DNS-filtering via VPN hield het laden van een website tegen: lees het antwoord
Een filterende resolver kan één naam blokkeren terwijl de tunnel werkt. Lees het soort antwoord, zoek uit wie de resolver bezit, en wijzig alleen wat u zelf beheert.
Eén naam mislukt terwijl de tunnel actief is, en de browser noemt het een netwerkfout, terwijl de echte oorzaak het DNS-antwoord is dat de resolver teruggaf. Een filterende resolver kan één naam tegenhouden, weigeren of herschrijven en elke andere opzoeking laten werken. De tunnel draagt de query; de resolver bepaalt het antwoord. Onderzoek dat antwoord voordat u de versleutelingsinstellingen aanraakt.
De tunnel is actief, dus versleuteling is niet de verdachte
De verbindingsstatus vertelt of pakketten bewegen, niet of een naam oplost. Oplossen is een query naar de server waarmee de client is geconfigureerd, en een beleid daar kan één domein anders beantwoorden dan alle andere. Vanuit de browser vallen al die antwoorden samen in een generieke fout, daarom bewijst het statuslampje zo weinig.
Noteer eerst drie dingen: de resolver die de client gebruikte, de responscode voor de naam die mislukt, en dezelfde query voor een naam die zou moeten werken. Vraag de resolver rechtstreeks met dig example.com @10.20.0.1 en lees de statusregel, niet de browsermelding. Als de controlenaam oplost en de mislukkende naam een beleidsantwoord geeft, is het bewijs compleet. Als beide mislukken, is het filter nog niet betrokken.
Vier antwoorden, vier verschillende eigenaren
Een filterende resolver heeft niet één manier om nee te zeggen, en de vorm van de weigering wijst op een andere volgende stap. Noteer de responscode, want de browser herschrijft alle vier tot iets dat klinkt als een verbroken verbinding.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Vergelijk het antwoord met de tabel voordat u iets aan de tunnel toeschrijft. Een weigering en een tegengehouden naam betekenen beide dat de resolver een beslissing nam, terwijl stilte betekent dat de query nooit een antwoord kreeg. Dat verschil bepaalt of u een beleidseigenaar of een netwerkpad achternagaat.
Twee browsers kunnen twee beleidsregels volgen
Een browser die zijn eigen versleutelde resolver meebrengt, hoeft niet de server te gebruiken die het besturingssysteem uitdeelt, dus kan hij het beleid negeren waarvoor de tunnel is gebouwd. Twee browsers op één machine zijn het dan oneens over dezelfde hostnaam, en geen van beide is stuk. Controleer aan welke resolver elke toepassing is gebonden voordat u het filter inconsistent noemt.
Wanneer beide toepassingen de tunnelresolver gebruiken en slechts één mislukt, zit het verschil in de toepassing, niet in DNS. Noteer het resolveradres per toepassing, want dat detail verdwijnt wanneer het venster sluit.
Wijzig wat u bezit, escaleer wat u niet bezit
Uw volgende stap hangt af van wie de resolver bezit waarnaar u wijst. Een die u zelf draait, is een functie die u kunt lezen en configureren: controleer de gedocumenteerde filteroptie en de uitzonderingen, en sta dan de ene naam toe. Een die uw werkgever of provider draait, is een ticket met het domein, het exacte antwoord en de tijd.
Vervang nooit door een openbare resolver om de site geforceerd open te krijgen, want privénamen lossen dan niet meer op en een bewust beleid geldt niet meer. De smalle wijziging houdt ook het bewijs intact, zodat de eigenaar uw rapport naast zijn eigen gegevens kan leggen. Herhaal na de wijziging de oorspronkelijke toepassingstest in plaats van een opzoeking uit een shell.
Een blokkeerpagina is geen vertrouwd certificaat
Een vervangende pagina die zijn eigen certificaat toont, geeft een HTTPS-identiteitswaarschuwing, en de omleiding maakt dat certificaat niet geldig. Klik er niet doorheen alleen omdat de tunnel actief is; de waarschuwing is een aparte vertrouwensbeslissing die nog steeds juist moet zijn.
De diagnose sluit wanneer de mislukkende naam een beleidsantwoord geeft en een controlenaam een normaal antwoord via dezelfde resolver. Op dat punt is de reparatie een beleidswijziging, geen tunnelwijziging, en de RFC 1035 responscodes zijn wat u in het rapport citeert. Houd beide namen en antwoorden bij elkaar; dat is de hele zaak.