CloudFront geoblokkolás VPN mögött: a kimenet diagnosztizálása

A földrajzi korlátozás egy IP-címről szóló döntés, a VPN pedig megváltoztatja, melyik címet látja a szolgáltatás. Ez az egy mondat magyarázza a támogatói sorba érkező zavaros bejelentések többségét: „a webhely otthon működik, az alagúton keresztül meghiúsul” és „a webhely az alagúton keresztül működik, de az irodában senki más nem tudja betölteni” ugyanaz a mechanizmus, ellentétes eredménnyel. Ez az útmutató abban a sorrendben vezeti végig a diagnózist, amely kizárja az okokat, azzal kezdve, amit az edge valóban mondott Önnek. Ugyanaz a kimeneti cím átmehet az egyik ellenőrzésen, és elbukhat a következőn, mert minden ellenőrzés a cím más tulajdonságát értékeli.

Olvassa el a 403-at, mielőtt bármit módosít

A földrajzi blokk és a WAF-blokk egyaránt 403-ként érkezik, és különböző helyeken javítják őket. Rögzítse a válasz fejléceit és a törzs első sorát, mert a CloudFront gyorsítótár-fejlécet és ok-karakterláncot illeszt be, amelyek megmondják, melyik réteg válaszolt:

curl -sS -o /tmp/body.txt -D /tmp/headers.txt https://d111111abcdef8.cloudfront.net/
grep -i "x-cache\|via" /tmp/headers.txt
head -c 300 /tmp/body.txt

Amikor maga a disztribúció blokkolta a kérést földrajzi okból, a törzs üzenetet tartalmaz, amely megnevezi az országkorlátozást. Amikor egy WAF-szabály blokkolta, a törzs általában általános tiltott oldal, és a fejlécekben lévő disztribúció-kérésazonosító az, amit magával visz a WAF-naplókhoz. Az itteni tévedés az engedélyezett országok listájához küld egy arányalapú szabály problémája miatt, ami egy nap munka, amely nem sikerülhet.

1. lépés: erősítse meg, melyik címet látja a disztribúció

Kérdezze meg a hálózatot, mit lát a külvilág, ugyanarról a gépről és ugyanazon az útvonalon, amelyet a meghiúsuló böngésző használ. A curl -s https://checkip.amazonaws.com visszaadja a hívó nyilvános címét, amely VPN-kliens esetén a kimenet, nem pedig az előfizető otthoni kapcsolata:

curl -s https://checkip.amazonaws.com
nslookup d111111abcdef8.cloudfront.net

Ha ez a cím a szolgáltató más országbeli kimenetéhez tartozik, a földrajzi döntés már megszületett, és semmi sem változtatja meg a kliensen. Írja be a címet a jegybe, mielőtt bármilyen beállításhoz nyúl, mert ez az egyetlen tény a jelentésben, amelyben Ön és a szolgáltatás egyetért.

2. lépés: válassza szét az országot a hírnévtől

A CloudFront a néző helyét egy harmadik féltől származó GeoIP-adatbázisból határozza meg, amely a kérés forrás-címére épül, és a leképezés hozzávetőleges és regionális, nem pontos meghatározás. Ha a hely nem állapítható meg, a dokumentált alapértelmezés a tartalom kiszolgálása. Így három lehetséges állapot van: a kimenet blokkolt országhoz, engedélyezett országhoz rendelődik, vagy az adatbázisnak nincs véleménye, és a kérés továbbhalad.

Egy blokkolt országban lévő felhasználó úgy tűnhet, mintha engedélyezett országban lenne, ha a szolgáltatónak ott van kimenete, és egy engedélyezett országban lévő felhasználó blokkolható, mert a kimenet máshol van regisztrálva. Egyik eredmény sem bizonyítja, hogy a korlátozás elromlott. Mindkettő a korlátozás működése azon a címen, amelyet kapott, ahogy a CloudFront földrajzi korlátozásokról szóló dokumentációja leírja.

A hírnév a második tengely, és túléli az alagutat. Az AWS WAF névtelen IP-címekre vonatkozó felügyelt szabálycsoportja arra készült, hogy blokkolja a VPN-ek, proxyk, Tor-csomópontok és tárhelyszolgáltatók kéréseit, így az országellenőrzésen átjutó kérés továbbra is elutasítható azért, amilyen a cím, nem azért, ahol van. Ha a blokkolás akkor kezdődött, amikor az alagutat felhőbeli gazdagépre helyezte, valószínűleg ez a réteg.

3. lépés: ellenőrizze a kvóta viselkedését

A megosztott kimenetek harmadik módon hibásodnak meg. Az IP-nkénti aránykorlátok és a munkamenet-számok egy címet egy ügyfélnek tekintenek, és egy fogyasztói kimenet egyszerre sok előfizetőt hordoz, így az otthoni kapcsolatból feltűnésmentes kérésminta a kimenet felől automatizálásnak tűnik. A tünet a szabályozás vagy egy ideiglenes blokk, amely magától elmúlik, nem földrajzi hibaüzenet.

A disztribúció szándékosan is számolhat munkameneteket címenként, például egy DynamoDB-be író Lambda@Edge-függvénnyel. Ez nem azonosítja a kimenet mögötti személyt, de egy címet egy ügyfélként viselkedtet, ami gyakran a tényleges szándék. Naplózza a panasz mögötti különböző címeket, mielőtt bármilyen küszöböt hangol, mert egy kétszáz íróasztal előtti vállalati NAT kívülről pontosan úgy néz ki, mint egy forgalmas kimenet. Számítson téves riasztásokra vállalati NAT, egyetemi hálózat vagy nagy háztartás felől, amelyek mind egyetlen címet mutatnak.

Nézze meg a WAF mintavételezett kéréseit és az arányalapú szabályok mérőszámait, mielőtt a földrajzot hibáztatná. A kimenet kérésmennyiségére aktiválódó szabály egyértelmű nyomot hagy, és azt is megmondja, hogy a javítás korlát-módosítás vagy más kimeneti útvonal.

Mit változtasson, és milyen sorrendben

Először döntse el, mi célra van az ellenőrzés. Regionális katalógus fenntartása, a visszaélés korlátozása és egy szerződés érvényesítése három különböző cél, és csak az elsőt kezeli országlista. Ha a cél a visszaélés elleni ellenőrzés, a kimenet a rossz identitásegység, és semmilyen mennyiségű engedélyezett lista nem teszi megbízhatóvá a megosztott címet.

Ha valóban stabil címre van szükség egy engedélyezett listához, a dedikált vagy statikus kimenet segít, mert a cím regisztrálható és nem rotálódik. Ez nem teszi lakóhellyé a címet, és nem változtatja meg az országot, amelyet a GeoIP-adatbázis hozzárendel. A kimenetek rotálása, amíg egy működik, ideiglenes hírnév-változás, nem a szabályzat javítása.

Ezután írja le az eredményt a kérelmező által használt kifejezésekkel: ezt a címet ország, hírnév vagy arány szerint blokkolják, és ez az az ellenőrzés, amely változni fog. Bármi ennél homályosabb ugyanazt a jegyet hívja elő jövő héten egy másik kimenettel.