VPN 연결을 끊은 뒤에도 차단된 사이트가 계속 열리는 이유

어떤 사이트가 차단되었는데 VPN이 연결된 동안 작동했고 VPN 연결을 끊은 뒤에도 작동합니다. 이것은 차단이 어디에 있었는지에 대한 작은 증거이며 터널이 계속 유효했다는 증거는 아닙니다. 차단이 목적지 주소에 있었다면 캐시된 이름은 도움이 되지 않았을 것이고 연결은 여전히 실패했을 것입니다. 페이지가 열린다는 점은 대신 이름 해석을 가리킵니다. 그 단서를 올바로 읽으면 방화벽 규칙을 헤매는 긴 우회로를 아낄 수 있습니다.

차단이 자리할 수 있는 곳은 두 군데이며 브라우저에서는 똑같이 보입니다.

브라우저에서 똑같이 보이는 두 가지 차단

이름 차단은 해석 과정에서 일어납니다. 리졸버가 잘못된 주소, 빈 응답 또는 캡티브 포털 페이지를 돌려주고 브라우저는 사이트에 접속할 수 없다고 보고합니다.

주소 차단은 나중에 일어납니다. 이름은 올바로 해석되고 실제 주소로 가는 패킷은 버려지거나 리디렉션되거나 재설정됩니다. 리졸버를 바꿔도 여기서는 아무 소용이 없는데, 실패는 이름이 이미 응답된 뒤에 시작되기 때문입니다.

캐시가 실어 날을 수 있는 것은 첫 번째 종류뿐이며 그것이 당신의 관찰을 유용하게 만듭니다.

응답이 터널보다 오래 사는 이유

리졸버 캐시는 이름으로 키가 지정되고 레코드의 수명 동안 유지됩니다. 운영 체제가 하나를 유지하고 브라우저는 보통 또 다른 하나를 유지하므로 하나의 이름이 서로 다른 두 수명으로 두 번 저장될 수 있습니다. VPN을 연결하거나 끊는 것은 둘 중 어느 것도 비우지 않으며, 앞으로의 질의가 어느 리졸버로 가는지만 바꿉니다.

터널이 살아 있는 동안 조회는 공급자의 리졸버로 갔고 그 리졸버가 올바른 주소를 돌려주었으며 그 응답이 로컬에 저장되었습니다. 연결을 끊은 뒤 브라우저가 다시 물었고 로컬 캐시가 아무에게도 묻지 않고 답했으며 페이지가 열렸습니다.

항목이 만료되거나 누군가 캐시를 지울 때까지 계속 열리며 그 뒤에는 예전 동작으로 돌아갑니다.

둘을 구분하는 세 단계 시험

첫 번째가 캐시가 페이지를 실어 날랐음을 증명하는 유일한 단계이므로 순서대로 하십시오.

리졸버 캐시와 브라우저 캐시를 비우고 다시 불러오십시오. 사이트가 다시 실패하면 캐시가 작동한 이유였습니다. 그다음 VPN 이전에 쓰던 리졸버와 다른 리졸버로 같은 이름을 질의해 두 응답을 비교하는데, 불일치가 있으면 차단이 이름 짓기에 있다는 뜻입니다. 주소를 안다면 이름 없이 거기에 도달해 보되, 거기서 성공하면 주소 자체가 필터링되지 않았다는 것이 확인됩니다.

각 결과가 다음 행동에 무엇을 뜻하는지

이름 차단의 경우 직접적인 변경은 다른 리졸버이며 암호화 DNS는 그 질의를 누가 보고 바꿀 수 있는지를 바꿉니다. VPN은 그 일을 부수 효과로 하고 있었습니다.

주소 수준의 차단에서는 리졸버 변경이 무의미하며 캐시 이론은 그냥 틀렸습니다.

행동하기 전에 두 경계를 밝혀 둘 가치가 있습니다. 주어진 네트워크에서 리졸버를 바꿔도 되는지는 기술이 아니라 정책의 문제입니다. 그리고 모든 네트워크가 DNS로 차단하는 것은 아니므로 한 결과는 시험한 네트워크를 설명하는 것이지 차단 일반을 설명하는 것이 아닙니다. 어떤 리졸버를 썼는지 적어 두어야 하는데, 그 세부 사항이 다음 사람이 시험을 반복할 수 있게 하기 때문입니다.