Γεωγραφικός αποκλεισμός CloudFront πίσω από VPN: διάγνωση της εξόδου

Ένας γεωγραφικός περιορισμός είναι απόφαση για μια διεύθυνση IP, και ένα VPN αλλάζει ποια διεύθυνση βλέπει η υπηρεσία. Αυτή η μία πρόταση εξηγεί τα περισσότερα μπερδεμένα αναφορικά που φτάνουν σε ουρά υποστήριξης: «ο ιστότοπος λειτουργεί στο σπίτι και αποτυγχάνει στη σήραγγα» και «ο ιστότοπος λειτουργεί στη σήραγγα αλλά κανείς άλλος στο γραφείο δεν μπορεί να τον φορτώσει» είναι ο ίδιος μηχανισμός που παράγει αντίθετα αποτελέσματα. Αυτό το εγχειρίδιο ακολουθεί τη διάγνωση με τη σειρά που αποκλείει αιτίες, ξεκινώντας από το τι σας είπε πραγματικά το edge. Η ίδια διεύθυνση εξόδου μπορεί να περάσει έναν έλεγχο και να αποτύχει στον επόμενο, γιατί κάθε έλεγχος αξιολογεί διαφορετική ιδιότητα αυτής της διεύθυνσης.

Διαβάστε το 403 πριν αλλάξετε οτιδήποτε

Ο γεωγραφικός αποκλεισμός και ο αποκλεισμός WAF φτάνουν και οι δύο ως 403 και διορθώνονται σε διαφορετικά σημεία. Καταγράψτε τις κεφαλίδες απόκρισης και την πρώτη γραμμή του σώματος, γιατί το CloudFront περιλαμβάνει κεφαλίδα cache και συμβολοσειρά αιτίας που σας λένε ποιο επίπεδο απάντησε:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Όταν η ίδια η διανομή απέκλεισε το αίτημα λόγω γεωγραφίας, το σώμα φέρει μήνυμα που ονομάζει τον περιορισμό χώρας. Όταν το απέκλεισε κανόνας WAF, το σώμα είναι συνήθως μια γενική σελίδα απαγόρευσης και το αναγνωριστικό αιτήματος της διανομής στις κεφαλίδες είναι αυτό που παίρνετε στα αρχεία καταγραφής WAF. Λάθος εδώ σας στέλνει στη λίστα επιτρεπόμενων χωρών για πρόβλημα κανόνα βάσει ρυθμού, που είναι μια μέρα δουλειάς που δεν μπορεί να πετύχει.

Βήμα 1: επιβεβαιώστε ποια διεύθυνση βλέπει η διανομή

Ρωτήστε το δίκτυο τι βλέπει ο έξω κόσμος, από το ίδιο μηχάνημα και την ίδια διαδρομή που χρησιμοποιεί το πρόγραμμα περιήγησης που αποτυγχάνει. Το curl -s https://checkip.amazonaws.com επιστρέφει τη δημόσια διεύθυνση του καλούντος, που για πελάτη VPN είναι η έξοδος και όχι η οικιακή σύνδεση του συνδρομητή:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Αν αυτή η διεύθυνση ανήκει στην έξοδο του παρόχου σας σε άλλη χώρα, η γεωγραφική απόφαση έχει ήδη ληφθεί και τίποτα στον πελάτη δεν θα την αλλάξει. Γράψτε τη διεύθυνση στο δελτίο πριν αγγίξετε ρύθμιση, γιατί είναι το μόνο γεγονός στην αναφορά στο οποίο συμφωνείτε εσείς και η υπηρεσία.

Βήμα 2: διαχωρίστε τη χώρα από τη φήμη

Το CloudFront προσδιορίζει την τοποθεσία του θεατή από βάση GeoIP τρίτου μέρους που βασίζεται στη διεύθυνση προέλευσης του αιτήματος, και η αντιστοίχιση είναι κατά προσέγγιση και περιφερειακή, όχι ακριβής προσδιορισμός. Όταν η τοποθεσία δεν μπορεί να προσδιοριστεί, η τεκμηριωμένη προεπιλογή είναι να σερβίρεται το περιεχόμενο. Υπάρχουν λοιπόν τρεις πιθανές καταστάσεις: η έξοδος αντιστοιχίζεται σε αποκλεισμένη χώρα, σε επιτρεπόμενη χώρα, ή η βάση δεν έχει γνώμη και το αίτημα προχωρά.

Ένας χρήστης σε αποκλεισμένη χώρα μπορεί να φαίνεται σε επιτρεπόμενη αν ο πάροχος έχει έξοδο εκεί, και ένας χρήστης σε επιτρεπόμενη χώρα μπορεί να αποκλειστεί επειδή η έξοδος είναι καταχωρισμένη αλλού. Κανένα από τα δύο αποτελέσματα δεν αποδεικνύει ότι ο περιορισμός είναι χαλασμένος. Και τα δύο είναι ο περιορισμός να λειτουργεί στη διεύθυνση που του δόθηκε, όπως περιγράφει η τεκμηρίωση γεωγραφικών περιορισμών του CloudFront.

Η φήμη είναι ο δεύτερος άξονας και επιβιώνει της σήραγγας. Η διαχειριζόμενη ομάδα κανόνων AWS WAF για ανώνυμες IP είναι φτιαγμένη να αποκλείει αιτήματα από VPN, διακομιστές μεσολάβησης, κόμβους Tor και παρόχους φιλοξενίας, οπότε ένα αίτημα που περνά τον έλεγχο χώρας μπορεί ακόμη να απορριφθεί λόγω του τι είναι η διεύθυνση, όχι πού είναι. Αν ο αποκλεισμός ξεκίνησε όταν μεταφέρατε τη σήραγγα σε κεντρικό υπολογιστή cloud, αυτό είναι πιθανώς το επίπεδο.

Βήμα 3: ελέγξτε τη συμπεριφορά ποσόστωσης

Οι κοινόχρηστες έξοδοι αποτυγχάνουν με τρίτο τρόπο. Τα όρια ρυθμού ανά IP και οι μετρήσεις συνεδριών αντιμετωπίζουν μία διεύθυνση ως έναν πελάτη, και μια έξοδος καταναλωτή μεταφέρει πολλούς συνδρομητές ταυτόχρονα, οπότε ένα μοτίβο αιτημάτων που είναι ασυνήθιστο από οικιακή σύνδεση μοιάζει με αυτοματοποίηση από την έξοδο. Το σύμπτωμα είναι περιορισμός ή προσωρινός αποκλεισμός που καθαρίζει μόνος του, όχι γεωγραφικό μήνυμα σφάλματος.

Μια διανομή μπορεί επίσης να μετρά σκόπιμα συνεδρίες ανά διεύθυνση, για παράδειγμα με συνάρτηση Lambda@Edge που γράφει στο DynamoDB. Αυτό δεν ταυτοποιεί το άτομο πίσω από την έξοδο, αλλά κάνει μία διεύθυνση να συμπεριφέρεται ως ένας πελάτης, που συχνά είναι η πραγματική πρόθεση. Καταγράψτε τις διαφορετικές διευθύνσεις πίσω από ένα παράπονο πριν ρυθμίσετε οποιοδήποτε κατώφλι, γιατί ένα εταιρικό NAT μπροστά από διακόσια γραφεία μοιάζει από έξω ακριβώς με μια πολυάσχολη έξοδο. Περιμένετε ψευδώς θετικά από εταιρικό NAT, πανεπιστημιακό δίκτυο ή μεγάλο νοικοκυριό που όλα παρουσιάζουν μία διεύθυνση.

Κοιτάξτε τα δειγματοληπτημένα αιτήματα του WAF και τις μετρήσεις κανόνων βάσει ρυθμού πριν κατηγορήσετε τη γεωγραφία. Ένας κανόνας που ενεργοποιείται στον όγκο αιτημάτων της εξόδου αφήνει σαφή υπογραφή και σας λέει επίσης αν η διόρθωση είναι προσαρμογή ορίου ή διαφορετική διαδρομή εξόδου.

Τι να αλλάξετε, και με ποια σειρά

Αποφασίστε πρώτα για τι είναι ο έλεγχος. Η διατήρηση περιφερειακού καταλόγου, ο περιορισμός κατάχρησης και η επιβολή σύμβασης είναι τρεις διαφορετικοί στόχοι, και μόνο ο πρώτος αντιμετωπίζεται με λίστα χωρών. Αν ο στόχος είναι έλεγχος κατάχρησης, η έξοδος είναι λάθος μονάδα ταυτότητας, και καμία ποσότητα λιστών επιτρεπόμενων δεν θα κάνει μια κοινόχρηστη διεύθυνση αξιόπιστη.

Αν χρειάζεται πραγματικά σταθερή διεύθυνση για λίστα επιτρεπόμενων, μια αποκλειστική ή στατική έξοδος βοηθά γιατί η διεύθυνση μπορεί να καταχωριστεί και δεν περιστρέφεται. Δεν κάνει τη διεύθυνση οικιακή και δεν αλλάζει τη χώρα που της αποδίδει μια βάση GeoIP. Η εναλλαγή εξόδων μέχρι να λειτουργήσει μία είναι προσωρινή αλλαγή φήμης, όχι διόρθωση της πολιτικής.

Στη συνέχεια γράψτε το αποτέλεσμα με τους όρους που χρησιμοποίησε ο αιτών: αυτή η διεύθυνση αποκλείεται λόγω χώρας, φήμης ή ρυθμού, και αυτός είναι ο έλεγχος που θα αλλάξει. Οτιδήποτε πιο αόριστο προσκαλεί το ίδιο δελτίο την επόμενη εβδομάδα με διαφορετική έξοδο.