DNS-filtrering via VPN stansa innlastinga av ein nettstad: les svaret
Ein filtrerande resolver kan blokkere eitt namn medan tunnelen verkar. Les svartypen, finn ut kven som eig resolveren, og endre berre det du sjølv styrer.
Eitt namn feilar medan tunnelen er oppe, og nettlesaren kallar det ein nettverksfeil, sjølv om den eigentlege årsaka er DNS-svaret resolveren returnerte. Ein filtrerande resolver kan halde tilbake, avvise eller skrive om eitt einskilt namn og la alle andre oppslag verke. Tunnelen ber spørjinga; resolveren avgjer svaret. Gransk det svaret før du rører ved krypteringsinnstillingane.
Tunnelen er oppe, så kryptering er ikkje den mistenkte
Tilkoplingsstatusen fortel om pakkar rører seg, ikkje om eit namn løyser seg opp. Oppslag er ei spørjing til den tenaren klienten er konfigurert med, og ein policy der kan svare eitt domene annleis enn alle andre. Frå nettlesarsida smeltar alle desse svara saman til ein generisk feil, og difor beviser statuslyset så lite.
Skriv ned tre ting først: resolveren klienten brukte, svarkoden for namnet som feilar, og den same spørjinga for eit namn som skal verke. Spør resolveren direkte med dig example.com @10.20.0.1 og les statuslinja, ikkje nettlesarmeldinga. Viss kontrollnamnet løyser seg opp og det som feilar returnerer eit policysvar, er beviset komplett. Viss begge feilar, er filteret ikkje involvert enno.
Fire svar, fire ulike eigarar
Ein filtrerande resolver har ikkje berre éin måte å seie nei på, og forma på avvisinga peikar på eit anna neste steg. Skriv ned svarkoden, fordi nettlesaren skriv om alle fire til noko som høyrest ut som ei broten tilkopling.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Samanlikn svaret med tabellen før du tilskriv tunnelen noko. Ei avvising og eit tilbakehalde namn betyr begge at resolveren tok ei avgjerd, medan stilla betyr at spørjinga aldri fekk eit svar. Den skilnaden avgjer om du jagar ein policyeigar eller ein nettverksrute.
To nettlesarar kan følgje to policyar
Ein nettlesar som leverer sin eigen krypterte resolver, treng ikkje bruke tenaren operativsystemet deler ut, så han kan ignorere policyen tunnelen vart bygd for å bruke. Då er to nettlesarar på same maskin usamde om same vertsnamn, og ingen av dei er øydelagde. Sjekk kva resolver kvar applikasjon er bunden til før du kallar filteret inkonsistent.
Når begge applikasjonane brukar tunnelresolveren og berre éin feilar, ligg skilnaden i applikasjonen, ikkje i DNS. Skriv ned resolveradressa per applikasjon, fordi den detaljen forsvinn når vindauget vert lukka.
Endre det du eig, eskaler det du ikkje eig
Det neste steget ditt avheng av kven som eig resolveren du peikar på. Ein du køyrer sjølv, er ein funksjon du kan lese og konfigurere: sjekk det dokumenterte filtreringsvalet og unntaka, og tillat deretter det eine namnet. Ein arbeidsgjevaren eller leverandøren din køyrer, er ei sak med domenet, det nøyaktige svaret og tidspunktet.
Byt aldri inn ein offentleg resolver for å tvinge nettstaden open, fordi private namn sluttar å løysast opp og ein medviten policy sluttar å gjelde. Den smale endringa held òg beviset intakt, slik at eigaren kan samanlikne rapporten din med eigne oppføringar. Etter endringa gjer du den opphavlege applikasjonstesten på nytt i staden for eit oppslag frå eit skal.
Ei blokkeringsside er ikkje eit stolt sertifikat
Ei erstatningsside som presenterer sitt eige sertifikat, utløyser ei HTTPS-identitetsåtvaring, og omdirigeringa gjer ikkje sertifikatet gyldig. Ikkje klikk deg gjennom henne berre fordi tunnelen er oppe; åtvaringa er ei eiga tillitsavgjerd som framleis må vere riktig.
Diagnosen vert lukka når namnet som feilar returnerer eit policysvar og eit kontrollnamn returnerer eit normalt gjennom same resolver. Då er reparasjonen ei policyendring, ikkje ei tunnelendring, og RFC 1035 svarkodane er det du siterer i rapporten. Hald begge namna og svara saman; det er heile saka.