DNS филтрирање преко VPN-а зауставило је учитавање сајта: прочитајте одговор
Филтрирајући резолвер може блокирати једно име док тунел ради. Прочитајте тип одговора, откријте чији је резолвер и промените само оно што контролишете.
Једно име не успева док је тунел активан, а прегледач то назива мрежном грешком, иако је прави узрок DNS одговор који је резолвер вратио. Филтрирајући резолвер може да задржи, одбије или препише једно име и остави све остале упите да раде. Тунел преноси упит; резолвер одлучује о одговору. Прегледајте тај одговор пре него што додирнете подешавања шифровања.
Тунел је активан, па шифровање није осумњичени
Стање везе говори да ли се пакети крећу, а не да ли се име разрешава. Разрешавање је упит серверу на који је клијент конфигурисан, а политика тамо може одговорити једној домени другачије од свих осталих. Са стране прегледача сви ти одговори се стапају у општу грешку, зато светло статуса доказује тако мало.
Прво запишите три ствари: резолвер који је клијент користио, код одговора за име које не успева и исти упит за име које би требало да ради. Питајте резолвер директно са dig example.com @10.20.0.1 и читајте линију статуса, а не поруку прегледача. Ако се контролно име разреши, а оно које не успева врати одговор политике, доказ је потпун. Ако оба не успеју, филтер још није укључен.
Четири одговора, четири различита власника
Филтрирајући резолвер нема само један начин да каже не, а облик одбијања указује на други следећи корак. Запишите код одговора, јер прегледач сва четири преписује у нешто што звучи као прекинута веза.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Упоредите одговор са табелом пре него што било шта припишете тунелу. Одбијање и задржано име обоје значе да је резолвер донео одлуку, док тишина значи да упит никада није добио одговор. Та разлика одлучује да ли идете за власником политике или за мрежном путањом.
Два прегледача могу следити две политике
Прегледач који носи сопствени шифровани резолвер не мора да користи сервер који додељује оперативни систем, па може да игнорише политику за коју је тунел направљен. Тада се два прегледача на истом рачунару не слажу око истог имена домаћина, и ниједан није покварен. Проверите на који је резолвер повезана свака апликација пре него што филтер назовете неконзистентним.
Када обе апликације користе резолвер тунела, а само једна не успева, разлика је у апликацији, не у DNS-у. Запишите адресу резолвера по апликацији, јер тај детаљ нестаје када се прозор затвори.
Мењајте оно што поседујете, ескалирајте оно што не поседујете
Ваш следећи корак зависи од тога чији је резолвер на који показујете. Онај којим сами управљате је функција коју можете да прочитате и конфигуришете: проверите документовану опцију филтрирања и њена изузећа, па дозволите то једно име. Онај којим управља ваш послодавац или добављач је тикет са доменом, тачним одговором и временом.
Никада не замењујте јавним резолвером да бисте силом отворили сајт, јер приватна имена престају да се разрешавају и намерна политика престаје да важи. Уска промена чува и доказ нетакнутим, па власник може да упореди ваш извештај са својим записима. Након промене поновите оригинални тест апликације, а не упит из љуске.
Страница блокирања није поуздан сертификат
Заменска страница која представља сопствени сертификат изазваће упозорење о идентитету HTTPS, а преусмеравање не чини тај сертификат важећим. Не кликћите кроз њу само зато што је тунел активан; упозорење је одвојена одлука о поверењу која ипак мора бити тачна.
Дијагноза се затвара када име које не успева врати одговор политике, а контролно име врати нормалан кроз исти резолвер. У том тренутку поправка је промена политике, не тунела, и у извештају цитирате RFC 1035 кодове одговора. Држите оба имена и одговоре заједно; то је цео случај.