Perché un sito bloccato si carica ancora dopo la disconnessione della VPN

Un sito era bloccato, funzionava mentre la VPN era connessa e funziona ancora dopo la disconnessione della VPN. È un piccolo pezzo di prova su dove si trovasse il blocco, non la prova che il tunnel sia rimasto in vigore. Se il blocco avesse riguardato l'indirizzo di destinazione, un nome in cache non avrebbe aiutato e la connessione continuerebbe a fallire. Il caricamento della pagina punta invece alla risoluzione dei nomi. Leggere bene quell'indizio ti risparmia un lungo giro attraverso le regole del firewall.

Ci sono due punti in cui può stare un blocco, e da un browser sembrano identici.

Due blocchi che sembrano uguali in un browser

Un blocco dei nomi avviene durante la risoluzione. Il resolver restituisce un indirizzo sbagliato, una risposta vuota o una pagina di portale captive, e il browser segnala che il sito non è raggiungibile.

Un blocco degli indirizzi avviene più tardi. Il nome si risolve correttamente e i pacchetti verso l'indirizzo reale vengono scartati, reindirizzati o azzerati. Cambiare resolver qui non fa nulla, perché il guasto inizia dopo che il nome ha già ricevuto risposta.

Solo il primo tipo può essere portato da una cache, ed è questo che rende utile la tua osservazione.

Perché la risposta sopravvive al tunnel

Le cache del resolver sono indicizzate per nome e conservate per la durata di vita del record. Il sistema operativo ne tiene una e il browser di solito ne tiene un'altra, quindi un solo nome può essere memorizzato due volte con due durate diverse. Connettere o disconnettere una VPN non svuota nessuna delle due; cambia solo a quale resolver vengono inviate le richieste future.

Mentre il tunnel era attivo, la ricerca è andata al resolver del fornitore, che ha restituito l'indirizzo corretto, e quella risposta è stata salvata localmente. Dopo la disconnessione il browser ha chiesto di nuovo, la cache locale ha risposto senza consultare nessuno, e la pagina si è caricata.

Continuerà a caricarsi finché la voce non scade o qualcuno non svuota la cache, e poi torna il comportamento precedente.

Un test in tre passi che li separa

Falli in ordine, perché il primo è l'unico passo che dimostra che la cache stava portando la pagina.

Svuota la cache del resolver e quella del browser, poi ricarica. Se il sito fallisce di nuovo, la cache era il motivo per cui funzionava. Poi interroga lo stesso nome tramite il resolver che avevi prima della VPN e tramite un altro, e confronta le due risposte: una discordanza colloca il blocco nella denominazione. Se conosci l'indirizzo, prova a raggiungerlo senza il nome, perché il successo lì conferma che l'indirizzo stesso non è filtrato.

Che cosa significa ogni risultato per il tuo passo successivo

Per un blocco dei nomi, il cambiamento diretto è un altro resolver, e il DNS cifrato cambia chi può vedere e modificare quelle richieste. La VPN faceva quel lavoro come effetto collaterale.

Per un blocco a livello di indirizzo, cambiare resolver è irrilevante e la teoria della cache è semplicemente sbagliata.

Due confini meritano di essere enunciati prima di agire. Se puoi cambiare resolver su una data rete è una questione di politica e non tecnica. E non tutte le reti bloccano tramite DNS, quindi un risultato descrive la rete che hai testato e non il blocco in generale. Annota quale resolver hai usato, perché è quel dettaglio a rendere il test ripetibile per la persona successiva.