Filtrovanie DNS cez VPN zastavilo načítanie webu: prečítajte si odpoveď
Filtrujúci resolver môže zablokovať jediné meno, kým tunel funguje. Prečítajte si typ odpovede, zistite, kto vlastní resolver, a zmeňte len to, čo ovládate.
Jedno meno zlyháva, kým tunel beží, a prehliadač to nazýva sieťovou chybou, hoci skutočnou príčinou je odpoveď DNS, ktorú resolver vrátil. Filtrujúci resolver môže jedno meno zadržať, odmietnuť alebo prepísať a nechať všetky ostatné dopyty fungovať. Tunel prenáša dopyt; resolver rozhoduje o odpovedi. Preskúmajte tú odpoveď, skôr než sa dotknete nastavení šifrovania.
Tunel beží, takže šifrovanie nie je podozrivý
Stav pripojenia hovorí, či sa pakety pohybujú, nie či sa meno prekladá. Preklad je dopyt na server, ktorým je klient nakonfigurovaný, a politika tam môže odpovedať jednej doméne inak než všetkým ostatným. Z pohľadu prehliadača sa všetky tie odpovede zlievajú do všeobecnej chyby, preto kontrolka stavu dokazuje tak málo.
Najprv si zapíšte tri veci: resolver, ktorý klient použil, kód odpovede pre zlyhávajúce meno a ten istý dopyt pre meno, ktoré by malo fungovať. Spýtajte sa resolvera priamo pomocou dig example.com @10.20.0.1 a čítajte stavový riadok, nie správu prehliadača. Ak sa kontrolné meno prekladá a zlyhávajúce vracia odpoveď politiky, dôkaz je úplný. Ak zlyhajú obe, filter ešte nezasahuje.
Štyri odpovede, štyria rôzni vlastníci
Filtrujúci resolver nemá jediný spôsob, ako povedať nie, a forma odmietnutia ukazuje na iný ďalší krok. Zapíšte kód odpovede, pretože prehliadač všetky štyri prepisuje na niečo, čo znie ako prerušené spojenie.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Porovnajte odpoveď s tabuľkou, skôr než čokoľvek pripíšete tunelu. Odmietnutie aj zadržané meno znamenajú, že resolver urobil rozhodnutie, zatiaľ čo ticho znamená, že dopyt nikdy nedostal odpoveď. Ten rozdiel rozhoduje, či idete po vlastníkovi politiky, alebo po sieťovej ceste.
Dva prehliadače môžu nasledovať dve politiky
Prehliadač, ktorý si prináša vlastný šifrovaný resolver, nemusí používať server, ktorý prideľuje operačný systém, takže môže ignorovať politiku, pre ktorú bol tunel postavený. Dva prehliadače na jednom stroji sa potom nezhodnú na tom istom mene hostiteľa a ani jeden nie je pokazený. Overte, ku ktorému resolveru je pripojená každá aplikácia skôr než filter označíte za nekonzistentný.
Keď obe aplikácie používajú resolver tunela a zlyháva len jedna, rozdiel je v aplikácii, nie v DNS. Zapíšte adresu resolvera pre každú aplikáciu, pretože ten detail zmizne, keď sa okno zavrie.
Meňte to, čo vlastníte, eskalujte to, čo nevlastníte
Váš ďalší krok závisí od toho, kto vlastní resolver, na ktorý mierite. Ten, ktorý spravujete sami, je funkcia, ktorú môžete prečítať a nakonfigurovať: skontrolujte dokumentovanú voľbu filtrovania a jej výnimky, potom povoľte jediné meno. Ten, ktorý spravuje váš zamestnávateľ alebo poskytovateľ, je tiket s doménou, presnou odpoveďou a časom.
Nikdy nenahrádzajte verejným resolverom, aby ste web otvorili silou, pretože súkromné mená prestanú prekladať a úmyselná politika prestane platiť. Úzka zmena tiež udrží dôkaz nedotknutý, takže vlastník môže porovnať váš report so svojimi záznamami. Po zmene zopakujte pôvodný test aplikácie, nie dopyt zo shellu.
Blokovacia stránka nie je dôveryhodný certifikát
Náhradná stránka, ktorá predkladá vlastný certifikát, vyvolá varovanie identity HTTPS, a presmerovanie ten certifikát neplatným nerobí. Neklikajte cez ňu len preto, že tunel beží; varovanie je samostatné rozhodnutie o dôvere, ktoré stále musí byť správne.
Diagnóza sa uzavrie, keď zlyhávajúce meno vráti odpoveď politiky a kontrolné meno vráti normálnu cez ten istý resolver. V tom momente je oprava zmenou politiky, nie tunela, a RFC 1035 kódy odpovede sú to, čo v reporte citujete. Držte obe mená aj odpovede spolu; to je celý prípad.