Zapora blokuje serwer DNS

Zapora blokująca serwer DNS wskazuje na regułę ograniczającą port UDP 53 wymagany do rozpoznawania nazw domenowych.

Co oznacza komunikat o blokadzie serwera DNS

Zapora blokująca serwer DNS oznacza, że reguły filtrowania ruchu sieciowego nie pozwalają komputerowi na prawidłową komunikację z serwerem DNS, czyli usługą tłumaczącą nazwy domenowe na adresy IP. Gdy w przeglądarce wpisywany jest adres strony, system najpierw musi ustalić, jaki adres IP odpowiada tej nazwie. Dopiero po uzyskaniu odpowiedzi może zostać nawiązane połączenie z serwerem WWW. Jeżeli zapora odrzuca zapytanie DNS, strona może być niedostępna mimo prawidłowego połączenia z routerem i mimo tego, że sama sieć bezprzewodowa działa.

Najczęściej wykorzystywany jest protokół DNS przez UDP na porcie 53. Zapytanie wychodzące z komputera trafia do skonfigurowanego serwera DNS, a odpowiedź wraca do portu tymczasowego otwartego przez system. W określonych sytuacjach DNS korzysta również z TCP na porcie 53, między innymi przy większych odpowiedziach lub podczas operacji wymagających niezawodnego połączenia. Dlatego reguła zezwalająca wyłącznie na jeden rodzaj ruchu może powodować częściowe działanie albo niestabilne rozwiązywanie nazw.

Jak zapora wpływa na rozpoznawanie nazw domen

Blokada może występować na kilku poziomach. Zapora systemowa laptopa lub komputera PC może odrzucać ruch aplikacji korzystających z sieci. Regułę może również stosować router, program antywirusowy z modułem ochrony sieci albo urządzenie filtrujące ruch w sieci biurowej. Znaczenie ma także kierunek połączenia: komputer zwykle wysyła zapytanie do zewnętrznego serwera DNS, więc potrzebne jest zezwolenie na ruch wychodzący UDP 53 oraz obsługę odpowiedzi należących do tego połączenia. Sama możliwość otwarcia strony po wpisaniu adresu IP nie potwierdza poprawnego działania DNS, ponieważ omija etap tłumaczenia nazwy.

Objawami blokady mogą być komunikaty o nieodnalezieniu adresu serwera, długie oczekiwanie na otwarcie witryny, błędy typu „DNS_PROBE_FINISHED” albo jednoczesna niedostępność wielu domen. Nie zawsze oznacza to jednak uszkodzenie zapory. Przyczyną może być również błędny adres serwera DNS, niedziałająca usługa DNS po stronie dostawcy internetu, uszkodzony wpis w pamięci podręcznej DNS, konflikt konfiguracji IPv4 i IPv6 albo przejęcie ustawień sieciowych przez niepożądane oprogramowanie. Trafna diagnoza wymaga odróżnienia problemu z rozwiązywaniem nazw od problemu z samym dostępem do internetu.

Sprawdzenie reguł i konfiguracji bez wyłączania ochrony

W pierwszej kolejności warto sprawdzić, jaki serwer DNS został przypisany do aktywnego połączenia oraz czy problem dotyczy wszystkich domen, czy tylko wybranych. Pomocne jest porównanie działania kilku niezależnych adresów, sprawdzenie dostępu do routera i odnowienie konfiguracji sieciowej. Można także wyczyścić lokalną pamięć podręczną DNS, ponieważ nieprawidłowy lub przestarzały wpis może utrzymywać błąd nawet po usunięciu przyczyny. Jeżeli połączenie działa przez VPN, filtr rodzinny albo firmowy profil bezpieczeństwa, zapytania DNS mogą być kierowane do określonego resolvera i nie powinny być przekierowywane przypadkowo do innego serwera.

Reguły zapory należy analizować pod kątem programu, profilu sieci i protokołu, zamiast bezpośrednio wyłączać całą ochronę. W systemie może istnieć osobna reguła dla ruchu DNS, a jej działanie może zależeć od tego, czy sieć została rozpoznana jako publiczna, prywatna lub domenowa. Trzeba również sprawdzić, czy zapora nie blokuje odpowiedzi z powodu nieprawidłowej inspekcji pakietów albo zbyt restrykcyjnych ustawień. W przypadku szyfrowanego DNS, takiego jak DNS over TLS lub DNS over HTTPS, używane są inne mechanizmy transportowe niż klasyczny UDP 53, więc samo otwarcie tego portu nie rozwiąże problemu. Zmiana reguł powinna być poprzedzona zapisaniem bieżącej konfiguracji i wykonana w zakresie niezbędnym do potwierdzenia przyczyny.

Diagnoza konfiguracji DNS w serwisie komputerowym

Jeżeli blokada powtarza się po ponownym uruchomieniu komputera, występuje na kilku sieciach albo pojawia się razem z innymi błędami dostępu, potrzebna jest szersza diagnostyka. Obejmuje ona sprawdzenie ustawień karty sieciowej, aktywnych reguł zapory, usług odpowiedzialnych za rozwiązywanie nazw, pamięci podręcznej DNS, konfiguracji routera oraz wpływu programów ochronnych. Istotne jest ustalenie, czy zapytania są wysyłane do właściwego serwera i czy odpowiedzi nie są odrzucane po drodze. Sama zmiana adresu DNS bez ustalenia przyczyny może tylko ukryć problem i utrudnić późniejszą ocenę konfiguracji.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną diagnostyką i naprawą laptopów, komputerów PC oraz ich konfiguracji sieciowej, w tym problemów z zaporą blokującą rozpoznawanie nazw domenowych. Podczas prac można sprawdzić, czy błąd wynika z reguł bezpieczeństwa, ustawień systemu, oprogramowania sieciowego czy nieprawidłowej konfiguracji urządzenia. Po usunięciu przyczyny należy zweryfikować zarówno rozwiązywanie nazw, jak i zwykły dostęp do stron, aby potwierdzić, że przywrócono pełny przepływ komunikacji, a zapora nadal działa zgodnie z przeznaczeniem.