CloudFront-geoblokado malantaŭ VPN: diagnozi la eliron

Geografia limigo estas decido pri IP-adreso, kaj VPN ŝanĝas, kiun adreson la servo vidas. Tiu unu frazo klarigas la plej multajn konfuzajn raportojn, kiuj atingas subtenan atendovicon: „la retejo funkcias hejme kaj malsukcesas tra la tunelo“ kaj „la retejo funkcias tra la tunelo sed neniu alia en la oficejo povas ŝargi ĝin“ estas la sama mekanismo produktanta malajn rezultojn. Ĉi tiu manlibro sekvas la diagnozon laŭ la ordo, kiu ekskludas kaŭzojn, komencante per tio, kion la rando efektive diris al vi. La sama elira adreso povas pasi unu kontrolon kaj malsukcesi ĉe la sekva, ĉar ĉiu kontrolo taksas malsaman econ de tiu adreso.

Legi la 403 antaŭ ol ŝanĝi ion ajn

Geoblokado kaj WAF-blokado ambaŭ alvenas kiel 403, kaj ili estas riparataj en malsamaj lokoj. Kaptu la respondajn kapliniojn kaj la unuan linion de la korpo, ĉar CloudFront inkluzivas kaŝmemoran kaplinion kaj kaŭzan ĉenon, kiuj diras al vi, kiu tavolo respondis:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Kiam la distribuo mem blokis la peton pro geografio, la korpo portas mesaĝon nomantan la landlimigon. Kiam WAF-regulo blokis ĝin, la korpo kutime estas ĝenerala malpermesita paĝo kaj la distribua peto-ID en la kaplinioj estas tio, kion vi portas al la WAF-protokoloj. Erari pri tio sendas vin al la landa permeslisto por problemo pri regulo bazita sur rapideco, kio estas tago da laboro, kiu ne povas sukcesi.

Paŝo 1: konfirmu, kiun adreson la distribuo vidas

Demandu la reton, kion vidas la ekstera mondo, de la sama maŝino kaj la sama vojo, kiun uzas la malsukcesanta retumilo. curl -s https://checkip.amazonaws.com redonas la publikan adreson de la alvokanto, kiu por VPN-kliento estas la eliro prefere ol la hejma konekto de la abonanto:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Se tiu adreso apartenas al la eliro de via provizanto en alia lando, la geografia decido jam estas farita kaj nenio ĉe la kliento ŝanĝos ĝin. Skribu la adreson en la bileton antaŭ ol tuŝi agordon, ĉar ĝi estas la sola fakto en la raporto, pri kiu vi kaj la servo konsentas.

Paŝo 2: apartigu landon de reputacio

CloudFront determina la lokon de la rigardanto el GeoIP-datumbazo de tria partio bazita sur la fonta adreso de la peto, kaj la mapado estas proksimuma kaj regiona, ne preciza fiksado. Kiam la loko ne povas esti determinita, la dokumentita defaŭlto estas servi la enhavon. Do ekzistas tri eblaj statoj: la eliro mapiĝas al blokita lando, al permesita lando, aŭ la datumbazo havas neniun opinion kaj la peto daŭras.

Uzanto en blokita lando povas ŝajni esti en permesita lando, se la provizanto havas eliron tie, kaj uzanto en permesita lando povas esti blokita ĉar la eliro estas registrita aliloke. Neniu el la rezultoj pruvas, ke la limigo estas rompita. Ambaŭ estas la limigo laboranta sur la adreso, kiun ĝi ricevis, kiel priskribas la dokumentaro de CloudFront pri geografiaj limigoj.

Reputacio estas la dua akso kaj ĝi postvivas la tunelon. La administrata regulgrupo de AWS WAF por anonimaj IP-oj estas konstruita por bloki petojn de VPN-oj, prokuriloj, Tor-nodoj kaj gastigaj provizantoj, do peto, kiu pasas la landan kontrolon, ankoraŭ povas esti rifuzita pro tio, kio la adreso estas, ne kie ĝi estas. Se la blokado komenciĝis, kiam vi movis la tunelon al nuba gastiganto, tio verŝajne estas tiu tavolo.

Paŝo 3: kontrolu la kvotan konduton

Komunaj eliroj malsukcesas laŭ tria maniero. Rapidecaj limoj por IP kaj sesiaj nombroj traktas unu adreson kiel unu klienton, kaj konsumanta eliro portas multajn abonantojn samtempe, do petpadrono nerimarkinda de hejma konekto aspektas kiel aŭtomatigo de la eliro. La simptomo estas limigado aŭ provizora blokado, kiu mem malaperas, ne geografia erarmesaĝo.

Distribuo ankaŭ povas intence nombri sesiojn por adreso, ekzemple per Lambda@Edge-funkcio skribanta al DynamoDB. Tio ne identigas la personon malantaŭ la eliro, sed ĝi igas unu adreson konduti kiel unu kliento, kio ofte estas la efektiva intenco. Protokolu la malsamajn adresojn malantaŭ plendo antaŭ ol agordi ajnan sojlon, ĉar entreprena NAT antaŭ ducent laborlokoj aspektas de ekstere ĝuste kiel okupata eliro. Atendu falsajn pozitivojn de entreprena NAT, universitata reto aŭ granda domanaro, kiuj ĉiuj prezentas unu adreson.

Rigardu la specimenajn petojn de WAF kaj la mezurojn de rapidec-bazitaj reguloj antaŭ ol kulpigi la geografion. Regulo, kiu ekfunkcias pro la petvolumo de la eliro, lasas klaran subskribon, kaj ĝi ankaŭ diras al vi, ĉu la solvo estas limagordo aŭ alia elira vojo.

Kion ŝanĝi, kaj laŭ kiu ordo

Unue decidu, por kio la kontrolo estas. Teni regionan katalogon, limigi misuzon kaj plenumi kontrakton estas tri malsamaj celoj, kaj nur la unua estas traktata per landa listo. Se la celo estas misuza kontrolo, la eliro estas la malĝusta unuo de identeco, kaj nenia kvanto da permeslistoj igos komunan adreson fidinda.

Se stabila adreso vere necesas por permeslisto, dediĉita aŭ statika eliro helpas, ĉar la adreso povas esti registrita kaj ne rotacias. Ĝi ne igas la adreson loĝeja, kaj ĝi ne ŝanĝas la landon, kiun GeoIP-datumbazo atribuas al ĝi. Rotacii elirojn ĝis unu funkcias estas provizora reputacia ŝanĝo, ne riparo de la politiko.

Poste skribu la rezulton per la terminoj, kiujn la petanto uzis: ĉi tiu adreso estas blokita laŭ lando, laŭ reputacio aŭ laŭ rapideco, kaj ĉi tio estas la kontrolo, kiu ŝanĝiĝos. Io pli malklara invitas la saman bileton venontsemajne kun alia eliro.