DNS филтрирањето преку VPN го запре вчитувањето на страница: прочитајте го одговорот
Филтрирачки резолвер може да блокира едно име додека тунелот работи. Прочитајте го типот на одговор, откријте чиј е резолверот и менувајте само она што го контролирате.
Едно име не успева додека тунелот е активен, а прелистувачот го нарекува мрежна грешка, иако вистинската причина е DNS одговорот што го вратил резолверот. Филтрирачки резолвер може да задржи, одбие или препише едно име и да ги остави сите други пребарувања да работат. Тунелот го носи барањето; резолверот одлучува за одговорот. Проверете го тој одговор пред да ги допрете поставките за шифрирање.
Тунелот е активен, па шифрирањето не е осомничениот
Состојбата на врската ви кажува дали пакетите се движат, а не дали името се разрешува. Разрешувањето е барање до серверот со кој е конфигуриран клиентот, а тамошната политика може да одговори на еден домен поинаку од сите други. Од страната на прелистувачот сите тие одговори се слеваат во општа грешка, затоа светилката за статус докажува толку малку.
Прво запишете три работи: резолверот што го користел клиентот, кодот на одговор за името што не успева и истото барање за име што треба да работи. Прашајте го резолверот директно со dig example.com @10.20.0.1 и читајте ја линијата за статус, а не пораката на прелистувачот. Ако контролното име се разреши, а она што не успева врати одговор на политика, доказот е целосен. Ако и двете не успеат, филтерот сѐ уште не е вклучен.
Четири одговори, четири различни сопственици
Филтрирачкиот резолвер нема само еден начин да каже не, а формата на одбивањето укажува на друг следен чекор. Запишете го кодот на одговор, бидејќи прелистувачот ги препишува сите четири во нешто што звучи како прекината врска.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Спорете го одговорот со табелата пред да му припишете нешто на тунелот. Одбивањето и задржаното име и двете значат дека резолверот донел одлука, додека тишината значи дека барањето никогаш не добило одговор. Таа разлика одлучува дали ќе го бркате сопственикот на политиката или мрежната патека.
Два прелистувачи можат да следат две политики
Прелистувач што носи сопствен шифриран резолвер не мора да го користи серверот што го доделува оперативниот систем, па може да ја игнорира политиката за која е изграден тунелот. Тогаш два прелистувачи на иста машина не се согласуваат за истото име на домаќин, и ниту еден не е расипан. Проверете на кој резолвер е врзана секоја апликација пред да го наречете филтерот неконзистентен.
Кога двете апликации го користат резолверот на тунелот и само една не успева, разликата е во апликацијата, не во DNS. Запишете ја адресата на резолверот по апликација, бидејќи тој детаљ исчезнува кога прозорецот ќе се затвори.
Менувајте го она што го поседувате, ескалирајте го она што не го поседувате
Вашиот следен чекор зависи од тоа чиј е резолверот кон кој покажувате. Оној што самите го водите е функција што можете да ја прочитате и конфигурирате: проверете ја документираната опција за филтрирање и нејзините исклучоци, па дозволете го тоа едно име. Оној што го води вашиот работодавач или давател е тикет со доменот, точниот одговор и времето.
Никогаш не заменувајте со јавен резолвер за насилно да ја отворите страницата, бидејќи приватните имиња престануваат да се разрешуваат и намерната политика престанува да важи. Тесната промена го чува и доказот недопрен, за да може сопственикот да го спореди вашиот извештај со своите записи. По промената, повторете го оригиналниот тест на апликацијата наместо пребарување од школка.
Блокирачка страница не е доверлив сертификат
Заменска страница што претставува сопствен сертификат ќе предизвика предупредување за идентитет на HTTPS, а пренасочувањето не го прави тој сертификат валиден. Не кликнувајте низ неа само затоа што тунелот е активен; предупредувањето е одделна одлука за доверба што сепак мора да биде точна.
Дијагнозата се затвора кога името што не успева враќа одговор на политика, а контролното име враќа нормален преку истиот резолвер. Во тој момент поправката е промена на политиката, не на тунелот, и RFC 1035 кодовите на одговор се она што го цитирате во извештајот. Држете ги двете имиња и одговорите заедно; тоа е целиот случај.