Filtrimi DNS përmes VPN ndaloi ngarkimin e një faqeje: lexoni përgjigjen
Një zgjidhës filtrues mund të bllokojë një emër të vetëm ndërsa tuneli funksionon. Lexoni llojin e përgjigjes, zbuloni kujt i përket zgjidhësi dhe ndryshoni vetëm atë që kontrolloni.
Një emër dështon ndërsa tuneli është aktiv, dhe shfletuesi e quan gabim rrjeti, ndërsa shkaku i vërtetë është përgjigja DNS që ktheu zgjidhësi. Një zgjidhës filtrues mund të mbajë, të refuzojë ose të rishkruajë një emër të vetëm dhe t'i lërë të gjitha kërkimet e tjera të funksionojnë. Tuneli mbart pyetjen; zgjidhësi vendos përgjigjen. Shqyrtojeni atë përgjigje përpara se të prekni cilësimet e kriptimit.
Tuneli është aktiv, pra kriptimi nuk është i dyshuari
Gjendja e lidhjes ju tregon nëse paketat lëvizin, jo nëse një emër zgjidhet. Zgjidhja është një pyetje drejtuar serverit me të cilin klienti është konfiguruar, dhe një politikë atje mund t'i përgjigjet një domeni ndryshe nga të gjithë të tjerët. Nga ana e shfletuesit të gjitha ato përgjigje shkrihen në një dështim të përgjithshëm, prandaj drita e statusit provon kaq pak.
Fillimisht shënoni tre gjëra: zgjidhësin që përdori klienti, kodin e përgjigjes për emrin që dështon dhe të njëjtën pyetje për një emër që duhet të funksionojë. Pyetni zgjidhësin drejtpërdrejt me dig example.com @10.20.0.1 dhe lexoni rreshtin e statusit, jo mesazhin e shfletuesit. Nëse emri i kontrollit zgjidhet dhe ai që dështon kthen një përgjigje politike, prova është e plotë. Nëse të dy dështojnë, filtri nuk është përfshirë ende.
Katër përgjigje, katër pronarë të ndryshëm
Një zgjidhës filtrues nuk ka një mënyrë të vetme për të thënë jo, dhe forma e refuzimit tregon një hap tjetër të mëpasshëm. Shënoni kodin e përgjigjes, sepse shfletuesi i rishkruan të katërt në diçka që tingëllon si lidhje e ndërprerë.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Krahasojeni përgjigjen me tabelën përpara se t'i atribuoni diçka tunelit. Refuzimi dhe emri i mbajtur të dy nënkuptojnë që zgjidhësi mori një vendim, ndërsa heshtja nënkupton që pyetja nuk mori kurrë përgjigje. Ky ndryshim vendos nëse ndiqni një pronar politike apo një rrugë rrjeti.
Dy shfletues mund të ndjekin dy politika
Një shfletues që sjell zgjidhësin e vet të kriptuar nuk duhet të përdorë serverin që shpërndan sistemi operativ, ndaj mund të injorojë politikën për të cilën u ndërtua tuneli. Atëherë dy shfletues në të njëjtën makinë nuk bien dakord për të njëjtin emër hosti, dhe asnjëri nuk është i prishur. Verifikoni se me cilin zgjidhës është lidhur çdo aplikacion përpara se ta quani filtrin jokonsistent.
Kur të dy aplikacionet përdorin zgjidhësin e tunelit dhe dështon vetëm njëri, ndryshimi është në aplikacion, jo në DNS. Shënoni adresën e zgjidhësit për çdo aplikacion, sepse ai detaj zhduket kur dritarja mbyllet.
Ndryshoni atë që zotëroni, përshkallëzoni atë që nuk e zotëroni
Hapi juaj tjetër varet nga kush zotëron zgjidhësin drejt të cilit tregoni. Ai që e drejtoni vetë është një veçori që mund ta lexoni dhe konfiguroni: kontrolloni opsionin e dokumentuar të filtrimit dhe përjashtimet e tij, më pas lejoni atë emrin e vetëm. Ai që e drejton punëdhënësi ose ofruesi juaj është një biletë me domenin, përgjigjen e saktë dhe kohën.
Kurrë mos e zëvendësoni me një zgjidhës publik për të hapur faqen me forcë, sepse emrat privatë nuk zgjidhen më dhe një politikë e qëllimshme nuk zbatohet më. Ndryshimi i ngushtë e mban edhe provën të paprekur, që pronari të mund të krahasojë raportin tuaj me të dhënat e veta. Pas ndryshimit, përsëritni testin origjinal të aplikacionit në vend të një kërkimi nga një shell.
Një faqe bllokimi nuk është certifikatë e besuar
Një faqe zëvendësuese që paraqet certifikatën e vet do të ngrejë një paralajmërim identiteti HTTPS, dhe ridrejtimi nuk e bën atë certifikatë të vlefshme. Mos klikoni përmes saj vetëm sepse tuneli është aktiv; paralajmërimi është një vendim besimi i veçantë që duhet të jetë ende i saktë.
Diagnoza mbyllet kur emri që dështon kthen një përgjigje politike dhe një emër kontrolli kthen një normale përmes të njëjtit zgjidhës. Në atë pikë riparimi është një ndryshim politike, jo një ndryshim tuneli, dhe RFC 1035 kodet e përgjigjes janë ajo që citoni në raport. Mbani të dy emrat dhe përgjigjet bashkë; ky është i gjithë rasti.