Фільтрування DNS через VPN зупинило завантаження сайту: прочитайте відповідь
Фільтрувальний резолвер може заблокувати одне ім'я, поки тунель працює. Прочитайте тип відповіді, з'ясуйте, кому належить резолвер, і змініть лише те, що контролюєте ви.
Одне ім'я не працює, поки тунель увімкнено, і браузер називає це мережевою помилкою, хоча справжня причина — відповідь DNS, яку повернув резолвер. Фільтрувальний резолвер може утримати, відхилити або переписати одне ім'я й залишити всі інші запити працездатними. Тунель передає запит; резолвер вирішує відповідь. Дослідіть цю відповідь, перш ніж торкатися налаштувань шифрування.
Тунель увімкнено, тому шифрування не підозрюваний
Стан з'єднання каже, чи рухаються пакети, а не чи розв'язується ім'я. Розв'язання — це запит до сервера, з яким налаштований клієнт, і політика там може відповісти одному домену інакше, ніж усім іншим. З боку браузера всі ці відповіді зливаються в загальну помилку, тому індикатор стану доводить так мало.
Спершу запишіть три речі: резолвер, який використав клієнт, код відповіді для імені, що не працює, і той самий запит для імені, яке має працювати. Запитайте резолвер напряму командою dig example.com @10.20.0.1 і читайте рядок стану, а не повідомлення браузера. Якщо контрольне ім'я розв'язується, а те, що не працює, повертає відповідь політики, доказ повний. Якщо обидва не працюють, фільтр ще не задіяний.
Чотири відповіді, чотири різні власники
Фільтрувальний резолвер не має єдиного способу сказати «ні», і форма відмови вказує на інший наступний крок. Запишіть код відповіді, бо браузер переписує всі чотири в щось, що звучить як обірване з'єднання.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
Порівняйте відповідь із таблицею, перш ніж щось приписувати тунелю. Відмова й утримане ім'я означають, що резолвер ухвалив рішення, тоді як тиша означає, що запит так і не отримав відповіді. Ця різниця вирішує, чи гнатися вам за власником політики, чи за мережевим шляхом.
Два браузери можуть дотримуватися двох політик
Браузер, який приносить власний зашифрований резолвер, не зобов'язаний використовувати сервер, який видає операційна система, тому може ігнорувати політику, для якої будувався тунель. Тоді два браузери на одній машині розходяться щодо одного й того самого імені хоста, і жоден не зламаний. Перевірте, до якого резолвера прив'язаний кожен застосунок перш ніж називати фільтр непослідовним.
Коли обидва застосунки використовують резолвер тунелю і не працює лише один, різниця в застосунку, а не в DNS. Запишіть адресу резолвера для кожного застосунку, бо ця деталь зникає, коли вікно закривається.
Змінюйте те, чим володієте, ескалуйте те, чим не володієте
Ваш наступний крок залежить від того, кому належить резолвер, на який ви вказуєте. Той, яким керуєте ви самі, — це функція, яку можна прочитати й налаштувати: перевірте задокументовану опцію фільтрування та її винятки, а потім дозвольте це єдине ім'я. Той, яким керує роботодавець або провайдер, — це заявка з доменом, точною відповіддю та часом.
Ніколи не підміняйте на публічний резолвер, щоб силою відкрити сайт, бо приватні імена перестають розв'язуватися, а навмисна політика перестає діяти. Вузька зміна також зберігає докази недоторканими, щоб власник міг порівняти ваш звіт зі своїми записами. Після зміни повторіть початковий тест застосунку, а не запит з оболонки.
Сторінка блокування — не довірений сертифікат
Сторінка заміни, яка пред'являє власний сертифікат, викличе попередження про ідентичність HTTPS, і переспрямування не робить цей сертифікат дійсним. Не натискайте крізь неї лише тому, що тунель увімкнено; попередження — окреме рішення про довіру, яке все одно має бути правильним.
Діагноз закривається, коли ім'я, що не працює, повертає відповідь політики, а контрольне ім'я повертає звичайну через той самий резолвер. У цей момент виправлення — це зміна політики, а не тунелю, і в звіті ви цитуєте RFC 1035 коди відповіді. Тримайте обидва імені та відповіді разом; ось і вся справа.