DNS-filtrering via VPN stoppet innlastingen av et nettsted: les svaret
En filtrerende resolver kan blokkere ett navn mens tunnelen virker. Les svartypen, finn ut hvem som eier resolveren, og endre bare det du selv styrer.
Ett navn feiler mens tunnelen er oppe, og nettleseren kaller det en nettverksfeil, selv om den egentlige årsaken er DNS-svaret resolveren returnerte. En filtrerende resolver kan holde tilbake, avvise eller skrive om ett enkelt navn og la alle andre oppslag fungere. Tunnelen bærer spørringen; resolveren bestemmer svaret. Undersøk det svaret før du rører ved krypteringsinnstillingene.
Tunnelen er oppe, så kryptering er ikke den mistenkte
Tilkoblingsstatusen forteller om pakker beveger seg, ikke om et navn løses opp. Oppslag er en spørring til den serveren klienten er konfigurert med, og en policy der kan svare ett domene annerledes enn alle andre. Fra nettleserens side smelter alle disse svarene sammen til en generisk feil, og derfor beviser statuslyset så lite.
Skriv ned tre ting først: resolveren klienten brukte, svarkoden for navnet som feiler, og den samme spørringen for et navn som skal virke. Spør resolveren direkte med dig example.com @10.20.0.1 og les statuslinjen, ikke nettlesermeldingen. Hvis kontrollnavnet løses opp og det som feiler returnerer et policysvar, er beviset komplett. Hvis begge feiler, er filteret ikke involvert ennå.
Fire svar, fire forskjellige eiere
En filtrerende resolver har ikke bare én måte å si nei på, og formen på avvisningen peker på et annet neste steg. Skriv ned svarkoden, fordi nettleseren skriver om alle fire til noe som høres ut som en brutt tilkobling.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Sammenlign svaret med tabellen før du tilskriver tunnelen noe. En avvisning og et tilbakeholdt navn betyr begge at resolveren tok en beslutning, mens stillhet betyr at spørringen aldri fikk et svar. Den forskjellen avgjør om du jager en policyeier eller en nettverksrute.
To nettlesere kan følge to policyer
En nettleser som leverer sin egen krypterte resolver, trenger ikke bruke serveren operativsystemet deler ut, så den kan ignorere policyen tunnelen ble bygget for å bruke. Da er to nettlesere på samme maskin uenige om samme vertsnavn, og ingen av dem er ødelagt. Sjekk hvilken resolver hver applikasjon er bundet til før du kaller filteret inkonsekvent.
Når begge applikasjonene bruker tunnelresolveren og bare én feiler, ligger forskjellen i applikasjonen, ikke i DNS. Skriv ned resolveradressen per applikasjon, fordi den detaljen forsvinner når vinduet lukkes.
Endre det du eier, eskaler det du ikke eier
Det neste steget ditt avhenger av hvem som eier resolveren du peker på. En du kjører selv, er en funksjon du kan lese og konfigurere: sjekk det dokumenterte filtreringsvalget og unntakene, og tillat deretter det ene navnet. En arbeidsgiveren eller leverandøren din kjører, er en sak med domenet, det nøyaktige svaret og tidspunktet.
Bytt aldri inn en offentlig resolver for å tvinge nettstedet åpent, fordi private navn slutter å løses opp og en bevisst policy slutter å gjelde. Den smale endringen holder også beviset intakt, slik at eieren kan sammenligne rapporten din med egne oppføringer. Etter endringen gjentar du den opprinnelige applikasjonstesten i stedet for et oppslag fra et skall.
En blokkeringsside er ikke et betrodd sertifikat
En erstatningsside som presenterer sitt eget sertifikat, utløser en HTTPS-identitetsadvarsel, og omdirigeringen gjør ikke sertifikatet gyldig. Ikke klikk deg gjennom den bare fordi tunnelen er oppe; advarselen er en egen tillitsbeslutning som fortsatt må være riktig.
Diagnosen lukkes når navnet som feiler returnerer et policysvar og et kontrollnavn returnerer et normalt gjennom samme resolver. Da er reparasjonen en policyendring, ikke en tunnelendring, og RFC 1035 svarkodene er det du siterer i rapporten. Hold begge navnene og svarene sammen; det er hele saken.