CloudFront geoblokiranje iza VPN-a: dijagnostika izlaza

Geografsko ograničenje je odluka o IP adresi, a VPN mijenja koju adresu usluga vidi. Ta jedna rečenica objašnjava većinu zbunjujućih prijava koje stižu u red za podršku: „sajt radi kod kuće, a ne radi kroz tunel“ i „sajt radi kroz tunel, ali niko drugi u kancelariji ne može da ga učita“ isti su mehanizam koji daje suprotne ishode. Ovaj priručnik vodi dijagnostiku redom koji isključuje uzroke, počevši od onoga što vam je edge zaista rekao. Ista izlazna adresa može proći jednu kontrolu i pasti na sljedećoj, jer svaka kontrola ocjenjuje drugo svojstvo te adrese.

Pročitajte 403 prije nego što bilo šta promijenite

Geo blok i WAF blok oba stižu kao 403 i popravljaju se na različitim mjestima. Zabilježite zaglavlja odgovora i prvi red tijela, jer CloudFront uključuje zaglavlje keša i niz razloga koji vam kažu koji je sloj odgovorio:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Kada je sama distribucija blokirala zahtjev zbog geografije, tijelo nosi poruku koja imenuje ograničenje države. Kada ga je blokiralo WAF pravilo, tijelo je obično generička stranica zabrane, a ID zahtjeva distribucije u zaglavljima je ono što nosite u WAF dnevnike. Pogrešna procjena ovoga šalje vas na listu dozvoljenih država za problem s pravilom zasnovanim na stopi, a to je dan rada koji ne može uspjeti.

Korak 1: potvrdite koju adresu distribucija vidi

Pitajte mrežu šta vidi vanjski svijet, sa iste mašine i iste rute koju koristi pretraživač koji ne radi. curl -s https://checkip.amazonaws.com vraća javnu adresu pozivaoca, koja je za VPN klijenta izlaz, a ne kućna veza pretplatnika:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Ako ta adresa pripada izlazu vašeg provajdera u drugoj državi, geo odluka je već donesena i ništa na klijentu je neće promijeniti. Upišite adresu u tiket prije nego što dirnete u postavku, jer je to jedina činjenica u prijavi oko koje se vi i usluga slažete.

Korak 2: odvojite državu od reputacije

CloudFront utvrđuje lokaciju gledaoca iz GeoIP baze treće strane vezane za izvornu adresu zahtjeva, a mapiranje je približno i regionalno, a ne precizno određivanje. Kada se lokacija ne može utvrditi, dokumentovani podrazumijevani postupak je da se sadržaj ipak posluži. Zato postoje tri moguća stanja: izlaz se mapira u blokiranu državu, u dozvoljenu državu, ili baza nema mišljenje i zahtjev prolazi.

Korisnik u blokiranoj državi može izgledati kao da je u dozvoljenoj ako provajder tamo ima izlaz, a korisnik u dozvoljenoj državi može biti blokiran jer je izlaz registrovan negdje drugo. Nijedan ishod ne dokazuje da je ograničenje pokvareno. Oba su ograničenje koje radi na adresi koja mu je data, kako opisuje CloudFront dokumentacija o geo ograničenjima.

Reputacija je druga osa i preživljava tunel. AWS WAF upravljana grupa pravila za anonimne IP adrese napravljena je da blokira zahtjeve sa VPN-ova, proxyja, Tor čvorova i hosting provajdera, pa zahtjev koji prođe provjeru države ipak može biti odbijen zbog toga šta adresa jeste, a ne gdje je. Ako je blokiranje počelo kada ste premjestili tunel na cloud host, to je vjerovatno taj sloj.

Korak 3: provjerite ponašanje kvote

Zajednički izlazi padaju na treći način. Ograničenja stope po IP adresi i brojanje sesija tretiraju jednu adresu kao jednog klijenta, a potrošački izlaz nosi mnogo pretplatnika odjednom, pa obrazac zahtjeva koji je neupadljiv sa kućne veze izgleda kao automatizacija sa izlaza. Simptom je ograničavanje ili privremeni blok koji se sam povlači, a ne geografska poruka o grešci.

Distribucija može i namjerno brojati sesije po adresi, na primjer Lambda@Edge funkcijom koja piše u DynamoDB. To ne identifikuje osobu iza izlaza, ali čini da se jedna adresa ponaša kao jedan klijent, što je često stvarna namjera. Zabilježite različite adrese iza prijave prije nego što podesite bilo koji prag, jer korporativni NAT ispred dvije stotine radnih stolova spolja izgleda upravo kao zauzet izlaz. Očekujte lažne pozitive od korporativnog NAT-a, univerzitetske mreže ili velikog domaćinstva koji svi predstavljaju jednu adresu.

Pogledajte WAF uzorkovane zahtjeve i metrike pravila zasnovanih na stopi prije nego što okrivite geografiju. Pravilo koje se aktivira na obim zahtjeva izlaza ostavlja jasan potpis i takođe vam kaže da li je popravka prilagođavanje limita ili druga izlazna putanja.

Šta promijeniti i kojim redom

Prvo odlučite čemu kontrola služi. Održavanje regionalnog kataloga, ograničavanje zloupotrebe i provođenje ugovora tri su različita cilja, a samo prvi se rješava listom država. Ako je cilj kontrola zloupotrebe, izlaz je pogrešna jedinica identiteta, i nikakva količina lista dozvoljenih adresa neće učiniti zajedničku adresu pouzdanom.

Ako je stabilna adresa zaista potrebna za listu dozvoljenih, namjenski ili statički izlaz pomaže jer se adresa može registrovati i ne rotira. To ne čini adresu stambenom i ne mijenja državu koju joj GeoIP baza dodjeljuje. Rotiranje izlaza dok jedan ne proradi privremena je promjena reputacije, a ne popravka politike.

Zatim zapišite ishod terminima koje je podnosilac zahtjeva koristio: ova adresa je blokirana po državi, po reputaciji ili po stopi, i ovo je kontrola koja će se promijeniti. Sve nejasnije poziva isti tiket sljedeće sedmice s drugim izlazom.