Geo-bhlocáil CloudFront taobh thiar de VPN: an bealach amach a dhiagnóisiú

Is cinneadh faoi sheoladh IP é srian geografach, agus athraíonn VPN an seoladh a fheiceann an tseirbhís. Míníonn an abairt amháin sin an chuid is mó de na tuairiscí mearbhallacha a shroicheann scuaine tacaíochta: «oibríonn an suíomh sa bhaile agus teipeann sé ar an tollán» agus «oibríonn an suíomh ar an tollán ach ní féidir le haon duine eile san oifig é a lódáil» is é an mheicníocht chéanna iad ag táirgeadh torthaí contrártha. Leanann an lámhleabhar seo an diagnóis san ord a dhíbreann cúiseanna, ag tosú leis an rud a dúirt an t-imeall leat i ndáiríre. Is féidir leis an seoladh amach céanna dul ar aghaidh trí rialtán amháin agus teip ar an gcéad rialtán eile, toisc go measúnóidh gach rialtán maoin dhifriúil den seoladh sin.

Léigh an 403 sula n-athraíonn tú rud ar bith

Tagann bloc geografach agus bloc WAF araon mar 403, agus socraítear iad in áiteanna difriúla. Gabh na ceanntásca freagartha agus an chéad líne den chorp, mar cuimsíonn CloudFront ceanntásc taisce agus teaghrán cúise a insíonn duit cé acu ciseal a d'fhreagair:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Nuair a chuir an dáileadh féin bac ar an iarratas mar gheall ar gheografaíocht, iompraíonn an corp teachtaireacht a ainmníonn srian na tíre. Nuair a chuir riail WAF bac air, is gnáthleathanach toirmiscthe é an corp de ghnáth agus is é aitheantas iarratais an dáileadh sna ceanntásca an rud a thógann tú chuig logaí WAF. Má dhéantar botún anseo, seolfar chuig liosta na dtíortha ceadaithe tú le haghaidh fadhb le riail bunaithe ar ráta, agus is lá oibre é sin nach féidir a chur i gcrích.

Céim 1: deimhnigh cén seoladh a fheiceann an dáileadh

Fiafraigh den líonra cad a fheiceann an domhan lasmuigh, ón meaisín céanna agus ón mbealach céanna a úsáideann an brabhsálaí a theipeann. Filleann curl -s https://checkip.amazonaws.com seoladh poiblí an ghlaoiteora, rud atá do chliant VPN an bealach amach seachas nasc baile an suibscríobhaí:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Má bhaineann an seoladh sin le bealach amach do sholáthraí i dtír eile, tá an cinneadh geografach déanta cheana féin agus ní athróidh aon rud ar an gcliant é. Scríobh an seoladh sa ticéad sula dtagann tú le socruithe, mar is é an t-aon fhíric sa tuarascáil a n-aontaíonn tú féin agus an tseirbhís uirthi.

Céim 2: scar an tír ón gclú

Cinneann CloudFront suíomh an lucht féachana ó bhunachar GeoIP tríú páirtí atá bunaithe ar sheoladh foinse an iarratais, agus tá an mhapáil comhfhogasach agus réigiúnach seachas suíomh cruinn. Nuair nach féidir an suíomh a chinneadh, is é an réamhshocrú doiciméadaithe an t-ábhar a sheirbheáil. Mar sin tá trí riocht fhéideartha ann: mapáiltear an bealach amach chuig tír bhlocáilte, chuig tír cheadaithe, nó níl aon tuairim ag an mbunachar agus leanann an t-iarratas ar aghaidh.

Is féidir le húsáideoir i dtír bhlocáilte a bheith le feiceáil i dtír cheadaithe má tá bealach amach ag an soláthraí ansin, agus is féidir le húsáideoir i dtír cheadaithe a bheith blocáilte mar go bhfuil an bealach amach cláraithe in áit eile. Ní chruthaíonn ceachtar toradh go bhfuil an srian briste. Is é an srian ag oibriú ar an seoladh a tugadh dó atá sa dá cheann, mar a chuireann doiciméadú CloudFront ar shrianta geografacha síos.

Is é an clú an dara haise agus maireann sé an tollán. Tógadh grúpa rialacha bainistithe AWS WAF le haghaidh IPanna gan ainm chun bac a chur ar iarratais ó VPNanna, seachfhreastalaí, nóid Tor agus soláthraithe óstála, mar sin is féidir iarratas a théann an tseiceáil tíre fós a dhiúltú mar gheall ar cad é an seoladh, ní cá bhfuil sé. Má thosaigh an bloc nuair a bhog tú an tollán chuig óstach scamall, is dócha gurb é sin an ciseal.

Céim 3: seiceáil iompar an chuóta

Teipeann bealaí amach comhroinnte ar an tríú bealach. Caitheann teorainneacha ráta in aghaidh IP agus comhairimh seisiúin le seoladh amháin mar chliant amháin, agus iompraíonn bealach amach tomhaltóra go leor suibscríobhaithe ag an am céanna, mar sin breathnaíonn patrún iarratas atá neamhshuntasach ó nasc baile cosúil le huathoibriú ón mbealach amach. Is é an tsiomptóm maolú nó bloc sealadach a ghlanann é féin, ní teachtaireacht earráide geografaí.

Is féidir le dáileadh freisin seisiúin a chomhaireamh in aghaidh an tseoltais d'aon ghnó, mar shampla le feidhm Lambda@Edge a scríobhann chuig DynamoDB. Ní aithníonn sé sin an duine taobh thiar den bhealach amach, ach tugann sé ar sheoladh amháin iompar mar chliant amháin, rud is minic an rún iarbhír. Logáil na seoltaí éagsúla taobh thiar de ghearán sula n-athraíonn tú aon tairseach, mar breathnaíonn NAT corparáideach os comhair dhá chéad deasc go díreach ar an taobh amuigh mar bhealach amach gnóthach. Bí ag súil le bréagdheimhnítheacha ó NAT corparáideach, ó líonra ollscoile nó ó theaghlach mór a chuireann seoladh amháin i láthair.

Féach ar iarratais sampláilte WAF agus ar mhéadracha rialacha bunaithe ar ráta sula gcáineann tú an gheografaíocht. Fágann riail a spreagann ar mhéid iarratas an bhealaigh amach síniú soiléir, agus insíonn sé duit freisin an é coigeartú teorann nó cosán amach difriúil an leigheas.

Cad a athróidh, agus cén t-ord

Socraigh ar dtús cad chuige an rialtán. Is trí sprioc dhifriúla iad catalóg réigiúnach a choinneáil, mí-úsáid a theorannú agus conradh a fhorghníomhú, agus ní thugtar aghaidh ach ar an gcéad cheann le liosta tíortha. Más é rialú mí-úsáide an sprioc, is é an bealach amach an t-aonad céannachta mícheart, agus ní dhéanfaidh aon mhéid liostaí ceadaithe seoladh comhroinnte iontaofa.

Má tá seoladh cobhsaí de dhíth go fírinneach le haghaidh liosta ceadaithe, cabhraíonn bealach amach tiomnaithe nó statach mar is féidir an seoladh a chlárú agus ní rothlaíonn sé. Ní dhéanann sé an seoladh ina áit chónaithe, agus ní athraíonn sé an tír a shannann bunachar GeoIP dó. Is athrú clú sealadach é bealaí amach a rothlú go n-oibríonn ceann amháin, ní leigheas ar an mbeartas.

Ansin scríobh an toradh sna téarmaí a d'úsáid an t-iarrthóir: tá an seoladh seo blocáilte de réir tíre, de réir clú nó de réir ráta, agus is é seo an rialtán a athróidh. Tugann aon rud níos doiléire cuireadh don ticéad céanna an tseachtain seo chugainn le bealach amach difriúil.