Firwat leet en Hotspot DNS ëm, ier de VPN sech verbënnt?
En Hotspot schreift Ufroen a sengem eegene Netz ëm, an en Endpunkt als Hostnumm gëtt opgeléist, ier iergendeen Tunnel existéiert. Verfollegt, wéi ee Resolver déi eenzel Ufroe beäntwert huet.
Sech an en Hotelnetz anzaloggen setzt zwee DNS-Entscheedungen zu verschiddenen Zäitpunkten virun Iech: d'Ufroen, déi den Apparat beim Aloggen mécht, an d'Ufroen, déi gemaach ginn, wann den Tunnel steet. En Hotspot kann déi éischt iwwer säin eegent Netz beaflossen. Déi zweet hänke vun der Politik vum Client selwer of, wat eng separat Saach ass fir z'ënnersichen.
Gitt d'Verbindung der Rei no duerch, vum éischten DHCP-Leasing bis zu der Ufro, déi en interne Numm opgeléist huet. Dann trenne sech zwee Feeler propper, déi an engem Supportticket d'selwecht ausgesinn: deen een ass geschitt, ier den Tunnel existéiert huet, den aneren dobannen.
Wat den Hotspot ka beréieren a wat net
Den Accessnetz deelt eng Resolveradress iwwer DHCP aus a kann de Port 53 an Richtung vun där Adress offänken. Dat duer, fir all ongeschützt Ufro mat enger Portaladress oder enger Blocksäit ze beäntwerten. Et duer och, fir e VPN-Client ze briechen, deem säin Endpunkt als Hostnumm geschriwwen ass.
Wat den Hotspot net ka, ass eng Ufro liesen oder ëmschreiwen, wann se emol an engem etabléierten Tunnel ënnerwee ass, ugeholl datt den Tunnel se wierklech dréit. D'Ofhäeren hänkt dovun of, d'Fro am Kloertext ze gesinn.
D'Ufroe verloossen den Tunnel trotzdem aus Grënn, déi näischt mam Hotspot ze dinn hunn: d'sécher DNS-Astellung vum Browser, eng split-DNS-Reeg, déi en Firmesuffix um lokale Resolver hält, oder e Client, dee konfiguréiert ass, DNS aus dem Tunnel auszeschléissen. Jidderee vun hinnen ass eng Wiel op der Clientseit an jidderee gesäit vun dobaussen aus wéi eng Interferenz vum Hotspot.
| Path | Who answers | What a failure looks like |
|---|---|---|
| Lookup before the tunnel is up | The network's resolver | The client never reaches its endpoint |
| Lookup inside the tunnel | The resolver pushed by the client | Local policy or tunnel DNS is misconfigured |
| Browser secure DNS | A DoH provider over port 443 | Both the hotspot and the tunnel policy are bypassed |
Déi éischt Ufro geschitt, ier den Tunnel existéiert
E Client, deem een en Hostnumm gëtt, muss en als éischt opléisen, an zu deem Moment schützt keen Tunnel d'Ufro. Wann den Hotspot mat enger Portaladress äntwert, feelt d'Verhandlung oder se hängt. Wann en näischt äntwert, mellt de Client e Nummefeler an den Tunnel fänkt ni un. Béid Resultater erklären eng eidel Tunnellog, déi soss onschëlleg ausgesäit.
Betriessystemer maachen och hir eegen Konnektivitéitsprüfungen an hir eege Portalerkennung, déi an RFC 8910 a RFC 8952 beschriwwe sinn, an déi Ufroe ginn eraus, ier iergendeen VPN steet. Se an engem Proxy-Log ze gesinn ass erwaart Verhalen an net de Beweis vun engem Leck.
Déi praktesch Léisung ass, dem Client en Endpunkt ze ginn, dee keng Ufro brauch. Wann dat onméiglech ass, fäerdeg d'Aloggen als éischt an da verbënnt.
Fannt eraus, wéi ee Resolver geäntwert huet
Frot d'System an net de Browser, a maacht d'Ufro zweemol: eng Kéier duerch wéi ee Resolver den Apparat just benotzt, eng Kéier géint eng fest Adress.
resolvectl query vpn.example.com dig +short vpn.example.com dig +short vpn.example.com @1.1.1.1
Eng Äntwert vum éischten Kommando, déi sech vum drëtten ënnerscheet, seet Iech, datt de lokale Resolver eppes anescht zréckgëtt, a genee dat mécht en ëmleenden Hotspot. E Feeler vum drëtten zesumme mat engem Erfolleg vum éischten deit op de Portal: de lokale Resolver huet eng Aloggadress geliwwert, während den erausgängëgen Port 53 fale gelooss gouf. Timeouts op béide bedeiten, datt den Netz DNS verwerft, bis d'Authentifizéierung fäerdeg ass.
Widderhëlt et no dem Verbannen a vergläicht. Eng Äntwert am Cache iwwerlieft den Iwwergang, also läscht de Cache oder frot en neien Numm fir déi zweet Observatioun.
Halt spéider Ufroen op deem Wee, deen Dir geduecht hutt
E Volltunnelprofil, deen och DNS erfaasst, ass déi einfachst Anordnung: all Ufro vun all Applikatioun geet un de Resolver, deen den Tunnel virschléit, an den lokalen Netz gesäit just verschlësselte Verkéier. Beweist et, andeems Dir no dem Verbannen en internen an en ëffentlechen Numm opléist an dann béid Äntwerten domat vergläicht, wat den Tunnelresolver eleng zréckgëtt.
Split-DNS brauch eng Domainlëscht, déi mat Absicht geschriwwe gëtt: Firmesuffixer duerch den Tunnel, alles anescht lokal, an keen Iwwerlappung tëschent deenen zwee.
Sécher DNS am Browser steet baussent där Politik, also wann en aus muss, fir datt de Profil sech viraussobar behält, schalt en dann fir dee Profil aus a net fir d'Maschinn. Maacht dat an den Astellunge vum Browser, net duerch Ännerung vum Systemresolver, sou datt d'Ännerung d'nächst Kéier ze gesinn ass. Notéiert d'Äntwert, de Resolver an d'Verbindungsphas an enger Linn pro Test. E Rapport, deen seet, datt DNS am Hotel-Wi-Fi feelt, beschreift e Symptom mat op d'mannst dräi verschiddene Ursaachen.