Lọc DNS qua VPN đã chặn một trang web tải: đọc câu trả lời
Một trình phân giải có lọc có thể chặn một tên duy nhất trong khi đường hầm vẫn hoạt động. Hãy đọc loại câu trả lời, tìm ra ai sở hữu trình phân giải và chỉ thay đổi những gì bạn kiểm soát.
Một tên thất bại trong khi đường hầm đang bật, và trình duyệt gọi đó là lỗi mạng, trong khi nguyên nhân thật là câu trả lời DNS mà trình phân giải trả về. Một trình phân giải có lọc có thể giữ lại, từ chối hoặc viết lại một tên duy nhất và để mọi truy vấn khác hoạt động. Đường hầm mang truy vấn; trình phân giải quyết định câu trả lời. Hãy xem xét câu trả lời đó trước khi chạm vào cài đặt mã hóa.
Đường hầm đang bật, nên mã hóa không phải là đối tượng tình nghi
Trạng thái kết nối cho biết các gói có di chuyển hay không, không phải một tên có được phân giải hay không. Phân giải là một truy vấn gửi tới máy chủ mà ứng dụng khách được cấu hình, và chính sách ở đó có thể trả lời một tên miền khác với mọi tên còn lại. Từ phía trình duyệt, tất cả các câu trả lời đó hòa vào một lỗi chung, vì thế đèn trạng thái chứng minh được rất ít.
Trước tiên hãy ghi lại ba thứ: trình phân giải mà ứng dụng khách đã dùng, mã phản hồi cho tên thất bại, và cùng truy vấn đó cho một tên lẽ ra phải hoạt động. Hỏi trực tiếp trình phân giải bằng dig example.com @10.20.0.1 và đọc dòng trạng thái, không phải thông báo của trình duyệt. Nếu tên đối chứng phân giải được và tên thất bại trả về câu trả lời chính sách, bằng chứng đã đầy đủ. Nếu cả hai đều thất bại, bộ lọc chưa tham gia.
Bốn câu trả lời, bốn chủ sở hữu khác nhau
Một trình phân giải có lọc không có một cách duy nhất để nói không, và hình thức từ chối chỉ ra một bước tiếp theo khác. Hãy ghi lại mã phản hồi, vì trình duyệt viết lại cả bốn thành một thứ nghe như kết nối bị ngắt.
| Answer | What it points at |
|---|---|
| NXDOMAIN | The name is withheld: a policy entry or a zone decision removed it |
| Refused | The resolver declines to answer; usually an access or policy rule |
| Replacement address | A redirect to a block page or sinkhole you can query and inspect |
| No answer at all | Weakest evidence: reachability, load or routing, not necessarily policy |
So câu trả lời với bảng trước khi quy bất cứ điều gì cho đường hầm. Từ chối và tên bị giữ lại đều có nghĩa là trình phân giải đã ra quyết định, trong khi sự im lặng nghĩa là truy vấn không bao giờ nhận được câu trả lời. Khác biệt đó quyết định bạn đuổi theo chủ sở hữu chính sách hay theo đường đi mạng.
Hai trình duyệt có thể theo hai chính sách
Một trình duyệt mang theo trình phân giải mã hóa riêng không buộc phải dùng máy chủ mà hệ điều hành phân phối, nên nó có thể bỏ qua chính sách mà đường hầm được dựng để áp dụng. Khi đó hai trình duyệt trên cùng một máy không đồng ý về cùng một tên máy chủ, và không cái nào bị hỏng. Kiểm tra xem mỗi ứng dụng gắn với trình phân giải nào trước khi gọi bộ lọc là không nhất quán.
Khi cả hai ứng dụng dùng trình phân giải của đường hầm và chỉ một cái thất bại, khác biệt nằm ở ứng dụng, không phải ở DNS. Ghi lại địa chỉ trình phân giải theo từng ứng dụng, vì chi tiết đó biến mất khi cửa sổ đóng lại.
Thay đổi thứ bạn sở hữu, chuyển lên cấp trên thứ bạn không sở hữu
Bước tiếp theo phụ thuộc vào ai sở hữu trình phân giải mà bạn trỏ tới. Cái bạn tự vận hành là một tính năng bạn có thể đọc và cấu hình: xem tùy chọn lọc được ghi trong tài liệu và các ngoại lệ của nó, rồi cho phép đúng tên đó. Cái mà chủ lao động hoặc nhà cung cấp của bạn vận hành là một phiếu với tên miền, câu trả lời chính xác và thời điểm.
Đừng bao giờ thay bằng một trình phân giải công cộng để ép trang mở ra, vì tên riêng sẽ ngừng phân giải và một chính sách có chủ đích sẽ ngừng áp dụng. Thay đổi hẹp cũng giữ bằng chứng nguyên vẹn, để chủ sở hữu có thể đối chiếu báo cáo của bạn với hồ sơ của họ. Sau khi thay đổi, hãy lặp lại bài kiểm tra ứng dụng ban đầu thay vì một truy vấn từ shell.
Trang chặn không phải là chứng chỉ đáng tin
Một trang thay thế tự trình bày chứng chỉ của riêng nó sẽ làm dấy lên cảnh báo danh tính HTTPS, và việc chuyển hướng không làm chứng chỉ đó hợp lệ. Đừng bấm qua nó chỉ vì đường hầm đang bật; cảnh báo là một quyết định tin cậy riêng vẫn phải đúng.
Chẩn đoán khép lại khi tên thất bại trả về câu trả lời chính sách và một tên đối chứng trả về câu trả lời bình thường qua cùng trình phân giải. Lúc đó việc sửa chữa là thay đổi chính sách, không phải thay đổi đường hầm, và trong báo cáo bạn trích dẫn RFC 1035 các mã phản hồi. Hãy giữ cả hai tên và các câu trả lời cùng nhau; đó là toàn bộ vụ việc.