Penapisan DNS melalui VPN menghentikan pemuatan laman web: baca jawapannya
Penyelesai yang menapis boleh menyekat satu nama semasa terowong berfungsi. Baca jenis jawapan, ketahui siapa pemilik penyelesai itu, dan ubah hanya apa yang anda kawal.
Satu nama gagal semasa terowong aktif, dan pelayar memanggilnya ralat rangkaian, padahal punca sebenar ialah jawapan DNS yang dikembalikan penyelesai. Penyelesai yang menapis boleh menahan, menolak atau menulis semula satu nama dan membiarkan setiap carian lain berfungsi. Terowong membawa pertanyaan itu; penyelesai menentukan jawapannya. Periksa jawapan itu sebelum menyentuh tetapan penyulitan.
Terowong aktif, jadi penyulitan bukan suspeknya
Keadaan sambungan memberitahu anda sama ada paket bergerak, bukan sama ada nama diselesaikan. Penyelesaian ialah pertanyaan kepada pelayan yang klien dikonfigurasikan dengannya, dan dasar di sana boleh menjawab satu domain secara berbeza daripada yang lain. Dari sisi pelayar semua jawapan itu bergabung menjadi kegagalan umum, sebab itu lampu status membuktikan begitu sedikit.
Catat tiga perkara dahulu: penyelesai yang digunakan klien, kod respons untuk nama yang gagal, dan pertanyaan yang sama untuk nama yang sepatutnya berfungsi. Tanya penyelesai secara langsung dengan dig example.com @10.20.0.1 dan baca baris status, bukan mesej pelayar. Jika nama kawalan diselesaikan dan nama yang gagal mengembalikan jawapan dasar, buktinya lengkap. Jika kedua-duanya gagal, penapis belum terlibat.
Empat jawapan, empat pemilik berbeza
Penyelesai yang menapis tidak mempunyai satu cara untuk berkata tidak, dan bentuk penolakan menunjuk langkah seterusnya yang berbeza. Catat kod respons, kerana pelayar menulis semula keempat-empatnya menjadi sesuatu yang kedengaran seperti sambungan terputus.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Padankan jawapan dengan jadual sebelum menyalahkan terowong. Penolakan dan nama yang ditahan kedua-duanya bermakna penyelesai membuat keputusan, manakala kesenyapan bermakna pertanyaan itu tidak pernah mendapat jawapan. Perbezaan itu menentukan sama ada anda mengejar pemilik dasar atau laluan rangkaian.
Dua pelayar boleh mengikut dua dasar
Pelayar yang membawa penyelesai tersulit sendiri tidak perlu menggunakan pelayan yang diagihkan sistem pengendalian, jadi ia boleh mengabaikan dasar yang terowong itu dibina untuk melaksanakan. Dua pelayar pada satu mesin kemudian tidak bersetuju tentang nama hos yang sama, dan kedua-duanya tidak rosak. Semak penyelesai mana yang terikat pada setiap aplikasi sebelum menyebut penapis tidak konsisten.
Apabila kedua-dua aplikasi menggunakan penyelesai terowong dan hanya satu gagal, perbezaannya ada pada aplikasi, bukan pada DNS. Catat alamat penyelesai bagi setiap aplikasi, kerana butiran itu hilang apabila tetingkap ditutup.
Ubah apa yang anda miliki, naikkan apa yang bukan milik anda
Langkah seterusnya bergantung pada siapa pemilik penyelesai yang anda tujukan. Yang anda jalankan sendiri ialah ciri yang boleh dibaca dan dikonfigurasikan: semak pilihan penapisan yang didokumenkan dan pengecualiannya, kemudian benarkan nama tunggal itu. Yang dijalankan majikan atau pembekal anda ialah tiket dengan domain, jawapan tepat dan masanya.
Jangan sekali-kali menukar kepada penyelesai awam untuk memaksa laman terbuka, kerana nama peribadi berhenti diselesaikan dan dasar yang disengajakan berhenti terpakai. Perubahan sempit juga mengekalkan bukti utuh, supaya pemilik boleh membandingkan laporan anda dengan rekodnya sendiri. Selepas perubahan, ulangi ujian aplikasi asal dan bukan carian dari shell.
Halaman sekatan bukan sijil yang dipercayai
Halaman pengganti yang mempersembahkan sijilnya sendiri akan menimbulkan amaran identiti HTTPS, dan ubah hala tidak menjadikan sijil itu sah. Jangan klik melaluinya hanya kerana terowong aktif; amaran itu keputusan kepercayaan berasingan yang masih perlu betul.
Diagnosis tertutup apabila nama yang gagal mengembalikan jawapan dasar dan nama kawalan mengembalikan yang normal melalui penyelesai yang sama. Pada ketika itu pembaikannya ialah perubahan dasar, bukan perubahan terowong, dan RFC 1035 kod respons ialah apa yang anda petik dalam laporan. Simpan kedua-dua nama dan jawapan bersama; itulah keseluruhan kes.