Por que um site bloqueado ainda carrega depois de desconectar a VPN

Um site estava bloqueado, funcionava enquanto a VPN estava conectada e continua funcionando depois de desconectar a VPN. Essa é uma pequena peça de evidência sobre onde estava o bloqueio, não uma prova de que o túnel permaneceu em vigor. Se o bloqueio estivesse no endereço de destino, um nome em cache não teria ajudado e a conexão ainda falharia. O carregamento da página aponta, em vez disso, para a resolução de nomes. Ler bem essa pista poupa um longo desvio pelas regras do firewall.

Há dois lugares onde um bloqueio pode estar, e de um navegador eles parecem idênticos.

Dois bloqueios que parecem iguais em um navegador

Um bloqueio de nomes acontece na resolução. O resolvedor devolve um endereço errado, uma resposta vazia ou uma página de portal cativo, e o navegador informa que o site não pode ser alcançado.

Um bloqueio de endereços acontece mais tarde. O nome resolve corretamente e os pacotes para o endereço real são descartados, redirecionados ou redefinidos. Trocar o resolvedor não faz nada aqui, porque a falha começa depois de o nome já ter sido respondido.

Só o primeiro tipo pode ser carregado por um cache, e é isso que torna sua observação útil.

Por que a resposta sobrevive ao túnel

Os caches do resolvedor são indexados por nome e mantidos pelo tempo de vida do registro. O sistema operacional guarda um, e o navegador costuma guardar outro, então um único nome pode ser armazenado duas vezes com dois tempos de vida diferentes. Conectar ou desconectar uma VPN não esvazia nenhum dos dois; apenas muda para qual resolvedor as consultas futuras são enviadas.

Enquanto o túnel estava ativo, a consulta foi para o resolvedor do provedor, que devolveu o endereço correto, e essa resposta foi armazenada localmente. Após a desconexão o navegador perguntou de novo, o cache local respondeu sem consultar ninguém, e a página carregou.

Ela continuará carregando até a entrada expirar ou alguém limpar o cache, e então o comportamento antigo volta.

Um teste em três passos que os separa

Faça-os em ordem, porque o primeiro é o único passo que prova que o cache estava carregando a página.

Limpe o cache do resolvedor e o cache do navegador, e recarregue. Se o site falhar de novo, o cache era a razão de ele funcionar. Depois consulte o mesmo nome pelo resolvedor que você tinha antes da VPN e por outro diferente, e compare as duas respostas: uma divergência situa o bloqueio na nomeação. Se você conhece o endereço, tente alcançá-lo sem o nome, porque o sucesso ali confirma que o endereço em si não está filtrado.

O que cada resultado significa para o seu próximo passo

Para um bloqueio de nomes, a mudança direta é outro resolvedor, e o DNS criptografado muda quem pode ver e alterar essas consultas. A VPN fazia esse trabalho como efeito colateral.

Para um bloqueio no nível do endereço, trocar o resolvedor é irrelevante e a teoria do cache é simplesmente errada.

Duas fronteiras merecem ser ditas antes de você agir. Se você pode trocar de resolvedor numa dada rede é uma questão de política e não técnica. E nem toda rede bloqueia por DNS, então um resultado descreve a rede que você testou e não o bloqueio em geral. Anote qual resolvedor você usou, porque é esse detalhe que torna o teste repetível para a próxima pessoa.