حجب CloudFront الجغرافي خلف VPN: تشخيص منفذ الخروج

التقييد الجغرافي قرار يتعلق بعنوان IP، وVPN يغيّر العنوان الذي تراه الخدمة. هذه الجملة الواحدة تفسّر معظم البلاغات المربكة التي تصل إلى قائمة الدعم: «الموقع يعمل في المنزل ويفشل على النفق» و«الموقع يعمل على النفق لكن لا يستطيع أحد آخر في المكتب تحميله» هما الآلية نفسها تنتجان نتيجتين متعاكستين. يوضح هذا الدليل التشخيص بالترتيب الذي يستبعد الأسباب، بدءًا مما أخبرتك به الحافة فعليًا. العنوان نفسه للمنفذ قد ينجح في ضابط واحد ويفشل في التالي، لأن كل ضابط يقيّم خاصية مختلفة من ذلك العنوان.

اقرأ 403 قبل تغيير أي شيء

الحجب الجغرافي وحجب WAF يصلان معًا بصيغة 403، ويُصلحان في مكانين مختلفين. سجّل ترويسات الاستجابة وأول سطر من الجسم، لأن CloudFront يضمّن ترويسة ذاكرة مؤقتة وسلسلة سبب تخبرك أي طبقة أجابت:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

عندما حجبت التوزيعة الطلب بسبب الجغرافيا، يحمل الجسم رسالة تذكر قيد البلد. وعندما حجبته قاعدة WAF، يكون الجسم عادةً صفحة محظورة عامة، ومُعرّف طلب التوزيعة في الترويسات هو ما تأخذه إلى سجلات WAF. الخطأ في ذلك يرسلك إلى قائمة البلدان المسموح بها لمشكلة قاعدة قائمة على المعدل، وهو يوم عمل لا يمكن أن ينجح.

الخطوة 1: تأكد من العنوان الذي تراه التوزيعة

اسأل الشبكة عمّا يراه العالم الخارجي، من الجهاز نفسه والمسار نفسه الذي يستخدمه المتصفح الفاشل. يعيد curl -s https://checkip.amazonaws.com العنوان العام للمتصل، وهو بالنسبة لعميل VPN منفذ الخروج لا اتصال المشترك المنزلي:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

إذا كان ذلك العنوان يخص منفذ مزوّدك في بلد آخر، فقد اتُّخذ القرار الجغرافي بالفعل ولن يغيّره شيء على العميل. اكتب العنوان في التذكرة قبل أن تلمس أي إعداد، لأنه الحقيقة الوحيدة في البلاغ التي توافق عليها أنت والخدمة.

الخطوة 2: افصل البلد عن السمعة

يستنتج CloudFront موقع المشاهد من قاعدة بيانات GeoIP لطرف ثالث مبنية على عنوان مصدر الطلب، والربط تقريبي وإقليمي لا تحديد دقيق. وعندما يتعذر تحديد الموقع، فالافتراضي الموثّق هو تقديم المحتوى. لذا هناك ثلاث حالات محتملة: أن يُسند المنفذ إلى بلد محظور، أو إلى بلد مسموح، أو ألا يكون لقاعدة البيانات رأي ويمضي الطلب.

قد يبدو مستخدم في بلد محظور وكأنه في بلد مسموح إذا كان للمزوّد منفذ هناك، وقد يُحجب مستخدم في بلد مسموح لأن المنفذ مسجّل في مكان آخر. لا تثبت أي من النتيجتين أن التقييد معطوب. كلتاهما التقييد يعمل على العنوان الذي أُعطي، كما تصف وثائق تقييد CloudFront الجغرافي.

السمعة هي المحور الثاني وهي تنجو من النفق. صُممت مجموعة القواعد المُدارة لعناوين IP المجهولة في AWS WAF لحجب الطلبات من شبكات VPN والوكلاء وعُقد Tor ومزوّدي الاستضافة، لذا قد يُرفض طلب اجتاز فحص البلد بسبب ما هو العنوان، لا أين هو. إذا بدأ الحجب عندما نقلت النفق إلى مضيف سحابي، فهذه هي الطبقة المرجّحة.

الخطوة 3: افحص سلوك الحصة

تفشل المنافذ المشتركة بطريقة ثالثة. تعامل حدود المعدل لكل IP وعدّادات الجلسات العنوان الواحد كعميل واحد، ومنفذ المستهلك يحمل مشتركين كثيرين في آن واحد، لذا يبدو نمط طلبات عادي من اتصال منزلي مثل أتمتة من المنفذ. العَرَض هو خنق أو حجب مؤقت يزول من تلقاء نفسه، لا رسالة خطأ جغرافية.

يمكن للتوزيعة أيضًا أن تعدّ الجلسات لكل عنوان عمدًا، مثلًا بدالة Lambda@Edge تكتب إلى DynamoDB. هذا لا يحدد الشخص وراء المنفذ، لكنه يجعل عنوانًا واحدًا يتصرف كعميل واحد، وهو غالبًا القصد الفعلي. سجّل العناوين المميزة وراء الشكوى قبل ضبط أي حد، لأن NAT مؤسسيًا أمام مئتي مكتب يبدو من الخارج تمامًا كمنفذ مشغول. توقّع نتائج إيجابية كاذبة من NAT مؤسسي أو شبكة جامعة أو أسرة كبيرة كلها تقدم عنوانًا واحدًا.

انظر إلى الطلبات المُعاينة في WAF ومقاييس القواعد القائمة على المعدل قبل لوم الجغرافيا. القاعدة التي تنطلق عند حجم طلبات المنفذ تترك بصمة واضحة، وتخبرك أيضًا هل الإصلاح تعديل حد أم مسار خروج مختلف.

ما الذي تغيّره، وبأي ترتيب

قرّر أولًا الغرض من الضابط. الاحتفاظ بكتالوج إقليمي، والحد من إساءة الاستخدام، وإنفاذ عقد، أهداف ثلاثة مختلفة، ولا يعالج قائمة البلدان إلا الأول. إذا كان الهدف ضبط إساءة الاستخدام، فإن المنفذ ليس وحدة الهوية الصحيحة، ولن تجعل أي كمية من القوائم المسموح بها عنوانًا مشتركًا موثوقًا.

إذا كان يلزم حقًا عنوان ثابت لقائمة سماح، فمنفذ مخصص أو ساكن يساعد لأن العنوان يمكن تسجيله ولا يتغيّر. وهو لا يجعل العنوان سكنيًا، ولا يغيّر البلد الذي تُسنِده قاعدة GeoIP إليه. تدوير المنافذ حتى يعمل أحدها تغيير سمعة مؤقت، لا إصلاح للسياسة.

ثم اكتب النتيجة بمصطلحات مقدم الطلب: هذا العنوان محجوب بسبب البلد أو السمعة أو المعدل، وهذا هو الضابط الذي سيتغيّر. أي صياغة أكثر غموضًا تستدعي التذكرة نفسها الأسبوع القادم بمنفذ مختلف.