Эмне үчүн хотспот VPN туташпастан мурун DNSти кайра багыттайт?
Хотспот өз тармагында сурамдарды кайра жазат, ал эми хост атынын акыркы чекити кандайдыр бир туннел пайда боло электе эле чечилет. Ар бир сурамга кайсы чечүүчү жооп бергенин көзөмөлдөңүз.
Мейманкана тармагына кошулуу сиздин алдыңызга ар башка учурларда эки DNS чечимин коёт: түзмөк кирүү учурунда жасаган сурамдар жана туннел көтөрүлгөндөн кийин жасалган сурамдар. Хотспот биринчилерине өзү башкарган тармак аркылуу таасир эте алат. Экинчилери кардардын өз саясатына көз каранды, бул өзүнчө текшерилүүчү маселе.
Байланышты тартип менен карап чыгыңыз, биринчи DHCP ижарасынан жеке атты чечкен сурамга чейин. Ошондо колдоо билетинде бирдей көрүнгөн эки бузулуу ачык бөлүнөт: бири туннелге чейин болгон, экинчиси анын ичинде болгон.
Хотспот эмнени кармай алат жана эмнени кармай албайт
Кирүү тармагы DHCP аркылуу чечүүчүнүн дарегин берет жана ошол дарекке карай 53 портун кармап кала алат. Бул корголбогон ар бир сурамга портал дареги же блоктоочу барак менен жооп берүүгө жетет. Акыркы чекити хост аты катары жазылган VPN кардарын бузууга да жетет.
Хотспот кыла албаган нерсе — сурамды окуу же кайра жазуу, ал орнотулган туннелдин ичинде жүргөндө, албетте, туннел аны чынында алып жүрсө. Кармоо ачык тексттеги суроону көрүүгө байланыштуу.
Сурамдар баары бир туннелден хотспотко тиешеси жок себептер менен чыгат: браузердин коопсуз DNS жөндөөсү, корпоративдик уландыны жергиликтүү чечүүчүдө кармаган split-DNS эрежеси, же DNSти туннелден тышкары калтырууга конфигурацияланган кардар. Ар бири кардар тарабынын тандоосу, жана ар бири сырттан караганда хотспоттун кийлигишүүсүндөй көрүнөт.
| Path | Who answers | What a failure looks like |
|---|---|---|
| Lookup before the tunnel is up | The network's resolver | The client never reaches its endpoint |
| Lookup inside the tunnel | The resolver pushed by the client | Local policy or tunnel DNS is misconfigured |
| Browser secure DNS | A DoH provider over port 443 | Both the hotspot and the tunnel policy are bypassed |
Баштапкы сурам туннел пайда боло электе жүрөт
Хост аты берилген кардар аны адегенде чечиши керек, жана ошол учурда эч кандай туннел сурамды коргобойт. Эгер хотспот портал дареги менен жооп берсе, сүйлөшүү ишке ашпайт же илинип калат. Эгер эч нерсе менен жооп бербесе, кардар ат катасын билдирет жана туннел эч качан башталбайт. Эки натыйжанын кайсынысы болбосун, болбосо зыянсыз көрүнгөн бош туннел журналын түшүндүрөт.
Операциялык системалар өздөрүнүн туташуу текшерүүлөрүн жана порталды табуусун да аткарат, алар RFC 8910 жана RFC 8952 документтеринде сүрөттөлгөн, жана бул сурамдар кандайдыр бир VPN көтөрүлө электе чыгат. Аларды прокси журналында көрүү — агымдын далили эмес, күтүлгөн жүрүм-турум.
Практикалык чечим — кардарга чечүү талап кылбаган акыркы чекит берүү. Бул мүмкүн болбосо, адегенде кирүүнү бүтүрүп, анан туташыңыз.
Кайсы чечүүчү жооп бергенин аныктаңыз
Системадан сураңыз, браузерден эмес, жана сурамды эки жолу аткарыңыз: бир жолу түзмөк азыр колдонуп жаткан чечүүчү аркылуу, бир жолу туруктуу дарекке каршы.
resolvectl query vpn.example.com dig +short vpn.example.com dig +short vpn.example.com @1.1.1.1
Биринчи буйруктун үчүнчүдөн айырмаланган жообу жергиликтүү чечүүчү башка нерсе кайтарып жатканын айтат, жана кайра багыттоочу хотспот дал ушундай кылат. Үчүнчүнүн ишке ашпастыгы биринчинин ийгилиги менен коштолсо, порталга көрсөтөт: жергиликтүү чечүүчү кирүү дарегин берди, ал эми чыгуучу 53 порту ташталды. Экөөндө тең убакыт бүтүшү тармак аутентификация бүткөнгө чейин DNSти таштаарын билдирет.
Туташкандан кийин кайталап, салыштырыңыз. Кэштелген жооп өткөөлдөн аман калат, ошондуктан кэшти тазалаңыз же экинчи байкоо үчүн жаңы ат сураңыз.
Кийинки сурамдарды өзүңүз көздөгөн жолдо кармаңыз
DNSти да кармаган толук туннел профили эң жөнөкөй түзүлүш: ар бир колдонмонун ар бир сурамы туннел түртүп жаткан чечүүчүгө барат, жана жергиликтүү тармак шифрленген трафикти гана көрөт. Муну туташкандан кийин ички жана ачык атты чечип, анан эки жоопту туннелдин чечүүчүсү жалгыз кайтарган нерсе менен салыштыруу аркылуу далилдеңиз.
Split-DNSке ниет менен жазылган домендер тизмеси керек: корпоративдик уландылар туннел аркылуу, калганынын баары жергиликтүү, жана экөөнүн ортосунда катмарлашуу жок.
Браузердин коопсуз DNSи ошол саясаттан тыш, ошондуктан профиль болжолдуу жүрүм-турум көрсөтүшү үчүн ал өчүк болушу керек болсо, аны машина үчүн эмес, ошол профиль үчүн өчүрүңүз. Муну системалык чечүүчүнү оңдоо менен эмес, браузердин жөндөөлөрүндө жасаңыз, ошондо өзгөрүү кийинки жолу көрүнөт. Ар бир сынак үчүн бир сапта жоопту, чечүүчүнү жана туташуу баскычын жазыңыз. Мейманкананын Wi-Fiинде DNS ишке ашкан жок деген отчет кеминде үч түрдүү себеби бар симптомду сүрөттөйт.