VPN के पीछे CloudFront जियो ब्लॉकिंग: एग्ज़िट का निदान

भौगोलिक प्रतिबंध IP पते पर लिया गया निर्णय है, और VPN बदल देता है कि सेवा कौन-सा पता देखती है। यही एक वाक्य सहायता कतार में आने वाली अधिकांश भ्रमित रिपोर्टें समझाता है: «साइट घर पर काम करती है और टनल पर विफल हो जाती है» और «साइट टनल पर काम करती है पर ऑफ़िस में कोई और उसे लोड नहीं कर सकता» एक ही तंत्र हैं जो उलटे नतीजे देते हैं। यह गाइड निदान को उस क्रम में चलाती है जो कारणों को बाहर करता है, शुरुआत उस बात से करते हुए जो एज ने वास्तव में आपको बताया। वही एग्ज़िट पता एक नियंत्रण पास कर सकता है और अगले में विफल हो सकता है, क्योंकि हर नियंत्रण उस पते की अलग विशेषता का मूल्यांकन करता है।

कुछ भी बदलने से पहले 403 पढ़ें

जियो ब्लॉक और WAF ब्लॉक दोनों 403 के रूप में आते हैं, और उन्हें अलग जगहों पर ठीक किया जाता है। प्रतिक्रिया हेडर और बॉडी की पहली पंक्ति कैप्चर करें, क्योंकि CloudFront एक कैश हेडर और कारण स्ट्रिंग जोड़ता है जो बताते हैं कि कौन-सी परत जवाब दी:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

जब वितरण ने स्वयं भौगोलिक कारण से अनुरोध अवरुद्ध किया, तो बॉडी में देश प्रतिबंध का नाम बताने वाला संदेश होता है। जब WAF नियम ने उसे अवरुद्ध किया, तो बॉडी आम तौर पर एक सामान्य निषिद्ध पृष्ठ होती है और हेडर में वितरण अनुरोध ID ही वह चीज़ है जिसे आप WAF लॉग में ले जाते हैं। यहाँ गलती आपको दर-आधारित नियम की समस्या के लिए देशों की अनुमति सूची की ओर भेजती है, जो एक दिन का काम है जो सफल नहीं हो सकता।

चरण 1: पुष्टि करें कि वितरण कौन-सा पता देखता है

नेटवर्क से पूछें कि बाहरी दुनिया क्या देखती है, उसी मशीन और उसी मार्ग से जो विफल ब्राउज़र इस्तेमाल करता है। curl -s https://checkip.amazonaws.com कॉलर का सार्वजनिक पता लौटाता है, जो VPN क्लाइंट के लिए एग्ज़िट है, ग्राहक का घरेलू कनेक्शन नहीं:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

यदि वह पता किसी दूसरे देश में आपके प्रदाता के एग्ज़िट का है, तो भू-निर्णय पहले ही हो चुका है और क्लाइंट पर कुछ भी उसे नहीं बदलेगा। किसी सेटिंग को छूने से पहले पता टिकट में लिखें, क्योंकि यह रिपोर्ट का एकमात्र तथ्य है जिस पर आप और सेवा सहमत हैं।

चरण 2: देश को प्रतिष्ठा से अलग करें

CloudFront दर्शक का स्थान अनुरोध के स्रोत पते पर आधारित तीसरे पक्ष के GeoIP डेटाबेस से तय करता है, और यह मैपिंग सटीक निर्धारण नहीं बल्कि अनुमानित और क्षेत्रीय है। जब स्थान निर्धारित नहीं हो पाता, तो प्रलेखित डिफ़ॉल्ट सामग्री परोसना है। इसलिए तीन संभावित स्थितियाँ हैं: एग्ज़िट किसी अवरुद्ध देश में मैप होता है, किसी अनुमत देश में, या डेटाबेस की कोई राय नहीं और अनुरोध आगे बढ़ता है।

अवरुद्ध देश का उपयोगकर्ता अनुमत देश में दिख सकता है यदि प्रदाता का वहाँ एग्ज़िट है, और अनुमत देश का उपयोगकर्ता इसलिए अवरुद्ध हो सकता है क्योंकि एग्ज़िट कहीं और पंजीकृत है। इनमें से कोई परिणाम यह साबित नहीं करता कि प्रतिबंध टूटा है। दोनों ही प्रतिबंध का उस पते पर काम करना हैं जो उसे दिया गया, जैसा CloudFront के भू-प्रतिबंध दस्तावेज़ बताते हैं।

प्रतिष्ठा दूसरा अक्ष है और टनल से बच निकलती है। AWS WAF का प्रबंधित अनाम IP नियम समूह VPN, प्रॉक्सी, Tor नोड और होस्टिंग प्रदाताओं से आने वाले अनुरोधों को अवरुद्ध करने के लिए बना है, इसलिए देश जाँच पास करने वाला अनुरोध भी इसलिए अस्वीकार हो सकता है कि पता क्या है, न कि कहाँ है। यदि अवरोध तब शुरू हुआ जब आपने टनल को क्लाउड होस्ट पर स्थानांतरित किया, तो संभवतः यही परत है।

चरण 3: कोटा व्यवहार जाँचें

साझा एग्ज़िट तीसरे तरीके से विफल होते हैं। प्रति-IP दर सीमाएँ और सत्र गणनाएँ एक पते को एक क्लाइंट मानती हैं, और उपभोक्ता एग्ज़िट एक साथ कई ग्राहक ले जाता है, इसलिए घरेलू कनेक्शन से सामान्य दिखने वाला अनुरोध पैटर्न एग्ज़िट से स्वचालन जैसा लगता है। लक्षण थ्रॉटलिंग या अस्थायी अवरोध है जो अपने आप साफ़ हो जाता है, भौगोलिक त्रुटि संदेश नहीं।

वितरण जानबूझकर प्रति पता सत्र भी गिन सकता है, उदाहरण के लिए DynamoDB में लिखने वाले Lambda@Edge फ़ंक्शन से। यह एग्ज़िट के पीछे के व्यक्ति की पहचान नहीं करता, पर एक पते को एक क्लाइंट की तरह व्यवहार कराता है, जो अक्सर वास्तविक मंशा होती है। किसी भी सीमा को समायोजित करने से पहले शिकायत के पीछे के अलग-अलग पतों को लॉग करें, क्योंकि दो सौ डेस्क के सामने का कॉर्पोरेट NAT बाहर से ठीक व्यस्त एग्ज़िट जैसा दिखता है। कॉर्पोरेट NAT, विश्वविद्यालय नेटवर्क या एक बड़े घर से झूठी सकारात्मकता की अपेक्षा करें जो सभी एक ही पता प्रस्तुत करते हैं।

भूगोल को दोष देने से पहले WAF के नमूना अनुरोध और दर-आधारित नियम मेट्रिक्स देखें। एग्ज़िट की अनुरोध मात्रा पर सक्रिय होने वाला नियम स्पष्ट हस्ताक्षर छोड़ता है, और यह भी बताता है कि समाधान सीमा समायोजन है या अलग एग्रेस पथ।

क्या बदलें, और किस क्रम में

पहले तय करें कि नियंत्रण किसलिए है। क्षेत्रीय कैटलॉग रखना, दुरुपयोग सीमित करना और अनुबंध लागू करना तीन अलग लक्ष्य हैं, और केवल पहले को देश सूची से संबोधित किया जाता है। यदि लक्ष्य दुरुपयोग नियंत्रण है, एग्ज़िट पहचान की गलत इकाई है, और कितनी भी अनुमति सूचियाँ साझा पते को भरोसेमंद नहीं बनाएँगी।

यदि अनुमति सूची के लिए वास्तव में स्थिर पता चाहिए, तो समर्पित या स्थिर एग्ज़िट मदद करता है क्योंकि पता पंजीकृत किया जा सकता है और घूमता नहीं। यह पते को आवासीय नहीं बनाता, और GeoIP डेटाबेस जो देश उसे सौंपता है उसे भी नहीं बदलता। एग्ज़िट घुमाना जब तक कोई एक काम करे, अस्थायी प्रतिष्ठा परिवर्तन है, नीति का समाधान नहीं।

फिर परिणाम उन शब्दों में लिखें जो अनुरोधकर्ता ने इस्तेमाल किए: यह पता देश, प्रतिष्ठा या दर से अवरुद्ध है, और यही वह नियंत्रण है जो बदलेगा। इससे अधिक अस्पष्ट कुछ भी अगले हफ़्ते उसी टिकट को अलग एग्ज़िट के साथ आमंत्रित करता है।