Filtrowanie DNS przez VPN zablokowało ładowanie strony: przeczytaj odpowiedź
Filtrujący resolver może zablokować jedną nazwę, gdy tunel działa. Przeczytaj typ odpowiedzi, ustal, kto jest właścicielem resolvera, i zmień tylko to, co kontrolujesz.
Jedna nazwa zawodzi, gdy tunel jest aktywny, a przeglądarka nazywa to błędem sieci, choć prawdziwą przyczyną jest odpowiedź DNS zwrócona przez resolver. Filtrujący resolver może wstrzymać, odrzucić lub przepisać jedną nazwę i pozostawić wszystkie inne zapytania działające. Tunel przenosi zapytanie; resolver decyduje o odpowiedzi. Zbadaj tę odpowiedź, zanim dotkniesz ustawień szyfrowania.
Tunel działa, więc szyfrowanie nie jest podejrzanym
Stan połączenia mówi, czy pakiety się poruszają, a nie czy nazwa się rozwiązuje. Rozwiązywanie to zapytanie do serwera, z którym skonfigurowany jest klient, a polityka tam może odpowiedzieć jednej domenie inaczej niż wszystkim pozostałym. Po stronie przeglądarki wszystkie te odpowiedzi zlewają się w ogólny błąd, dlatego lampka stanu dowodzi tak niewiele.
Najpierw zapisz trzy rzeczy: resolver, którego użył klient, kod odpowiedzi dla zawodzącej nazwy i to samo zapytanie dla nazwy, która powinna działać. Zapytaj resolver bezpośrednio poleceniem dig example.com @10.20.0.1 i czytaj wiersz stanu, a nie komunikat przeglądarki. Jeśli nazwa kontrolna się rozwiązuje, a zawodząca zwraca odpowiedź polityki, dowód jest kompletny. Jeśli obie zawodzą, filtr jeszcze nie bierze udziału.
Cztery odpowiedzi, czterech różnych właścicieli
Filtrujący resolver nie ma jednego sposobu mówienia nie, a forma odmowy wskazuje inny następny krok. Zapisz kod odpowiedzi, bo przeglądarka przepisuje wszystkie cztery na coś, co brzmi jak zerwane połączenie.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Porównaj odpowiedź z tabelą, zanim przypiszesz cokolwiek tunelowi. Odmowa i wstrzymana nazwa oznaczają, że resolver podjął decyzję, podczas gdy cisza oznacza, że zapytanie nigdy nie otrzymało odpowiedzi. Ta różnica decyduje, czy ścigasz właściciela polityki, czy ścieżkę sieci.
Dwie przeglądarki mogą stosować dwie polityki
Przeglądarka, która przynosi własny szyfrowany resolver, nie musi używać serwera rozdawanego przez system operacyjny, więc może ignorować politykę, dla której zbudowano tunel. Wtedy dwie przeglądarki na jednej maszynie nie zgadzają się co do tej samej nazwy hosta, i żadna nie jest zepsuta. Sprawdź, do którego resolvera przypisana jest każda aplikacja zanim nazwiesz filtr niespójnym.
Gdy obie aplikacje używają resolvera tunelu i zawodzi tylko jedna, różnica leży w aplikacji, a nie w DNS. Zapisz adres resolvera dla każdej aplikacji, bo ten szczegół znika po zamknięciu okna.
Zmieniaj to, co posiadasz, eskaluj to, czego nie posiadasz
Twój następny krok zależy od tego, kto jest właścicielem resolvera, na który wskazujesz. Ten, który prowadzisz sam, jest funkcją, którą możesz przeczytać i skonfigurować: sprawdź udokumentowaną opcję filtrowania i jej wyjątki, a następnie zezwól na tę jedną nazwę. Ten, który prowadzi pracodawca lub dostawca, jest zgłoszeniem z domeną, dokładną odpowiedzią i czasem.
Nigdy nie podmieniaj na publiczny resolver, aby wymusić otwarcie strony, bo nazwy prywatne przestają się rozwiązywać, a celowa polityka przestaje obowiązywać. Wąska zmiana zachowuje też dowód nietknięty, więc właściciel może porównać twój raport z własnymi zapisami. Po zmianie powtórz pierwotny test aplikacji, a nie zapytanie z powłoki.
Strona blokady nie jest zaufanym certyfikatem
Strona zastępcza, która przedstawia własny certyfikat, wywoła ostrzeżenie o tożsamości HTTPS, a przekierowanie nie czyni tego certyfikatu ważnym. Nie klikaj przez nią tylko dlatego, że tunel działa; ostrzeżenie to odrębna decyzja o zaufaniu, która nadal musi być poprawna.
Diagnoza zamyka się, gdy zawodząca nazwa zwraca odpowiedź polityki, a nazwa kontrolna zwraca normalną przez ten sam resolver. W tym momencie naprawa jest zmianą polityki, a nie zmianą tunelu, i RFC 1035 kody odpowiedzi są tym, co cytujesz w raporcie. Trzymaj obie nazwy i odpowiedzi razem; to cała sprawa.