök frá þriðju ásamt velgengni frá fyrstu benda til gáttarinnar: staðbundni leysirinn þjónaði innskráningarkennistafi meðan útfarandi port 53 var hent. Tímamörk á báðum þýða að netið hendir DNS þar til auðkenningu lýkur.
Endurtaktu eftir tengingu og berðu saman. Svar í skyndiminni lifir yfir umskiptin, svo tæmdu skyndiminnið eða spurðu nýtt nafn fyrir seinni athugunina.
Haltu seinni uppflettingum á þeirri leið sem þú ætlaðir
Heildarjarðgangasnið sem grípur líka DNS er einfaldasta fyrirkomulagið: hver fyrirspurn frá hverju forriti fer til leysisins sem jarðgöngin ýta að, og staðbundna netið sér aðeins dulkóðaða umferð. Sannaðu það með því að leysa innra nafn og opinbert nafn eftir tengingu og bera svo bæði svörin saman við það sem leysir jarðganganna skilar einn síns liðs.
Split-DNS þarf lénaskrá skrifaða með ásetningi: fyrirtækisviðskeyti í gegnum jarðgöngin, allt annað staðbundið, og engin skörun milli þessara tveggja.
Örugg DNS vafrans er utan þeirrar stefnu, svo ef slökkva verður á henni svo sniðið hagi sér fyrirsjáanlega skaltu slökkva á henni fyrir það snið en ekki vélina. Gerðu það í stillingum vafrans, ekki með því að breyta leysi kerfisins, svo breytingin sjáist næst. Skráðu svarið, leysinn og tengingarstigið á einni línu fyrir hverja prófun. Skýrsla sem segir að DNS hafi mistekist á hótel-Wi-Fi lýsir einkennum með að minnsta kosti þremur mismunandi orsökum.