Nima uchun hotspot VPN ulanmasdan oldin DNSni qayta yo'naltiradi?
Hotspot o'z tarmog'ida so'rovlarni qayta yozadi va xost nomi ko'rinishidagi oxirgi nuqta har qanday tunnel paydo bo'lishidan oldin hal qilinadi. Har bir so'rovga qaysi rezolver javob berganini kuzatib boring.
Mehmonxona tarmog'iga ulanish oldingizga turli paytlarda ikkita DNS qarorini qo'yadi: qurilma tizimga kirish paytida qiladigan so'rovlar va tunnel ko'tarilgandan keyin qilinadigan so'rovlar. Hotspot o'zi boshqaradigan tarmoq orqali birinchisiga ta'sir qilishi mumkin. Ikkinchisi mijozning o'z siyosatiga bog'liq, bu alohida tekshiriladigan masala.
Ulanishni tartib bilan ko'rib chiqing, birinchi DHCP ijarasidan xususiy nomni hal qilgan so'rovgacha. Shunda qo'llab-quvvatlash chiptasida bir xil ko'rinadigan ikkita nosozlik aniq ajraladi: biri tunnel paydo bo'lishidan oldin, ikkinchisi uning ichida sodir bo'lgan.
Hotspot nimaga tegishi mumkin va nimaga tegishi mumkin emas
Kirish tarmog'i DHCP orqali rezolver manzilini beradi va o manzilga qarab 53-portni ushlab qolishi mumkin. Bu har bir himoyalanmagan so'rovga portal manzili yoki bloklash sahifasi bilan javob berish uchun yetarli. Oxirgi nuqtasi xost nomi sifatida yozilgan VPN mijozini sindirish uchun ham yetarli.
Hotspot qila olmaydigan narsa — so'rov o'rnatilgan tunnel ichida harakatlana boshlagandan keyin uni o'qish yoki qayta yozish, albatta tunnel uni haqiqatan tashisa. Ushlash savolni ochiq matnda ko'rishga bog'liq.
So'rovlar baribir tunneldan hotspotga aloqasi bo'lmagan sabablarga ko'ra chiqadi: brauzerning xavfsiz DNS sozlamasi, korporativ qo'shimchani mahalliy rezolverda ushlab turuvchi split-DNS qoidasi yoki DNSni tunneldan chiqarib tashlash uchun sozlangan mijoz. Har biri mijoz tomonidagi tanlov va har biri tashqaridan qaraganda hotspot aralashuvi kabi ko'rinadi.
| Path | Who answers | What a failure looks like |
|---|---|---|
| Lookup before the tunnel is up | The network's resolver | The client never reaches its endpoint |
| Lookup inside the tunnel | The resolver pushed by the client | Local policy or tunnel DNS is misconfigured |
| Browser secure DNS | A DoH provider over port 443 | Both the hotspot and the tunnel policy are bypassed |
Boshlang'ich so'rov tunnel paydo bo'lishidan oldin sodir bo'ladi
Xost nomi berilgan mijoz avval uni hal qilishi kerak va o'sha lahzada hech qanday tunnel so'rovni himoya qilmaydi. Agar hotspot portal manzili bilan javob bersa, muzokaralar muvaffaqiyatsiz bo'ladi yoki osilib qoladi. Agar hech narsa bilan javob bermasa, mijoz nom xatosini bildiradi va tunnel hech qachon boshlanmaydi. Ikki natijadan qaysi biri bo'lsa ham, aks holda begunoh ko'rinadigan bo'sh tunnel jurnalini tushuntiradi.
Operatsion tizimlar o'zlarining ulanish tekshiruvlari va portal aniqlashni ham bajaradi, ular RFC 8910 va RFC 8952da tasvirlangan, va bu so'rovlar har qanday VPN ko'tarilishidan oldin chiqadi. Ularni proksi jurnalida ko'rish oqishning isboti emas, kutilgan xatti-harakat.
Amaliy yechim mijozga hech qanday so'rov talab qilmaydigan oxirgi nuqta berishdir. Bu imkonsiz bo'lsa, avval tizimga kirishni tugating, keyin ulaning.
Qaysi rezolver javob berganini aniqlang
Brauzerdan emas, tizimdan so'rang va so'rovni ikki marta bajaring: bir marta qurilma hozir ishlatayotgan rezolver orqali, bir marta qat'iy manzilga qarshi.
resolvectl query vpn.example.com dig +short vpn.example.com dig +short vpn.example.com @1.1.1.1
Birinchi buyruqning javobi uchinchisidan farq qilsa, bu mahalliy rezolver boshqa narsa qaytarayotganini bildiradi va qayta yo'naltiruvchi hotspot aynan shunday qiladi. Uchinchisining nosozligi birinchisining muvaffaqiyati bilan birga portalga ishora qiladi: mahalliy rezolver kirish manzilini taqdim etdi, chiquvchi 53-port esa tashlab yuborildi. Ikkalasida ham vaqt tugashi tarmoq autentifikatsiya tugagunga qadar DNSni tashlab yuborishini bildiradi.
Ulanganidan keyin takrorlang va solishtiring. Keshlangan javob o'tishdan omon qoladi, shuning uchun keshni tozalang yoki ikkinchi kuzatish uchun yangi nom so'rang.
Keyingi so'rovlarni siz ko'zlagan yo'lda saqlang
DNSni ham ushlaydigan to'liq tunnel profili eng oddiy tuzilma: har bir ilovaning har bir so'rovi tunnel itarayotgan rezolverga boradi va mahalliy tarmoq faqat shifrlangan trafikni ko'radi. Buni ulanganidan keyin ichki va ochiq nomni hal qilib, so'ngra ikkala javobni tunnel rezolveri yolg'iz qaytaradigan narsa bilan solishtirib isbotlang.
Split-DNS niyat bilan yozilgan domenlar ro'yxatini talab qiladi: korporativ qo'shimchalar tunnel orqali, qolgan barchasi mahalliy va ikkalasi o'rtasida hech qanday ustma-ustlik yo'q.
Brauzerning xavfsiz DNSi bu siyosatdan tashqarida, shuning uchun profil bashoratli ishlashi uchun uni o'chirish kerak bo'lsa, mashina uchun emas, o'sha profil uchun o'chiring. Buni tizim rezolverini tahrirlash orqali emas, brauzer sozlamalarida qiling, shunda o'zgarish keyingi safar ko'rinadi. Har bir sinov uchun javobni, rezolverni va ulanish bosqichini bitta satrda yozib qo'ying. Mehmonxona Wi-Fi tarmog'ida DNS muvaffaqiyatsiz bo'ldi degan hisobot kamida uch xil sababga ega alomatni tasvirlaydi.