Неліктен хотспот VPN қосылмай тұрып DNS-ті қайта бағыттайды?
Хотспот өз желісінде сұрауларды қайта жазады, ал хост атауының соңғы нүктесі кез келген туннель пайда болмай тұрып шешіледі. Әр сұрауға қай шешуші жауап бергенін қадағалаңыз.
Қонақүй желісіне қосылу сіздің алдыңызға әртүрлі сәттерде екі DNS шешімін қояды: құрылғы кіру кезінде жасайтын сұраулар және туннель көтерілгеннен кейін жасалатын сұраулар. Хотспот біріншілеріне өзі басқаратын желі арқылы әсер ете алады. Екіншілері клиенттің өз саясатына тәуелді, бұл бөлек тексерілетін мәселе.
Қосылымды ретімен қарап шығыңыз, алғашқы DHCP жалдауынан жеке атауды шешкен сұрауға дейін. Сонда қолдау билетінде бірдей көрінетін екі ақау анық ажырайды: біреуі туннельге дейін болды, екіншісі оның ішінде болды.
Хотспот нені ұстай алады, нені ұстай алмайды
Кіру желісі DHCP арқылы шешуші мекенжайын береді және сол мекенжайға қарай 53 портын ұстап қала алады. Бұл қорғалмаған әрбір сұрауға портал мекенжайымен немесе бұғаттау бетімен жауап беруге жетеді. Соңғы нүктесі хост атауы ретінде жазылған VPN клиентін бұзуға да жетеді.
Хотспот жасай алмайтын нәрсе — сұрауды оқу немесе қайта жазу, ол орнатылған туннельдің ішінде жүрген кезде, әрине, туннель оны шынымен тасымалдаса. Ұстап қалу ашық мәтіндегі сұрақты көруге байланысты.
Сұраулар бәрібір туннельден хотспотқа қатысы жоқ себептермен шығады: браузердің қауіпсіз DNS параметрі, корпоративтік жұрнақты жергілікті шешушіде ұстайтын split-DNS ережесі, немесе DNS-ті туннельден тыс қалдыруға конфигурацияланған клиент. Әрқайсысы клиент жағының таңдауы, және әрқайсысы сырттан қарағанда хотспоттың араласуы сияқты көрінеді.
| Path | Who answers | What a failure looks like |
|---|---|---|
| Lookup before the tunnel is up | The network's resolver | The client never reaches its endpoint |
| Lookup inside the tunnel | The resolver pushed by the client | Local policy or tunnel DNS is misconfigured |
| Browser secure DNS | A DoH provider over port 443 | Both the hotspot and the tunnel policy are bypassed |
Бастапқы сұрау туннель пайда болмай тұрып жасалады
Хост атауы берілген клиент оны алдымен шешуі керек, және сол сәтте ешқандай туннель сұрауды қорғамайды. Егер хотспот портал мекенжайымен жауап берсе, келіссөз сәтсіз аяқталады немесе ілініп қалады. Егер ештеңемен жауап бермесе, клиент атау қатесін хабарлайды және туннель ешқашан басталмайды. Екі нәтиженің кез келгені әйтпесе зиянсыз көрінетін бос туннель журналын түсіндіреді.
Операциялық жүйелер өздерінің қосылым тексерулерін және порталды табуды да орындайды, олар RFC 8910 және RFC 8952 құжаттарында сипатталған, және бұл сұраулар кез келген VPN көтерілмей тұрып шығады. Оларды прокси журналында көру — ақаулықтың дәлелі емес, күтілетін мінез-құлық.
Практикалық шешім — клиентке шешу қажет етпейтін соңғы нүкте беру. Бұл мүмкін болмаса, алдымен кіруді аяқтап, содан кейін қосылыңыз.
Қай шешуші жауап бергенін анықтаңыз
Жүйеден сұраңыз, браузерден емес, және сұрауды екі рет орындаңыз: бір рет құрылғы қазір қолданып отырған шешуші арқылы, бір рет тіркелген мекенжайға қарсы.
resolvectl query vpn.example.com dig +short vpn.example.com dig +short vpn.example.com @1.1.1.1
Бірінші пәрменнің үшіншіден өзгеше жауабы жергілікті шешуші басқа нәрсе қайтаратынын айтады, ал қайта бағыттайтын хотспот дәл осылай жасайды. Үшіншінің сәтсіздігі біріншінің сәттілігімен қатар порталға нұсқайды: жергілікті шешуші кіру мекенжайын берді, ал шығыс 53 порты тасталды. Екеуінде де уақыт бітуі желі аутентификация аяқталғанша DNS-ті тастайтынын білдіреді.
Қосылғаннан кейін қайталап, салыстырыңыз. Кэштелген жауап ауысудан өтеді, сондықтан кэшті тазалаңыз немесе екінші бақылау үшін жаңа атау сұраңыз.
Кейінгі сұрауларды өзіңіз көздеген жолда ұстаңыз
DNS-ті де ұстайтын толық туннель профилі ең қарапайым құрылым: әр қолданбаның әр сұрауы туннель итеріп отырған шешушіге барады, ал жергілікті желі тек шифрланған трафикті көреді. Мұны қосылғаннан кейін ішкі және ашық атауды шешіп, содан кейін екі жауапты туннель шешушісі жалғыз қайтаратын нәрсемен салыстыру арқылы дәлелдеңіз.
Split-DNS-ке ниетпен жазылған домендер тізімі қажет: корпоративтік жұрнақтар туннель арқылы, қалғанының бәрі жергілікті, және екеуінің арасында қабаттасу жоқ.
Браузердің қауіпсіз DNS-і сол саясаттан тыс, сондықтан профиль болжамды мінез-құлық танытуы үшін ол өшірулі болуы керек болса, оны машина үшін емес, сол профиль үшін өшіріңіз. Мұны жүйелік шешушіні өңдеу арқылы емес, браузер параметрлерінде жасаңыз, сонда өзгеріс келесіде көрінеді. Әр тест үшін бір жолда жауапты, шешушіні және қосылым кезеңін жазыңыз. Қонақүй Wi-Fi-інде DNS сәтсіз болды деген есеп кемінде үш түрлі себебі бар симптомды сипаттайды.