CloudFront-geoblokkearring efter in VPN: de útgong diagnostisearje

In geografyske beheining is in beslút oer in IP-adres, en in VPN feroaret hokker adres de tsjinst sjocht. Dy iene sin ferklearret de measte betiizjende meldingen dy't by in stipewachtried komme: «de side wurket thús en mislearret op 'e tunnel» en «de side wurket op 'e tunnel, mar nimmen oars op kantoar kin him lade» binne itselde meganisme dat tsjinoerstaande útkomsten jout. Dizze hantlieding rint de diagnoaze troch yn 'e folchoarder dy't oarsaken útslút, te begjinnen by wat de edge jo eins fertelde. Itselde útgongadres kin ien kontrôle trochstean en de folgjende mislearje, om't elke kontrôle in oare eigenskip fan dat adres beoardielet.

Lês de 403 foar't jo wat feroarje

In geoblokkearring en in WAF-blokkearring komme beide as 403, en se wurde op ferskillende plakken reparearre. Bewarje de antwurdkoppen en de earste rigel fan 'e body, om't CloudFront in cache-kop en in redenstring tafoeget dy't jo fertelle hokker laach antwurde:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

As de distribúsje sels it fersyk om geografy blokkearre, draacht de body in berjocht dat de lânbeheining neamt. As in WAF-regel it blokkearre, is de body meastentiids in generike ferbeane side en is de distribúsje-fersykk-ID yn 'e koppen wat jo nei de WAF-logs bringe. Hjir fersinne jo jo nei de lânslist fan tastiene lannen foar in probleem mei in op snelheid basearre regel, dat is in dei wurk dat net slagje kin.

Stap 1: befestigje hokker adres de distribúsje sjocht

Freegje it netwurk wat de bûtenwrâld sjocht, fan deselde masine en deselde rûte as de mislearjende browser brûkt. curl -s https://checkip.amazonaws.com jout it iepenbiere adres fan 'e oanropper werom, dat foar in VPN-klant de útgong is ynstee fan 'e thúsferbining fan 'e abonnee:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

As dat adres by de útgong fan jo provider yn in oar lân heart, is it geobeslút al nommen en sil neat op 'e klant it feroarje. Skriuw it adres yn 'e kaart foar't jo in ynstelling oanreitsje, want it is it iennige feit yn it rapport dêr't jo en de tsjinst it oer iens binne.

Stap 2: skied it lân fan 'e reputaasje

CloudFront bestimt de lokaasje fan 'e besiker út in GeoIP-databank fan tredden dy't op it boarneadres fan it fersyk basearre is, en de mapping is by benadering en regionaal ynstee fan in krekte fêststelling. As de lokaasje net bestimd wurde kin, is de dokumintearre standert om de ynhâld dochs te tsjinjen. Dat der binne trije mooglike tastannen: de útgong mapet nei in blokkearre lân, nei in tastien lân, of de databank hat gjin miening en it fersyk giet troch.

In brûker yn in blokkearre lân kin lykje yn in tastien lân te wêzen as de provider dêr in útgong hat, en in brûker yn in tastien lân kin blokkearre wurde om't de útgong earne oars registrearre is. Gjin fan beide útkomsten bewiist dat de beheining stikken is. Beide binne de beheining dy't wurket op it adres dat er krigen hat, sa't de CloudFront-dokumintaasje oer geobeheiningen beskriuwt.

Reputaasje is de twadde as en dy oerlibbet de tunnel. De behearde AWS WAF-regelgroep foar anonime IP's is boud om fersiken fan VPN's, proxy's, Tor-knooppunten en hostingproviders te blokkearjen, dus in fersyk dat de lânkontrôle trochstiet kin noch wegere wurde fanwegen wat it adres is, net wêr't it is. As de blokkearring begûn doe't jo de tunnel nei in cloud-host ferpleatsten, is dit wierskynlik dy laach.

Stap 3: kontrolearje it kwotagedrach

Dielde útgongen mislearje op in tredde wize. Snelheidslimiten per IP en sesjetellingen behannelje ien adres as ien klant, en in konsumintútgong draacht in protte abonnees tagelyk, dus in fersykpatroan dat fan in thúsferbining gewoan liket, liket fan 'e útgong as automatisearring. It symptoom is beheining of in tydlike blokkearring dy't fansels ferdwynt, net in geografyske flatermelding.

In distribúsje kin ek bewust sesjes per adres telle, bygelyks mei in Lambda@Edge-funksje dy't nei DynamoDB skriuwt. Dat identifisearret de persoan efter de útgong net, mar it lit ien adres as ien klant hâlde en dwaan, wat faak de eigentlike bedoeling is. Log de ferskillende adressen efter in klacht foar't jo in drompel ôfstimme, want in bedriuws-NAT foar twahûndert buro's liket fan bûten krekt as in drokke útgong. Ferwachtsje falske positiven fan bedriuws-NAT, in universiteitsnetwurk of in grut húshâlden dat allegear ien adres presintearret.

Sjoch nei de samplede fersiken fan 'e WAF en de metriken fan op snelheid basearre regels foar't jo de geografy de skuld jouwe. In regel dy't op it fersyksfolume fan 'e útgong ôfgiet, lit in dúdlike hantekening efter, en hy fertelt jo ek oft de oplossing in limyt-oanpassing of in oare útgongspaad is.

Wat te feroarjen, en yn hokker folchoarder

Beslis earst wêr't de kontrôle foar is. In regionale katalogus hâlde, misbrûk beheine en in kontrakt hanthavenje binne trije ferskillende doelen, en allinnich it earste wurdt troch in lânslist oanpakt. As it doel misbrûkkontrôle is, is de útgong de ferkearde ienheid fan identiteit, en gjin inkelde hoemannichte tastiene listen sil in dield adres betrouber meitsje.

As in stabile adres wier nedich is foar in tastiene list, helpt in tawijde of statyske útgong om't it adres registrearre wurde kin en net draait. It makket it adres net wenjend en feroaret it lân net dat in GeoIP-databank deroan tawiist. Útgongen draaie oant ien wurket is in tydlike reputaasjefoarining, gjin repaaraasje fan it belied.

Skriuw dan de útkomst yn 'e termen dy't de oanfreger brûkte: dit adres is blokkearre op lân, op reputaasje of op snelheid, en dit is de kontrôle dy't feroarje sil. Alles ûndúdliker noeget itselde kaartsje folgjende wike út mei in oare útgong.