การกรอง DNS ผ่าน VPN ทำให้เว็บไซต์โหลดไม่ขึ้น: อ่านคำตอบ
ตัวแก้ไขชื่อที่กรองอยู่สามารถบล็อกชื่อเดียวได้ในขณะที่อุโมงค์ทำงาน อ่านชนิดของคำตอบ ระบุว่าใครเป็นเจ้าของตัวแก้ไขชื่อ และแก้ไขเฉพาะสิ่งที่คุณควบคุมได้
ชื่อหนึ่งล้มเหลวในขณะที่อุโมงค์ทำงาน และเบราว์เซอร์เรียกสิ่งนั้นว่าข้อผิดพลาดเครือข่าย ทั้งที่สาเหตุจริงคือคำตอบ DNS ที่ตัวแก้ไขชื่อส่งกลับมา ตัวแก้ไขชื่อที่กรองอยู่สามารถกักเก็บ ปฏิเสธ หรือเขียนใหม่ชื่อเดียว และปล่อยให้การค้นหาอื่นทุกครั้งทำงานได้ อุโมงค์เป็นตัวพาคำถาม ตัวแก้ไขชื่อเป็นตัวตัดสินคำตอบ ตรวจดูคำตอบนั้นก่อนที่คุณจะแตะการตั้งค่าการเข้ารหัส
อุโมงค์ทำงานอยู่ ดังนั้นการเข้ารหัสจึงไม่ใช่ผู้ต้องสงสัย
สถานะการเชื่อมต่อบอกว่ามีแพ็กเก็ตเคลื่อนที่หรือไม่ ไม่ได้บอกว่าชื่อถูกแปลงหรือไม่ การแปลงคือคำถามที่ส่งไปยังเซิร์ฟเวอร์ที่ไคลเอนต์ตั้งค่าไว้ และนโยบายที่นั่นอาจตอบโดเมนหนึ่งต่างจากโดเมนอื่นทั้งหมด จากฝั่งเบราว์เซอร์คำตอบทั้งหมดนั้นรวมกันเป็นความล้มเหลวทั่วไป นั่นคือเหตุผลที่ไฟสถานะพิสูจน์ได้น้อยมาก
ก่อนอื่นจดสามอย่าง: ตัวแก้ไขชื่อที่ไคลเอนต์ใช้ รหัสตอบกลับของชื่อที่ล้มเหลว และคำถามเดียวกันสำหรับชื่อที่ควรทำงาน ถามตัวแก้ไขชื่อโดยตรงด้วย dig example.com @10.20.0.1 แล้วอ่านบรรทัดสถานะ ไม่ใช่ข้อความของเบราว์เซอร์ ถ้าชื่อควบคุมแปลงได้และชื่อที่ล้มเหลวคืนคำตอบเชิงนโยบาย แสดงว่าหลักฐานครบถ้วน ถ้าทั้งสองล้มเหลว ตัวกรองยังไม่ได้เข้ามาเกี่ยวข้อง
สี่คำตอบ สี่เจ้าของที่ต่างกัน
ตัวแก้ไขชื่อที่กรองอยู่ไม่ได้มีวิธีบอกว่าไม่เพียงวิธีเดียว และรูปแบบของการปฏิเสธชี้ไปยังขั้นตอนถัดไปที่ต่างกัน จดรหัสตอบกลับไว้ เพราะเบราว์เซอร์เขียนทั้งสี่แบบใหม่ให้เป็นสิ่งที่ฟังดูเหมือนการเชื่อมต่อที่ขาด
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
เทียบคำตอบกับตารางก่อนที่คุณจะโทษอุโมงค์ การปฏิเสธและชื่อที่ถูกกักไว้ทั้งสองอย่างหมายความว่าตัวแก้ไขชื่อตัดสินใจแล้ว ในขณะที่ ความเงียบหมายความว่าคำถามไม่เคยได้รับคำตอบ ความต่างนี้ตัดสินว่าคุณตามหาเจ้าของนโยบายหรือเส้นทางเครือข่าย
เบราว์เซอร์สองตัวสามารถทำตามนโยบายสองชุด
เบราว์เซอร์ที่นำตัวแก้ไขชื่อแบบเข้ารหัสของตัวเองมาด้วยไม่จำเป็นต้องใช้เซิร์ฟเวอร์ที่ระบบปฏิบัติการแจก ดังนั้นจึงอาจเพิกเฉยต่อนโยบายที่อุโมงค์ถูกสร้างขึ้นมาเพื่อบังคับใช้ เบราว์เซอร์สองตัวบนเครื่องเดียวกันจึงเห็นต่างกันเรื่องชื่อโฮสต์เดียวกัน และไม่มีตัวใดเสียตรวจสอบว่าแต่ละแอปพลิเคชันผูกกับตัวแก้ไขชื่อตัวใด ก่อนที่คุณจะเรียกตัวกรองว่าไม่สอดคล้องกัน
เมื่อทั้งสองแอปพลิเคชันใช้ตัวแก้ไขชื่อของอุโมงค์และมีเพียงตัวเดียวที่ล้มเหลว ความต่างอยู่ที่แอปพลิเคชัน ไม่ใช่ที่ DNS จดที่อยู่ของตัวแก้ไขชื่อแยกตามแอปพลิเคชัน เพราะรายละเอียดนั้นหายไปเมื่อหน้าต่างปิด
เปลี่ยนสิ่งที่คุณเป็นเจ้าของ ยกระดับสิ่งที่คุณไม่ได้เป็นเจ้าของ
ขั้นตอนถัดไปของคุณขึ้นอยู่กับว่าใครเป็นเจ้าของตัวแก้ไขชื่อที่คุณชี้ไป ตัวที่คุณดูแลเองเป็นความสามารถที่คุณอ่านและตั้งค่าได้: ตรวจสอบตัวเลือกการกรองที่มีเอกสารกำกับและข้อยกเว้นของมัน แล้วอนุญาตชื่อเดียวนั้น ตัวที่นายจ้างหรือผู้ให้บริการของคุณดูแลคือตั๋วที่มีโดเมน คำตอบที่แน่นอน และเวลา
อย่าสลับไปใช้ตัวแก้ไขชื่อสาธารณะเพื่อบังคับให้เว็บไซต์เปิด เพราะชื่อส่วนตัวจะแปลงไม่ได้และนโยบายที่ตั้งใจไว้จะไม่ถูกบังคับใช้ การเปลี่ยนแปลงที่แคบยังรักษาหลักฐานให้ครบถ้วน เพื่อให้เจ้าของเทียบรายงานของคุณกับบันทึกของตนได้ หลังการเปลี่ยนแปลง ให้ทำการทดสอบแอปพลิเคชันเดิมซ้ำแทนการค้นหาจากเชลล์
หน้าบล็อกไม่ใช่ใบรับรองที่เชื่อถือได้
หน้าที่ใช้แทนและแสดงใบรับรองของตัวเองจะทำให้เกิดคำเตือนเรื่องตัวตนของ HTTPS และการเปลี่ยนเส้นทางไม่ได้ทำให้ใบรับรองนั้นใช้ได้ อย่าคลิกผ่านมันเพียงเพราะอุโมงค์ทำงานอยู่ คำเตือนเป็นการตัดสินใจเรื่องความเชื่อถือแยกต่างหากที่ยังต้องถูกต้อง
การวินิจฉัยจะปิดเมื่อชื่อที่ล้มเหลวคืนคำตอบเชิงนโยบายและชื่อควบคุมคืนคำตอบปกติผ่านตัวแก้ไขชื่อเดียวกัน ณ จุดนั้นการซ่อมคือการเปลี่ยนนโยบาย ไม่ใช่การเปลี่ยนอุโมงค์ และในรายงานคุณอ้างอิง RFC 1035 รหัสตอบกลับ คุณควรเก็บทั้งสองชื่อและคำตอบไว้ด้วยกัน นั่นคือเรื่องทั้งหมด