CloudFronten geoblokeoa VPN baten atzean: irteera diagnostikatzea

Geografia-murrizketa IP helbide bati buruzko erabakia da, eta VPN batek zerbitzuak ikusten duen helbidea aldatzen du. Esaldi bakar horrek laguntza-ilarara iristen diren txosten nahasgarri gehienak azaltzen ditu: «gunea etxean funtzionatzen du eta tunelean huts egiten du» eta «gunea tunelean funtzionatzen du baina bulegoko inork ez du kargatzen» mekanismo bera dira, emaitza kontrajarriak ematen dituena. Gida honek diagnostikoa arrazoiak baztertzen dituen ordenan egiten du, ertzak benetan esan zizunetik hasita. Irteera-helbide berak kontrol bat gaindi dezake eta hurrengoan huts egin, kontrol bakoitzak helbide horren propietate desberdin bat ebaluatzen duelako.

Irakurri 403 erantzuna ezer aldatu aurretik

Geoblokeoa eta WAF blokeoa 403 gisa iristen dira biak, eta leku desberdinetan konpontzen dira. Grabatu erantzunaren goiburuak eta gorputzaren lehen lerroa, CloudFront-ek cache goiburu bat eta arrazoi-kate bat gehitzen baititu, zein geruzak erantzun duen esaten dizutenak:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Banaketak berak eskaera geografiagatik blokeatu badu, gorputzak herrialde-murrizketa izendatzen duen mezua darama. WAF arau batek blokeatu badu, gorputza debekatutako orri generiko bat izan ohi da, eta goiburuko banaketa-eskaeraren IDa da WAF erregistroetara eramaten duzuna. Hemen huts egiteak herrialde baimenduen zerrendara bidaltzen zaitu tasa oinarritutako arau baten arazo batengatik, eta hori ezin duen arrakastarik lortu egun bateko lana da.

1. urratsa: egiaztatu zein helbide ikusten duen banaketak

Galdetu sareari kanpoko munduak zer ikusten duen, huts egiten ari den arakatzaileak erabiltzen duen makinatik eta ibilbide beretik. curl -s https://checkip.amazonaws.com deitzailearen helbide publikoa itzultzen du, eta VPN bezero batentzat irteera da, ez harpidedunaren etxeko konexioa:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Helbide hori beste herrialde bateko zure hornitzailearen irteerarena bada, geografia-erabakia hartuta dago eta bezeroan ezerk ez du aldatuko. Idatzi helbidea txartelean ezarpen bat ukitu aurretik, txostenean zu eta zerbitzua ados zaudeten datu bakarra delako.

2. urratsa: bereizi herrialdea ospetik

CloudFront-ek ikuslearen kokapena eskaeraren iturburu-helbidean oinarritutako hirugarrenen GeoIP datu-base batetik eratzen du, eta mapaketa gutxi gorabeherakoa eta eskualdekoa da, ez zehaztapen zehatza. Kokapena zehaztu ezin denean, dokumentatutako lehenespena edukia zerbitzatzea da. Beraz, hiru egoera posible daude: irteera blokeatutako herrialde batera mapatzen da, baimendutako herrialde batera, edo datu-baseak ez du iritzirik eta eskaerak aurrera egiten du.

Blokeatutako herrialde bateko erabiltzaile bat baimendutako batean egongo balitz bezala ager daiteke hornitzaileak han irteera badu, eta baimendutako herrialde bateko erabiltzaile bat blokea daiteke irteera beste leku batean erregistratuta dagoelako. Bi emaitzek ez dute frogatzen murrizketa hautsita dagoenik. Biak murrizketa emandako helbidearekin lanean ari dela dira, CloudFront-en geografia-murrizketen dokumentazioak deskribatzen duen bezala.

Ospea bigarren ardatza da eta tuneletik bizirik ateratzen da. AWS WAF-en IP anonimoentzako arau-talde kudeatuak VPN, proxy, Tor nodo eta hosting hornitzaileetatik datozen eskaerak blokeatzeko eraiki zen, beraz herrialde-egiaztapena gainditzen duen eskaera bat oraindik uka daiteke helbidea zer den dela eta, ez non dagoen. Tunelea hodeiko ostalari batera mugitu zenuenean hasi bazen blokeoa, ziurrenik geruza hori da.

3. urratsa: egiaztatu kuotaren portaera

Irteera partekatuek hirugarren modu batean huts egiten dute. IP bakoitzeko tasa-mugak eta saio-kontaketek helbide bat bezero bat bezala tratatzen dute, eta kontsumitzaile-irteera batek harpidedun asko daramatza aldi berean, beraz etxeko konexio batetik oharkabea den eskaera-eredua irteeratik automatizazioa dirudi. Sintoma berez desagertzen den mugatzea edo aldi baterako blokeoa da, ez errore-mezu geografikoa.

Banaketa batek saioak helbide bakoitzeko konta ditzake nahita ere, adibidez DynamoDB-ra idazten duen Lambda@Edge funtzio batekin. Horrek ez du irteeraren atzean dagoen pertsona identifikatzen, baina helbide bat bezero bat bezala jokatzea eragiten du, eta hori izan ohi da benetako asmoa. Erregistratu erreklamazio baten atzean dauden helbide desberdinak edozein atalase doitu aurretik, bi ehun mahaien aurrean dagoen NAT korporatiboak kanpotik irteera lanpetuta bezalaxe ematen baitu. Espero itzazu positibo faltsuak NAT korporatibotik, unibertsitate-saretik edo helbide bakarra aurkezten duen etxe handi batetik.

Begiratu WAF-en lagindutako eskaerei eta tasa oinarritutako arauen metrikeei geografia errudun egin aurretik. Irteeraren eskaera-bolumenarekin pizten den arau batek sinadura argia uzten du, eta baita konponbidea muga-doikuntza ala irteera-bide desberdina den ere esaten dizu.

Zer aldatu, eta zein ordenatan

Erabaki lehenik kontrolaren xedea. Eskualde-katalogo bat mantentzea, abusua mugatzea eta kontratu bat betearaztea hiru helburu desberdin dira, eta lehenengoa soilik lantzen da herrialde-zerrenda batekin. Helburua abusu-kontrola bada, irteera identitate-unitate okerra da, eta baimendutako zerrenda-kopuruak ez du helbide partekatu bat fidagarri egingo.

Benetan helbide egonkorra behar bada baimendutako zerrenda baterako, irteera dedikatuak edo estatikoak laguntzen du, helbidea erregistra baitaiteke eta ez delako aldatzen. Ez du helbidea bizitegi bihurtzen, eta ez du GeoIP datu-base batek esleitzen dion herrialdea aldatzen. Irteerak aldatzea bat funtziona dezan ospe-aldaketa behin-behinekoa da, ez politikaren konponbidea.

Ondoren idatzi emaitza eskatzaileak erabilitako terminoekin: helbide hau herrialdeagatik, ospeagatik edo tasagatik blokeatuta dago, eta hau da aldatuko den kontrola. Zehaztasun txikiagoko edozein gauzak txartel bera gonbidatzen du hurrengo astean irteera desberdin batekin.