Hininto ng pag-filter ng DNS sa VPN ang pag-load ng isang website: basahin ang sagot
Maaaring harangan ng isang nagfi-filter na resolver ang isang pangalan habang gumagana ang tunnel. Basahin ang uri ng sagot, alamin kung kanino ang resolver, at baguhin lamang ang kontrolado mo.
Nabigo ang isang pangalan habang naka-on ang tunnel, at tinatawag ito ng browser na error sa network, gayong ang tunay na dahilan ay ang DNS na sagot na ibinalik ng resolver. Maaaring pigilan, tanggihan o muling isulat ng isang nagfi-filter na resolver ang isang pangalan at hayaang gumana ang lahat ng iba pang paghahanap. Ang tunnel ang nagdadala ng query; ang resolver ang nagpapasya ng sagot. Suriin ang sagot na iyon bago mo galawin ang mga setting ng encryption.
Naka-on ang tunnel, kaya hindi ang encryption ang pinaghihinalaan
Sinasabi ng estado ng koneksyon kung gumagalaw ang mga packet, hindi kung nalulutas ang isang pangalan. Ang paglutas ay isang query sa server kung saan naka-configure ang client, at ang patakaran doon ay maaaring sumagot sa isang domain nang iba kaysa sa lahat ng iba. Sa panig ng browser, nag-iisa ang lahat ng sagot na iyon sa isang pangkalahatang pagkabigo, kaya napakakaunting napatutunayan ng ilaw ng estado.
Itala muna ang tatlong bagay: ang resolver na ginamit ng client, ang code ng tugon para sa pangalang nabigo, at ang parehong query para sa isang pangalan na dapat gumana. Tanungin ang resolver nang direkta gamit ang dig example.com @10.20.0.1 at basahin ang linya ng estado, hindi ang mensahe ng browser. Kung nalulutas ang control na pangalan at ang nabigo ay nagbabalik ng patakaran na sagot, kumpleto ang ebidensya. Kung parehong nabigo, hindi pa kasali ang filter.
Apat na sagot, apat na magkaibang may-ari
Ang nagfi-filter na resolver ay walang isang paraan lamang para sabihing hindi, at ang anyo ng pagtanggi ay tumuturo sa ibang susunod na hakbang. Itala ang code ng tugon, dahil muling isinusulat ng browser ang apat sa isang bagay na parang naputol na koneksyon.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Itugma ang sagot sa talahanayan bago mo ibintang ang anuman sa tunnel. Ang pagtanggi at ang pigil na pangalan ay parehong nangangahulugang nagpasya ang resolver, samantalang ang katahimikan ay nangangahulugang hindi kailanman nakatanggap ng sagot ang query. Ang pagkakaibang iyon ang nagpapasya kung hahabulin mo ang may-ari ng patakaran o ang landas ng network.
Dalawang browser ay maaaring sumunod sa dalawang patakaran
Ang browser na may sariling naka-encrypt na resolver ay hindi kailangang gumamit ng server na ipinamimigay ng operating system, kaya maaari nitong balewalain ang patakarang itinayo ng tunnel upang ipatupad. Pagkatapos ay hindi nagkakasundo ang dalawang browser sa isang makina tungkol sa parehong pangalan ng host, at wala sa kanila ang sira. Tingnan kung aling resolver ang nakakabit sa bawat aplikasyon bago mo tawaging hindi pare-pareho ang filter.
Kapag parehong gumamit ng resolver ng tunnel ang dalawang aplikasyon at isa lamang ang nabigo, nasa aplikasyon ang pagkakaiba, hindi sa DNS. Itala ang address ng resolver bawat aplikasyon, dahil nawawala ang detalyeng iyon kapag nagsara ang window.
Baguhin ang pag-aari mo, i-escalate ang hindi mo pag-aari
Ang susunod na hakbang mo ay depende sa kung kanino ang resolver na tinutukoy mo. Ang pinapatakbo mo mismo ay isang tampok na mababasa at makokonfigura mo: tingnan ang dokumentadong opsyon sa pag-filter at ang mga eksepsyon nito, pagkatapos ay payagan ang nag-iisang pangalan. Ang pinapatakbo ng employer o provider mo ay isang ticket na may domain, eksaktong sagot at oras.
Huwag kailanman palitan ng pampublikong resolver upang pilitin ang site na bumukas, dahil tumitigil ang paglutas ng mga pribadong pangalan at tumitigil ang bisa ng sadyang patakaran. Pinapanatili rin ng makitid na pagbabago ang ebidensyang buo, upang maikumpara ng may-ari ang ulat mo sa sarili niyang talaan. Pagkatapos ng pagbabago, ulitin ang orihinal na pagsubok ng aplikasyon sa halip na paghahanap mula sa shell.
Ang block page ay hindi pinagkakatiwalaang sertipiko
Ang kapalit na pahina na nagpapakita ng sarili nitong sertipiko ay magtataas ng babala sa pagkakakilanlang HTTPS, at hindi ginagawang wasto ng redirection ang sertipikong iyon. Huwag mag-click sa pamamagitan nito dahil lang naka-on ang tunnel; ang babala ay hiwalay na desisyon sa pagtitiwala na kailangan pa ring tama.
Nagsasara ang diagnosis kapag ang nabigong pangalan ay nagbalik ng patakaran na sagot at ang control na pangalan ay nagbalik ng normal sa pamamagitan ng parehong resolver. Sa puntong iyon ang pag-aayos ay pagbabago ng patakaran, hindi ng tunnel, at ang RFC 1035 mga code ng tugon ang sinisipi mo sa ulat. Itago nang magkasama ang dalawang pangalan at mga sagot; iyon ang buong kaso.