DNS-Filterung iwwer VPN huet d’Luede vun enger Websäit gestoppt: liest d’Äntwert
En filterende Resolver kann een Numm blockéieren, während den Tunnel funktionéiert. Liest den Typ vun Äntwert, fannt eraus wiem den Resolver gehéiert, a ännert just dat, wat Dir kontrolléiert.
Een Numm feelt, während den Tunnel un ass, an de Browser nennt et en Netzwierkfeeler, obwuel déi richteg Ursaach d’DNS-Äntwert ass, déi den Resolver zréckginn huet. En filterende Resolver kann een Numm zréckhalen, refuséieren oder ëmschreiwen an all aner Ufro weider funktionéiere loossen. Den Tunnel dréit d’Ufro; den Resolver entscheet d’Äntwert. Kontrolléiert déi Äntwert, ier Dir d’Verschlüsselungsastellungen ufässt.
Den Tunnel ass un, also ass d’Verschlüsselung net de Verdächtegen
Den Zoustand vun der Verbindung seet Iech, ob Pakete sech beweegen, net ob en Numm sech opléist. Opléisen ass eng Ufro un de Server, mat deem de Client konfiguréiert ass, an eng Politik do kann engem Domain anescht äntweren wéi all aneren. Vun der Browsersäit falen all déi Äntwerten an eng allgemeng Feeler zesummen, dofir beweist d’Statusluucht esou wéineg.
Schreift als éischt dräi Saachen op: den Resolver, deen de Client benotzt huet, den Äntwertcode fir den Numm dee feelt, an déiselwecht Ufro fir en Numm deen sollte funktionéieren. Frot den Resolver direkt mat dig example.com @10.20.0.1 a liest d’Statuszeil, net d’Browser-Noriicht. Wann den Kontrollnumm sech opléist an deen dee feelt eng Politik-Äntwert gëtt, ass de Beweis komplett. Wa béid feelen, ass de Filter nach net involvéiert.
Véier Äntwerten, véier verschidden Eegentümer
En filterende Resolver huet net just eng Manéier fir nee ze soen, an d’Form vun der Refusatioun weist op en aneren nächste Schrëtt. Schreift den Äntwertcode op, well de Browser all véier an eppes ëmschreift, dat wéi eng ofgebrach Verbindung kléngt.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Vergläicht d’Äntwert mat der Tabell, ier Dir eppes dem Tunnel zou schreift. Eng Refusatioun an en zréckgehalenen Numm bedeiten allebéid, datt den Resolver eng Entscheedung getraff huet, während Stille bedeit, datt d’Ufro ni eng Äntwert krut. Deeën Ënnerscheed entscheet, ob Dir engem Politik-Eegentümer oder engem Netzwierkwee nogitt.
Zwee Browsere kënnen zwou Politike verfollegen
E Browser, dee säin eegenen verschlüsselte Resolver matbréngt, muss net de Server benotzen, deen d’Betribssystem verdeelt, also kann en d’Politik ignoréieren, fir déi den Tunnel gebaut gouf. Dann si sech zwee Browsere op enger Maschinn iwwer deen selwechten Hostnumm net eens, an keen ass futti. Kontrolléiert, u wéien Resolver all Applikatioun gebonnen ass ier Dir de Filter inkonsistent nennt.
Wann béid Applikatiounen den Resolver vum Tunnel benotzen an nëmmen eng feelt, läit den Ënnerscheed an der Applikatioun, net am DNS. Schreift d’Resolveradress pro Applikatioun op, well dee Detail verschwënnt, wann d’Fënster zougeet.
Ännert wat Iech gehéiert, eskaléiert wat Iech net gehéiert
Ären nächste Schrëtt hänkt dovun of, wiem den Resolver gehéiert, op deen Dir weist. Een, deen Dir selwer bedreift, ass eng Funktioun, déi Dir liesen an astellen kënnt: kontrolléiert déi dokumentéiert Filteroptioun an hir Ausnamen, a loosst dann den eenzegen Numm zou. Een, deen Ären Employeur oder Provider bedreift, ass en Ticket mam Domain, der genauer Äntwert an der Zäit.
Tauscht niits en ëffentleche Resolver an, fir d’Säit mat Gewalt opzemaachen, well privat Nimm ophale sech opzeléisen an eng bewosst Politik ophale gëllt. Déi schmuel Ännerung hält de Beweis och intakt, sou datt den Eegentümer Äre Rapport mat sengen eegenen Opzeechnungen vergläiche kann. Nom Änneren widderhëlt den ursprénglechen Applikatiounstest anstatt eng Ufro aus enger Shell.
Eng Blocksäit ass keen vertrautescht Zertifikat
Eng Ersatzsäit, déi hiren eegenen Zertifikat presentéiert, léist eng HTTPS-Identitéitswarnung aus, an d’Ëmleedung mécht deen Zertifikat net gülteg. Klickt net duerch, just well den Tunnel un ass; d’Warnung ass eng separat Vertrauensentscheedung, déi awer nach ëmmer richteg muss sinn.
D’Diagnos schléisst, wann den Numm dee feelt eng Politik-Äntwert gëtt an en Kontrollnumm eng normal duerch deen selwechten Resolver. Zu deem Zäitpunkt ass d’Reparatur eng Politikännerung, net eng Tunnelännerung, an déi RFC 1035 Äntwertcoden sinn dat, wat Dir am Rapport zitéiert. Halt béid Nimm an Äntwerten zesummen; dat ass de ganze Fall.