VPN üzerinden DNS filtreleme bir sitenin yüklenmesini durdurdu: yanıtı okuyun
Filtreleyen bir çözümleyici, tünel çalışırken tek bir adı engelleyebilir. Yanıtın türünü okuyun, çözümleyicinin kime ait olduğunu bulun ve yalnızca kontrol ettiğiniz şeyi değiştirin.
Tünel açıkken tek bir ad başarısız olur ve tarayıcı bunu ağ hatası olarak adlandırır, oysa gerçek neden çözümleyicinin döndürdüğü DNS yanıtıdır. Filtreleyen bir çözümleyici tek bir adı tutabilir, reddedebilir veya yeniden yazabilir ve diğer tüm sorguların çalışmasına izin verebilir. Sorguyu tünel taşır; yanıta çözümleyici karar verir. Şifreleme ayarlarına dokunmadan önce o yanıtı inceleyin.
Tünel açık, yani şüpheli şifreleme değil
Bağlantı durumu paketlerin hareket edip etmediğini söyler, bir adın çözülüp çözülmediğini değil. Çözümleme, istemcinin yapılandırıldığı sunucuya gönderilen bir sorgudur ve oradaki bir ilke bir alan adına diğerlerinden farklı yanıt verebilir. Tarayıcı tarafında tüm bu yanıtlar genel bir hatada birleşir, bu yüzden durum ışığı çok az şey kanıtlar.
Önce üç şeyi not edin: istemcinin kullandığı çözümleyici, başarısız ad için yanıt kodu ve çalışması gereken ad için aynı sorgu. Çözümleyiciye doğrudan dig example.com @10.20.0.1 ile sorun ve tarayıcı mesajını değil durum satırını okuyun. Kontrol adı çözülür ve başarısız olan ilke yanıtı döndürürse kanıt tamamdır. İkisi de başarısız olursa filtre henüz devrede değildir.
Dört yanıt, dört farklı sahip
Filtreleyen bir çözümleyicinin hayır demenin tek bir yolu yoktur ve reddin biçimi farklı bir sonraki adıma işaret eder. Yanıt kodunu yazın, çünkü tarayıcı dördünü de kopmuş bağlantı gibi görünen bir şeye yeniden yazar.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Herhangi bir şeyi tünele yüklemeden önce yanıtı tabloyla karşılaştırın. Ret ve tutulan ad, ikisi de çözümleyicinin bir karar verdiği anlamına gelir, oysa sessizlik sorgunun hiç yanıt almadığı anlamına gelir. Bu fark, bir ilke sahibinin mi yoksa bir ağ yolunun mu peşine düşeceğinizi belirler.
İki tarayıcı iki ilkeyi izleyebilir
Kendi şifreli çözümleyicisini getiren bir tarayıcı, işletim sisteminin dağıttığı sunucuyu kullanmak zorunda değildir, bu yüzden tünelin uygulamak için kurulduğu ilkeyi yok sayabilir. O zaman aynı makinedeki iki tarayıcı aynı ana bilgisayar adı konusunda anlaşamaz ve ikisi de bozuk değildir. Her uygulamanın hangi çözümleyiciye bağlı olduğunu kontrol edin filtreyi tutarsız olarak adlandırmadan önce.
İki uygulama da tünelin çözümleyicisini kullanıp yalnızca biri başarısız olduğunda, fark uygulamada, DNS'te değil. Her uygulama için çözümleyici adresini yazın, çünkü pencere kapandığında bu ayrıntı kaybolur.
Sahip olduğunuzu değiştirin, olmadığınızı yukarı taşıyın
Sonraki adımınız, işaret ettiğiniz çözümleyicinin kime ait olduğuna bağlıdır. Kendi çalıştırdığınız, okuyup yapılandırabileceğiniz bir özelliktir: belgelenmiş filtreleme seçeneğini ve istisnalarını kontrol edin, sonra o tek ada izin verin. İşvereninizin veya sağlayıcınızın çalıştırdığı ise alan adı, tam yanıt ve saatle birlikte bir kayıttır.
Siteyi zorla açmak için asla genel bir çözümleyiciyle değiştirmeyin, çünkü özel adlar çözülmeyi bırakır ve kasıtlı bir ilke uygulanmaz. Dar değişiklik kanıtı da bozulmadan korur, böylece sahibi raporunuzu kendi kayıtlarıyla karşılaştırabilir. Değişiklikten sonra kabuktan bir sorgu yerine özgün uygulama testini yineleyin.
Engelleme sayfası güvenilir bir sertifika değildir
Kendi sertifikasını sunan bir değiştirme sayfası HTTPS kimlik uyarısı verir ve yönlendirme o sertifikayı geçerli kılmaz. Tünel açık diye içinden tıklamayın; uyarı ayrı bir güven kararıdır ve yine de doğru olmalıdır.
Başarısız ad ilke yanıtı, kontrol adı ise aynı çözümleyici üzerinden normal yanıt döndürdüğünde tanı kapanır. O noktada onarım bir ilke değişikliğidir, tünel değişikliği değil, ve raporda alıntıladığınız RFC 1035 yanıt kodlarıdır. İki adı ve yanıtı bir arada tutun; bütün mesele bu.