Dlaczego zablokowana witryna nadal się ładuje po rozłączeniu VPN

Witryna była zablokowana, działała, dopóki VPN był połączony, i nadal działa po rozłączeniu VPN. To niewielki dowód na to, gdzie było blokowanie, a nie dowód, że tunel pozostał w mocy. Gdyby blokowanie dotyczyło adresu docelowego, nazwa z pamięci podręcznej by nie pomogła, a połączenie nadal by się nie udawało. Ładowanie się strony wskazuje zamiast tego na rozwiązywanie nazw. Właściwe odczytanie tej wskazówki oszczędza ci długiego objazdu przez reguły zapory.

Są dwa miejsca, w których może siedzieć blokowanie, i z poziomu przeglądarki wyglądają identycznie.

Dwa blokowania, które w przeglądarce wyglądają tak samo

Blokowanie nazw dzieje się podczas rozwiązywania. Resolver zwraca błędny adres, pustą odpowiedź albo stronę portalu przechwytującego, a przeglądarka zgłasza, że witryna jest nieosiągalna.

Blokowanie adresów dzieje się później. Nazwa rozwiązuje się poprawnie, a pakiety do prawdziwego adresu są odrzucane, przekierowywane lub resetowane. Zmiana resolvera nic tu nie daje, bo awaria zaczyna się po tym, jak nazwa już otrzymała odpowiedź.

Tylko pierwszy rodzaj może nieść pamięć podręczna, i to właśnie czyni twoją obserwację użyteczną.

Dlaczego odpowiedź przeżywa tunel

Pamięci podręczne resolvera są kluczowane nazwą i trzymane przez czas życia rekordu. System operacyjny trzyma jedną, a przeglądarka zwykle drugą, więc jedna nazwa może być zapisana dwa razy z dwoma różnymi czasami życia. Połączenie lub rozłączenie VPN nie opróżnia żadnej z nich; zmienia tylko, do którego resolvera trafią przyszłe zapytania.

Gdy tunel był aktywny, wyszukiwanie szło do resolvera dostawcy, który zwracał poprawny adres, i ta odpowiedź została zapisana lokalnie. Po rozłączeniu przeglądarka zapytała ponownie, lokalna pamięć podręczna odpowiedziała bez pytania nikogo, i strona się załadowała.

Będzie się ładować, dopóki wpis nie wygaśnie lub ktoś nie wyczyści pamięci podręcznej, a potem wróci stare zachowanie.

Test w trzech krokach, który je rozdziela

Wykonaj je po kolei, bo pierwszy jest jedynym krokiem, który dowodzi, że pamięć podręczna niosła stronę.

Wyczyść pamięć podręczną resolvera i przeglądarki, a potem odśwież stronę. Jeśli witryna znów zawiedzie, pamięć podręczna była powodem, że działała. Następnie zapytaj o tę samą nazwę przez resolver, który miałeś przed VPN, i przez inny, i porównaj obie odpowiedzi: rozbieżność umiejscawia blokowanie w nazewnictwie. Jeśli znasz adres, spróbuj dotrzeć do niego bez nazwy, bo sukces tam potwierdza, że sam adres nie jest filtrowany.

Co każdy wynik znaczy dla twojego następnego kroku

Przy blokowaniu nazw bezpośrednią zmianą jest inny resolver, a szyfrowany DNS zmienia to, kto może widzieć i zmieniać te zapytania. VPN wykonywał tę pracę jako efekt uboczny.

Przy blokowaniu na poziomie adresu zmiana resolvera jest bez znaczenia, a teoria pamięci podręcznej jest po prostu błędna.

Przed działaniem warto wymienić dwie granice. To, czy możesz zmieniać resolvery w danej sieci, jest kwestią polityki, a nie techniki. I nie każda sieć blokuje przez DNS, więc wynik opisuje sieć, którą testowałeś, a nie blokowanie w ogóle. Zapisz, którego resolvera użyłeś, bo właśnie ten szczegół czyni test powtarzalnym dla następnej osoby.