Blociau daearyddol CloudFront y tu ôl i VPN: dadansoddi'r allanfa

Mae cyfyngiad daearyddol yn benderfyniad am gyfeiriad IP, ac mae VPN yn newid pa gyfeiriad y mae'r gwasanaeth yn ei weld. Mae'r frawddeg honno ar ei phen ei hun yn esbonio'r rhan fwyaf o'r adroddiadau dryslyd sy'n cyrraedd ciw cymorth: mae «mae'r safle'n gweithio gartref ac yn methu ar y twnnel» a «mae'r safle'n gweithio ar y twnnel ond ni all neb arall yn y swyddfa ei lwytho» yr un mecanwaith yn cynhyrchu canlyniadau cyferbyniol. Mae'r llawlyfr hwn yn cerdded y diagnosis yn y drefn sy'n diystyru achosion, gan ddechrau gyda'r hyn a ddywedodd yr ymyl wrthych mewn gwirionedd. Gall yr un gyfeiriad allanfa basio un rheolaeth a methu'r nesaf, oherwydd mae pob rheolaeth yn gwerthuso priodwedd wahanol o'r gyfeiriad honno.

Darllenwch y 403 cyn newid unrhyw beth

Mae bloc daearyddol a bloc WAF ill dau yn dod fel 403, ac maent yn cael eu trwsio mewn gwahanol leoedd. Cofnodwch benawdau'r ymateb a llinell gyntaf y corff, oherwydd mae CloudFront yn cynnwys pennawd cache a llinyn rheswm sy'n dweud wrthych pa haen a atebodd:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Pan fydd y dosbarthiad ei hun wedi blocio'r cais am ddaearyddiaeth, mae'r corff yn cario neges sy'n enwi cyfyngiad y wlad. Pan fydd rheol WAF wedi'i blocio, y corff fel arfer yw tudalen gwaharddedig gyffredinol a dynodwr cais y dosbarthiad yn y penawdau yw'r hyn y byddwch yn ei gymryd i logiau WAF. Mae cael hyn yn anghywir yn eich anfon i'r rhestr caniatáu gwledydd ar gyfer problem rheol sy'n seiliedig ar gyfradd, sef diwrnod o waith na all lwyddo.

Cam 1: cadarnhewch pa gyfeiriad y mae'r dosbarthiad yn ei weld

Gofynnwch i'r rhwydwaith beth mae'r byd y tu allan yn ei weld, o'r un peiriant a'r un llwybr ag y mae'r porwr sy'n methu yn ei ddefnyddio. Mae curl -s https://checkip.amazonaws.com yn dychwelyd cyfeiriad cyhoeddus y galwr, sydd ar gyfer cleient VPN yn yr allanfa yn hytrach na chysylltiad cartref y tanysgrifiwr:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Os yw'r cyfeiriad hwnnw'n perthyn i allanfa eich darparwr mewn gwlad arall, mae'r penderfyniad daearyddol eisoes wedi'i wneud ac ni fydd unrhyw beth ar y cleient yn ei newid. Ysgrifennwch y cyfeiriad yn y tocyn cyn i chi gyffwrdd â gosodiad, oherwydd dyma'r unig ffaith yn yr adroddiad y mae chi a'r gwasanaeth yn cytuno arni.

Cam 2: gwahanwch wlad oddi wrth enw da

Mae CloudFront yn datrys lleoliad y gwylwyr o gronfa ddata GeoIP trydydd parti sy'n seiliedig ar gyfeiriad ffynhonnell y cais, ac mae'r mapio'n fras ac yn rhanbarthol yn hytrach nag yn osodiad manwl. Pan na ellir pennu'r lleoliad, y rhagosodiad dogfennol yw cyflwyno'r cynnwys. Felly mae tri chyflwr posibl: mae'r allanfa'n mapio i wlad a flociwyd, i wlad a ganiateir, neu nid oes gan y gronfa ddata farn ac mae'r cais yn mynd yn ei flaen.

Gall defnyddiwr mewn gwlad a flociwyd ymddangos fel pe bai mewn un a ganiateir os oes gan y darparwr allanfa yno, a gall defnyddiwr mewn gwlad a ganiateir gael ei flocio oherwydd bod yr allanfa wedi'i chofrestru mewn man arall. Nid yw'r naill ganlyniad na'r llall yn profi bod y cyfyngiad wedi torri. Mae'r ddau yn y cyfyngiad yn gweithio ar y cyfeiriad a roddwyd iddo, fel y mae dogfennaeth cyfyngiadau daearyddol CloudFront yn ei ddisgrifio.

Enw da yw'r ail echel ac mae'n goroesi'r twnnel. Adeiladwyd grŵp rheolau IP dienw a reolir gan AWS WAF i flocio ceisiadau o VPNau, dirprwyon, nodau Tor a darparwyr lletya, felly gall cais sy'n pasio'r gwiriad gwlad gael ei wrthod o hyd oherwydd beth yw'r cyfeiriad, nid ble mae. Os dechreuodd y bloc pan symudoch y twnnel i westeiwr cwmwl, hon yn debygol yw'r haen honno.

Cam 3: gwiriwch ymddygiad y cwota

Mae allanfeydd a rennir yn methu mewn trydydd ffordd. Mae terfynau cyfradd fesul IP a chyfrifon sesiwn yn trin un cyfeiriad fel un cleient, ac mae allanfa defnyddwyr yn cario llawer o danysgrifwyr ar unwaith, felly mae patrwm cais sy'n ddi-nod o gysylltiad cartref yn edrych fel awtomeiddio o'r allanfa. Y symptom yw tagu neu floc dros dro sy'n clirio ohono'i hun, nid neges gwall ddaearyddol.

Gall dosbarthiad hefyd gyfrif sesiynau fesul cyfeiriad yn fwriadol, er enghraifft gyda swyddogaeth Lambda@Edge yn ysgrifennu i DynamoDB. Nid yw hynny'n adnabod y person y tu ôl i'r allanfa, ond mae'n gwneud i un cyfeiriad ymddwyn fel un cleient, sef yn aml y bwriad gwirioneddol. Cofnodwch y cyfeiriadau gwahanol y tu ôl i gŵyn cyn addasu unrhyw drothwy, oherwydd mae NAT corfforaethol o flaen dau gant o ddesgiau yn edrych yn union fel allanfa brysur o'r tu allan. Disgwyliwch ffug-bositifau o NAT corfforaethol, rhwydwaith prifysgol neu aelwyd fawr sydd i gyd yn cyflwyno un cyfeiriad.

Edrychwch ar geisiadau sampl WAF a mesurau rheolau sy'n seiliedig ar gyfradd cyn beio daearyddiaeth. Mae rheol sy'n tanio ar gyfaint ceisiadau'r allanfa yn gadael llofnod clir, ac mae hefyd yn dweud wrthych ai addasiad terfyn neu lwybr allanfa gwahanol yw'r ateb.

Beth i'w newid, ac ym mha drefn

Yn gyntaf penderfynwch beth yw pwrpas y rheolaeth. Mae cadw catalog rhanbarthol, cyfyngu ar gamddefnydd a gorfodi contract yn dri nod gwahanol, a dim ond y cyntaf sy'n cael ei fynd i'r afael ag ef gan restr gwledydd. Os mai rheoli camddefnydd yw'r nod, yr allanfa yw'r uned hunaniaeth anghywir, ac ni fydd unrhyw faint o restrau caniatáu yn gwneud cyfeiriad a rennir yn ddibynadwy.

Os oes gwir angen cyfeiriad sefydlog ar gyfer rhestr caniatáu, mae allanfa bwrpasol neu statig yn helpu oherwydd gellir cofrestru'r cyfeiriad ac nid yw'n troelli. Nid yw'n gwneud y cyfeiriad yn breswyl, ac nid yw'n newid y wlad y mae cronfa ddata GeoIP yn ei neilltuo iddo. Mae troelli allanfeydd nes bod un yn gweithio yn newid enw da dros dro, nid yn ateb i'r polisi.

Yna ysgrifennwch y canlyniad yn nhermau'r gofynnwr: mae'r cyfeiriad hwn wedi'i flocio yn ôl gwlad, yn ôl enw da neu yn ôl cyfradd, a dyma'r rheolaeth a fydd yn newid. Mae unrhyw beth mwy annelwig yn gwahodd yr un tocyn yr wythnos nesaf gydag allanfa wahanol.