Waarom een geblokkeerde site na het verbreken van de VPN nog laadt

Een site was geblokkeerd, werkte zolang de VPN verbonden was, en werkt nog steeds nadat de VPN is verbroken. Dat is een klein stukje bewijs over waar de blokkade zat, geen bewijs dat de tunnel van kracht bleef. Als de blokkade op het bestemmingsadres had gezeten, zou een naam uit de cache niet hebben geholpen en zou de verbinding nog steeds mislukken. Dat de pagina laadt wijst in plaats daarvan op naamresolutie. Die aanwijzing goed lezen bespaart je een lange omweg langs firewallregels.

Er zijn twee plaatsen waar een blokkade kan zitten, en vanuit een browser zien ze er identiek uit.

Twee blokkades die er in een browser hetzelfde uitzien

Een naam blokkade gebeurt bij de resolutie. De resolver geeft een verkeerd adres, een leeg antwoord of een captive-portalpagina terug, en de browser meldt dat de site niet bereikbaar is.

Een adresblokkade gebeurt later. De naam wordt correct geresolveerd en pakketten naar het echte adres worden weggegooid, omgeleid of gereset. De resolver wijzigen doet hier niets, omdat de storing begint nadat de naam al beantwoord is.

Alleen de eerste soort kan door een cache worden gedragen, en dat is wat je waarneming nuttig maakt.

Waarom het antwoord de tunnel overleeft

Resolvercaches worden op naam gesleuteld en bewaard voor de levensduur van het record. Het besturingssysteem houdt er een bij, en de browser meestal nog een, dus een naam kan twee keer worden opgeslagen met twee verschillende levensduurtes. Een VPN verbinden of verbreken leegt geen van beide; het verandert alleen naar welke resolver toekomstige zoekopdrachten gaan.

Zolang de tunnel actief was, ging de opzoeking naar de resolver van de provider, die het juiste adres teruggaf, en dat antwoord werd lokaal opgeslagen. Na het verbreken vroeg de browser opnieuw, de lokale cache antwoordde zonder iemand te raadplegen, en de pagina laadde.

Hij blijft laden totdat de vermelding verloopt of iemand de cache leegt, en dan komt het oude gedrag terug.

Een test in drie stappen die ze scheidt

Doe deze in volgorde, want de eerste is de enige stap die bewijst dat de cache de pagina droeg.

Leeg de resolvercache en de browsercache, en herlaad. Als de site weer mislukt, was de cache de reden dat hij werkte. Vraag dan dezelfde naam op via de resolver die je voor de VPN had en via een andere, en vergelijk de twee antwoorden: een verschil plaatst de blokkade bij de naamgeving. Als je het adres kent, probeer het dan zonder de naam te bereiken, want succes daar bevestigt dat het adres zelf niet wordt gefilterd.

Wat elk resultaat betekent voor je volgende stap

Voor een naam blokkade is de directe wijziging een andere resolver, en versleuteld DNS verandert wie die zoekopdrachten kan zien en wijzigen. De VPN deed dat werk als bijwerking.

Voor een blokkade op adresniveau is een resolverwijziging irrelevant en de cachetheorie is gewoon onjuist.

Twee grenzen zijn het vermelden waard voordat je handelt. Of je op een bepaald netwerk van resolver mag wisselen is een kwestie van beleid en niet van techniek. En niet elk netwerk blokkeert via DNS, dus een resultaat beschrijft het netwerk dat je hebt getest en niet blokkade in het algemeen. Schrijf op welke resolver je gebruikte, want juist dat detail maakt de test herhaalbaar voor de volgende persoon.