Hvorfor et blokkert nettsted fortsatt lastes etter at VPN-en er koblet fra

Et nettsted var blokkert, virket mens VPN-en var tilkoblet, og virker fortsatt etter at VPN-en er koblet fra. Det er et lite stykke bevis for hvor blokkeringen lå, ikke bevis for at tunnelen ble stående ved makt. Hvis blokkeringen hadde vært på mottakeradressen, ville et bufret navn ikke ha hjulpet, og tilkoblingen ville fortsatt mislykkes. At siden lastes, peker i stedet mot navneoppslag. Å lese det sporet riktig sparer deg for en lang omvei gjennom brannmurregler.

Det er to steder en blokkering kan sitte, og fra en nettleser ser de identiske ut.

To blokkeringer som ser like ut i en nettleser

En navneblokkering skjer ved oppslaget. Oppslageren returnerer en feil adresse, et tomt svar eller en captive-portal-side, og nettleseren melder at nettstedet ikke kan nås.

En adresseblokkering skjer senere. Navnet slås opp riktig, og pakker til den virkelige adressen forkastes, omdirigeres eller tilbakestilles. Å bytte oppslager gjør ingenting her, fordi feilen starter etter at navnet allerede er besvart.

Bare den første typen kan bæres av en buffer, og det er det som gjør observasjonen din nyttig.

Hvorfor svaret overlever tunnelen

Oppslagerbuffere nøkles på navn og holdes i postens levetid. Operativsystemet holder én, og nettleseren holder vanligvis en annen, så ett enkelt navn kan lagres to ganger med to forskjellige levetider. Å koble til eller fra en VPN tømmer ingen av dem; det endrer bare hvilken oppslager fremtidige spørringer sendes til.

Mens tunnelen var oppe, gikk oppslaget til leverandørens oppslager, som returnerte den riktige adressen, og det svaret ble lagret lokalt. Etter frakoblingen spurte nettleseren igjen, den lokale bufferen svarte uten å spørre noen, og siden ble lastet.

Den vil fortsette å lastes til posten utløper eller noen tømmer bufferen, og da kommer den gamle oppførselen tilbake.

En test i tre trinn som skiller dem

Gjør disse i rekkefølge, fordi det første er det eneste trinnet som beviser at bufferen bar siden.

Tøm oppslagerbufferen og nettleserbufferen, og last inn på nytt. Hvis nettstedet feiler igjen, var bufferen grunnen til at det virket. Spør deretter om det samme navnet gjennom oppslageren du hadde før VPN-en og gjennom en annen, og sammenlign de to svarene: uenighet plasserer blokkeringen i navngivningen. Hvis du kjenner adressen, prøv å nå den uten navnet, fordi suksess der bekrefter at adressen selv ikke er filtrert.

Hva hvert resultat betyr for ditt neste trekk

For en navneblokkering er den direkte endringen en annen oppslager, og kryptert DNS endrer hvem som kan se og endre disse spørringene. VPN-en gjorde den jobben som en bivirkning.

For en blokkering på adressenivå er et oppslagerbytte irrelevant, og bufferteorien er rett og slett feil.

To grenser er verdt å nevne før du handler. Om du kan bytte oppslagere på et gitt nettverk er et spørsmål om policy og ikke teknikk. Og ikke alle nettverk blokkerer via DNS, så et resultat beskriver nettverket du testet og ikke blokkering generelt. Skriv ned hvilken oppslager du brukte, fordi nettopp den detaljen gjør testen repeterbar for neste person.