Почему некоторые сайты не открываются только при включённом VPN?

То, что один сайт не работает, а всё остальное загружается, доказывает, что туннель передаёт трафик, и это сужает проблему сильнее, чем многие ожидают. Три наблюдения упорядочивают остальное: получили ли вы вообще ответ HTTP, разрешилось ли имя хоста в адрес и проходят ли маленькие запросы, пока большие зависают. Догадки о VPN до получения этих ответов обычно переносят неисправность, а не устраняют её.

Разбирайте наблюдения по порядку, потому что сайт, который ответил, не мог одновременно не разрешиться. Если вообще ничего не загружается, вы в другой ветке, и действуют проверки для подключено, но без интернета.

Пусть сообщение об ошибке выберет ветку

Отказ, антибот-проверка или страница ошибки означают, что служба ответила, то есть пакеты дошли до приложения и вернулись. Это переносит вопрос к политике доступа сайта, которая может учитывать адрес выхода, учётную запись или непубликуемые шаблоны запросов. Сбой разрешения имён вообще не дошёл до сайта, и адрес — первое, что нужно проверить. Тайм-аут находится между ними: что-то было отправлено, и ничто это не подтвердило.

Предупреждения о сертификатах относятся к четвёртой ветке. Они означают, что соединение обслужило нечто, чью личность браузер не смог проверить: либо прокси на вашей стороне, либо настоящее несоответствие, через которое не стоит кликать. Считайте это вопросом доверия, а не маршрутизации.

Сайт, который отвечает, ещё не доказал поломку туннеля

Когда ответ — страница блокировки, сравните ту же страницу через второй выход, не меняя браузер и машину. Если результат следует за адресом выхода, сайт обрабатывает этот адрес иначе, и никакая настройка клиента этого не изменит. Если блокировка следует за вашим браузером, причина в расширении, сохранённом прокси или настройке резолвера. Два прогона дёшево разделяют эти объяснения.

Сбои только в браузере достаточно часты, чтобы проверять их рано. Страница, которая загружается в одном поддерживаемом браузере и сбоит в другом, указывает на состояние профиля, блокировщик содержимого или зашифрованный DNS, настроенный внутри самого браузера. Рекомендации Chrome по безопасному DNS показывают, где находится эта настройка, и изменить её через поддерживаемый элемент управления лучше, чем сбрасывать устройство.

Когда зависают только большие передачи, смотрите на размер пакета

Страница, которая отрисовывает заголовок и затем зависает, имеет другую подпись, чем страница, которая никогда не начинается. Маленькие ответы могут проходить, пока полноразмерная полезная нагрузка отбрасывается где-то, что не может сигнализировать отправителю, и именно так выглядит сбой MTU пути из браузера. Сравните крошечный запрос и большой к одному и тому же хосту, прежде чем теоретизировать о фильтрации. Обнаружение MTU пути должно узнавать наименьший размер звена на пути, и оно зависит от откликов ICMP, которые фильтрующие сети регулярно отбрасывают.

Проверьте эту гипотезу перебором размеров, а не одним пингом. Сбой, который начинается при постоянном размере полезной нагрузки, — сильное доказательство, а сбой, который смещается, — нет.

Подтвердите исправление на запросе, который сбоил

Повторите исходную операцию, а не главную страницу, потому что кэшированная оболочка может отрисоваться, пока вызов API за входом всё ещё сбоит. Команды ниже разделяют разрешение имён, маленький запрос и большой к одному и тому же хосту. Подставьте имя хоста и путь из запроса, который действительно сломался.

dig +short www.example.com
curl -sS -o /dev/null -w '%{http_code} %{time_total}\n' https://www.example.com/
curl -sS -o /dev/null -w '%{http_code} %{size_download}\n' https://www.example.com/assets/app.js
ping -M do -s 1400 -c 3 203.0.113.20

Если ответ dig отличается от того, что использовал браузер, переменной является резолвер, и собственная настройка DNS браузера — место, куда смотреть. Если маленький запрос возвращает статус, пока большой зависает, проработайте ветку размера пакета. Если оба истекают по времени, путь выхода и отношение сайта к этому адресу снова на столе.

Сохраните изменение, благодаря которому исходный запрос прошёл, и отмените остальное. Куча одновременных правок в браузере, резолвере и клиенте не даст сказать, какая из них имела значение.