DNS filtravimas per VPN sustabdė svetainės įkėlimą: perskaitykite atsakymą
Filtruojantis resolveris gali užblokuoti vieną vardą, kol tunelis veikia. Perskaitykite atsakymo tipą, išsiaiškinkite, kam priklauso resolveris, ir keiskite tik tai, ką kontroliuojate.
Vienas vardas nepavyksta, kol tunelis veikia, ir naršyklė tai vadina tinklo klaida, nors tikroji priežastis yra DNS atsakymas, kurį grąžino resolveris. Filtruojantis resolveris gali sulaikyti, atmesti arba perrašyti vieną vardą ir palikti visus kitus užklausimus veikiančius. Tunelis perneša užklausą; resolveris nusprendžia atsakymą. Patikrinkite tą atsakymą prieš liesdami šifravimo nustatymus.
Tunelis veikia, tad šifravimas nėra įtariamasis
Ryšio būsena pasako, ar paketai juda, o ne ar vardas išsprendžiamas. Sprendimas yra užklausa serveriui, su kuriuo sukonfigūruotas klientas, o ten esanti politika gali atsakyti vienam domenui kitaip nei visiems kitiems. Naršyklės pusėje visi tie atsakymai susilieja į bendrą klaidą, todėl būsenos lemputė įrodo taip mažai.
Pirmiausia užsirašykite tris dalykus: resolverį, kurį naudojo klientas, nepavykstančio vardo atsakymo kodą ir tą pačią užklausą vardui, kuris turėtų veikti. Paklauskite resolverio tiesiogiai su dig example.com @10.20.0.1 ir skaitykite būsenos eilutę, o ne naršyklės pranešimą. Jei kontrolinis vardas išsprendžiamas, o nepavykstantis grąžina politikos atsakymą, įrodymai yra išsamūs. Jei abu nepavyksta, filtras dar nedalyvauja.
Keturi atsakymai, keturi skirtingi savininkai
Filtruojantis resolveris neturi vieno būdo pasakyti ne, o atmetimo forma rodo kitą kitą žingsnį. Užsirašykite atsakymo kodą, nes naršyklė visus keturis perrašo į kažką, kas skamba kaip nutrūkęs ryšys.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Palyginkite atsakymą su lentele, prieš ką nors priskirdami tuneliui. Atmetimas ir sulaikytas vardas abu reiškia, kad resolveris priėmė sprendimą, o tyla reiškia, kad užklausa niekada negavo atsakymo. Šis skirtumas nusprendžia, ar vytėsitės politikos savininko, ar tinklo kelio.
Dvi naršyklės gali laikytis dviejų politikų
Naršyklė, kuri atsineša savo šifruotą resolverį, neprivalo naudoti serverio, kurį skirsto operacinė sistema, todėl gali nepaisyti politikos, kuriai tunelis buvo pastatytas. Tada dvi naršyklės tame pačiame kompiuteryje nesutaria dėl to paties pagrindinio kompiuterio vardo, ir nė viena nėra sugedusi. Patikrinkite, prie kurio resolverio prijungta kiekviena programa prieš vadindami filtrą nenuosekliu.
Kai abi programos naudoja tunelio resolverį ir nepavyksta tik viena, skirtumas yra programoje, o ne DNS. Užsirašykite resolverio adresą kiekvienai programai, nes ši detalė dingsta užvėrus langą.
Keiskite tai, kas jums priklauso, eskaluokite tai, kas nepriklauso
Jūsų kitas žingsnis priklauso nuo to, kam priklauso resolveris, į kurį nukreipiate. Tas, kurį valdote patys, yra funkcija, kurią galite perskaityti ir sukonfigūruoti: patikrinkite dokumentuotą filtravimo parinktį ir jos išimtis, tada leiskite tą vieną vardą. Tas, kurį valdo jūsų darbdavys ar tiekėjas, yra bilietas su domenu, tiksliu atsakymu ir laiku.
Niekada nekeiskite į viešą resolverį, kad jėga atvertumėte svetainę, nes privatūs vardai nustoja spręstis ir tyčinė politika nustoja galioti. Siauras pakeitimas taip pat išlaiko įrodymus nepažeistus, kad savininkas galėtų palyginti jūsų ataskaitą su savo įrašais. Po pakeitimo pakartokite pirminį programos testą, o ne užklausą iš apvalkalo.
Blokavimo puslapis nėra patikimas sertifikatas
Pakaitinis puslapis, pateikiantis savo sertifikatą, sukels HTTPS tapatybės įspėjimą, o peradresavimas nepadaro to sertifikato galiojančio. Nespauskite per jį tik todėl, kad tunelis veikia; įspėjimas yra atskiras pasitikėjimo sprendimas, kuris vis tiek turi būti teisingas.
Diagnozė užsidaro, kai nepavykstantis vardas grąžina politikos atsakymą, o kontrolinis vardas grąžina įprastą per tą patį resolverį. Tuo metu taisymas yra politikos pakeitimas, o ne tunelio pakeitimas, ir RFC 1035 atsakymo kodai yra tai, ką cituojate ataskaitoje. Laikykite abu vardus ir atsakymus kartu; tai ir yra visas atvejis.