A filtragem DNS pela VPN impediu o carregamento de um site: leia a resposta
Um resolvedor filtrante pode bloquear um único nome enquanto o túnel funciona. Leia o tipo de resposta, descubra quem é o dono do resolvedor e altere apenas o que você controla.
Um nome falha enquanto o túnel está ativo, e o navegador chama isso de erro de rede, quando a causa real é a resposta DNS que o resolvedor devolveu. Um resolvedor filtrante pode reter, recusar ou reescrever um único nome e deixar todas as outras consultas funcionando. O túnel transporta a consulta; o resolvedor decide a resposta. Examine essa resposta antes de mexer nas configurações de criptografia.
O túnel está ativo, então a criptografia não é o suspeito
O estado da conexão informa se os pacotes se movem, não se um nome é resolvido. A resolução é uma consulta ao servidor com que o cliente foi configurado, e uma política ali pode responder a um domínio de forma diferente de todos os outros. Do lado do navegador, todas essas respostas se fundem numa falha genérica, por isso o indicador de estado prova tão pouco.
Anote primeiro três coisas: o resolvedor que o cliente usou, o código de resposta do nome que falha e a mesma consulta para um nome que deveria funcionar. Pergunte ao resolvedor diretamente com dig example.com @10.20.0.1 e leia a linha de estado, não a mensagem do navegador. Se o nome de controle resolver e o que falha devolver uma resposta de política, a prova está completa. Se ambos falharem, o filtro ainda não está envolvido.
Quatro respostas, quatro donos diferentes
Um resolvedor filtrante não tem uma única forma de dizer não, e a forma da recusa aponta para um próximo passo diferente. Anote o código de resposta, porque o navegador reescreve as quatro em algo que soa como uma conexão cortada.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Compare a resposta com a tabela antes de atribuir qualquer coisa ao túnel. Uma recusa e um nome retido significam ambos que o resolvedor tomou uma decisão, enquanto o silêncio significa que a consulta nunca recebeu resposta. Essa diferença decide se você persegue um dono de política ou um caminho de rede.
Dois navegadores podem seguir duas políticas
Um navegador que traz o próprio resolvedor criptografado não precisa usar o servidor que o sistema operacional distribui, então pode ignorar a política para a qual o túnel foi construído. Dois navegadores na mesma máquina então discordam sobre o mesmo nome de host, e nenhum está quebrado. Verifique a qual resolvedor cada aplicação está vinculada antes de chamar o filtro de inconsistente.
Quando as duas aplicações usam o resolvedor do túnel e só uma falha, a diferença está na aplicação, não no DNS. Anote o endereço do resolvedor por aplicação, porque esse detalhe desaparece quando a janela fecha.
Altere o que você possui, escale o que não possui
Seu próximo passo depende de quem é o dono do resolvedor para o qual você aponta. Um que você mesmo executa é um recurso que pode ler e configurar: verifique a opção de filtragem documentada e suas exceções, e então permita o nome único. Um que seu empregador ou provedor executa é um ticket com o domínio, a resposta exata e o horário.
Nunca troque por um resolvedor público para forçar a abertura do site, porque nomes privados deixam de resolver e uma política deliberada deixa de se aplicar. A mudança estreita também mantém a prova intacta, para que o dono possa comparar seu relatório com os próprios registros. Depois da mudança, repita o teste original da aplicação em vez de uma consulta a partir de um shell.
Uma página de bloqueio não é um certificado confiável
Uma página substituta que apresenta o próprio certificado vai gerar um aviso de identidade HTTPS, e o redirecionamento não torna esse certificado válido. Não clique nela só porque o túnel está ativo; o aviso é uma decisão de confiança separada que ainda precisa estar correta.
O diagnóstico se fecha quando o nome que falha devolve uma resposta de política e um nome de controle devolve uma normal pelo mesmo resolvedor. Nesse ponto o reparo é uma mudança de política, não de túnel, e os RFC 1035 códigos de resposta são o que você cita no relatório. Mantenha os dois nomes e as respostas juntos; esse é todo o caso.