DNS filtriranje kroz VPN zaustavilo je učitavanje stranice: pročitajte odgovor
Filtrirajući razrješivač može blokirati jedno ime dok tunel radi. Pročitajte tip odgovora, otkrijte ko posjeduje razrješivač i promijenite samo ono što kontrolišete.
Jedno ime ne uspijeva dok je tunel aktivan, a preglednik to naziva mrežnom greškom, iako je pravi uzrok DNS odgovor koji je razrješivač vratio. Filtrirajući razrješivač može zadržati, odbiti ili prepisati jedno ime i ostaviti svaku drugu pretragu da radi. Tunel prenosi upit; razrješivač odlučuje o odgovoru. Pregledajte taj odgovor prije nego što dirnete postavke šifriranja.
Tunel je aktivan, pa šifriranje nije osumnjičeni
Stanje veze govori da li se paketi kreću, a ne da li se ime razrješava. Razrješavanje je upit serveru na koji je klijent konfigurisan, a politika tamo može odgovoriti na jednu domenu drugačije od svake druge. S preglednikove strane svi ti odgovori se stapaju u opću grešku, zato svjetlo statusa dokazuje tako malo.
Zapišite prvo tri stvari: razrješivač koji je klijent koristio, kod odgovora za ime koje ne uspijeva i isti upit za ime koje bi trebalo raditi. Pitajte razrješivač direktno s dig example.com @10.20.0.1 i čitajte liniju statusa, a ne poruku preglednika. Ako se kontrolno ime razrješava, a ono koje ne uspijeva vraća odgovor politike, dokaz je potpun. Ako oba ne uspiju, filter još nije uključen.
Četiri odgovora, četiri različita vlasnika
Filtrirajući razrješivač nema samo jedan način da kaže ne, a oblik odbijanja upućuje na drugačiji sljedeći korak. Zapišite kod odgovora, jer preglednik sva četiri prepisuje u nešto što zvuči kao prekinuta veza.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Usporedite odgovor s tabelom prije nego bilo što pripišete tunelu. Odbijanje i zadržano ime oboje znače da je razrješivač donio odluku, dok tišina znači da upit nikada nije dobio odgovor. Ta razlika odlučuje hoćete li tražiti vlasnika politike ili mrežni put.
Dva preglednika mogu slijediti dvije politike
Preglednik koji nosi vlastiti šifrirani razrješivač ne mora koristiti server koji operativni sistem dodjeljuje, pa može ignorisati politiku zbog koje je tunel napravljen. Tada se dva preglednika na istom računaru ne slažu oko istog imena hosta i nijedan nije pokvaren. Provjerite na koji je razrješivač vezana svaka aplikacija prije nego filter nazovete nedosljednim.
Kada obje aplikacije koriste razrješivač tunela, a samo jedna ne uspijeva, razlika je u aplikaciji, ne u DNS-u. Zapišite adresu razrješivača po aplikaciji, jer taj detalj nestaje kada se prozor zatvori.
Mijenjajte ono što posjedujete, eskalirajte ono što ne
Vaš sljedeći korak zavisi od toga ko posjeduje razrješivač na koji ste usmjereni. Onaj kojim sami upravljate je funkcija koju možete pročitati i konfigurisati: provjerite dokumentovanu opciju filtriranja i njena izuzeća, pa dozvolite to jedno ime. Onaj kojim upravlja vaš poslodavac ili provajder je tiket s domenom, tačnim odgovorom i vremenom.
Nikada ne ubacujte javni razrješivač da biste silom otvorili stranicu, jer privatna imena prestaju da se razrješavaju i namjerna politika prestaje da se primjenjuje. Uska promjena čuva i dokaz netaknutim, pa vlasnik može uporediti vaš izvještaj sa svojim zapisima. Nakon promjene ponovite izvorni test aplikacije, a ne pretragu iz ljuske.
Stranica blokade nije pouzdan certifikat
Zamjenska stranica koja predstavlja vlastiti certifikat izazvat će HTTPS upozorenje o identitetu, a preusmjeravanje ne čini taj certifikat valjanim. Ne klikćite kroz nju samo zato što je tunel aktivan; upozorenje je odvojena odluka o povjerenju koja ipak mora biti ispravna.
Dijagnoza se zatvara kada ime koje ne uspijeva vrati odgovor politike, a kontrolno ime vrati normalan odgovor kroz isti razrješivač. U tom trenutku popravka je promjena politike, ne tunela, a RFC 1035 kodovi odgovora su ono što citirate u izvještaju. Držite oba imena i odgovore zajedno; to je cijeli slučaj.