Kvifor eit blokkert nettstad framleis lastar etter at VPN-en er kopla frå

Ein nettstad var blokkert, verka medan VPN-en var tilkopla, og verkar framleis etter at VPN-en er kopla frå. Det er eit lite stykke prov for kvar blokkeringa låg, ikkje prov for at tunnelen vart ståande ved makt. Om blokkeringa hadde vore på mottakaradressa, ville eit bufra namn ikkje ha hjelpt, og tilkoplinga ville framleis mislukkast. At sida lastar, peikar i staden mot namneoppslag. Å lese det sporet rett sparer deg for ein lang omveg gjennom brannmurreglar.

Det er to stader ei blokkering kan sitje, og frå ein nettlesar ser dei identiske ut.

To blokkeringar som ser like ut i ein nettlesar

Ei namneblokkering skjer ved oppslaget. Oppslagaren returnerer ei feil adresse, eit tomt svar eller ei captive-portal-side, og nettlesaren melder at nettstaden ikkje kan nåast.

Ei adresseblokkering skjer seinare. Namnet blir slått opp rett, og pakkar til den verkelege adressa blir kasta, omdirigerte eller tilbakestilte. Å byte oppslag gjer ingenting her, fordi feilen startar etter at namnet alt er svara.

Berre den første typen kan berast av ein buffer, og det er det som gjer observasjonen din nyttig.

Kvifor svaret overlever tunnelen

Oppslagarbufferar blir nøkla på namn og haldne i levetida til posten. Operativsystemet held éin, og nettlesaren held vanlegvis ein annan, så eitt einskilt namn kan lagrast to gonger med to ulike levetider. Å kople til eller frå ein VPN tømmer ingen av dei; det endrar berre kva oppslag framtidige spørjingar blir sende til.

Medan tunnelen var oppe, gjekk oppslaget til oppslagaren til leverandøren, som returnerte den rette adressa, og det svaret vart lagra lokalt. Etter fråkoplinga spurde nettlesaren igjen, den lokale bufferen svara utan å spørje nokon, og sida vart lasta.

Ho vil halde fram med å laste til posten går ut eller nokon tømmer bufferen, og då kjem den gamle åtferda tilbake.

Ein test i tre trinn som skil dei

Gjer desse i rekkjefølgje, fordi det første er det einaste trinnet som provar at bufferen bar sida.

Tøm oppslagarbufferen og nettlesarbufferen, og last inn på nytt. Om nettstaden feilar igjen, var bufferen grunnen til at det verka. Spør deretter om det same namnet gjennom oppslagaren du hadde før VPN-en og gjennom ein annan, og samanlikn dei to svara: usemje plasserer blokkeringa i namngjevinga. Om du kjenner adressa, prøv å nå henne utan namnet, fordi suksess der stadfestar at adressa sjølv ikkje er filtrert.

Kva kvart resultat tyder for det neste trekket ditt

For ei namneblokkering er den direkte endringa eit anna oppslag, og kryptert DNS endrar kven som kan sjå og endre desse spørjingane. VPN-en gjorde den jobben som ein biverknad.

For ei blokkering på adressenivå er eit oppslagbyte irrelevant, og buffertteorien er rett og slett feil.

To grenser er verd å nemne før du handlar. Om du kan byte oppslag på eit gitt nettverk er eit spørsmål om policy og ikkje teknikk. Og ikkje alle nettverk blokkerer via DNS, så eit resultat skildrar nettverket du testa og ikkje blokkering generelt. Skriv ned kva oppslag du brukte, fordi nettopp den detaljen gjer testen repeterbar for neste person.