VPN પાછળ CloudFront જિયો બ્લોકિંગ: એક્ઝિટનું નિદાન

જિયો પ્રતિબંધ એ IP સરનામા અંગેનો નિર્ણય છે, અને VPN બદલે છે કે સેવા કયું સરનામું જુએ. આ એક જ વાક્ય સપોર્ટ કતારમાં આવતા મોટા ભાગના ગૂંચવણભર્યા અહેવાલો સમજાવે છે: «સાઇટ ઘરે કામ કરે છે અને ટનલ પર નિષ્ફળ જાય છે» અને «સાઇટ ટનલ પર કામ કરે છે પણ ઓફિસમાં બીજું કોઈ તેને લોડ કરી શકતું નથી» એ જ મિકેનિઝમ છે જે વિરોધી પરિણામો આપે છે. આ માર્ગદર્શિકા નિદાનને એ ક્રમમાં લે છે જે કારણોને બાદ કરે છે, એજે ખરેખર તમને શું કહ્યું તેનાથી શરૂ કરીને. એ જ એક્ઝિટ સરનામું એક નિયંત્રણ પાસ કરી શકે છે અને આગલામાં નિષ્ફળ જઈ શકે છે, કારણ કે દરેક નિયંત્રણ તે સરનામાની અલગ ગુણધર્મનું મૂલ્યાંકન કરે છે.

કંઈપણ બદલતા પહેલાં 403 વાંચો

જિયો બ્લોક અને WAF બ્લોક બંને 403 તરીકે આવે છે, અને તે અલગ જગ્યાએ સુધારાય છે. પ્રતિભાવ હેડર અને બોડીની પ્રથમ લાઇન કેપ્ચર કરો, કારણ કે CloudFront કેશ હેડર અને કારણ શબ્દમાળા ઉમેરે છે જે કહે છે કે કયું સ્તર જવાબ આપ્યો:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

જ્યારે ડિસ્ટ્રિબ્યુશન પોતે ભૂગોળના કારણે વિનંતી બ્લોક કરે, ત્યારે બોડીમાં દેશ પ્રતિબંધનું નામ આપતો સંદેશ હોય છે. જ્યારે WAF નિયમ તેને બ્લોક કરે, ત્યારે બોડી સામાન્ય પ્રતિબંધિત પૃષ્ઠ હોય છે અને હેડરમાંની ડિસ્ટ્રિબ્યુશન વિનંતી ID એ છે જે તમે WAF લોગમાં લઈ જાઓ છો. અહીં ભૂલ કરવાથી તમને દર-આધારિત નિયમની સમસ્યા માટે દેશની મંજૂર યાદી તરફ મોકલાય છે, જે એક દિવસનું કામ છે જે સફળ થઈ શકતું નથી.

પગલું 1: ડિસ્ટ્રિબ્યુશન કયું સરનામું જુએ છે તેની ખાતરી કરો

નેટવર્કને પૂછો કે બહારની દુનિયા શું જુએ છે, તે જ મશીન અને તે જ રૂટ પરથી જે નિષ્ફળ બ્રાઉઝર વાપરે છે. curl -s https://checkip.amazonaws.com કૉલરનું જાહેર સરનામું પરત કરે છે, જે VPN ક્લાયંટ માટે સબસ્ક્રાઇબરના ઘરના જોડાણને બદલે એક્ઝિટ છે:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

જો તે સરનામું બીજા દેશમાં તમારા પ્રદાતાના એક્ઝિટનું હોય, તો જિયો નિર્ણય પહેલેથી લેવાઈ ગયો છે અને ક્લાયંટ પર કંઈપણ તેને બદલશે નહીં. કોઈ સેટિંગને સ્પર્શતા પહેલાં સરનામું ટિકિટમાં લખો, કારણ કે તે અહેવાલની એકમાત્ર હકીકત છે જેના પર તમે અને સેવા સહમત છો.

પગલું 2: દેશને પ્રતિષ્ઠાથી અલગ કરો

CloudFront દર્શકનું સ્થાન વિનંતીના સ્રોત સરનામા પર આધારિત તૃતીય-પક્ષ GeoIP ડેટાબેઝમાંથી નક્કી કરે છે, અને મેપિંગ સચોટ નિર્ધારણ નહીં પણ આશરે અને પ્રાદેશિક છે. જ્યારે સ્થાન નક્કી કરી શકાતું નથી, ત્યારે દસ્તાવેજીકૃત ડિફૉલ્ટ સામગ્રી પરોક્ષ કરવાનો છે. તેથી ત્રણ સંભવિત સ્થિતિઓ છે: એક્ઝિટ બ્લોક થયેલા દેશમાં મેપ થાય, મંજૂર દેશમાં મેપ થાય, અથવા ડેટાબેઝનો કોઈ અભિપ્રાય નથી અને વિનંતી આગળ વધે.

બ્લોક થયેલા દેશનો વપરાશકર્તા મંજૂર દેશમાં હોય તેમ દેખાઈ શકે જો પ્રદાતાનો ત્યાં એક્ઝિટ હોય, અને મંજૂર દેશનો વપરાશકર્તા બ્લોક થઈ શકે કારણ કે એક્ઝિટ બીજે નોંધાયેલો છે. બંનેમાંથી કોઈ પરિણામ સાબિત કરતું નથી કે પ્રતિબંધ તૂટેલો છે. બંને એ પ્રતિબંધ છે જે તેને આપેલા સરનામા પર કામ કરે છે, જેમ CloudFront જિયો પ્રતિબંધ દસ્તાવેજ વર્ણવે છે.

પ્રતિષ્ઠા બીજી ધરી છે અને તે ટનલમાંથી બચી જાય છે. AWS WAFનો અનામી IP માટેનો સંચાલિત નિયમ જૂથ VPN, પ્રોક્સી, Tor નોડ અને હોસ્ટિંગ પ્રદાતાઓની વિનંતીઓ બ્લોક કરવા માટે બનાવાયો છે, તેથી દેશની ચકાસણી પાસ કરેલી વિનંતી પણ સરનામું શું છે તેના કારણે નકારી શકાય છે, ક્યાં છે તેના કારણે નહીં. જો તમે ટનલને ક્લાઉડ હોસ્ટ પર ખસેડ્યા ત્યારે બ્લોક શરૂ થયો હોય, તો સંભવતઃ તે સ્તર છે.

પગલું 3: ક્વોટા વર્તન ચકાસો

શેર્ડ એક્ઝિટ ત્રીજી રીતે નિષ્ફળ જાય છે. પ્રતિ-IP દર મર્યાદા અને સત્ર ગણતરી એક સરનામાને એક ક્લાયંટ તરીકે ગણે છે, અને ગ્રાહક એક્ઝિટ એકસાથે ઘણા સબસ્ક્રાઇબર ધરાવે છે, તેથી ઘરના જોડાણથી સામાન્ય લાગતી વિનંતીની પેટર્ન એક્ઝિટથી ઓટોમેશન જેવી લાગે છે. લક્ષણ થ્રોટલિંગ અથવા અસ્થાયી બ્લોક છે જે જાતે જ દૂર થાય, ભૌગોલિક ભૂલ સંદેશ નહીં.

ડિસ્ટ્રિબ્યુશન જાણી જોઈને પ્રતિ સરનામું સત્રો ગણી શકે, ઉદાહરણ તરીકે DynamoDBમાં લખતા Lambda@Edge ફંક્શન સાથે. તે એક્ઝિટ પાછળની વ્યક્તિને ઓળખતું નથી, પરંતુ એક સરનામાને એક ક્લાયંટની જેમ વર્તવા દે છે, જે ઘણી વાર ખરો ઉદ્દેશ હોય છે. કોઈ થ્રેશોલ્ડ સમાયોજિત કરતા પહેલાં ફરિયાદ પાછળના અલગ સરનામા લોગ કરો, કારણ કે બે સો ડેસ્ક સામેનું કોર્પોરેટ NAT બહારથી બરાબર વ્યસ્ત એક્ઝિટ જેવું લાગે છે. કોર્પોરેટ NAT, યુનિવર્સિટી નેટવર્ક અથવા એક જ સરનામું રજૂ કરતા મોટા ઘર તરફથી ખોટા પોઝિટિવની અપેક્ષા રાખો.

ભૂગોળને દોષ આપતા પહેલાં WAFના નમૂના વિનંતીઓ અને દર-આધારિત નિયમ મેટ્રિક્સ જુઓ. એક્ઝિટની વિનંતી વોલ્યુમ પર સક્રિય થતો નિયમ સ્પષ્ટ સહી છોડે છે, અને તે તમને એ પણ કહે છે કે સુધારો મર્યાદા સમાયોજન છે કે અલગ એગ્રેસ પથ.

શું બદલવું, અને કયા ક્રમમાં

પહેલાં નક્કી કરો કે નિયંત્રણ શેના માટે છે. પ્રાદેશિક કેટલોગ રાખવો, દુરુપયોગ મર્યાદિત કરવો અને કરાર લાગુ કરવો એ ત્રણ અલગ લક્ષ્યો છે, અને ફક્ત પ્રથમને દેશ યાદી દ્વારા સંબોધવામાં આવે છે. જો લક્ષ્ય દુરુપયોગ નિયંત્રણ હોય, એક્ઝિટ એ ઓળખનું ખોટું એકમ છે, અને કેટલી પણ મંજૂર યાદીઓ શેર્ડ સરનામાને વિશ્વસનીય બનાવશે નહીં.

જો મંજૂર યાદી માટે ખરેખર સ્થિર સરનામું જરૂરી હોય, તો સમર્પિત અથવા સ્થિર એક્ઝિટ મદદ કરે છે કારણ કે સરનામું નોંધી શકાય છે અને ફરતું નથી. તે સરનામાને રહેણાંક બનાવતું નથી, અને GeoIP ડેટાબેઝ તેને જે દેશ આપે છે તે પણ બદલતું નથી. એક કામ કરે ત્યાં સુધી એક્ઝિટ ફેરવવી એ અસ્થાયી પ્રતિષ્ઠા પરિવર્તન છે, નીતિનું નિરાકરણ નહીં.

પછી પરિણામ વિનંતીકર્તાએ વાપરેલા શબ્દોમાં લખો: આ સરનામું દેશ, પ્રતિષ્ઠા અથવા દર દ્વારા બ્લોક થયેલું છે, અને આ તે નિયંત્રણ છે જે બદલાશે. વધુ અસ્પષ્ટ કંઈપણ આવતા અઠવાડિયે અલગ એક્ઝિટ સાથે એ જ ટિકિટને આમંત્રણ આપે છે.