Toshewar yanki na CloudFront bayan VPN: gano hanyar fita

Toshewar yanki hukunci ne kan adireshin IP, kuma VPN yana canza wane adireshin sabis ɗin yake gani. Wannan jumla ɗaya tana bayanin yawancin rahotannin ruɗani da ke isa layin tallafi: «shafin yana aiki a gida kuma yana kasawa a kan tunnel» da «shafin yana aiki a kan tunnel amma babu wani a ofis da zai iya loda shi» dabara ɗaya ce da ke samar da sakamako daban-daban. Wannan jagorar tana bin binciken a cikin tsarin da ke kawar da dalilai, farawa da abin da gefen ya faɗa maka da gaske. Adireshin fita ɗaya zai iya wuce iko ɗaya kuma ya kasa na gaba, domin kowane iko yana auna wani fasali na wannan adireshin.

Karanta 403 kafin ka canza komai

Toshewar yanki da toshewar WAF duk suna zuwa a matsayin 403, kuma ana gyara su a wurare daban-daban. Ɗauki kanun amsa da layin farko na jiki, domin CloudFront yana haɗa kanun cache da igiyar dalili da ke gaya maka wane Layer ya amsa:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Lokacin da rarrabawa da kanta ta toshe buƙatar saboda yanki, jikin yana ɗauke da saƙon da ke ambaton ƙuntatawar ƙasa. Lokacin da dokar WAF ta toshe shi, jikin yawanci shafi ne na haramci na gama gari kuma ID ɗin buƙatar rarrabawa a cikin kanun shi ne abin da za ka kai ga log ɗin WAF. Kuskure a nan yana tura ka zuwa jerin ƙasashen da aka yarda saboda matsalar doka mai tushen ƙima, wanda aikin kwana ɗaya ne da ba zai iya yin nasara ba.

Mataki 1: tabbatar da wane adireshi rarrabawar ke gani

Tambayi hanyar sadarwa abin da duniyar waje ke gani, daga injin ɗaya da hanyar da burauzar da ke kasawa ke amfani da ita. curl -s https://checkip.amazonaws.com yana mayar da adireshin jama'a na mai kira, wanda ga abokin ciniki na VPN hanyar fita ce maimakon haɗin gidan mai biyan kuɗi:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Idan wannan adireshin na hanyar fita ta mai ba da sabis ɗinka ne a wata ƙasa, an riga an yanke hukuncin yanki kuma babu abin da zai canza shi a kan abokin ciniki. Rubuta adireshin a cikin tikit kafin ka taɓa saiti, domin shi ne kawai gaskiya a cikin rahoton da kai da sabis ɗin kuka yarda da ita.

Mataki 2: raba ƙasa daga suna

CloudFront yana gano wurin mai kallo daga bayanan GeoIP na ɓangare na uku wanda aka danganta da adireshin tushen buƙatar, kuma taswirar kusan ce kuma ta yanki maimakon daidaitaccen ƙayyadaddun. Lokacin da ba za a iya gano wurin ba, ƙa'idar da aka rubuta ita ce a ba da abun ciki. Don haka akwai yanayi uku: hanyar fita tana taswira zuwa ƙasar da aka toshe, zuwa ƙasar da aka yarda, ko kuma bayanan ba su da ra'ayi kuma buƙatar ta ci gaba.

Mai amfani a ƙasar da aka toshe zai iya zama kamar yana cikin wadda aka yarda idan mai bayarwa yana da hanyar fita a can, kuma mai amfani a ƙasar da aka yarda ana iya toshe shi saboda an yi rajistar hanyar fita a wani wuri. Babu ɗayan sakamakon da ke tabbatar da ƙuntatawar ta karye. Dukansu ƙuntatawa ce da ke aiki kan adireshin da aka ba ta, kamar yadda takardun ƙuntatawar yanki na CloudFront suka bayyana.

Suna shine ginshiƙi na biyu kuma yana tsira daga tunnel. An gina ƙungiyar dokokin AWS WAF na IP marasa suna don toshe buƙatu daga VPN, proxy, nodes na Tor da masu ba da hosting, don haka buƙatar da ta wuce gwajin ƙasa tana iya ƙi har yanzu saboda abin da adireshin yake, ba inda yake ba. Idan toshewar ta fara lokacin da ka matsar da tunnel zuwa mai masaukin girgije, wannan shine Layer ɗin da ake tsammani.

Mataki 3: duba halin ƙididdiga

Hanyoyin fita da aka raba suna kasawa ta hanya ta uku. Iyakokin ƙima na kowace IP da ƙidayar zama suna ɗaukar adireshi ɗaya a matsayin abokin ciniki ɗaya, kuma hanyar fita ta mabukaci tana ɗauke da masu biyan kuɗi da yawa a lokaci ɗaya, don haka tsarin buƙatar da ba shi da ban mamaki daga haɗin gida yana kama da sarrafa kansa daga hanyar fita. Alamar ita ce takurawa ko toshewar wucin gadi da ke sharewa da kanta, ba saƙon kuskuren yanki ba.

Rarrabawa kuma tana iya ƙidaya zama kowace adireshi da gangan, misali da aikin Lambda@Edge da ke rubutu zuwa DynamoDB. Wannan ba ya gano mutumin da ke bayan hanyar fita, amma yana sa adireshi ɗaya ya kasance kamar abokin ciniki ɗaya, wanda sau da yawa shine ainihin manufar. Yi rikodin adiresoshin daban-daban da ke bayan ƙara kafin ka daidaita kowane ƙofa, domin NAT na kamfani a gaban teburi ɗari biyu yana kama da hanyar fita mai aiki daga waje. Yi tsammanin fa'idodi na ƙarya daga NAT na kamfani, cibiyar sadarwar jami'a ko babban gida waɗanda duk ke gabatar da adireshi ɗaya.

Duba buƙatun samfurin WAF da ma'aunin dokoki masu tushen ƙima kafin ka zargi yanki. Dokar da ke tashi akan ƙarar buƙatun hanyar fita tana barin sa hannu bayyananne, kuma tana gaya maka ko gyaran daidaita iyaka ne ko wata hanyar fita daban.

Abin da za a canza, kuma a wane tsari

Da farko yanke shawara abin da iko ɗin yake don. Riƙe kas ɗin yanki, iyakance cin zarafi da tilasta kwangila manufofi ne daban-daban guda uku, kuma jerin ƙasashe ne kawai ke magance na farko. Idan manufar ita ce kula da cin zarafi, hanyar fita ita ce sashin da ba daidai ba na ainihi, kuma babu adadin jerin da aka yarda da zai sa adireshin da aka raba abin dogaro.

Idan da gaske ana buƙatar adireshi mai tsayawa don jerin da aka yarda, hanyar fita ta musamman ko ta tsaye tana taimakawa domin ana iya yin rijistar adireshin kuma ba ya juyawa. Ba ya sa adireshin zama na gida, kuma ba ya canza ƙasar da bayanan GeoIP ke ba shi. Juya hanyoyin fita har ɗaya ya yi aiki canjin suna ne na wucin gadi, ba maganin manufar ba.

Sannan rubuta sakamakon da kalmomin da mai nema ya yi amfani da su: an toshe wannan adireshin saboda ƙasa, suna ko ƙima, kuma wannan shine iko ɗin da zai canza. Duk wani abu da ya fi shubuha yana gayyatar wannan tikit mako mai zuwa da wata hanyar fita.