CloudFronti geoblokeering VPN-i taga: väljundi diagnoosimine

Geograafiline piirang on otsus IP-aadressi kohta ja VPN muudab seda, millist aadressi teenus näeb. See üks lause selgitab enamikku segadust tekitavaid teatisi, mis jõuavad tugijärjekorda: „sait töötab kodus ja ebaõnnestub tunnelis“ ning „sait töötab tunnelis, aga keegi teine kontoris ei saa seda laadida“ on sama mehhanism, mis annab vastupidiseid tulemusi. See juhend viib diagnoosi läbi sellises järjekorras, mis välistab põhjuseid, alustades sellest, mida serv teile tegelikult ütles. Sama väljundaadress võib ühe kontrolli läbida ja järgmises ebaõnnestuda, sest iga kontroll hindab selle aadressi erinevat omadust.

Lugege 403 vastust enne, kui midagi muudate

Geoblokeering ja WAF-i blokeering saabuvad mõlemad 403-na ja neid parandatakse erinevates kohtades. Salvestage vastuse päised ja keha esimene rida, sest CloudFront lisab vahemälu päise ja põhjuse stringi, mis ütlevad, milline kiht vastas:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Kui jaotus ise blokeeris taotluse geograafia tõttu, kannab keha sõnumit, mis nimetab riigi piirangut. Kui selle blokeeris WAF-i reegel, on keha tavaliselt üldine keelatud leht ja päistes olev jaotuse taotluse ID on see, mille viite WAF-i logidesse. Selles eksimine saadab teid riikide lubatud loendisse kiiruspõhise reegli probleemi puhul, mis on päev tööd, mis ei saa õnnestuda.

Samm 1: kinnitage, millist aadressi jaotus näeb

Küsige võrgust, mida näeb välismaailm, samast masinast ja sama marsruudi kaudu, mida kasutab ebaõnnestuv brauser. curl -s https://checkip.amazonaws.com tagastab kutsuja avaliku aadressi, mis VPN-i kliendi jaoks on väljund, mitte abonendi kodune ühendus:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Kui see aadress kuulub teie teenusepakkuja väljundile teises riigis, on geo-otsus juba tehtud ja miski kliendis ei muuda seda. Kirjutage aadress piletile enne seade puudutamist, sest see on ainus fakt aruandes, millega teie ja teenus nõustute.

Samm 2: eraldage riik mainest

CloudFront tuletab vaataja asukoha kolmanda osapoole GeoIP-andmebaasist, mis põhineb taotluse lähteaadressil, ja vastavus on ligikaudne ning piirkondlik, mitte täpne määramine. Kui asukohta ei saa määrata, on dokumenteeritud vaikeväärtus sisu siiski serveerida. Seega on kolm võimalikku olekut: väljund kaardistub blokeeritud riiki, lubatud riiki või andmebaasil pole arvamust ja taotlus jätkub.

Blokeeritud riigi kasutaja võib tunduda lubatud riigis, kui teenusepakkujal on seal väljund, ja lubatud riigi kasutaja võib olla blokeeritud, sest väljund on mujal registreeritud. Kumbki tulemus ei tõesta, et piirang on katki. Mõlemad on piirang, mis töötab talle antud aadressiga, nagu kirjeldab CloudFronti geo-piirangute dokumentatsioon.

Maine on teine telg ja see elab tunnelist üle. AWS WAF-i hallatav anonüümsete IP-de reegligrupp on loodud blokeerima taotlusi VPN-idest, puhverserveritest, Tor-i sõlmedest ja hostimisteenusepakkujatelt, seega riigikontrolli läbinud taotlus võib siiski olla tagasi lükatud selle tõttu, mis aadress on, mitte kus see on. Kui blokeerimine algas siis, kui teisaldasite tunneli pilvehosti, on see tõenäoliselt see kiht.

Samm 3: kontrollige kvoodi käitumist

Jagatud väljundid ebaõnnestuvad kolmandal viisil. IP-põhised kiiruspiirangud ja sessioonide arvud kohtlevad ühte aadressi ühe kliendina ning tarbijaväljund kannab korraga paljusid abonente, seega koduse ühenduse jaoks märkamatu taotlusmuster näeb väljundi poolt vaadatuna automatiseerimisena. Sümptom on piiramine või ajutine blokeering, mis ise kaob, mitte geograafiline veateade.

Jaotus võib ka teadlikult lugeda sessioone aadressi kohta, näiteks Lambda@Edge'i funktsiooniga, mis kirjutab DynamoDB-sse. See ei tuvasta väljundi taga olevat inimest, kuid paneb ühe aadressi käituma ühe kliendina, mis on sageli tegelik kavatsus. Logige kaebuse taga olevad erinevad aadressid enne mis tahes läve häälestamist, sest kahesaja töölaua ees olev ettevõtte NAT näeb väljast täpselt välja nagu hõivatud väljund. Oodake valepositiivseid ettevõtte NAT-ist, ülikooli võrgust või suurest majapidamisest, mis kõik esitavad ühe aadressi.

Vaadake WAF-i valikulisi taotlusi ja kiiruspõhiste reeglite mõõdikuid enne geograafia süüdistamist. Reegel, mis käivitub väljundi taotlusmahul, jätab selge allkirja ja ütleb teile ka, kas parandus on piirangu kohandamine või teine väljundtee.

Mida muuta ja mis järjekorras

Kõigepealt otsustage, milleks kontroll on. Piirkondliku kataloogi hoidmine, kuritarvitamise piiramine ja lepingu jõustamine on kolm erinevat eesmärki ning ainult esimest käsitleb riikide loend. Kui eesmärk on kuritarvitamise kontroll, on väljund vale identiteedi ühik ja ükski lubatud loend ei muuda jagatud aadressi usaldusväärseks.

Kui lubatud loendi jaoks on tõesti vaja stabiilset aadressi, aitab sihtotstarbeline või staatiline väljund, sest aadressi saab registreerida ja see ei pöörle. See ei muuda aadressi elukohaks ega muuda riiki, mille GeoIP-andmebaas sellele omistab. Väljundite pööramine, kuni üks töötab, on ajutine mainemuudatus, mitte poliitika parandus.

Seejärel kirjutage tulemus terminitega, mida taotleja kasutas: see aadress on blokeeritud riigi, maine või kiiruse tõttu, ja see on kontroll, mis muutub. Mis tahes ebamäärasem kutsub järgmisel nädalal sama pileti teise väljundiga.